Mühazirə 9 İnformasiya təhlükəsizliyi Kompüter şəbəkələrində təhlükələrin təsnifatı

Heş-funksiyanın xassələri elədir ki, onun köməyi ilə alınan heş-kod məlumatla “möhkəm” bağlı olur. Məlumatın hətta bir biti dəyişdikdə belə heş-kodun bitlərinin yarısı dəyişir. Heş-funksiyaya misal olaraq MD2, MD4, MD5, RIPEMD, SHA1 və s. alqoritmlərini göstərmək olar.

İnformasiya sistemləri

İnformasiya sistemləri-informatika elminin ən mühüm anlayışlarından biri də informasiyadır. Bu anlayış latın sözü olub baş vermiş hadisə və ya fakt haqqında məlumat mənasını verir. İnformasiya dedikdə toplanma, qeydiyyat, saxlanma və s. obyekti ola bilən faydalı məlumatlar toplusu başa düşülür. İnformasiya anlayışının ən mühüm alt anlayışlarından biri də informasiya sistemləridir. Kompüterlərin və digər əlaqə vasitələrinin istifadə olunmasına əsaslanan yeni informasiya texnologiyalarının tətbiqi ilə bağlı olaraq bu anlayış (informasiya sistemi anlayışı) geniş istifadə olunur. Ümumi halda sistem anlayışı qoyulmuş məqsədə çatmaq üçün vahid bir tam kimi fəaliyyət göstərən, qarşılıqlı əlaqədə olan elementlər kompleksini özündə birləşdirir. Sistemin struktur, element funksiyası və elementin və sistemin özünün girişi və çıxışı kimi komponentləri var. Bundan başqa hər bir sistemin alt sistemə bölünmək imkanı da var. Bu xüsusiyyəti onun analizini, yaradılamsını və istifadəsini asanlaşdırır.

İnformasiya sistemləri tətbiq sahəsinə aid informasiyaların toplanmasını, saxlanmasını, emalını və istifadəçilərə çatdırılmasını təmin edən texniki, proqram, linqvistik və metodoloji vasitələr kompleksidir. Bu sistem müxtəlif istifadəçilərin müəyyən mövzu sahəsi çərçivəsində informasiyaya olan tələbatının ödəyir. Onun yaranmasının səbəbi də budur. İnsanlarının tələbatlarının ödənilməsində iki cəhəti nəzərə almaq lazımdır. Birincisi tətbiq sahəsinin sərhədlərinin təyin olunması və informasiya modelinin tam əhatəli və dəqiq əks etdirilməsi, ikicisi istifadəçilərin sorğularına tam və dəqiq cavab verə bilən informasiya sisteminin yaradılmasıdır. Birinci halda baxılan tətbiq sahəsi çərçivəsində informasiya sisteminin istifadəçiləri lazımi informasiyayla təmin edilməli, ikinci halda isə sorğuların tipləri və növləri təhlil edilməli, sorğuların tələblərinə uyğun və əlverişli şəkildə cavab verilməlidir.Bu sistem həm ayrılıqda, həm də hər hansı avtomatlaşdırılmış sistemin tərkibində layihə edilə bilər. Birinci halda o, informasiya-sorğu sistemi kimi, əsasən, ayrı-ayrı şəxslərin və ya kollektivlərin informasiya tələblərini ödəmək üçün istifadə olunur. İkinci halda isə informasiya sistemi istifadəçilərə informasiya-arayış xidməti göstərməklə yanaşı, həmdə avtomatlaşdırılmış sistemin informasiya təminatı alt sistemi rolunu oynayır.İnformasiya sistemləri konkret hər hansı bir obyekt üçün yaradılır. İnformasiya sistemləri bir çox cəhətlərinə görə qruplaşdırılır.Avtomatlaşdırma dərəcəsinə görə informasiya sistemləri əllə işləyən (mexaniki), avtomatlaşdırılmış və avtomatik olmaqla üç qrupa bölünür. Mexaniki olduqda bütün əməliyyatlar insanlar tərəfindən, avtomatlaşdırılmış olduqda yarısı insan, yarısı EHM-lər tərəfindən, avtomatik olduqda isə texniki vasitələrin köməyi ilə avtomatik olaraq yerinə yetirilir.İnformasiya sistemlərini tətbiq sahəsinə görə də təsnifləşdirirlər. Bu cəhətinə görə informasiya sistemləri bir neçə sinifə bölünür: elmi tədqiqatlar, avtomatlaşdırılmış layihələndirmə, texnoloji proseslərin idarı olunması, təşkilati idarəetmə və s.Tətbiq sahəsindən asılı olmayaraq bütün informasiya sistemləri eyni komponent toplusundan ibarətdir. Bunlar funksional komponentlər, verilənlərin emalı sistemi komponenti və təşkilati komponentlərdir. Bu komponentlərin hər biri informasiya sisteminin ayrı-ayrı tapşırıqlarını (idarəetmə funksiyasını, verilənlərin emalının tipik əməllərinin reallaşdırılmasını, inforamasiya üzərində müxtəli əməllər və s.) yerinə yetirir.İnformasiya sistemi idarəetmə funksiyasını reallaşdırılmasına xidmət edir. Bunun üçün o, müxtəlif ranglı işçiləri idarə olunacaq obyekt haqqında inforamsiya ilə təmin edir, toplayır, çevirir,ötürür və emal edir.Bütün deyilənləri ümumiləşdirərək informasiya sisteminə aşağıdakı tərifi vermək olar.”İnformasiya sistemi idarəetmə funksiyasını reallaşdırmaq məqsədi üçün müxtəlif rütbəli istifadəçiləri (işçiləri) idarə olunan informasiya ilə təmin edən, toplayan, ötürən və emal edən kommunikasiya sistemidir”.

Mühazirə 9 İnformasiya təhlükəsizliyi Kompüter şəbəkələrində təhlükələrin təsnifatı

Elmi-texniki inqilab informasiya cəmiyyətinin yaranmasına səbəb olmuşdur. Bu cəmiyyətdə informasiya və biliklər ən mühüm resurs və başlıca əmtəədir. Vətəndaşların, cəmiyyətin və dövlətin həyatında informasiyanın, informasiya resurslarının və texnologiyalarının rolunun artması informasiya təhlükəsizliyi məsələlərini ön plana çıxarır. Müasir cəmiyyət tədricən öz informasiya infrastrukturunun vəziyyətindən asılı olur.

• şəbəkə texnologiyalarının geniş yayılması və lokal şəbəkələrin qlobal şəbəkələr halında birləşməsi;
• informasiya təhlükəsizliyinin pozulmasına praktik olaraq mane olmayan qlobal Internet şəbəkəsinin inkişafı;
• minimal təhlükəsizlik tələblərinə belə cavab verməyən proqram vasitələrinin geniş yayılması.

İnformasiyanın mühafizəsi – informasiya təhlükəsizliyinin təmin olunmasına yönəlmiş tədbirlər kompleksidir.
9.2. Kompüter şəbəkələrində təhlükələrin təsnifatı
Təhlükə dedikdə sistemə dağılma, verilənlərin üstünün açılması və ya dəyişdirilməsi, xidmətdən imtina formasında ziyan vurulmasına səbəb ola bilən istənilən hal, şərait, proses və hadisələr nəzərdə tutulur.

Təhlükələri müxtəlif siniflərə ayırmaq olar. Meydana çıxma səbəblərinə görə təhlükələri təbii və süni xarakterli təhlükələrə ayırırlar. Süni xarakterli təhlükələr də öz növbəsində bilməyərəkdən və qəsdən törədilən təhlükələrə bölünür. Təsir məqsədlərinə görə təhlükələrin üç əsas növü ayırd edilir:

• İnformasiyanın konfidensiallığının pozulmasına yönələn təhlükələr;
• İnformasiyanın bütövlüyünün pozulmasına yönələn təhlükələr;
• Əlyetənliyin pozulmasına yönələn təhlükələr (DoS hücumlar, Denial of Service – xidmətdən imtina).

Bütövlük – informasiyanın təhrifsiz şəkildə mövcudolma xassəsidir. İnformasiyanın bütövlüyünün pozulmasına yönələn təhlükələr onun dəyişdirilməsinə və ya təhrifinə yönəlib ki, bunlar da onun keyfiyyətinin pozulmasına və tam məhvinə səbəb ola bilər. İnformasiyanın bütövlüyü bədniyyətli tərəfindən qəsdən və ya sistemi əhatə edən mühit tərəfindən obyektiv təsirlər nəticəsində pozula bilər.

Əlyetənlik – yolverilən vaxt ərzində tələb olunan informasiya xidmətini almaq imkanıdır. Həmçinin əlyetənlik – daxil olan sorğulara xidmət üçün onlara müraciət zəruri olduqda uyğun xidmətlərin həmişə hazır olmasıdır. Əlyetənliyin pozulmasına yönələn təhlükələr elə şəraitin yaradılmasına yönəlib ki, bu zaman müəyyən qəsdli hərəkətlər ya sistemin iş qabiliyyətini aşağı salır, ya da sistemin müəyyən resurslarına girişi bağlayır.

Təhlükələr digər əlamətlərinə görə də təsnif oluna bilər:

• Baş vermə ehtimalına görə (çox ehtimallı, ehtimallı, az ehtimallı);
• Meydana çıxma səbəblərinə görə (təbii fəlakətlər, qəsdli hərəkətlər);
• Vurulmuş ziyanın xarakterinə görə (maddi, mənəvi);
• Təsir xarakterinə görə (aktiv, passiv);
• Obyektə münasibətinə görə (daxili, xarici);

Kompüter virusları. Kompüter virusları təxminən 1980-ci illərin əvvəllərində meydana çıxmışdır. «Kompüter virusu» termini 1984-cü ildə ABŞ-da keçirilən informasiya təhlükəsizliyi üzrə 7-ci konfransda Fred Koen tərəfindən işlədilmişdi. Kompüter viruslarının ümumi qəbul edilmiş tərifi yoxdur. Biz aşağıdakı tərifdən istifadə edəcəyik.

Kompüter virusu – elə proqramdır ki, özünü təxminən bioloji virus kimi aparır: çoxalır, maskalanır və ziyanlı təsirlər göstərir (əməliyyatlar yerinə yetirir).

Virusları aşağıdakı əlamətlərə görə təsnif etmək olar:

• yaşayış mühitinə görə: fayl virusları (com, exe, bat, doc virusları), yükləmə virusları, makro viruslar;
• yaşayış mühitini yoluxdurma üsuluna görə: rezident və qeyri-rezident;
• əməliyyat sisteminə görə: MS-DOS virusları, Windows virusları, *NIX virusları və s.;
• destruktiv imkanlarına görə: ziyansız, təhlükəsiz, təhlükəli, çox təhlükəli;
• virus alqoritminin xüsusiyyətlərinə görə: «tələbə» virusları, kompanyon-viruslar, «soxulcanlar» (worm), «stels»-viruslar («görünməz» viruslar), «polimorf»-viruslar (özüşifrlənən viruslar), şəbəkə virusları və s.

Kompüter viruslarının sayının artması ilk növbədə onunla bağlıdır ki, proqramlaşdırmanı bir qədər öyrəndikdən sonra istənilən şəxs virus yaza bilər. Bu işdə ona leqal və qeyri-leqal ədəbiyyat, virusların yazılması üçün xüsusi proqram təminatı kömək edə bilər. Hətta müxtəlif mutasiya generatorları mövcuddur ki, birinci kurs tələbəsinin yaratdığı sadə virusdan onun köməyi ilə mürəkkəb virus yaratmaq olar.

Virusların yayılması. Şəbəkə və kommunikasiya texnologiyalarında hər bir yenilik virusların yaradılması və yayılması üçün yeni imkanlar, yollar açır. Yaxın vaxtlara kimi viruslar disketlər və digər daşıyıcılar vasitəsi ilə yayılırdı, İnternet viruslar üçün geniş magistral açdı. Kompüter virusları Internetdə bioloci virusların real dünyada yayıdmasından daha sürətlə yayılır. 2003-cü ildə Slammer “soxulcanı” 10 dəqiqə ərzində 75 min kompüter yoluxdurmuşdu.

1999-cu ildə ilk dəfə dünya miqyasında virus epidemiyası yaranmışdı. Melissa virusu on minlərlə kompüteri yoluxdurmuş və 80 milyon dollar ziyan vurmuşdu. Bu insidentdən sonra dünyada antivirus proqramlara böyük tələb yarandı. 2000-ci ilin mayında Melissanın rekordunu bir neçə saat ərzində milyonlarla kompüteri yoluxdurmuş I Love You! virusu təzələdi.

Praktik olaraq virusla “yoluxdurmaq” mümkün olmayan fayl növü qalmamışdır. Artıq mobil telefonları və proqram təminatından istifadə edən dizər qurğuları yoluxduran viruslar da sürətlə yayılır.

Virus müəllifləri təkcə texnoloci zəifliklərdən deyil, “psixoloci” zəifliklərdən də istifadə edirlər. Tədqiqatlar göstərmişdir ki, Anna Kournikova, Sean Connery, Julia Roberts, Elvis Presley Lives, Explicit Hot Porn kimi viruslardan əziyyət çəkmiş hər beşinci İnternet istifadəçisi edilmiş xəbərdarlıqlara baxmayaraq həmin adlı qoşma faylları açmışdılar.

Antivirus proqramlarının növləri. Viruslarla mübarizə proqramlarının bir neçə növü var – skanerlər (başqa adı: faqlar, polifaqlar), disk müfəttişləri (CRC-skanerlər), rezident monitorlar və immunizatorlar.

Skanerlər. Antivirus skanerlərin iş prinsipi faylların və sistem yaddaşının yoxlanmasına və onlarda məlum və ya yeni (skanerə məlum olmayan) virusların axtarışına əsaslanır. Məlum virusların axtarışı üçün «maska»lardan istifadə edilir. Virusun maskası konkret virus üçün spesifik olan müəyyən sabit kodlar ardıcıllığıdır. Bir çox skanerlərdə həmçinin «evristik skanlama» alqoritmlərindən istifadə edilir, yəni yoxlanan obyektdə komandalar ardıcıllığı analiz edilir, müəyyən statistika toplanır və hər bir yoxlanan obyekt üçün qərar qəbul edilir («ola bilsin yoluxub» və ya «yoluxmayıb»).

Disk müfəttişləri. Disk müfəttişlərinin (CRC-skanerlərin) iş prinsipi diskdə olan fayllar və sistem sektorları üçün CRC-cəmlərin (nəzarət cəmlərinin) hesablanmasına əsaslanıb.

Rezident monitorlar. Rezident monitorlar – daim operativ yaddaşda yerləşən və disklə və operativ yaddaşla aparılan əməliyyatlara nəzarət edən proqramlardır. Məhz bu proqramlar sistemin real yoluxma anına kimi virusu aşkarlamağa imkan verir (əvvəlki ikisindən fərqli olaraq).

• qanunvericiliktədbirləri;
• inzibati tədbirlər;
• təşkilati tədbirlər;
• proqram-texniki tədbirlər.

• İnformasiya təhlükəsizliyinin pozucularına qarşı neqativ münasibət yaratmaq və onu dəstəkləmək;
• İnformasiya təhlükəsizliyi probleminin vacibliyini hər zaman qeyd etmək;
• resursları tədqiqatların ən mühüm istiqamətlərində cəmləşdirmək;
• təhsil fəaliyyətini koordinasiya etmək.

İnzibati tədbirlərin əsas məqsədi təşkilatda informasiya təhlükəsizliyi sahəsində tədbirlər proqramını formalaşdırmaq və onun yerinə yetirilməsini zəruri resurslar ayırmaqla və işlərin vəziyyətinə nəzarət etməklə yerinə yetirilməsini təmin etməkdir. Tədbirlər proqramının əsasını təşkilatın öz informasiya aktivlərinin mühafizəsinə yanaşmasını əks etdirən informasiya təhlükəsizliyi siyasəti təşkil edir.

İnformasiya təhlükəsizliyi siyasəti – təşkilatda məxfi verilənlərin və informasiya proseslərinin mühafizəsi üzrə qabaqlayıcı tədbirlər kompleksidir. İnformasiya təhlükəsizliyi siyasətinin işlənməsinin əsas istiqamətləri aşağıdakılardır:

1. Hansı verilənləri və hansı ciddiyyətlə mühafizə etmək lazım olduğunu müəyyənləşdirmək;

2. Müəssisəyə informasiya aspektində kimin və nə həcmdə ziyan vura biləcəyini müəyyənləşdirmək;
3. Risklərin hesablanması və onların qəbuledilən səviyyəyədək azaldılması sxeminin müəyyən edilməsi;
4. Planlaşdırılan bütün texniki və inzibati tədbirlərin təsviri;
5. Baxılan proqramın iqtisadi qiymətinin hesablanması;
6. Müəssisənin rəhbərliyi tərəfindən təsdiq olunma və sənədləşdirmə;
7. Həyata keçirilmə.

• şəxsi heyətin idarəolunması;
• fiziki mühafizə;
• sistemin iş qabiliyyətinin saxlanması;
• təhlükəsizlik rejiminin pozulmasına reaksiya;
• bərpa işlərinin planlaşdırılması.

İdentifikasiya və autentikasiya. İdentifikasiya (ingilis dilində identification) istifadəçiyə (və ya müəyyən istifadəçinin adından fəaliyyət göstərən prosesə) özünü adlandırmağa (öz adını bildirməyə) imkan verir.

Autentikasiya (ingilis dilində authentication) vasitəsi ilə ikinci tərəf əmin olur ki, subyekt doğrudan da özünü qələmə verdiyi şəxsdir. Autentikasiya sözünün sinonimi kimi çox vaxt “həqiqiliyin yoxlanması” işlədilir.

Subyekt aşağıdakı mənbələrdən ən azı birini təqdim etməklə özünün həqiqiliyini təsdiq edə bilər:

• bildiyi nəyi isə (parolu, şəxsi identifikasiya nömrəsi, kriptoqrafik açar);
• sahib olduğu nəyi isə (şəxsi kart və ya digər təyinatlı analoji qurğu);
• özünün tərkib hissəsi olan nəyi isə (səs, barmaq izləri və s., yəni özünün biometrik xarakteristikalarını).

Parolların ən başlıca nöqsanı onların elektron ələ keçirilməsidir. Praktik olaraq yeganə çıxış yolu rabitə xətləri ilə ötürülməzdən əvvəl parolların kriptoqrafik şifrələnməsidir. Aşağıdakı tədbirlər parol mühafizəsinin etibarını artırmağa xeyli imkan verir:

• texniki məhdudiyyətlər qoyulması (parol çox qısa olmamalıdır, parolda hərf, rəqəm, durğu işarələri olmalıdır və s.)
• parolun fəaliyyət müddətinin idarə olunması, onların vaxtaşırı dəyişdirilməsi;
• parollar faylına icazənin məhdudlaşdırılması;
• sistemə uğursuz daxilolma cəhdlərinin məhdudlaşdırılması;
• istifadəçilərin təlimatlandırılması;
• parol generasiya edən proqramların istifadəsi.

İcazələrin idarə edilməsi. İcazələrin idarə edilməsi subyektlərin (istifadəçi və proseslərin) obyektlər (informasiya və digər kompüter resursları) üzərində yetinə yetirə biləcəyi əməliyyatları müəyyən etməyə və onlara nəzarət etməyə imkan verir. İcazələrin məntiqi idarə edilməsi (icazələrin fiziki idarə edilməsindən fərqli olaraq) proqram vasitələri ilə realizə olunur.

Məsələnin formal qoyuluşuna baxaq. Subyektlər məcmusu və obyektlər toplusu var. İcazələrin məntiqi idarəolunması hər bir (subyekt, obyekt) cütü üçün yolverilən (mümkün) əməliyyatlar çoxluğunu müəyyən etməkdən və qoyulmuş qaydaların yerinə yetirilməsinə nəzarət etməkdən ibarətdir.

(Subyekt, obyekt) münasibətini cədvəl şəklində təsvir etmək olar. Jədvəlin sətirlərində subyektlər, sütunlarında obyektlər sadalanır. Sətir və sütunların kəsişdiyi xanalarda verilən icazə növləri və əlavə şərtlər (məsələn, vaxt və hərəkətin məkanı) yazılır.

İcazələrin məntiqi idarə edilməsi mövzusu – informasiya təhlükəsizliyi sahəsində ən mürəkkəb mövzudur. Səbəb ondadır ki, obyekt anlayışının özü (deməli icazə növləri də) servisdən servisə dəyişir. Əməliyyat sistemi üçün obyekt fayl, qurğu və prosesdir. Fayl və qurğular üçün adətən oxuma, yazma, yerinə yetirmə (proqram faylları üçün), bəzən də silmə və əlavə etmə hüquqlarına baxılır. Ayrıca hüquq kimi icazə səlahiyyətlərinin digər subyektlərə vermə imkanına baxıla bilər (sahiblik hüququ). Prosesləri yaratmaq və məhv etmək olar. Müasir əməliyyat sistemləri digər obyektlərin varlığını da mümkün edə bilər.

İcazə hüququna nəzarət proqram mühitinin müxtəlif komponentləri – əməliyyat sisteminin nüvəsi, əlavə təhlükəsizlik vasitələri, verilənlər bazasını idarəetmə sistemi, ara vasitəçi proqram təminatı (məsələn, tranzaksiyalar monitoru) tərəfindən həyata keçirilir.

Protokollaşdırma və audit. Protokollaşdırma dedikdə informasiya sistemində baş verən hadisələr haqqında məlumatın qeyd edilməsi və toplanması başa düşülür.

Audit – toplanan informasiyanın analizidir. Audit operativ (demək olar ki, real vaxtda) və ya dövri (məsələn, gündə bir dəfə) aparıla bilər.

Protokollaşdırma və auditin realizə olunması aşağıdakı məqsədləri güdür:

• istifadəçi və administratorların hesabat verməli olmasını təmin etmək;
• informasiya təhlükəsizliyini pozma cəhdlərinin aşkar olunması;
• problemlərin aşkar olunması və analizi üçün informasiyanın təqdim olunması.

Ekranlaşdırma. Ekranlaşdırma vacib təhlükəsizlik mexanizmlərindən biridir. Bu mexanizmin şəbəkələrarası ekran (ingilis termini firewall) adlanan realizələri olduqca geniş yayılıb.

Ekranlaşdırma məsələsinin qoyuluşu aşağıdakından ibarətdir. Tutaq ki, iki informasiya sistemi var. Ekran  bir çoxluqdan olan istifadəçilərin digər çoxluğun serverlərinə müraciətlərini nizamlayan vasitədir. Ekran öz funksiyalarını iki sistem arasındakı bütün informasiya axınına nəzarət etməklə yerinə yetirir ( şək. 1)

Ən sadə halda ekran iki mexanizmdən ibarətdir, onlardan biri verilənlərin yerdəyişməsini məhdudlaşdırır, digəri isə əksinə, bu yerdəyişməni həyata keçirir. Ən ümümi halda ekranı (yarımşəffaf pərdəni) süzgəclər (filtrlər) ardıcıllığı kimi təsəvvür etmək əlverişlidir. Süzgəclərdən hər biri verilənləri (tutub) saxlaya bilər, və ya onları dərhal “digər tərəfə” “ata bilər”. Bundan başqa, analizi davam etdirmək üçün verilənləri növbəti süzgəcə ötürmək, adresatın adından verilənləri emal edərək nəticəni göndərənə qaytarmaq olar.

Çox vaxt ekranı 7-səviyyəli OSI etalon modelinin üçüncü (şəbəkə), dördüncü (nəqliyyat) və ya yeddinci (tətbiqi) səviyyələrində realizə edirlər. Birinci halda ekranlaşdırıcı marşrutizator, ikinci halda  ekranlaşdırıcı nəqliyyat, üçüncü halda  ekranlaşdırıcı şlüz alınır. Hər bir yanaşmanın öz üstünlükləri və nöqsanları var; hibrid ekranlara da rast gəlinir, onlarda göstərilən yanaşmaların ən yaxşı cəhətlərini realizə etməyə çalışırlar.

Kriptoqrafiya. Müasir kriptoqrafiyanın predmeti informasiyanı bədniyyətlinin müəyyən əməllərindən mühafizə etmək üçün istifadə edilən informasiya çevirmələridir. Kriptoqrafiya konfidensiallığı, bütövlüyə nəzarəti, autentikasiyanı və müəlliflikdən imtinanın qeyri-mümkünlüyünü təmin etmək üçün tətbiq edilir.

«Kriptoqrafiya» sözü kryptos (‘gizli’) və graphos (‘yazı’) yunan sözlərindən yaranmışdır. Şifrləmə proseduru adətən müəyyən kriptoqrafik alqoritmdən və açardan istifadəni nəzərdə tutur. Kriptoqrafik alqoritm – məlumatların çevrilməsinin müəyyən üsuludur. Açar isə çevirmə üsulunu konkretləşdirir. Müasir kriptoqrafiya o prinsipdən çıxış edir ki, kriptoqrafik çevirmənin məxfiliyi yalnız açarın məxfi saxlanması ilə təmin edilməlidir.

İlk kriptosistemlər artıq bizim eranın əvvəlində meydana çıxır. Məsələn, məşhur Roma sərkərdəsi Yuli Sezar (e.ə. 100-44-cü illər) öz yazışmalarında indi onun adını daşıyan şifrdən istifadə edirdi. Müasir ingilis əlifbasına tətbiqdə bu şifr aşağıdakından ibarət idi. Adi əlifba yazılırdı, sonra onun altında həmin əlifba, lakin sola üç hərf dövri sürüşmə ilə yazılırdı:

Şifrləmə zamanı A hərfi D hərfi ilə, B hərfi E ilə və beləcə əvəz olunurdu. Məsələn: VENI VIDI VICI  YHQL YLGL YLFL. Şifrlənmiş məlumatı alan hərfləri ikinci sətirdə axtarırdı və onların üstündəki hərflərə görə ilkin mətni bərpa edirdi. Sezar şifrində açar əlifbanın ikinci sətrindəki sürüşmənin qiymətidir.

Ş
ifrləmənin simmetrik və asimmetrik adlanan iki əsas üsulu var. Simmetrik şifrləmə üsulunda eyni açar (gizli saxlanılan) həm məlumatı şifrləmək, həm də deşifrləmək üçün istifadə olunur. Şəkil 2 simmetrik şifrləmənin istifadəsini illüstrasiya edir. Olduqca effektiv (sürətli və etibarlı) simmetrik şifrləmə metodları var. Simmetrik şifrləmə alqoritmlərindən DES, 3-DES, IDEA, FEAL, Skipcack, RC2, RC4, RC5, CAST, Blowfish kimi blok şifrləri və bir sıra axın şifrləri (RC4, A5) daha geniş istifadə olunur.
Simmetrik şifrləmənin əsas nöqsanı ondan ibarətdir ki, məxfi açar həm göndərənə, həm də alana məlum olmalıdır. Bu bir tərəfdən məxfi açarların tam məxfi kanalla göndərilməsi problemini yaradır. Digər tərəfdən alan tərəf şifrlənmiş və deşifrlənmiş məlumatın varlığı əsasında bu məlumatı konkret göndərəndən almasını sübut edə bilməz. Çünki belə məlumatı o özü də yarada bilər.

Asimmetrik kriptoqrafiyada iki açardan istifadə olunur. Onlardan biri  açıq açar (sahibinin ünvanı ilə birlikdə nəşr oluna bilər) şifrləmə üçün istifadə olunur, digəri  gizli açar (yalnız alana məlum) deşifrləmə üçün istifadə olunur. Rəqəmsal imza alqoritmlərində gizli açar şifrləmə, açıq açar isə deşifrləmə üçün istifadə edilir. Açıq açara görə uyğun gizli açarın tapılması çox böyük həcmdə hesablamalar tələb edir, hesablama texnikasının hazırki inkişaf səviyyəsində bu məsələ qeyri-mümkün hesab edilir. Şəkil 3

asimmetrik şifrləmə sisteminin istifadəsini illüstrasiya edir. Asimmetrik şifrləmə alqoritmlərinə misal olaraq RSA, ElGamal, Şnorr və s. alqoritmlərini göstərmək olar.

Asimmetrik kriptoqrafiyanın əsas çatışmayan cəhəti sürətin aşağı olmasıdır. Buna görə onlar simmetrik metodlarla birgə işlədilir. Məsələn, açarların göndərilməsi məsələsini həll etmək üçün əvvəlcə məlumat təsadüfi açarla simmetrik metodla şifrlənir, sonra həmin təsadüfi açarı alan tərəfin açıq asimmetrik açarı ilə şifrləyirlər, bundan sonra məlumat və şifrlənmiş açar şəbəkə ilə ötürülür.

Asimmetrik metodlardan istifadə etdikdə, (istifadəçi, açıq açar) cütünün həqiqiliyinə zəmanət tələb olunur. Bu məsələnin həlli üçün rəqəmsal sertifikatdan istifadə edilir. Rəqəmsal sertifikat xüsusi sertifikasiya mərkəzləri tərəfindən verilir. Rəqəmsal sertifikatda aşağıdakı verilənlər olur: sertifikatın seriya nömrəsi; sertifikatın sahibinin adı; sertifikatın sahibinin açıq açarı; sertifikatın fəaliyyət müddəti; elektron imza alqoritminin identifikatoru; sertifikasiya mərkəzinin adı və s. Sertifikat onu verən sertifikasiya mərkəzinin rəqəmsal imzası ilə təsdiq edilir.

Bütövlüyə nəzarət üçün kriptoqrafik heş–funksiyalar istifadə edilir. Heş-funksiya adətən müəyyən alqoritm şəklində realizə edilir, belə alqoritm ixtiyari uzunluqlu məlumat üçün uzunluğu sabit heş-kod hesablamağa imkan verir. Praktikada 128 bit və daha artıq uzunluqda heş-kod generasiya edən heş-funksiyalardan istifadə edilir.

Heş-funksiyanın xassələri elədir ki, onun köməyi ilə alınan heş-kod məlumatla “möhkəm” bağlı olur. Məlumatın hətta bir biti dəyişdikdə belə heş-kodun bitlərinin yarısı dəyişir. Heş-funksiyaya misal olaraq MD2, MD4, MD5, RIPEMD, SHA1 və s. alqoritmlərini göstərmək olar.

Misal. ‘1234567890’ sətri üçün SHA1 heş-funksiya alqoritminin hesabladığı heş-kod 16-lıq say sistemində 01B307ACBA4F54F55AAFC33BB06BBBF6CA803E9A simvollar ardıcıllığıdır.
9.4. Elektron imza
Elektron imza elektron formada olan verilənlər blokudur, digər verilənlərlə (elektron sənəd, proqram faylları və s.) məntiqi əlaqəli olur və həmin verilənlərin müəllifini birqiymətli identifikasiya etməyə imkan verir.

Rəqəmsal imza elektron imzanın növlərindən biridir, müəllifin identifikasiyasından savayı bir neçə əlavə funksiyanı həyata keçirir. Rəqəmsal imza adətən asimmetrik kriptoqrafiyaya əsaslanır.

• məlumatın müəllifinin identifikasiyası və autentikasiyası;
• məlumatın bütövlüyünə nəzarət;
• məlumatın müəllifliyindən imtinanın qeyri-mümkünlüyünə zəmanət.

R
əqəmsal imzanın iş prinsipi. Açıq açarlı kriptoqrafiya əsasında rəqəmsal imzanın iş prinsipinə baxaq. Tutaq ki, hər hansı A istifadəçisi müəyyən məlumatı imzalamalıdır. Bunun üçün o, heş-funksiyanın köməyi ilə bu məlumatın heş-kodunu hesablayır və onu özünün gizli açarı ilə şifrləyir. Şifrlənmiş heş-kod məlumata
əlavə edilir. Beləliklə, məlumatın rəqəmsal imzası alınır. İmzanın yaradılması şəkil 4-də göstərilib.

Sistemin istənilən iştirakçısı imzalanmış sənədi aldıqda A istifadəçisinin imzasını yoxlaya bilər. Bunun üçün o, heş-funksiyanın köməyi ilə alınmış məlumatın heş-kodunu yaradır. Sonra məlumata birləşdirilmiş şifrlənmiş heş-kodu A istifadəçisinin açıq açarı ilə deşifrə edir və alınmış deşifrə edilmiş heş-kodu özünün yaratdığı heş-kodla müqayisə edir. Onlar üst-üstə düşürlərsə, imza həqiqi hesab olunur. Əks halda imza rədd olunur. Gizli açar yalnız A istifadəçisinə məxsus olduğundan aydındır ki, məlumatı da yalnız o imzalaya bilərdi. İmzanın yoxlanması şəkil 5-də göstərilib.

Ədəbiyyat
1. Галатенко В.А. Основы информационной безопасности, Москва, 2004. – 264 с.

2. Əliquliyev R.M., İmamverdiyev Y.N. Rəqəm imzası texnologiyası, Bakı, Elm, 2003. – 132 с.

Kompüter şbklri üzr informasiya xidmtlrinin tşkili

Kompüterin ilk vaxtlar yalnız riyazi hesablamalar üçün nəzərdə tutulmağına baxmayaraq hazırda insan fəaliyyətinin elə bir sahəsini tapmaq olmaz ki, orada bu qurğudan istifadə edilməsin. Halbuki, kompüter yalnız rəqəmlərlə ifadə olunmuş informasiyanı işləyə bilir və kompüterin yaddaşında rəqəmlərdən başqa heç bir digər simvol olmur. Odur ki, istənilən başqa informasiya kompüterə daxil edilərkən standart formaya salınır. Bütün növ informasiyalar çevrilərək kompüterin yaddaşında yalnız iki işarə – 0 və 1 rəqəmləri vasitəsilə ifadə olunmuş formada yazılaraq saxlanılır. Bu rəqəmlər ikilik say sisteminin əsasını təşkil etdiyi üçün informasiyanın belə təsvirinə onun ikilik təsviri deyilir.

Kompüterlərdə informasiyanın ikilik təsvirinin əsas səbəbi kompüterin elektriklə işləyən texniki qurğu olması və onda elektrik cərəyanının yuxarı gərginlikli (1) və aşağı gərginlikli (0) vəziyyətindən istifadə edilməsidir.

Kompüterdə verilənlər ikilik ədədlər şəklində təsvir edildiyindən maşına daxil edilən və ya kompüter vasitəsilə yaradılan istənilən tipli informasiyanın ikilik rəqəmlərdən ibarət xüsusi kodundan istifadə edilir. Bu kodlar müxtəlif standartlarda öz ifadəsini tapıb.

Kodlaşdırılmış informasiya kompüterin yaddaş qurğusunun oyuq (yuva) adlanan yaddaş hissələrində saxlanılır. Yaddaş oyuqlarının hamısı eyni quruluşludur. Oyuqlar hər birində bir dənə ikilik rəqəm yerləşə bilən mərtəbələrdən ibarətdir. Bütün oyuqlardakı mərtəbələrin sayı eynidir. Oyuqdakı mərtəbələrin sayına “maşın sözü uzunluğu” və ya “oyuğun uzunluğu” deyilir. Bir mərtəbədə yerləşə bilən informasiyanın miqdarına bit (ingiliscə binary digit – ikilik rəqəm sözundən) deyilir. Bit informasiyanın ən kiçik (elementar) ölçü vahididir. Yaddaş qurğusuna yazıla bilən informasiyadakı bitlərin sayına informasiyanın həcmi deyilir.

XX əsrin 60-cı illərinin ortalarınadək müxtəlif kompüterlər müxtəlif uzunluqlu “maşın sözü”ndən istifadə edirdilər. 1956-cı ildə Dr.Verner Baçholz IBM-360 kompüterləri ilə təqdim olunan 8-bitlik standart yaddaş ölçüsü üçün Bayt terminini işlətdi. İki bayt birlikdə bir söz adlanır.

1 bayt = 8 bit = 2 3 bit

Böyük həcmli informasiyaların ölçülməsi üçün baytın misil vahidlərindən də istifadə edilir. Hər misil vahidi özündən əvvəlki vahidddən 1024 dəfə böyükdür ki, bunu da ikilik əsasla göstərdikdə 2 10 alınır. Hal-hazırda praktikada əsasən aşağıdakı daha böyük informasiya ölçü vahidləri işlədilir:

Özündən əvvəlki