Индивидуальный проект на тему «Информационная безопасность»

Введение

У среднего старшеклассника в телефоне лежит электронный дневник, банковское приложение, к которому родители привязали карту для обедов, два-три мессенджера, игровой аккаунт с покупками и облако с фотографиями за несколько лет. Всё это защищено паролями, которые нередко совпадают. Когда в 1990-е годы родители нынешних школьников были подростками, угнать у человека всю его переписку и деньги одним сообщением было невозможно, а сейчас это обычная история из новостей. Принято думать, что молодые люди разбираются в технике лучше взрослых и потому в безопасности. Пользоваться приложениями они действительно умеют быстро, но как устроена ловушка в «сообщении от друга», знают далеко не все.

Слова «информационная безопасность» вызывают в воображении серверную комнату с мигающими лампочками и людей в наушниках. Для обычного человека всё гораздо прозаичнее: беда начинается с пароля «123456», который в списках самых популярных паролей, ежегодно публикуемых компаниями-разработчиками менеджеров паролей, много лет держится на первых строчках, или с одного поспешного нажатия на ссылку. Поэтому в проекте нет сложной криптографии. Есть попытка объяснить сверстникам несколько правил так, чтобы за каждым стояли пример или число, а не просто «будьте осторожны».

Проблема проекта: подростки активно пользуются цифровыми сервисами, но плохо представляют себе реальные угрозы и способы защиты. Объект: информационная безопасность личности в цифровой среде. Предмет: угрозы личной информации школьника и меры защиты от них.

Цель проекта — разработать для учащихся памятку по информационной безопасности, основанную на анализе угроз и расчёте стойкости паролей. Задачи: изучить понятие и принципы информационной безопасности; классифицировать основные угрозы для пользователя; познакомиться с правовыми основами защиты информации в России; рассчитать, как длина и состав пароля влияют на время его подбора; составить и оформить памятку.

Методы: анализ литературы и нормативных документов, классификация, математический расчёт, моделирование. Продукт проекта: памятка «Цифровая безопасность за десять шагов» в виде буклета и слайдов для классного часа.

Глава 1. Информационная безопасность: понятия, угрозы, защита

1.1 Что такое информационная безопасность

В специальной литературе информационную безопасность обычно описывают через три свойства информации, которые нужно сохранить. Эту схему часто называют триадой КЦД, а в англоязычных источниках CIA. Конфиденциальность означает, что информация доступна только тем, кому она предназначена: переписку читают её участники, а не посторонние. Целостность означает, что данные не изменены без разрешения: оценка в электронном журнале не исправлена злоумышленником. Доступность означает, что нужная информация доступна тогда, когда она нужна: сайт с расписанием экзаменов работает, а не лежит под атакой.

Удобство этой схемы в том, что любую угрозу можно отнести к нарушению одного из трёх свойств. Украденный пароль от почты бьёт по конфиденциальности, вирус-шифровальщик, сделавший файлы недоступными, по доступности, а подменённая ссылка в сообщении от «друга» обычно нарушает и то и другое. Для обычного пользователя эта теория оборачивается очень практичным вопросом: что именно я рискую потерять и кто от этого выиграет?

1.2 Основные угрозы для пользователя

Угроз в сети много, но большинство случаев, с которыми сталкиваются подростки, сводится к нескольким видам. Они перечислены в таблице 1 вместе с типичными признаками и простыми мерами защиты.

Таблица 1 — Основные угрозы для пользователя и меры защиты

Если присмотреться к таблице, в ней бросается в глаза одна деталь: настоящий технический «взлом» требуется только для вредоносных программ, а все остальные угрозы срабатывают потому, что человек сам открывает дверь. Кевин Митник, в 1990-е годы самый разыскиваемый хакер США, после тюремного срока стал консультантом по защите и написал книгу «Искусство обмана». Главная её мысль в том, что пароль проще выпросить, чем подобрать. Митник описывает, как звонил в компании, представлялся сотрудником технической поддержки и через несколько минут разговора получал доступ, на взлом которого ушли бы месяцы.

Фишинг заслуживает отдельного внимания, потому что он постоянно меняет облик. Ещё недавно это были неграмотные письма о выигрыше в лотерею, а теперь сообщение может прийти от взломанного аккаунта одноклассника с просьбой проголосовать за него в конкурсе. Ссылка ведёт на страницу, которая выглядит точно как вход в мессенджер, и человек сам вводит туда номер телефона и код. Через минуту аккаунт уже рассылает ту же просьбу всем его контактам.

Хорошая новость в том, что от большинства подобных атак защищает одна простая мера — двухфакторная аутентификация. Если кроме пароля для входа нужен ещё код из приложения или СМС, украденный пароль сам по себе ничего не даёт. Именно поэтому мошенники так настойчиво просят «продиктовать код»: без него вся их хитрость бесполезна. В памятке этому правилу отведено первое место.

1.3 Правовая защита информации в России

Защита информации в России регулируется несколькими законами. Основной из них — Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В нём определено, что такое информация, кто её обладатель и как ограничивается доступ к ней. В тот же день был подписан и закон № 152-ФЗ «О персональных данных». Персональными данными он называет любые сведения, относящиеся прямо или косвенно к определённому человеку, и обязывает тех, кто их собирает, получать согласие и обеспечивать защиту. Для подростка это значит вполне конкретную вещь: фамилия, адрес, номер телефона, фотографии принадлежат ему, и школа, секция или интернет-магазин не могут распоряжаться ими как вздумается. Согласие за детей до четырнадцати лет обычно дают родители.

Нарушителей ждёт и уголовная ответственность. Глава 28 Уголовного кодекса РФ «Преступления в сфере компьютерной информации» включает, в частности, статью 272 о неправомерном доступе к компьютерной информации и статью 273 о создании, использовании и распространении вредоносных компьютерных программ. Подростки иногда воспринимают «взлом» аккаунта знакомого как шутку, и полезно знать, что с точки зрения закона это может быть преступлением.

1.4 Расчёт стойкости паролей

Чтобы памятка не сводилась к общим словам «придумайте сложный пароль», в проекте выполнен небольшой расчёт. Число возможных паролей равно N в степени L, где N — количество допустимых символов, а L — длина пароля. Пароль из восьми цифр даёт 10⁸ вариантов, из восьми строчных латинских букв 26⁸, примерно 2 · 10¹¹, из восьми символов, включающих прописные и строчные буквы и цифры, 62⁸, примерно 2,2 · 10¹⁴, а при длине двенадцать символов с тем же алфавитом 62¹², около 3,2 · 10²¹. Порядок этих чисел показан на рисунке 1.

Если принять, что злоумышленник перебирает десять миллиардов вариантов в секунду (такую скорость для простых хеш-функций дают современные видеокарты), пароль из восьми цифр подбирается за сотую долю секунды, из восьми строчных букв примерно за двадцать секунд, из восьми букв разного регистра и цифр за шесть часов, а двенадцатисимвольный пароль потребует около десяти тысяч лет. Отсюда главный практический вывод проекта: длина пароля важнее экзотических символов, и короткая фраза из нескольких слов защищает лучше, чем «P@ssw0rd».