CC BY
43
Секция «Методы и средства зашиты информации»
УДК 004.056
В. С. Фейгин Научный руководитель - В. А. Терсков Сибирский государственный аэрокосмический университет имени академика М. Ф. Решетнева, Красноярск
РЕШЕНИЕ ЗАДАЧИ ОБЕСПЕЧЕНИЯ ЗАДАННОЙ ПРОИЗВОДИТЕЛЬНОСТИ ВЫЧИСЛИТЕЛЬНЫХ КОМПЛЕКСОВ ПРИ ПОСТРОЕНИИ ЗАЩИЩЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМ
Проводится анализ необходимости применения в информационных системах многопроцессорных вычислительных систем. Предлагается подход для автоматизации процесса выбора эффективной конфигурации разнородных многопроцессорных вычислительных систем.
Современные информационные системы (ИС) характеризуются большим количеством пользователей и высокими вычислительными мощностями. В настоящее время, для информационных систем неотъемлемой частью их функционирования является обеспечение безопасности обрабатываемой информации и выполняемого системой информационного процесса.
Реализация обеспечения информационной безопасности требует отвлечения определенного количества вычислительной мощности информационной системы. В различных ИС ресурсы на обеспечение надежности и безопасности могут составлять от 5-20 % до 100-300 % от ресурсов, используемых на решение функциональных задач, то есть в некоторых случаях для систем реального времени они могут превышать последние в 2-4 раза [1]. При этом для выполнения основного алгоритма информационной системы должен сохраняться заданный уровень производительности.
Для повышения уровня производительности и надежности ИС возможны два подхода: либо изменение в программной части, либо в аппаратной.
Повысить производительность программно можно за счет оптимизации программного кода, разработки новых алгоритмов, реорганизации вычислительных процессов и т. д.
Для аппаратного повышения производительности вычислительной системы требуется изменение архитектуры аппаратной части вычислительных средств. На сегодняшний день активно применяется подход перехода от однопроцессорных архитектур к многопроцессорным вычислительным системам (МВС). Такой подход позволяет повысить производительность за счет организации параллельных процессов и вычислений, а так же позволяет повысить надежность за счет резервирования элементов аппаратной составляющей ИС. Также повысить производительность можно используя специализацию процессоров на выполнение часто встречающихся и занимающих наибольшее время при выполнении операций, т. е. разрабатывать разнородные МВС [2].
Применение при обеспечении информационной безопасности средств криптографической защиты требует значительных вычислительных ресурсов. В то же время, алгоритмы шифрования содержат в себе повторение большого количества ресурсоемких операций. Применение их аппаратной реализации позволит существенно снизить нагрузку на процессоры, выполняющие основной информационный процесс.
С другой стороны, это так же позволит снизить временные затраты на работу средств криптографической защиты, и, следовательно, ускорить информационный обмен.
Подход с разработкой разнородных МВС приводит к появлению необходимости предварительной оценки и выбора эффективной конфигурации аппаратной части МВС. Такие решения, как правило, принимаются проектировщиками на основе их богатого опыта и интуиции. Однако, поскольку полный перебор всех возможных вариантов архитектуры МВС невозможен за приемлемое время, существует необходимость создания систем поддержки принятия решений (СППР) для автоматизации процесса принятия промежуточных решений и предварительного отбора вариантов конфигураций вычислительной системы. Поэтому создание таких СППР является актуальной проблемой в настоящее время [2].
При детализации процессов проектирования возникают задачи выбора эффективных вариантов, обладающих наилучшими значениями критериев качества. Свойства возникающих оптимизационных задач: мно-гокритериальность с противоречивыми критериями, наличие существенных ограничений, разношкаль-ность, алгоритмическое задание целевой функции. Оптимизационные задачи такого класса должны решаться методами прямого поиска [2].
Анализ появившихся в последнее время подходов к решению сложных задач многокритериальной оптимизации позволяет прийти к заключению о том, что методы математического программирования и человеко-машинные процедуры, применяемые для многокритериальной оптимизации, в основном себя исчерпали и не дают возможности дальнейшего продвижения по мере усложнения решаемых задач. Очевидно так же, что перспективным подходом для использования в качестве основной оптимизационной процедуры являются эволюционные алгоритмы.
При создании СППР поиска эффективной конфигурации необходимо решить следующие задачи:
• разработать и протестировать программную реализацию генетического алгоритма;
• разработать программную систему выбора эффективного варианта МВС.
Данная система основана на моделях и алгоритмах, предложенных в работе [2]. Она позволяет выполнять оценку основных показателей качества специализированных МВС как по аналитическим, так и по имитационным моделям, а также осуществлять
Актуальные проблемы авиации и космонавтики. Информационные технологии
выбор оптимальной структуры МВС с помощью комплекса алгоритмов адаптивного поиска. В результате работы системы поддержки принятия решений пользователь получает набор структур специализированных МВС, эффективно и надежно решающих задачу построения защищенных информационных систем.
Библиографические ссылки
1. Липаев В. В. Основные факторы, определяющие технологическую безопасность информационных
систем URL: http://www.info-
system.ru/security/security_pr_tech_security.html (дата обращения: 10.09.2011).
2. Терсков В. А. Модели функционирования и методы оптимизации структуры многопроцессорных вычислительных систем : монография. Красноярск : Сиб. юрид. ин-т МВД России, 2001.
© Фейгин В. С., 2012
УДК 004.45
А. С. Хеирхабаров Научный руководитель - В. Г. Жуков Сибирский государственный аэрокосмический университет имени академика М. Ф. Решетнева, Красноярск
БЕЗОПАСНОСТЬ HTML5
HTML5 - новый стандарт языка разметки документов в сети Интернет. В докладе рассмотрены некоторые новые возможности, появившиеся в HTML5, с точки зрения безопасности.
Принятие ИТМЬ5(англ.
HyperTextMarkupLanguage, version 5) как всеобщего стандарта намечено на 2022 год, но некоторые из его спецификаций уже поддерживаются новыми версиями браузеров и используются на многих сайтах. Однако такие нововведения, как Cross-OriginResourceSharing, WebSQL, WebMessaging и другие дают новые возможности для разработчиков, и в то же время порождают новые векторы атак для злоумышленников.
В HTML5 вводится концепция локального хранилища под названием WebStorage, позволяющая сайту сохранять данные на компьютере пользователя и впоследствии обращаться к ним через JavaScript. Выделяют два типа веб-хранилищ: локальные (могут содержать любые текстовые данные и хранятся до тех пор, пока не будут явно удалены пользователем или веб-приложением) и сессионные (аналогичны локальным, за исключением того, что данные удаляются после закрытия браузера или вкладки в нем). Для каждого домена создается отдельное хранилище. В отличие от cookie, которые имеют максимальный допустимый размер 4 кб и имеют срок хранения, данные в Web Storage не имеют срока хранения, а также защищены политикой ограничения домена, т. е. куки, принадлежащие одному сайту, не могут быть доступны другому, даже если они находятся на одном сервере. Проблема безопасности заключается в том, что эти данные пользователь не может считать напрямую, они доступны только веб-браузерам через интерфейс Java Script API. Это повышает риски от уязвимостей вида XSS (Cross Site Scripting), в том числе возможность заполучить аутентификационные данные [1]. Кроме того, есть вероятность, что злоумышленник внедрит JavaScript сценарий, способный манипулировать данными или переслать их на другой домен [2]. Также, аналогично использованию куки, локальные хранилища можно использовать для идентификация пользователей и DNS-спуфинг атак [1].
Для решения некоторых проблем, связанных с WebStorage, следует:
- для поддержки сессий следует использовать куки, которые могут быть лучше защищены с помощью флага HTTPonly [3];
- не хранить конфиденциальные данные в локальном хранилище;
- разделять данные для приложений, находящихся на одном домене [2];
Ещё одним нововведением HTML5 является Cross-Origin Resource Sharing (CORS), что дает возможность сайтам получать доступ к ресурсам на других доменах. HTML5 позволяет посылать XML Http Request-запросы между доменами на основе заголовка Access-Control-Allow-Origin [4]. Эти запросы передаются без уведомления пользователя, что является достаточно серьезной проблемой безопасности. CORSможет использоваться злоумышленниками для отсылки конфиденциальных данных на свои сервера, запуска удаленного шелл-кода на пользовательском агенте, поиска существующих доменных имен во внутренних се-тях(на основании времени ответа на XML Http Re-quest-запросы), создания ботнета или, комбинируя с WebWorker, для DDoS-атак. Такжес помощью CORSможет быть реализована уже существующая угроза Cross-Site-Request-Forgery, но уже без участия пользователя [2,5].Некоторые риски, связанные с угрозой, можно избежать следующими способами:
- ограничение доменов, имеющих право делать XMLHttpRequest-запросы;
- не проводить контроль доступа только по заголовку Access-Control-Allow-Origin;
- настройка Web Application Firewall (WAF) на фильтрацию слишком частых CORS-запросов [2].
Web Messaging - ещё одна новая возможность в HTML5 - реализует два механизма коммуникации между HTMLдокументами. Перекрестный обмен данными позволяет документам обмениваться сообщениями независимо от их исходного домена, при этом
