0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Шифрование данных : статьи сайта

Содержание

Шифрование данных на PHP

Дата публикации: 2013-11-18

От автора: в данном уроке мы с Вами рассмотрим шифрование данных стандартными средствами языка PHP. Так как при создании различных скриптов очень часто возникает задача шифрования данных. К примеру, важную информацию, которую необходимо сохранить в куках, можно зашифровать для повышения безопасности сайта.

Введение

В данном уроке мы с Вами не будем рассматривать все теоретические моменты процесса шифрования данных, так как для этого понадобиться несколько уроков. Мы изучим только основы, но их полнее будет достаточно, что бы Вы смогли зашифровать данные и выполнить их расшифровку.

Шифрование бывает двух видов: однонаправленное – когда данные можно только зашифровать, а расшифровать нельзя (к примеру, шифрование md5) и двунаправленное – когда есть возможность, как зашифровать, так и расшифровать данные. В данном уроке мы будем использовать двунаправленное шифрование. Для работы с шифрованием в языке PHP разработано расширение под названием mcrypt, которое позволяет шифровать данные используя различные алгоритмы шифрования (шифры).

Бесплатный курс по PHP программированию

Освойте курс и узнайте, как создать динамичный сайт на PHP и MySQL с полного нуля, используя модель MVC

В курсе 39 уроков | 15 часов видео | исходники для каждого урока

Хочу сразу сказать ,что не стоит самому придумывать свой алгоритм шифрования.

Так как шифрование данных – это целая наука и при создании собственного алгоритма, Вы можете не учесть множество различных моментов. Что приведет к уязвимости зашифрованных данных и возможно к взлому их злоумышленниками. Лучше всего использовать уже готовые алгоритмы, которые очень надежны и, так сказать, проверены временем. Алгоритм шифрования – это собственно то, каким образом будут зашифрованы данные.

Каждый алгоритм поддерживает различные режимы шифрования. Режим шифрование – это метод применения блочного шифра, который позволяет преобразовать последовательность блоков исходного текста, который шифруется, в последовательность блоков зашифрованных данных. При этом при шифровании могут использоваться данные других блоков. Мы с Вами будем использовать один из лучших режимов шифрования — MCRYPT_MODE_CFB. Данный режим, еще называют режимом обратной связи по шифрованному тексту, т.е — это такой вариант использования блочного шифра, при котором для зашифровки следующего блока текста используется результат зашифровки предыдущего блока.

Полную документацию, по расширению mcrypt можно посмотреть на официальном сайте интерпретатора языка PHP, по адресу: http://us3.php.net/manual/ru/book.mcrypt.php

Полный перечень всех алгоритмов шифрования можно посмотреть по следующей ссылке: http://us3.php.net/manual/ru/mcrypt.ciphers.php

Теперь давайте приступим к шифрованию данных.

Шифрование данных

Для начала давайте создадим небольшую форму для ввода текста, подлежащего шифрованию:

Как зашифровать любые данные. Часть 1

В наше время предприятия малого бизнеса зачастую пренебрегают защитой информации. Крупные корпорации, как правило, имеют свои собственные IT подразделения, мощную техническую поддержку и передовые аппаратные средства.

Небольшие компании обычно полагаются на потребительское ПО, которое может иметь существенные недостатки в обеспечении безопасности данных. Тем не менее, информация в маленьких организациях также очень важна и нуждается в полноценной защите.

Шифрование данных – отличное средство для сохранения безопасности ценной информации при передаче данных через интернет, резервном копировании на облачных серверах или при хранении информации на ноутбуке, которому предстоит проверка в аэропорту.

Шифрование данных предотвращает просмотр конфиденциальной информации для всех посторонних лиц, кроме вас и вашего законного представителя. Большинство программ, используемых в офисах и на домашних компьютерах имеют встроенные средства для шифрования данных. В данной статье рассмотрим, где их найти и как ими воспользоваться.

Немного о паролях

Любое обсуждение методов шифрования должно начинаться с совсем другой темы – сложность пароля. Большинство способов шифрования данных требуют ввода пароля для последующего шифрования и дешифрования при повторном просмотре. При использовании слабого пароля, злоумышленник сможет подобрать его и дешифровать файл, а это сведет на нет весь смысл шифрования.

Сложный пароль должен состоять как минимум из 10 символов, 12 символов гораздо лучше. Он должен включать случайную последовательность заглавных букв, строчных букв, цифр и символов. Если для Вас гораздо удобнее запоминать буквы, используйте пароль из 20 символов или более, и он будет безопасным в этом случае.

Если Вы не уверены в безопасности своего пароля, используйте для проверки онлайн-утилиту Secure Password Check от Kaspersky.

Полное шифрование логических дисков

Большинство пользователей Windows защищают свою учетную запись паролем. Данное действие не защитит Ваши данные при краже компьютера или жесткого диска. Злоумышленник сможет напрямую обратиться к данным на жестком диске посредством другой ОС. Если Вы храните большой объем важных конфиденциальных данных разумней всего воспользоваться шифрованием всего диска, чтобы защититься при краже устройств.

Инструментарий от корпорации Microsoft под названием BitLocker позволяет очень просто производить шифрование всего жесткого диска при выполнении двух условий:

1. Вы – обладатель лицензии Ultimate или Enterprise систем Windows 7 или Vista или лицензии Pro или Enterprise в случае с Windows 8

2. Ваш компьютер оснащен чипом TRM (Trusted Platform Module) – специальным криптопроцессором, содержащим криптографические ключи для защиты

Чтобы проверить наличие TRM, запустите BitLocker. Windows автоматически проинформирует вас в случае отсутствия данного модуля при попытке включения шифрования. Чтобы активировать BitLocker проследуйте Панель управления -> Система и безопасность -> Шифрование диска BitLocker или выполните поиск с запросом «Bitlocker» на Windows 8.

В главном меню Bitlocker выберите опцию «Включить BitLocker» рядом с требуемым для шифрования диском. Если Ваш ПК не отвечает требованиям BitLocker Вы по-прежнему можете воспользоваться программами TrueCrypt или DiskCryptor для шифрования целых разделов (подробнее о способах шифрования с помощью TrueCrypt можно ознакомиться во второй части статьи).

Шифрование внешних жестких дисков и USB-накопителей

Для полного шифрования флешек и переносных винчестеров Вы можете использовать инструмент Bitlocker To Go, который специально разработан для переносных устройств. Для работы Вам также необходимы Pro и Enterprise лицензии операционной системы, однако модуль TRM уже не требуется.

Для успешного выполнения шифрования просто вставьте устройство, проследуйте в меню BitLocker и внизу окна выберите опцию «Включить BitLocker» рядом с иконкой желаемого носителя данных.

Шифрование интернет-трафика

Иногда требуется зашифровать входящий и исходящий интернет-трафик. Если вы работаете с использованием небезопасного беспроводного соединения Wi-Fi (например в аэропорту), злоумышленник может перехватить конфиденциальные данные с вашего ноутбука. Чтобы предотвратить эту возможность, Вы можете воспользоваться шифрованием с помощью технологии VPN.

Виртуальная частная сеть создает безопасный «туннель» между вашим компьютером и защищенным сторонним сервер. Данные, проходя через этот «туннель» (как исходящая, так и входящая информация) подвергаются шифрованию, что позволит обезопасить их даже в случае перехвата.

Сейчас доступно большое количество сетей VPN с небольшой месячной платой за использование (например, Comodo TrustConnect или CyberGhost VPN). Вы также можете настроить свою собственную частную сеть для личных или бизнес нужд. Процесс выбора и настройки VPN довольно длительный, подробней на нем останавливаться не будем.

Шифрование данных на облачных серверах, например, Dropbox

Если Вы используете Dropbox или SugarSync, cпешим вас обрадовать – данные сервисы имеют встроенные средства для автоматического шифрования данных для защиты их во время перемещения или хранения на серверах. К сожалению, эти сервисы также содержат ключи для дешифрования данных, эта необходимость продиктована законодательно.

Если вы храните конфиденциальную информацию в онлайн сервисах, используйте дополнительный уровень шифрования для защиты данных от посторонних глаз. Наиболее эффективным методом является использованиe TrueCrypt для создания зашифрованного тома непосредственно внутри Dropbox аккаунта.

Если Вы хотите иметь доступ к данных с других компьютеров, просто загрузите переносную версию TrueCrypt в ваше хранилище Dropbox. Для этих целей при установке в меню программы TrueCrypt выберите опцию «Extract» и укажите место в вашем онлайн хранилище.

По материалам интернет-портала PCWorld

Краткий справочник анонима. Виды шифрования и защиты трафика, выбор софта

Содержание статьи

Справочник анонима

Статьи из этого цикла публикуются бесплатно и доступны всем. Мы убеждены, что каждый имеет право на базовые знания о защите своих данных.

Другие статьи цикла:

Если для тебя эти материалы тривиальны — отлично! Но ты сделаешь доброе дело, отправив ссылку на них своим друзьям, знакомым и родственникам, менее подкованным в технических вопросах.

Прокси-серверы

Прокси-серверы — самый доступный способ анонимизировать трафик: они дешевы и широко распространены. Их принцип работы очень прост: прокси — это почтальон, который доставляет конверты с письмами вместо тебя, аккуратно стирая имя отправителя, и возвращает ответ лично тебе в руки.

Изначально эта технология была призвана защищать внутренние корпоративные сети от остального интернета (сотрудники получали доступ из внутренней сети в интернет через шлюз), но стала исторически первым способом анонимизировать трафик.

Схема работы прокси-сервера

Работая через прокси, компьютер все свои запросы перенаправляет через посредника (прокси-сервер), и уже посредник, представляясь твоим компьютером, запрашивает данные у сайтов. Прокси-серверы узкоспециализированы, поэтому на каждый тип интернет-соединения имеется свой тип прокси. Например, для FTP (File Transfer Protocol) есть FTP-прокси. Подробно мы разберем три типа прокси-серверов.

HTTP и HTTPS могут работать только с запросами HTTP, а вся разница между ними в том, что HTTPS шифрует передаваемые данные, а HTTP — нет. Поэтому прокси HTTP не рекомендуются к пользованию, они могут лишь менять адрес IP, а данные защитить они неспособны. Также будь осторожен с выбором самого прокси-сервера, так как некоторые не только не защитят твои данные, но и могут раскрыть личность.

Обращай внимание на тип сервера — transparent proxy или anonymous proxy. Первые не будут скрывать твою личность!

Использовать такой прокси несложно: найди в интернете или создай сервер, которому сможешь доверять, и, открыв настройки браузера (доступ к сети), введи данные.

Читать еще:  Целостность системных файлов » Как установить Windows 10

Тип SOCKS применяется в тех приложениях, которые либо не используют HTTP и HTTPS, либо не имеют встроенной поддержки прокси-серверов. В отличие от предыдущего типа, этот априори не будет публиковать твой IP, поэтому об анонимности можно не беспокоиться. Однако SOCKS сам по себе не предоставляет никакого шифрования, это лишь транспортный протокол. Чтобы применять его, есть, например, утилита Shadowsocks.

SOCKS4 и SOCKS5 — это разные версии серверов. Убедительно рекомендую использовать пятую версию, так как она имеет много возможностей и более безопасна. Например, поддерживает использование логина и пароля, запросы DNS. А лучше даже использовать Shadowsocks — это SOCKS5 на стероидах. Тут есть и мощное шифрование, и скрытие трафика, и возможность обходить различные блокировки. Есть клиенты как для компьютера, так и для смартфона, позволяющие оставаться под защитой постоянно.

Чтобы начать использовать SOCKS в привычных программах, не нужно ничего особенного. В Firefox и µTorrent эта функция встроена и доступна в настройках. Для Google Chrome есть расширение Proxy Helper. Можно воспользоваться универсальными программами вроде SocksCap или ProxyCap.

Список множества бесплатных HTTP, HTTPS и SOCKS прокси-серверов можно найти либо с помощью поиска, либо в Википедии.

VPN (Virtual Private Network — виртуальная частная сеть) также изначально не задумывалась как средство защиты и анонимизации трафика. Ее задачей было объединить компьютеры в единую сеть, даже если они находятся за множество километров друг от друга. Ключевой особенностью стало то, что соединения VPN всегда защищались шифрованием, так как использовались в корпорациях и позволяли подключать несколько филиалов к головному офису.

VPN имеет два режима: объединение двух локальных сетей между собой через интернет и подключение отдельного компьютера к удаленной локальной сети (удаленный доступ). Последний и послужил основой для некоммерческого, персонального варианта. Защита данных в соединении VPN предоставляется двумя техниками, которые зачастую используются вместе:

  • PPP (Point-to-Point Protocol) используется для защиты на уровне канала данных, то есть на самом низком из возможных. Его задача — обеспечить стабильное соединение между двумя точками в интернете, а также предоставить шифрование и аутентификацию.
  • PPTP (Point-to-Point Tunneling Protocol) является расширением и дополнением PPP. Для работы этого протокола устанавливается два соединения — основное и управляющее.

Из-за того что придуман этот протокол был в далеком 1999 году его безопасность оставляет желать лучшего. Ни один из методов шифрования, работающих с PPTP, не устойчив. Часть из них подвержена расшифровке даже в автоматическом режиме. Потому я не советую использовать PPTP. Этот протокол имеет серьезные уязвимости как в аутентификации, так и в шифровании и позволяет злоумышленнику очень быстро вскрыть канал и получить доступ к данным.

Более новый способ создания соединения — еще один протокол, построенный поверх PPP, — L2TP (Layer 2 Tunneling Protocol). Цель этого протокола — не столько защитить соединение, сколько полностью регламентировать процесс сообщения компьютеров в сети. Данный протокол, кроме создания соединений VPN, также используется, например, для подключения банкоматов к офисам банков, что служит некоторой гарантией. Хотя и стоит учесть, что собственного шифрования у L2TP нет.

L2TP не защищает сами данные, передаваемые в его рамках. Для этого обычно используется протокол IPsec (IP security). Он призван защищать содержимое пакетов IP и благодаря этому может шифровать любые виды соединений. Для VPN из двух возможных режимов используется лишь туннельный, защищающий не только данные передаваемого пакета в сети, но и его заголовки. Благодаря этому со стороны не будет видно, кто отправитель данных.

IKE и IKEv2 (Internet Key Exchange) — строгие алгоритмы шифрования и защиты данных, передаваемых по информационному каналу. Используется исключительно с IPsec, так как является его защитным слоем — именно благодаря IKE данные в соединении остаются под замком. В общем-то, эти алгоритмы и послужили основой для развития всех современных средств и утилит создания соединений VPN, но настало время поговорить о том, что и из чего выбирать.

С распространением SSL и TLS протокол PPP был расширен до SSTP (Secure Socket Tunneling Protocol) и в таком виде работает не через открытое соединение, а по SSL. Это гарантирует надежное шифрование и защиту от потери пакетов. Но стоит учитывать, что SSTP был разработан в Microsoft, а Microsoft сотрудничает с правительствами, поэтому доверять SSTP можно только с учетом этого.

OpenVPN — самое популярное решение для создания защищенного соединения. Этот протокол открыт и предоставляет самую серьезную защиту, поэтому ему можно доверять. Настройка соединения вряд ли займет больше пары минут.

SoftEther — мультиклиент для работы как с описанными выше протоколами, включая OpenVPN, так и со своим собственным, не менее безопасным, чем OpenVPN.

В таблице ниже — небольшое резюме по этим решениям.

Сравнение протоколов VPN

Tor (The Onion Router) — одно из лучших средств для обеспечения анонимности в Сети. Схема работы подразумевает трехкратную защиту данных и анонимизацию трафика.

Как описано в самом названии, Tor использует так называемую луковую маршрутизацию: твои данные — это сердцевина лука, а их защита — слои вокруг. Так, каждый из промежуточных серверов Tor снимает свой слой защиты, и только третий, последний из них, достает сердцевину и отправляет запрос в интернет.

Схема работы компьютера в сети Tor

Работу всей системы обеспечивают тысячи энтузиастов по всему миру, борющиеся за права человека и приватность. Благодаря этому для каждого отдельного сайта строится собственная цепочка промежуточных серверов Tor, что дает полную защиту: каждый сайт — новая личность.

Большой плюс Tor — стабильность работы и большая забота об анонимности: благодаря усердиям многих специалистов он работает даже в Китае, стране, которая широко известна своим строжайшим подходом к блокировкам и наказаниями за их обход.

Для упрощения жизни пользователям разработчики создали Tor Browser, основанный на Firefox, и улучшили его дополнениями, запрещающими сайтам следить за тобой. Например, HTTPS Everywhere заставляет веб-сайты использовать шифрование, а NoScript отключает выполнение скриптов на странице, фактически запрещая собирать любые данные пользователя.

Скачать Tor, как и прилагающийся к нему браузер, можно на официальном сайте проекта Tor Project.

К сожалению, все эти средства могут оказаться бесполезными, если твой провайдер начал блокировки с применением DPI (Deep Packet Inspection) — системы глубокого анализа сетевого трафика. Цель DPI — отбрасывать все, что не похоже на работу обычного человека за обычным компьютером, то есть блокировать любую подозрительную активность. А все способы анонимизации трафика априори подозрительны, поэтому программы зачастую дают сбои или в принципе отказываются работать.

Но и с этим можно бороться. Почти для каждой из описанных возможностей защищать канал связи есть надстройки, помогающие обходить зоркое око анализаторов DPI. Например, Shadowsocks имеет встроенную защиту от DPI и притворяется, что выполняет обычное подключение к удаленному серверу.

OpenVPN сам по себе легко различим, но stunnel позволяет также обойти анализ пакетов. Stunnel маскирует канал VPN под соединение SSL, которое с виду безобидно: это может быть и простой браузер, который обращается к сайту по HTTPS. Благодаря этому заблокировать такой туннель непросто. Если перестараться, можно заблокировать вообще все.

Обходить DPI также помогает tls-crypt, режим, введенный в версии OpenVPN 2.4, который шифрует трафик VPN.

Создатели Tor Browser специально работают над обходом средств анализа DPI. При подключении к сети Tor можно воспользоваться транспортом-прослойкой, которая обеспечивает беспрепятственное подключение к первому серверу защищенной сети. Этот транспорт можно либо выбрать из списка (это общедоступные серверы), либо получить персональный на официальном сайте Tor Bridges.

Лучше всего себя показывает obfs4 — это обфускатор, перемешивающий передаваемые данные так, что в сети их нельзя определить. DPI обычно пропускает такие пакеты, поскольку не может предположить, что находится внутри.

Еще есть несколько программ, которые пытаются тем или иным способом обмануть анализ пакетов, например разбивая их на мелкие части или меняя заголовки. В их числе GoodbyeDPI или Green Tunnel с простым графическим интерфейсом — они не скрывают ни IP, ни данные, но обходят блокировку.

Кардинальным решением можно считать проект Streisand, его русское описание есть на GitHub. Это палочка-выручалочка в мире безопасности данных. Эта утилита всего за несколько минут развертывает и настраивает на удаленном сервере сразу несколько сервисов для защиты данных, а также дает подробную инструкцию по ним.

Для сохранения нашей с тобой интернет-безопасности и анонимности придумано множество технологий самого разного уровня. Часть из них проверена временем, другая помогает против новейших методов цензуры. Благодаря этому мы еще можем оставаться невидимыми, нужно лишь не забывать пользоваться этой возможностью.

Шифрование доменной почты: особенности и преимущества

Большинство пользователей не задумывается о том факте, что электронная почта в традиционном понимании практически лишена защиты. Ярким подтверждением этому являются различные скандалы, которые периодически будоражат читателей соответствующих СМИ. Если задаться целью незаконным путём снять данные с почтового сервера, не обладающего дополнительной защитой, то всё получится без особых проблем.

В основном, проблема безопасности почты связана с её отсутствием. Ведь принципы современной электронной почты были разработаны без малого полвека назад, во времена, когда о краже информации ещё никто не задумывался. В настоящее время, большинство почтовых серверов бесплатного сегмента рынка ничем не отличаются от своих предков. Изменился только лишь внешний вид почтового сервиса, а основные принципы остались прежними. Непосредственно протокол передачи данных, который используется при передаче электронных сообщений, ничем не защищён. Даже его название, SMTP (простой почтовый протокол), говорит о простоте и отсутствии защиты. Поэтому, при использовании корпоративной почты на одном из популярных бесплатных доменов, не стоит ожидать какой-либо защиты информации. Взломать такую почту можно так же, как и почтовый адрес простого пользователя.

В данной ситуации есть только один способ защитить корпоративные данные — использование шифрования. Этот способ применяют представители платных почтовых серверов, которые озабочены защитой информации своих клиентов очень серьёзно. Защищённые почтовые протоколы активно используются для того, чтобы обезопасить доступ к хостингу корпоративной почты. В этом случае можно обезопасить себя от взломщиков, для которых незащищенную почту взломать не представляет труда.

Серьезным инструментом для организации бизнес-процессов служит корпоративная почта на домене компании. В этом случае используются не только функции передачи электронных сообщений, но и другие возможности, в том числе планировщики задач, корпоративная связь и так далее. В этом случае злоумышленникам будет достаточно получить доступ к аккаунту администратора, который находится на стороне пользователя, чтобы взломать всю корпоративную почту. Бесплатные почтовые сервисы без проблем обеспечат такой доступ благодаря отсутствию защиты учетной записи администратора. В дальнейшем, через «админку» можно легко получить доступ к деловой переписке, финансовой информации, отчётности. Коммерческие поставщики услуг хостинга, в первую очередь, стремятся обеспечить защиту протокола доступа подключения администратора. В частности, для этих целей применяется технология HTTPS. В случае использования бесплатной корпоративной почты нет даже такой распространенной защиты доступа.

Выбор домена для почты

Одна из наиболее распространенных доменных зон «.com», в определённый момент оказалась перенасыщенной и перестала обеспечивать возможность регистрации адресов. Тогда на рынок вышли доменные зоны национальных сегментов. При этом не всегда регистрация в национальной доменной зоне удобна. Проблема заключается в том, что почта с доменом должна иметь адрес из символов одного алфавита. Славянам или арабам приходилось перекодировать названия сайтов или же подбирать эквиваленты из латинских букв. Поэтому правильный выбор доменной зоны для корпоративной почты имеет большой значение для удобства пользователей из разных стран.

Читать еще:  Как в контекстном меню Проводника сделать опцию запуска приложений от имени другого пользователя доступной постоянно

Какой должна быть почта домена

Отличия между бесплатной почтой и коммерческими вариантами почтовых сервисов видны даже неискушенному пользователю. В первую очередь компания, решившая сменить хостинг, столкнется с проблемой переноса переписки и функционала. Необходимость этого шага способна существенно затормозить процедуру перехода на другой хостинг. Большинство коммерческих организаций, предоставляющих услугу почты для домена, не только решают озвученную ранее проблему, но и помогают с настройкой других процессов.

Кроме того, бесплатный почтовый сервис от известных поисковых систем не способен обеспечить архивацию данных и ее дальнейшую сохранность. Такой подход не практикуют коммерческие структуры, которые предоставляют хостинг для корпоративной почты на домене. Пользуясь корпоративной почтой на коммерческой основе, вам не придется заниматься восстановлением многолетней переписки.

Использование почты на домене решает проблему спама

Качество работы почты с доменом, выбранным в интересах определенной бизнес-структуры, напрямую зависит от возможностей провайдера хостинга. Ответственность владельца сервера, на котором хранится переписка, напрямую влияет на надежность и эффективность работы всех бизнес-коммуникаций. В случае использования бесплатных почтовых сервисов порог ответственности администраторов находится на очень низком уровне. Более того, практически всё, что может случиться негативного, зависит исключительно от пользователя почты. Другими словами, не потратив на почту ни копейки, не стоит ожидать от неё эффективной работы. Готовьтесь к регулярным падениям и зависаниям.

В данном случае, как и в большинстве других, бесплатное не означает хорошее. Проблема не в жадности владельцев корпоративных коммерческих сервисов, а в необходимости обеспечивать поддержку и обслуживание аппаратных мощностей, затратах на ПО и оплату труда квалифицированных специалистов.

Преимущества коммерческого подхода к организации почты с доменом:

  • лицензионное программное обеспечение;
  • дублирование инфраструктуры с целью отказоустойчивости;
  • круглосуточная техподдержка;
  • выбор функционала почты каждым клиентом;
  • конфиденциальность, зафиксированная в договоре.

Сотрудничество с коммерческими организациями, предлагающими профессиональный подход, обеспечивает максимум преимуществ. Чего нельзя сказать о бесплатной корпоративной почте от компаний, основным желанием которых является привлечение максимального числа пользователей для расширения аудитории потребителей контекстной рекламы.

Как техническими способами защитить авторские права на сайт (контент, дизайн и т.д.)

1. Введение

Защита информации во все времена была актуальной темой. С появлением Интернета, когда информация стала доступной и оперативной, вопрос о ее защите стал еще более актуальным. Несовершенство правовой базы в нашей стране в сфере защиты интересов обладателей авторских и смежных прав еще более усугубляет эту проблему.

Веб-мастерам и владельцам веб-ресусов приходится самим находить способы защитить авторские права на сайт, и чаще всего прибегают к техническим, нежели юридическим способам. Дело в том, что единственная 100% защита странички от просмотра HTML кода – выключенный сервер, т.к. если страничка доступна хотя бы для одного из браузеров, то у посетителя всегда есть возможность сохранить код этой странички. Поэтому все технические способы защиты HTML кода условно можно поделить на 2 способа: шифрование HTML кода и другие способы (отключение правой кнопки мыши, запрет на сохранение картинок с помощью скриптов, приведение html кода в состояние тяжелое для восприятия и т.д.).

Программно-техническую защиту (подразумевается использование программы, предназначенной для защиты в сети прав и законных интересов авторов электронных публикаций, путем отображения публикаций способом, исключающим их копирование и/или иное несанкционированное размножение или другую модификацию) рассматривать не будем по следующей причине. Как я уже сказал, единственная 100% защита странички от просмотра HTML кода – выключенный сервер, и какими бы хитрыми методами защиты HTML кода вы не пользовались (в том числе и шифрование), возможны два варианта исхода событий:

  1. Пользователь окажется “чайником” и, увидев что его обычные действия (скопировать картинку, текст и т.д.) не приводят к желаемым результатам, бросит это занятие, то ваши авторские права не будут нарушены.
  2. Пользователь окажется “продвинутым”, и, повозившись какое-то время с вашим сайтом, он достанет нужную для него информацию. В этом случае ваши права будут нарушены.

Следует, так же учесть еще один момент – любые попытки защитить техническими способами авторские права на сайт приводят к тому, что:

  • вы усложняете жизнь обычным пользователям, ради которых и создавался этот сайт, ради которых и размещалась ваша информация (возникают различные неудобства при работе с сайтом);
  • вы усложняете жизнь себе.

Таким образом, прежде чем использовать описанные ниже методы, хорошенько подумайте, что вы хотите защитить, зачем и стоит ли это ваших ресурсов (временных, материальных и т.д.), с учетом того, что кому действительно надо нарушить ваши авторские права, тот их действительно нарушат.

Исходя из выше сказанного, существует и несколько способов защиты, они делятся на простые (стандартные) и сложные (шифрование).

2. Стандартные способы технической защиты авторских прав на сайт

1. Блокирование правой кнопки мыши

Самый классический и наиболее распространенный способ — это использование скрипта , который выдает предупреждающую надпись при нажатии правой кнопки мыши:

2. Запрещение выделения объекта мышью

В теге прописывается oncontextmenu=»return false».

3. Запрещение копирования

В теге прописывается oncopy=»return false».

4. Защита графической информации

4.1 Защита картинки (способ 1)

Создается «слоеная» картинка в таблице. Идея в том, чтобы разрешить посетителю страницы сохранять картинки, только вместо тех, что он видит, оставлять совершенно другие, например, прозрачные. Для изготовления такой картинки понадобится любой HTML-редактор, для не особых знатоков разметки гипертекста лучше всего воспользоваться Dreamweaver. Создаем таблицу с одной ячейкой, по размерам совпадающую с нашей картинкой, и вставляем последнюю в качестве фона таблицы (или ячейки). В эту таблицу вставляем точно такую же еще одну таблицу, а уже в последнюю — прозрачный gif-файл (имя картинки и имя прозрачного gif-файла следует сделать почти одинаковыми на вид). Если этот метод вас устраивает, а создавать таблицы с картинками вручную нет желания, вы можете воспользоваться специальной программой для создания слоев — например, Cool Page .

4.2 Защита картинки (способ 2)

Идея в том, что бы порезать картинку на кусочки. Картинка разрезается на множество сегментов, каждый из которых затем вставляется в таблицу. В этом случае тому, кто захочет эту картинку восстановить, придется сохранять каждый сегмент в виде отдельного файла и потом «сшить» в одном из графических редакторов. При большом числе фрагментов разбиения желание похитить картинку у кого-то может пропасть окончательно. При автоматизации такого способа можно воспользоваться функцией автоматической разрезки изображений, имеющейся в некоторых графических редакторах. В Ulead PhotoImpact можно разрезать картинку на нужное количество частей и сохранить результат в HTML. При этом генерируется таблица, которую можно экспортировать во Dreamweaver, настроить там ее внешний вид, после чего вставить полученный код в свою веб-страницу.

Необходимо обратить внимание на то, что от копирования картинок при помощи кнопки клавиатуры Print Screen описанные способы 4.1 и 4.2 не спасут, поэтому рекомендуется публиковать картинки с приемлемым качеством для комфортного просмотра изображения, но не приемлемым для их коммерческого использования.

5. Открытие защищаемой страницы в отдельном окошке

Идея в том чтобы защищаемая страница открылась в новом окне, в котором не будет возможностей использовать браузер (не будет верхнего меню: файл, правка, вид, избранное, сервис и т.д.) и соответственно пользователь не сможет посмотреть код через Вид – Просмотр HTML-кода (конечно данный пункт необходимо реализовывать совместно с отключением правой кнопки мыши).

Следует ввести в заголовок защищаемой страницы скрипт, определяющий имя окна window.name, в которое пользователь хочет загрузить страницу. Например, это имя WinX:

Если имя окна не WinX, то направляем пользователя или на ложную страницу, или на страницу с предупреждением, или на исходную. Можно и просто автоматом закрыть окно без предупреждений.

Таким образом, заблокируются любые возможности пользователя открыть вашу страницу в новом окне. Конечно, ссылки на Вашу страницу с других страниц или поисковиков будут попадать на страницу mistake.htm. Это надо всегда иметь в виду.

Допустим, пользователь все-таки очень хочет посмотреть код, и он разобрался, что для загрузки страницы mypage1.htm надо открыть ее в нормальном окне, но с именем WinX. Тогда он делает свою страничку, ставит в ней свой скрипт, аналогичный нашему, и открывает.

Как не дать ему сделать это?

Следует ввести в защищаемую страницу (в ее заголовок) скрипт, определяющий страницу, с которой пользователь запрашивает вашу.

То есть, достаточно определить, является ли страница, с которой вызывается наша mypage1.htm, страницей, находящейся на нашем сервере, или нет. Тогда попытки ввода страницы в любое окно с правильным именем WinX, но не с той страницы, с которой следует, будут заканчиваться перенаправлениями пользователя на страницу mistake.htm.

Совсем хорошо, если у вас есть возможность использовать PHP-скрипт, в который можно передать IP-адрес посетителя страницы. Тогда можно просто блокировать дальнейшую выдачу любых страниц, если посетитель более трех-пяти раз попытался загрузить вашу страницу не тем способом, который ему разрешен. То есть реализовать нечто типа «черного списка». И для IP-адресов «черного списка» выдавать ошибку 404 — файл не найден. То же самое можно выдавать вместо файла mistake.htm. Психологически действует великолепно.

6. Отключение кэширования страницы

Данный код отключает кэширование на жестком диске в некоторых видах браузеров, что не позволяет пользователю найти на жестком диске сохраненную копию документа.

7. Вставлять html во flash

В этом случае, конечно код страницы будет доступен, но вот достать его обратно из flash представляет временную проблему, которая для обычного “чайника” может оказаться и не решаемой.

3. Техническая защита авторских прав на сайт шифрованием

Шифрование – задача довольно непростая, полное описание которой займет не одну статью, поэтому ниже обозначены способы, предназначеныые для демонстрации основных принципов, и не являются готовыми к использованию решениями.

1. Использование компилятора perl2exe

Самый простой способ защиты кода это использование компилятора perl2exe (Windows), который создаёт из кода обычный выполняемый файл. Для, пожалуй, одного из самых популярных в Рунете языка сценариев Perl, одним из вариантов сокрытия исходных текстов стала возможность компилирования исходных текстов в исполняемый формат PE-exe для win32, ELF для Linux. Такая утилита для компиляции, и называется Perl2Exe , предоставляется компанией сторонних разработчиков IndigoStar Software.

В этом случае самый элементарный способ (и чаще всего используемый) — зашифровать программу, поместить её в переменную, а в конце поставить расшифровщик. Но, несмотря на то, что авторы утилиты Perl2Exe не предоставляют ее исходных кодов, оказалось возможным найти инженерный пароль в автоматическом режиме, с помощью различного рода хакерских программ. Поэтому говорить о криптографической стойкости подобного шифрования бессмысленно, поскольку ключ к шифру находится рядом с самим шифром. (Что только увеличит размер вашей зашифрованной странички). Такое изменение программы легко обратимо.

2. Удаление синтаксических символов и добавление фрагментов

Самый большой интерес представляют необратимые изменения текста. Частично таковым является удаление всех переводов строк, комментариев, лишних скобок и пробелов из кода — в общем, всего «ненужного», что было там лишь для повышения читабельности. Это необратимо лишь частично, поскольку некоторые редакторы могут автоматически расставить переводы строк и табуляторы.

Можно вставлять в код бессмысленные куски, которые ничего не делают (чаще всего этот метод применяется в комбинации с удалением «ненужного»).

В идеале эти бессмысленные куски должны быть разнообразными и похожими на окружающий их код, чтобы их было сложнее распознать.

3. Шифрование с использованием source filters

В следующей статье описывается шифрование с использованием source filters.

В общем случае, у данного метода остается, как и у многих, пожалуй, методов шифрования, тот же недостаток, что и у Perl2Exe или схожей с ней утилит, а именно – наличие инженерного пароля.

Читать еще:  msvcr80.dll отсутствует [решено]

4. Шифрование HTML кода

Последний и, пожалуй, самый простой способ шифрования для веб-мастеров сайтов.

Шифрование HTML кода с использованием сервиса http://www.ph4.ru/wm_html2js.ph4, который преобразует все нелатинские символы HTML кода (кроме точки, запятой, знака вопроса и двоеточия) в коды символов UNICODE.

Оригинал HTML кода:

В UNICODE выглядит так:

Там же сервис выдает окончательный код, который вставляется в вашу страничку:

PS. Если вся страница закодирована таким образом, она не будет работать, если в браузере пользователя отключен javascript.

4. Заключение

HTML код ни как не предрасположен к своей защите, поэтому его защита является довольно творческим процессом, комбинации как описанных выше способов, так и нахождения новых. При желании можно достичь неплохих по меркам специалистов результатов, которые будут даже на них действовать психологически великолепно.

В этом случае 80-85% пользователей, столкнувшихся с вашей защитой, после пары провалов, бросят это безнадежное дело, и ваши авторские права будут защищены, при этом необходимо всегда отдавать себе отчет в том, что абсолютной защиты не существует.

Какие рабочие данные нужно шифровать и как правильно это делать — подробное руководство

Какие рабочие данные нужно шифровать и как правильно это делать — подробное руководство

    Статьи , 21 ноября 2019 в 17:04

Алексей Костюшко, ведущий разработчик в Kernel Team Acronis

Перед службами ИТ и ИБ всё чаще ставят задачу повысить уровень защищённости данных на рабочих местах. И, естественно, в основном уровень приватности увеличивают с помощью криптографии. Но если перемудрить в этом вопросе и не продумать механизм хранения паролей, на практике шифрование может оказаться бесполезным, а то и наоборот — переплюнуть все внешние угрозы, надёжно спрятав файлы от самого пользователя.

По данным Acronis, количество атак программ вымогателей-шифровальщиков (Ransomware) в прошлом году выросло до 200 миллионов, а Cybersecurity Ventures предсказывает, что к 2021 году бизнес будет подвергаться атакам каждые каждые 11 секунд. Но само по себе повсеместное шифрование не даёт ожидаемых результатов. Просто зашифровав что-то, мы не гарантируем увеличения защищённости. Напротив, распространение программ вымогателей-шифровальщиков (Ransomware) говорит о том, что шифрование может обернуться очень неприятной стороной. Ведь в сущности, чем отличается атака шифровальщика от потерянного пароля криптосервиса?

Чтобы от шифрования был толк, необходимо чётко понимать, какие ресурсы нужно защищать криптографически и как именно организовать работу со средствами шифрования.

Что шифровать? Как шифровать?

Это первый вопрос, который нужно задать себе при внедрении шифрования. На практике криптография легко применяется только на уровне готовых продуктов и решений. Например, при облачном резервном копировании мы шифруем данные на компьютере пользователя, а информацию передаём по зашифрованному каналу. Но для того чтобы гарантировать защиту данных в процессе работы с ними, необходимо настроить шифрование отдельных категорий информации.

Файлы и папки — сквозное шифрование

Защиту файлов и папок можно обеспечить за счёт сквозного шифрования. Для этого существуют специальные утилиты, которые обеспечивают непрерывное шифрование выбранных объектов. Таких решений сегодня достаточно много. Например, можно воспользоваться популярной утилитой Boxcrypt, которая шифрует любые объекты, независимо от их местоположения. Зашифровать можно даже файлы, находящиеся на облачных дисках (Google Drive, OneDrive и т. д.). При таком подходе никто не сможет прочитать содержимое файлов, если на компьютере не запущено соответствующее приложение, а в нём — не введён секретный ключ. Соответственно от копирования или кражи файлов не будет никакого толку, потому что злоумышленник просто не сможет открыть их без вашего пароля.

Зашифрованный диск

Для тех, кто работает с большими массивами данных, которые необходимо защищать от посторонних глаз, подходит технология шифрования целого диска. Для этого можно использовать такие программы, как PGPDisk, либо настроить шифрование на уровне операционной системы. Например, если раздел отформатирован в EFS, операционная система Windows позволяет зашифровать содержимое диска даже без сторонних утилит.

Шифрование на уровне виртуальной машины

Для тех случаев, когда возникает необходимость обеспечить максимальную защиту документов, лучше всего работать с ними через виртуальную машину с зашифрованным диском. Например, бухгалтерам, работающим с 1C или другой программой со служебной информацией, лучше всего подойдёт изолированная среда. С другой стороны, сотруднику нужен доступ к интернету, чтобы проверять почту, сверяться с текстами законов, общаться с коллегами и т. п.

21 мая в 11:00 в 11:00, онлайн, беcплатно

В таком случае можно создать ВМ без доступа к интернету и получить полностью закрытое пространство для конфиденциальных данных. Плюс такого подхода заключается в том, что диск виртуальной машины выглядит извне как один зашифрованный файл, поэтому данные будут надёжно защищены от различного вредоносного ПО и посторонних глаз.

Электронная почта и переписка

Учитывая, что мы постоянно пересылаем друг другу документацию, практически у всех пользователей в электронной почте можно найти самую разную информацию — от персональных данных и сканов документов до проектов будущих договоров. В почтовом архиве, который годами хранится на компьютере или на сервере, может находиться не один важный документ. Так что даже для домашнего пользователя взлом почтового архива и кража данных может привести к внезапному оформлению кредита в микрофинансовой организации, о котором вы и не подозревали.

Выгружать с почтовых серверов архивы достаточно хлопотно. Поэтому гораздо популярнее оказываются утилиты, шифрующие отдельные папки на почтовых сервисах. Самый простой способ — включить шифрование архивных сообщений и настроить архивацию, скажем, через две недели или через месяц. Конечно, облачные сервисы email применяют шифрование для защиты данных, но, увы, почтовые ящики обычно взламываются за счёт кражи или подбора пароля. Поэтому для шифрования отдельных папок лучше использовать отдельные утилиты со своими ключами и паролями.

Если основной почтовый клиент — локальный (то есть письма загружаются с сервера и хранятся на компьютере), можно использовать инструменты для локального шифрования писем. А в случае если письма загружаются по протоколу IMAP, вполне можно автоматически организовать шифрование и повторную загрузку писем на сервер. Однако мало кто из пользователей сможет сделать это самостоятельно, и администраторам потребуется настраивать и поддерживать эту экосистему своими силами.

При этом очевидно, что облачные провайдеры не дают никакой приватности. Все они «читают» переписку в автоматическом режиме, радуя нас обилием релевантной контекстной рекламы. И если вы не хотите, чтобы кто-то «подглядывал» за вашей перепиской, можно вести обмен сообщениями в уже зашифрованном виде. Для такого уровня приватности подходят программы типа PGPmail. Но не стоит злоупотребять этой практикой, так как она способна вызывать повышенное внимание со стороны контролирующих органов. К тому же поставщики бесплатных email-сервисов могут отказать в обслуживании тем, кто шифрует свою переписку. Так что, возможно, вместе с утилитой для шифрования потребуется и платный почтовый сервис.

Платежи и транзакции

С точки зрения злоумышленников, самая интересная и ценная информация — это данные ваших банковских карт, реквизиты доступа в интернет-банк и коды подтверждения оплаты. Чтобы избежать досадных инцидентов с финансовыми активами, лучше всего использовать такой простой метод защиты, как виртуальная карта для платежей в сети.

Однако и на компьютере можно создать защищённые условия для проведения платежей. Для этого достаточно запустить виртуальную машину (на этот раз уже с доступом в интернет) с зашифрованным диском и без лишнего ПО, чтобы минимизировать риски компрометации вашей финансовой информации.

Стоит помнить, что проблема изоляции приложений на мобильных устройствах под Android пока ещё не имеет универсального системного решения. То есть банковские мобильные приложения работают практически в одной и той же среде со всеми другими утилитами. Поэтому использование двухфакторной аутентификации не даёт гарантий безопасности. Ведь если устройство было поражено вирусом или украдено злоумышленником, он сможет получить доступ и в интернет-банк и ввести проверочный код из пришедшей на устройство SMS. Поэтому для счетов, на которых хранятся действительно серьёзные суммы, лучше не проводить платежи онлайн и не устанавливать мобильные приложения.

Главное — ключи и пароли!

Подход пользователя: один пароль для всех учётных записей и стикеры на рабочем столе

Давайте обсудим самый важный вопрос: как помочь пользователю запоминать пароли от всех этих сервисов и криптографических утилит? Считается, что ввод ограничений на состав пароля решает проблему безопасности, и администраторы стремятся сделать пароли длинными, содержащими и буквы, и цифры, и символы, а также исключить из них реальные слова, которые можно найти в словарях, а также требуют менять их, скажем, каждые три месяца. Но кто сможет в реальности запомнить несколько каламбуров из десятка не связанных между собой символов?

Пользователи всегда борются против сложностей, которые мешают им работать. Поэтому на рабочих местах появляются жёлтенькие стикеры с теми самыми сложными паролями, а в доступной и незащищённой электронной почте оказываются все ключи шифрования, которые человек просто не хочет и не может запомнить.

Если же предоставить пользователю право самостоятельно устанавливать пароли на разные сервисы (а это неизбежно происходит, если речь идёт не о корпоративных учётных записях), то в большинстве случаев люди устанавливают вариации одного и того же пароля в разных системах. Например, это может быть PASSWORDgmail, PASSWORDfacebook, PASSWORDyandex и так далее. А после регистрации на каком-то сомнительном ресурсе с паролем PASSWORDroga-i-kopita все пароли могут быть легко взломаны злоумышленниками.

С другой стороны, шифрование только подливает масла в огонь. Ведь при утере ключа шифрования вы также теряете доступ ко всем зашифрованным данным. А если ключ хранится в электронной почте, то риск его кражи сводит на нет все плюсы шифрования. И здесь обращаться в службу поддержки бесполезно. Стойкие криптографические алгоритмы не позволят вам получить доступ к своим же данным.

Решение проблемы — программы для хранения паролей

Хорошим решением могут стать программы для хранения паролей. Например, вы можете предложить пользователям установить dashlane, sticky password или любую другую утилиту-менеджер паролей, защитив их одной фразой. Очень важно, что здесь речь идёт не про мастер-пароль, который открывает доступ ко всем вашим учётным записям, а именно про фразу, которая должна быть достаточно длинной и известной только вам. Утилита просто хранит файл с паролями и ключами доступа в зашифрованном виде, а секретная фраза при помощи различных алгоритмов позволяет получить ключ расшифровки.

Последний штрих этой концепции безопасности — защита зашифрованного файла с паролями, потерять который нельзя ни в коем случае. Поэтому для утилит данного типа всегда настраивают автоматизированные алгоритмы резервного копирования в облако. Даже при полной утрате устройства, вы сможете в любой момент восстановить файл и снова получить доступ ко всем своим хранилищам, учётным записям и сервисам. Инкрементальное обновление данных в современном ПО для резервного копирования позволяет загружать обновление файла с паролями на сервер сразу после добавления новых учётных записей и гарантировать сохранность и конфиденциальность вашего доступа ко всем категориям данных, которые вы решили защитить паролем — от файлов и электронной почты до корпоративных сервисов и скрытых виртуальных машин.

Заключение

Чтобы от шифрования действительно был толк, нужно продумать систему так, чтобы пользователям было удобно с ней работать. Поэтому конкретные криптографические утилиты для защиты почты или файлов необходимо дополнять надёжными менеджерами паролей, а также средствами облачного резервного копирования, чтобы не потерять всю информацию. Если сотрудникам будет понятно, как все это использовать, а шифрование будет происходить прозрачно и без технических сложностей, тогда криптографическая защита информации действительно будет работоспособной.

Ссылка на основную публикацию
Статьи c упоминанием слов:
Adblock
detector