БОБРОВСЬКИЙ Р.О.
студент І курсу магістратури, факультету інформаційно-системних технологій
Науковий керівник: Вакалюк Т.А
доктор педагогічних наук, доцент,
професор кафедри інженерії програмного забезпечення
Державний університет «Житомирська політехніка»
У наш час просто неможливо уявити собі соціум без стрімкого розвитку майже в усіх галузях життя. Подекуди важкими задачами для модернізації є неможливість або небажання відходити від старого і прийняти щось кардинально нове і незвичн. Певно тому, що ще з минулих століть деякі процеси міцно укорінилися и усі намагання щось модернізувати часто потерпають невдачі. Зокрема відходження від готівки до цифрових розрахунків досі не вдалося вдало реалізувати навіть у багатьох найрозвиненіших країнах. Проблеми переходу від бюрократії та переходу до цифрових документів стрімко набирає оберти. В Україні постійно приймаються спроби до такого переходу, але через повне застаріння усіх бюрократичних систем, хаос у організації, відсутність адміністрування, систематизації, фінансування та технологічних можливостей, кожного разу це закінчується, наприклад, втратою конфіденційності даних, зламу баз даних, тощо.
На даний момент у світі було запропоновано багато різноманітних систем єдиної ідентифікації. Більшість з них реалізовано за допомогою взаємозв’язку систем електронних листів у стандарті SAML 2.0>, або за допомогою стандарту OpenID Connect 1.0 .
Ці системи працюють приблизно наступним чином:
► Користувач звертається до захищеного ресурсу інформаційної системи
► Єдина система направляє запит на аутентифікацію
► система перевіряє наяву у користувача відкритої сесії, а якщо така відстутня, то направляє його на ідентифікацію, для цього система перенаправлює на WEB сторінку аутентифікації системи. Користувач проходить процес ідентифікації та аутентифікації, використовуючи доступний йому метод аутентифікації
► Якщо користувач успіщно ідентифікований, то система передає зворотно набір тверджень щодо захищеності щойно створеної сесії
► на підставі отриманої з єдиної системи інформаційна система направляє до запитуваних ресурсів.
Хоча такі системи виглядають захищеними, іноді маючи двох або навіть трьох факторну аутентифікацію, назвати їх у повній мірі захищеними ми не можемо, а так як незважаючи на існуючі проблеми, ці системи продовжують реалізовуватися, то необхідно оперативно шукати компромісні більш захищені системи.
В Україні вже реалізовано багато хмарних сервісів. І хоча функціонал цих сервісів постійно розширюється, за ними залишається багато проблем безпеки зберігання інформації. Зокрема існуюча на даний момент система, яка дозволяє подати онлайн документи, отримати запити у цифровому вигляді як було описано у твердженнях вище не може дати нам повну впевненість у захищеності наших даних, тому що:
► Внесення своїх даних у ці бази заздалегідь виключає можливість зворотного процесу. Особа повністю втрачає контроль над власною інформацією і має лише частковий доступ до своїх документів і не має жодного контролю. Разом із тим до усіх наших даних отримують доступ стороні особи, які не повідомляють нам ніяких даних про себе і можуть використовувати дані на свій розсуд, змінювати та видаляти їх. Нещодавно міністерством була оприлюднена інформація, що на сторонніх ресурсах є можливість придбати особисті дані громадян, що використовували програму “Дія”, з якої і стався витік даних [1]. Державні структури в Україні взаємодіють між собою і мають змогу обмінюватися необхідними даними між різними департаментами маючи одну базу даних для усіх видів документів.
► Також деякі провідні спеціалісти з кібербезпеки висловили думку, що вхід в єдину систему даних не є повіреним методом, адже використовується метод входу “логін-пароль”, що забезпечує для користувача рівень безпеки нижче помірного. І хоча введення можливості двофакторної аутентифікації за допомогою смс дещо збільшила рівень захищеності, це відкрило нові проблеми безпеки користувачів програми “Дія” на смартфонах.
Взагалі багато питать викликає надлишкова важкість при реєстрації та об’єм зайвих даних, який після реєстрації зберігається за кожним користувачем. І так, як система використовує протокол OpenID,то для подібного сервісу це не підходить. OpenID не має захисту від фішингових атак. Одним з найбільш логічних варіантів було б використання Microsoft’s Identity Selector, але майже неможливо це реалізувати без BeamAuth, що знову ж таки використовує для своєї роботи браузер, а це повторна можливість для фішинг-атак. В решті одним з виходів могло б стати використання OpenID 2.0, що дає змогу додатково використати фрагмент-ідентифікатор ідентичний для кожного користувача. На мою думку ситуація потребує радикальних рішень з новим підходом.
Дуже цікавий підхід впроваджено у Данії [2]. І для нас чудовим варіантом може могло б бути запозичення системи особистих ключів- паролів, що не можуть бути оцифровані і зберігаються у друкованому вигляді у форматі картки, що розкладається на кілька частин і містить друковану інформацію з ключами, які є відповідями на запит з серверу. Ця система не має ніякого певного алгоритму, який міг би генерувати елементи доступу до сервісів, а лише представляє собою набір статичних даних, які немає можливості змінити взагалі, адже доступу до бази даних не має жоден. Відомо лише один випадок, коли система дала збій у роботі. Зловмисники намагалися отримати доступ до даних за допомогою DDos атак, але це лише викликало перенавантаження і зменшення швидкості доступу до мережі простих громадян, залишивши дані в безпеці. Аналогічний, хоча й радикальний підхід можна реалізувати і у нас. Реалізація можлива на будь якій мові програмування разово за допомогою найпростішої функції random або, як більш простіший варіант виклик secrets у програмі Python. import secrets number = int(input(‘задамо певну кількість доступних комбінацій паролей, але не забуваємо, що використовуючи MySQL можемо зберегти лише до 17 млн записів, але будемо використовувати те, що є з доступного на певний час”\n”)) length = int(input(‘задаємо довжину особистого ключа доступу’ + “\n”)) def symbol():
symbols = ([chr(s) for s in range(..задані значення) .return symbols symbol()
Згодом отримуємо необхідне за допомогою елементарних функцій і маємо готовий результат for n in range(number): password = ‘ for i in range(length): password+=secrets.choice(symbol()) print(password). Загалом в результаті маємо індивідуальні індекси для кожного, а при збереженні даних у MySQL повторення результатів неможливо, оскільки кожен заданий окремий елемент з cамого початку є унікальним значенням.
Отже, впровадження нових підходів зберігання та використання даних є необхідним для пришвидшення розвитку суспільного прогресу і вдосконалення застарілих методів аналітики і роботи з даними. А що стосується найзвичайно важливих даних, таких як особисті документи ідентифікації особи, то є потреба у створенні значно більш захищених систем зберігання даних , ніж ми маємо сьогодення.
Список використаних джерел
- Рівень підготовки і оснащеність “нових шахраїв” може нести загрозу національній безпеці URL: https://ubr.ua/tag/взлом+бази+даних. «Дія»
- Pilotprojekter, lov og rammeaftalURL: https://www.nemid.nu/dk-da/om-nemid/historien_om_nemid