PDA

مشاهده نسخه کامل : امنيت اطلاعات در كار الكترونيكي



امپراطور
10-04-09, 20:48
1- تهديدات و ملزومات مربوط به امنيت كار الكترونيكي
تهديدات موجود در پيش‌روي امنيت سيستم‌هاي اطلاعاتي را مي‌توان به سه دسته‌ي اصلي تقسيم كرد:‌ افشاي اطلاعات محرمانه (تهديد «افشا»)، صدمه به انسجام اطلاعات (تهديد «دستكاري»)، و موجودنبودن اطلاعات (تهديد «تضييق خدمات»). بطور مرسوم، امنيت اطلاعات در وهله‌ي اول با تهديد «افشا» همراه بوده است. در دنياي امروز، وابستگي ما به سيستم‌هاي اطلاعاتي طوري است كه دستكاري غيرمجاز يا فقدان گسترده‌ي اطلاعات، پيامدهاي ناگواري را موجب خواهد شد. در كار الكترونيكي، لازم است كه همه‌ي انواع اطلاعات از طريق شبكه‌، دسترس‌پذير باشند. بنابراين، امنيت اطلاعات شرط ضروري كار الكترونيكي است.
در هنگام كاركردن در يك شبكه‌ي باز، جريان اطلاعات در شبكه در معرض افشا و دستكاري غيرمجاز مي‌باشد. براي حفاظت از محرمانگي و انسجام آن اطلاعات، رمزگذاري قوي ضروري است. كمك غيرمستقيم رمزگذاري به ما اين است كه از وجود شبكه‌هاي اطلاعاتي اطمينان حاصل كنيم. پس از مقابله‌ي مؤثر با تهديدات«دستكاري» و «افشا»، مي‌توان با ايجاد اضافات كافي در شبكه‌هاي اطلاعاتي، دردسترس‌بودن اطلاعات را تحقق بخشيد. فناوري اينترنت در اصل براي به‌وجود‌آوردن همين نوع از اضافات طراحي شد و هنوز هم براي اين منظور مناسب است.
2- ايجاد زيرساختار شبكه
معماري اينترنت، معماري شبكه‌اي غالب در اوايل دهه‌ي 2000 است. اينترنت بر پروتكل اينترنت (آي‌پي)[3] استوار است، كه مي‌توان آن را روي همه‌ي انواع شبكه‌هاي فيزيكي و تحت همه‌ي انواع برنامه‌هاي كاربردي به كار انداخت. استقلال پروتكل اينترنت هم از شبكه‌هاي فيزيكي و هم از برنامه‌هاي كاربردي، نقطه‌ي قوت اصلي آن است. اين پروتكل حتي با فناوري‌هاي شبكه‌اي كاملاً جديد، مثل «شبكه‌ي محلي بيسيم» (دبليولن)[4] يا «سرويس راديويي بسته‌اي عمومي» (جي‌پي‌آراِس)[5] و شبكه‌ي «سامانه‌ي عمومي ارتباطات همراه» (جي‌اِس‌اِم)[6] نيز كار مي‌كند. برنامه‌هاي جديد، مثل وب،‌ «ووآي‌پي»[7]، و بسياري برنامه‌هاي ديگر كه در آينده عرضه مي‌شوند را مي‌توان به راحتي با سرويس استاندارد پروتكل اينترنت اجرا كرد. معماري اينترنت اساساً از سال 1974 ثابت مانده و همچنان قدرت خود را اثبات مي‌كند. بنابراين شعار قديمي «آي‌پي وراي همه، همه چيز برروي آي‌پي»‌ امروز بيش از هر زمان ديگري صدق مي‌كند.
عيب‌هاي اصلي «آي‌پي»‌، فضاي ناكافي نشاني، عدم پشتيباني از جايجايي فيزيكي،‌ فقدان كيفيت متمايز سرويس، و فقدان امنيت آن مي‌باشد. «گروه فوق‌العاده‌ي مهندسي اينترنت»[8] هر يك از اين موضوعات را مدنظر قرار داده و راه‌حل‌هاي استانداردي نيز براي هر يك از آن‌ها پيشنهاد شده. در نگارش ششم و جديد «آي‌پي»[9] عملاً تعداد نشاني‌ها نامحدود، و گسترش‌پذيري آن بهتر از نگارش 4 (كنوني) است. «آي‌پي سيار» (اِم‌آي‌پي)[10] براي هر دو نگارش تعريف شده. اين «آي‌پي» براي ميزبان سيار اين امكان را فراهم مي‌آورد كه از يك شبكه به شبكه ديگر جابجا شود، ضمن اين‌كه نشاني‌هاي «آي‌پي» دائمي خود را، كه در همه‌ي ارتباطات با اين ميزبان مورد استفاده قرار مي‌گيرد، حفظ مي‌كند. اين امر منجر به تحرك واقعي، نه صرفاً در چارچوب فناوري يك شبكه‌ (مثل «جي‌اِس‌اِم»)، بلكه بين انواع مختلف شبكه‌ها، مثل «دبليولَن»‌،‌ «جي‌پي‌آر‌اِس»، و شبكه‌هاي سيمي مي‌گردد. كيفيت سرويس را مي‌توان در اينترنت به‌وسيله‌ي «سرويس‌هاي متمايز اينترنتي»[11] كه يك طرح اولويت‌بندي ساده‌ي مستقل از كشورها است و كاملاً مناسب شبكه‌هاي جهاني مي‌باشد، تكميل كرد. امنيت عمومي سطح «آي‌پي» توسط «آي‌پي‌سِك» (پروتكل امنيت اينترنت)[12] كه بر رمزنگاري، و «پروتكل مديريت كليد» همراه با آن (يعني «مبادله‌ي كليد اينترنتي» (آي‌كائي)[13]) استوار مي‌باشد، فراهم مي‌گردد.
اگرچه همه‌ي اين كاركردها را نمي‌توان در لايه‌ي «آي‌پي» به انجام رساند،‌ اما هركار كه ممكن است‌ بايد در همانجا به انجام برسد؛ و اين، ويژگي‌ خوب معماري اينترنت است كه كل كاركردهاي لايه‌ي «آي‌پي»، چه از شبكه‌هاي فيزيكي و چه از برنامه‌ها،‌ مستقل است. مثلاً «آي‌پي‌سِك» با (و در) همه‌ي شبكه‌ها و تحت انواع برنامه‌ها كار مي‌كند. اينترنت مي‌تواند از «قانون مور»[14]‌ نهايت استفاده را ببرد. اين قانون در اصل خود حكايت از آن دارد كه عملكرد ريزپردازنده‌ها هر 18 ماه دوبرابر مي‌شود، درحالي كه قيمت‌ آن‌ها ثابت مي‌ماند. عجيب اين كه،‌ اين قانون بيش از ربع قرن است كه دوام آورده.
تقريباً همين رفتار را مي‌توان در بسياري از حوزه‌هاي ديگر نيز مشاهده كرد، از جمله در مورد حافظه‌ي موقت، ديسك‌سخت، شبكه‌ي محلي، شبكه‌ي محلي بيسيم،‌ سوئيچ شبكه‌ي محلي، و مسيرياب[15] «آي‌پي». اما حتي در حوزه‌ي مخابرات سيار ]موبايل[ كه نسبتاً سريع پيشرفت مي‌كند، ‌طول عمر يك نسل از توليد، 10 سال است، نه 2 سال. تلفن راديويي اتومبيل[16] درسال 1971، تلفن همراه اروپاي شمالي[17] در سال 1981، و سامانه‌ي عمومي ارتباطات همراه در 1991 مورداستفاده‌ي عموم قرار گرفتند و «يواِم‌تي‌اِس»[18] احتمالاً در سال 2002 وارد ميدان مي‌شود.
اين بدان معنا است كه صرفه‌مندي فناوري اينترنت براساس بسته، همواره بسيار سريع‌تر از فناوري‌ مخابراتي مبتني بر «تركيب تقسيم زماني»[19] متعارف پيشرفت مي‌كند. بنابراين در زمان كوتاهي،‌ همه‌ي برنامه‌ها روي «آي‌پي» قرار مي‌گيرند. در سيستم تلفن معمولي، روشن است كه «ووآي‌پي» بسيار باصرفه‌تر از مخابرات معمول، چه درمحدوده‌هاي محلي و چه در مناطق گسترده است. با پيشرفت‌هايي كه در ارتباطات بيسيم و «آي‌پي»‌ به وقوع پيوسته، فقط 2 سال طول مي‌كشد كه ارتباطات سيار هم به همين وضعيت برسد. اگر قرار باشد كه «يواِم‌تي‌اِس» يك لاكر[20] بومشناختي داشته باشد، همان شبكه‌ي فيزيكي، همراه با شبكه‌ي محلي بيسيم (دبليولَن)، سرويس راديويي بسته‌اي عمومي (جي‌پي‌آر‌اِس)، و . . .، تحت «آي‌پي» خواهد بود. بنابراين منطقاً مي‌توانيم بپذيريم كه كار الكترونيكي بر معماري اينترنت استوار خواهد بود و جنبه‌هاي امنيت شبكه‌اي آن نيز همانند امنيت اينترنت خواهد بود.
رايانش فراگير به معناي استفاده از فناوري اطلاعات در يكي از اشكال گوناگون آن، در همه‌ي عرصه‌هاي زندگي و با همه‌ي ابزار قابل تصور، مي‌باشد. وسايل خانگي متداول شامل ريزپردازنده‌هايي هستند كه نرم افزارهايي را به كار مي‌اندازند كه بخش عمده‌ي كاركرد اين وسايل را به انجام مي‌رسانند. در آينده‌ي نزديك، اكثر اين ابزارها،‌ اغلب با دسترسي بيسيم، شبكه‌بندي خواهند شد. همچنين به‌منظور حصول امنيت، لازم است كه سيستم‌هاي رمزنويسي كليد عمومي و كليدهاي رمزنويسي مخفي داشته باشند تا پيكربندي و مديريت امن آن‌ها امكانپذير شود. اين بدان معنا است كه ما در همه‌جا، رايانه‌هاي با شبكه‌بندي كوچك و رمزنويسي تعبيه‌شده در درون آن‌ها خواهيم داشت. اين رايانه‌ها بقدري رايج خواهند شد كه آن‌ها را رايانه يا فناوري اطلاعات به شمار نخواهيم آورد؛ همان‌طور كه امروزه به الكتريسيته كه همه‌جا از آن استفاده مي‌كنيم، چندان توجه نمي‌كنيم.
بزودي تقاضاي بسيار براي ابزارهاي ارزان‌قيمت و كوچك را كه محيط رابط «آي‌پي»، «آي‌پي‌سِك»، و «دبليولن» را بر روي فقط يك تراشه‌ي سيليكن به كار مي‌اندازند شاهد خواهيم بود. بقيه‌ي سطح اين تراشه به يك ريزكنترلگر همه‌منظوره، درگاه‌هاي ورودي و خروجي و حافظه اختصاص مي‌يابد تا دستگاه‌هاي مختلف را كنترل كند. اين تراشه‌ها اكنون توليد شده‌اند و به‌زودي اكثر ميزبان‌هاي متصل به اينترنت را تشكيل مي‌دهند.
3. تأثير افزايش جابجايي‌پذيري
سياربودن درمفهوم وسيع‌تر كلمه به معناي توانايي كاربر در دسترسي به اطلاعات، مستقل از محل و مكان او مي‌باشد. در عمل،‌ لازمه‌ي اين امر معمولاً نوعي از پشتيباني جابجايي‌پذيري از سوي دستگاه پايانه و شبكه‌ي اصلي است. البته جابجايي‌پذيري تهديدهاي جديد امنيتي را به دنبال نمي‌آورد،‌ اما تهديدهاي موجود را جدي‌تر مي‌سازد؛ زيرا دسترسي به اطلاعات، مستقل از مكان صورت مي‌گيرد. همچنين امنيت سيستم، از هر جايي و توسط هر فرد مجاز مي‌تواند مورد حمله قرار گيرد.
بايد توجه كرد كه جابجايي‌پذيري و بيسيم‌بودن دو چيز متفاوت‌اند، اگر چه اغلب با هم همراه‌اند. جابجايي‌پذيري به معناي توانايي كاربر يا پايانه، در حركت از يك شبكه (يا نقطه‌ي اتصال) به شبكه‌ي ديگر است؛‌ بيسيم‌بودن يعني جايگزين‌ساختن كابل شبكه يا آخرين پيوند شبكه با پيوندهاي ارتباطي بيسيم (مثل راديويي يا مادون‌قرمز). بيسيم‌بودن به‌تنهايي، جابجايي‌پذيري چنداني را امكانپذير نمي‌كند. مثلاً در يك شبكه‌ي «سامانه‌ي عمومي همراه» (جي‌اس‌ام)،‌ عمده‌ي پيچيدگي شبكه و نرم‌افزار پايانه بايد به امر انتقالات، يعني گذر پايانه‌ي سيار از يك ايستگاه اصلي به ايستگاه ديگر تخصيص يابد. ضمن اين‌كه بيسيم‌بودن و جابجايي‌پذيري، هر يك به‌طور جداگانه ممكن است مفيد باشند، وقتي كه با هم تركيب مي‌شوند بهترين عملكرد را دارند. به همين دليل دسترسي بيسيم به شبكه‌هاي سيار اهميت روزافزوني پيدا مي‌كند.
4. راه‌حل‌هاي ممكن
امنيت اطلاعات موضوعي چندبـُعدي است كه با جنبه‌هاي غيرفني متعددي ارتباط دارد. همواره براي تحقق امنيت، ابزارهاي فيزيكي، پرسنلي و اجرايي لازم‌اند و ابزارهاي فني به‌تنهايي بيفايده‌اند. اما وقتي كه در يك شبكه‌ي نامطمئن كار مي‌كنيد، امنيت بدون استفاده از رمزنگاري ميسر نمي‌شود. بنابراين بخشي از راه‌حل، «آي‌پي‌سِك» است كه مي‌توان به عنوان يك سازوكار استاندارد براي حفاظت در برابر استراق سمع و دستكاري پيام در شبكه به كار برد.
رمزنگاري كليد عمومي، مثلاً براي تأييد اصالت و براي مديريت‌ كليدها، لازم است. بعلاوه، يك «زيرساختار كليدهاي عمومي»[21] لازم است تا كليدها را به شيوه‌اي اطمينان‌بخش، به مالكان‌ آن‌ها پيوند دهد. «زيرساختار كليدهاي عمومي» نمونه‌اي از خدمات «شخص ثالث امين»[22] است كه هميشه بر اعتماد و اطمينان استوارند. تحقق فيزيكي «زيرساختار كليدهاي عمومي» در قالب گواهي‌نامه انجام مي‌گيرد. اعتماد به‌دست‌آوردني است نه ديكته‌كردني. طرف‌هاي مختلف بايد بتوانند تصميم‌ بگيرند به چه كسي، در چه موضوعاتي، و تا چه اندازه اعتماد كنند.
همچنين در هر سيستم به يك «مبناي رايانشي قابل اعتماد»[23] نياز داريم. اين «مبناي رايانشي قابل اعتماد» بايد ] تا حد امكان [كوچك‌شده، و مبتني بر طرح‌هاي آزاد باشد. بايد بتوانيم حسابرسي كنيم تا به آن اعتماد كنيم. چشمپوشي از امنيت بخش‌هايي از سيستم در خارج از «مبناي رايانشي قابل اعتماد» نبايد امنيت كل سيستم را به خطر اندازد.
بطور سنتي،‌ كنترل دسترسي و صدور مجوز براي آن براساس تأييد اصالت هويت كاربر (هويتي كه در شكل يك نام نمود مي‌يابد) صورت مي‌گيرد. اين كار در سيستم‌هاي بزرگ عملي نيست، زيرا تشخيص حقوق دسترسي يك فرد صرفاً براساس نام او،‌ امكان‌ناپذير است. عموماً ما بيش‌تر علاقه‌منديم كه اطمينان حاصل كنيم كاربر به انجام كاري كه انجام مي‌دهد مجاز است يا خير،‌ و نه اين كه بدانيم او كيست. بنابراين به جاي تعيين هويت او، بايد قادر به تأييد اصالت حقوق او باشيم. صدور مجوز‌ها ابزار عمومي خوبي هستند كه مي‌توان براي چنين اهدافي، حتي در سطوح سيستم‌هاي جهاني به‌كارگرفت.
امنيت و قابليت استفاده، از اقتضائات متضادباهم هستند. وقتي كه سيستم‌ها را امن‌تر مي‌كنيم، طبعاً از قابليت استفاده‌ي آن‌ها مي‌كاهيم. كار الكترونيكي چيزي است كه بايد در شرايط مربوط به كاربر عادي هم عمل كند، يعني براي هر كسي قابل استفاده باشد. تركيب قابليت استفاده با امنيت، چالش اصلي عصر ما است.
5. كار الكترونيكي امن: يك چشم‌انداز
كار با اينترنت به پيشرفت خود ادامه مي‌دهد و به عرصه‌هاي جديد برنامه‌هاي كاربردي گسترش مي‌يابد. كاهش سرانه‌ي قيمت محصولات، عملاً همه‌ي برنامه‌ها را به استفاده از فناوري اصلي «آي‌پي»سوق خواهد داد. اگر جابجايي‌پذيري، كيفيت خدمات، و امنيت، محور اصلي خدمات اينترنت در نسل آينده باشند، در آن صورت يك سكوي عمومي جهاني خواهيم داشت تا كار الكترونيكي را بر روي آن استوار كنيم.
«آي‌پي‌سِك» و «زيرساختار كليد عمومي» مانع مؤثري در مقابل افشاي غيرمجاز و دستكاري ]ناشي از[ ترافيك شبكه ايجاد مي‌كنند. وجود اضافات كافي در شبكه، مانع تضييق خدمات است. با راه‌حل‌هاي استاندارد و ارزانقيمتي كه مرتباً ارزان‌تر هم مي‌شوند، مي‌توان به همه‌ي اين‌ها دست يافت.
بنابراين سكوي فني براي كار الكترونيكي امن،‌ در حال شكل‌گرفتن است و جنبه‌هاي شبكه‌اي امنيت را مي‌توان حل كرد. اما وقتي كه با افراد و با جريان‌هاي پيچيده‌ي اطلاعات سروكار داريم، هيچ راه‌حل استاندارد ساده‌اي براي امنيت كل سيستم وجود ندارد. براي تعريف فرايندهاي اصلي پيشه‌گاني و جريان‌هاي اطلاعاتي و مقتضيات امنيتي ملازم با آن‌ها، كار زيادي لازم است. بايد در طراحي اين فرايندها، امنيت نيز وارد شود. بايد سازوكارهاي استاندارد امنيت‌ به‌كارگرفته شوند تا اطمينان حاصل شود كه سيستم‌هاي اطلاعاتي مورد استفاده، امنيت جريان‌هاي اطلاعاتي را به خطر نمي‌اندازند.
هيچ روش شناخته‌شده‌اي براي اثبات امنيت كل فرايندها وجود ندارد. بايد مداوماً به نظارت و به بازخورددادن به فرايندهايمان بپردازيم. همچنين بازرسي به‌وسيله‌ي يك طرف بيروني (كه مسئوليتي در استقرار يا اجراي سيستم ندارد) لازم است.
خوشبختانه ما به مرحله‌اي رسيده‌ايم كه قدرت پردازش فزاينده و ديگر پيشرفت‌هاي فني آتي، به نفع افراد است. استفاده‌پذيري هر سيستم اطلاعاتي يك چالش عمده است. تركيب استفاده‌پذيري با امنيت، بسيار دشوارتر است. هدف اصلي در طراحي سيستم‌ها نبايد بهينه‌سازي استفاده از منابع رايانشي هر چه ارزان‌تر باشد، بلكه بايد كار افراد را هر چه اثربخش‌تر و خوشايندتر سازد. اين يك عرصه‌ي تحقيقاتي بين- رشته‌اي است كه انتظار مي‌رود در آينده اهميت بيش‌تري پيدا كند.
ضعيف‌ترين نقطه در موضوع امنيت، همچنان افراد و نگرش‌هاي آن‌ها خواهد بود. مدت‌ها است كه علت اصلي در عمده‌ي نقض امنيت‌ها، رفتار غيرمجاز افراد غيرمجاز در كارهاي روزانه‌شان است. درحالي‌كه ابزارهاي فني و سكوهاي فني امن و قابل اندازه‌گيري براي موفقيت در كار الكترونيكي ضرورت دارند، اما كمبودهاي موجود در جنبه‌هاي غيرفني امنيت را جبران نمي‌كنند. امنيت را بايد تعريف، طراحي، و در فرايندهاي كاري تعبيه كرد. افراد بايد به خوبي راهنمايي شوند، آموزش ببينند، و انگيزه‌مند شوند. همچنين بايد به نظارت و بازخورد، و نيز به بازرسي مستقل توجه كرد. اين امر مستلزم آن است كه كل سازمان‌ها، كار را از رده‌ي بالاي مديريت خود شروع كنند. امكانات حاصل از كار الكترونيكي چنان است كه بايد در درازمدت، اطمينان حاصل شود كه از زمان و كار به بهترين صورت استفاده مي‌شود.


:1. (5)::1. (5)::1. (5):