Навіщо використовується УШМ

Шифрування даних: все, про що ви повинні знати, щоб захистити дані

Якщо раніше цінності були суто матеріальними – золото-діаманти, скрипки італійських майстрів, картини фламандців та вази епохи Цінь, наприклад, – то нинішні цінності мають абстрактніший характер, хоча суть їх від цього не змінюється. Алмази та перли ховалися у сейфи та схованки, а сучасні скарби ми тримаємо на жорстких дисках комп'ютерів чи серверів, на флешках та картах пам'яті телефонів.

Довіривши найпотаємніше ґаджетам та комп'ютерам, ми зробили себе вразливими. Усе, що зберігається на вінчестерах, у пам'яті додатків та браузерів, стало Ахіллесовою п'ятою сучасної цивілізації. Інформація про сім'ю, кар'єру, матеріальні активи, політичні погляди, фінансові дані, заплановані угоди, “чорна” бухгалтерія, доступи до рахунків, ключі до електронних гаманців, корпоративні секрети та комерційні таємниці – ось нові мішені любителів присвоїти чуже.

Сейф можна розкрити, підібравши відмичку або вирізавши автогеном. Витягти інформацію з диска можна так само легко. Сейф можна заховати у стіні, у бункері на глибині 200 метрів, можна обнести колючим дротом і пустити по ньому струм. Шифрування інформації діє набагато ефективніше (і гуманніше!): апаратні та програмні криптографічні засоби можуть по-справжньому убезпечити ваші цифрові скарби.

Про те, які криптографічні засоби захисту інформації застосовують у корпоративних системах, ми розповіли у статті «Кібербезпека організації: захищаємо інформаційний периметр»

Історії відомо про криптографічні системи ще з античних часів

Трохи про історію криптографії

Криптографія - це наука, що вивчає засоби захисту інформації вже понад чотири тисячі років – одночасно з розвитком писемності люди шукали способи зашифрувати написане, приховавши його суть від сторонніх очей. Історії відомо про різні види шифрування ще з античних часів, наприклад, моноалфавітний шифр Цезаря, який використовував принцип зсуву літерних позицій в алфавіті. Протягом століть винаходилися як нові шифри, так і нові криптоаналітичні методи (способи розшифровки), а також пристосування, що полегшують операцію шифрування/дешифрування: наприклад, грецька лінійка Енея, спартанська сцитала (скитала), решітка Кардано, лінейка та ін. Довгий час в основі шифрування були алфавітно-символьні комбінації: на зміну моноалфавітним системам прийшли складніші, поліалфавітні. Дещо більше ста років тому для поліалфавітного шифрування стали використовувати електромеханічні пристрої. Класичною криптографією вважають криптографію з секретним (симетричним) ключем: для шифрування та розшифрування даних використовують ту саму послідовність символів.

Перші спроби застосовувати математичні методи для шифрування відносяться до першої половини ХХ ст. Величезний внесок у розвиток криптографії як науки зробив “батько інформаційного віку”, американський математик та інженер Клод Елвуд Шеннон, який сформулював теоретичну базу криптографії та впровадив багато основних понять. Він дав математичні визначення таким явищам, як інформаційна ентропія, передачі даних, кількість інформації, сформулював функції шифрування. До речі, йому ми зобов'язані введенням у побут терміна “біт” як найменшої одиниці інформації. Крім того, Шеннон включив як обов'язковий елемент шифрування дослідження шифру на вразливість до лінійного та диференціального криптоаналізу.

Із середини 1970-х років у криптографії з'явився новий напрямок - шифрування з використанням ключових пар, зване також шифруванням відкритим ключем або асиметричним шифруванням. У даний час саме воно використовується майже повсюдно. Суть асиметричного шифрування у тому, що з шифрування і дешифровці даних підбираються два ключі, відкритий (публічний) і відповідний йому закритий (приватний). Кожен ключ із пари виконує певну функцію: відкритий ключ шифрує інформацію, а закритий ключ – розшифровує.

Інформаційні технології за останні чотири десятиліття розвиваються стрімко, пропонуючи нові криптографічні методи захисту інформації та нові сфери їх використання. На сучасному етапі розвитку криптографія є поєднанням математики та інформатики. Прогрес квантових комп'ютерних технологій переведе криптологію на новий рівень: уже зараз ведуться розробки у сфері квантової криптографії, в основі якої лежать принципи не математики, а квантової фізики. Окремою її гілкою можна вважати постквантову криптографію, специфіка якої полягає у створенні синтетичних криптографічних схем, стійких як до “класичних” методів криптоаналізу, так і до квантових.

Криптографічні засоби захисту інформації зараз виявляються практично скрізь

Де використовується криптографія

В античні часи та Середньовіччя криптографія використовувалася для того, щоб певну інформацію могли дізнатися лише ті, кому адресовано секретне послання. Із часом суть цього процесу не змінилася.

Криптографічні засоби захисту інформації виявляються практично скрізь. Смартфони, сучасні комп'ютери, смарт-годинники, планшети, “розумні” будинки, програмована побутова техніка, wi-fi роутери, біржові системи, популярні месенджери – дані, які зберігаються та/або передаються за їх допомогою завжди зашифровані. Особливо важливою є роль шифрування при передачі даних під час фінансових транзакцій – наприклад, при проведенні платежу з використанням інтернет-банкінгу або через системи міжнародних електронних платежів, при знятті готівки в банкоматі або під час операцій із платіжними терміналами, при еквайрингу в торгових точках або здійсненні forex-угоди.

Мобільні операційні системи змагаються між собою, чий криптозахист ефективніше убезпечить користувальницьку інформацію. Криптографічні алгоритми лежать і в основі хайпового тренду останніх років – різноманітних криптовалют.

Інтернет-трафік теж потребує захисту – і криптонадбудова в протоколі HTTPS успішно справляється з цим завданням, шифруючи криптографічними протоколами SSL та TLS конфіденційну інформацію, що передається каналом client-to-site. Важливість переходу на захищений протокол і використання SSL-сертифікатів підкреслила свого часу корпорація Google, заявивши, що сайти з HTTPS ранжуються в пошуковій видачі вище - тобто збільшується ймовірність того, що їх відвідають користувачі. Після Google Chrome маркування "http=небезпечний сайт, https=безпечний" підхопили й інші браузери. Масштаби масового переходу сайтів з протоколу http на його безпечне розширення https можна побачити на прикладі статистики, зібраної за браузером Mozilla Firefox з листопада 2013 року до сьогодні:

Так, якщо у березні 2014 року світовий обсяг https-трафіку становив 28,31%, то через п'ять років у березні 2019 року цей показник зріс майже втричі, до 78,38%. Хоча причину цього явища можна назвати штучною – тиск з боку глобальних гравців інформаційного ринку, – результати таки дуже позитивні: можна впевнено сказати, що рівень безпеки даних, що передаються через інтернет, значно зріс. Отже, наш інформаційний захист посилюється.

Що вибрати – програмне чи апаратне шифрування?

Отже, ми розібралися, що шифрування потрібне і на фізичних носіях, і на віртуальних, і на каналах передачі даних. Для захисту інформації на жорстких дисках використовують три основні методи шифрування: апаратне, програмне та програмно-апаратне. Усі вони захищають дані шляхом використання криптографічного алгоритму, але розрізняються за способом реалізації функції шифрування/дешифрування.

Обираючи між ними, варто спиратися на реальні потреби. Програмне шифрування обходиться дешевше апаратного, але значно поступається йому в надійності. Та й процесорні потужності під час роботи криптографічних алгоритмів використовуються по-різному: програмне шифрування бере процесор комп'ютера, тоді як апаратний шифратор має власний процесор. При цьому програмне шифрування цілком доцільно використовувати для особистих комп'ютерів і в малому бізнесі, тоді як для корпоративних цілей, шифрування критично важливої інформації (фінансові транзакції, комерційна таємниця, авторські розробки тощо) варто зупинити вибір на апаратному шифруванні. Мережевий трафік, зв'язок, месенджери – всі вони також використовують засоби апаратного криптографічного захисту.

Деякі порівняльні характеристики апаратного та програмного шифрування наведені в таблиці:

Цікаво, що незважаючи на довічне суперництво, обидва гіганти IT-індустрії, корпорації Apple і Microsoft, дійшли одного рішення – впровадити для користувачів своїх операційних систем програмне шифрування. Так, BitLocker прописаний у MS Windows вже починаючи з 7 версії корпоративної ОС. Автоматичне шифрування за допомогою BitLocker доступне також для приватних користувачів, починаючи з Windows 10.

Однак іноді це може призвести, навпаки, до зниження безпеки. Так, програмно-апаратне шифрування в деяких SSD-накопичувачах виявилося скомпрометованим, як минулого року з'ясували дослідники з Нідерландів. Вони виявили кілька варіантів вразливості, користуючись якими, зловмисники могли отримати доступ до даних. Одна з них "сховалася" саме у програмно-апаратній системі криптозахисту. Вбудований у Windows 10 BitLocker, виявивши в SSD-диску систему апаратного криптозахисту, просто "поступався місцем експерту" і не включав свою функцію шифрування. Покладався на компетентність залізного захисту, висловлюючись фігурально.

На щастя, вчасно виявлені недоробки у SSD їх виробники усунули. Однак не варто забувати, що стовідсоткового захисту від кібератак – як і універсального рівняння щастя чи ліків від усіх хвороб – не існує. І багато в чому безпека даних залежить від сумлінності вендорів ПЗ, обладнання та провайдерів інфраструктурних сервісів.

Особливо це стосується хмарної безпеки, про яку багато турбуються. Команда SIM-Networks вважає, що питання забезпечення безпеки даних, довірених нам клієнтами, у нашій роботі є одним із пріоритетних. Тому рівень фізичного захисту інформації в нашому хмарному продукті SIM-Cloud IaaS, забезпечується засобами апаратного захисту. Так само відповідально ми підходимо і до збереження даних у всіх інших наших інфраструктурних рішеннях, у тому числі й у приватних хмарах, які будуємо для клієнтів.

Шифрування коштує досить дорого.

Що заважає зашифрувати все?

Досі ми говорили, що дані важливо шифрувати. Але не секрет, що значна частина інформації, як і раніше, залишається за бортом криптозахисту. Чому ж, якщо шифрування настільки корисне і дає серйозний захист перед лицем кіберзагроз, що множиться, ще далеко не вся інформація в світі зашифрована? Причин може бути кілька.

Почнемо з того, що шифрування коштує досить дорого. Мова тут не тільки про вартість самих криптографічних програм або апаратури (хоча і про них також). Насамперед, варто враховувати, що для математично складних операцій із перетворення даних у процесі шифрування потрібні значні ресурси: пам'ять та процесорний час.

Оскільки і Microsoft, і Apple включили шифрування даних як опцію для клієнтів, які користуються операційними системами, створюється ілюзія, ніби шифрування безкоштовне. Але, погодьтеся, різниця між шифруванням пари терабайт (1012 байт) на хард-диску ноутбука та пари петабайт (1015 байт) даних, що циркулюють та зберігаються в корпоративній інфраструктурі, – величезна. І якщо для першого випадку невелике зниження продуктивності на ноутбуці з апаратним шифруванням користувач може і не помітити, то в другому випадку, коли користувачів тисячі або десятки тисяч, а рахунок транзакцій йде на мільйони, ресурси, що поглинаються на шифрування даних, можуть серйозно пригальмувати роботу системи.

Тому, вибираючи криптографічне програмне забезпечення та обладнання для бізнесу, варто оцінювати об'єктивну цінність даних, що підлягають криптозахисту, та порівняти її з вартістю шифрування.

Інша проблема – непрозорість шифрування. Контекст цього терміну передбачає неможливість проміжної перевірки зашифрованих даних без повного їх дешифрування. Якщо йдеться про захист від зловмисника, то це здорово. Але якщо дані вимагають перевірки щодо узгодженості чи відповідності будь-яким нормативним вимогам – так, тут уже все складно Зрозуміло, що ця проблема турбує корпоративних користувачів, у яких функції розподілені: один відділ створює документ, інший його редагує, третій робить комплаєнс-перевірку, четвертий публікує на сайті. Виходить, що в кожному вузлі цього ланцюжка дані доводиться розшифровувати, перевіряти, а потім повторно шифрувати. Це затратно і за часом, і за ресурсами, хоча можна мінімізувати зниження продуктивності, особливо спроектувавши цей процес. Однак у тому випадку, коли дані перебувають у русі і проходять через VPN, усе ускладнюється.

Найчастіше для перегляду даних, що проходять через VPN-з'єднання, необхідно запускати механізм "втручання зсередини" (man-in-the-middle attack - вид злому, при якому зловмисник може перехоплювати, читати, додавати та змінювати за своїм бажанням дані, що транслюються всередині VPN-каналу, причому жодна зі сторін каналу не знає про його втручання). VPN-з'єднання потрібно перервати, дані розшифрувати і перевірити, а потім створити новий тунель, за яким вже перевірені дані будуть передані в точку призначення. На думку деяких оглядачів, такий варіант, особливо в масштабах корпорації, потребує великих витрат і створює щонайменше одну точку відмови мережі.

Утім, рішення щодо безпеки, де можливе частково прозоре шифрування, за останні кілька років уже з'явилися на ринку. Щоправда, питання про вразливість систем із такою схемою шифрування потребує додаткових досліджень.

Прихована загроза

Непрозорість шифрування приховує у собі інші неприємні сюрпризи. Наприклад, масив даних після криптообробки може містити шкідливий код. Питання в тому, чи можна знайти та вичистити ці дані прицільно, без впливу на все сховище чи потік даних. Відповідь: взагалі ні. Щоб захистити контент від шкідливих даних, їх потрібно виявити до того, як дані шифруються, або до того, як вони будуть дешифровані для перевірки. У будь-якому випадку це ускладнює процес і збільшує його витратність. Тому корпоративні IT-підрозділи, прорахувавши кошторис вартості організації та підтримки криптографічної системи для своєї інфраструктури, часто відмовляються від цієї ідеї. Що зрештою не йде на користь безпеки.

Ще одна проблема – криптографічні засоби ускладнюють інфраструктуру, створюючи потенційні точки відмови систем безпеки, якими можуть скористатися зловмисники. Шифрування в масштабах підприємства складається з безлічі активних елементів, і додавання ще кількох може значно позначитися на загальну продуктивність системи безпеки. Це особливо відчутно, коли йдеться про гібридні хмарні інфраструктури з десятками компонентів: кожен додатковий компонент або процес додає можливість відмови та витрати на впровадження та управління. До цього не всі готові.

Як не парадоксально звучить, але сама процедура шифрування так само потребує захисту, як і дані, для захисту яких ми її використовуємо. Особливо якщо використовуються два ключі шифрування з обох боків каналу. Численні дослідження в галузі корпоративної безпеки, зокрема, за матеріалами експертів, які обслуговують мережі Starwood Hotels і Marriott International, доводять, що втрата ключа до схеми шифрування завдає серйозної шкоди її безпеці. Незалежно від того, у звичайному режимі йде потік даних, що підлягають криптографічному захисту, або через VPN, завжди є як мінімум механізми для запуску процесу шифрування та ключі шифрування – і те, й інше потрібно зберігати та захищати. Тому важливо передбачати інфраструктуру захисту механізмів шифрування так само, як і планувати весь процес криптозахисту, подібно до всіх інших корпоративних бізнес-процесів.

Коли організація впроваджує шифрування, робити це потрібно серйозно, без зайвого поспіху і діючи за попередньо розробленим планом. Це важливо, оскільки наслідки недбалого планування здатні завдати непоправної шкоди компанії.

Яскравий приклад поганого планування – казус, що стався з канадською біржою криптовалют QuadrigaCX. СЕО компанії Джеральд Коттен (Gerald Cotten) зберігав ключі шифрування на своєму зашифрованому ноутбуці. Усе йшло добре до того моменту, поки він раптово не помер. При цьому ніхто – НІХТО – не знав паролів та ключів. У результаті потенційні втрати біржі можуть становити $190 млн, і все це – гроші її клієнтів! Наразі ці кошти заморожені, а над розгадкою шифрів ламають голови експерти.

Штучний інтелект (ШІ) – що це таке, як працює і навіщо потрібен.

Штучний інтелект, або скорочено ШІ — це галузь комп’ютерних наук, яка фокусується на розробці машин і систем, здатних виконувати завдання, що зазвичай вимагають людського інтелекту, такі як навчання, розв’язання проблем і прийняття рішень. В основі ШІ лежить ідея створення машин, які можуть мислити й міркувати, як люди, і можуть вчитися на власному досвіді, щоб з часом покращувати свою продуктивність. Сфера штучного інтелекту постійно розвивається і має потенціал революціонізувати багато аспектів нашого життя — від охорони здоров’я і фінансів до транспорту і розваг.

Що таке ШТУЧНИЙ ІНТЕЛЕКТ — поняття та визначення простими словами.

Простими словами, Штучний інтелект — це здатність машин виконувати завдання, які зазвичай вимагають людського інтелекту, такі як візуальне сприйняття, розпізнавання мови, прийняття рішень і мовний переклад. Це означає, що системи штучного інтелекту можуть аналізувати дані, навчатися на них і робити прогнози або приймати рішення на основі цього навчання, що дозволяє машинам виконувати завдання з більшою точністю, швидкістю та ефективністю, ніж люди.

ШІ можна розділити на кілька різних типів, кожен з яких має свої унікальні характеристики та сфери застосування. Ці типи включають:

• машинне навчання,
• глибоке навчання,
• обробку природної мови,
• комп’ютерний зір.

Загалом ці технології використовуються для навчання машин розпізнавати закономірності в даних, робити прогнози або приймати рішення на основі цих даних і взаємодіяти з людиною природним чином, наприклад, за допомогою мови або тексту.

Поява штучного інтелекту.

Історія штучного інтелекту сягає корінням у стародавні цивілізації, де в історіях і міфах змальовувалися машини та істоти, що мали людський інтелект. Однак сучасні дослідження штучного інтелекту розпочалися лише в 1950-х роках, коли з’явилися перші електронні комп’ютери. У 1956 році група дослідників з Дартмутського коледжу організувала літній семінар з вивчення “штучного інтелекту”, який заведено вважати народженням цієї галузі. У наступні десятиліття дослідження в галузі ШІ досягли значних успіхів, включаючи розробку експертних систем, нейронних мереж і алгоритмів машинного навчання. Однак прогрес був нерівномірним, і дослідження ШІ переживали періоди як захоплення, так і розчарування. Останніми роками розвиток обчислювальних потужностей і доступність величезних обсягів даних призвели до відродження інтересу до ШІ, і ця галузь знову стрімко просувається до своєї кінцевої мети — створення інтелектуальних машин, здатних конкурувати з людським інтелектом і навіть перевершити його.

Види штучного інтелекту.

Отож, типи штучного інтелекту можна поділити на такі категорії:

Машинне навчання.

Машинне навчання є, мабуть, найвідомішим типом ШІ й передбачає введення великих обсягів даних в алгоритм або модель, які потім вчаться робити прогнози або приймати рішення на основі цих даних. Процес машинного навчання включає кілька етапів, зокрема:

1. підготовку даних,
2. навчання моделі,
3. оцінку моделі,
4. розгортання.

Цей тип ШІ використовується в широкому спектрі застосувань, включаючи розпізнавання зображень, розпізнавання мови, обробку природної мови та предиктивну аналітику.

Глибоке навчання.

Глибоке навчання просуває машинне навчання на крок далі, використовуючи нейронні мережі для виявлення закономірностей у даних і підвищення точності з часом. Нейронні мережі розроблені таким чином, щоб імітувати роботу людського мозку, дозволяючи машинам навчатися і приймати рішення, так само як і люди. Глибоке навчання використовується в таких додатках, як розпізнавання зображень і мови, обробка природної мови та самокеровані автомобілі.

Обробка природної мови.

Обробка природної мови — ще один важливий аспект ШІ, що дозволяє машинам розуміти та інтерпретувати людську мову, а також генерувати природні відповіді. Ця технологія використовується в таких додатках, як віртуальні асистенти й чат-боти (наприклад ChatGPT), які можуть взаємодіяти з користувачами природним чином і надавати інформацію або допомогу. Обробка природної мови включає кілька етапів, зокрема:

1. токенізацію,
2. синтаксичний аналіз,
3. семантичний аналіз,
4. генерацію.

Комп’ютерний зір.

Комп’ютерний зір — це ще один тип ШІ, який набуває все більшого значення, дозволяючи машинам аналізувати візуальні дані, такі як зображення та відео. Ця технологія використовується в таких додатках, як безпілотні автомобілі та системи розпізнавання облич. Комп’ютерний зір включає кілька етапів, зокрема:

1. отримання зображень,
2. обробку зображень,
3. виокремлення ознак,
4. розпізнавання об’єктів.

Кілька слів про оцінку та тести Штучного Інтелекту.

Одним із найвідоміших тестів у галузі ШІ є тест Тюрінга, який вперше запропонував британський математик і комп’ютерник Алан Тюрінг у 1950 році.

Тест Тюрінга призначений для перевірки здатності машини демонструвати розумну поведінку, яку неможливо відрізнити від поведінки людини. У тесті людина-оцінювач веде розмову природною мовою як з людиною, так і з машиною, не знаючи, хто з них хто. Якщо машина здатна переконати експерта, що вона є людиною, вона проходить тест Тюрінга. Хоча тест Тюрінга має своїх критиків і обмеження, він залишається цінним інструментом для оцінки прогресу і можливостей систем штучного інтелекту.

Реальне застосування штучного інтелекту.

Потенційні можливості застосування штучного інтелекту величезні, і ми вже бачимо багато реальних прикладів того, як ця технологія використовується для покращення нашого життя.

• Персональні асистенти, такі як Siri та Alexa, використовують обробку природної мови, щоб розуміти наші запити й надавати інформацію або допомогу.
• Самокеровані автомобілі використовують комп’ютерний зір, щоб “бачити” дорогу попереду і приймати рішення про те, як нею рухатися.
• Системи виявлення шахрайства використовують машинне навчання для виявлення незвичайних шаблонів у фінансових даних, допомагаючи запобігти шахрайським діям.
• Медичні дослідження також отримують користь від ШІ: розробляються системи для аналізу даних про пацієнтів і прогнозування наслідків захворювань.

Крім цих прикладів, ШІ використовується в багатьох інших сферах і галузях.

• У фінансовій сфері ШІ використовується для розробки моделей прогнозування цін на акції та інвестиційних можливостей.
• У маркетингу ШІ використовують для аналізу поведінки споживачів і персоналізації рекламних кампаній.
• У виробництві штучний інтелект використовується для оптимізації виробничих процесів і зменшення відходів.
• В освіті ШІ використовують для розробки персоналізованих навчальних програм і допомоги в оцінюванні.

ШІ також використовується для вирішення важливих соціальних та екологічних проблем. Наприклад, штучний інтелект використовується для вдосконалення методів ведення сільського господарства, оптимізації використання води та боротьби зі зміною клімату. У сфері охорони здоров’я ШІ використовується для розробки нових методів лікування і терапії, а також для підвищення точності діагностики й поліпшення результатів лікування пацієнтів. А у сфері соціальної справедливості ШІ використовується для виявлення та усунення упередженості в системах кримінального правосуддя та сприяння рівності при прийомі на роботу.

Важливі питання і занепокоєння стосовно Штучного інтелекту

Попри всі переваги, ШІ також викликає важливі питання і занепокоєння. Наприклад, деякі експерти висловлюють занепокоєння щодо потенційного впливу ШІ на сферу зайнятості, оскільки машини стають дедалі більш здатними виконувати завдання, які раніше належали до компетенції людини. Існують також побоювання щодо упередженості алгоритмів ШІ, які можуть увічнити існуючі нерівності та дискримінацію. Оскільки ШІ продовжує розвиватися і ставати більш досконалим, важливо, щоб ми вирішували ці проблеми і забезпечували відповідальне та етичне використання ШІ.

Висновок.

Штучний інтелект — це складна сфера, що швидко розвивається, з багатьма потенційними застосуваннями та наслідками. Хоча концепція машин, які можуть думати й вчитися, як люди, може здатися страшною, важливо розуміти основи роботи ШІ й те, як він використовується в навколишньому світі. Чи то через персональних асистентів, безпілотні автомобілі або медичні дослідження, ШІ вже має глибокий вплив на наше життя, і, ймовірно, стане ще більш важливим у найближчі роки. Розуміючи потенціал штучного інтелекту та працюючи над вирішенням його викликів і проблем, ми можемо гарантувати, що ця технологія принесе користь усім нам.