نشر توسط:admin Views 25 تاریخ : 19 فروردين 1395 نظرات ()
امنیت اطلاعات در كار الكترونیكى
تهدیدات موجود در پیش روى امنیت سیستم هاى اطلاعاتى را مى توان به سه دسته اصلى تقسیم كرد: افشاى اطلاعات محرمانه (تهدید «افشا»)، صدمه به انسجام اطلاعات (تهدید «دستكارى») و موجود نبودن اطلاعات (تهدید «تضییق خدمات»). به طور مرسوم، امنیت اطلاعات در وهله اول با تهدید «افشا» همراه بوده است.در دنیاى امروز، وابستگى ما به سیستم هاى اطلاعاتى طورى است كه دستكارى غیرمجاز یا فقدان گسترده اطلاعات، پیامدهاى ناگوارى را موجب خواهد شد. در كار الكترونیكى، لازم است كه همه انواع اطلاعات از طریق شبكه ، دسترس پذیر باشند. بنابراین، امنیت اطلاعات شرط ضرورى كار الكترونیكى است.در هنگام كاركردن در یك شبكه باز، جریان اطلاعات در شبكه در معرض افشا و دستكارى غیرمجاز است. بنابراین براى حفاظت از محرمانگى و انسجام آن اطلاعات، رمزگذارى قوى ضرورى است. كمك غیرمستقیم رمزگذارى به ما این است كه از وجود شبكه هاى اطلاعاتى اطمینان حاصل كنیم. پس از مقابله موثر با تهدیدات «دستكارى» و «افشا»، مى توان با ایجاد اضافات كافى در شبكه هاى اطلاعاتى، دردسترس بودن اطلاعات را تحقق بخشید. فناورى اینترنت در اصل براى به وجود آوردن همین نوع از اضافات طراحى شد و هنوز هم براى این منظور مناسب است.• ایجاد زیرساختار شبكهمعمارى اینترنت، معمارى شبكه اى غالب در اوایل دهه ۲۰۰۰ است. اینترنت بر پروتكل اینترنت (آى پى) استوار است، كه مى توان آن را روى همه انواع شبكه هاى فیزیكى و تحت همه انواع برنامه هاى كاربردى به كار انداخت. استقلال پروتكل اینترنت هم از شبكه هاى فیزیكى و هم از برنامه هاى كاربردى، نقطه قوت اصلى آن است. این پروتكل حتى با فناورى هاى شبكه اى كاملاً جدید، مثل «شبكه محلى بى سیم» (دبلیولن) یا «سرویس رادیویى بسته اى عمومى» (جى پى آراِس) و شبكه «سامانه عمومى ارتباطات همراه» (جى اس ام) نیز كار مى كند.برنامه هاى جدید، مثل وب، «ووآى پى» و بسیارى برنامه هاى دیگر كه در آینده عرضه مى شوند را مى توان به راحتى با سرویس استاندارد پروتكل اینترنت اجرا كرد. معمارى اینترنت اساساً از سال ۱۹۷۴ ثابت مانده و همچنان قدرت خود را اثبات مى كند. بنابراین شعار قدیمى «آى پى وراى همه، همه چیز برروى آى پى» امروز بیش از هر زمان دیگرى صدق مى كند.عیب هاى اصلى «آى پى» ، فضاى ناكافى نشانى، عدم پشتیبانى از جابه جایى فیزیكى، فقدان كیفیت متمایز سرویس و فقدان امنیت آن است. «گروه فوق العاده مهندسى اینترنت» هر یك از این موضوعات را مدنظر قرار داده و راه حل هاى استانداردى نیز براى هر یك از آنها پیشنهاد شده. در نگارش ششم و جدید «آى پى» عملاً تعداد نشانى هاى نامحدود و گسترش پذیرى آن بهتر از نگارش ۴ (كنونى) است. «آى پى سیار» (اِم آى پى) براى هر دو نگارش تعریف شده. این «آى پى» براى میزبان سیار این امكان را فراهم مى آورد كه از یك شبكه به شبكه دیگر جابه جا شود، ضمن اینكه نشانى هاى «آى پى» دائمى خود را كه در همه ارتباطات با این میزبان مورد استفاده قرار مى گیرد، حفظ مى كند. این امر منجر به تحرك واقعى، نه صرفاً در چارچوب فناورى یك شبكه (مثل «جى اس ام»)، بلكه بین انواع مختلف شبكه ها، مثل «دبلیولن» ، «جى پى آر اس» و شبكه هاى سیمى مى شود. كیفیت سرویس را مى توان در اینترنت به وسیله «سرویس هاى متمایز اینترنتى» كه یك طرح اولویت بندى ساده مستقل از كشورها است و كاملاً مناسب شبكه هاى جهانى است، تكمیل كرد. امنیت عمومى سطح «آى پى» توسط «آى پى سك» (پروتكل امنیت اینترنت) كه بر رمزنگارى و «پروتكل مدیریت كلید» همراه با آن یعنى «مبادله كلید اینترنتى» (آى كائى) استوار است، فراهم مى شود.اگرچه همه این كاركردها را نمى توان در لایه «آى پى» به انجام رساند، اما هركار كه ممكن است باید در همانجا به انجام برسد؛ و این، ویژگى خوب معمارى اینترنت است كه كل كاركردهاى لایه «آى پى»، چه از شبكه هاى فیزیكى و چه از برنامه ها، مستقل است. مثلاً «آى پى سِك» با (و در) همه شبكه ها و تحت انواع برنامه ها كار مى كند. اینترنت مى تواند از «قانون مور» نهایت استفاده را ببرد. این قانون در اصل خود حكایت از آن دارد كه عملكرد ریزپردازنده ها هر ۱۸ ماه دو برابر مى شود، در حالى كه قیمت آنها ثابت مى ماند. عجیب اینكه، این قانون بیش از ربع قرن است كه دوام آورده.تقریباً همین رفتار را مى توان در بسیارى از حوزه هاى دیگر نیز مشاهده كرد، از جمله در مورد حافظه موقت، دیسك سخت، شبكه محلى، شبكه محلى بى سیم، سوئیچ شبكه محلى و مسیریاب «آى پى». اما حتى در حوزه مخابرات سیار [موبایل] كه نسبتاً سریع پیشرفت مى كند، طول عمر یك نسل از تولید، ۱۰ سال است، نه دو سال. تلفن رادیویى اتومبیل در سال ،۱۹۷۱ تلفن همراه اروپاى شمالى در سال ۱۹۸۱ و سامانه عمومى ارتباطات همراه در ۱۹۹۱ مورد استفاده عموم قرار گرفتند و «یوام تى اس» احتمالاً در سال ۲۰۰۲ وارد میدان مى شود.این بدان معنا است كه صرفه مندى فناورى اینترنت براساس بسته، همواره بسیار سریع تر از فناورى مخابراتى مبتنى بر «تركیب تقسیم زمانى» متعارف پیشرفت مى كند. بنابراین در زمان كوتاهى، همه برنامه ها روى «آى پى» قرار مى گیرند. در سیستم تلفن معمولى، روشن است كه «ووآى پى» بسیار با صرفه تر از مخابرات معمول، چه در محدوده هاى محلى و چه در مناطق گسترده است. با پیشرفت هایى كه در ارتباطات بى سیم و «آى پى» به وقوع پیوسته، فقط دو سال طول مى كشد كه ارتباطات سیار هم به همین وضعیت برسد. اگر قرار باشد كه «یواِم تى اِس» یك لاكر بوم شناختى داشته باشد، همان شبكه فیزیكى، همراه با شبكه محلى بى سیم (دبلیولن)، سرویس رادیویى بسته عمومى (جى پى آر اس) و... تحت «آى پى» خواهد بود. بنابراین منطقاً مى توانیم بپذیریم كه كار الكترونیكى بر معمارى اینترنت استوار خواهد بود و جنبه هاى امنیت شبكه اى آن نیز همانند امنیت اینترنت خواهد بود.دانش فراگیر به معناى استفاده از فناورى اطلاعات در یكى از اشكال گوناگون آن، در همه عرصه هاى زندگى و با همه ابزار قابل تصور است. وسایل خانگى متداول شامل ریزپردازنده هایى هستند كه نرم افزارهایى را به كار مى اندازند كه بخش عمده كاركرد این وسایل را به انجام مى رسانند. در آینده نزدیك، اكثر این ابزارها، اغلب با دسترسى بى سیم، شبكه بندى خواهند شد. همچنین به منظور حصول امنیت، لازم است كه سیستم هاى رمزنویسى كلید عمومى و كلیدهاى رمزنویسى مخفى داشته باشند تا پیكربندى و مدیریت امن آنها امكانپذیر شود. این بدان معنا است كه ما در همه جا، رایانه هاى با شبكه بندى كوچك و رمزنویسى تعبیه شده در درون آنها خواهیم داشت. این رایانه ها به قدرى رایج خواهند شد كه آنها را رایانه یا فناورى اطلاعات به شمار نخواهیم آورد؛ همان طور كه امروزه به الكتریسیته كه همه جا از آن استفاده مى كنیم، چندان توجه نمى كنیم.به زودى تقاضاى بسیار براى ابزارهاى ارزان قیمت و كوچك را كه محیط رابط «آى پى»، «آى پى سك» و «دبلیولن» را بر روى فقط یك تراشه سیلیكن به كار مى اندازند شاهد خواهیم بود. بقیه سطح این تراشه به یك ریزكنترل گر همه منظوره، درگاه هاى ورودى و خروجى و حافظه اختصاص مى یابد تا دستگاه هاى مختلف را كنترل كند. این تراشه ها اكنون تولید شده اند و به زودى اكثر میزبان هاى متصل به اینترنت را تشكیل مى دهند.• تأثیر افزایش جابه جایى پذیرىسیاربودن در مفهوم وسیع تر كلمه به معناى توانایى كاربر در دسترسى به اطلاعات، مستقل از محل و مكان او است. در عمل، لازمه این امر معمولاً نوعى از پشتیبانى جابه جایى پذیرى از سوى دستگاه پایانه و شبكه اصلى است. البته جابه جایى پذیرى تهدیدهاى جدید امنیتى را به دنبال نمى آورد، اما تهدیدهاى موجود را جدى تر مى سازد؛ زیرا دسترسى به اطلاعات، مستقل از مكان صورت مى گیرد. همچنین امنیت سیستم، از هر جایى و توسط هر فرد مجاز مى تواند مورد حمله قرار گیرد. باید توجه كرد كه جابه جایى پذیرى و بى سیم بودن دو چیز متفاوتند، اگر چه اغلب با هم همراهند. جابه جایى پذیرى به معناى توانایى كاربر یا پایانه، در حركت از یك شبكه (یا نقطه اتصال) به شبكه دیگر است؛ بى سیم بودن یعنى جایگزین ساختن كابل شبكه یا آخرین پیوند شبكه با پیوندهاى ارتباطى بى سیم (مثل رادیویى یا مادون قرمز). بى سیم بودن به تنهایى، جابه جایى پذیرى چندانى را امكانپذیر نمى كند. مثلاً در یك شبكه «سامانه عمومى همراه» (جى اس ام)، عمده پیچیدگى شبكه و نرم افزار پایانه باید به امر انتقالات، یعنى گذر پایانه سیار از یك ایستگاه اصلى به ایستگاه دیگر تخصیص یابد. ضمن این كه بى سیم بودن و جابه جایى پذیرى، هر یك به طور جداگانه ممكن است مفید باشند، وقتى كه با هم تركیب مى شوند بهترین عملكرد را دارند. به همین دلیل دسترسى بى سیم به شبكه هاى سیار اهمیت روزافزونى پیدا مى كند.• راه حل هاى ممكنامنیت اطلاعات موضوعى چند بعدى است كه با جنبه هاى غیرفنى متعددى ارتباط دارد. همواره براى تحقق امنیت، ابزارهاى فیزیكى، پرسنلى و اجرایى لازمند و ابزارهاى فنى به تنهایى بى فایده اند. اما وقتى كه در یك شبكه نامطمئن كار مى كنید، امنیت بدون استفاده از رمزنگارى میسر نمى شود. بنابراین بخشى از راه حل، «آى پى سك» است كه مى توان به عنوان یك سازوكار استاندارد براى حفاظت در برابر استراق سمع و دستكارى پیام در شبكه به كار برد.رمز نگارى كلید عمومى، مثلاً براى تایید اصالت و براى مدیریت كلیدها، لازم است. به علاوه یك «زیرساختار كلیدهاى عمومى» لازم است تا كلیدها را به شیوه اى اطمینان بخش، به مالكان آنها پیوند دهد. «زیرساختار كلیدهاى عمومى» نمونه اى از خدمات «شخص ثالث امین» است كه همیشه بر اعتماد و اطمینان استوارند. تحقق فیزیكى «زیرساختار كلیدهاى عمومى» در قالب گواهینامه انجام مى گیرد. اعتماد به دست آوردنى است نه دیكته كردنی. طرف هاى مختلف باید بتوانند تصمیم بگیرند به چه كسى، در چه موضوعاتى و تا چه اندازه اعتماد كنند. همچنین در هر سیستم به یك «مبناى رایانشى قابل اعتماد» نیاز داریم. این «مبناى رایانشى قابل اعتماد» باید [تا حد امكان] كوچك شده و مبتنى بر طرح هاى آزاد باشد. باید بتوانیم حسابرسى كنیم تا به آن اعتماد كنیم. چشم پوشى از امنیت بخش هایى از سیستم در خارج از «مبناى رایانشى قابل اعتماد» نباید امنیت كل سیستم را به خطر اندازد. به طور سنتى، كنترل دسترسى و صدور مجوز براى آن براساس تایید اصالت هویت كاربر (هویتى كه در شكل یك نام نمود مى یابد) صورت مى گیرد. این كار در سیستم هاى بزرگ عملى نیست، زیرا تشخیص حقوق دسترسى یك فرد صرفاً براساس نام او، امكان ناپذیر است. عموماً ما بیشتر علاقه مندیم كه اطمینان حاصل كنیم كاربر به انجام كارى كه انجام مى دهد مجاز است یا خیر و نه این كه بدانیم او كیست. بنابراین به جاى تعیین هویت او، باید قادر به تایید اصالت حقوق او باشیم. صدور مجوز ها ابزار عمومى خوبى هستند كه مى توان براى چنین اهدافى، حتى در سطوح سیستم هاى جهانى به كار گرفت. امنیت و قابلیت استفاده، از اقتضائات متضاد با هم هستند. وقتى كه سیستم ها را امن تر مى كنیم، طبعاً از قابلیت استفاده آنها مى كاهیم. كار الكترونیكى چیزى است كه باید در شرایط مربوط به كاربر عادى هم عمل كند، یعنى براى هر كسى قابل استفاده باشد. تركیب قابلیت استفاده با امنیت، چالش اصلى عصر ما است.كار با اینترنت به پیشرفت خود ادامه مى دهد و به عرصه هاى جدید برنامه هاى كاربردى گسترش مى یابد. كاهش سرانه قیمت محصولات، عملاً همه برنامه ها را به استفاده از فناورى اصلى «آى پى» سوق خواهد داد. اگر جابه جایى پذیرى، كیفیت خدمات و امنیت، محور اصلى خدمات اینترنت در نسل آینده باشند، در آن صورت یك سكوى عمومى جهانى خواهیم داشت تا كار الكترونیكى را بر روى آن استوار كنیم.«آى پى سك» و «زیرساختار كلید عمومى» مانع موثرى در مقابل افشاى غیرمجاز و دستكارى ناشى از ترافیك شبكه ایجاد مى كنند. وجود اضافات كافى در شبكه، مانع تضییق خدمات است. با راه حل هاى استاندارد و ارزان قیمتى كه مرتباً ارزان تر هم مى شوند، مى توان به همه اینها دست یافت.بنابراین سكوى فنى براى كار الكترونیكى امن، در حال شكل گرفتن است و جنبه هاى شبكه اى امنیت را مى توان حل كرد. اما وقتى كه با افراد و با جریان هاى پیچیده اطلاعات سروكار داریم، هیچ راه حل استاندارد ساده اى براى امنیت كل سیستم وجود ندارد. براى تعریف فرآیندهاى اصلى پیشگانى و جریان هاى اطلاعاتى و مقتضیات امنیتى ملازم با آنها كار زیادى لازم است. باید در طراحى این فرآیندها، امنیت نیز وارد شود. باید ساز و كارهاى استاندارد امنیت به كار گرفته شوند تا اطمینان حاصل شود كه سیستم هاى اطلاعاتى مورد استفاده، امنیت جریان هاى اطلاعاتى را به خطر نمى اندازند.هیچ روش شناخته شده اى براى اثبات امنیت كل فرآیندها وجود ندارد. باید مداوماً به نظارت و به بازخورد دادن به فرآیندهایمان بپردازیم. همچنین بازرسى به وسیله یك طرف بیرونى (كه مسئولیتى در استقرار یا اجراى سیستم ندارد) لازم است.خوشبختانه ما به مرحله اى رسیده ایم كه قدرت پردازش فزاینده و دیگر پیشرفت هاى فنى آتى، به نفع افراد است. استفاده پذیرى هر سیستم اطلاعاتى یك چالش عمده است. تركیب استفاده پذیرى با امنیت، بسیار دشوارتر است. هدف اصلى در طراحى سیستم ها نباید بهینه سازى استفاده از منابع رایانشى هر چه ارزان تر باشد، بلكه باید كار افراد را هر چه اثربخش تر و خوشایندتر سازد. این یك عرصه تحقیقاتى بین- رشته اى است كه انتظار مى رود در آینده اهمیت بیشترى پیدا كند.ضعیف ترین نقطه در موضوع امنیت، همچنان افراد و نگرش هاى آنها خواهد بود. مدت هاست كه علت اصلى در عمده نقض امنیت ها، رفتار غیرمجاز افراد غیرمجاز در كارهاى روزانه شان است. درحالى كه ابزارهاى فنى و سكوهاى فنى امن و قابل اندازه گیرى براى موفقیت در كار الكترونیكى ضرورت دارند، اما كمبودهاى موجود در جنبه هاى غیرفنى امنیت را جبران نمى كنند. امنیت را باید تعریف، طراحى و در فرآیندهاى كارى تعبیه كرد. افراد باید به خوبى راهنمایى شوند، آموزش ببینند و انگیزه مند شوند. همچنین باید به نظارت و بازخورد و نیز به بازرسى مستقل توجه كرد. این امر مستلزم آن است كه كل سازمان ها كار را از رده بالاى مدیریت خود شروع كنند. امكانات حاصل از كار الكترونیكى چنان است كه باید در درازمدت، اطمینان حاصل شود كه از زمان و كار به بهترین صورت استفاده مى شود