Угроза использования слабостей криптографических алгоритмов и уязвимостей в программном обеспечении их реализации
Угроза заключается в возможности выявления слабых мест в криптографических алгоритмах или уязвимостей в реализующем их программном обеспечении. Данная угроза обусловлена слабостями криптографических алгоритмов, а также ошибками в программном коде криптографических средств, их сопряжении с системой или параметрах их настройки. Реализация угрозы возможна в случае наличия у нарушителя сведений об применяемых в системе средствах шифрования, реализованных в них алгоритмах шифрования и параметрах их настройки
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.003. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.003
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Защита информации при ее передаче по каналам связи | ЗИС.19 | ЗКС.1 | ЗИС.3 | ЗИС.19 |
| Установка (инсталляция) только разрешенного к использованию программного обеспечения | УКФ.3 | — | ОПС.3 | УКФ.3 |
| Поиск, получение обновлений программного обеспечения от доверенного источника | ОПО.1 | — | — | ОПО.1 |
| Контроль целостности обновлений программного обеспечения | ОПО.2 | — | — | ОПО.2 |
| Тестирование обновлений программного обеспечения | ОПО.3 | — | — | ОПО.3 |
| Установка обновлений программного обеспечения | ОПО.4 | — | АНЗ.2 | ОПО.4 |
Почему именно эти меры
Угроза не в том, что канал не защищён, а в том, что используемый алгоритм или его реализация имеет слабости, которые нарушитель может вскрыть. Шифрование само по себе (ЗИС.19) остаётся условием необходимым, но не достаточным: важна криптографическая стойкость алгоритма. Главным здесь оказывается анализ уязвимостей (АУД.2): регулярная проверка применяемых криптографических библиотек на известные слабости (устаревшие протоколы, скомпрометированные версии). Управление обновлениями (ОПО.1-ОПО.4) закрывает конкретные уязвимости в реализации по мере выхода патчей, с проверкой источника и тестированием перед установкой. Ограничение на использование только разрешённого ПО (УКФ.3) не даёт откатиться на старую версию библиотеки с уже известной слабостью в обход контролируемого обновления.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель находится в канале передачи данных — в общем сегменте сети, в беспроводной зоне или на транзитном узле: он пассивно слушает трафик, вклинивается в сеанс между сторонами и выдаёт себя за одну из них.
Текст угрозы описывает и второй механизм, которому соответствует путь «Проникновение из интернета через уязвимость публичного сервиса». Рекомендуется один путь, выбор между ними остаётся за специалистом, который описывает систему.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.