Это ответ на это

Автор: мыщъх
Дата: 16.05.10

сообщение, но там обсуждение ушло куда-то в совсем технические дебри, поэтому отвечу отдельной темой, ибо чистая философия

Процитирую фразу мыщъха оттуда:

безопасность -- это буззворд. юзеры это слово любят и повторяют как мантру, но оценить безопасность не может даже эксперт по этой самой безопасности

и, чуть ниже по ветке:

это можно доказать. строго и математически

Для тех, кому лень читать весь следующий поток сознания, вот сухая выжимка сказанного мной ниже:

безопасность — это не баззворд, просто это понятие дискредитировано недобросовестными поставщиками. юзеры это слово не любят и повторяют как ругательство, ибо неизбежные ограничения их свобод, а эксперт по безопасности вполне в состоянии оценить эту самую безопасность. И, таки-да, это можно доказать строго и математически (я хз как математически, но логически — легко)

Спасибо за внимание

Всех, кого данный посыл заинтересовал, прошу под кат.

	Собственно, кат
	А теперь, я, с вашего позволения, чуть-чуть пофилософствую, ибо осознания того, что я занимаюсь ненужным делом не только в свое свободное время, как мы недавно выяснили, но еще и в рабочее, моя изнеженная психика просто не вынесет Для начала, попробую доказать утверждение мыщъха о том, что оценить безопасность нельзя: Информационная система, по определению, есть система обработки, хранения и передачи информации. Именно у информации есть состояние безопасности. Информация находится в состоянии безопасности тогда, когда выполняются ровно три условия: 1. Она конфиденциальна, т.е. ее могут получить только те приемники, которые имеют на это право 2. Она целостна, т.е. ее передача от источника А к приемнику Б не вносит изменений в нее 3. Она доступна, т.е. все приемники, имеющие право получать эту информацию, могут получить ее в данный момент времени А давайте теперь прикинем: можем ли мы заложить необходимые и достаточные "метаусловия" выполнения этих условий в саму информацию? Конфиденциальность — да, информация, например, может быть зашифрована ключом, который есть только у лиц, имеющих право на доступ к ней. Целостность — тоже да, ибо коды коррекции, цифровые подписи и т.п. Доступность... упс. Доступность зависит от таких внешних факторов, как например, канал передачи информации. Т.е. мы можем лишь обеспечить лишь необходимые условия доступности при кодировании информации (например, использовать алгоритм кодирования известный принимающей стороне), но этого еще недостаточно для обеспечения ее доступности. А следовательно (внимание, это очень важно), мы не можем оценить состояние безопасности информации, рассматривая ее в отрыве от ИС, в которой она хранится, обрабатывается и передается. Не вопрос, давайте рассмотрим и ИС. Чем там у нас является ИС по определению? "Совокупностью программных и технических средств, обеспечивающих хранение, обработку и передачу информации". А что такое программные средства в архитектуре Фон-Неймана (и не только в ней, как мы однажды выяснили)? Да точно такая же информация с тем же самым состоянием безопасности и условиями для его обеспечения, оценить которое в отрыве от ИС, обрабатывающей эту информацию мы не можем. А чем у нас является ИС? См. выше. Чтобы добить спрошу: а с какой вероятностью конечная информация находится в состоянии безопасности, если ИС третьего уровня вложенности в этом состоянии не находится? И вот пока мы не пройдем по всей этой рекурсии вплоть до микрокода процессора, в лучшем случае, или до взаимодействия элементарных частиц в кристаллах кремния в худшем, мы строго-логически не может сколь-нибудь точно измерить безопасность всей этой эко-системы. Тут ты совершенно прав. Неправ ты в том, что измерить-то ее нельзя, но вот оценить вполне можно. В реальном мире никого не волнует насколько уязвима система, и никто не требует столь детальной оценки ее безопасности. Как правило, это происходит следующим образом: "Володя, вот наша новая система е-платежей, которую для нас разработал подрядчик, вот ее исходники (30-40Мб архива), через неделю дай свою оценку по ее готовности к эксплуатации в продуктиве". И если маркетологи прогнозируют существенный доход от этой системы (а они всегда прогнозируют существенный доход от своих систем), то если я через неделю хотя бы заикнусь о том, что мол система наверное небезопасна, потому что я успел дойти только до микрокода и в продуктив ее нельзя, меня уволят нахрен в тот же день, потому что от меня ждут ровно двух вещей: 1. Выявления рисков информационной безопасности, существующих в этой системе 2. Рекомендаций по их устранению, или минимизации ущерба в случае их реализации Выделенное — важно, потому что если прогнозируемый, но минимизированный ущерб несоизмерим с ожидаемой прибылью, то система будет запущена в эксплуатацию, какой-бы дырявой она не была. Разумеется при этом учитывается не только ущерб в финансовом отношении, но и репутационный, косвенный от возможных судебных исков и т.п. Но учитывается он также приближенно, как и уровень прибыли маркетологами, поэтому в целом, для бизнеса, данный подход является более чем приемлемым. Об одном из подходов я подробно писал здесь Автор: kochetkov.vladimir Дата: 17.11.09 , почитай, если интересно. Считаться же баззвордом это понятие стало от того, что на фоне реальной сложности с проведением такой оценки, многие security-компании стали этим бессовестно пользоваться, чтобы впихнуть свои решения или услуги доверчивым клиентам. Но то, что ими это понятие активно дискредитируется, еще не значит, что оно на самом деле таковым является. Если же говорить о математической строгости, то можно математически строго доказать небезопасность любой реализованной информационной системы и разговаривать, в общем-то, будет больше не о чем. Но жить тогда станет совсем скучно