автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых водяных знаков

На правах рукописи

Шокарев Алексей Владимирович

Метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых

водяных знаков

Специальность 05 13 19-Методы и системы защиты информации, информационная безопасность

АВТОРЕФЕРАТ

диссертации на соискание ученой степени кандидата технических наук

0030594ьа

Томск 2007

003059465

Работа выполнена в Томском государственном университете систем управления и радиоэлектроники и в Юргинском технологическом институте (филиал) Томского политехнического университета

Научный руководитель

доктор технических наук, профессор Шелупанов Александр Александрович

Официальные оппоненты

доктор физико-математических наук, профессор Бондарчук Сергей Сергеевич

кандидат технических наук, доцент Комагоров Владимир Петрович

Ведущая организация

Московский институт радиоэлектроники и автоматики

Защита состоится «24» мая 2007 г в 9-00 часов на заседании диссертационного совета Д 212 268 03 при Томском государственном университете систем управления и радиоэлектроники (ТУСУР)по адресу 634050, г Томск, пр Ленина 40

С диссертацией можно ознакомиться в библиотеке Томского государственного университета систем управления и радиоэлектроники по адресу 634045, г Томск, ул Вершинина, 74

Автореферат разослан

апреля 2007 г

Ученый секретарь диссертационного совета Д 212 268 03, к т н , доцент

Р В Мещеряков

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность работы.

Современными тенденциями развития информационных технологий является создание корпоративных информационных систем, а основной характеристикой данных систем является разграничение доступа пользователей к информационным и иным ресурсам Причем данные тенденции проявляются практически для всех уровней иерархии современных информационных технологий, начиная с архитектурного уровня в целом, включая сетевые технологии, и заканчивая уровнем общесистемных средств и приложений

Широкое применение информационных технологий стало таково, что наряду с проблемами производительности, надежности и устойчивости функционирования информационных систем, остро встает проблема защиты циркулирующей в системах информации от несанкционированного доступа Факты несанкционированного доступа к информации (НСД) показывают, что большинство современных информационных систем достаточно уязвимо с точки зрения безопасности Так же можно сказать, что возможность локализации угроз корпоративной информации, так как большая их часть связана с угрозой НСД, исходящей от самих сотрудников, имеющих доступ к информационным системам При этом следует учитывать и сетевые ресурсы, прежде всего в составе локально-вычислительной сети (ЛВС), к которым сотрудник имеет доступ со своего компьютера в рамках своей служебной деятельности

В связи с этим именно компьютер, находящийся в составе сети, следует в первую очередь рассматривать в качестве объекта защиты, а конечного пользователя — в качестве ее наиболее вероятного потенциального нарушителя Как следствие, под сомнение ставится обоснованность концепции реализованной системы защиты в современных операционных системах (ОС)

Эта система защиты заключается в построении распределенной схемы администрирования механизмов защиты, элементами которой, помимо администратора, выступают пользователи, имеющие возможность назначать и изменять права доступа к создаваемым ими файловым объектам

Данная проблема рассматривается в работах Д П Зегжды, А Астахова, Б 10 Анина, С В Вихорева, А А Грушко, П Н Дерявина, А А Шелупанова, А В Аграновского и других

В настоящее время выделяют два подхода к обеспечению компьютерной безопасности

1 Использование только встроенных в ОС и приложения средств защиты В данном подходе в основном приходится использовать более длинные и сложные для обычного перебора пароли

2 Применение, наряду со встроенными, дополнительных механизмов защиты Этот подход заключается в использовании так называемых технических средств добавочной защиты - программных, либо программно-аппаратных комплексов, устанавливаемых на защищаемые объекты

Существующая статистика ошибок, обнаруженных в ОС, а также сведения о недостаточной эффективности встроенных в ОС и приложения механиз-

мов защиты, заставляет специалистов сомневаться в достижении гарантированной защиты от НСД, при использовании встроенных механизмов, и все большее внимание уделять средствам добавочной защиты информации

К добавочному средству защиты можно отнести криптографию (работы И Н Окова А А Варфоломеева, С С Баричева ) С помощью ее пытаются дополнительно защитить различные системы, такие как доступ к компьютеру, доступ к сети и базам данных К примеру, используют криптографические протоколы, шифруют данные, вырабатывают ключи доступа Встречается использование различных USB-ключей Но не все могут использовать технологию, построенную на основе токенов и USB-ключей по ряду причин таких, как проблема использования за пределами офиса, высокая цена на программное обеспечение и тд

Можно отметить, что в настоящее время активно ведутся разработки в области систем графических паролей, которые предоставляют новую технологию в идентификации/аутентификации пользователей (Г. Блондер, Р Андерсон, JI Собрадо и др) Данная технология основана на выборе пользователем определенных мест в графическом объекте, или выборе определенной последовательности графических объектов Эта технология позволят упростить авторизацию пользователя и дает определенные преимущества перед существующими методами идентификации и аутентификации

В связи с этим цель диссертационной работы заключается в повышении достоверности идентификации/аутентификации пользователей за счет применения системы графического пароля.

Для достижения поставленной цели решается задача разработки совокупности методов и средств реализации алгоритма идентификации/аутентификации пользователей с применением стеганографических методов Решение задачи диссертационной работы заключаются в следующем

- разработка системы графического пароля с использованием стегано-графической системы для идентификации/аутентификации пользователей,

- исследование модели стеганографической системы,

- разработка системы идентификации/аутентификации пользователей, в которой реализована модель стеганографической системы,

- проведение численно-параметрических исследований и экспериментов с целью оценки идентификации/аутентификации пользователей на базе разработанной системы

Методы исследований Основные задачи решены на основе применения методов теории вероятностей, математического анализа, стеганографии, а также на основе экспериментальных исследований, выполненных с использованием среды программирования Borland С++.

Достоверность результатов работы обеспечивается строгостью применения математических моделей, непротиворечивостью полученных результатов, а также внедрением разработанных моделей и методов в практику

Научная новизна диссертационной работы заключается в следующем

1 Разработана модель стеганографической системы для системы графического пароля

2 Предложен и реализован метод системы графического пароля для идентификации/аутентификации пользователей с использованием стеганографических методов

3 Разработаны алгоритмы работы системы графических паролей

4 Предложена новая технология идентификации/аутентификации пользователей для доступа к информационным ресурсам

Практическая значимость. Реализованный метод разграничения доступа к информационным ресурсам на основе графического пароля с использование систем цифровых водяных знаков (ЦВЗ) позволяет усовершенствовать авторизацию пользователей и создавать более стойкие системы идентификации/аутентификации пользователей Значимость диссертационной работы подтверждена актами внедрения программных продуктов, основанных на использовании метода разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых водяных знаков в ГУ-УПФР в г Юрге Кемеровской области, ООО «Энергометаллургический завод», ООО «Управляющая компания «Юрмаш», а так же в учебный процесс ТУСУРа при чтении курса лекций по дисциплине «Программно-аппаратные средства обеспечения информационной безопасности» для подготовки специалистов по защите информации по специальности 090105 - комплексное обеспечение информационной безопасности автоматизированных систем

Апробация работы. Основные научные результаты работы обсуждались на научно-методических семинарах кафедры комплексной информационной безопасности электронно-вычислительных систем ТУСУР и докладывались на научных конференциях

1 IV Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2006, Юрга)

2 Всероссийская научно-техническая конференция студентов, аспирантов и молодых ученых «Научная сессия ТУСУР - 2006»(2006, Томск)

3 Всероссийская научно-техническая конференция студентов, аспирантов и молодых ученых «Научная сессия ТУСУР - 2005»(2005, Томск)

4 Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2003, Юрга)

5 II Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2004, Юрга)

6 X Всероссийская научно-практическая конференция «Научное творчество молодежи»(2006, Анжеро-Судженск)

Основные результаты, выносимые на защиту.

1 модель стеганографической системы на основе ЦВЗ для идентификации/аутентификации пользователей,

2 метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых водяных знаков

Публикации. Основные результаты по теме диссертационной работы отражены в 7 печатных работах (2 из них в журналах, рекомендованных ВАК)

Структура и объем работы. Диссертация состоит из введения, четырех глав, заключения, списка литературы из 105 наименований и 2 приложений Общий объем работы составляет 124 страницы, в том числе 29 рисунков и 7 таблиц

Личный вклад. В диссертации использованы только те результаты, в которых автору принадлежит определяющая роль Опубликованные работы написаны в соавторстве с сотрудниками научной группы В совместных работах диссертант принимал участие в непосредственной разработке алгоритмов, теоретических расчетах и вычислительных экспериментах, в интерпретации результатов Постановка задачи исследований осуществлялась научным руководителем, д т н , профессором А А Шелупановым

Автором предложен метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием стеганографических методов встраивания цифровых водяных знаков(ЦВЗ)

СОДЕРЖАНИЕ РАБОТЫ

Во введении обосновывается актуальность темы, определяется цель и решаемые задачи, излагаются научная новизна, практическая ценность

В первой главе рассмотрены существующие методы идентификации/аутентификации, такие как биометрические, парольные, системы одноразовых паролей и системы графических паролей Выявлены их достоинства и недостатки

Преимущества систем графического пароля перед другими видами систем аутентификации очевидны

1) легкость запоминания,

2) быстрая замена скомпрометированного пароля,

3) высокая стойкость к методам взлома,

4) сравнительно небольшая стоимость разработки

Проблема легкости запоминания заключается в том, что пользователю предлагается запомнить не набор символов стойкого к простому перебору пароля - а некоторый набор графических объектов - иконки, набор простых, различимых между собой объектов - "апельсин", "ручка", "стул" и др , причем такое изменение не снижает стойкость полученного пароля, а наоборот только увеличивает его

Как известно, в биометрических паролях есть существенный минус -сложность в замене скомпрометированного пароля Если же все-таки это было осуществлено, то, как минимум, необходимо будет произвести существенную модернизацию всей системы, т е затратить много времени и ресурсов Графический же пароль, как и простой - буквенно-цифровой, можно легко заменить на новый

Стойкость к основным методам взлома графических систем основана на невозможности осуществлении подбора пароля, часто используемом при взломе парольных систем Даже если отслеживать нажатия мышкой на мониторе, то

это не дает положительного результата потому, что графические объекты в системах графических паролей при вводе располагаются по-разному и о расположении искомых графических объектах в определенном сеансе авторизации одного и того же пользователя неизвестно никому При определенной реализации графического пароля не принесет никакой пользы простое «подглядывание из-за спины» так, как для постороннего человека трудно угадать мнимую область, каких именно объектов выбирает авторизирующийся пользователь

Есть несколько недостатков в существующих на сегодняшний день системах графических паролей В большинстве случаев графические системы основываются на том, что в качестве пароля выступают либо координаты щелчков мыши, либо определенный набор символов, присвоенный графическим объектам Как в первом, так и во втором случае знание реализации системы графического пароля дает возможность подобрать пароль методом перебора В связи с этим обоснована необходимость использования методов стеганографии в системах графических паролей, что существенно усложняет взлом системы путем подбора и/или перехвата пароля при аутентификации пользователя

Во второй главе рассмотрены стеганографические методы, общая схема стеганографической системы, методы встраивания ЦВЗ, атаки на системы ЦВЗ и защита от атак,

Общая схема стеганографической системы, по аналогии с работой А В Аграновского, П Н Девянина, Р А Хади, А В Черемушкина, используемая для передачи данных при наличии пассивного и активного противников представлена на рисунке 1 Согласно рассматриваемой схеме имеется в виду, что на передающей стороне сообщение скрывается в контейнере при помощи прямого стеганографического преобразования Затем полученный модифицированный контейнер отравляется принимающей стороне по открытым каналам связи, и после получения контейнера принимающей стороной при помощи обратного стеганографического преобразования извлекается исходное сообщение

Задача пассивного противника в этой схеме заключается в том, чтобы определить факт наличия в контейнере сокрытых данных, при этом он может перехватывать все посланные контейнеры и анализировать их как в совокупности, так и по отдельности В случае если пассивному противнику удается верно определить факт наличия скрытого сообщения, он может попытаться его извлечь из контейнера с целью ознакомления Но, как правило, сообщения перед сокрытием должны шифроваться, и по этому если противнику и удается извлечь сообщение, то необходимо будет его дешифровать

Активный противник, в данной схеме, может вносить изменения в передаваемый по открытым каналам связи контейнер, при этом подразумевается, что ни передающая, ни принимающая стороны не знают, какой контейнер изменен, а какой нет На этот вопрос достоверно должно отвечать обратное сте-ганографическое преобразование Самая простая задача активного противника заключается в уничтожении передаваемой сокрытой информации без определения факта наличия сообщения

1 Прямое стеганографическое преобразование

Сообщение Контейнер Ключ

Контейнер-носитель

2 Канал передачи данных

г ■

Пассивный противник

3 Обратное стеганографическ

I I

Активный противник -1-

>е преобразование

Ключ-► Контейнер-носитель-»[Сообщение

Рисунок 1 - Общая схема стеганографической системы для передачи данных

ЦВЗ разделяют на три типа - робастные, полухрупкие, хрупкие Под робастностыо понимается устойчивость ЦВЗ к различным воздействиям на стего

Полухрупкие ЦВЗ устойчивы по отношению к одним воздействиям и неустойчивы по отношению к другим Вообще говоря, все ЦВЗ могут быть отнесены к этому типу Однако полухрупкие ЦВЗ специально проектируются так, чтобы быть неустойчивыми по отношению к определенным операциям Например, они могут позволять выполнять сжатие изображения, но запрещать вырезку из него или вставку в него фрагмента

Хрупкие ЦВЗ разрушаются при незначительной модификации заполненного контейнера Они применяются для аутентификации сигналов Отличие от средств электронной цифровой подписи заключается в том, что хрупкие ЦВЗ все же допускают некоторую модификацию контейнера. Это важно для защиты информации в электронном виде, так как законный пользователь может, например, пожелать сжать изображение Другое отличие заключается в том, что хрупкие ЦВЗ должны не только отразить факт модификации контейнера, но также вид и местоположение этого изменения

Основными атаками на системы ЦВЗ являются

1 Атаки против встроенного сообщения - направлены на удаление или порчу ЦВЗ путем манипулирования стего Входящие в эту категорию методы

атак не пытаются оценить и выделить водяной знак Примерами таких атак могут являться линейная фильтрация, сжагие изображений, добавление шума, выравнивание гистограммы, изменение контрастности и т д

2 Атаки против сте го детектора - направлены на то, чтобы затруднить или сделать невозможной правильную работу детектора При этом водяной знак в изображении остается, но теряется возможность его приема В эту категорию входят такие атаки, как аффинные преобразования (то есть масштабирование, сдвиги, повороты), усечение изображения, перестановка пикселей и т д

3 Атаки против протокола использования ЦВЗ - в основном связаны с созданием ложных ЦВЗ, ложных стего, инверсией ЦВЗ, добавлением нескольких ЦВЗ

4 Атаки против самого ЦВЗ - направлены на оценивание и извлечение ЦВЗ из стегосообщения, по возможности без искажения контейнера В эту группу входят такие атаки, как атаки сговора, статистического усреднения, методы очистки сигналов от шумов, некоторые виды нелинейной фильтрации и другие

Рассматриваемая классификация атак не является единственно возможной и полной, некоторые атаки могут быть отнесены к нескольким категориям

В соответствии с этой классификацией все атаки на системы встраивания ЦВЗ могут быть разделены на четыре группы

• атаки на удаление ЦВЗ,

• геометрические атаки, направленные на искажение контейнера,

• криптографические атаки

С помощью анализа сформулированы требования к стегосистеме

• невозможность формирования нарушителем, не знающим конфиденциального ключа подписи, любого сообщения с формально верным водяным знаком,

• невозможность не обнаруживаемого несанкционированного копирования заверенного сообщения,

• невозможность формирования получателем формально верного водяного знака отправителя сообщения (для систем с конфиденциальным ключом подписи и открытым ключом проверки),

• невозможность удаления или разрушения водяного знака без разрушения самого сообщения,

• устойчивость водяного знака к воздействию случайных и преднамеренных помех, не приводящих к разрушению информационного содержания заверенного сообщения,

• для формирования и проверки водяного знака сообщения не должно требоваться участие третьей доверенной стороны,

• возможность использования с современными методами передачи, хранения, криптографической защиты и повышения помехоустойчивости,

• возможность обработки заверенных сообщений стандартными методами (архивация, масштабирование, фильтрация, сжатие, и т д) без разрушения водяных знаков

Безопасность системы должна определяться

• Секретностью ключа

• Знание нарушителем факта наличия сообщения в каком-либо контейнере не должно привести его к обнаружению сообщений в других контейнерах

• Заполненный контейнер должен быть визуально неотличим от пустого контейнера

• Стегосистема на основе ЦВЗ должна иметь низкую вероятность ложного обнаружения скрытого сообщения в сигнале, его не содержащем

• Должна обеспечиваться требуемая пропускная способность (это требование актуально, в основном, для стегосистем скрытой передачи информации)

• Стегосистема должна иметь приемлемую вычислительную сложность реализации

В третьей главе предложена модель стеганографической системы показанная на рисунке 2

Предлагаемая модель имеет следующие особенности

• заверяемое сообщение и встроенный в него ЦВЗ взаимозависимы, то есть при разрушении первого разрушается и второй Если водяной знак сохранил свою целостность, то и принятое сообщение ее не потеряло,

• при приеме искаженного фрагмента сообщения система может, не отказываясь от всего сообщения в целом, отказаться лишь от данного фрагмента

Методы контроля подлинности на основе водяных знаков обладают существенными достоинствами

• высокой устойчивостью к удалению аутентификатора заверенного сообщения без разрушения самого сообщения,

• обнаружением несанкционированного копирования заверенных сообщений,

• согласованность с источниками сообщений, обладающими существенными статистическими зависимостью и памятью, такими как изображение и звуковой сигнал

Системы аутентификации на основе ЦВЗ должны обладать следующими свойствами

• практической невозможностью формирования нарушителем, не знающим конфиденциального ключа подписи, любого сообщения с формально верным водяным знаком,

• при внедрении в один контейнер нескольких сообщения разными водяными знаками, должна прослеживаться очередность подписей, а сами подписи не должны разрушать друг друга,

• невозможностью отказа от авторства подписанного сообщения для систем с конфиденциальным ключом подписи и открытым ключом проверки,

невозможностью удаления или разрушения водяного знака без разрушения самого сообщения,

устойчивостью водяного знака к воздействию случайных и преднамеренных помех, не приводящих к разрушению информационного содержания заверенного сообщения,

для формирования и проверки водяного знака сообщения не должно требоваться участие третьей стороны,

возможность совместной реализации с современными методами передачи, хранения, криптографической защиты и повышения помехоустойчивости,

возможностью обработки заверенных сообщений стандартными методами (архивация, масштабирование, фильтрация, сжатие, и т д) без разрушения водяных знаков

Рисунок 2 — Модель стеганографической системы аутентификации

Безопасность предлагаемого метода аутентификации пользователя на основе ЦВЗ при создании системы графического пароля зависит от следующих факторов

• Чем больше графических объектов предлагается для выбора пользователю системой, тем труднее будет злоумышленнику осуществить перебор всех возможных вариантов

• Вход в систему должен осуществляться строгой последовательностью графических объектов, выбранной пользователем в качестве пароля

• Минимальная последовательность для аутентификации должна состоять не менее 3 графических объектов

• Графические объекты, подписанные ЦВЗ и выводимые на экран для аутентификации, должны размещаться на дисковом пространстве ком-

пьютера пользователя и содержать только его данные для аутентификации в системе Это позволит избежать взлома всей системы Пользователь должен не иметь полных прав на использование защищаемого ресурса

При встраивании ЦВЗ должны использоваться неформатные методы При каждом вызове диалогового окна система должна менять случайным образом графические объекты, выводимые на экран для аутентификации

После каждой успешной аутентификации пользователя должна происходить замена ЦВЗ на всех графических объектах, используемых для аутентификации пользователя (использование одноразовых паролей) Система для устойчивости то взлома ЦВЗ должна использовать несколько методов встраивания

НАЧАЛО

I

Включение с»р>ера

а) б)

Рисунок 3 - а) регистрация нового пользователя, б) идентификация/аутентификация пользователя в системе графического пароля

В данной главе представлен метод аутентификации пользователей на основе графического пароля с использованием ЦВЗ (рисунок 3)

Предложенный метод графического пароля обладает следующими отличительными особенностями

• Впервые используются ЦВЗ для идентификации/аутентификации пользователей в системах графического пароля

• Графические объекты меняется случайным образом, что делает систему не уязвимой при подглядывании или использовании программ регистрирующих нажатия клавиш и координаты выбора графических объектов мышью

• Использование ЦВЗ в качестве одноразовых паролей, делает систему не уязвимой при сетевом перехвате

• Размещение графических объектов для аутентификации на рабочем месте пользователя не дает нарушителю взломать систему в целом

Использование предложенною метода аутентификации позволяет пользователю быстрее запоминать пароли и увеличить стойкость систем идентификации/аутентификации к взломам злоумышленниками, а так же уменьшает время авторизации в системах, что доказано в четвертой главе

В четвертой главе представлена программная реализация метода разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем ЦВЗ В данной реализации предложена база, состоящая из десяти графических объектов, различимых между собой Пользователь выбирает из них три, которые он может легко запомнить и не перепутать с другими Затем сообщает администратору логин, под которым будет осуществлять идентификацию Администратор вносит сведения в Базу Данных Аккаун-тов (БДА) - пользователь зарегистрирован При идентификации/аутентификации пользователю нужно ввести свой логин, затем сервер ему предложит ввести свой графический пароль путем последовательного нажатия на графические объекты, которые он выбрал при регистрации Если пользователь ввел правильный графический пароль, то на клиентской части программы выведется сообщение, что пользователь успешно идентифицирован, иначе -пароль введен не верно

Таблица 1 - Сравнительный анализ предложенных методов встраивания ЦВЗ

Наименование алгоритма Встраивание ЦВЗ в один контейнер, сек. Извлечение ЦВЗ нз одного контейнера, сек.

Алгоритм Bruyndonckx 0,8 1,2

Алгоритм Kutter 1,1 2,2

В программной реализации метода разграничения доступа к информационным ресурсам использован стеганографический метод защиты информации, который позволяет внедрить цифровые водяные знаки (ЦВЗ) в область исход-

кого изображения. В данном случае девятисиМвояьный пароль и графический объект.

На основе программной реализации проведен сравнительный анализ выбранных алгоритмов Kutter и Bruyndonckx, описанных в третей главе.(таблица 1) Следующий эксперимент состоял в использовании приведенных алгоритмов непосредственно в программной реализации системы графического пароля. Данный эксперимент представлен на рисунке 4.

Экспериментом показано время выполнения действий, где: AI - встраивание 1ДВЗ в 10 графических объектов.

А2 - извлечение ЦВЗ из 3-х графических объектов, при аутекгификадаи пользователя.

A3 - Замена ЦВЗ системой в графических объектах выводимых пользователю на экран.

Проведенный анализ показывает, что из предложенных алгоритмов, алгоритм Bruyndonckx является более эффективным на 33 % исходя из затрат времени, поскольку в данном алгоритме, в отличие от алгоритма Kutler, извлечение ЦВЗ является обратной функцией встраивания, а в алгоритме Kutter используется поиск встроенного ЦВЗ путем перебора пикселей.

Программно реализованный метод графического пароля для разграничения доступа к сетевым ресурсам с использованием алгоритма Bruyndonckx был протесш-рован работниками различных подразделений Юргинского машин остро кгвльн Ott) завода. В тестировании участвовали 98 опытных пользователей -52 мужчины и 46 женщин, возраст которых был от 20 до 50 лет.

Действия

Рисунок 4 - Временные затраты при использовании алгоритмов Kutter и Brueridonckx в программной реализации системы графического пароля

Для испытания было предложено использовать стандартную аутентификацию с использованием алфавитно-цифрового пароля и систему графического пароля StegGP(рисунок 5). Графический интерфейс пароля состоял из 10 графи-

чееких. объектов для ввода пароля. Алфавитно-цифровой интерфейс состоял из типичной области ввода пароля, в котором пользователям предстояло вводить ими для входа и девятисимвольный пароль, сгенерированный случайным образом и стойкий к перебору.

Тестирование проходило на компьютерах с процессором Celeron с тактовой частотой 2.8 ГГц, объемом оперативной памяти 512 Мб. Испытание проходило индивидуально. Участники случайным образом назначались на графический или алфавитно-цифровой пароль. Участникам тестирования системы графических паролей сначала объясняли процедуру работы с системой. 11осле чего администратор создавал точно такой же логин, который использовался в системе алфавитно-цифрового пароля. Далее пользователи выбрали по 3 графических объекта а системе графического пароля. Им так же говорили, что он» должны будут помнить последовательность выбранных объектов, используемых для входа в систему. При использовании алфавитно-цифровой системы, пользователи должны были ввести дечятисимвольпые пароли сгенерированные случайным образом, включающие в себя, по крайней мере, один символ верхнего регистра И одну цифру. Экспериментом предписывалось, что участники повторно вводят пароль, пока не получат доступ в систему. Участник, получивший авторизацию в одной из систем, через некоторое время пытался авторизоваться в другой системе,

"if Hi,,] 11 || |||Ц'| l|l'l , ( -J ■ - ,

¿!И в

Э

Рисунок 5 - Интерфейс графического пароля

В фазе эксперимента участники вводили пароль неоднократно, пока они не достигали десяти правильных вводов пароля. Так же была три раза измерена временная задержка ввода пароля: к первый день (БЛ), через неделю (В.2'), и три недели спустя (113). В этих испытаниях участники должны были только ввести их пароли в различных системах правильно. Сели участник ввел неправильный

пароль, система проинструктировала участника о повторном вводе пароля Если участник был не в состоянии ввести пароль правильно после трех попыток, допускалось, что участник мог посмотреть пароль, затем вновь попытаться его ввести

После выбора пароля, участники практиковали ввод своих паролей в фазе изучения Критерем успеха считалось 10 правильных входов в систему Участники продолжали вводить пароль, пока критерий не был выполнен Далее было измерено число неправильных представлений пароля и полного времени, проведенного при вводе пароля в различных системах В таблице 2 показаны системы ввода паролей и среднее время потраченное на их ввод

Таблица 2 - Анализ времени при вводе пароля в различных системах

Системы паролей Среднее время

Время, потраченное при неправильном вводе паролей (сек) Алфавитно-цифровая 40,1

Графическая Б1е§СР 23,12

Время ввода пароля (сек) Алфавитно-цифровая 61,08

Графическая StegGP 25,19

Как видно из таблицы время потраченное на ввод графического пароля меньше времени ввода алфавитно-цифрового на 59%, а при среднем времени, потраченном на неправильный ввод пароля на 43%

В эксперименте на запоминание паролей было предложено следующее - участники в каждой из фаз (111 -первый день, Я2 - через неделю, М - три недели спустя) вводят пароль три раза В каждой фазе участники должны были ввести свой пароль правильно только один раз Среднее время, потраченное на неправильный ввод пароля и время правильного ввода, показано в таблице 3

Таблица 3 - Среднее затраченное время на неправильный ввод пароля и время правильного ввода пароля

Системы Ш К2 ИЗ

Время при неправильном вводе(сек) Алфавитно-цифровая 25,2 21,14 22,75

Графическая 51е£вР 5,1 2,75 1,50

Время правильного ввода (сек) Алфавитно-цифровая 31,23 36,41 39,24

Графическая 51е§ОР 7,18 6,25 638

Как видно из таблицы 3 пользователям легче запомнить три графических объекта в системе графического пароля, чем девять случайных символов для ввода в алфавитно-цифровой системе. Уменьшение времени ввода пароля графической системы составила:

" К1, при неправ ильном вводе не менее 80%, при вводе правильного пароля 73%;

• Л2. при неправильном вводе не менее 87%, при вводе правильного пароля

" КЗ. при неправильном вводе не менее 93%, при вводе правильного пароля 84%.

Также бьш проведен эксперимент по подсчету чиста участников, которые не смогли в в ест правильно пароль с четырех попыток (рисунок 6). Важность этого эксперимента состоит в том, что многие системы иденгификации/аутенгифккавдн пользователей имеют ограничения на число последовательных попыток ввода неправильных паролей. Участники, которые не смогли ввести правильно пароль после четырех попыток, блокировались в соответствии с этим критерием. Фактически, им было позволено продолжать вводить пароль и после четвертого неправильного ввода им разрешалось подсмотрел! правильный пароль. Эффективность использования системы графических паролей на запоминание пароля пользователями составила:

К1. 84 пользователя (примерно 86%) из 98 запомнили графический пароль правильно, а символьный только 56 (примерно 57%); 112. 63 пользования (примерно 64%) из 98 запомнили 1рафическин пароль правильно, а символьный только 47 ( примерно 48%); КЗ. 69 пользователей (примерно 70%) из 98 запомнили графический пароль правильно, а символьный только 56 (примерно 57%).

93

76-'

Ш Алфавитно-цифровая система

Э81едСР

Н2

Рисунок 6 - Заблокированное системами число участников, после 3-х неправильных вводов паролей

Главное преимущество StegGP - простота его использования По сравнению с системами алфавитно-цифровых паролей, в StegGP не нужно запоминать бессмысленный пароль, стойкий к перебору, а достаточно запомнить последовательность 3-х графических объектов Так же StegGP имеет преимущество перед реализациями других систем графического пароля в том, что здесь впервые используются одноразовые цифровые водяные знаки (ЦВЗ) в качестве паролей, что делает систему более устойчивой к взлому Еще StegGP сочетает в себе удобство и простоту использования, которое было отмечено участниками экспериментов

На безопасность программная реализация тестировалась программами-шпионами (Ardamax Keylogger v 1 6, SKIn2000 v 6 0 и KbrdHook v 2 4 0 1), перехватывающими нажатия клавиш и кнопок мыши Данный анализ показал, что только программа KbrdHook v 2 4 0 1 может поставить под угрозу безопасность системы StegGP, если пользователь при выборе графического пароля случайно нажмет какую-нибудь клавишу на клавиатуре и программа-шпион сделает снимок экрана, но это практически не возможно в связи с тем, что графические объекты выбираются только с помощью мыши

В результате тестирования было выявлено, что программная реализация предложенного метода разграничения доступа пользователей к защищаемым ресурсам на основе графического пароля с использованием стеганографических методов имеет ряд преимуществ перед системами алфавитно-цифровых палей

• Уменьшение времени при авторизации пользователем в системе,

• Легкость запоминания графического пароля,

• Стойкость к взлому системы программами-шпионами.

Проведенное тестирование показало высокую эффективность разработанного метода Получены оценки быстродействия авторизации пользователя при применении алгоритмов Kutter и Bruyndonckx, которые составляют 33,48 и 22,4 сек соответственно Среднее время авторизации пользователя в системе графического пароля с использованием алгоритма Bruyndonckx составляет 25 19 сек , а для ввода символьного пароля 61,8 сек

В целом программная реализация программная реализация предложенного метода разграничения доступа пользователей к защищаемым ресурсам на основе графического пароля с использованием стеганографических методов была одобрена участниками экспериментов

Основные результаты работы.

В результате проведенных исследований получены следующие основные научные и практические результаты

• Приведена классификация и анализ существующих методов встраивания ЦВЗ, с помощью которых осуществляется исследование применяемых алгоритмов встраивания ЦВЗ для системы графических паролей

• Сформулированы требования к системам идентификации/аутентификации на основе ЦВЗ

• Разработана модель стеганографической системы, которая используется для реализации метода графического пароля

• Предложен метод графического пароля, который обладает следующими отличительными особенностями

1 Впервые используются ЦВЗ для идентификации/аутентификации пользователей в системах графических паролей

2 Смена графических объектов происходит случайным образом, чго делает систему не уязвимой при подглядывании или использовании программ регистрирующих нажатия клавиш и координаты выбора графических объектов мышью

3 Использование ЦВЗ в качестве одноразовых паролей, делает систему не уязвимой при сетевом перехвате

4 Размещение графических объектов для аутентификации на рабочем месте пользователя не позволяет нарушителю взломать систему в целом,

5 Использование полученного метода для разграничения доступа к информационным и иным ресурсам делает системы идентификации/аутентификации более стойкими к взлому

6 Программная реализация метода позволяет значительно уменьшить денежные затраты на приобретение дополнительных систем защиты

7 Результаты диссертационной работы внедрены в ГУ-УПФР в г Юрге, ООО «Энергометаллургический завод», ООО «Управляющая компания «Юрмаш» и в учебный процесс ТУСУРа

ПУБЛИКАЦИИ ПО ТЕМЕ ДИССЕРТАЦИИ

1 Шокарев А В Использование цифровых водяных знаков для аутентификации передаваемых сообщений /А В Шокарев //Вестник Сибирского государственного аэрокосмического университета - Красноярск, 2006 -С 123-127

2 Шокарев А В Теоретико-информационный и Теоретико-сложностный подходя для оценки стойкости стеганографических систем / А А Шелу-панов, А В Шокарев // Вестник Сибирского государственного аэрокосмического университета - Красноярск, 2006 - С 121-123

3 Шокарев А В Аутентификация пользователей в защищенном документообороте на основе цифровых водяных знаков /, А В Шокарев // Прогрессивные технологии и экономика в машиностроении Труды IV Всероссийской научно-практической конференции Том 2 - Томск Томский политехнический университет, 2006 - С 20-22

4 Шокарев А В Использование компьютерной стеганографии для аутентификации пользователей / А А. Шелупанов, А В Шокарев // Научная сессия ТУСУР - 2006 Материалы докладов Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых -Томск Томский государственный университет систем управления и радиоэлектроники, 2006 -С 173-176

5 Шокарев А В Применение стенографических методов для защиты авторских прав на графические изображения /А В Шокарев // Прогрессивные технологии и экономика в машиностроении Труды Всероссийской науч-

но-практической конференции - Томск Томский политехнический университет, 2003 -С 241-242

6 Шокарев А В Цифровые водяные знаки как одно из средств аутентификации для передачи данных / А В Шокарев // Прогрессивные технологии и экономика в машиностроении. Труды II Всероссийской научно-практической конференции Том 2 - Томск Томский политехнический университет, 2003 - С 40-42

7 Шокарев А В Цифровые водяные знаки Защита авторских прав / А В Шокарев // Научное творчество молодежи Материалы X Всероссийской научно-практической конференции Ч 1 - Томск Томский государственный университет, 2006 С-98-100

Тираж 100 Заказ №537 Томский государственный университет систем управления и радиоэлектроники 634050, г Томск, пр Ленина, 40

Введение.

Глава 1. Анализ существующих систем аутентификации.

1.1. Идентификация и аутентификация с помощью биометрических данных.

1.2 Одноразовые пароли.

1.3 Парольная аутентификация.

1.3.1 Особенности парольной защиты.

1.3.3 Реализация механизмов парольной защиты.

1.3.4 Угрозы преодоления парольной защиты.

1.4 Стойкость символьного пароля.

1.5 Основные методы взлома символьного пароля.

1.5.1 Перебор паролей.

1.5.2 Получение пароля на основе ошибок в реализации.

1.6 Системы графических паролей.

1.7 Выводы.

Глава 2. Методы, анализ встраивания и атаки на ЦВЗ.

2.1. Обобщенная схема стеганографической системы.

2.2 Виды цифровых водяных знаков.

2.3 Методы встраивания ЦВЗ.

2.4 Задачи стеганографического анализа.

2.6 Обзор основных атак на системы ЦВЗ.

2.6.1 Атаки на удаление ЦВЗ.

2.6.2 Геометрические атаки на ЦВЗ.

2.6.3 Криптографические атаки на ЦВЗ.

2.6.4 Атаки против используемого протокола.

2.7 Методы противодействия атакам на системы ЦВЗ.

2.8 Выводы.

Глава 3. Построение системы графических паролей на основе цифровых водяных знаков.

3.1 Модель стеганографической системы ЦВЗ.

3.2 Описание системы графического пароля.

3.3 Математическая модель системы ЦВЗ.

3.4 Требования к системам аутентификации/идентификации на основе ЦВЗ.

3.5 Выбор методов встраивания ЦВЗ.

3.5.1 Алгоритм Kutter.

3.5.2. Алгоритм Bruyndonckx.

3.6 Безопасности системы графического пароля.

3.7 Выводы.

Глава 4. Экспериментальные исследования метода.

4.1 Общая структура программы.

4.2 Основной алгоритм работы программы.

4.3 Обобщенные алгоритмы шифрования/дешифрования.

4.4 Оценка работы выбранных алгоритмов встраивания ЦВЗ.

4.5 Описание программной реализации системы графического пароля на основе ЦВЗ.

4.6 Результаты тестирования программной реализации системы графического пароля.

4.6 Тестирование безопасности системы графического пароля при нажатиях клавиш и мыши.

4.7 Выводы.

Актуальность работы. Современными тенденциями развития информационных технологий является создание корпоративных информационных систем, а основной характеристикой данных систем является разграничение доступа пользователей к информационным и иным ресурсам. Причем данные тенденции проявляются практически для всех уровней иерархии современных информационных технологий, начиная с архитектурного уровня в целом, включая сетевые технологии, и заканчивая уровнем общесистемных средств и приложений [2,3,8,19].

Широкое применение информационных технологий стало таково, что наряду с проблемами производительности, надежности и устойчивости функционирования информационных систем, остро встает проблема защиты циркулирующей в системах информации от несанкционированного доступа. Факты несанкционированного доступа к информации (НСД) показывают, что большинство современных информационных систем достаточно уязвимы с точки зрения безопасности. Так же можно сказать, что возможность локализации угроз корпоративной информации, так как большая их часть связана с угрозой НСД, исходящей от самих сотрудников, имеющих доступ к информационным системам. При этом следует учитывать и сетевые ресурсы, прежде всего в составе локально-вычислительной сети (ЛВС), к которым сотрудник имеет доступ со своего компьютера в рамках своей служебной деятельности [28,33].

В связи с этим именно компьютер, находящийся в составе сети, следует в первую очередь рассматривать в качестве объекта защиты, а конечного пользователя - в качестве ее наиболее вероятного потенциального нарушителя. Как следствие, под сомнение ставится обоснованность концепции реализованной системы защиты в современных операционных системах (ОС).

Эта система защиты заключается в построении распределенной схемы администрирования механизмов защиты, элементами которой, помимо администратора, выступают пользователи, имеющие возможность назначать и изменять права доступа к создаваемым ими файловым объектам.

Данная проблема рассматривается в работах Д.П. Зегжды, А. Астахова, Б.Ю. Анина, С.В. Вихорева, А.А. Грушко, П.Н. Дерявина, А.А. Шелупанова, А.В. Аграновского и других.

В настоящее время выделяют два подхода к обеспечению компьютерной безопасности [19]:

1. Использование только встроенных в ОС и приложения средств защиты. В данном подходе в основном приходится использовать более длинные и сложные для обычного перебора пароли.

2. Применение, наряду со встроенными, дополнительных механизмов защиты. Этот подход заключается в использовании так называемых технических средств добавочной защиты - программных, либо программно-аппаратных комплексов, устанавливаемых на защищаемые объекты.

Существующая статистика ошибок, обнаруженных в ОС, а также сведения о недостаточной эффективности встроенных в ОС и приложения механизмов защиты, заставляет специалистов сомневаться в достижении гарантированной защиты от НСД, при использовании встроенных механизмов, и все большее внимание уделять средствам добавочной защиты информации.

К добавочному средству защиты можно отнести криптографию (работы И.Н. Окова, А.А. Варфоломеева, С.С. Баричева). С помощью ее пытаются дополнительно защитить различные системы, такие как доступ к компьютеру, доступ к сети и базам данных. К примеру, используют криптографические протоколы[96,97], шифруют данные, вырабатывают ключи доступа. Встречается использование различных USB-ключей. Но не все могут использовать технологию, построенную на основе токенов и USB-ключей по ряду причин таких, как проблема использования за пределами офиса, высокая цена на программное обеспечение (ПО) и т.д.

Можно отметить, что в настоящее время активно ведутся разработки в области систем графических паролей, которые предоставляют новую технологию в идентификации/аутентификации пользователей (Г. Блондер, Р. Андерсон, JI. Собрадо и др.). Данная технология основана на выборе пользователем определенных мест в графическом объекте, или выборе определенной последовательности графических объектов. Эта технология позволят упростить авторизацию пользователя, и дает определенные преимущества перед существующими методами идентификации и аутентификации[66,90,104,105].

В связи с этим цель диссертационной работы заключается в повышении достоверности идентификации/аутентификации пользователей за счет применения системы графического пароля.

Для достижения поставленной цели решаются задачи разработки совокупности методов и средств реализации алгоритма идентификации/аутентификации пользователей с применением стеганографических методов. Решение задачи диссертационной работы заключаются в следующем:

-разработкой системы графического пароля с использованием стеганографической системы для идентификации/аутентификации пользователей;

- исследование модели встраивания цифровых водяных знаков;

- создание системы идентификации/аутентификации пользователей, в которой реализована модель встраивания цифровых водяных знаков;

- проведение численно-параметрических исследований и экспериментов с целью оценки защищенности от НСД полученной системы идентификации/аутентификации пользователей.

Методы исследований. Поставленные задачи решены на основе применения методов теории вероятностей, математического анализа, стеганографии и экспериментальных исследований, выполненных с использованием среды программирования Borland С++[ 18].

Достоверность результатов работы обеспечивается строгостью применения математических моделей, непротиворечивостью полученных результатов, а также внедрением разработанных моделей и методов в практику.

Научная новизна диссертационной работы заключается в следующем.

1. Разработана модель встраивания цифровых водяных знаков для системы графического пароля.

2. Предложен и реализован метод графического пароля для идентификации/аутентификации пользователей с использованием цифровых водяных знаков.

3. Разработаны алгоритмы работы системы графических паролей.

4. Предложена новая технология идентификации/аутентификации пользователей для доступа к информационным ресурсам.

Практическая значимость. Реализованный метод разграничения доступа к информационным ресурсам на основе графического пароля с использование систем цифровых водяных знаков (ЦВЗ) позволяет упростить авторизацию пользователей и создавать более стойкие системы идентификации/аутентификации пользователей. Значимость диссертационной работы подтверждена актами внедрения программных продуктов, использующих метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых водяных знаков в следующих организациях: ГУ-УПФР в г. Юрге Кемеровской области, ООО «Энергометаллургический завод», ООО «Управляющая компания «Юрмаш», а так же в учебный процесс ТУСУРа по дисциплине «Программно-аппаратные средства обеспечения информационной безопасности» для подготовки специалистов по защите информации специальности 090105 - комплексное обеспечение информационной безопасности автоматизированных систем.

Апробация работы. Основные научные результаты работы обсуждались на научно-методических семинарах кафедры комплексной информационной безопасности электронно-вычислительных систем ТУСУР и докладывались на научных конференциях:

1. IV Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2006, Юрга).

2. Всероссийская научно-техническая конференция студентов, аспирантов и молодых ученых «Научная сессия ТУСУР -2006»(2006, Томск).

3. Всероссийская научно-техническая конференция студентов, аспирантов и молодых ученых «Научная сессия ТУСУР -2005»(2005, Томск).

4. Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2003, Юрга).

5. II Всероссийская научно-практическая конференция «Прогрессивные технологии и экономика в машиностроении» (2004, Юрга).

6. X Всероссийская научно-практическая конференция «Научное творчество молодежи»(2006, Анжеро-Судженск).

Основные результаты, выносимые на защиту:

1. модель стеганографической системы на основе ЦВЗ для идентификации/аутентификации пользователей;

2. метод разграничения доступа к информационным ресурсам на основе графического пароля с использованием систем цифровых водяных знаков.

Структура и объем работы. Диссертация состоит из введения, четырех глав, заключения, списка литературы из 105 наименований и 2 приложений. Общий объем работы составляет 135 страниц, в том числе 29 рисунков и 7 таблиц.

4.7 Выводы

В главе определен объект тестирования, выбрана стратегия тестирования и определены программные платформы, на которых проводилось тестирование результатов работы.

В результате тестирования было выявлено, что программная реализация предложенного метода разграничения доступа пользователей к защищаемым ресурсам на основе графического пароля с использованием стеганографических методов имеет ряд преимуществ перед системами алфавитно-цифровых палей:

• Уменьшение времени при авторизации пользователем в системе;

• Легкость запоминания графического пароля;

• Стойкость к взлому системы программами-шпионами.

Проведенное тестирование показало высокую эффективность разработанного метода. Получены оценки быстродействия авторизации пользователя при применении алгоритмов Kutter и Bruyndonckx, которые составляют 33,48 и 22,4 сек. соответственно. Среднее время авторизации пользователя в системе графического пароля с использованием алгоритма

Bruyndonckx составляет 25.19 сек., а для ввода символьного пароля 61,8 сек.

Для оценки безопасности программа StegGP была протестирована на перехват нажатия клавиш и мыши программами Ardamax Keylogger v. 1.6, SKIn2000 v.6.0 и KbrdHook v.2.4.0.1. Результаты тестов описаны в главе 4.

В целом программная реализация предложенного метода разграничения доступа пользователей к защищаемым ресурсам на основе графического пароля с использованием методов встраивания цифровых водяных знаков была одобрена участниками экспериментов.

Заключение

На основе анализа существующих методов идентификации/аутентификации пользователей выявлены недостатки часто используемых систем. Проведенный анализ позволил сделать вывод о том, что использование системы графических паролей с применением стеганографических методов повышает безопасность систем защиты информации и информационной системы в целом.

В результате проведенных исследований получены следующие основные научные и практические результаты:

• Сформулированы требования к системам идентификации/аутентификации на основе ЦВЗ.

• Разработана модель стеганографической системы, которая используется для реализации метода графического пароля.

• Предложен, отличающийся от существующих моделей, метод графического пароля.

• Приведено описание алгоритмов для различных реализаций метода графического пароля с использованием ЦВЗ.

• Приведена классификация и анализ существующих методов встраивания ЦВЗ, с помощью которых осуществляется исследование применяемых алгоритмов встраивания ЦВЗ для системы графических паролей.

Полученныйц метод графического пароля обладает следующими отличительными особенностями:

1. Использование графических объектов со встроенными ЦВЗ для идентификации/аутентификации пользователей в системах графических паролей, позволяет легко запоминать пароль для входа в систему.

2. Смена графических объектов происходит случайным образом, что делает систему неуязвимой при подглядывании или использовании программ регистрирующих нажатия клавиш и координаты выбора графических объектов мышью.

3. Использование ЦВЗ в качестве одноразовых паролей, делает систему неуязвимой при сетевом перехвате.

4. Размещение графических объектов для аутентификации на рабочем месте пользователя не позволяет нарушителю взломать систему в целом.

5. Использование полученного метода для разграничения доступа к информационным и иным ресурсам делает системы идентификации/аутентификации более стойкими к взлому.

6. Программная реализация метода позволяет значительно уменьшить денежные затраты на приобретение дополнительных систем защиты.

Результаты диссертационной работы внедрены в ГУ-УПФР в г.Юрге, ООО «Энергометаллургический завод», ООО «Управляющая компания «Юрмаш» и в учебный процесс ТУСУРа.

Диссертационная работа является законченным на данном этапе научным исследованием, в котором проведен анализ существующих методов идентификации/аутентификации пользователей и предложен метод разграничения доступа пользователей к защищаемым ресурсам на основе графического пароля с использованием стеганографических методов, в частности использования цифровых водяных знаков в качестве идентификации/аутентификации пользователя в защищаемых системах.

1. Аграновский А.В. Основы компьютерной стеганографии: Учебное пособие / А. В. Аграновский, П.Н. Девянин, Р. А. Хади, А.В. Черемушкин. М.: Радио и Связь, 2003. - 154 с.

2. Анин Б.Ю. Защита компьютерной информации / Б.Ю. Анин. СПб.: БХВ-Петербург, 2000. - 384 с.

3. Астахов А. Анализ защищенности корпоративных систем / А. Астахов // Открытые системы, 2002. - №07-08. - С. 44-49.

4. Баричев С.С. Основы современной криптографии / С.С. Баричев, В.В. Гончаров, Р.Е. Серов. М.: Мир, 1997. - 176 с.

5. Барсуков B.C. Компьютерная стеганография вчера, сегодня, завтра / B.C. Барсуков, А.П. Романцов //Специальная техника. 1998. - №4-5.

6. Варновский Н.П. О теоретико-сложностном подходе к определению стойкости стеганографических систем / Н.П. Варновский // Сборник трудов IV международной конференции «Дискретные модели в теории управляющих систем» М.: «МАКС Пресс». - С. 15-16.

7. Варфоломеев А.А. Блочные криптосистемы. Основные свойства и методы анализа стойкости. / А.А. Варфоломеев, А.Е. Жуков, А.Б. Мельников, Д.Д. Устюжанин. М.: МИФИ, 1998. 200 с.

8. Вихорев С.В. Классификация угроз информационной безопасности /С.В. Вихорев. Сетевые атаки и системы информационной безопасности. -2001. -№9. Электронный ресурс. - Режим доступа: http://www.cnews.m/comments/security/

9. Генне О. В. Основные положения стеганографии /О.В. Генне. Защита информации. Конфидент, 2000. №3. Электронный ресурс. - Режим доступа: http://www.confident.ru/magazine/

10. Городецкий В.И. Стеганография на основе цифровых изображений /В.И. Городецкий, В.В. Самойлов. // Информационные технологии и вычислительные системы, 2001. №2/3, с. 51-64.

11. ГОСТ Р 50922-96. Защита информации. Основные термины и определения.

12. ГОСТ Р ИСО/МЭК 15408-3-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий.

13. ГОСТ РФ 34.10-94. Информационная технология. Криптографическая защита информации. Электронная цифровая подпись. М.: Госстандарт РФ.

14. Грибунин В. Г. Цифровая стеганография /В.Г. Грибунин, И. Н. Оков, И. В. Туринцев. -М.: Солон-Пресс, 2002.272 с.

15. Грушко А.А. Теоретические основы защиты информации / А.А. Грушко, Е.Е. Тимонина. М.: Яхтсмен, 1996. 31 с.

16. Дерявин П.Н. Теоретические основы компьютерной безопасности: Учебное пособие для вузов / П.Н. Дерявин и др. М.: Радио и связь, 2000. - 192 с.

17. Домашев А. В. Программирование алгоритмов защиты информации / А.В. Домашев, В.О. Попов, Д.И. Правиков, И.В. Прокофьев, А.Ю. Щербаков. М.: Нолидж, 2000. 288 с.

18. Елманова Н.З. Введение в Borland С++ Builder /Н.З. Елманова, С.П. Кошель. М.: Диалог-МИФИ, 1998. 675 с.

19. Зегжда Д.П. Основы безопасности информационных систем / Д.П. Зегжда, A.M. Ивашко. М.: Горячая линия - Телеком, 2000. 452 с.

20. Зегжда Д.П. Создание систем обработки закрытой информации на основе защищенной ОС и распространенных приложений / Д.П. Зегжда // Проблемы информационной безопасности. Компьютерные системы. 1999.-№1.-С.106-109.

21. Зегжда П.Д. Безопасные информационные системы на основе защищенной ОС / П.Д. Зегжда // Проблемы информационной безопасности. Компьютерные системы. 1999. -№1. С.96-99.

22. Зима В.М. Безопасность глобальных сетевых технологий /В,М. Зима, А.А. Молдовян, Н.А. Молдовян. Спб.: БХВ-Петербург, 2000. - 320 с.

23. Кустов В. Н. Методы встраивания скрытых сообщений / В.Н. Кустов, А. А. Федчук.//Защита информации. Конфидент, 2000. № 3.- С. 34-36.

24. Мельников Ю.Н. Электронная цифровая подпись. Возможности защиты /Ю.Н. Мельников // Конфидент. 1995. - №4(6). С. 35-47.

25. Оков И. Н. Криптографические системы защиты информации /И.Н. Оков. СПб.: Типография ВУС, 2001. - 236 с.

26. Оков И.Н. О требуемой пропускной способности каналов передачи аутентифицированных сообщений в безусловно стойких системах / И.Н. Оков // Проблемы информационной безопасности. Компьютерные системы. 2000. -№ 3(7). С.78-64.

27. Оков И.Н. Электронные водяные знаки как средство аутентификации передаваемых сообщений / И.Н. Оков, P.M. Ковалев. // Конфидент, -2001. №3. Электронный ресурс. - Режим доступа: http://www.confident.ru/maRazine/new/64.html

28. Преступления в сфере компьютерной информации: квалификация и доказывание: Учебное пособие. / Под редакцией Ю.В.Гаврилина. Серия: Высшая школа. М: ЮИ МВД РФ, 2003. - 240 с.

29. Проблемы безопасности программного обеспечения. / Под ред. Зегжда П.Д. СПб.: СПбГТУ, 1995. - 192 с.

30. Пярин В.А. Безопасность электронного бизнеса / В.А. Пярин, А.С. Кузьмин, С.Н. Смирнов.; Под ред. действительного члена РАЕН д.т.н., проф. В.А. Минаева; М.: Гелиос АРВ, 2002. - 432 с.

31. Симонов С.В. Технологии аудита информационной безопасности /С.В. Семенов // Защита информации. Конфидент, 2002. -№2. - С.38-43.

32. Соколов А.В. Защита от компьютерного терроризма: Справочное пособие /А.В. Соколов, О.М. Степанюк. БВХ-Петербург: Арлит, 2002. -496 с.

33. Трубачев А.П. Общие критерии оценки безопасности информационных технологий / А.П. Трубачев, И. В. Егоркин, М.Т. Кобзарь, А.А. Сидак. // Конфидент. Защита информации. 2002. - №2. - С.54-60.

34. Шелупанов А.А. Основы информационной безопасности: Учебное пособие / А.А. Шелупанов, В.П. Лось, Р.В. Мещеряков, Е.Б. Белов. М.: Горячая линия телеком, 2006. - 544 с.

35. Шелупанов А.А. Специальные вопросы информационной безопасности / А. А. Шелупанов, Р.В. Мещеряков // Монография. Томск: Институт оптики атмосферы СО РАН, 2003. - 244 с.

36. Шокарев А.В. Использование цифровых водяных знаков для аутентификации передаваемых сообщений /А.В. Шокарев //Вестник СибГАУ «Системная интеграция и безопасность». Красноярск, 2006. -Спец. выпуск. С.123-127.

37. Шокарев А.В. Теоретико-информационный и Теоретико-сложностный подходя для оценки стойкости стеганографических систем / А.А.

38. Шелупанов, А.В. Шокарев //Вестник СибГАУ «Системная интеграция и безопасность». Красноярск, 2006. - Спец. выпуск. С. 121-123.

39. Шокарев А.В. Цифровые водяные знаки. Защита авторских прав / А.В. Шокарев // Научное творчество молодежи: Материалы X Всероссийской научно-практической конференции. 4.1. Томск: Изд-во ТГУ, 2006. С -98-100.

40. Иванов А.И. Биометрическая идентификация личности по динамике подсознательных движений / А.И. Иванов // Электронный ресурс. -Режим доступа: http://beda.stup.ac.ru/biometry.

41. Thorpe J. Graphical dictionaries and the memory space of graphical passwords /J. Thorpe, P. van Oorschot // 13th Usenix Security Symposium, 2004.-P. 135-150.

42. Adams A. Privacy in multimedia communications: protecting users not just data /А. Adams, M.A. Sasse. //Proceedings of IMH HCI'01, 2001. P. 49 -64.

43. Adams A. Privacy issues in ubiquitous multimedia environments: Wake sleeping dogs, or let them lie? / A. Adams, M.A. Sasse. //Proceedings of INTERACT'99, Edinburgh, 1999. P. 214-221.

44. Коновалов Д. H. Технология защиты информации на основе идентификации голоса / Д.Н. Коновалов, А. Г. Бояров // Электронный ресурс. Режим доступа: http://www.fact.ru/archive/07/voice.shtml

45. Anderson R. Stretching the limits of steganography / R. Anderson // Proceedings 1st Intern. Workshop on Inform Hiding, vol. 1174. 1996, P.39-48.

46. Anderson R. On the limits of steganography / R. Anderson, F .Petitcolas. // IEEE J. on Selected Areas in Communications, vol. 16, № 4. 1998. P. 474481.

47. Barak В On the (im)possibility of obfuscating programs. / B. Barak, O. Goldreich, R. Impagliazzo, S. Rudich, A. Sahai, S. Vadhan, Ke Yang. // Advances in Cryptology — Crypto'Ol. LNCS, vol. 2139. 2001. P.1-18.

48. Besnard D. Computer security impaired by legitimate users / D. Besnard, В. Arief. // Computers and Security, 23(3), 2004. P. 253-264.

49. Blonder G. Graphical passwords, United States Patent 5559961,1996.

50. Brostoff, S. Are Passfaces more usable than passwords: A field trial investigation / S. Brostoff, , M.A. Sasse, // People and Computers XIV -Usability or Else, Proceedings of HCI, 2000. P. 405-424.

51. Brown, A.S. Generating and remembering passwords / A.S. Brown, E. Bracken, S. Zoccoli, K. Douglas // Applied Cognitive Psychology, 2001. -P.641-651.

52. Bas P. Image watermarking: an evolution to content based approaches / P. Bas, J.-M. Chassery, B. Macq // Pattern Recognition vol. 35. 2002. P. 545561.

53. Cachin C. An information-theoretic model for steganography /С. Cachin // Proceedings 2nd Intern. Workshop on Inform. Hiding, vol.1525. 1998. -P.306-318.

54. Chandramouli R. Analysis of lsb Based Image Steganography Techniques / R. Chandramouli, N. Memon // Proceedings IEEE International Conf. On Image Processing, vol.3. 2001. P. 1019-1022.

55. Charbon E. On Intellectual Property Protection. In proceedings of Custom Integrated Circuits / E. Charbon, I.H. Torunoglu //Conference, 2000. P. 517523.

56. Christian C. An information-theoretic model for steganography / C. Christian Электронный ресурс. Режим доступа: http://algolist.manual.ru/defence/hide/

57. Сох I.J. Digital Watermarking. /I.J. Cox, M.L. Miller, J.A. Bloom //Morgan Kaufmann Publisher. Academic Press. 2002. 542 p.

58. Craver S. On public-key steganography in the presence of an active warden / S. Craver // Proceedings 2nd Intern. Workshop on Inform. Hiding, vol. 1525. 1996. P.355-368.

59. Craver S. On the Invertibility of Invisible Watermarking Techniques / S. Craver, N. Memon, B. Yeo, M. Yeung//Proceedings of ICIP. 1997.

60. Craver S. Resolving Rightful Ownerships with Invisible Watermarking Techniques: Limitations, Attacks, and Implications / S. Craver, N. Memon, B. Yeo, M. Yeung // IEEE Journal on Selected Areas in Communication, vol. 16. №4. 1998.-P. 573-586.

61. Darmstaedter V. Low cost spatial watermarking / V. Darmstaedter, J.F. Delaigle, J. Quisquater, B. Macq // Computers and Graphics, vol. 5. 1998. P. 417-423.

62. Davis D. On user choice in graphical password schemes / D. Davis, F. Monrose, M.K. Reiter Электронный ресурс. Режим доступа: http://www.usenix.org/events/sec04/tech/davis.html

63. Dedic N. Upper and lower bounds on black-box steganography / N. Dedic, G. Itkis, L. Reyzin, S. Russell Электронный ресурс. Режим доступа: http://eprint.iacr.org

64. Deguillaume F. Countermeasures for unintentional and intentional video watermarking attacks / F. Deguillaume, G. Csurka, T. Pun// SPIE Electronic Imaging. 2000. Электронный ресурс. Режим доступа: http://citeseer.ist.psu.edu/373851.html

65. Dhamija R. Deja Vu: User study using images for authentication. / R. Dhamija, A.Perrig // In Ninth Usenix Security Symposium. 2000. Электронный ресурс. Режим доступа: www.ischool.berkeley.edu/~rachna/papers/usenix.pdf

66. Diffie W. New directions in cryptography / W. Diffie, M. Hellman //IEEE Transactions om Information Theory, IT-22(6), 1976, P.644-654.

67. Dodis Y. On the (im)possibility of cryptography with imperfect randomness / Y. Dodis, Sh. J. Ong, A. Prabhakaran, A. Sahai //Proceedings 45th Symposium Found, of Computer Science, 2004. P. 196-205.

68. Doughty K. Implementing enterprise security: a case study / K. Doughty // Computers & Security, 22(2), 2003. P. 99-114.

69. Farid H. Detection Steganographic Message in Digital Images / H. Farid // Technical Report TR2001-412, 2001.

70. Fluhrer S.R. Statistical analysis of the alleged RC4 keystream generator Fast Software Encryption / S.R. Fluhrer, D.A. McGrew // Cambridge Security Workshop Proceedings, 2000. P. 127-139.

71. Fridich J. Practical Steganalysis of Digital Images — State of the Art / J. Fridich, M. Goljan // Proceedings SPIE Photonics West. vol. 4675. Security and Watermarking of Multimedia Contents. San Jose, California, 2002. P. 113.

72. Jermyn I. The design and analysis of graphical passwords / I. Jermyn, A. Mayer, F. Monrose, M. Reiter //Proceedings of the 8th USENIX security symposium, 1999. Электронный ресурс. Режим доступа: www.ece.cmu.edu/~reiter/papers/1999/USENIX.pdf

73. Golic J.Dj. Linear models for keystream generators / J.Dj. Golic // IEEE Transactions on Computers, vol. 45. 1996. P. 41-49.

74. Hartono E. Key predictors of the implementation of strategic information systems / E. Hartono, A.L. Lederer, V. Sethi, Y. Zhuang // The DATA BASE for Advances in Information Systems, 2003. P. 41-53.

75. Hartung F. Multimedia waterwarking techniques / F. Hartung, M. Kutter //Proceeding of the IEEE, vol. 87, № 7. 1999. P.1079-1107.

76. Минаев В. А. Анализ угроз безопасности информации в информационно-телекоммуникационных системах /В.А. Минаев, И. В. Пеньшин, В. Е. Потанин, С.В. Скрыль// Электронный ресурс. Режим доступа: http://www.sec.ru/

77. Impagliazzo R. Pseudo-random generation from one-way functions / R. Impagliazzo, L. Levin, M. Luby// Proceedings 21st Symposium on Theory of Computing, 1989. P. 12-24.

78. Jain A. Biometric identification / A. Jain, L. Hong, S. Pankanti// CACM 43, 2000.-P. 91-98.

79. Johnson N. F. Steganalysis of images created using current steganography software / N. F. Johnson, S. Jajodia //Proceedings 2nd Intern. Workshop on Inform. Hiding, vol. 1525. 1998. P.273-289.

80. Katzenbeisser S. Information Hiding: Techniques for steganography and digital watermarking / S. Katzenbeisser, F.A . Petitcolas // Artech House. Inc. 2000.-221 p.

81. Kutter M. Digital signature of color images / M. Kutter, F. Jordan, F. Bossen // Proceedings of the SPIE Storage and Retrieval for Image and Video Databases, 1997.-P.321-326.

82. Kutter M. Digital watermarking of color images using amplitude modulation / M. Kutter, F. Jordan, F. Bossen //Proceedings of the SPIE Storage and Retrieval for Image and Video Databases, 1997. P. 326-332.

83. Langelaar G. Removing Spatial Spread Spectrum Watermarks by Non-linear Filtering / G. Langelaar, R. Lagendijk, J. Biemond // IX European Signal

84. Processing Conference. 1998. Электронный ресурс. Режим доступа: http://ict.ewi.tudelft.nl/index.php?option=com pub&task=view&id=1407

85. Luby M. Pseudorandomness and cryptographic applications / M. Luby //Princeton, NJ, Princeton University Press, 1996. 248 p.

86. Man S. A shoulder-surfing resistant graphical password scheme / S.Man, D. Hong, M. Mathhews // Proceedings of 2003's international conference on security and management, vol. 1. 2003. P. 105-111.

87. Menezes A.J. Handbook of Applied Cryptography / A.J. Menezes, P.C. Oorschot, S.A. Vanstone //N.Y.: CRC-Press. 1996. 780 p.

88. Morris R. Password security: A case study / R. Morris, K. Thompson // Communications of the ACM. 2001. P. 594-597.

89. Petitcolas F. Attacks on Copyright Marking Systems / F. Petitcolas, R. Anderson, M. Kuhn // Lecture Notes in Computer Science. 1998. P. 218238.

90. Petitcolas F.A. Information hiding a survey / F.A. Petitcolas, RJ.Anderson, M.G. Kuhn //Proceeding of the IEEE, vol. 87. № 7. 1999. - P.1062-1078.

91. Pfitzmann B. Information hiding terminology / B. Pfitzmann // Proceedings 1st Intern. Workshop on Inform. Hiding, vol. 1174. 1996.- P.347-350.

92. Rivest R. L. The RC4 Encryption Algorithm / R. L. Rivest // Dr. Dobb's Journal. January. 1995. P. 146 - 148.

93. Schneier B. Applied Cryptography / B. Schneier// N. Y.: John Wiley & Sons Inc., 1996.-757 p.

94. Simmons G. J. The prisoners' problem and the subliminal channel / G. J. Simmons // Crypto'83,1984. P. 51-67.

95. Sobrado L. Graphical passwords / L. Sobrado, J.C. Birget Электронный ресурс. Режим доступа: http://rutgersShcolar.rutgers.edu/volume04/contens.htm

96. Su J. On the imperceptibility and robustness of digital fingerprints / J. Su, B. Girod // IEEE ICMCS-99. 1999. Электронный ресурс. Режим доступа: http://citeseer.ist.psu.edu/su99robustness.html

97. Torunoglu I. Watermarking-Based Copyright Protection of Sequential Function / I. Torunoglu, E Charbon // IEEE Journal Solid-State Circuits, vol.35. 2000. P. 434-440.

98. Wayner P. Disappearing Cryptography: Information Hiding, Steganography & Watermarking / P. Wayner // Second Eddition. Morgan Kaufmann Publisher. Elsevier Science Publisher. 2002. 413 p.

99. Westfeld A. Attacks on Steganographic Systems / A. Westfeld, A. Pfitzmann// Proceedings 3rd Info. Hiding Workshop,Dresden, Germany, September -October, 1999.-P. 61-75.

100. Wiedenbeck S. PassPoints: Design and evaluation of a graphical password system / S. Wiedenbeck, J. Waters, J.C. Birget, A. Broditskiy, N. Memon Электронный ресурс. Режим доступа: http://clam.rutgers.edu/birget/grPssw/index.html

101. Wiedenbeck S. Authentication using graphical passwords: Effects of tolerance and image choice /Wiedenbeck, J. Waters, J.C. Birget, A. Broditskiy, N. Memon Электронный ресурс. Режим доступа: http://clam.rutgers.edu/birget/grPssw/index.html