Security (безопастность) ч.1 - базовые понятия

Security (безопасность)
Часть 1 - базовые понятия

Список не претендует на полноту. Термины необходимые для сертификации.

1) authentication (идентификация)
2) authorization (авторизация)
3) data integrity (сохранность данных)
4) confidentiality or data privacy (конфиденциальность)
5) auditing (аудит)
6) malicious code (вредоносный код)
7) web site attack (атаки web-сайтов)

Authentication (идентификация)
Идентификация - процесс определения пользователя (будь то человек или другая программа) с последующей проверкой подлинности, то есть подтверждение что пользователь является тем (чем) представился. Обычно в интернете для авторизации пользуются логин\пароль парой.

Autorization (авторизация)
После идентификации пользователя идёт его авторизация.
Авторизация - процесс определения достаточно ли прав у пользователя для доступа к запрашиваемым ресурсам. Авторизация обычно реализуется на основе списков доступа (access control list - ACL), который содержит пользователей и их уровни доступа. 

Data integrity (сохранность\целостность данных)
Сохранность данных - процесс обеспечивающий неизменяемость передаваемых данных во время транзита от отправителя к получателю. Обычно реализуется на основе хеш-кодов или сигнатур передаваемых вместе с данными, после приёма получатель проверяет соответствие информации и хеш-кодов.

Confidentiality or data privacy (конфиденциальность)
Конфиденциальность - процесс обеспечения доступа к критичной информации исключительно заданными пользователями.
Например передача пары логин\пароль через HTTP происходит при помощи простого текста. Если эта информация попадёт в руки недоброжелателей то конфиденциальность нарушена. Обеспечение же конфиденциальности происходит при помощи шифрования данных. На сегодняшний день большинство web-ресурсов используют HTTPS протокол для шифрования передаваемой информации.В результате даже если часть пакетов данных будет перехвачена, злоумышленник не сможет использовать эту информацию.

Auditing (аудит)
Аудит - это процесс записи событий уровня безопасности в порядке их происхождения в системе. Аудит может помочь обнаружить причины проблем в системе, и обычно конечной точкой служат файлы логирования.

Malicious code (вредоносный код)
Части кода которые могут повредить програмному обеспечению и\или данным называются вредоносным кодом. Это могут быть и вирусы и черьви и троянские кони. А иногда доморощенные разработчики оставляют лазейку в своих программах.

Web site attack (атаки web-сайтов)
Всё что считается ценным потенциально явлется целью злоумышленников. Web-сайты не являются исключением. Они могут быть атакованы различными типами людей и в различных целях. Кто-то получает от этого удовольствие, а кто то финансовую выгоду. Обобщенно существует 3 типа атак:
1) Атаки уровня конфиденциальности (secrecy attacks) - базируются на попытке украсть конфиденциальную информацию через анализ трафика между 2-я компьютерами. В этом случае помогает шифрование.
2) Атаки уровня сохранности\целостности (Integrity attack) - базируются на подмене части оригинальных сообщений на вредоносные во время транзита этих сообщений от отправителя получателю. IP-спуфинг (spoofing) один из распространенных способов. Суть в том, что злоумышленник отправляет сообщение в котором указывается IP дружественной системы и таким образом получает доступ к данным. Бороться с таким типом атак можно путём использования технологии строгой идентификации, таких как шифрование с публичными ключами.
3) Атаки доступности (Denial-of-service attacks OR availability attacks) - Суть в том, чтобы зафлудить систему фальшивыми сообщениям и она отказалась обслуживать реальные запросы.