WO2023140826A1 - Устройство и способы защиты компьютерных систем от несанкционированного доступа - Google Patents

Устройство и способы защиты компьютерных систем от несанкционированного доступа Download PDF

Info

Publication number
WO2023140826A1
WO2023140826A1 PCT/UA2022/000004 UA2022000004W WO2023140826A1 WO 2023140826 A1 WO2023140826 A1 WO 2023140826A1 UA 2022000004 W UA2022000004 W UA 2022000004W WO 2023140826 A1 WO2023140826 A1 WO 2023140826A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
host
user
access
network
Prior art date
Application number
PCT/UA2022/000004
Other languages
English (en)
French (fr)
Inventor
Игорь Николаевич СИДОРЕНКО
Original Assignee
Игорь Николаевич СИДОРЕНКО
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Игорь Николаевич СИДОРЕНКО filed Critical Игорь Николаевич СИДОРЕНКО
Priority to PCT/UA2022/000004 priority Critical patent/WO2023140826A1/ru
Publication of WO2023140826A1 publication Critical patent/WO2023140826A1/ru

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • IPC G06F 21/85, G06F 13/14, G06F 12/14, G06F 12/16
  • the invention belongs to the field of computer technology, the field of use is data protection.
  • a significant problem is the activity aimed at obtaining remote unauthorized access to computer systems, causing damage to their owners.
  • the means of protection against such access is the software installed on computer systems [1], which identifies and neutralizes malicious program code [2].
  • new samples of such code are constantly appearing, and before they are detected and protected from them, some time passes, during which they can cause damage.
  • a computer system or CS means a separate computer or several interconnected computers, possibly with one or more separate digital devices attached to it (them), possibly with equipment controlled by this (these) computers.
  • Equipment here may include, but is not limited to, machine tools, industrial systems (eg nuclear power plants), life support and safety systems (eg traffic light control systems).
  • the objective and technical result of this invention is to create a device for protecting data and equipment on the CS in the event that this CS is hacked (compromised) and the attacker, to one degree or another, exercises remote control over it.
  • As said protection in a very limited number of cases, it is possible to use a write-locked floppy disk, which (floppy disk) is now obsolete.
  • the proposed solution can in some cases also enhance security with respect to direct physical (i.e., not remote) access of an attacker to the CS, and can also be used to solve some other problems related to data security.
  • file means both a regular file placed on data carriers of ordinary computers, and a portion of data of an arbitrary format with which the CS can work, incl. perform read and write operations of this portion of data on the media,
  • an intruder a person who unauthorizedly controls or tries to control, to one degree or another, the CS by using software tools or individual commands
  • CC includes individual commands sent by an attacker to the CS via a remote connection in order to hack the CS or control the hacked CS,
  • data when it comes to data flows between parts of the CS or between individual CSs, includes commands that control the operation of the CS or their parts, - CBB - input-output facilities,
  • a device is proposed in the form of a hardware-software complex that is part of the CS or connected to it, characterized in that it interacts independently of this CS with separate parts of this CS and / or data stored on the memory devices of the CS or moving between parts of the CS or between this CS and another. Separate parts here can be incl. peripheral devices [9], such as storage media or a network card [11].
  • independently here means that the proposed device, in case of receiving a command from the host (given CS) or part of it, does not execute it unconditionally, acting according to its own rules.
  • Interaction with data means that the device (a) analyzes the data stream available to it inside the CS or between this CS and another and reacts depending on the result of this analysis and, possibly, the user's desire (for example, removes a certain part of it from this stream) or (b) completely blocks/unblocks this data flow.
  • Traffic analysis occurs by writing it to the device's own memory or host memory available to it and searching the recorded data for the required sequence of bits or characters. The sequence to be found is specified in the device settings.
  • the interaction of the device with the parts of the CS means the exchange of data between them, the execution by these parts of the commands coming from the device, as well as the switching on / off by the device of the power supply to these parts.
  • the device may be physically composed of several separate parts connected by wire or wireless, for example, the main part of the device is located on the motherboard of the PC, and the on/off mechanism of the device is located on the PC case.
  • device or its separate parts can be rigidly built into the CS (non-removable) or removable, incl. with the possibility of permutation to another COP.
  • the device or its parts can be integrated with the CS or its individual parts, for example, ND or network card, i.e. there may be a separate device that simultaneously performs the functions of the proposed device (or part of it) and another device-part of the CS.
  • the proposed device or part of it can be integrated with devices that are not related to the CS, but are necessary for the convenience of handling the proposed device, for example, a key fob.
  • the device may have one or more own ND, which can be removable (replaceable).
  • the device or part of it, can use its own power supply or be powered by the host for its power supply.
  • the device may have a switch that disables all of its functions, for example by turning off its power supply.
  • the device When the device is turned off or in case of physical disconnection of the device from the CS, the latter may or may not be able to work and perform at least some of its functions.
  • the device can keep a record of the actions it performs (log).
  • the service may be, for example, writing data to the device according to claim 1, upgrading its software part, or checking the hash sum of its software part.
  • UHV for communication with the user. If these are their own UHV devices, then they can be physically one with the rest of the device, with or without the possibility of detachment, or separate, connected to the rest of the device by wire or wireless. These UHVs can be integrated with the host body or part of the host, with or without the possibility of a physical separation.
  • the device can be used for the purpose of communication with the user, incl. light and sound signals.
  • Host UHV can be disconnected from the host in manual or automatic mode for communication with the user and connected to the device, and after communication is reconnected.
  • such an input could be a regular USB keyboard [12,13] manually connected in turn to the host PC and the device.
  • the device To reconnect in automatic mode, the device must include a part capable of such reconnection. Perhaps, in the case of a PC, such a device will need integration with a BIOS system [14] or similar.
  • the device according to claim 4 connected to a separate computer not connected to the host, and using the UHV of this computer to communicate with the user.
  • One such computer may be connected to several specified devices, one specified device may be connected to several such computers.
  • the use of this particular method of communication may weaken the protection of the host, given the possibility of infecting the specified individual computer of the CC.
  • the device according to claim 4 which, in order to perform certain actions, requires the user to pass authorization [15], for example, entering a password or verifying a fingerprint.
  • authorization purposes separate devices (for example, plastic cards) connected to the device by contact or non-contact means can be used.
  • ND separate part of the host
  • directly means "through the UHV device”. This interaction may include, among other things, working with files on the host ND, for example, editing, file operations, transferring files to other computers, decrypting / encrypting files, incl. "on the fly”.
  • Blocking occurs by removing from the traffic the corresponding commands coming from the host.
  • Access to read data, access that affects the integrity of data, or both of these types of access can be blocked individually. Which files are protected in this way and from what type of access is indicated in the device settings, which the user can edit directly. These can be, for example, files located in a certain folder or all files on the ND. Full-fledged work with protected then. files is possible when moving ND to another computer or when unlocking under security conditions.
  • Access that affects the integrity of data refers to the operations of changing or deleting files, formatting ND, etc.
  • changing a file means changing its content and / or its name and / or its properties (for example, the "Read Only" property). Further, access that affects the integrity of data is called access to change data.
  • ND access to files of which is blocked to the required extent, is further called isolated. This can be the device's own NR or the host's NR.
  • the specified removal of the command from traffic may be reduced to ignoring such a command by the integrated device.
  • a file can be, for example, a file that stores data about what actions are allowed for certain computers or accounts on the local network and which is edited only by the system administrator, or any file that should be opened for reading by many network users, but should only be changed by an authorized person (persons).
  • the required data file is marked in a special way, sent as usual, the device identifies this file by the specified marks, removes it from the traffic and saves it on an isolated ND.
  • the device (or part of it) must be located in such a place on the host that the transferred file does not pass through vulnerable parts of the computer (i.e., those through which an attacker could gain access to the file data), for example, in front of the PC network card along the incoming traffic.
  • an indication can be sent whether the host should receive a notification that the device has received the file and in what form.
  • the specified data can be sent as an attached file to an e-mail, the body of which can be accessed from the host.
  • a method of dealing with data requiring protection consisting in the fact that such data is protected by a device according to claim 8 connected to a secure computer or a network of such computers (other than a host).
  • Data protection here means blocking the corresponding data access commands.
  • a computer is called safe if it is impossible for the SC to get into it because it is not connected to external networks and / or other precautionary measures are taken.
  • a secure computer will allow, for example, to fully work with data protected by the method according to claim 9.
  • Such a secure computer can use parts of the host for its work, for example, a monitor that is manually switched from one computer to another.
  • the device according to claim 4 which in certain cases requests the user's consent to perform certain actions or offers the user a choice of several possible actions. This interaction is direct.
  • Such confirmation can be carried out, for example, using a phone call, naming the password.
  • the host is disconnected from the network (if it is connected), a check is made to see if removable ND are connected to it, from which any code can be loaded when the host is turned on, then the host is rebooted (or turned on if it was turned off by that moment), the specified ND lock is disabled, the necessary changes are made to it. After it, the hash sums [18] of the recorded files are checked (if required) and the lock is turned on again. After that, you can connect the host to the network. Booting a host with such a blocked ND as specified and a specified feature of the OS, subject to the specified precautions, is hereinafter referred to as secure boot.
  • This method can help in cases where the SP takes a significant amount of time to complete its task, or if the user for some reason indicated detected the (possible) presence of a virus on the computer.
  • the proposed method will not work if the ZK is initially present in the OS or the software being installed.
  • individual parts of the computer have the ability to update their software by executing the appropriate program code on the computer, they can be protected from getting into them by ZK in the same way.
  • they may include a conventional mechanical switch, which in one of its positions blocks the overwriting of the specified code.
  • Restarting a computer using this method can be done even if it is not known whether the CC is present on the computer in order to ensure its absence. In the case of a local network of such computers, this may require the simultaneous shutdown of all computers on the network.
  • the device according to claim 1 in the form of a switch to block writing on the ND, built into this ND or connected to it, with the corresponding software part.
  • the switch itself can, for example, be connected by a wire to the ND, and the software part can be located on the ND.
  • Computer OS which has the ability to prohibit loading into the operating system to execute code that is not stored on a specific ND or to execute such code.
  • DB database files
  • the device blocks it, copies these records to the same or another database file, and after this operation is completed, unblocks the specified command. Recordings are copied with marks that allow you to restore the original recordings from them. Such marks can be the date and time of copying and the identifier of the original record.
  • the object of an attack by an attacker can be a client database of a server belonging, for example, to a web resource.
  • a client database is a database that contains client-identifying data necessary for their authorization with subsequent access or non-admission to server resources (for example, login and password), as well as, possibly, personal data of the client (for example, name, address, bank card number).
  • server resources for example, login and password
  • personal data of the client for example, name, address, bank card number
  • a device according to claim 1 is proposed, blocking direct access to the client database from the host and independently performing all the necessary operations for the use and maintenance of this database at the request of the host or at the command given by the user directly, returning, if necessary, the result of the request to this database to the host. These operations include, for example, checking the data provided by the client for authorization, editing records, deleting records or adding new ones, database backup.
  • the device according to claim 1 blocking access from the host to certain data and allowing the transfer of this data directly (i.e. not through the host) to another (receiving) device upon request from the host, upon direct request from the receiving device, or at the user's command given directly.
  • a data packet is formed on the host, which contains a link (indication) to certain data stored on the device and inaccessible to the host.
  • this packet passes through the device, the latter replaces the indicated reference in it with the data itself and forwards the packet directly to the receiving device.
  • An alternative could be to command the device to generate the necessary packet on its own, with the transfer to the device of all the data necessary for this.
  • a device with a user's passport data stored on it can be attached to a smartphone as a host. If it is necessary to show this data to someone, the user, for example, sends a request to the device with the required data, the device, in turn, requests confirmation, the user gives such confirmation via the device's UHV (for example, by applying a finger to a fingerprint scanner that is part of the device), the device sends data to the smartphone screen, reconnected to the device, or transmits data to the host.
  • UHV for example, by applying a finger to a fingerprint scanner that is part of the device
  • this device can be connected to it directly as a host or using its usual host.
  • the receiving device sends a request, after the user's permission or without it (defined by the settings), the necessary data is transmitted directly to the receiving device.
  • Another example of this use could be connecting a user to a web resource that requires authorization.
  • the resource sends a request for the corresponding data to the host or directly to the device, the device intercepts or receives this request and independently responds to it, possibly in encrypted form, automatically or after confirmation from the user; in case of successful authorization, the host will be able to work with the resource.
  • this authorization method can be useful when working on a public computer.
  • the password stored on the device can be used instead of the usual, remembered by the user, or together with it.
  • the device according to claim 1 which is installed on the data transfer path between the host and another computer and contains for certain or all transferred data (A) an exhaustive list of addresses (web addresses in the case of the Internet) to which they can be sent from the host (there may be a different list for different data) or a list of addresses to which such transfer is prohibited and / or (B) an exhaustive list of addresses from which data can be received by the host or a list of addresses from which such data reception is prohibited.
  • Address lists may include, for example, all addresses of certain regions of the world or individual countries. Such a limit can be used for data stored on the device, stored on the host's ND, or generated by the host. Transferred files or data that have certain patterns (sequences of characters or bits) in their composition may fall under such a restriction.
  • the device according to claim 32 to restrict, for security purposes, the list of addresses from which the host is allowed to receive any data or data that has program code in its composition.
  • 34. Using the device according to item 32 to protect against attacks using fake sites. This refers to offers to the user to enter their bank card details or others on a site created by intruders and pretending to be legal. For example, the user's bank card information stored on the device may only be sent for payment of purchases or other purposes to a limited number of trusted websites. That. the user will not be able to mistakenly transfer his data, for example, to a site whose address differs by one letter from the address of a legal site.
  • the device can check the reliability of the site at this address on a network service created specifically for this.
  • the user can use some of the data recorded on the device (for example, passwords and data necessary for making payments) without knowing their content and not even being able to read them from the device, which means not being able to tell them to an attacker using phishing techniques [20].
  • Such data can be generated by the device using a random number generator, pre-recorded at the stage of manufacturing the device, or written to it later.
  • a device according to claim 25 is proposed, which contains and uses data that cannot be available for review by the user to perform the actions required by the user.
  • a device according to claim 25 or ND of such a device on which at the production stage, sequences of characters or bits generated using a random number generator are stored for use as passwords.
  • the device according to claim 25 for making payments, connecting the host or the device itself with other computers or network resources, or other actions through data networks of one-time passwords [21].
  • the user can exchange payment confirmation passwords with the bank, each of which can be used only once, in the form of data stored on the device, or receive from him or transfer to him an entire separate device or a removable ID for a device with such passwords.
  • Such one-time passwords can be as long as specified.
  • the device according to claim 1 installed on the data transmission path between the host and the network to which the host is connected, analyzing outgoing traffic for frequently sending access commands to the same website and, if found, removing such commands from the traffic. This will prevent the host from being used in DoS attacks [21].
  • the traffic analysis process may differ slightly from that indicated. Traffic is not initially blocked, but is analyzed, perhaps partially, in parallel with its flow. Only after the detection of the specified commands, the lock is activated with the removal of the specified commands.
  • the device according to claim 1 which receives from the network to which the host or the device itself is directly connected, alerts about ongoing or possible attacks on the host or other CS and the need to respond to them from the user or, if provided, directly from the device in automatic mode. For example, if a DoS attack is detected on the network, the user may be asked to enable the above device feature, blocking the use of the host to carry out such an attack. Depending on the settings, such a function may be automatically enabled upon the specified request.
  • Unwanted content can be, for example, ZK (then the device will act as a firewall), advertising messages or pornography.
  • ZK then the device will act as a firewall
  • advertising messages or pornography.
  • pornography On a mobile communication device, they can be blocked, incl. promotional messages from a mobile operator or manufacturer of this mobile device, which are usually unavoidable.
  • the device in this case can update its list of patterns for the specified search by directly contacting the corresponding network resource.
  • These patterns may be sequences of characters or bits specifically designed to indicate a particular kind of content, such as advertising or pornography. 45.
  • the device at the request of the user, blocks / unblocks data transmission from the corresponding parts of the CS or blocks / unblocks their power supply.
  • wireless signal transmitters of various standards, as well as a communication channel with a mobile operator can be blocked.
  • the device according to claim 1 which has the ability to synchronize the data on it and / or its software part with another such device when connected directly or through a secure device with it. This will allow the user to have a copy of the device in case it is lost or broken. Data during such synchronization can be copied selectively.
  • a safe device here means a device that is guaranteed not to be infected with malware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Technology Law (AREA)
  • Multimedia (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer And Data Communications (AREA)

Abstract

Предлагаемое устройство представляет собой программно-аппаратный комплекс, устанавливаемый на путях перемещения данных внутри компьютера или между компьютерами и независимым образом влияющий на перемещение данных. Предлагаются способы применения такого устройства для защиты от различных типов атак и, как следствие, для безопасного хранения и передачи данных. Задачей данного изобретения является защита данных и оборудования в компьютерной системе в случае, если такая система взломана и злоумышленник осуществляет удаленный контроль над ней.

Description

УСТРОЙСТВО И СПОСОБЫ ЗАЩИТЫ КОМПЬЮТЕРНЫХ СИСТЕМ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА
МПК: G06F 21/85, G06F 13/14, G06F 12/14, G06F 12/16
ОБЛАСТЬ ТЕХНИКИ
Изобретение принадлежит к области компьютерной техники, областью использования является защита данных.
ПРЕДШЕСТВУЮЩИЙ УРОВЕНЬ ТЕХНИКИ
В настоящее время значительной проблемой является деятельность, направленная на получение удаленного несанкционированного доступа к компьютерным системам, наносящего урон их владельцам. Средством защиты от такого доступа является устанавливаемое на компьютерных системах [1] программное обеспечение, идентифицирующее и нейтрализующее зловредный программный код [2]. При этом постоянно появляются новые образцы такого кода, и до их выявления и создания защиты от них проходит некоторое время, в течение которого они могут нанести урон. Под компьютерной системой или КС здесь и далее подразумевается отдельный компьютер или несколько соединенных между собой компьютеров, возможно, с присоединенными к нему (ним) одним или несколькими отдельными цифровыми устройствами, возможно, с управляемым этим (этими) компьютерами оборудованием. Оборудование здесь может включать, среди прочего, обрабатывающие станки, промышленные системы (например, АЭС), системы жизнеобеспечения и обеспечения безопасности (например, системы управления светофорами).
Устройствами, относящимися к предшествующему уровню техники, являются:
- аппаратный файрвол [3], задачей которого является блокирование прохождения зловредного кода на компьютер,
- дискету [4], которая имеет возможность блокировки записи на нее,
- смартфон PinePhone Pro [5], имеющий аппаратную блокировку каналов передачи данных. РАСКРЫТИЕ ИЗОБРЕТЕНИЯ
Задачей и техническим результатом данного изобретения является создание устройства для защиты данных и оборудования на КС в случае, если эта КС взломана (скомпрометирована) и злоумышленник в той или иной степени осуществляет удаленный контроль над ней. В настоящее время устройств, предназначенных для выполнения такой функции, не существует. В качестве указанной защиты в очень ограниченном количестве случаев можно использовать дискету с блокировкой записи, которая (дискета) в настоящее время вышла из употребления.
Предлагаемое решение может в некоторых случаях также усилить безопасность относительно прямого физического (т.е. не удаленного) доступа злоумышленника к КС, а также может использоваться для решения некоторых других задач, связанных с безопасностью данных.
Далее по тексту:
- ПК - обычный персональный компьютер [6],
- НД - цифровой носитель данных [7] либо его часть, воспринимаемая компьютером как отдельный носитель [8],
- хост - компьютер, к которому подключено предлагаемое здесь устройство,
- термин "файл" подразумевает как обычный файл, размещаемый на носителях данных обычных компьютеров, так и порцию данных произвольного формата, с которой может работать КС, в т.ч. производить операции чтения и записи этой порции данных на носитель,
- злоумышленник - человек, несанкционированно контролирующий или пытающийся контролировать в той или иной степени КС путем использования программных средств или отдельных команд,
- термин ЗК включает отдельные команды, посылаемые злоумышленником на КС посредством удаленного подключения с целью взлома КС либо контроля взломанной КС,
- термин "данные" там, где речь идет о потоках данных между частями КС или между отдельными КС, включает команды, управляющие работой КС или их частей, - CBB - средства ввода-вывода,
- ОС - операционная система,
- ПО - программное обеспечение,
- трафик - поток данных.
1. Предлагается устройство в виде программно-аппаратного комплекса, являющегося частью КС или соединяемого с ней, отличающееся тем, что оно независимым от этой КС образом взаимодействует с отдельными частями этой КС и/или данными, хранящимися на запоминающих устройствах КС или движущимися между частями КС или между этой КС и другой. Отдельными частями здесь могут быть в т.ч. периферийные устройства [9], например, носители данных или сетевая карта [11]. Термин "независимо" здесь означает, что предлагаемое устройство в случае получения команды от хоста (данной КС) или его части не выполняет ее безусловно, действуя по своим собственным правилам. Добиться невозможности взлома самого устройства, что является условием целесообразности его использования, представляется возможным, учитывая узкофункциональность устройства, а следовательно, относительную простоту управляющего им кода. Взаимодействие с данными здесь означает, что устройство (а) анализирует доступный ему поток данных внутри КС или между данной КС и другой и реагирует в зависимости от результата этого анализа и, возможно, желания пользователя (например, изымает из этого потока определенную его часть) либо (б) полностью блокирует/разблокирует этот поток данных. Анализ трафика происходит путем записи его в собственную память устройства или доступную ему память хоста и поиска в записанных данных требуемой последовательности битов или символов. Последовательность, которую необходимо найти, задается в настройках устройства. Под взаимодействием устройства с частями КС подразумевается обмен данными между ними, выполнение этими частями команд, исходящих от устройства, а также включение/отключение устройством электропитания этих частей.
Устройство может физически состоять из нескольких отдельных частей, соединенных проводным или беспроводным путем, например, основная часть устройства располагается на материнской плате ПК, а механизм включения/выключения устройства — на корпусе этого ПК. Устройство или его отдельные части могут быть жестко встроенными в КС (несъемными) или же съемными, в т.ч. с возможностью перестановки на другую КС.
Устройство или его части могут быть интегрированы с КС или ее отдельными частями, например, НД или сетевой картой, т.е. может существовать отдельное устройство, осуществляющее одновременно функции предлагаемого устройства (или его части) и другого устройства-части КС. Предлагаемое устройство или его часть могут быть интегрированы с устройствами, не имеющими отношения к КС, а нужными для удобства обращения с предлагаемым устройством, например, брелоком для ключей.
Устройство может иметь один или несколько собственных НД, которые могут быть съемными (сменными).
Для своего электропитания устройство или его часть могут использовать собственный источник питания или запитываться от хоста.
Устройство может иметь выключатель, отключающий все его функции, например, путем отключения его питания. При выключении устройства или в случае физического отсоединения устройства от КС последняя может быть или не быть в состоянии работать и выполнять хотя бы некоторые свои функции.
Устройство может вести запись выполняемых им действий (лог).
2. Использование устройства по п.1.
3. Устройство, предназначенное для совместной с устройством по п.1 работы или для обслуживания устройства по п.1. Обслуживанием может быть, например, запись данных на устройство по п.1 , апгрейд его программной части или проверка хэш-суммы его программной части.
4. Устройство по п.1 , использующее для коммуникации с пользователем СВВ. Если это собственные СВВ устройства, то они могут быть физически одним целым с остальной частью устройства, с возможностью отсоединения или без таковой, либо отдельными, соединяющимися с остальной частью устройства проводным или беспроводным путем. Эти СВВ могут быть интегрированы с корпусом хоста или части хоста, с возможностью физического отделения или без нее. Устройство может использовать с целью коммуникации с пользователем в т.ч. световые и звуковые сигналы.
5. Устройство по п.4, в качестве СВВ использующее СВВ хоста. СВВ хоста могут для коммуникации с пользователем отсоединяться от хоста в ручном или автоматическом режиме и присоединяться к устройству, а после осуществления коммуникации пересоединяться обратно. Например, таким средством ввода может быть обычная USB-клавиатура [12,13], вручную соединяемая поочередно с ПК в роли хоста и устройством. Для пересоединения в автоматическом режиме устройство должно иметь в своем составе часть, способную осуществить такое пересоединение. Возможно, в случае ПК такому устройству понадобится интеграция с системой БИОС [14] или аналогичной.
6. Устройство по п.4, соединенное с отдельным компьютером, не соединенным с хостом, и использующее СВВ этого компьютера для коммуникации с пользователем. Один такой компьютер может быть соединен с несколькими указанными устройствами, одно указанное устройство может быть соединено с несколькими такими компьютерами. Использование именно такого способа коммуникации может ослабить защиту хоста, учитывая возможность заражения указанного отдельного компьютера ЗК.
В дальнейшем под СВВ устройства понимаются в т.ч. указанные в п.5 пересоединяемые СВВ и СВВ указанного в п.6 отдельного компьютера.
7. Устройство по п.4, которое для выполнения определенных действий требует от пользователя прохождения авторизации [15], например, введения пароля или проверки отпечатка пальца. Для целей авторизации могут применяться отдельные устройства (например, пластиковые карты), соединяемые с устройством контактным или бесконтактным путем. 8. Устройство по п.4, которое позволяет пользователю взаимодействовать с отдельной частью хоста (например, НД) напрямую. Здесь и далее термин "напрямую" означает "посредством СВВ устройства". Указанное взаимодействие может включать, среди прочего, работу с файлами на НД хоста, например, редактирование, файловые операции, пересылку файлов на другие компьютеры, расшифровку/зашифровку файлов, в т.ч. "на лету".
9. Способ применения устройства по п.8, состоящий в том, что устройство устанавливается на пути передачи данных на НД, блокирует (возможно, временно) доступ с хоста к определенным файлам на этом НД, позволяя пользователю работать с ними только напрямую (возможно, в ограниченном режиме).
Блокирование происходит путем изъятия из трафика соответствующих команд, идущих из хоста. Блокироваться могут по отдельности доступ на чтение данных, доступ, влияющий на целостность данных, или одновременно оба эти вида доступа. Какие именно файлы таким образом защищаются и от какого вида доступа, указывается в настройках устройства, которые пользователь может редактировать напрямую. Это могут быть, например, файлы, находящиеся в определенной папке или все файлы на НД. Полноценная работа с защищенными то. файлами возможна при перестановке НД на другой компьютер или при снятии блокировки в условиях обеспечения безопасности. Под доступом, влияющим на целостность данных, понимаются операции изменения или удаления файлов, форматирования НД и др. Под изменением файла здесь и далее подразумевается изменение его содержания и/или его названия и/или его свойств (например, свойства "Только для чтения"). Далее доступ, влияющий на целостность данных, называется доступом на изменение данных.
Далее по тексту блокирование тех или иных видов доступа к данным на НД предполагает, что соответствующее устройство установлено на пути передачи данных на этот НД и убирает из трафика соответствующие команды. НД, доступ к файлам которого заблокирован в требуемом объеме, далее называется изолированным. Это может быть собственный НД устройства или НД хоста.
Если устройство интегрировано с НД, указанное изъятие команды из трафика может сводиться к игнорированию такой команды интегрированным устройством. 10. Применение способа по п.9 для ограничения доступа на изменение к файлу, доступ на чтение к которому должен быть открыт для многих пользователей хоста или компьютеров сети, с которой соединен хост. Таким файлом может быть, например, файл, в котором хранятся данные о том, какие действия разрешены определенным компьютерам или аккаунтам в локальной сети и который редактируется только системным администратором, или любой файл, который должен быть открыт для чтения многим пользователям сети, но изменяться должен только уполномоченным на это лицом (лицами).
11. Способ пересылки требующих защиты от несанкционированного доступа данных с одного компьютера на другой, состоящий в том, что к компьютеру- получателю подсоединяется устройство по п.8, требуемый файл данных специальным образом помечается, пересылается как обычно, устройство идентифицирует этот файл по указанным пометкам, изымает его из трафика и сохраняет на изолированном НД. Устройство (или его часть) должно быть расположено в таком месте хоста, чтобы пересылаемый файл не проходил через уязвимые части компьютера (т.е. такие, через которые доступ к данным файла мог бы получить злоумышленник), например, перед сетевой картой ПК по ходу входящего трафика. Помечать файл можно, например, специальными комбинациями символов в начале и конце файла. Вместе с этим файлом может пересылаться указание, должно ли на хост прийти уведомление о получении устройством файла и в каком именно виде. Указанные данные могут пересылаться в виде прикрепленного файла к электронному письму, тело которого может быть доступно из хоста.
12. Способ работы с требующими защиты данными, состоящий в том, что такие данные защищаются устройством по п.8, соединенным с безопасным компьютером или сетью таких компьютеров (помимо хоста). Защита данных здесь означает блокирование соответствующих команд доступа к данным. Безопасным здесь называется компьютер, попадание на который ЗК исключено в силу отсутствия соединения его с внешними сетями и/или принятия других мер предосторожности. Безопасный компьютер позволит, например, полноценно работать с защищенными способом по п.9 данными. Такой безопасный компьютер может для своей работы использовать части хоста, например, монитор, вручную переключаемый с одного компьютера на другой.
13. Устройство по п.4, которое в определенных случаях запрашивает согласие пользователя на выполнение определенных действий или предлагает пользователю выбор из нескольких возможных действий. Это взаимодействие происходит напрямую.
14. Способ использования устройства по п.13, состоящий в том, что указанное устройство устанавливается на пути передачи данных перед НД, при выявлении в трафике попытки доступа к определенному файлу, расположенному на этом НД, в соответствии со своими установками либо блокирует соответствующую команду, либо блокирует эту команду, а затем обращается к пользователю с информацией о поступлении данной команды и предложением отреагировать на это, по решению пользователя выполняет определенные действия или не выполняет никаких. Среди этих действий может быть передача указанной команды на НД. Коммуникация между устройством и пользователем происходит напрямую. По отношению к каким именно операциям и файлам и как именно ведет себя устройство, определяется в настройках устройства.
Если нужно обеспечить сохранность файла (те. невозможность злоумышленнику уничтожить или изменить этот файл), указанным образом блокируется доступ на его изменение. Если нужно обеспечить конфиденциальность файла (те. невозможность злоумышленнику ознакомиться с его содержанием), указанным образом блокируется доступ на чтение. Если файл считан в оперативную память хоста для работы пользователя с ним, злоумышленник мОжет получить доступ к нему, но к основной части защищенных указанным образом файлов доступа он не получит.
15. Способ осуществления доступа к защищенным способом по п.14 данным по сети, локальной или глобальной, состоящий в том, что хост обслуживается оператором, который при получении по сети запроса на указанный доступ дополнительно получает подтверждение этого запроса путем, не связанным с использованием хоста, и на этом основании решает, предоставить ли указанный доступ. Такое подтверждение можно осуществить, например, с помощью телефонного звонка, назвав пароль.
16. Применение способа по п.15 для защиты от дефейса веб-сайта [16]. Код всех или некоторых страниц сайта на веб-сервере [17], где он расположен, защищается указанным устройством от доступа на изменение. Для осуществления такого доступа соответствующее лицо связывается с оператором сервера.
17. Способ использования устройства по п.1 для защиты от установки на компьютере зловредного кода, состоящий в следующем. Все используемое на компьютере ПО, включая ОС и, если требуется, влияющие на работу ПО файлы (например, файл реестра ОС Windows) размещается на НД, на котором в обычном рабочем состоянии блокирован доступ на изменение всех файлов на этом НД. В ОС компьютера прописывается запрет на загрузку в ОП для выполнения кода, хранящегося не на этом НД либо на выполнение такого кода (может потребовать введения соответствующей возможности в существующие ОС). Если ЗК попадет в ОП данного компьютера, в состоянии указанной блокировки сохраниться на этом НД он не сможет, т.е. после перезагрузки компьютера этот ЗК, даже если он сохранился на другом НД, опасности представлять уже не будет. При необходимости внести какие-либо изменения на указанный НД, например, установить новое ПО, удалить или изменить имеющееся, производится следующая процедура: хост отключается от сети (если он подключен), производится проверка, не подсоединены ли к нему сменные НД, с которых может произойти загрузка какого-либо кода при включении хоста, затем хост перегружается (или включается, если к этому моменту он был выключен), указанная блокировка НД отключается, на него вносятся необходимые изменения. После нее производится проверка хеш-сумм [18] записанных файлов (если требуется) и блокировка снова включается. После этого можно подключить хост к сети. Загрузка хоста с таким, как указано, блокированным НД и указанной особенностью ОС при соблюдении указанных мер предосторожности далее называется защищенной загрузкой.
Этот способ может помочь в случаях, когда ЗК требуется значительное время для выполнения своей задачи либо в случае, если пользователь по каким-то признакам обнаружил (возможное) присутствие вируса на компьютере. Предлагаемый метод не сработает, если ЗК изначально присутствует в ОС или устанавливаемом ПО.
Если отдельные части компьютера имеют возможность обновления их программной части путем выполнения на компьютере соответствующего программного кода, они могут быть защищены от попадания в них ЗК аналогичным образом. Для этого они могут иметь в своем составе обычный механический переключатель, в одном из своих положений блокирующий перезапись указанного кода.
Перезагрузку компьютера, использующего данный способ, можно производить, даже если неизвестно, присутствует ли ЗК на компьютере, с целью гарантировать его отсутствие. В случае локальной сети таких компьютеров для этого может потребоваться одновременное выключение всех компьютеров сети.
Для осуществления данного способа на ПК удобным представляется использование НД с интегрированным указанным устройством с переключателем блокирования, вынесенным на корпус ПК.
18. Устройство по п.1 в виде переключателя блокирования записи на НД, встроенного в этот НД или соединенного с ним, с соответствующей программной частью. Сам переключатель может, например, соединяться проводом с НД, а программная часть находиться на НД.
19. Использование способа по п.17 для ограничения установки ПО на компьютерах корпоративной локальной сети. Для этого доступ к указанным устройствам на компьютерах сети предоставляется только ограниченному кругу лиц (администраторам сети), и это не позволяет пользователям таких компьютеров устанавливать ПО по своему выбору.
20. Способ по п.17, в котором процесс записи файлов на указанный НД (в т.ч. установки нового ПО или изменения имеющегося) не требует перезагрузки компьютера и происходит следующим образом. Указанное устройство сохраняет требуемые файлы на изолированном НД, рассчитывает хеш-сумму этих файлов (в совокупности или по отдельности), эти значения сравниваются с правильными, если они совпадают, устройство переносит файлы на указанный НД. Рассчитать хеш-сумму совокупности файлов можно путем слияния всех файлов совокупности в один.
21. ОС компьютера, имеющая возможность запрещать загрузку в ОП для выполнения кода, хранящегося не на определенном НД либо на выполнение такого кода.
22. Способ применения устройства по п.1 для защиты от программ-вымогателей (ransomware) [19], шифрующих данные, и от несанкционированного удаления данных, состоящий в следующем. Обнаружив в трафике попытку доступа на изменение определенных данных, устройство блокирует соответствующую команду, копирует эти данные под другим названием на изолированный НД, после окончания копирования разблокирует указанную команду (пропускает ее по назначению). Т.о. при попытке выполнения указанных зловредных действий рабочие варианты файлов данных всегда будут доступны. Удаление файлов- копий или восстановление из них оригиналов производится с помощью защищенной загрузки или через устройство напрямую. Указанное копирование данных может сводиться к простому переименованию файлов.
23. Для подобной защиты баз данных, файлы которых имеют большие размеры, применять указанный способ может быть затруднительно. Для этого случая предлагается способ применения устройства по п.1 для защиты сохранности данных в файлах баз данных (далее - БД), состоящий в следующем. Обнаружив в трафике команду, предполагающую изменение или удаление отдельных записей БД, устройство блокирует ее, копирует эти записи в этот же или другой файл БД, после завершения этой операции разблокирует указанную команду. Записи копируются с пометками, позволяющими восстановить из них оригинальные записи. Такими пометками могут быть дата и время копирования и идентификатор записи-оригинала. 24. Объектом атаки злоумышленника может быть клиентская БД сервера, принадлежащего, например, веб-ресурсу. Под клиентской подразумевается БД, содержащая идентифицирующие клиентов данные, необходимые для их авторизации с последующим допуском или недопуском к ресурсам сервера (например, логин и пароль), а также, возможно, персональные данные клиента (например, имя, адрес, номер банковской карты). Предлагается устройство по п.1 , блокирующее непосредственный доступ к клиентской БД из хоста и самостоятельно выполняющее все необходимые операции по использованию и обслуживанию этой БД по запросу хоста или по команде, отданной пользователем напрямую, с возвращением, если требуется, результата запроса к этой БД хосту. В число этих операций входит, например, проверка предоставленных клиентом для авторизации данных, редактирование записей, удаление записей или добавление новых, бэкап БД.
25. Устройство по п.1 , блокирующее доступ с хоста к определенным данным и позволяющее пересылку этих данных непосредственно (т.е. не через хост) другому (принимающему) устройству по запросу с хоста, по непосредственному запросу с принимающего устройства или по команде пользователя, отданной напрямую.
26. Способ пересылки данных устройством по п.25, состоящий в следующем. На хосте формируется пакет данных, в составе которого есть ссылка (указание) на определенные данные, хранящиеся на устройстве и недоступные хосту. Когда этот пакет проходит через устройство, последнее заменяет в нем указанную ссылку на сами данные и пересылает пакет непосредственно получающему устройству. Альтернативой может быть команда устройству самостоятельно сформировать необходимый пакет с передачей устройству всех необходимых для этого данных.
27. Использование устройства по п.25 для защищенного хранения данных пользователя и их передачи (сообщения) другим людям или устройствам. Например, устройство с хранимыми на нем паспортными данными пользователя может быть присоединено к смартфону как к хосту. При необходимости показать кому-то эти данные пользователь через, например, СВВ смартфона посылает устройству запрос с указанием требующихся данных, устройство в свою очередь запрашивает подтверждение, пользователь дает такое подтверждение через СВВ устройства (например, приложением пальца к устройству сканирования отпечатка пальца, являющемуся частью устройства), устройство посылает данные на экран смартфона, пересоединенный к устройству или передает данные хосту.
Для передачи данных какому-то (принимающему) устройству данное устройство может быть присоединено к нему непосредственно как к хосту или с помощью своего обычного хоста. Принимающее устройство посылает запрос, после разрешения пользователя или без такового (определяется настройками) необходимые данные передаются непосредственно принимающему устройству.
Еще одним примером данного использования может быть подключение пользователя к веб-ресурсу, требующему авторизации. При попытке такого подключения ресурс отправляет на хост или непосредственно устройству запрос соответствующих данных, устройство перехватывает или получает этот запрос и самостоятельно на него отвечает, возможно, в зашифрованном виде, автоматически или после подтверждения со стороны пользователя; в случае удачной авторизации хост сможет работать с ресурсом. Среди прочего, такой способ авторизации может быть полезен при работе на компьютере общественного пользования.
Если данное использование применяется для авторизации на компьютере или сетевом ресурсе, хранящийся на устройстве пароль может использоваться вместо обычного, запоминаемого пользователем, или вместе с ним.
28. Использование устройства по п.25 для авторизации на компьютерах, электронных устройствах (например, платежных терминалах), в локальных и глобальных сетях и на веб-ресурсах.
29. Использование устройства по п.25 в качестве средства хранения и предъявления цифровых документов частного лица или организации (т.е. физического или юридического лица). Предъявление может происходить как путем демонстрации документа на экране компьютера пользователя, так и путем подключения к электронному устройству. 30. Использование устройства по п.25 для проведения финансовых транзакций.
31. Использование устройства по п.25 для работы на компьютерах общественного пользования.
32. Устройство по п.1 , которое установлено на пути передачи данных между хостом и другим компьютером и содержит для определенных или всех пересылаемых данных (А) исчерпывающий список адресов (веб-адресов в случае сети Интернет), по которым они могут пересылаться с хоста (может быть разный список для разных данных) или список адресов, по которым такая пересылка запрещена и/или (Б) исчерпывающий список адресов, с которых могут приниматься данные хостом или список адресов, с которых такой прием данных запрещен. Списки адресов могут включать, например, все адреса некоторых регионов мира или отдельных стран. Такое ограничение может использоваться для данных, хранящихся на устройстве, хранящихся на НД хоста или сгенерированных хостом. Под такое ограничение могут подпадать пересылаемые файлы или данные, имеющие в своем составе определенные паттерны (последовательности символов или битов).
Для отдельных или всех адресов из списков для отдельных данных может быть указано, должна ли пересылка по этому адресу или с этого адреса быть автоматической или требует разрешения пользователя или она (временно) блокирована. Пользователь может иметь или не иметь возможности редактировать списки адресов или относящиеся к ним настройки и если может, то только с подтверждением внесения изменений, данным напрямую. В случае получения запроса на запрещенную пересылку данных устройство может информировать об этом пользователя.
33. Использование устройства по п.32 для ограничения в целях безопасности списка адресов, с которых разрешен прием хостом любых данных или данных, имеющих в своем составе программный код. 34. Использование устройства по п.32 для защиты от атак с использованием подложных сайтов. Имеются в виду предложения пользователю ввести данные своей банковской карты или другие на сайте, созданном злоумышленниками и выдаваемом ими за легальный. Например, данные банковской карты пользователя, хранящиеся на устройстве, могут пересылаться для оплаты покупок или других целей только на ограниченное количество надежных веб-сайтов. Т.о. пользователь не сможет по ошибке передать свои данные, например, сайту, чей адрес отличается одной буквой от адреса легального сайта. Если пользователя просят добавить в список еще один адрес, это будет для него признаком попытки мошенничества. Пересылка персональных данных пользователя, предназначенных для социальных сетей, может быть ограничена списком этих сетей. При вводе в устройство нового адреса для каких-то данных устройство может проверить надежность сайта по этому адресу на созданном специально для этого сетевом сервисе.
35. Пользователь может использовать некоторые записанные на устройстве данные (например, пароли и данные, необходимые для проведения платежей), не зная их содержания и даже не имея возможности считать их из устройства, а значит, не иметь возможности сообщить их злоумышленнику, использующему приемы фишинга [20]. Такие данные могут быть сгенерированы устройством с помощью генератора случайных чисел, предзаписаны на стадии изготовления устройства или записаны на него позже. Предлагается устройство по п.25, содержащее и использующее для выполнения нужных пользователю действий данные, которые не могут быть доступны для ознакомления пользователю.
36. Устройство по п.25 или НД такого устройства, на котором на стадии производства сохранены для использования в качестве паролей последовательности символов или битов, сгенерированные с помощью генератора случайных чисел.
37. Устройство по п.25, использующее в качестве паролей последовательности символов или битов такой длины, чтобы злоумышленник не смог разгадать такой пароль за приемлемое время при существующем уровне развития техники. Достаточно длинный случайно сгенерированный пароль можно использовать также в качестве логина, учитывая исчезающе малую вероятность случайной генерации такой последовательности еще раз.
38. Предлагается использование устройством по п.25 для осуществления платежей, соединений хоста или самого устройства с другими компьютерами или сетевыми ресурсами либо иных действий посредством сетей передачи данных одноразовых паролей [21]. Например, пользователь может обменяться с банком паролями для подтверждения платежа, каждый из которых может использоваться только один раз, в виде сохраненных на устройстве данных либо получить от него или передать ему целое отдельное устройство или сменный НД для устройства с такими паролями. Такие одноразовые пароли могут быть длинными, как указано.
39. Устройство по п.4, установленное на пути передачи данных между хостом и сетью, с которой соединен хост, и требующее подтверждения напрямую отправки в сеть обычных электронных писем. Это позволит предотвратить рассылку таких писем злоумышленником от имени пользователя хоста.
40. Устройство по п.1 , установленное на пути передачи данных между хостом и сетью, с которой соединен хост, анализирующее исходящий трафик на предмет частой посылки команд доступа к одному и тому же веб-сайту и при нахождении изымающее такие команды из трафика. Это позволит предотвратить использование хоста в DoS-атаках [21]. В этом случае процес анализа трафика может несколько отличаться от указанного. Трафик изначально не блокируется, а анализируется, возможно, частично, паралельно с его течением. Только после обнаружения указанных команд включается блокировка с изъятием укзанных команд.
41. Устройство по п.1 , которое получает из сети, с которой соединен хост или само устройство непосредственно, оповещения о происходящих или возможных атаках на хост или другие КС и необходимости реагирования на них со стороны пользователя либо, если это предусмотрено, непосредственно устройства в автоматическом режиме. Например, если в сети обнаружена DoS-атака, пользователя могут запросить включить указанную выше функцию устройства, блокирующую использование хоста для выполнения такой атаки. В зависимости от настроек, такая функция по указанному запросу может включаться автоматически.
42. Способ использования устройства по п.1 для защиты от несанкционированного доступа к оборудованию КС, состоящий в том, что устройство устанавливается между хостом и подключенным к хосту оборудованием, команды с хоста в адрес оборудования, которые потенциально способны привести к отрицательным последствиям для оборудования, людей или окружающей среды, устройство пропускает только при получении согласия на это оператора хоста. Для оценки того, является ли команда критичной в указанном смысле, устройство может принимать непосредственно с оборудования данные о его состоянии и демонстрировать их оператору.
43. Использование нескольких последовательно установленных на пути потока данных устройств по п.1 с разной функциональностью или разной программной частью. Это имеет смысл в случае, если программная часть одного из таких устройств не имеет достаточной гарантии невзламываемости. Тогда в случае взлома указанного устройства защита, возможно, в ограниченном виде, будет обеспечиваться остальными установленными устройствами.
44. Применение устройства по п.1 для блокирования перемещения между компьютерами нежелательного контента, определяемого по наличию в нем определенных паттернов. Нежелательным контентом может быть, например, ЗК (тогда устройство будет выполнять функцию файрвола), рекламные сообщения или порнография. На устройстве мобильной связи блокироваться могут в т.ч. рекламные сообщения от мобильного оператора или производителя этого мобильного устройства, приема которых обычно избежать невозможно.
Устройство в этом случае может обновлять свой список паттернов для указанного поиска, непосредственно связываясь с соответствующим сетевым ресурсом. Указанными паттернами могут быть последовательности символов или битов, специально предназначенные для указания на определенный вид контента, например, рекламу или порнографию. 45. Применение устройства по п.1 для блокирования нежелательного доступа отдельных пользователей хоста к данным, хранящимся на хосте или приходящим на хост извне, или к оборудованию, подключенному к хосту. Доступ к хранящимся файлам может блокироваться по их названиям, при этом информация о наличии таких файлов на НД может быть доступна или нет пользователю. Доступ к данным, приходящим от сетевых ресурсов, может блокироваться по их адресам. Доступ к любым затребуемым пользователем данным может блокироваться с помощью поиска в данных определенных паттернов. Данное применение может использоваться, например, если одним из пользователей хоста является ребенок. Разблокировка доступа потребует авторизации пользователя.
46. Применение устройства по п.1 для блокирования каналов передачи персональных и других данных пользователя КС, таких, например, как данные с микрофона, камеры или устройства геопозиционирования (устройство, определяющее свое местоположение с помощью системы навигации GPS или ей подобных [22]) обычного смартфона. Устройство по желанию пользователя блокирует/разблокирует передачу данных от соответствующих частей КС или блокирует/разблокирует их электропитание. Таким же образом могут блокироваться передатчики беспроводного сигнала различных стандартов, а также канал связи с мобильным оператором.
47. Устройство по п.1 , имеющее возможность синхронизации находящихся на нем данных и/или своей программной части с другим таким устройством при непосредственном или посредством безопасного устройства соединении с ним. Это позволит пользователю иметь копию устройства на случай его потери или поломки. Данные при такой синхронизации могут копироваться выборочно. Под безопасным устройством здесь понимается устройство, гарантированно незараженное ЗК.
При использовании предлагаемого устройства может возникнуть проблема проверки, не изменена ли злоумышленником его программная часть. Для этого может понадобиться специальное оборудование, гарантированно безопасное и общедоступное. Возможно, такое оборудование должно находиться под государственным контролем. Для описанного здесь устройства предлагается название "внедренное защитное устройство", англоязычный вариант "implanted protecting device".
Список ссылок:
1. https://ru. Wikipedia. org/wiki/Компьютер
2. https://ru.wikipedia.org/wiki/BpeflOHOCHaH_nporpaMMa
3. https://ru.wikipedia.org/wiki/Meжceтeвoй_экpaн
4. https://ru. Wikipedia. org/wiki/Дискета
5. https://itc.ua/news/pine64-anonsirovala-flagmanskij-smartfon-pinephone-pro-s-linux-i- apparatnymi-pereklyuchatelyami-dlya-obespecheniya-konfidenczialnosti
6. https://ru. Wikipedia. огд !к!/Персональный_компьютер
7. https://ru.wikipedia.org/wiki/3anoMHHaK)L4ee_ycTpoMCTBO
8. https://compbest.com.ua/razbitie-vinchestera-pryamo-iz-pod-windows/
9. https://ru.wikipedia.org/wiki/Пepифepийнoe_ycтpoйcтвo
10. https://ru. Wikipedia. огдЛл к1/Носитель_информации
11. https://ru. Wikipedia. огдЛл к!/Сетевая_плата
12. https://ru.wikipedia.org/wiki/USB
13. https://ru.wikipedia.org/wiki/KnaBnaTypa 4. https://ru.wikipedia.org/wiki/BIOS 5. https://ru.wikipedia.org/wiki/ABTopH3aunH 6. Ьйр5://ги^к1ре6!а.огдЛмк!/Дефейс 7. https://ru.wikipedia.org/wiki/Be6-cepBep 8. https://ru.wikipedia.org/wiki/XeLU-cyMMa 9. https.7/ru. Wikipedia. org/wiki/Программа-вымогатель 0. https://ru.wikipedia.org/wiki/ HLUHHr 1 . https://ru.wikipedia.org/wiki/OflHopa3OBb _naponb 2. https://ru.wikipedia.org/wiki/DoS-aTaKa 3. https://ru.wikipedia.org/wiki/GPS

Claims

ФОРМУЛА ИЗОБРЕТЕНИЯ
1. Устройство в виде программно-аппаратного комплекса, являющегося частью компьютерной системы или соединяемого с ней, отличающееся тем, что оно независимым от этой компьютерной системы образом взаимодействует с отдельными ее частями и/или данными, хранящимися на запоминающих устройствах КС или движущимися между частями КС или между этой КС и другой.
2. Использование устройства по п.1.
3. Устройство, предназначенное для совместной с устройством по п.1 работы или для обслуживания устройства по п.1.
4. Устройство по п.1, использующее для коммуникации с пользователем средства ввода-вывода.
5. Устройство по п.4, в качестве средств ввода-вывода использующее средства ввода-вывода хоста.
6. Устройство по п.4, соединенное с отдельным компьютером, не соединенным с хостом, использующее средства ввода-вывода этого компьютера для коммуникации с пользователем.
7. Устройство по п.4, которое для выполнения определенных действий требует от пользователя прохождения авторизации.
8. Устройство по п.4, которое позволяет пользователю взаимодействовать с отдельной частью хоста напрямую.
9. Способ применения устройства по п.8, состоящий в том, что устройство устанавливается на пути передачи данных на НД, блокирует, возможно, временно, доступ с хоста к определенным файлам на этом НД, позволяя пользователю работать с ними только напрямую.
10. Применение способа по п.9 для ограничения доступа на изменение к файлу, доступ на чтение к которому должен быть открыт для многих пользователей хоста или компьютеров сети, с которой соединен хост.
11. Способ пересылки требующих защиты от несанкционированного доступа данных с одного компьютера на другой, состоящий в том, что к компьютеру- получателю подсоединяется устройство по п.8, требуемый файл данных специальным образом помечается, пересылается как обычно, устройство идентифицирует этот файл по указанным пометкам, изымает его из трафика и сохраняет на изолированном носителе данных.
12. Способ работы с требующими защиты данными, состоящий в том, что такие данные защищаются устройством по п.8, соединенным с безопасным компьютером или сетью таких компьютеров.
13. Устройство по п.4, которое в определенных случаях запрашивает согласие пользователя на выполнение определенных действий или предлагает пользователю выбор из нескольких возможных действий.
14. Способ использования устройства по п.13, состоящий в том, что указанное устройство устанавливается на пути передачи данных перед носителем данных, при выявлении в трафике попытки доступа к определенному файлу, расположенному на этом носителе данных, в соответствии со своими установками либо блокирует соответствующую команду, либо блокирует эту команду, а затем обращается к пользователю с информацией о поступлении данной команды и предложением отреагировать на это, по решению пользователя выполняет определенные действия или не выполняет никаких.
15. Способ осуществления доступа к защищенным способом по п.13 данным по сети, состоящий в том, что хост обслуживается оператором, который при получении по сети запроса на указанный доступ дополнительно получает подтверждение этого запроса путем, не связанным с использованием хоста, и на этом основании решает, предоставить ли указанный доступ.
16. Применение способа по п.15 для защиты от дефейса веб-сайта.
17. Способ использования устройства по п.1 для защиты от установки на хосте зловредного кода, состоящий в том, что все используемое на хосте ПО, включая ОС и, если требуется, влияющие на работу ПО файлы, размещается на носителе данных, на котором в обычном рабочем состоянии устройством блокирован доступ на изменение всех файлов на этом носителе данных, в ОС хоста прописывается запрет на загрузку в оперативную память для выполнения кода, хранящегося не на этом носителе данных либо на выполнение такого кода, при необходимости внести какие-либо изменения на указанный носитель данных хост отключается от сети, производится проверка, не подсоединены ли к нему сменные носители данных, хост перегружается или включается, блокировка носителя данных отключается, на него вносятся необходимые изменения, проверяются хеш-суммы записанных файлов, блокировка включается, хост подключается к сети.
18. Устройство по п.1 в виде переключателя блокирования записи на носителе данных, встроенного в этот носитель данных или соединенного с ним, с соответствующей программной частью.
19. Использование способа по п.17 для ограничения установки ПО на компьютерах корпоративной локальной сети.
20. Способ по п.17, в котором внесение изменений на указанном носителе данных производится путем сохранения предназначенных для записи файлов на изолированном носителе данных, расчета указанным устройством их хеш-сумм, в случае их совпадения с правильными переноса файлов на указанный носитель данных.
21. ОС компьютера, имеющая возможность запрещать загрузку в ОП для выполнения кода, хранящегося не на определенном носителе данных либо на выполнение такого кода.
22. Способ применения устройства по п.1 для защиты от программ- вымогателей, шифрующих данные, и от несанкционированного удаления данных, состоящий в том, что, обнаружив в трафике попытку доступа на изменение определенных данных, устройство блокирует соответствующую команду, копирует эти данные под другим названием на изолированный носитель данных, после окончания копирования разблокирует указанную команду.
23. Способ применения устройства по п.1 для защиты сохранности данных в файлах баз данных, состоящий в том, что, обнаружив в трафике команду, предполагающую изменение или удаление отдельных записей базы данных, устройство блокирует ее, копирует эти записи записи в этот же или другой файл данной базы данных, после завершения этой операции разблокирует указанную команду.
24. Устройство по п.1, блокирующее непосредственный доступ к клиентской базе данных из хоста и самостоятельно выполняющее все необходимые операции по использованию и обслуживанию этой базы данных по запросу хоста или по команде, отданной пользователем напрямую, с возвращением, если требуется, результата запроса к этой базе данных хосту.
25. Устройство по п.1, блокирующее доступ с хоста к определенным данным и позволяющее пересылку этих данных непосредственно другому устройству по запросу с хоста, по непосредственному запросу с принимающего устройства или по команде пользователя, отданной напрямую.
26. Способ пересылки данных устройством по п.25, по которому на хосте формируется пакет данных, в составе которого есть ссылка на определенные данные, хранящиеся на устройстве и недоступные хосту, когда этот пакет проходит через устройство, последнее заменяет в нем указанную ссылку на сами данные и пересылает пакет непосредственно получающему устройству.
27. Использование устройства по п.25 для защищенного хранения данных пользователя и их передачи другим людям или устройствам.
28. Использование устройства по п.25 для авторизации на компьютерах, электронных устройствах, в локальных и глобальных сетях и на веб-ресурсах.
29. Использование устройства по п.25 в качестве средства хранения и предъявления цифровых документов частного лица или организации.
30. Использование устройства по п.25 для проведения финансовых транзакций.
31. Использование устройства по п.25 для работы на компьютерах общественного пользования.
32. Устройство по п.1, которое установлено на пути передачи данных между хостом и другим компьютером и содержит для определенных или всех пересылаемых данных (А) исчерпывающий список адресов, по которым они могут пересылаться с хоста или список адресов, по которым такая пересылка запрещена и/или (Б) исчерпывающий список адресов, с которых могут приниматься данные хостом или список адресов, с которых такой прием данных запрещен.
33. Использование устройства по п.32 для ограничения в целях безопасности списка адресов, с которых разрешен прием хостом любых данных или данных, имеющих в своем составе программный код.
34. Использование устройства по п.32 для защиты от атак с использованием подложных сайтов.
35. Устройство по п.25, содержащее и использующее для выполнения нужных пользователю действий данные, которые не могут быть доступны для ознакомления пользователю.
36. Устройство по п.25 или носитель данных такого устройства, на котором на стадии производства сохранены для использования в качестве паролей последовательности символов или битов, сгенерированные с помощью генератора случайных чисел.
37. Устройство по п.25, использующее в качестве паролей последовательности символов или битов такой длины, чтобы злоумышленник не смог разгадать такой пароль за приемлемое время при существующем уровне развития техники.
38. Использование устройства по п.25 для осуществления платежей, соединений хоста или самого устройства с другими компьютерами или сетевыми ресурсами либо иных действий посредством сетей передачи данных одноразовых паролей.
39. Устройство по п.4, установленное на пути передачи данных между хостом и сетью, с которой соединен хост, и требующее подтверждения напрямую отправки в сеть обычных электронных писем.
40. Устройство по п.1, установленное на пути передачи данных между хостом и сетью, с которой соединен хост, анализирующее исходящий трафик на предмет частой посылки команд доступа к одному и тому же веб-сайту и при нахождении изымающее такие команды из трафика.
41. Устройство по п.1, которое получает из сети, с которой соединен хост или само устройство непосредственно, оповещения о происходящих или возможных атаках на хост или другие компьютерные системы и необходимости реагирования на них.
42. Способ использования устройства по п.1 для защиты от несанкционированного доступа к оборудованию КС, состоящий в том, что устройство устанавливается между хостом и подключенным к хосту оборудованием, команды с хоста в адрес оборудования, которые потенциально способны привести к отрицательным последствиям для оборудования, людей или окружающей среды, устройство пропускает только при получении согласия на это оператора хоста.
43. Использование нескольких последовательно установленных на пути потока данных устройств по п.1 с разной функциональностью или разной программной частью.
44. Применение устройства по п.1 для блокирования перемещения между компьютерами нежелательного контента, определяемого по наличию в нем определенных паттернов.
45. Применение устройства по п.1 для блокирования нежелательного доступа отдельных пользователей хоста к данным, хранящимся на хосте или приходящим на хост извне, или к оборудованию, подключенному к хосту.
46. Применение устройства по п.1 для блокирования каналов передачи персональных и других данных пользователя компьютерной системы.
47. Устройство по п.1, имеющее возможность синхронизации находящихся на нем данных и/или своей программной части с другим таким устройством при непосредственном или посредством безопасного устройства соединении с ним.
PCT/UA2022/000004 2022-01-20 2022-01-20 Устройство и способы защиты компьютерных систем от несанкционированного доступа WO2023140826A1 (ru)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/UA2022/000004 WO2023140826A1 (ru) 2022-01-20 2022-01-20 Устройство и способы защиты компьютерных систем от несанкционированного доступа

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/UA2022/000004 WO2023140826A1 (ru) 2022-01-20 2022-01-20 Устройство и способы защиты компьютерных систем от несанкционированного доступа

Publications (1)

Publication Number Publication Date
WO2023140826A1 true WO2023140826A1 (ru) 2023-07-27

Family

ID=87348709

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/UA2022/000004 WO2023140826A1 (ru) 2022-01-20 2022-01-20 Устройство и способы защиты компьютерных систем от несанкционированного доступа

Country Status (1)

Country Link
WO (1) WO2023140826A1 (ru)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1989012864A1 (en) * 1988-06-14 1989-12-28 Hait John N Independent computer module system
CN100472387C (zh) * 2005-03-25 2009-03-25 张�林 利用独立操作系统查杀新电脑病毒的方法
US20100223625A1 (en) * 2004-09-08 2010-09-02 Smith Carey W Operating system independent agent
KR101920866B1 (ko) * 2017-05-18 2018-11-21 김덕우 독립된 복원영역을 갖는 보조기억장치

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1989012864A1 (en) * 1988-06-14 1989-12-28 Hait John N Independent computer module system
US20100223625A1 (en) * 2004-09-08 2010-09-02 Smith Carey W Operating system independent agent
CN100472387C (zh) * 2005-03-25 2009-03-25 张�林 利用独立操作系统查杀新电脑病毒的方法
KR101920866B1 (ko) * 2017-05-18 2018-11-21 김덕우 독립된 복원영역을 갖는 보조기억장치

Similar Documents

Publication Publication Date Title
EP3462698B1 (en) System and method of cloud detection, investigation and elimination of targeted attacks
US5969632A (en) Information security method and apparatus
KR101522445B1 (ko) 기밀 파일을 보호하기 위한 클라이언트 컴퓨터, 및 그 서버 컴퓨터, 및 그 방법 및 컴퓨터 프로그램
US9213836B2 (en) System and method for comprehensive general electric protection for computers against malicious programs that may steal information and/or cause damages
US20030159070A1 (en) System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US20040034794A1 (en) System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US8060933B2 (en) Computer data protecting method
JP2003228519A (ja) デジタル資産にパーベイシブ・セキュリティを提供する方法及びアーキテクチャ
KR101373542B1 (ko) 가상화 기반 논리적 망 분리 기법을 이용한 개인정보 보호 시스템
JP2003228520A (ja) 保護電子データにオフラインでアクセスする方法及び装置
CN103390026A (zh) 一种移动智能终端安全浏览器及其工作方法
US8850563B2 (en) Portable computer accounts
JP2024038306A (ja) ランサムウェアまたはフィッシング攻撃遮断方法及びシステム
US8108935B1 (en) Methods and systems for protecting active copies of data
Sikder et al. A survey on android security: development and deployment hindrance and best practices
CN1964272B (zh) 一种安全交换计算机数据的方法及装置
JP2008108232A (ja) 情報漏洩抑止装置、情報漏洩抑止プログラム、情報漏洩抑止記録媒体、及び情報漏洩抑止システム
WO2001073533A1 (en) System and method for safeguarding electronic files and digital information in a network environment
CN101408919A (zh) 计算机间谍行为的监测方法及系统
KR20100040074A (ko) 내부정보 유출 방지 방법 및 서버
WO2023140826A1 (ru) Устройство и способы защиты компьютерных систем от несанкционированного доступа
JP2005165900A (ja) 情報漏洩防止装置
US20110276799A1 (en) Personal communication system having independent security component
KR101552688B1 (ko) 엔드포인트 단의 사용자 정책 설정에 따른 데이터 보안 방법 및 시스템
JP2009031938A (ja) 携帯端末システム、携帯端末および情報保護方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22922418

Country of ref document: EP

Kind code of ref document: A1