Основные положения информационной безопасности

Общее представление об информационной безопасности

Необходимость в информационной безопасности вытекает из самой природы сетевых служб, сервисов и услуг. Как мы уже говорили, основу любой сетевой службы составляет пара программ: сервер и клиент, — работающих совместно по установленным правилам. Эти правила закреплены в протоколах сетевых служб. Как серверные, так и клиентские программы, реализующие сетевые протоколы, имеют необходимые средства для выполнения разрешенных операций. Те же операции, которые выходят за рамки утвержденных протоколов, считаются небезопасными, а если они к тому же выполняются несанкционированно, то есть без ведома сопредельной стороны, то считаются запрещенными и образуют состав административного правонарушения или уголовного преступления.

Протоколы — это стандарты. Новые протоколы создаются весьма редко, а старые действуют очень долго — иногда десятки лет. За это время информационные технологии успевают уйти далеко вперед, и возникает разрыв между тем, что технически возможно осуществить в Сети, и тем, что разрешено устаревшими протоколами. Стремясь улучшить взаимодействие между серверными и клиентскими программами, программисты непрерывно работают над расширением их возможностей. Здесь возникает противоречие между желаемым и разрешенным.

Так, например, чтобы Web-страницы становились с каждым днем все более привлекательными, программисты могут предлагать новые интересные приемы и подходы, но сможет ли программа-броузер воспроизводить их изыскания — это сложный вопрос. Оставаясь только в строгих рамках, разрешенных протоколом, Web-сервер не способен даже сыграть с клиентом в крестики-нолики. Поэтому, чтобы расширить взаимодействие между сервером и броузером, владелец сервера должен как-то «уговорить» или иным способом «убедить» клиента расширить возможности его броузера, с чем мы сталкиваемся очень часто. В этот момент и возникает угроза сетевой безопасности. Любое расширение свойств клиентской программы сопровождается определенным отходом от стандартного протокола и может сопровождаться какой-то угрозой. Так, например, установив по просьбе сервера расширение броузера, позволяющее играть в крестики-нолики, можно получить в итоге агента, который под управлением сервера будет хозяйничать в операционной системе клиента. Разумеется, крестики-нолики — это лишь условный пример. На самом деле серверы предлагают множество самых разных расширений и дополнений к броузеру, позволяющих ускорить загрузку Web-страниц, упростить поиск информации в Сети, защититься от рекламы и т. п.

Конечно, далеко не все новые технологии направлены во вред клиенту или серверу. Мы приводим этот пример только для того, чтобы было понятно, что вопросы сетевой безопасности находятся в тонком балансе между тем, что хочется себе позволить в Сети, и тем, что это будет стоить в смысле безопасности. Общий принцип такой: чем сложнее система, чем больше функциональных возможностей она предоставляет, тем труднее обеспечить в ней контроль за должным уровнем безопасности.

Здесь надо обратить внимание на слова должный уровень безопасности, потому что для разных компьютеров он разный. Что это такое, мы узнаем ниже, а пока отметим, что стандартные сетевые средства, которые устанавливаются вместе с операционной системой Windows 98, не обеспечивают никакого уровня безопасности, и потому говорить о каком-то должном уровне применительно к ним совершенно бессмысленно. Эти средства удобно использовать в качестве учебных или бытовых, но, когда речь заходит о корпоративном подключении к Интернету служебных компьютеров, необходимо предпринимать специальные меры: либо обеспечивать «стерильную чистоту» подключаемого компьютера от любых видов служебных данных, либо использовать другие операционные системы, такие, как UNIX, Linux и т. п.

Понятие «должного» уровня безопасности

Уровень безопасности, который должен поддерживаться на конкретном компьютере, зависит от назначения компьютера. Если речь идет о компьютере, используемом в качестве учебного или справочного, то на нем заботу о безопасности можно свести к регулярному обслуживанию и защите от компьютерных вирусов и других вредоносных программ.

Для компьютеров, на которых хранятся конфиденциальные данные, должен быть обеспечен достаточный уровень безопасности. К конфиденциальным данным относятся отнюдь не только секретные сведения, имеющие характер государственной тайны, а обычные персональные данные, например адреса людей, данные их персонального учета: паспортного, медицинского, образовательного и т. п. Если на предприятии есть специалисты, занимающиеся вопросами сетевой безопасности, они могут обеспечить безопасное хранение конфиденциальных данных на компьютерах, подключенных к Сети, но это весьма дорогостоящее и непростое мероприятие. Если на предприятии или в организации таких специалистов нет, просто не следует подключать к Сети компьютеры, на которых имеются конфиденциальные сведения.

Рассмотрим, к примеру, учебное заведение университетского типа. Его компьютеры могут находиться в учебных лабораториях, в библиотеке, в административных подразделениях. Если компьютеры учебных лабораторий имеют выход в Интернет, на них не должно быть никаких конфиденциальных данных: ни адресов учащихся, ни сведений о преподавателях, ни сведений об успеваемости. С другой стороны, подобные данные могут быть на компьютерах административных подразделений, следовательно, подключать эти компьютеры к Интернету без специальных средств защиты недопустимо.

То же относится к любым государственным и административным учреждениям, в которых имеются служебные данные или данные персонального учета. Для работы в Сети должен быть выделен особый компьютер, стерильно чистый от конфиденциальных данных.

На государственных предприятиях и в коммерческих структурах обеспечением режима безопасности занимаются специально подготовленные люди — системные администраторы. В их задачу входит регулярный мониторинг Сети в поисках сведений о методах нарушения режима безопасности, установка проверенных программных и аппаратных средств защиты, контроль над тем, какие программы устанавливают пользователи и как они их эксплуатируют. Администрация коммерческих предприятий каждый раз индивидуально подходит к вопросу о том, что ей выгоднее: нанять высокооплачиваемых специалистов по защите данных и установить недешевое оборудование или же выделить для работы в Сети недорогие компьютеры, на которых вообще не хранятся никакие данные и безопасностью которых можно смело пренебречь.

На режимных предприятиях вопрос подключения того или иного компьютера к Сети решается всегда индивидуально для каждого рабочего места. Разумеется, здесь даже речь не может идти об использовании стандартных сетевых средств типа тех, что входят в состав системы Windows. Добиться их безопасного функционирования стоит намного дороже (если вообще возможно), чем применить специальные средства, прошедшие сертификацию у специалистов в области защиты информации.

Основные виды нарушения режима сетевой безопасности

Угроза удаленного администрирования. Под удаленным администрированием понимается несанкционированное управление удаленным компьютером. Удаленное администрирование позволяет брать чужой компьютер под свое управление. Это может позволить копировать и модифицировать имеющиеся на нем данные, устанавливать на нем произвольные программы, в том числе и вредоносные, использовать чужой компьютер для совершения преступных действий в Сети «от его имени».

Угроза активного содержимого. Активное содержимое — это активные объекты, встроенные в Web-страницы. В отличие от пассивного содержимого (текстов, рисунков, аудиоклипов и т. п.), активные объекты включают в себя не только данные, но и программный код. Агрессивный программный код, попавший на компьютер «жертвы», способен вести себя как компьютерный вирус или как агентская программа. Так, например, он может производить разрушение данных, но может взаимодействовать с удаленными программами и, тем самым, работать как средство удаленного администрирования или готовить почву для его установки.

Угроза перехвата или подмены данных на путях транспортировки. С проникновением Интернета в экономику очень остро встает угроза перехвата или подмены данных на путях транспортировки. Так, например, расчет электронными платежными средствами (картами платежных систем) предполагает отправку покупателем конфиденциальных данных о своей карте продавцу. Если эти данные будут перехвачены на одном из промежуточных серверов, нет гарантии, что ими не воспользуется злоумышленник.

Кроме того, через Интернет передаются файлы программ. Подмена этих файлов на путях транспортировки может привести к тому, что вместо ожидаемой программы клиент получит ее аналог с «расширенными» свойствами.

Угроза вмешательства в личную жизнь. В основе этой угрозы лежат коммерческие интересы рекламных организаций. В настоящее время годовой рекламный бюджет Интернета составляет несколько десятков миллиардов долларов США. В желании увеличить свои доходы от рекламы множество компаний организуют Web-узлы не столько для того, чтобы предоставлять клиентам сетевые услуги, сколько для того, чтобы собирать о них персональные сведения. Эти сведения обобщаются, классифицируются и поставляются рекламным и маркетинговым службам. Процесс сбора персональной информации автоматизирован, не требует практически никаких затрат и позволяет без ведома клиентов исследовать их предпочтения, вкусы, привязанности.

Угроза поставки неприемлемого содержимого. Не вся информация, публикуемая в Интернете, может считаться общественно полезной. Существует масса причин морально-этического, религиозного, культурного и политического характера, когда людям может быть неприятна поставляемая информация и они хотят от нее защититься.

В большинстве стран мира Интернет пока не считается средством массовой информации (СМИ). Это связано с тем, что поставщик информации не занимается ее копированием, тиражированием и распространением, то есть он не выполняет функции СМИ. Все это делает сам клиент в момент использования гиперссылки. Поэтому обычные законы о средствах массовой информации, регламентирующие, что можно распространять, а что нет, в Интернете пока не работают.

По-видимому, правовой вакуум, имеющийся в этом вопросе, со временем будет ликвидирован, но многим людям и сегодня нужны средства защиты от поставки документов неприемлемого содержания. Обычно функции фильтрации поступающего содержания возлагают на броузер или на специально установленную для этой цели программу.

Защита от удаленного администрирования

Для эффективной защиты от удаленного администрирования необходимо представлять себе методы, которыми оно достигается. Таких методов два. Первый метод — установить на компьютере «жертвы» программу (аналог сервера), с которой злоумышленник может создать удаленное соединение в то время, когда «жертва» находится в Сети. Программы, используемые для этого, называются троянскими. По своим признакам они в значительной степени напоминают компьютерные вирусы.

Второй метод удаленного администрирования основан на использовании уязвимостей (ошибок), имеющихся в программном обеспечении компьютерной системы партнера по связи. Цель этого метода — выйти за рамки общения с клиентской (серверной) программой и напрямую воздействовать на операционную систему, чтобы через нее получить доступ к другим программам и данным. Программы, используемые для эксплуатации уязвимостей компьютерных систем, называются эксплоитами.

Защита от троянских программ

Для поражения компьютера троянской программой кто-то должен ее запустить на этом компьютере.

► Следует ограничить доступ посторонних лиц к сетевым компьютерам. Доступ закрывается обычными административными способами (физическое ограничение доступа, парольная защита и т. п.).

Обычный метод установки троянских программ на посторонних компьютерах связан с психологическим воздействием на пользователя. Принцип простой: если что-то нельзя сделать своими руками, значит, надо уговорить пользователя сделать это самому. Наиболее часто практикуется рассылка вредоносных программ в виде приложений к сообщениям электронной почты. В тексте сообщения указывается, насколько полезна и выгодна эта программа.

► Никогда не запускайте ничего, что поступает вместе с электронной почтой, независимо от того, что написано в сопроводительном сообщении. Это правило распространяется даже на письма, полученные от близких, друзей и знакомых.

У злоумышленников есть средства подделать адрес отправителя так, чтобы их письмо выглядело, как письмо от знакомого. Бывают случаи, когда троянские программы распространяются в виде циркулярных писем типа «примени сам и передай товарищу», — это еще один источник угрозы, таящийся в письмах, полученных от близких друзей.

► Никогда не отправляйте программы в виде приложений к сообщениям электронной почты. Если нужно передать полезную программу коллеге, лучше указать URL-адрес, по которому он сам сможет ее получить. У каждой действительно полезной программы в Интернете есть источник. Если программа нигде в Сети не представлена, значит, никто не берет на себя ответственность за ее работу.

Кроме электронной почты злоумышленники используют распространение троянских программ через компакт-диски. В принципе, нет никакой необходимости приобретать программы для Интернета в виде сборников на компакт-дисках. В самом Интернете есть много тысяч полезных программ, распространяемых бесплатно или условно-бесплатно.

► Никогда не устанавливайте на сетевых служебных компьютерах непроверенное программное обеспечение, распространяемое в виде сборников на компакт-дисках.

Защита от эксплуатации ошибок в программном обеспечении

Этот вид угрозы редко опасен для клиентской стороны. Атакам программ-эксплоитов в основном подвергаются серверы. Стратегия злоумышленников обычно реализуется в три этапа. На первом этапе они выясняют состав программ и оборудования в локальной сети «жертвы». На втором этапе они разыскивают информацию об известных ошибках в данных программах (об уязвимостях). На третьем этапе они готовят программы-эксплоиты (или используют ранее подготовленные кем-то программы) для эксплуатации обнаруженных уязвймостей. Борьба со злоумышленниками может происходить на всех трех этапах.

Прежде всего, администрация серверов контролирует внешние обращения, цель которых состоит в выяснении программно-аппаратной конфигурации сервера. Это позволяет взять нарушителя на учет задолго до того, как он произведет реальную атаку.

В наиболее ответственных случаях используют специально выделенные компьютеры или программы, выполняющие функцию межсетевых экранов (щитов). Такие средства также называют брандмауэрами (firewall). Брандмауэр занимает положение между защищаемыми компьютерами и внешним миром. Он не позволяет просматривать извне состав программного обеспечения на сервере и не пропускает несанкционированные данные и команды.

Кроме того, администрация сервера должна внимательно следить за публикацией в Сети сообщений об уязвимостях, обнаруженных в используемых ею программах. Уязвимости должны устраняться немедленно после опубликования сведений о них. Период времени между обнаружением уязвимости и ее устранением наиболее опасен. В этот момент злоумышленники, оповещенные о существовании уязвимости, занимаются целенаправленным поиском серверов, на которых она еще не устранена.

Угроза активного содержимого

Понятие активного содержимого. Как мы уже говорили, в состав Web-документов могут входить встроенные объекты. Такие объекты, как рисунки, видеоклипы и звукозаписи, являются пассивным содержимым. Это данные. Их можно просматривать, копировать, воспроизводить, сохранять, редактировать — в общем, делать с ними все, что можно делать с любыми данными на собственном компьютере. Однако для расширения возможностей броузера и сервера многие создатели Web-страниц встраивают в них активные объекты и активные сценарии. И в том и в другом случае речь идет о получении клиентом программного кода в составе загружаемой Web-страницы.

Активные объекты отличаются от пассивных тем, что кроме данных содержат в себе еще и программный код, который работает на компьютере клиента. В самом общем случае сервер может поставлять активные объекты вообще любой природы — для этого ему надо лишь «уговорить» потребителя, чтобы тот принял некий программный код, «расширяющий» возможности его броузера. Мы будем предполагать, что потребитель ни на какие заманчивые предложения не соглашается, и тогда опасными активными объектами и сценариями для него остаются только апплеты Java, элементы ActiveX, сценарии JavaScript и VBScript. На работу с ними броузер уже настроен.

О том, какую угрозу несут активные объекты и сценарии, и о том, как реализуется модель безопасности при их использовании, подробно рассказано в главе «Информационные технологии электронной коммерции».

Защита от активного содержимого

Защищающаяся сторона должна оценить угрозу своему компьютеру и, соответственно, настроить броузер так, чтобы опасность была минимальна. Если никакие ценные данные или конфиденциальные сведения на компьютере не хранятся, защиту можно отключить и просматривать Web-страницы в том виде, как предполагал их разработчик. Если угроза нежелательна, прием Java-апплетов, элементов ActiveX и активных сценариев можно отключить. Компромиссный вариант — в каждом конкретном случае запрашивать разрешение на прием того или иного активного объекта. В зависимости от того, с каким узлом установлено соединение (можно ему доверять или нет), этот вопрос каждый раз решается по-разному.

В программе Internet Explorer 5.0 средства настройки защиты от активного содержимого содержатся в диалоговом окне Правила безопасности (Сервис → Свойства обозревателя → Безопасность → Другой). Порядок их настройки рассмотрен в упражнении 7.3.

Средства защиты данных на путях транспортировки

С проникновением коммерции в Интернет все чаще возникает потребность проведения дистанционных деловых переговоров, приобретения в Сети программного обеспечения, денежных расчетов за поставленные товары и услуги. В этих случаях возникает потребность в защите данных на путях транспортировки. Одновременно с потребностью в защите данных возникает потребность в удостоверении (идентификации) партнеров по связи и подтверждении (аутентификации) целостности данных.

Вот несколько примеров того, во что может вылиться отсутствие защиты и удостоверения целостности данных и лиц.

1. Два предпринимателя, находящиеся далеко друг от друга и никогда не встречавшиеся лично, заключают договор о совместной деятельности. Если не принять специальных мер, то по прошествии некоторого времени любая из сторон может заявить, что никакого договора между ними не было, ей об этом ничего не известно и, с кем вел переговоры другой партнер, она не знает.

2. Приобретение товаров и услуг через Интернет обычно оплачивается с помощью платежных карт. Покупатель сообщает продавцу конфиденциальные данные о своей кредитной карте, и тот может списать со счета покупателя оговоренную сумму. В случае, если данные будут перехвачены на одном из промежуточных серверов, неизвестные лица могут воспользоваться чужой платежной картой, оплатив ею в Сети заказ товаров или услуг.

3. Получив с удаленного сервера полезную программу и установив ее на свой компьютер, мы можем с удивлением обнаружить, что в ней содержится троянский код, позволяющий дистанционно хозяйничать на нашем компьютере. Обратившись с претензией к автору программы, поставившему ее, мы можем услышать в ответ, что ничего подобного он не распространял, а если где-то на путях транспортировки кто-то внес в программу несанкционированные изменения, то он за это отвечать не может.

Это лишь три примера. На самом деле, с зарождением электронной коммерции в бизнесе и экономике ежедневно возникает огромное количество проблем. С каждым днем их количество будет прогрессивно возрастать. Сегодня в электронной коммерции защищают и аутентифицируют данные, а также идентифицируют удаленных партнеров с помощью криптографических методов. Более подробно о том, как это осуществляется, вы узнаете в главах «Техническое и юридическое обеспечение режима электронной подписи», а также «Информационные технологии электронной коммерции».

Защита от вмешательства в личную жизнь

Сбор сведений об участниках работы в Интернете. Кроме средств активного воздействия на удаленный компьютер существуют и средства пассивного наблюдения за деятельностью участников Сети. Они используются рекламно-маркетинговыми службами. Как обычно, приведем пример.

При посещении почти любых Web-страниц нам на глаза попадаются рекламные объявления (их называют баннерами). При их приеме наш броузер устанавливает связь с их владельцем (с рекламной системой) и незаметно для нас регистрируется в этой системе. Мы можем не обращать внимания на эту рекламу и никогда ею не пользоваться, но, переходя от одной Web-страницы к другой, мы создаем свой психологический портрет (он называется профилем). По характеру посещаемых Web-узлов и Web-страниц удаленная служба способна определить пол, возраст, уровень образования, род занятий, круг интересов, уровень благосостояния и даже характер заболеваний лица, которое никогда к ней не обращалось. Достаточно хотя бы один раз зарегистрироваться где-то под своим именем и фамилией, и ранее собранные абстрактные сведения приобретают вполне конкретный характер — так образуются негласные персональные базы данных на участников работы в Сети.

Сопоставляя данные по разным людям или по одним и тем же людям, но полученные в разное время, следящие системы получают профили не только на отдельных лиц, но и на коллективы: семьи, рабочие группы, предприятия. Полученные данные могут использоваться как легально, так и нелегально. Например, идентифицировав некое лицо как любителя горных лыж, рекламная система при последующих его выходах в Сеть чаще предъявляет ему объявления, относящиеся к этому виду спорта, чем другие. Это пример легального использования сведений. Но есть примеры и нелегального использования. Классифицированные базы данных являются товаром: они покупаются и продаются, переходят из рук в руки и становятся основой для деятельности многих организаций самого разного профиля.

Источники персональной информации. Наиболее простым и очевидным источником для сбора сведений об активности клиентов Интернета являются маркеры cookie, принцип действия которых мы здесь рассмотрим.

Согласно протоколу HTTP броузер может отправить серверу запрос на поставку одного Web-ресурса (документа HTML) и никак при этом серверу не представляется. То есть, в своей основе служба World Wide Web является анонимной (по крайней мере, должна такой быть). Тем не менее, иногда все-таки имеется целесообразность в том, чтобы броузер серверу представлялся. Это, например, полезно для Интернет-магазинов. Если в книжном электронном магазине мы отобрали в покупательскую «корзину» несколько книг, посвященных экономике, а потом перешли на другую Web-страницу, посвященную книгам по юриспруденции, то было бы нежелательно, чтобы при этом наша «корзина» полностью пропала. То есть, при входе на новую страницу нам желательно, чтобы сервер нас идентифицировал и продолжил ранее начатую работу.

Целесообразность в представлении броузера серверу возникает всякий раз, когда клиент пользуется Web-услугами, персонально настроенными именно на него. Предвидя эту целесообразность, разработчики протокола HTTP почти десять лет назад предусмотрели несложный и, как им казалось тогда, вполне безобидный механизм представления броузера серверу с помощью так называемых маркеров cookie.

Согласно протоколу HTTP сервер может передать броузеру небольшой пакет данных, в которых закодирована информация, нужная серверу для идентификации броузера и настройки на работу с ним. Этот пакет временно запоминается в оперативной памяти компьютера и выполняет роль маркера (метки). Если в ходе работы В WWW броузер вновь обратится к тому же Web-узлу, то при обращении к нему он предъявляет ранее принятый маркер, и сервер сразу же понимает, с каким клиентом он имеет дело.

Маркеры могут быть временными и постоянными. Временный маркер хранится в оперативной памяти до тех пор, пока броузер работает. По окончании его работы все временные маркеры, полученные от серверов, уничтожаются. В принципе, в большинстве случаев, таких, как посещение Интернет-магазинов, можно было бы ограничиться временными маркерами, чтобы магазин «не забывал» своего клиента, когда тот переходит из одного отдела в другой. Однако серверы по непонятным причинам предпочитают отправлять броузеру не временные, а постоянные маркеры.

Постоянные маркеры обрабатываются иначе. Когда броузер завершает работу, все постоянные маркеры, накопившиеся в оперативной памяти, переносятся на жесткий диск в виде файлов cookie. Так происходит маркировка жесткого диска, а можно сказать, что не только его, а вообще компьютера клиента. При последующих выходах в Интернет в момент запуска броузера происходит считывание накопившихся маркеров cookie в оперативную память, откуда броузер предъявляет их серверам, которые их поставили.

Рис. 7.5. Просмотр маркеров cookie, собранных в ходе навигации в WWW (они хранятся в папке C: \Windows\Cookies). На снимке выделены маркеры Web-узлов, которые вообще не посещались. Эти Web-узлы используют маркеры cookie для негласного наблюдения за клиентами WWW

Физической угрозы маркеры cookie компьютеру не представляют — это файлы данных, которые не являются программным кодом и потому безвредны в смысле несанкционированных действий. Но они представляют угрозу в смысле вмешательства в личную жизнь.

Правовой режим маркеров cookie. Существует как минимум два механизма использования маркеров cookie для несанкционированного сбора сведений о клиенте. Наиболее очевиден нелегальный механизм, связанный с тем, что сервер может прочитать не только те маркеры, которые поставил он сам, но и те, которые поставили другие cepвeps. Этот механизм должен блокироваться броузером, но история знает не один случай, когда из-за ошибок программистов сервер имел-таки средства для получения этих данных. Не исключено, что такие уязвимости есть в броузерах, находящихся в текущей эксплуатации, или в самой операционной системе. Этот механизм мы назвали нелегальным, потому что эксплуатация ошибок и уязвимостей компьютерных систем — это правонарушение.

Второй механизм сбора сведений о клиентах на основе маркеров cookie совершенно легален и в последнее время вошел в широкую практику. Он основан на том, что некая служба (например рекламная) широко распространяет на огромном количестве Web-узлов разной тематической направленности свои графические объекты (например рекламные баннеры). Посетители этих Web-узлов получают вместе с рекламными баннерами связанные с ними маркеры cookie. В итоге получается, что служба, к которой клиенты никогда не обращались, постоянно маркирует их компьютеры своими маркерами и впоследствии по ним может точно восстановить картину движения клиентов по Web-узлам Интернета. Этим занимаются не только рекламные компании, но и компании, предоставляющие иные услуги, например размещающие счетчики посетителей на Web-страницах своих заказчиков.

Практика использования маркеров cookie для сбора сведений о пользователях Интернета в настоящее время находится под пристальным вниманием специалистов-правоведов. В ней настораживает факт негласности сбора сведений. Основным возражением на это является возможность со стороны пользователя отключить функции броузера, связанные с постановкой маркеров cookie. Однако и здесь имеется юридическая неувязка. Дело в том, что Интернетом пользуются и несовершеннолетние лица. Правовой режим сведений, полученных от несовершеннолетнего лица, сомнителен. В настоящее время в ряде стран разрабатываются ограничения на использование маркеров cookie, связанные с тем, что сервер должен иметь объективные средства идентификации правового статуса клиента, прежде чем размещать на его компьютере маркеры. Предполагается, что он должен выдавать необходимое предупреждение и в случае, если его услугами пользуются несовершеннолетние лица, воздерживаться как от простановки, так и от чтения ранее поставленных маркеров. Такой подход безусловно содействовал бы прекращению негласного сбора информации о клиентах.

Порядок настройки броузера Microsoft Internet Explorer для отключения приема маркеров cookie рассмотрен в упражнении 7.3. Другие броузеры имеют аналогичные средства настройки.

Другие источники персональной информации. Кроме маркеров cookie источником для сбора сведений о клиентах Сети является информация, легально поставляемая броузером. Во время связи по протоколу HTTP броузер сообщает свое название, номер версии, тип операционной системы компьютера клиента и URL-адрес Web-страницы, которую клиент посещал в последний раз.

Кроме этого, у серверов есть приемы, позволяющие в некоторых случаях получить адрес электронной почты клиента, хотя эти приемы используют только негласно и потому правовой режим их сомнителен.

Еще одним источником персональной информации являются так называемые активные сценарии JavaScript (Java-скрипты). Уязвимости системы защиты, связанные с ними, рассмотрены нами в главе «Информационные технологии электронной коммерции».

⇐ Предыдущая 16 17 18 19 202122 23 24 25 Следующая ⇒