أمن المعلومات وإدارة مخاطر تقنية المعلومات

ضوابط التشف 385 mQENBFC6Q/MBCACjZH9O43XeK8TfDXVW084xmr2 lgiLsv7drbT9poQiuHmHrnbAm I/dm+nTIQn4qI8d+qTn0oWUsa9HD+N5sA sAHkYl5 kkmWgg/rtP8NtaH84/qqKSQN ktmd/zxfyNgJ4fTHhfqJA6RuHoKuFla+MMqKzR4u +ZSjxg mHl4tbSBph2+YgmMp8 fqLH18i4fSEoG5jZ6V ciPw8KAyZvVIsC5TyOfX- W67UU8QJ7bEZaejxM trhecF4F/ الآن إذا ت س الآخر، أو يتم مناولة المفتاح يداً بيد إلى المستلم في الحالات الأمنية المشددة للغاية. ملاحظة: وآخر لاستخدام العمل، يمكنك تحديد أي مفتاح صيإذا كان لديك مفاتيح متعددة، مثلاً مفتاح للاستخدام الشخ هو عنوان البريد الإلكتروني للمفتاح الذي تريد >user > حيث>user> )تريد أن تُدرِج باستخدام الرمز استخدامه. في حالتنا هذه قد تم بالفعل نقل المفتاح إلى مس bob@المشرقة وهو GPG( جحافظة المفاتيح التابعة لبرنام وأخبرنا بأنه يمكننا الحصول عليها http://www.sunshine.edu/-bob/bob_brown.pub( المفتاح العام التابع لبوب: استيراد ملف من نظام الملفات المحلي كما ي

الفصل السابع 386 [alice@sunshine ~]$ gpg --import /home/ bob/public_html/bob_brown.pub gpg: key 310C3E16: public key »Bob Brown )Sunshine State University( >bob@ sunshine.edu>« im ported gpg: Total number processed: 1 gpg: imported: 1 )RSA: 1( أو استيراد الملف من خادم الشبكة البعيد كالتا [alice@sunshine ~]$ gpg --fetch-keys http://www.sunshine.edu/~bob/bob_brown. pub gpg: key 310C3E16: public key »Bob Brown )Sunshine State University( >bob@ sunshine.edu>« im ported gpg: Total number processed: 1 gpg: imported: 1 )RSA: 1( وفي كلتا الحالتين سيكون لديك المفتاح العام لاستخدامه كن حذراً عند استيراد المفاتيح العامة من مضيف بعيد، والتي تتم عن طريق شبكة الإنترنت أو البريد الإلكتروني. يجب أن تتأكد من حصولك على المفتاح العام الصحيح، وأنه لم يتم العبث به أو تعديله، قبل استخدامك إياه في أي اتصال آمن. وإذا قمت بتش Bob Brown( �التابع ل

ضوابط التشف 387 [alice@sunshine ~]$ gpg --list-keys /home/alice/.gnupg/pubring.gpg ------------------------------ pub 2048R/14382D17 01-12-2012 uid Alice Adams )Sunshine State University( >alice@ sunshine.edu> sub 2048R/C8761AAB 01-12-2012 p ub 2048R/310C3E16 01-12-2012 uid Bob Brown )Sunshine State University( >bob@ sunshine.edu> sub 2048R/1EA93238 01-12-2012 التشفير وفك التشفير وبما أنك الآن تملك المفتاح العام، س صيتصميمها لمستلم معين. وللتوقيع على ملف وتشفيره، عليك أولاً حفظه في هيئة ملف ن (لأن الصيغ بتحديد الشخص الذي سيستخدم (المفتاح العام) وذلك عن طريق المفتاح

الفصل السابع 388 [alice@su nshine ~]$ gpg -s -a -r bob@sun- shine.edu -e hello.txt you need a passphrase to unlock the secret key for user: »Alice Adams )Sunshine State University( >alice@ sunshine.edu>« 2048-bit RSA key, ID 14382D17, created 01-12-2012 GPG( جبع GPG( جالتابع bob@su nshine.edu ( �المفاتيح بحثاً عن المفتاح العام التابع ل gpg: 1EA93238: There is no assurance this key belongs to the named user pub 2048R/1EA93238 01-12-2012 B ob Brown )Sunshine State University( >bob@ sun- shine.edu> Primary key fingerprint: 599F 4790 E781 ADBF 1850 F120 2B51 B871 310C 3E16 Subkey fingerprint: 26BF DCFC 0A62 7224 9D20 5DE5 9734 A6C4 1EA9 3238

ضوابط التشف 389 It is NOT certain that the key belongs to the person named in the user ID. If you *really* k now what you are doing, you may answer the next question with yes. Use this key anyway? )y/N( y GPG( جويقوم برنام لأن كن استخدامها للتحقق من صحة المفتاح. يمكنك بأمان أن تتجاهل هذه يمُ) GPG( جلبرنام GPG( جالرس وذلك للحصول على مزيد من المعلومات حول بناء)24()GNU( �الخصوصية التابع ل من الثقة [alice@sunshine ~]$ cat hello.txt.asc -----BEGIN PGP MESSAGE----- Version: GnuPG v2.0.14 )GNU/Linux( )24( https://www.gnupg.org/gph/en/manual.html

الفصل السابع 390 hQEMA5c0psQeqTI4AQgAgpJ4Z4hiN93q+DdZ2ETg nm1ib+ciekRGmNtI4C5KMzPm b C W u s 0 c q m t L W E L 6 D j 4 o M 9 0 H B G 9 D i - iNKxr xKdjA neh9i/AYVf3/UleyW0Zb2dL/ dC v e C x l k N a G L C t K j V 0 9 6 7 e w / J s H B Q b V 1 2 j X R n q N 6 1 r m p / e dFIQZ1tbXymXlcnfg3vm a R K n K S s X V a 0 q O H x P P n 0 + s k P 6 t F b M T / q / 5 F 1 D f p I f 9 N Y 1 m V L J D i M N Q G p y y 2 / ZZyKk 90PWxBsQC90CcWTfJqwjC1wP d4Ck2YOr+q6u36YR hz8cLwoM9I3MR2xVbtdElTGy Zd2ogWZImTRBxhKWYV7uVDre095Y4FNIzbzADZ1 KaNLAwgGGslcOr rCI4gpSkGIb DbvhuIr1r2rKeBRxR3dbQ+xb6Wm9S8v8440VSLDD D4f3TZFc6+/qU lAW7fU9Xu/1 4nqN4nu9NCQLgWmZyLtJr8RIry0tVxHQwhOQl - 2w6t34b0IZJvjL GzkmM589fwWNo ggE3krRiBvAE17z101Ncqn/zu5bfc6BUD2Okc- 36Qg56NU zvydGM3xgK2FRwgQfhr 7 T r s J p / 9 R +w X V 6 E G f T u o T o A / p1WY5311952l2W rd7e2nwm6umeaKxgzgO4h rC9zS k576lCUi0cPyhwWBHQdK8UtssmBH1+tt2hEa6H+b Tf1OIOZ ptMU64NCG3rWgrI17 N W n t q 9 w w W Q T 5 a g q C a l t h L F M 4 7 n i / m K e 5 1 K a y 9 L c k N U m m 5PC8yA4oti5jnpIaW4Jw xRFvTSoRXH5ARlPc1INoNi+51X+jd8y9AB2096s2 x+BQFuCmG25K/z7E2BoJjsVV zf/qg6yQ TbgPmvG83Jyvev71ykXd7TfKZGs4UlKq K+grJda8 =BxNI -----END PGP MESSAGE-----

ضوابط التشف أمن المعلومات وإدارة مخاطر تقنية المعلومات39( ) وقمت بالتوقيع عليها بالمفتاح الخاص،والآن بعد أن قمت بتشفير رسالة إلى بوب حان الوقت بالنس حساب بوب [alice@sunshine ~]$ su - bob Password: [bob@su nshine ~]$ gpg -o hello.txt --decrypt ~alice/hello.txt.asc You need a passphrase to unlock the secret key for user: »Bob Brown )Sunshine State University( >bob@ sunshine.edu>« 2048-bit RSA key, ID 1EA93238, created 201201-12- )main key ID 310C3E16( ويجب أن تش Bob( رسالة تفيد بوجود خطأ عند التحقق من التوقيع gpg: encrypted with 2048-bit RSA key, ID 1EA93238, created 201201-12- »Bob Brown )Sunshine State University( >bob@ sunshine.edu>« gpg: Signature made Sun 02 Dec 2012 10:37:18 AM EST using RSA key ID 14382D17 gpg: Can’t check signature: No public key ويجب أن يقوم بوب من التوقيع الموجود على الملف:

الفصل السابع 392 [alice@sunshine ~]$ gpg --import /tmp/ alice_adams.pub gpg: key 14382D17: public key »Alice Adams )Sunshine State University( >alic e@ sunshine.edu>« imported gpg: Total number processed: 1 gpg: imported: 1 )RSA: 1( قم بتجريب أمر فك التش GPG( جالمحتويات في ملف gpg: Signature made Sun 02 Dec 2012 10:37:18 AM EST using RSA key ID 14382D17 gpg: Good signature from »Alice Adams )Sunshine State University( >alic e@sun- shine.edu>« gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: C42E 0E23 08A1 8116 019A AAB3 2D73 7113 1438 2D17 )GPG( جGPG( جومرة أخرى يقوم برنام alice@su nshine.edu ( �لي وبمجرد الانتهاء م فك شفرتها صحيحة. [ bob@sunshine ~]$ cat hello.txt Hello World!

ضوابط التشف 393 أسئلة ( .قم باس الإلكتروني، وفي حقل الملاحظات استخدم اسم جامعتك. 2 ./opt/book/( : لي� ي �ق encryption/results/key.pub 3 .قم باس key/eric_pierce.pub 4 . )GPG( جاذك واحفظ المخرجات كما يلي على التوا keyring.txt 5 .ق باس opt/book/ encryption/results /( لي� ي �واحف encrypted.asc المطلوب تسليمها: قم بتسليم محتويات الملفات التالية إلى أستاذ المادةجالنتائ )key.pub(،و)public-keyring.txt( ،و)private-keyring.txt.(،و)encrypted.asc(. تمرين التفكير النقدي - مفاتيح التشفير المتضمنة لنماذج العمل في هذا الكتاب لم نقض الكثير من الوقت في نقاش الحوسبة السحابية وبالتحديد المخاطر المنبثق Gmail ( �وني التابع ل�الإلك تقوم أنت بتخزينها في خدمة ر وذج العمل الحالي نم في حال فقدها لثقة الجمهور. لذا ف�إن الشركات س

الفصل السابع 394 قائم أساس محتويات الملفات لأغراض �ب محدودة. ويبدو أن تخصيص الإعلانات عبر الإنترنت أحد هذه الأغراض المعقولة. ومن ثم تتم مقايضة خدمة التخزين السحابية المجانية في مقابل الإعلانات عبر الإنترنت. لكن ومنذ الكشف عن التعاون بين مزودي خدمات الحوسبة السحابية وبين وكالة الأمن القومي الذي يستطيع المستخدمون فعله إذا ما زالوا يرغبون في الاستفادة من الخدمات السحابية؟ مما قرأناه في هذا الفصل يبدو أن الحل سهل. حالياً يتكفل مقدمو الخدمات السحابية بالتش أصحاب البيانات. وهذا يسمح لمقدمي الخدمات السحابية برؤية بياناتك بناءً على طلبهم. وذج العمل التالي: نمالخدمة تتضمن ومن ثم فإن ملكية مفاتيح التش (الإعلان في مقابل التخزين). وإذا أردت من وبعد ذلك ستكون أنت المسؤول عن إدارة المفاتيح لأنك إذا فقدت مفاتيح فك التشفير فلن ن قادراً على قراءة بياناتك. تكو المراجع: Falkenrath, R. »Op-ed: e ncryption, not restriction, is the key to safe cloud computing,« http://www.nextgov.com!cloud-computing12012/1 O/op-ed-encryption-not- restriction-key-safe-cloud-computing/586081 )accessed 0711812013 Amazon Web Services, »Using client-side encryption,« http://docs.aws.amazon.co m!AmazonS3/1atestldevlUsingClientSideEncryption.html )accessed 07118/2013( Schneier, B. Cryptogram, November 15,2012

ضوابط التشف 395 أسئلة على تمرين التفكير النقدي ( .تُقدَّم العديد من خدمات الحوس مجاناً لأن المستخدمين يس في اعتقادك كيف س البيانات بحيث لا يتمكن مزودو الخدمات السحابية من الاستفادة المالية من بياناتك عن طريق الإعلانات التجارية؟ 2 .ما هي بعض الاهتمامات الخاص Nextgov op-ed( �يتعلق الأمر بالحوس بعض الأمثلة على ذلك). تصميم حالة: يُعد قس جب. ويقوم القس�الط الجامعة. كما يقوم القسجلبرام بهدف مساعدتهم في التقديم على المنح الدراسية، والمساعدات المالية، والفرص الأخرى. ومن أجل تس خراً تعرضت إحدى سيارات هؤلاء الموظفين الحاس للسطو والسرقة. ولحسن الحظ فإن الجاني لم يسرق جهاز الحاسب الآلي المحمول الذي كان في صندوق السيارة (والذي يحتوي ع ولأنك خبير في أمن المعلومات، تواصل معك رئيس الجامعة ليسألك عن رأيك فيما يمكن مناً. وأثناء قراءتك لقوانين الولاية أَدركت عمله لجعل أجهزة الحاس أن عن الحادثة. غالواردة في الأجهزة ستكون محمية ومن ثم لا حاجة للإبلا

الفصل السابع 396 اكتب توصيات الفقرة الس ويجب أن يشمل تقريرك معلومات حول ما يلي: ( .تقرير عن المتطلبات القانونية لمثل هذا التشفير في الجامعات الحكومية في ولايتك. 2 ..جالخطوط العريضة حول متطلباتك لهذا المُنت 3 . بحيث يتضمنجالقيام ببعض البحث على الإنترنت حول العروض المشهورة لهذا المُنت ما لا يقل عن ثلاثة من الموردين. 4 .اشرح الفرق بين تشفير الملفات وتشفير كامل القرص 5 .متى يجب أن يُستخدم تشفير الملفات، ومتى يجب أن يستخدم تشفير كامل القرص؟ (مع الأخذ بعين الاعتبار الأمور التي يس القرص حمايتها). 6 .ما أنظمة التشغيل التي ستركز عليها في نقاشك؟ 7 .كيف سيتم استرداد مفتاح فك التشفير في حال ضياعه؟

397 الفصل الثامن إدارة الهوية والوصول نظرة عامة: في هذا الفصل س امتيازاتهم في الأنظمة المؤسساتية. وتتسم الأنظمة التي سوف نناقشها بالعديد من الميزات المشتركة، لكن تم تطوير كل نظام منها للاستجابة لاحتياجات محددة وظروف معينة. وفي نهاية هذا الفصل يجب أن تعرف: •الفرق بين إدارة الهوية وإدارة الوصول. •مراحل نماذج إدارة الهوية وإدارة الوصول. •الفئات الثلاث لبيانات اعتماد المستخدم. •نقاط القوة ونقاط الضعف النسبية للتقنيات الرئيسية للمصادقة. إدارة الهوية: إدارة الهوية هي عمليات تحديد هوية الأفراد وجمع كل البيانات اللازمة لمنح أو إلغاء ويُعد نظام (اسم المستخدم) و(كلمة المرور) الذي امتيازات مستخدمي الموارد الحاسوبية. تس ت الكبيرة أصبحت العمليات الرس�المنظ باس كل يوم هناك المئات من الأنش والحصول على عمل في الحرم الجامعي، وتغيير في وظائف الموظفين في الحرم الجامعي، فكل يُس هذه الأحداث تؤثر في المعلومات التي يجب أن فالعمليات البس

الفصل الثامن 398 رس المس اللازمة لتحقيق هذه الأهداف. ويتم تخزين معلومات المس US Privacy Act( 1974)1( قانون الخصوصي�ع داد المعلومات بالاس�الس وجه الخصوص للفرد. ولا يجب أن يكون نظام الس�أي مُع جداً. وتُعد لوحة المس نظام الس ءاً من نظام تخطيط الس موارد المؤسس على شكل جداول بيانات إكسل وبالمث الطلاب. وكقاعدة عامة يتم إنشاء نظام السجلات لحفظ البيانات لغرض محدد أو لمجموعة محددة من الأشخاص. على سبيل المثال يتم العثور على معلومات حول الطالبة التي تعمل في الجامعة في نظام سجلات الطلاب ونظام سجلات الموظفين. ومن ثم فإنه من الشائع أن يكون لشخص منفرد عدة هويات في أنظمة سجلات متعددة في الوقت ذاته. ذاً فإن ما وفي نظام الس نُس أم السجلات. وتتعام السجلات. وتعمل هذه الأنظمة في مراحل ثلاث (الشكل لإدارة الهويات - اكتش )1( http://www.justice.gov/opcl/privstat.htm

إدارة الهوية والوصول 399 ) مع معلومات عملية حول المستخدمنحصل على سجل الشخص المنظمة. المرحلة الأولى: اكتشاف الهوية: تبدأ إدارة الهوية بمرحلة الاكتشاف، حيث يتم إيجاد جميع الهويات الجديدة والمُحدثة في جميع أنحاء المنظمة. وفي هذه المرحلة يقوم نظام إدارة الهوية بجمع كل المُعرفات الجديدة ء، وتحديث�والمُحدثة في جميع أنظمة الس تواري ت الصغيرة ذات �تعقي التسرب الوظيفي المنخفض، يمكن أن تكون هذه العملية يدوية بالكامل عندما يتم التعاقد م يدوياً في نظام إدارة الهوية. لكن في المنظمات الضخمة قد تتضمن هذه العملية وإدخاله نُظماً آلية متعددة تقوم بجمع آلاف الوحدات من البيانات من عشرات من الأنظمة أو أكثر، ويتم ذلك عدة مرات في يوم واحد. وبغض النظر عن الطريقة، ففي نهاية مرحلة اكتش مُحدَثة من جميع نظم الس الهوية نحصل على قائمة مُعرِّفات جديدة أو ملاءمة الهوية.ثل هذه القائمة مدخلات المرحلة القادمة من عملية إدارة الهوية -ُوت المرحلة الثانية: ملاءمة الهوية: بمج ي وذلك لجميع �وملاءم الأشخاص في المنظمة.

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 400 ): إدارة الهوية والوصول 1 - 8 الشكل ولإيضاح أهمية ملاءمة الهوية، افترض قيام جامعة ولاية الش عض الجامعة: القسم تاريخ الميلاد اسم العائلة الاسم الأول الرقم التعريفي علم الآثار 03 / 13 / 20 جونز هنري 13579 درس في وقت فراغه وقرر أن َ ) أن ي Dr. Jones وبعد بضع س سجل مادة من قسم الأحياء. وبناء على ذلك يتم إدخال البيانات التالية في نظام معلومات ُ ي الطالب: الصف تاريخ الميلاد اسم العائلة الاسم الأول الرقم التعريفي 101 أحياء 03 / 13 / 20 جونز هنري 24680 فب ) أحدهما عضو هيئة تدريس والآخر طالب، أو Henry Jones يحملان اس عرفات من أنظمة ُ الم لكن بأدوار متعددة وذلك عندما يت ً واحدا ً أن هن تعددة في مكان واحد. ُ ت الم السجلا