Алматы 2015 Almaty

528 

Егер  пішімде    DRM-  жүйесінде  кіріктірілген  интеграциясы  болмаса  (мысалы,қарапайым  ТХТ-

пішімі),  онда  файл  толығымен  шифрланады.  Кітаптарды  жариялаудың  кейбір  түріне  кітаптарды 

оқуға арналған бағдарламалармен біріктіру жатады. Сонымен қатар бір кітаптың өзі қолданушы үшін 

бір  бағдарлама  ретінде  көрінеді.  Бұл  тәсілдің  өзіндік  кемшіліктері  бар,  яғни  қолданушы  бір  кітапты 

әр  түрлі  құрылғыларда  ашып  оқи  алмайды.    Мұндай  кітаптарды  көшіріп  алудан  қорғау  үшін 

бағдарламаны қорғау жүйесі қолданылады. 

 

Кесте - 1. 

Электронды кітаптың пішімі 

 

Пішім 

Түсіндірмесі 

DRM жүйесімен біріктіру мүмкіндіктері 

PDF 

Электронды құжаттардың ескі 

пішімдерінің бірі.Қиын пішімделетін 

мәтіндерді қисынсыз әріптерді жіберуге 

мүмкіндік береді. 

Пішім DRM Adobe Content Server-мен сәйкестеледі.  

 Мұны қорғау үшін RC4 алгоритмы арқылы файлдағы 

бөлек ағындарды шифрлау қолданылады. Егер файл 

қорғалса онда %%EOF,тегінен кейін шифрлау жайлы 

ақпаратты құрайтын қосымша бөлім қосылады. 

EPUB  HTML-ге негізделген пішім.Барлық 

кітапқа қажетті ағым (мәтін,сурет) EPUB 

кеңейтілімімен ZIP- архивте   

дайындалады 

Шифрлауды файлдың барлық ағымына немесе бөлік 

ағымында қолданады.Қолданушы кітапты сатып 

алғанда оған шифрды ашуға кілт беріледі. 

AZW 

Amazon компаниясының Kindle кітаптарды 

оқуға арналған құрылғыларында 

қолданылатын жабық пішім. 

Amazon компаниясының DRM-мен бірге қолдану үшін 

арнайы дайындалған пішім. 

 

KF8 

AZW пімінің беттерді қосымша 

толықтыруға арналған жаңартылған түрі. 

Бұлда солай. 

 

Электронды оқулықтарды қорғауға арналған DRM- жүйесі  

Электронды  кітаптардың  көптігіне  қарамастан,  көбінесе  осыған  ұқсас  DRM-  жүйесін 

қолданады.Ол  бір  уақытта  кітап  оқуға  мүмкіндік  береді.Әртүрлі  дүкендерде  сатылатын  әмбебап 

кітаптар жүйесін құрайды.Осы жүйелердің ішіндегі ең танымалдарын қарастырайық. 

1.  Adobe Content Server (Adobe ADEPT) 

Бұл  DRM-  жүйесі  дүкендерде  орналасқан  электроенды  кітаптарды  шифрлау  жүйесіне  және  БҚ 

кешеніне  ие.Бұл  тұтынушылардың  құрылғыларын  және  аккаунттарын  басқару  үшін  арналған 

жүйе.Сонымен  бірге  шифрланған  кітаптарды  ашу  үшін  кілт  беруге  жауап  береді.Сілтемені 

пайдалануға  арналған  кітаптарды  оқу  SDK  беріледі.  Ол  сервермен  қарым  –  қатынасын  және 

шифрланған файлдарды ашу үшін қолданылады. 

Электронды кітаптарды сатып алу сызбасы келесідей: 

- Кітапты оқуға арналған бағдарлама қолданушы үшін бірегей кілт қалыптастырады.Әдетте  бұл 

кілт  қолданушы  үшін  қорғалған  кітаптарды  түрлі  құрылғыларда  оқуға  қарағанда,    қолданушының 

аккаунты үшін бірден-бір тиімді әдіс болып табылады. 

-  Сатып  алу  барысында  қолданушы  кітапты  және  оны  кері  шифрлайтын  кілтті  алады.  Кітапты 

шифрлау кілті ретінде  RSA алгоритмі қолданылады. 

-  Қолданушы  кітапты  оқу  үшін  өзіне  белгілі  кілтті  қолданады,сонымен  қатар  кітапты    кері 

шифрлау үшін де осыны қолданады.   

Егер  кітапты  және  шифрланған  кілтті  басқа  құрылғыға  көшіретін  болса,  онда  кітапты  кері 

шифрлай  алмайды,  өйткені  кері  шифрлауға  арналған  кілт  белгісіз.  Ал  кілт  шифрланған  күйде 

құрылғыда  сақталмайды.  Кітапты  басқа  құрылғыларда  оқу  үшін  оны  сол  құрылғыда  авторландыру 

керек. Жаңа құрылғыда авторландыру барысында қолданушының кілті көшіріледі. 

Кітапты оқуға арналған құрылғы оны басып шығаруға тыйым салу немесе белгіленген уақыттан 

кейін қарауды бұлғақтау сияқты DRM- шектеу қалыптастыруы мүмкін. 

2.  Fair Play 

Apple  құрылғыларында  әр  түрлі  типті  файлдарды  қорғауға  арналған  DRM-  жүйесінің 

кешені.Кітаптарды қорғайтын DRM- жүйесі Adobe Content Server жүйесіне ұқсас. 

3.  Amazon Books дүкенінің DRM-жүйесі 

Amazon  компаниясы  өзі  DRM-  жүйесін,  дүкенін,  сонымен  қатар  БҚ  және  кітап  оқуға  арналған 

529 

құрылғыларды шығаратындықтан, бұл жүйе жайлы ашық ақпарат аз болып табылады. Жұмыс жасау 

барысы Adobe Content Server-дікі сияқты. 

  

Электронды кітаптарды қорғау жүйелердің опалдықтары 

Электронды  кітаптарды  қорғау  әдістердің  арасында  үшеуін  айтып  кетуге  болады.  Оның 

әрқайсысың өзінің опалдықтары бар: 

 

Әдіс 

Опалдықтар 

Онлайн-қарау 

Беттердің экрандық көшірмелерін алу мұмкіндігі. Бұндағы мәлімет бейне түрінде болады, 

яғни сапасы төмен. Егер кітапта көп суреттер болса ол да сапасын жоғалтуға қосымша жол 

береді. Қорғау үшін браузердің ішінде орналасқан плагинды жазу қажет. Сапаны жоғалту 

немесе жоғалтпауы қорғауды ұйымдастыруға және бұзуға байланысты болады. 

Кітапты немесе 

оның  бөлігін 

шифрлау 

Оқу бағдарламада құпия кілтті алып қалу және файлды толық дешифрлау мүмкіндігі. 

Электронды кітаптарды оқу орталардың құрастырушылардың тырысуларына қарамастан 

құпия кілтті ұрлап әкетуге болады. Нәтижеде  кітаптпарды шифрлау негізінде жұмыс 

жасайтын DRM-жүйелердің көбісі осылай бұзылған. Файлдарды ашатын және олардан 

шектеулерді алатын ақылы және тегін утилеттер өте көп. 

Кітап қосымша 

түрінде 

Қорғауды жеңу екі бағыт бойынша мүмкін: 

- Кітаптің қорғауын жеңу. Бұл бұзудың кұрделігі қорғау жүйесіне байланысты. 

- электронды кітапты қосымшаның ресурстарынан қайта құру. Бұл әдіс кітәптің мәтіні және 

оқу программасының біріктіруы әдетте осал болатына негізделген, себебі кітаптар-

қосымшалар сыртқы файлдарды оқу қосымщаларына негізделіп құрылады. Нәтижесінде 

кітаптің мәтіні қосымшадан оңай бөлінеді, онымен қаскүнем пайдалануы анық. 

Дегенмен, қосымша түріндегі кітаптардың қорғау потенциалы басқаларына қарағанда 

жоғары. 

  

Сонымен, казіргі  уақытта электронды кітаптарды қорғау құралдарының арасында шындығында 

өте  жақсылары  жоқ:  олар  бұзұға  қарсы  тұруға  жеткіліксіз  (онлайн-қарау,  шифрлау),  немесе    бір 

платформадан екіншіге ауыстырылмайтын (қосымша түріндегі кітап).  Соған байланысты электронды 

кітаптарды заңсыз көшіруден қорғау мәселесі ашық болып тұр. Өткен ғасырдың 90-шы жылдарынан 

бастап  бұл  мәселе  белсенді  зерттеленіп  жатыр.  Жетілдірінген  жүйелер  мен  құралдар  әлемдегі 

пираттық  өнімдердің  үлесін  бірталай  төмендетеді.  Сонымен  қатар  олар  тек  программалық 

қамтамалардығана  емес  цифрлық  өнімдердің  басқа  түрлерін  де  қорғауға  мүмкіндік  береді,  мысалы: 

ақылы теледидар арналары, электронды кітаптар, Интернет арқылы файл түрінде немесе диск арқылы 

таратылатын аудио- және бейнежазбалар. Осы саладағы зерттеулердың арасында келесі авторлардың 

жұмыстары  іргелі  болып  табылады:  С.  Беркович,  Б.  Чор,  А.  Фиат,  М.  Нао,  Т.  Тасса,  В.  Дзенг,  К. 

Куросава,  И.  Десмедт,  Д.  Бони,  М.  Франклин,  М:  Абдалла,  И.  Шавитт,  А.  Вул,  М.  Янг,  М.  Ким,  Н. 

Коган, Д. Хелви, Б. Пинкас, Г. Кабатянский және басқалары. 

Мұндай  жүйелер  қорғалатын  деректердiң  көшiрмелерiн  бiрегей  таңбалауға,  тұрақтылықта 

аппаратты негiздейдi және бұзуға бағдарламалық қамтама, бiрегей қолданушы кiлттерiмен деректердi 

крифтографиялық қорғаныста қолданады. Жүйе бұл түрлердiң әрқайсылары өз кемшiлiктерi болады: 

көшiрмелердi  бiрегей  таңбалау  цифрлы  өнiмдi  көбейтудiң  процесiн  қиындатады,  тұрақтылық 

аппаратты  және  бұзуға  бағдарламалық  өткiзулерi  әжептәуiр  биiк,  бiрегей  қолданушы  кiлттерiмен 

деректердi крифтографиялық қорғаныста әжептәуiр қымбат болып көрiнуге негiзделген жүйесі болып 

көрiнбейдi.  Қорғаныстың  танымал  жүйелерiн  көпшiлiк  iс  жүзiнде  крифтографиялық  қорғаныста 

негiздейдi.   Қорғаныстың  жаңа  жүйелерiн  әзiрлеудiң  шарттайтын  келесідей  болады.  Біріншіден, 

цифрлық құрылғылардың 

Бiрiншiден,  цифрлы  өнiмiн  қорғанысын  кең  пайдаланылатын  жүйелер  бұзылған  болып  шыға 

алады. Мысал ретінде DVD-дисктің CSS жүйесінің қорғасының бұзылуын келтіруге болады.  

Екiншiден уақытпен дайындалады және дерек оларды қорғанысы берiлетiн талап ететiн цифрлы 

өнiм  таралудың  жаңа  стандарттары  кең  қолдануларға  енгiзедi.  Мысал  ретінде    биiк  айқындықтағы 

HDTV теледидарын және жаңа Blu-ray лазерлiк дисктерiнiң стандарттарын келтіруге болады. 

Соңғы  жылдарда  жүйелердің  жеңілдетілген  түрлендірулері  белсенді  құрастырылып  және 

еңгізіліп  жатыр.  Олар  криптографиялық  қорғауға  негізделінген  және  арнайы  кең  шифрлау  сұлбасы 

деп аталады. 

Жоғарыда  көрсетілгендерге  карап,  тек  қана  бағдарламалық  қамтамаларды  (БҚ)  қорғау,  тіпті  ол 

530 

заңмен  қолдау  көрсетілген  болсада,  бағдарламалық  өнімдерді  қорғауға  жеткілікті  дәрежеде 

мүмкіндігі жоқ болып келеді. 

Сондықтан, БҚ қорғауға  кеңінен кешендетілген қатынас қажет. 

 

ӘДЕБИЕТТЕР 

1. 

С.А. Середа.  Оценка  эффективности  систем  защиты  программного  обеспечения. Материалы 

Международной конференции IPSIT'99, 1999. 

2. 

Середа С.А. Оценка эффективности систем защиты программного обеспечения. // КомпьюЛог. - 2000. №2. 

3. 

Расторгуев С.П. Программные методы защиты информации в компьютерах и сетях. - М., Яхтсмен, 1993 

4. 

Классика  Computer  Science  -  Шнайер  Б.  -  Секреты  и  ложь.  Безопасность  данных  в  цифровом  мире 

[2003, PDF, RUS] 

5. 

http://www.star-force.ru/press/articles/?news=2908 

6. 

http://dv.com.ua 

7. 

http://ru.wikipedia.org 

 

Аскарова Н.Т., Әбдраимқызы Г. 

Анализ эффективности средств защиты электронных изданий от копирования 

Резюме.  В  статье  рассмотрены  проблема  защиты  тиражируемой  цифровой  продукции  от 

несанкционированного  распространения,  даны  основные  понятия  электронной  книги,  форматов  электронных 

книг,  проведен  анализ  эффективности  средств  защиты  электронных  книг  от  копирования.  Результаты  такого 

анализа будут полезны для оценки рисков при производстве программных продуктов, а так же планировании и 

оценке уровня стойкости систем защиты ПО.  

Ключевые  слова:  Элекронная  книга,  анализ,  ключ,  генерирование  ключей,  система  защиты  DRM  - 

онлайн-сервис StarForce Content 

 

Askarova N.T., Abdraymkyzy G. 

Analysis of the effectiveness of the protection of electronic publications copy 

Summary.  The  article  deals  with  the  problem  of  protecting  replicated  digital  products  from  unauthorized 

distribution, given the basic concepts of e-books, e-book formats, the analysis of the effectiveness of remedies e-book 

copy. The results of this analysis will be useful for risk assessment in the production of software products, as well as 

planning and evaluation of the level of resistance of protection systems software. 

Key  words:    Electronical  book  analysis,  key,  key  generation,  protection  system  DRM  -  an  online  service 

StarForce Content 

 

 

УДК 004.056 

 

Аскатулы Р. студент, Аманжолова С.Т., Карсыбаев Е.М. 

 

Казахский национальный технический университет им. К.И. Сатпаева. 

г. Алматы, Республика Казахстан 

ernat_life@mail.ru 

 

РАЗРАБОТКА ЗАЩИЩЕННОГО ПРИЛОЖЕНИЯ ДЛЯ iOS 

 

Аннотация. Статья посвящена разработке защищенного приложения для iOS.За последние несколько лет 

смартфоны  не  только  вытеснили  простые  сотовые  телефоны  с  потребительского  рынка,  но  и  перебрались  на 

рынок в корпорациях. Стоит упомянуть, что большинство владельцев смартфонов использует их, не только для 

разговоров,  смс,  интернет  серфинга  и  игр,  но  и  для  оплаты  счетов,  мобильного  банкинга  и т. п.  А  если  их 

использовать  в  корпорациях,  то  необходимо  защищать  корпоративные  данные.  Фирма,  производящая 

смартфоны, должна защищать данные всех пользователей, пользующихся их техникой. В связи с этим многие 

компании озаботились оценкой безопасности мобильных устройств всех фирм. 

Ключевые слова: Интерфейс программирования приложения (API), динамический компоновщик. 

 

Подпись кода 

Подпись  кода —  это  средство  безопасности,  которое  действует  по  ходу  выполнения 

приложения.  Его  основной  задачей  является  предотвращение  запуска  нелегальных  программ  с 

помощью проверки электронной подписи приложения при каждом запуске. Стоит обратить внимание 

на  то,  что  приложение  сможет  запуститься  только  в  том  случае,  если  его  код  подписан  доверенной 

подписью,  которая  действительна  на  данный  момент.  Для  запуска  приложения  на  устройстве, 

требуется  его  подпись  доверенным  сертификатом,  который  в  свою  очередь  устанавливается 

531 

разработчиками  на  устройство,  используя  профиль  инициализации,  который  прежде  подписывает 

компания Apple. В профиле инициализации содержится встроенный сертификат разработчика — это 

набор  прав,  которой  он  имеет  право  предоставлять  приложениям.  Приложения,  доходящие  до 

финального  этапа  своей  разработки,  называются  законченными.  Их  код  должен  быть  подписан 

в Apple,  это  процесс  выполняется  во  время  загрузки  приложения  на AppStore.  С  помощью  этого 

процесса Apple может  выполнять  контроль  над  приложениями  и  управлять  интерфейсом 

программирования приложения API, а также функционалом, который используют разработчики. 

Средства борьбы с эксплойтами машинного языка 

Рандомизация  адресного  пространства  Address  Space  Layout  Randomization  ASLR — 

рандомизация  адресного  пространства.  Средство  безопасности,  позволяющее  усложнить  трудность 

эксплуатации  уязвимостей  с  помощью  внесения  случайностей  в  процесс  расположение  в  адресном 

пространстве  процесса  основных  структур,  таких  как:  образ  исполняемого  файла,  подгружаемые 

библиотеки,  и  стек.  Впервые  эта  технология  была  применена  в  версии iOS 4.3  beta.  В  следующих 

версиях  разработчики  продолжили  её  совершенствование.  Значительной  слабостью  в  реализации 

первой 

версии ASLR в iOS 4.3 

beta 

был 

недостаток 

переадресации 

в 

динамическом 

компоновщике Dynamiclinker (англ.).  В версии iOS 5.0  эта  уязвимость  была  устранена.  ASLR  можно 

применить  в  приложении  двумя  различными  способами:  полном  или  частичном.  В  первом 

варианте ASLR рандомизирует  всё  пространство  памяти  приложения  и  важные  структуры,  в 

следствие  этого iOS отправляет  бинарный  файл  по  случайному  адресу  при  любом  запуске.  Если 

использовать второй путь использования ASLR, то приложение будет отправлять главный бинарный 

файл  по  фиксированному  адресу. ASLR был  создан  для  срыва  эксплуатации  уязвимостей  из-за 

недостатка  у  атакующего  информации  о  место  положении  процесса  в  области  памяти,  а 

следовательно  и  о  адресах,  которые  являются  целью  атаки.  Существует  огромное  количество 

способов,  способных  ослабить  пользу  от ASLR.  Самый  часто  встречающийся —  это  раскрытие 

памяти.  Его  суть —  это  эксплуатация  некоторой  уязвимости  для  хищения  информации  о  разметке 

памяти,  а  также  о  её  приведение  в  устойчивое  положение  перед  использованием  основной 

уязвимости, что приводит к взлому кода. 

Неисполняемая память  

Для  того,  чтобы  бороться  дальше  с  уязвимостями  машинного  языка,  разработчики  компании 

Apple  решили  использовать  ASLR  вкупе  с  объявлением  политики  неисполняемой  памяти.  А  это  в 

свою  очередь  означает  следующее,  страницу  памяти  нельзя  отметить  доступной  для  выполнения  и 

записи  единовременно.  Говоря  иными  словами,  страница  памяти  имеет  в  любой  момент  времени 

только один статус, но статусы её могут меняться, то есть она могла быть помечена как выполняемая, 

потом стать доступной для записи, а чуть позже опять стать выполняемой. Данная технология сильно 

похожа на технологию DбtaExecъtionPrevйntion DEP — это средство по предотвращению выполнения 

данных.  Такая  функция  безопасности  реализована  в  ОС  для  персональных  компьютеров,  таких 

как: Linux,Windows, Mac  OS  X.  Несмотря  на  это,  польза  от  использования  неисполняемой  памяти 

сводится  к  минимуму,  при  использовании  системы  полезных  нагрузок,  которая  базируется  на 

возвратно 

ориентированном 

программировании. 

Трудность 

использования 

уязвимостей 

увеличивается  в  разы,  если  использовать  неисполняемую  память  с ASLR вместе  с  обязательной 

подписью кода. 

Защита от повреждений стека 

На  этапе  сборки  возможность  успешной  атаки iOS приложения  можно  свести  к  минимуму  при 

использовании  специальных  средств  защиты  от  дефекта  стека.  Так  называемые  стековые 

«канарейки» могут дать частичную защиту от переполнения буфера, с помощью записи случайного, 

но известного нам значения в начале частных переменных. Стековая «канарейка» проходит проверку 

при  возвращении  из  функции.  В  случае  переполнения,  «канарейка»  повреждается,  тогда  программа 

сразу выявляет переполнение и применяет необходимые средства защиты.  

Песочница уровня процессов 

Любое  стороннее  приложение  в iOS запускается  сначала  в  песочнице.  Песочница — 

изолированная  программная  среда,  изолирующая  приложения  от  ОС  и  других  программ  и 

приложений. Все приложения запускаются в операционной системе, используя имя «mobile», в то же 

время  им  всем  присвоена  единственная  директория  (каждому  своя)  файловой  системы.  Деление 

обеспечивается  расширением  ядра  «XNU  Sandbox».  Операции,  исполнение  оных  возможно,  могут 

управляться  при  помощи  профиля  ремня  безопасности.  Внешним  программам  присваивается 

профиль  «container»,  ограничивающий  доступность  домашней  файловой  директории  программ, 

532 

разрешая  только  читать  из  адресной  книги.  Программы  с  этим  профилем  имеют  лимитированный 

доступ к посылаемым соединениям по сети кроме сетевых сокетов «launchd».

[4]

 

Шифрование неподвижных данных 

Для  зашифровки  информации  в  файловой  системе  iOS  используется  симметричный  алгоритм 

блочного  шифрования AdvancedEncryptionStandard  AES,  использующий  ключ  файловой  системы, 

который  находится  во флеш-памяти.  Стоит  подметить,  что  файловая  система  зашифрована  только 

тогда,  когда  выключена.  Аппаратныйкриптоакселератор  сразу  же  начинает  расшифровку  системы 

при её запуске. В  iOS используется не только аппаратный криптоакселератор, но и некоторые части 

ключей  и  файлы  шифруются  с  использованием криптографического  интерфейса  программирования 

приложений DPAPI. Он в свою очередь пользуется ключом, который был получен из парольного кода 

нашего оборудования. Из-за этого, в те моменты, в течение которых наше оборудование подверглось 

блокировке, информация, которая была зашифрована при помощи DPAPI, не будет доступной до того 

момента,  пока  не  закешируется  в  память.  Внешние  программы,  которые  хотят  зашифровать  свою 

конфиденциальную информацию, должны прибегнуть к использованию DPAPI. 

Технология TouchID 

Touch  ID  —  датчик,  считывающий  отпечатки  пальцев,  встроенный в  кнопку  «home»  на  iPhone. 

Он становится первым рубежом безопасности, который приходится пройти, чтобы получить доступ к 

устройству.  Сканер  отпечатков  пальцев  также  служит  для  подтверждения  покупок  в  AppStore, 

iTunesStore  и  iBooksStore.  На  деле  это  крайне  удобная  функция,  так  как  пользователю  смартфона 

удается избежать занудной операции по вводу пароля к Apple ID (рисунок 1). 

С  момента  появления  технологии  распознавания  отпечатков  пальцев  на  iPhone  не  утихают 

споры  о  её актуальности. В  ответ тем, кто считает Touch ID  «бесполезной игрушкой» всегда можно 

противопоставить,  что  еще  никто  не  отказывался  от  дополнительного  источника  защиты  своих 

персональных данных и контента. 

 

 

 

Рисунок 1 – Технология TouchID 

 

iPhone  5S  стал  первопроходцем,  получившим  сканер  отпечатков  пальцев  Touch  ID.  Apple  уже 

давно раскрыла секрет работы устройства, но использование необычной защиты все равно вызывает 

массу вопросов, а порой и проблем. 

Запись данных об отпечатках пальцев. 

Для активации Touch ID необходимо внести информацию об отпечатках пальцев владельца. Для 

этого необходимо дать системе возможность считать данные с пальцев. 

жүктеу/скачать 20,3 Mb.

Достарыңызбен бөлісу: