Руслан Рахметов, Security Vision
Зачастую перед специалистами по информационной безопасности стоят задачи сокрытия передаваемой информации, защиты интеллектуальной собственности, предотвращения несанкционированного вмешательства в работу информационных систем. Несмотря на то, что в большинстве случаев используются методы криптографической защиты информации, в некоторых ситуациях специалистам приходится применять техники обфускации (запутывания), которые используются также и атакующими. В первой части данной статьи обсудим, что такое обфускация, какие бывают методы обфускации и в каких сферах применяется данная техника, а о применении обфускации в программном и аппаратном обеспечении расскажем в следующей части.
В общем случае, обфускация – это запутывание, целенаправленное внесение неясности (от англ. obfuscate – сбивать с толку, от лат. obfuscare – затемнять, скрывать). Далее опишем виды техник обфускации, которые используются в различных сферах.
1. Коммуникативная обфускация: намеренное внесение искажений в язык общения с целью сокрытия смысла – это приём коммуникативной (лингвистической) обфускации. Примером обфускации могут быть различные «тайные языки» или «арго» – по сути, сленг, использующийся для сокрытия смысла сказанного от посторонних лиц или для затруднения проведения лингвистического анализа сказанного (в том числе с использованием технологии ASR – Automatic Speech Recognition, автоматическое распознавание речи). Кроме того, для обфускации языка можно использовать иностранную лексику или малораспространенные диалекты: например, в дореволюционной России представители высших сословий общались между собой по–французски в том числе для исключения понимания сказанного прислугой, а во времена Великой Отечественной войны связисты из числа малых народов СССР могли использовать свои родные языки между собой для сокрытия смысла сказанного от прослушивающих разговор противников. Кроме того, определенные социальные группы также используют методы коммуникативной обфускации – прежде всего, представители некоторых профессий (ИТ/ИБ–специалисты, специалисты по PR и продажам, политики).
2. Обфускация ML–моделей и нейросетей: сокрытие внутренней структуры и обучающих данных позволяет противостоять краже моделей (Model stealing) и извлечению данных (Data extraction). Обфускация достигается за счет инкапсуляции параметров, обфускации нейросетевой структуры, добавления защитного слоя в нейросеть.
3. Обфускация данных: маскировка (обфускация) данных используется для некриптографической защиты конфиденциальной информации, включая персональные данные. Обфускация данных может быть реализована с помощью следующих методов:
· Рандомизация: чувствительные данные заменяются на случайные данные;
· Замена: чувствительные данные заменяются на бессмысленные или намеренно искаженные данные, созданные по определенному алгоритму. Например, могут применяться методы кодирования base64, UUE, MIME, могут использоваться методы спуфинга, включая применение различных спецсимволов и омоглифов;
· Перемешивание: например, почтовые индексы клиентов меняются местами друг с другом по определенному алгоритму;
· Внесение шума / метод случайной пертурбации: например, к идентификаторам пользователей добавляется несколько случайных символов;
· Маскирование: некоторые чувствительные данные скрываются по определенному алгоритму – например, часть номера банковской карты скрывается символами «*». При таком маскировании нужно учитывать, что номер банковской карты (PAN, Primary Account Number) в соответствии со стандартом ISO/IEC 7812–1:2017 может быть длиной от 10 до 19 цифр (чаще всего встречается PAN длиной 16 цифр – например, в картах МИР, Visa, Mastercard) и состоит из идентификатора банка (BIN, Bank Identification Number, первые 6–8 цифр номера карты), уникального цифрового идентификатора клиента банка (вплоть до 12 цифр) и конечной проверочной цифры, рассчитанной по алгоритму Луна (предназначен для вычисления контрольной цифры номера карты для защиты от случайной ошибки при вводе номера карты). В связи с этим бессмысленно скрывать первые 6–8 цифр BIN–идентификатора, поскольку их список конечен, а сопоставление BIN с банками общеизвестно. Метод замены данных банковских карт называется PAN truncation («усечение PAN») и определён в стандарте PCI DSS: полный номер банковской карты скрывается, на практике видимыми оставляют только последние 4 цифры – поэтому, например, при печати чеков или отображении истории транзакций посторонние не смогут увидеть полный номер карты;
· Токенизация: замена конфиденциальных данных на токен – идентификатор, состоящий из последовательности символов, полученный с помощью одностороннего преобразования (по аналогии с функцией хеширования). При этом сопоставление исходных данных с токеном осуществляется в системе токенизации, которая обеспечивается проверку валидности предъявляемого токена. Примером токенизации являются мобильные платежные сервисы Apple Pay, Google Pay, Mir Pay (МИР Пэй), в которых реальные PAN-номера банковских карт (называются также FPAN, Funding Primary Account Number) заменяются на токенизированные идентификаторы DPAN (Device Primary Account Number), хранящиеся в соответствующем платежном приложении на смартфоне. При оплате NFC-чип смартфона передаёт POS–терминалу именно этот виртуальный DPAN-номер, а банк–получатель продавца запрашивает проверку валидности DPAN-номера в системе токенизации – т.е. у провайдера сервиса токенов (TSP, Token Service Provider), который выполняет сопоставление между полученным DPAN-токеном и реальным FPAN-номером банковской карты. В случае системы «МИР Пэй» таким провайдером выступает АО «НСПК» (Национальная система платежных карт).
Обфускация данных может быть статической и динамической: статическое маскирование (SDM, Static Data Masking) означает применение выбранного метода и алгоритма маскирования перед сохранением или передачей требующих обфускации данных, а динамическое маскирование (DDM, Dynamic Data Masking) обфусцирует конфиденциальные данные непосредственно в момент доступа к ним пользователей (при этом учитываются правила разграничения и модель управления доступом). Разновидностью динамического маскирования будет маскирование данных на лету (On-the-fly data masking), которое применяется при переносе защищаемых данных из одной системы в другую – например, когда конфиденциальные данные маскируются непосредственно в момент их перемещения из продакшн-сегмента в тестовый контур, где работа ведётся уже с маскированными данными.
4. Обфускация персональных данных: применение методов обезличивания, анонимизации, псевдонимизации, дифференциальной приватности.
4.1. Обезличивание персональных данных (сокр. ПДн) определено в Федеральном законе от 27.07.2006 №152–ФЗ «О персональных данных» (ст. 3, п. 9) как действие, в результате которого становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн. В соответствии с законодательством РФ обезличивание ПДн выполняется с учётом требований Постановления Правительства РФ от 01.08.2025 №1154 «Об утверждении требований к обезличиванию персональных данных, методов обезличивания персональных данных и Правил обезличивания персональных данных» и Приказа Роскомнадзора от 19.06.2025 №140 «Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных...» (данный Приказ заменил предыдущий Приказ Роскомнадзора от 05.09.2013 №996). В данных документах перечислены следующие методы обезличивания персональных данных:
· Введение идентификаторов: замена части сведений (значений ПДн) идентификаторами с созданием таблицы (справочника) соответствия идентификаторов исходным ПДн;
· Изменение состава или семантики: изменение состава или семантики ПДн, в т.ч. путем замены результатами статистической обработки или за счёт удаления, искажения, изменения атрибутов ПДн;
· Декомпозиция: разбиение массива ПДн на несколько частей с последующим раздельным их хранением;
· Перемешивание: перестановка отдельных записей, а также групп записей в массиве ПДн;
· Преобразование: агрегация и преобразование массива обезличиваемых ПДн путём обобщения (агрегации) атрибутов ПДн, в т.ч. с сохранением исходного распределения каждого значения атрибутов ПДн.
4.2. Псевдонимизация ПДн определяется в международном стандарте ISO/IEC 20889:2018 («Терминология и классификация методов деидентификации данных, повышающих уровень конфиденциальности») как метод деидентификации, при котором идентификатор субъекта ПДн заменяется псевдонимом с целью скрыть личность этого субъекта ПДн. В европейском «Общем регламенте о защите данных» (General Data Protection Regulation, GDPR) (ст.4 п.5) сказано, что псевдонимизация означает обработку ПДн таким образом, что ПДн больше не могут быть отнесены к конкретному субъекту ПДн без использования дополнительной информации, при условии, что такая дополнительная информация хранится отдельно и подлежит техническим и организационным мерам, обеспечивающим невозможность соотнесения ПДн с субъектом ПДн. По своей сути, техника псевдонимизация соответствует методу обезличивания – псевдонимизированные и обезличенные ПДн можно преобразовать в исходные ПДн с помощью дополнительной информации (ключевой таблицы, справочника).
4.3. Анонимизация ПДн определяется в международном стандарте ISO/IEC 29100:2024 («Фреймворк обеспечения приватности») как процесс, необратимо изменяющий ПДн таким образом, что субъект ПДн больше не может быть идентифицирован прямо или косвенно ни одним из операторов ПДн даже при использовании обогащающих данных от третьих лиц. Анонимизированные данные не атрибутируются ни с одним субъектом ПДн, по ним невозможно восстановить реальные ПДн и связать их с субъектами, их можно использовать без ограничений, однако полноценную анонимизацию не следует путать с обезличиванием и псевдонимизацией.
4.4. Дифференциальная приватность определяется в международном стандарте ISO/IEC 20889:2018 («Терминология и классификация методов деидентификации данных, повышающих уровень конфиденциальности») как формальная модель обеспечения приватности, обеспечивающая неизменность результатов обработки ПДн при добавлении или удалении любой отдельной записи. Таким образом, дифференциальная приватность гарантирует, что можно получить точную агрегированную статистическую информацию из набора данных (датасета) о группе лиц, при этом не разглашая данные конкретного лица. Такой эффект достигается за счет добавления шума (случайных данных) в статистические вычисления с учётом т.н. «бюджета приватности» – максимально допустимого объема информации, который можно раскрыть о группе лиц из датасета, не нарушая при этом анонимность отдельных лиц.
5. Обфускация данных для защиты авторских прав.
Для защиты авторских прав, выявления лицензионных нарушений, контроля использования интеллектуальной собственности на различные объекты (файлы, изображения, видеозаписи) могут наноситься цифровые водяные знаки. Применение цифровых водяных знаков на основе обфускации (Obfuscation-Based Watermarking) позволяет сделать их невидимыми для пользователей и атакующих, стойкими к различным методам их нарушения/удаления, а также однозначно свидетельствующими об авторстве или принадлежности определенного объекта конкретному лицу или организации. Кроме того, нарушение/удаление цифрового водяного знака должно приводить к нарушению функциональности и/или целостности защищаемого объекта (например, медиафайл не сможет быть воспроизведен), а также к уведомлению пользователя и/или автора (владельца объекта) о несанкционированном вмешательстве. Зачастую методы нанесения цифровых водяных знаков на основе обфускации используются совместно с методами стеганографии и применяются в технических средствах защиты авторских прав (DRM-системах, Digital Rights Management). Кроме того, обфускация может применяться и при печати в технологии нанесения на принтерные распечатки т.н. «жёлтых точек» (Printer Tracking Dots или Machine Identification Code, MIC), которые содержат информацию о серийном номере принтера, время и дату печати, что позволяет установить источник распечатки, особенно в случае утечки данных на бумажных носителях. Похожие цифровые водяные знаки устанавливают и некоторые DLP-системы: выводимое на монитор изображение содержит невидимые глазу микроискажения, по которым можно установить устройство в случае утечки данных с помощью фотографирования экрана компьютера – подобной уловкой часто пользуются неблагонадежные сотрудники для передачи конфиденциальной информации вовне.
.jpg)
