Кібербезпека

🔐 Що таке кібербезпека?

Кібербезпека — це комплекс заходів, технологій і процесів, спрямованих на захист комп'ютерних систем, мереж, програм і даних від кібератак, несанкціонованого доступу, крадіжки або пошкодження. У сучасному світі, де критична інфраструктура, фінанси, охорона здоров'я та державні послуги залежать від цифрових технологій, кібербезпека стала стратегічним пріоритетом.

Основні цілі кібербезпеки формулюються як CIA Triad: Confidentiality (конфіденційність — доступ лише для авторизованих осіб), Integrity (цілісність — дані не змінені без дозволу) та Availability (доступність — системи працюють, коли потрібно). До цього додають Authentication (автентифікація), Non-repudiation (невідмовність) та Accountability (підзвітність).

🔒 Надійні сервіси VPN

VPN (Virtual Private Network) шифрує ваш інтернет-трафік і приховує реальну IP-адресу, захищаючи від стеження провайдерів, хакерів у публічних Wi-Fi та геоблокувань. Ось перевірені сервіси з суворою політикою no-logs, незалежними аудитами та сучасними протоколами.

🛡 Надійні сервіси антивірусного захисту

Сучасний антивірус — це не просто сканер файлів, а комплексна система захисту: поведінковий аналіз (EDR), захист від програм-шантажистів (ransomware), фішингу, експлойтів та контроль цілісності системи. Нижче — перевірені рішення для Windows, macOS, Linux, Android та iOS.

🔑 Шифрування даних

Шифрування — це процес перетворення відкритого тексту (plaintext) у незрозумілу форму (ciphertext) за допомогою криптографічного алгоритму та ключа. Навіть якщо зловмисник перехопить дані, без ключа він не зможе їх прочитати.

🔹 Симетричне шифрування

Для шифрування та розшифрування використовується один і той самий ключ. Перевага — швидкість. Недолік — необхідність безпечної передачі ключа.

• AES (Advanced Encryption Standard) — стандарт шифрування, затверджений NSA для державної таємниці. Розміри ключів: 128, 192, 256 біт. AES-256-GCM — найпоширеніший режим у TLS 1.3, VPN, дисковому шифруванні (BitLocker, VeraCrypt).
• ChaCha20 — потоковий шифр, розроблений Даніелем Бернштейном. Конкурент AES на мобільних пристроях без апаратної підтримки AES-NI. Використовується в TLS 1.3, WireGuard, Google QUIC.

🔹 Асиметричне шифрування

Використовує пару ключів: публічний (public key) для шифрування та приватний (private key) для розшифрування. Вирішує проблему передачі ключа, але працює повільніше за симетричне.

• RSA (Rivest–Shamir–Adleman) — класичний алгоритм, базується на факторизації великих простих чисел. Рекомендована довжина ключа — 2048 біт (мінімум) або 4096 біт. Використовується в TLS, SSH, PGP, цифрових підписах.
• ECC (Elliptic Curve Cryptography) — криптографія на еліптичних кривих. Забезпечує той самий рівень безпеки з набагато коротшими ключами (наприклад, Curve25519 з 256 біт еквівалентна RSA-3072). Швидша та ефективніша. Використовується в TLS 1.3, WireGuard, Signal, iMessage.

🔢 Хешування та цифрові підписи

Хеш-функція перетворює довільні вхідні дані на рядок фіксованої довжини (дайджест). Навіть мінімальна зміна вхідних даних дає кардинально інший хеш — це забезпечує контроль цілісності.

🔹 Алгоритми хешування

🔹 HMAC та PBKDF2

HMAC (Hash-based Message Authentication Code) — поєднує хеш-функцію з секретним ключем для перевірки автентичності та цілісності повідомлення. Використовується в JWT, API-підписах, TLS. PBKDF2 (Password-Based Key Derivation Function 2) — повільне хешування паролів із сіллю (salt) та великою кількістю ітерацій (100 000+), що ускладнює брутфорс.

🔹 Аргон2, bcrypt, scrypt

Сучасні алгоритми для хешування паролів, стійкі до атак на GPU/ASIC: Argon2 — переможець Password Hashing Competition (2015), налаштовуване споживання пам'яті. bcrypt — на основі Blowfish, адаптивний (можна збільшувати складність). scrypt — вимагає багато пам'яті, використовується в Litecoin.

📜 TLS, SSL та цифрові сертифікати

TLS (Transport Layer Security) — криптографічний протокол, що забезпечує захищене з'єднання між клієнтом і сервером в Інтернеті. Він шифрує дані, автентифікує сервер (а іноді й клієнта) і гарантує цілісність повідомлень.

🔹 Еволюція протоколів

• SSL 2.0/3.0 (1995) — застарілі, вразливі (POODLE, BEAST). Повністю вимкнені в сучасних браузерах.
• TLS 1.0/1.1 (1999/2006) — застарілі, підтримують слабкі шифронабори (RC4, MD5, SHA-1). Відключені основними браузерами з 2020 року.
• TLS 1.2 (2008) — досі широко використовується. Підтримує сучасні шифронабори (AES-GCM, ECDHE), але дозволяє застарілі варіанти.
• TLS 1.3 (2018) — найновіший стандарт. Рукостискання скорочено до 1-RTT (або 0-RTT для повторних), видалено застарілі алгоритми (MD5, SHA-1, RSA key exchange), Forward Secrecy за замовчуванням.

🔹 Цифрові сертифікати X.509

Сертифікат — це електронний документ, що зв'язує публічний ключ з ідентифікацією власника (домен, організація, особа). Видається центром сертифікації (CA) після перевірки.

• DV (Domain Validation) — перевіряється лише володіння доменом. Безкоштовно від Let's Encrypt. Підходить для блогів, сайтів.
• OV (Organization Validation) — перевіряється організація через держреєстри. Показується назва компанії в сертифікаті.
• EV (Extended Validation) — найсуворіша перевірка (юридична адреса, ліцензії). Раніше показувався зелений рядок у браузері, зараз — у деталях сертифіката.

Популярні CA: Let's Encrypt (безкоштовні DV, автоматичне поновлення через ACME), DigiCert, Sectigo (Comodo), GlobalSign, ZeroSSL. Для внутрішніх мереж використовують приватні CA (Active Directory Certificate Services, OpenSSL, Step-CA).

👤 Аутентифікація та авторизація

Аутентифікація — це процес підтвердження особи користувача (хто ти?). Авторизація — визначення прав доступу (що ти можеш робити?). Це два різні, але тісно пов'язані поняття.

🔹 Фактори аутентифікації

• Something you know — пароль, PIN, відповідь на секретне питання. Найслабший фактор (фішинг, брутфорс, повторне використання).
• Something you have — смартфон (OTP/SMS), апаратний ключ (YubiKey, Google Titan), смарт-карта, токен.
• Something you are — біометрія (відбиток пальця, обличчя, райдужка, голос). Незмінний фактор, тому компрометація особливо небезпечна.
• Somewhere you are — геолокація, IP-адреса. Використовується як додатковий фактор у адаптивній аутентифікації.

🔹 MFA та 2FA

2FA (Two-Factor Authentication) — використання двох факторів. MFA (Multi-Factor Authentication) — два або більше. MFA знижує ймовірність успішного злому на 99,9% за даними Microsoft.

• TOTP (Time-based One-Time Password) — код, що змінюється кожні 30 секунд на основі часу та секретного ключа. Програми: Google Authenticator, Microsoft Authenticator, Authy, Aegis.
• WebAuthn / FIDO2 — стандарт безпарольної аутентифікації через апаратні ключі або біометрію пристрою. Стійкий до фішингу (phishing-resistant).
• Push-сповіщення — підтвердження входу через push у додатку (Microsoft Authenticator, Duo). Зручно, але вразливе до fatigue-атак (спам запитів).

🔹 OAuth 2.0 та OpenID Connect

OAuth 2.0 — протокол делегування доступу. Дозволяє додатку отримати обмежений доступ до ресурсів користувача без передачі пароля. OpenID Connect (OIDC) — шар ідентифікації поверх OAuth 2.0. Використовується для "Увійти через Google/GitHub/Apple".

🔧 Архітектура Zero Trust

Zero Trust — це модель безпеки, заснована на принципі "ніколи не довіряй, завжди перевіряй" (never trust, always verify). Жоден користувач, пристрій або мережевий сегмент не отримує довіру за замовчуванням, незалежно від того, всередині чи ззовні периметра мережі.

🔹 Основні принципи

• Verify explicitly — кожен запит автентифікується та авторизується на основі всіх доступних даних (ідентичність, пристрій, стан здоров'я, поведінка, геолокація).
• Use least privilege access — надання мінімально необхідних прав (Just-In-Time та Just-Enough-Access). Облікові записи з обмеженими правами для адміністраторів (PAW — Privileged Access Workstations).
• Assume breach — проектування з припущенням, що злам уже відбувся. Сегментація мережі (micro-segmentation), шифрування всього трафіку, постійний моніторинг та аналітика.

🔹 Технології Zero Trust

• SDP (Software-Defined Perimeter) — приховання інфраструктури, доступ лише після перевірки.
• IAM (Identity and Access Management) — централізоване управління ідентичностями: Azure AD, Okta, Ping Identity, Keycloak.
• CASB (Cloud Access Security Broker) — контроль доступу до хмарних сервісів (Microsoft Defender for Cloud Apps, Netskope).
• SASE (Secure Access Service Edge) — об'єднання мережевих та безпекових функцій у хмарі (SD-WAN + SWG + CASB + ZTNA + FWaaS).

🗃 Основи захисту даних

Захист даних охоплює технічні, організаційні та юридичні заходи для запобігання втраті, крадіжці, пошкодженню або несанкціонованому доступу до інформації.

🔹 Резервне копіювання (Backup)

• Правило 3-2-1: 3 копії даних, на 2 різних носіях, 1 копія поза офісом (offsite/cloud).
• Immutable backups — резервні копії, які неможливо змінити або видалити навіть адміністратору (захист від ransomware).
• Рішення: Veeam, Acronis, Backblaze B2, BorgBackup, Restic, rsnapshot.

🔹 DLP (Data Loss Prevention)

Системи DLP запобігають витоку конфіденційних даних за межі організації. Контролюють USB-пристрої, email, хмарні сховища, друк. Приклади: Microsoft Purview DLP, Symantec DLP, Forcepoint, Digital Guardian.

🔹 Класифікація даних

• Public — відкриті дані, доступні всім.
• Internal — внутрішні дані компанії (політики, процедури).
• Confidential — конфіденційні дані (комерційна таємниця, персональні дані клієнтів).
• Restricted — обмежений доступ (фінансові звіти, медичні записи, державна таємниця).

🔹 Юридичні рамки

• GDPR (General Data Protection Regulation) — регламент ЄС щодо захисту персональних даних. Штрафи до 4% глобального обороту.
• CCPA/CPRA (Каліфорнія, США) — право на видалення даних, право знати, які дані збираються.
• HIPAA (США) — захист медичних даних.
• PCI DSS — стандарт безпеки платіжних карт. Обов'язковий для всіх, хто працює з картками Visa/Mastercard.

🎯 Підсумок

Кібербезпека — це не продукт, а процес. Жоден антивірус або VPN не захистить від необережного користувача. Комплексний підхід включає: надійні VPN-сервіси з аудитами, сучасні антивіруси з EDR, шифрування даних у стані спокою та в русі (AES-256, TLS 1.3), сильну аутентифікацію (MFA, FIDO2), архітектуру Zero Trust та регулярне резервне копіювання.

Ключові тренди на найближче десятиліття: квантово-стійка криптографія (PQC — Post-Quantum Cryptography), розширення безпарольної аутентифікації (Passkeys), AI-driven системи виявлення загроз (XDR), автоматизація реагування на інциденти (SOAR) та посилення регуляторних вимог по всьому світу.