Разработка, применение и корректировка сервисов обучения информационной безопасности студентов гуманитарных и социально-экономических специальностей

Рисунок 8.1 Уровни абстракции и связи для разработанных СО ИБ, информатике, математике для СГСЭС

Как уже отмечалось, для применимости ТОС к разработке, применению и корректировке СО достаточно располагать связанные между собой СО на разных уровнях абстракции. Рисунок 8.1 наглядно показывает нам такую схему для разработанных нами СО ИБ, информатике, математике для СГСЭС. Стрелки на рисунке означают порождение одного сервиса другим в процессе применения. Нам важен именно такой тип связи между более абстрактными СО и менее абстрактными. Этот рисунок, естественно, требует более подробных пояснений, которые даны ниже в тексте данного раздела. Начнем строить уровень абстракции 1 (самый высший) для СО ИБ СГСЭС. При этом придется учесть, что обучение СГСЭС ИБ тесно связано с их обучением информатике и математике. В цикле математических и естественно-научных дисциплин ГОС ВПО 2000г. для гуманитариев обычно предусматривает обязательное обучение математике, информатике и ИБ в виде единой дисциплины " Математика и информатика".

Выше (стр. 106) вводились следующие группы проблем обучения ИБ СГСЭС: группа 1 - проблемы обучения информатике, свойственные и ИБ, как ее части; группа 2 - специфические проблемы обучения ИБ. Введем также группу 0 - общие проблемы обучения ИБ, информатике и математике, учитывая тесную взаимосвязь этих ОЗ. Но кроме проблем существуют также задачи обычной педагогической деятельности и их тоже нужно решать. Введем группу 3 - задачи обычной педагогической деятельности, связанные с обучением ИБ, информатике, математике СГСЭС.

На уровне абстракции 1 разместим следующие СО ИБ СГСЭС: S₀, S₁, S₂, S₃, где S_k - абстрактный СО, предназначенный для решения проблем и задач группы k. Наши абстрактные СО чем-то похожи на абстрактные классы в объектно-ориентированном программировании: у них нет конкретного описания методов (механизмов). Абстрактные классы нужны, чтобы " цементировать" всю систему классов, а не чтобы конкретно использовать их методы.

Описание S_k (k=0...3) таково: задача P - разрешение проблем и задач группы k; множество M включает: 1) механизмы выявления и структурирования при необходимости проблем и задач группы k; 2) механизмы разработки, применения и корректировки СО (в т.ч. абстрактных), предназначенных для разрешения проблем и задач группы k.

Сервисы S_k (k=0...3) практически вечны, пока будут существовать какие-то проблемы и задачи внутри этих групп, до тех пор будут существовать и эти сервисы. Абстрактный характер этих сервисов дает нам возможность формально объявить приведенный выше теоретический материал нашей работы продуктом применения этих сервисов. Сервисы уровня 1 обладают самой высокой степенью объективности. Более низкие уровни абстракции получаются вследствие принятия нами некоторых конкретных решений, а они, строго говоря, субъективны. Повышение уровня конкретности невозможно без повышения уровня субъективности.

Взаимосвязанные проблемы и задачи обучения ИБ, информатике, математике СГСЭС, выявленные в настоящей работе дают нам уровень 2 (менее абстрактный и более субъективный) для размещения СО. Существование СО на уровне 2 уже менее устойчиво, оно зависит от наших субъективных оценок. Было выявлено 4 источника общих проблем обучения информатике и ИБ: Источник 1 состоит в неоправданно большой доле лабораторных и практических занятий в ущерб лекционным. Источник 2 состоит в исключительно высокой скорости, исключительной динамичности современного научно-технического прогресса, процессов информатизации общества, в быстрой смене приоритетов. Источник 3 состоит в недостаточном учете психологических особенностей студентов при проведении занятий. Источник 4 состоит в том, что во многих вузах практически не внедряются методические новации, предлагаемые для обучения информатике.

В результате на уровне 2 мы имеем следующие СО: S_Ист1, S_Ист2, S_Ист3, S_Ист4. Сервис S_Ист1 относится и к математике для гуманитариев, изучающих единый курс " Информатика и математика", следовательно, его можно формально рассматривать как продукт S₀. Сервис S_Ист3 также относится и к математике и является продуктом S₀. Сервисы S_Ист2, S_Ист4 - продукты S₁.

Была выявлена специфическая проблема о беспечения ИБ вуза (ОИБ) при обучении ИБ, отсюда СО: S_ОИБ. Сервис S_ОИБ - продукт S₂.

Обычная педагогическая деятельность в частности включает изучение преподавателем ГОС ВПО, р азработку рабочих п рограмм и тематических п ланов (РПП) учебных курсов, отсюда СО: S_РПП. Сервис S_РПП - продукт S₃.

Практика работы нашего научного руководителя, зав. кафедрой прикладной математики РГПУ им.А.И.Герцена, проф. Г.Г.Хамова и его коллег по внедрению тестирования в обучение студентов математике в связи с присоединением России к Болонскому процессу заставила нас задуматься о решении связанных с этим проблем путем применения ИБ (точнее - методов криптографии) в тестировании. Отсюда сервис т естирования с п рименением ИБ - S_ТПИБ. Практически применялись в учебном процессе СКРО математике, созданные на базе этого сервиса. Отсюда некоторый вклад наших исследований в информатизацию обучения математике. Аналогично можно создать СКРО информатике и ИБ. Но это планы на будущее, поскольку в вузах, где нам доводилось преподавать, контроль результатов обучения методом тестирования пока не применяется. Сервис S_ТПИБ - продукт S₀, поскольку при его разработке речь идет не об обычной педагогической деятельности, а именно о решении проблем, которые неизбежно несет внедрение методов тестирования в систему контроля результатов обучения.

Сервисы на уровне абстракции 2 мы принципиально считаем абстрактными, их цель - просто указать на проблемы и задачи. Более того, мы уверены, что указали не все проблемы и задачи, в особенности, если говорить о будущем. Поэтому список выявленных нами сервисов 2 уровня абстракции (S_Ист1, S_Ист2, S_Ист3, S_Ист4, S_ОИБ, S_РПП, S_ТПИБ) может и должен постоянно корректироваться. Описание этих сервисов аналогично описанию сервисов уровня 1. На уровне 2 мы тоже не хотим ничего конкретного говорить о механизмах решения указанных проблем и задач. В предложенных нами механизмах мы видим нашу субъективность, а мы хотим ограничить субъективность уровня 2.

Только на уровне абстракции 3 мы начинаем более конкретно говорить о механизмах. Например, продуктом сервиса S_Ист1 в частности является сервис комбинированного занятия в компьютерном классе (СКЗКК).

Мы уверены, что в будущем все студенты и преподаватели будут иметь ноутбуки (они значительно меньше вредят здоровью), в обычных вузовских аудиториях студентами и преподавателями будут использоваться беспроводные коммуникационные сети, следовательно, компьютерные классы станут не нужными вместе с указанным выше сервисом. Пирамида уровней сервисов нужна именно для обеспечения устойчивости самой системы сервисов в условиях динамичных изменений самих сервисов. Это одно из преимуществ систем, построенных в соответствии с ТОС.

Продуктом сервиса S_Ист2 в частности является сервис максимального использования НИТ (СМИНИТ), построенных на принципах ТОС, для обеспечения оперативности разработки, применения, корректировки СО. Задача P и механизм R ее реализации для этого сервиса фактически уже описаны в его названии.

Продуктом сервиса S_Ист3 в частности является сервис двух каналов коммуникации (СДКК) при обучении, активизирующий работу левого и правого полушарий мозга, понятийное и образное мышление студента.

Возможно, кто-то предложит другие сервисы учета психологических особенностей СГСЭС на занятиях по ИБ, основанные на других психологических теориях, возможно, наш сервис будет заменен более удачным, но останется сервис S_Ист3 (поскольку останется проблема) и останется предложенная нами многоуровневая система сервисов.

Продуктом сервиса S_Ист4 в частности является сервис регулирования ресурсов и структурирования (СРРС) разрабатываемого СО. Он рекомендует разрабатывать небольшие сервисы, которые легко будет реализовать. А большие сервисы он рекомендует структурировать и представлять в виде совокупности небольших сервисов. Тогда их можно будет внедрять частично и постепенно.

Продуктом сервиса S_ОИБ в частности является сервис параллельной компьютерной сети (СПКС). При изучении некоторых тем, связанных, например, с сетевой ИБ, на время занятия создается параллельная компьютерная сеть, не связанная с основной компьютерной сетью вуза. Для этого, например, от основной компьютерной сети вуза отключаются 2 ПК, на что преподавателю необходимо иметь разрешение системного администратора, между которыми организуется параллельная сеть, где " все можно". Если такого разрешения нет, то преподаватель может, например, организовать сеть между 2 ноутбуками. Ноутбуки, например, приносят преподаватель и один из студентов.

Этот сервис тоже, мы надеемся, будет иметь ограниченный срок жизни. Предпочтительнее скорректировать политику ИБ вуза. Для системных администраторов и контролеров ИБ желательно, чтобы было запрещено все, и лучше, чтобы компьютеры вообще не включали. Об этом пишут теоретики ИБ, они пишут о необходимости соблюдения баланса интересов. Если ИБ преподается, то этот процесс должен обеспечиваться техническими службами вуза.

Продуктом сервиса S_РПП в частности является сервис разработки планов и программ методом обзора (СРППМО) научных дисциплин, относящихся к его тематике. Это весьма эффективно, если разрабатываются тематические планы и содержание обзорных курсов, например, обязательного курса " Информационная безопасность" для ССГ2, спецкурса " ИБ в современном мире" для СГСЭС. При этом, на наш взгляд, во-первых, нужно обязательно коснуться каждой научной дисциплины в составе ИБ, во-вторых, пропорции учебного времени по каждой из них постараться привести в соответствие с потребностями обучаемых студентов. Если курсы обзорными не являются (например, различные курсы по ИБ для ССГ1 - будущих специалистов в области ИБ), то этот сервис в настоящем виде к ним скорее всего не применим. Применение этого сервиса мы уже демонстрировали в главе 1 при анализе материалов ГОС ВПО 2000г. и выработке рекомендаций по их совершенствованию. Этот спецкурс может быть прочитан также для других ССГ3 и ССГ2, где обязательного изучения ИБ ГОС ВПО не предусматривает.

Продуктом сервиса S_ТПИБ в частности является сервис автоматического создания вариантов тестов (САСВТ). Нами разработан VBA-макрос MS Word (подробнее в приложении 8), который из одного варианта некоторого теста, используя датчик случайных чисел, автоматически генерирует заданное преподавателем количество различных вариантов этого теста. В качестве результатов получаются DOC-файлы (в формате MS Word) вариантов теста и DOC-файлы с правильными ответами для этих вариантов, которые преподаватель затем может использовать как трафареты для быстрой проверки результатов тестирования.

А при чем здесь идеи ИБ вообще и криптографии в частности? Основными методами символьной криптографии с древности являются: вставка пустышек; перестановка; замена. Вот примеры шифров. Тарабарщина - шифр вставки. Сообщение: " я хочу идти в кино" становится таким: " я та хо ра чу ба ид ра ти та в ра ки ба но". Вставленные между слогами пустышки выделены жирным шрифтом. Переворот - шифр перестановки. То же сообщение становится таким: " ониквитдиучохя". При любом методе шифрования полагалось из исходного текста сначала удалять все символы, кроме букв, и прописные буквы заменять строчными. Один из шифров Ф.Бэкона предполагал замену каждой буквы на две цифры, образующие ее номер в алфавите. Это шифр замены. Слово " cab" становилось таким " 030102".

Как это называет Д.Пойа, мы " увидели аналогию" между криптографией и разработкой тестов. При разработке тестов преследуется та же цель - " обмануть" не обладающего требуемыми знаниями студента, не дать ему " угадать" правильный ответ на вопрос. При этом используется принцип вставки пустышек, например:

001) Чему равно x²-y²?

A) (x-1)(y-1)

B) (x-y)(x+y)

C) (x+y-1)(x-y+1)

002) Чему равно (x-y)²?

A) x²+xy+y²

B) x²-xy+y²

C) x²-2xy+y²

Вопрос 001 имеет правильный ответ B и пустышки A, C.

Вопрос 002 имеет правильный ответ C и пустышки A, B.

Но верные ответы не знающий студент может без труда списать у знающего соседа. Поэтому при тестировании нужно каждому студенту дать свой вариант теста. Пусть, например, в учебной группе 30 студентов, а в тесте должно быть 50 вопросов. Преподаватель не может составить 30 истинно различных вариантов теста. Что делает преподаватель? Он разрабатывает один вариант теста и затем делает в нем циклическую перестановку вопросов: 001®002, 002®003,..., 050®001 и получает еще один вариант. Затем он повторяет эту операцию еще раз и получает еще один вариант. Обычно все и ограничивается тремя вариантами. Если будет более сложная перестановка вопросов (не циклическая), если будет более трех вариантов, то преподаватель запутается при проверке с верными ответами. А после 2-3 кратного применения этого теста в разных группах студенты все это разгадывают.

Выводы: 1) Фактически мы видим применение криптографического принципа перестановки. 2) Если бы все это автоматически делал компьютер, то можно было бы применять не только циклические, а вообще любые случайные перестановки вопросов. 3) Можно было бы аналогично применять случайные перестановки для ответов внутри каждого вопроса. 4) При генерации 30 вариантов теста вероятность получения одинаковых вариантов мала, следовательно, мы смогли бы каждого студента группы обеспечить своим вариантом. 5) Необходимо автоматически создавать по каждому варианту теста трафареты с верными ответами для преподавателя. 6) Можно также применить к разработке тестов и криптографический принцип замены.

Для реализации вывода 6 нужно автоматически внутри каждого из вопросов осуществить одну или несколько контекстных замен. Например, после контекстных замен: " x" ®" a" и " y" ®" b" внутри вопроса 001; " x" ®" p" и " y" ®" q" внутри вопроса 002 мы получим следующую картину:

001) Чему равно a²-b²?

A) (a-1)(b-1)

B) (a-b)(a+b)

C) (a+b-1)(a-b+1)

002) Чему равно (p-q)²?

A) p²+pq+q²

B) p²-pq+q²

C) p²-2pq+q²

Изначально мы после соответствующей реализации этого алгоритма с помощью системы программирования MS Visual Basic 6.0 хотели провести интерактивное компьютерное тестирование студентов. Проверять студентов должен был компьютер. Компьютерные файлы с верными ответами были зашифрованы, чтобы сообразительный студент не смог открыть соответствующий текстовый файл и посмотреть их.

После неудачной попытки применения этой программы к реальному тестированию теоретических знаний студентов по математике мы поняли, что были не правы принципиально. Деканат планирует тестирование теоретических знаний по изучаемым дисциплинам сразу для всего потока (около 120 студентов). Нецелесообразно ради внедрения нашей компьютерной программы эту систему менять или создавать большой компьютерный класс, где каждый студент тестировался бы за отдельным ПК. Невозможно корректировать загрузку нескольких компьютерных классов с 10-15 ПК в каждом. Они и без нас перегружены.

Нужны варианты тестов и трафареты ответов, распечатанные на бумаге. Имея такие трафареты, преподаватель тратит на проверку 120 тестов 40-50 минут. Теперь указанный выше алгоритм реализован в виде VBA-макроса MS Word.

Когда все студенты и преподаватели будут иметь ноутбуки, а в учебном процессе будут широко использоваться беспроводные сети, тогда информатизация обучения математике станет неизбежной, тогда указанный выше сервис в его нынешнем виде скорее всего потеряет актуальность. Сейчас много пишут о проблемах ИБ при использовании в офисе сотрудниками беспроводных сетей, устройств флеш-памяти, ноутбуков. А тестирование знаний в таких условиях принесет еще более серьезные проблемы ИБ, связанные со студенческим хакерством, например. Поэтому сервис S_ТПИБ в будущем станет еще более актуальным, чем в настоящее время.

Подробнее хотелось бы также рассказать об упомянутом выше сервисе комбинированного занятия в компьютерном классе (СКЗКК). Задача P очевидна - обеспечить проведение комбинированного занятия в компьютерном классе. Мы предлагаем следующий механизм R для ее реализации: оперативные поиск, создание (при необходимости), корректировка, использование на занятии компьютерных файлов стандартных форматов, содержащих информацию, необходимую для обучения ИБ СГСЭС.

Такая совокупность файлов похожа на электронный учебник. Но создание качественного электронного учебника требует больших трудозатрат и времени, а поэтому не может нас удовлетворить с точки зрения необходимой оперативности разработки, применения и корректировки. Высокая оперативность - главное преимущество этого СО перед электронным учебником.

Помимо ведения конспектов (что в условиях компьютерного класса трудно) студенты могут копировать эти материалы на свои носители - устройства флеш-памяти, например. Поскольку у дискет мала емкость. Мы периодически давали старостам групп СD-диски с материалами наших курсов, чтобы каждый желающий студент мог их для себя копировать.

Откуда брать компьютерные файлы с обучающей информацией? Официально продаются CD-диски с книгами по ИБ в PDF-формате, выпускаемые теми же самыми издательствами, что и обычные (бумажные) книги. Такой CD-диск стоит обычно 100-150 рублей и содержит 4-5 книг, каждая из которых стоила бы 250-400 рублей в бумажном виде. Для просмотра PDF-файлов используется программа Adobe Acrobat Reader -официально бесплатная. Материалы в PDF и HTML-формате можно также брать в сети Internet [21, 42, 43, 97, 166-173].

Можно сканировать отдельные главы обычных книг. После этого можно даже не тратить сил и времени на распознавание текста, особенно если там много формул, графиков, рисунков и т.п. Без распознавания удобно получать, например, в среде MS PhotoShop 7.0 сжатые со средней степенью файлы страниц в графическом JPEG-формате. В этом случае результат сканирования - это папка с JPEG-файлами страниц. Для просмотра студентами графических JPEG-файлов страниц можно использовать программу просмотра фотографий ACDSee, но нам кажется, что удобнее аналогичная программа Irfan View, тем более, что она FreeWare - официально бесплатная. После распознавания мы получаем DOC или HTML-формат. Заметим, что, по нашему опыту, материалы в JPEG-формате занимают обычно лишь на 30-40% больший объем, что не критично при использовании CD-дисков и устройств флеш-памяти.

В случае крайней необходимости преподаватель в среде MS Word может создавать файлы с авторской обучающей информацией. При этом сам преподаватель обычно ничего нового для себя не узнает. Для него это и есть нетворческая рутинная работа. И не все преподаватели имеют способности писателя. Наш опыт показывает, что в этом случае при работе в среде MS Word целесообразнее сохранять разработанные материалы в HTML-формате. Такие материалы будут по умолчанию просматриваться СГСЭС в среде MS Internet Explorer. При этом студенты не будут портить эти материалы в результате непредумышленных ошибок, поскольку возможностей редактирования HTML-файлов в процессе просмотра в этой среде нет.

Нам доводилось вести занятия в ВАШ при Администрации Санкт-Петербурга (лаборатория ИТ, кафедра ИТ), в ЛГУ им.А.С.Пушкина (кафедра государственно-правовых дисциплин) и в СПб ГУП (кафедра информатики). В этих вузах с любого компьютера обеспечивался выход в Internet. Следовательно, студентов непосредственно на занятиях можно просить знакомиться с материалами по ИБ с Internet-сайтов, можно просить искать такие материалы, сравнивать альтернативные точки зрения и т.п. Как правило, студенту на таком занятии интересно. Работать по такой методике интересно и преподавателю. Подготовка к занятиям для него почти полностью сводится также к получению новых знаний. И студент, и преподаватель занимаются почти исключительно интересной творческой деятельностью.

Но есть при этом одна проблема, о которой пока нами ничего не сказано. Набор файлов, которые приносит преподаватель - это не структурированный учебный материал. Эффективность его использования на занятиях " as is" (как есть) проблематична. Для решения этой проблемы преподаватель может прямо на занятии давать рекомендации студентам устно. Но лучше заранее создать небольшой файл с конкретными рекомендациями и заданиями на данное занятие. Это не творческая, но нужная и не очень обременительная работа. Она экономит силы и студента, и преподавателя. Преподавателя не нужно обязывать " сверху" выполнять эту работу, он сам непосредственно в ней заинтересован. А вот в случае каких-то непредвиденных заранее невязок, нестыковок, нештатных ситуаций преподавателю ничего не остается, как давать рекомендации и задания студентам устно. Приведем пример такого файла заданий. В нашем спецкурсе " ИБ в современном мире" предусмотрены: Тема 1 " Общие вопросы ИБ" (2ч., лекция); Тема 2 " Организационно-правовое обеспечение ИБ" (4ч., лаб. работы 1-2); Тема 3 " Стандарты ИБ" (2ч., лаб. работа 3); Тема 4 " Обзор методов криптографии, стеганографии, криптоанализа" (8ч., лаб. работы 4-5 и 6-7). Вот содержание такого файла (оно выделено курсивом), посвященного нашей любимой лабораторной работе 6-7:

РАБОТА 6-7. АСИММЕТРИЧНАЯ КРИПТОГРАФИЯ

1. Открыть файл ibsm\ kript.htm и ознакомиться с его разделами 2 (Криптография с асимметричными ключами) и 3 (Электронная цифровая подпись). При наличии вопросов по учебному материалу задать их преподавателю.

2. Для получения зачета по работе необходимо:

2.1. Представить самостоятельно выполненный численный пример применения алгоритма RSA для каких-нибудь других данных, аналогичный приведенному.

2.2. Быть готовым в диалоге с преподавателем к ответу на вопросы по следующей тематике:

Шифр с асимметричным ключом. Открытый и секретный ключи, общая схема их применения. Преимущества и недостатки асимметричной и симметричной криптографии. Общая схема их совместного применения. Технология RSA и ее основные идеи: создание и применение открытого и секретного ключей. Другие технологии асимметричной криптографии. Необходимость использования электронной цифровой подписи. Понятие о криптографических хеш-функциях, алгоритмы их функционирования. Технология электронной цифровой подписи. Атака на асимметричную криптографию методом скрытого посредничества. Сертификация ключей и электронной цифровой подписи.

3. Заинтересовавшиеся практическим применением асимметричных криптосистем могут:

3.1. Посмотреть материалы об асимметричной криптографии на сайте www. criptography. ru, постараться найти аналогичные материалы на других сайтах.

3.2. Постараться найти в Internet соответствующие криптографические программы, доступные для свободного скачивания. Попробуйте дома скачать и поработать с ними.

4. Заинтересовавшиеся теорией асимметричных криптосистем могут:

4.1. Открыть файл ibsm\ intuit\ security\ networksec\ index.html и ознакомиться с содержанием: О.Р.Лапонина Криптографические основы безопасности. Лекция 7. Криптография с открытым ключом.

4.2. Открыть файл ibsm\ barichev.doc и ознакомиться с содержанием: Баричев С. Криптография без секретов. Стр. 19-31.

Пояснения: Папка ibsm предназначена для хранения материалов курса " ИБ в современном мире", она должна быть на каждом студенческом компьютере, но она может быть на разных компьютерах в разных папках и на разных дисках. Асимметричная криптография похожа на неэвклидову геометрию, известную теорему Геделя о неполноте формальной аксиоматической теории и т.п. научные идеи тем, что она при изучении несколько переворачивает основы мышления человека. Поэтому она нравится СГСЭС несмотря на большую долю математики (точнее - теории чисел) в ней.

Теперь о контроле результатов обучения в рамках этого сервиса. Преподаватель постоянно ведет таблицу, где каждому студенту ставит " +" за каждую выполненную работу по результатам 2-3 минутного диалога с ним на следующем занятии. Мы вели такие таблицы в среде MS Excel. Для получения общего зачета по курсу студент должен получить " +" за все работы и написать реферат по теме одной из работ.

Может ли этот сервис использоваться при обучении СГСЭС не только ИБ, но и в целом информатике? Он может быть перенесен на информатику в целом, но с оговорками. Никакой электронный учебник (даже интерактивный) не способен научить человека, например, ездить на велосипеде или водить автомобиль. Обучение информатике СГСЭС - это в основном основы работы с MS Windows, MS Word, MS Excel, MS Internet Explorer и т.п. По нашему мнению, этому может научить только преподаватель при непосредственном общении с обучаемым. Мы не знаем случая, чтобы кто-нибудь этому научился при помощи лишь электронного учебника. Основы ИБ все же более концептуальны. Если речь идет не об обучении основам работы с указанными ПС, а об обучении более концептуальной тематике тех, кто эти основы уже освоил, тогда данный сервис может быть с успехом применен.

Таким образом, мы показали, что в результате наших исследований создана многоуровневая система СО, применение которых может быть полезным при обучении ИБ СГСЭС, чем подтвердили гипотезу нашего исследования качественно.