Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

121

Электронный замок «Соболь» может применяться как устройство,

обеспечивающее защиту автономного компьютера, а также рабочей станции

или сервера, входящих в состав локальной вычислительной сети.

При этом используются следующие механизмы защиты: идентифика-

ция и аутентификация пользователей; регистрация попыток доступа к ПЭВМ;

запрет загрузки ОС со съемных носителей; контроль целостности программ-

ной среды.

Возможности по идентификации и аутентификации пользователей, а

также регистрация попыток доступа к ПЭВМ не зависят от типа использую-

щейся ОС.

Действие электронного замка «Соболь» состоит в проверке персональ-

ного идентификатора и пароля пользователя при попытке входа в систему. В

случае попытки входа в систему незарегистрированного пользователя элек-

тронный замок регистрирует попытку и осуществляется аппаратная блоки-

ровка до 4 устройств (например: FDD, CD-ROM, ZIP, LPT, SCSI-порты).

В электронном замке используются идентификаторы Touch Memory

фирмы Dallas Semiconductor. Загрузка операционной системы с жесткого дис-

ка осуществляется только после предъявления зарегистрированного иденти-

фикатора. Служебная информация о регистрации пользователя (имя, номер

присвоенного персонального идентификатора и т.д.) хранится в энергонеза-

висимой памяти электронного замка. Электронный замок осуществляет веде-

ние системного журнала, записи которого хранятся в специальной энергоне-

зависимой памяти.

В системном журнале фиксируется вход пользователей, попытки входа,

попытки НСД и другие события, связанные с безопасностью системы. В нем

хранится следующая информация: дата и время события, имя пользователя и

информация о типе события (например, факт входа пользователя, вве-

дение неправильного пароля, предъявление не зарегистрированного иденти-

фикатора пользователя, превышение числа попыток входа в систему, другие

события).

Таким образом, электронный замок «Соболь» предоставляет информа-

цию администратору обо всех попытках доступа к ПЭВМ.

Контроль целостности системных областей дисков и наиболее критич-

ных файлов производится по алгоритму ГОСТ 28147-89 в режиме имитов-

122

ставки. Администратор имеет возможность задать режим работы электронно-

го замка, при котором будет блокирован вход пользователей в систему при

нарушении целостности контролируемых файлов. Подсистема запрета за-

грузки с гибкого диска и CD диска обеспечивает запрет загрузки операцион-

ной системы с этих съемных носителей для всех пользователей, кроме адми-

нистратора. Администратор может разрешить отдельным пользователям

компьютера выполнять загрузку операционной системы со съемных носите-

лей.

Подсистемы контроля целостности и подсистемы запрета загрузки со

съемных носителей функционируют под управлением следующих ОС: MS

DOS версий 5.0-6.22 (только ЭЗ «Соболь» для стандарта ISA); ОС семейства

Windows'9x (FAT12, FAT 16 или FAT32); Windows NT версий 3.51 и 4.0 с

файловой системой NTFS; Windows 2000 с файловой системой NTFS (только

«Соболь-PCI»); UNFX FreeBCD (только «Соболь-PCI»).

Для настройки электронного замка «Соболь» администратор имеет

возможность определять минимальную длину пароля пользователя, предель-

ное число неудачных входов пользователя, добавлять и удалять пользовате-

лей, блокировать работу пользователя на компьютере, создавать резервные

копии персональных идентификаторов.

Электронный замок «Соболь» может применяться в составе системы

защиты информации Secret Net для генерации ключей шифрования и элек-

тронно-цифровой подписи. Кроме того, при использовании ЭЗ «Соболь» в

составе Secret Net обеспечивается единое централизованное управление его

возможностями. С помощью подсистемы управления Secret Net админи-

стратор безопасности может управлять статусом персональных идентифика-

торов сотрудников: присваивать электронные идентификаторы, временно

блокировать, делать их недействительными, что позволяет управлять досту-

пом сотрудников к компьютерам автоматизированной системы организации.

В базовый комплект электронного замка «Соболь-PCI» входит (рис. А6,

А7):

- контроллер «Соболь-PCI»;

- считыватель Touch Memory;

- два идентификатора DS-1992;

- интерфейс для блокировки загрузки с FDD;

123

- интерфейс для блокировки загрузки с CD-ROM;

- программное обеспечение формирования списков контролируемых про-

грамм;

- документация.

Рис. 6. Рис. 7.

8.4.5. Система защиты корпоративной информации Secret Disk Server

Предназначена для защиты конфиден-

циальной информации, корпоративных баз

данных (Рис. 8).

Система предназначена для работы в

Windows NT 4.0 Server/Workstation, поддер-

живает работу с IDE- и SCSI-дисками, со все-

ми типами RAID-массивов.

Защищаемые разделы могут содержать

файловую систему FAT или NTFS.

Рис. 8.

Система не только надежно защищает конфиденциальные данные, но и

скрывает их наличие.

Защита информации осуществляется путем «прозрачного» («на лету»)

шифрования содержимого разделов жесткого диска (логических дисков).

При установке Secret Disk Server выбранные логические диски зашиф-

ровываются. Права доступа к ним для пользователей сети устанавливаются

средствами Windows NT. Шифрование осуществляется программно систем-

ным драйвером ядра (kernel-mode driver).

124

Помимо встроенного алгоритма преобразования данных с длиной клю-

ча 128 бит, Secret Disk Server позволяет подключать внешние модули крипто-

графической защиты, например входящий в Windows RC-4 или эмулятор из-

вестной платы «Криптон», реализующей мощнейший российский алго-

ритм шифрования ГОСТ 28147-89 с длиной ключа 256 бит. Скорость шифро-

вания очень высока, поэтому мало кто сможет заметить небольшое замедле-

ние при работе.

Ключи шифрования вводятся в драйвер Secret Disk Server перед нача-

лом работы с защищенными разделами (или при загрузке сервера). Для этого

используются микропроцессорные карточки (смарткарты), защищенные PIN-

кодом. Не зная код, воспользоваться карточкой нельзя. Три попытки ввода

неправильного кода заблокируют карту. При работе сервера смарткарта не

нужна, и ее можно спрятать в надежное место.

Во время работы системы ключи шифрования хранятся в оперативной

памяти сервера и никогда не попадают на диск в файл подкачки (swap file).

Генерация PIN-кода и ключей шифрования производится самим пользовате-

лем. При генерации используется последовательность случайных чисел, фор-

мируемая по траектории движения мыши и временным характеристикам на-

жатия произвольных клавиш.

Secret Disk Server имеет открытый интерфейс для подачи сигнала «тре-

вога» и позволяет подключать различные датчики и устройства контроля дос-

тупа в помещение (датчики открывания дверей, окон, движения, изменения

объема, электронные и кодовые замки).

При подключении защищенных дисков возможен автоматический за-

пуск необходимых программ и сервисов, перечисленных в конфигурацион-

ном файле.

После перезагрузки сервера без предъявления смарткарты или попытки

чтения дисков на другом компьютере, защищенные разделы будут «видны»

как неформатированные области, прочитать которые нельзя. При возникно-

вении опасности можно мгновенно «уничтожить» информацию, сделав за-

щищенные разделы «невидимыми». В поставку входит установочный CD

диск, универсальное устройство для работы со смарткартами (внешнее), ком-

плект кабелей, специальная плата Hardlock, документация на русском языке,

3 смарткарты.

125

8.4.6. Система защиты конфиденциальной информации Secret Disk

Secret Disk – система защиты конфиденциальной информации для ши-

рокого круга пользователей компьютеров: руководителей, менеджеров, бух-

галтеров, аудиторов, адвокатов и др.

При установке системы Secret Disk в компьютере появляется новый

виртуальный логический диск (один или несколько). Все, что на него записы-

вается, автоматически шифруется, а при чтении расшифровывается. Содер-

жимое этого логического диска находится в специальном контейнере — за-

шифрованном файле. Файл секретного диска может находиться на жестком

диске компьютера, на сервере, на съемных носителях типа Zip, Jaz, CD-ROM

или магнитооптике.

Secret Disk обеспечивает защиту данных даже в случае изъятия такого

диска или самого компьютера. Использование секретного диска равносильно

встраиванию функций шифрования во все запускаемые приложения.

Подключение секретного диска и работа с зашифрованными данными

возможны только после аппаратной аутентификации пользователя ввода и

правильного пароля. Для аутентификации используется электронный иден-

тификатор – смарткарта, электронный ключ или брелок.

После подключения секретного диска он становится «виден» операци-

онной системе Windows как еще один жесткий диск, а записанные на нем

файлы доступны любым программам.

Не имея электронного идентификатора и не зная пароля, подключить

секретный диск нельзя – для посторонних он останется просто зашифрован-

ным файлом с произвольным именем (например, game.exe или girl.tif).

Как любой физический диск, защищенный диск может быть предостав-

лен для совместного использования в локальной сети. После отключения

диска все записанные на нем файлы и программы сделаются недоступными.

Перечень основных характеристик:

1. Защита конфиденциальных данных с помощью профессиональных алго-

ритмов шифрования (возможность подключения внешних криптографиче-

ских библиотек).

2. Генерация ключей шифрования самим пользователем.

126

3. Аппаратная аутентификация пользователя посредством электронных бре-

локов, смарт-карт, PCMCIA-карт или электронных ключей.

4. Двойная защита. Каждый секретный диск защищен личным электронным

идентификатором пользователя и паролем доступа к этому диску.

5. Работа с зашифрованными архивами. Информацию можно сжать и за-

шифровать как для себя (с использованием электронного идентификатора),

так и для защищенного обмена с коллегами (с паролем).

6. Блокировка компьютера Secret Disk позволяет гасить экран и блокировать

клавиатуру при отключении электронного идентификатора, при нажатии за-

данной комбинации клавиш или длительной неактивности пользователя. При

блокировании системы секретные диски не отключаются, запущенные при-

ложения, использующие защищенные данные, продолжают нормально рабо-

тать, работа других пользователей, которым предоставлен совместный доступ

к секретному диску в сети, не нарушается.

7. Режим работы под принуждением. В критической ситуации можно ввести

специальный аварийный пароль. При этом система на некоторое время под-

ключит диск, уничтожив личный ключ шифрования в электронном иденти-

фикаторе (что сделает невозможным доступ к диску в будущем), а затем сы-

митирует одну из известных ошибок Windows.

8. Возможность восстановления данных при утере (или намеренной порче)

электронного идентификатора или утрате пароля.

9. Простой и удобный пользовательский интерфейс.

10. Различия по алгоритмам шифрования (в зависимости от потребностей,

может использоваться один из встроенных алгоритмов):

- встроенный алгоритм кодирования с длиной ключа 128 бит;

- криптографический алгоритм RC4 с длиной ключа 40 бит, встроенный в

Windows 95, 98 (для неамериканской версии);

- криптографический алгоритм ГОСТ 28147-89 с длиной ключа 256 бит

(программный эмулятор платы «Криптон» или плата «Криптон»).

11. Плата «Криптон» сертифицирована для защиты государственной тайны,

поставляется по отдельному запросу фирмой АНКАД.

12. Версия с аппаратной защитой от начальной загрузки компьютера (DeLuxe)

поставляется по отдельным соглашениям.

127

8.4.7. Программно-аппаратный комплекс средств защиты

«Аккорд-АМДЗ»

Предназначен для применения на IBM-совместимых ПЭВМ (рабочих

станциях ЛВС) в целях их защиты от несанкционированного доступа : иден-

тификации, аутентификации пользователей, регистрации их действий; кон-

троля целостности технических и программный средств(файлов общего, при-

кладного ПО и данных) ПЭВМ(PC); обеспечения режима доверенной загруз-

ки в различных операционных средах (MS DOS, Windows 9x, Windows Mille-

nium, Winder-NT, Windows 2000, OS/2, UNIX), а такс; любых других ОС, ис-

пользующих файловые системы FAT 12, FAT 16, FAT 32, NTFS HPFS,

FreeBSD, Linux EXT2FS, при многопользовательском режиме эксплуатации

ПЭВМ (рабочих станций ЛВС).

Комплекс представляет собой совокупность технических и программ-

ных средств, обеспечивающих выполнение основных функций защиты от

НСД ПЭВМ (PC) на основе применения персональных идентификаторов

пользователей; парольного механизма; блокировки загрузки операционной

системы со съемных носителей информации; контроля целостности техниче-

ских средств и программных средств (файлов общего, прикладного ПО и

данных) ПЭВМ (PC); обеспечения режима доверенной загрузки установлен-

ных в ПЭВМ (PC) операционных систем.

Программная часть комплекса, включая средства идентификации и ау-

тентификации, средства контроля целостности технических и программных

средств ПЭВМ (PC), средства регистрации действий пользователей, а также

средства администрирования (настройки встроенного ПО) и аудита (работы с

регистрационным журналом) размещается в энергонезависимой памяти

(ЭНП) контроллера при изготовлении комплекса.

Доступ к средствам администрирования и аудита комплекса предостав-

ляется только администратору БИ.

Идентификация и аутентификация пользователей, контроль целостно-

сти технических и программных средств ПЭВМ (PC) выполняются контрол-

лером комплекса до загрузки операционной системы, установленной в ПЭВМ

(PC). При модификации системного ПО замена контроллера не требуется.

128

При этом обеспечивается поддержка специального режима програм-

мирования контроллера без снижения уровня защиты.

Комплекс обеспечивает выполнение основных функций защиты от

НСД как в составе локальной ПЭВМ, так и на рабочих станциях ЛВС в соста-

ве комплексной системы защиты от НСД ЛВС, в том числе настройку, кон-

троль функционирования и управление комплексом.

Основные характеристики:

1. Защита ресурсов ПЭВМ (PC) от лиц, не допущенных к работе на ней,

идентификацией пользователей ПЭВМ (PC) по персональным идентификато-

рам DS 199х – до загрузки операционной системы (ОС).

2. Аутентификация пользователей ПЭВМ (PC) по паролю длиной до 12 сим-

волов, вводимому с клавиатуры (длину пароля устанавливает администратор

БИ при регистрации пользователя), с защитой от раскрытия пароля – до за-

грузки операционной системы (ОС).

3. Блокировка загрузки с отчуждаемых носителей.

4. Контроль целостности технических, программных средств, условно-

постоянной информации ПЭВМ (PC) до загрузки ОС с реализацией пошаго-

вого алгоритма контроля. Этим обеспечивается защита от внедрения разру-

шающих программных воздействий (РПВ).

5. Доверенная загрузка системного и прикладного ПО при одновременной

установке на дисках или в разделах диска ПЭВМ (PC) нескольких ОС.

6. Поддержка файловых систем FAT12, FAT16, FAT32, NTFS, HPFS,

FreeBSd, Linux EXT2FS.

7. Регистрация на ПЭВМ (PC) до 16 пользователей.

8. Регистрация контролируемых событий в системном журнале, размещен-

ном в энергонезависимой памяти контроллера.

9. Возможность физической коммутации управляющих сигналов перифе-

рийных устройств в зависимости от уровня полномочий пользователя, позво-

ляющей управлять вводом/выводом информации на отчуждаемые физические

носители и устройства обработки данных.

10. Администрирование встроенного ПО комплекса (регистрация пользовате-

лей и персональных идентификаторов, назначение файлов для контроля це-

лостности, контроль аппаратной части ПЭВМ (PC), просмотр системного

журнала).

129

11. Контроль целостности программ и данных, их защита от несанкциониро-

ванной модификации.

12. Регистрация, сбор, хранение и выдача данных о событиях, происходящих

в ПЭВМ (PC) в части системы защиты от несанкционированного доступа в

ЛВС.

13. Разграничение доступа пользователей и программ ПЭВМ (PC) к аппарат-

ным устройствам в соответствии с уровнем их полномочий.

8.4.8. Аппаратно-программный комплекс IP Safe-PRO

Предназначен для построения защищенных виртуальных частных IP-

сетей, создаваемых на базе сетей общего пользования (в том числе и Интер-

нет).

Выполнен на базе IBM РС-совместимого

компьютера с двумя Ethernet-интерфейсами (базо-

вая конфигурация) с операционной системой

FreeBSD (рис. 9).

Рис. 9.

Дополнительные возможности:

- статическая маршрутизация и функции межсетевого экрана (защита

от спуфинга, обработка данных по адресам, портам, протоколам и др.);

- возможность поддержки интерфейсных стандартов G.703, G.704, V.35,

RS-232 и др.;

- система "горячего" резервирования;

- работа в синхронном и асинхронном режимах.

Технические характеристики:

1. Используемый протокол семейства IPsec - ESP (Encapsulating Security

Payload, RFC 2406) в туннельном режиме (с предоставлением следующих ус-

луг безопасности: конфиденциальности и целостности данных, аутентифика-

ции источника данных, сокрытия топологии локальных корпоративных сетей,

защиты от анализа трафика).

2. Ключевая система - симметричная (с возможностью централизованного и

децентрализованного администрирования).

130

3. Криптоалгоритмы - ГОСТ 28147, RC5, 3DES, DES, SHA-1, MD5.

8.4.9. Аппаратно-программный комплекс "КОНТИНЕНТ-К"

Предназначен для построения VPN на основе глобальных сетей общего

пользования, использующих протоколы семейства TCP/IP.

В качестве составных частей VPN, по-

строенной на базе комплекса, могут выступать

корпоративные ЛВС, их сегменты и отдель-

ные компьютеры (в том числе переносные или

домашние компьютеры руководителей и со-

трудников) (рис. 10.).

Рис. 10.

АПК "Континент-К" обеспечивает:

- защиту внутренних сегментов сети от несанкционированного доступа

со стороны сетей общего пользования;

- статическую маршрутизацию IP-пакетов;

- фильтрацию IP-пакетов в соответствии с заданными правилами;

- сокрытие внутренней структуры защищаемых сегментов сети;

- криптографическую защиту данных, передаваемых по каналам связи сетей

общего пользования между составными частями VPN;

- безопасный доступ пользователей VPN к ресурсам сетей общего пользо-

вания;

- централизованное управление настройками VPN-устройств;

- удаленный доступ к ресурсам VPN по выделенным и коммутируемым ка-

налам связи.

Основным элементом комплекса является криптографический шлюз,

который представляет собой специализированное аппаратно-программное

устройство, функционирующее на платформе Intel под управлением сокра-

щенной версии ОС FreeBSD. Криптографический шлюз оснащается сетевыми

интерфейсами стандарта Ethernet, а также платой электронный замок "Со-

боль", обеспечивающей локальную идентификацию и аутентификацию адми-

нистратора КШ и контроль целостности программного обеспечения. Крип-