Аппаратные средства защиты информации

     Помимо  рассмотренных технологий следует  также упомянуть обеспечение  физической защиты данных (разграничение  и контроль доступа в помещения, видеонаблюдение, охранная и пожарная сигнализация), использование криптографических  алгоритмов, применение брандмауэра, реализацию антивирусной защиты, организацию бесперебойного электроснабжения оборудования. 

     Специалисты нашей компании, которая специализируется на решениях защиты информации, имеют  богатый опыт реализации соответствующих  проектов.

     СИСТЕМЫ ШИФРОВАНИЯ И КРИПТОЗАЩИТЫ

       Аппаратные устройства криптографической  защиты – это, по сути, та  же PGP, только реализованная на  уровне «железа». Обычно такие  устройства представляют собой  платы, модули и даже отдельные  системы, выполняющие различные  алгоритмы шифрования «на лету».  Ключи в данном случае тоже  «железные»: чаще всего это смарт-карты  или идентификаторы Touch Memory (iButton). Ключи загружаются в устройства напрямую, минуя память и системную шину компьютера (ридер вмонтирован в само устройство), что исключает возможность их перехвата. 

     Государственная сертификация 

     Алгоритмы и методы шифрования стандартизированы, поэтому все системы криптографической  защиты информации, применяемые в  государственных организациях, должны пройти сертификацию в ФАПСИ (Федеральном  агентстве правительственной связи  и информации при Президенте РФ). Для коммерческих предприятий и  частных лиц сертификация необязательна. 

     Используются  эти самодостаточные шифраторы как для кодирования данных внутри закрытых систем, так и для передачи информации по открытым каналам связи. По такому принципу работает, в частности, система защиты КРИПТОН-ЗАМОК, выпускаемая зеленоградской фирмой АНКАД. Эта плата, устанавливаемая в слот PCI, позволяет на низком уровне распределять ресурсы компьютера в зависимости от значения ключа, вводимого еще до загрузки BIOS материнской платой. Именно тем, какой ключ введен, определяется вся конфигурация системы – какие диски или разделы диска будут доступны, какая загрузится ОС, какие в нашем распоряжении будут каналы связи и так далее. 

     Еще один пример криптографического «железа» – система ГРИМ-ДИСК, защищающая информацию, хранимую на жестком диске  с IDE-интерфейсом. Плата шифратора  вместе с приводом помещена в съемный  контейнер (на отдельной плате, устанавливаемой  в слот PCI, собраны лишь интерфейсные цепи). Это позволяет снизить вероятность  перехвата информации через эфир или каким-либо иным образом. Кроме  того, при необходимости защищенное устройство может легко выниматься из машины и убираться в сейф. Ридер ключей типа iButton вмонтирован в контейнер с устройством. После включения компьютера доступ к диску или какому-либо разделу диска можно получить, лишь загрузив ключ в устройство шифрования. 

     Как правило, аппаратные средства уступают чисто программным решениям по ряду параметров (скорости шифрования, возможности  применения в компьютерах различных  конструктивных исполнений — например, ноутбуках), но превосходят их по главному показателю — стойкости. Кроме того, нельзя полностью гарантировать, что  в применяемых операционных системах (ОС) и прикладных программах отсутствуют  неописанные возможности, невыявленные ошибки или умышленно размещенные “закладки”. Потенциально возможностями их модификации обладают не только активные злоумышленники, но даже обычные пользователи компьютеров: имея навыки программирования и администрирования и доступ к компьютерной системе, они способны модифицировать эту систему, снижая уровень ее надежности. 

     С развитием вычислительной техники и информационных технологий увеличивается сложность систем защиты компьютерной информации. Финансовый кризис обостряет конкуренцию в различных секторах рынка и выводит на первый план вопросы информационной безопасности даже для тех компаний, которые раньше, в более спокойных условиях, не придавали этим вопросам особого значения. 

     В данном обзоре предпринята попытка  сопоставить базовые функции  отечественных аппаратных устройств  защиты информации (УЗИ) на основе сведений, предоставляемых фирмами-производителями, и выработать рекомендации по выбору устройства. 

     Преимущественный  интерес к отечественным продуктам  обусловлен тем, что применение зарубежных средств встречает значительные трудности. С одной стороны, их вывоз из страны происхождения зачастую вообще невозможен: так, в США, которые наряду с Россией остаются лидером мировой криптографии, наложен запрет на экспорт средств шифрования с “сильными” ключами. С другой стороны, легальное применение зарубежных криптографических средств в нашей стране жестко регламентируется, и в этих условиях оправданным представляется сосредоточить внимание на отечественных продуктах.  

     Как правило, аппаратные средства уступают чисто программным решениям по ряду параметров (скорости шифрования, возможности  применения в компьютерах различных  конструктивных исполнений — например, ноутбуках), но превосходят их по главному показателю — стойкости. Кроме того, нельзя полностью гарантировать, что  в применяемых операционных системах (ОС) и прикладных программах отсутствуют  неописанные возможности, невыявленные ошибки или умышленно размещенные “закладки”. Потенциально возможностями их модификации обладают не только активные злоумышленники, но даже обычные пользователи компьютеров: имея навыки программирования и администрирования и доступ к компьютерной системе, они способны модифицировать эту систему, снижая уровень ее надежности. 

     Для обеспечения должной безопасности следует либо заниматься анализом и  аттестацией существующих систем на уровне их исходных текстов, либо разрабатывать  собственную, полностью контролируемую ОС и постоянно заботиться о поддержании  ее целостности. Чаще всего пользователи выбирают третий путь, отвечающий их реальным возможностям: принимают используемую ОС за контролируемую и — в лучшем случае — стремятся обеспечить ее целостность имеющимися в наличии средствами (антивирусными пакетами и т.п.). 

     Однако  проверку целостности одних программ при помощи других нельзя признать надежной, поскольку под сомнение ставится целостность самой программы  проверки целостности. Для получения  достоверных сведений необходима некая  начальная “точка отсчета”, подлинность  которой не вызывает сомнений. 

     В подобной роли и могут выступить  рассматриваемые устройства, применяемые  в составе систем защиты информации (СЗИ) и позволяющие обеспечить целостность  таких систем аппаратной реализацией  функций, критически важных для поддержания  надежности СЗИ. К числу таких  функций, полностью или частично выполняемых аппаратными средствами, относятся следующие:

     Запрет  на модификацию процесса загрузки компьютера.

     Идентификация и аутентификация пользователя до загрузки ОС.

     Контроль  целостности операционной системы  и прикладного программного обеспечения (ПО).

     Управление  доступом пользователя к ресурсам компьютера.

     Ведение журнала действий пользователя.

     Реализация  криптографических алгоритмов, гарантия их стойкости и неизменности.

     Надежное  хранение секретных криптографических  элементов (ключей) вне оперативного запоминающего устройства (ОЗУ) компьютера.

     Загрузка  секретных элементов со специальных  носителей: смарт-карт, идентификаторов  Touch Memory (ТМ) и т.п. К примеру, смарт-карты по сравнению с традиционными носителями (дискетами) обладают большей стойкостью к механическим, электрическим, магнитным, климатическим воздействиям, более долговечны (срок хранения данных — до 10 лет) и удобны в пользовании, а микропроцессорные карты, кроме того, обладают еще и высокой степенью защищенности от несанкционированного использования.

     Наличие аппаратного датчика случайных  чисел. Аппаратный датчик, использующий физический процесс (например, обратный пробой специализированного диода), обеспечивает распределение случайных  чисел, наиболее близкое к равновероятному (что недоступно программным датчикам). Таким образом, при формировании криптографических ключей с помощью аппаратного датчика обеспечивается максимальный уровень их надежности. 

     Полностью реализовать все перечисленные  функции одним только аппаратным способом невозможно (а часто и  не нужно), поэтому ряд функций  может выполняться программно. Программное  обеспечение может находиться в  постоянном запоминающем устройстве (ПЗУ) УЗИ, либо размещаться на обычных  носителях (в этом случае защищать его  целостность необходимо организационными методами — особым режимом хранения, ограничением числа лиц, имеющих  доступ к этому ПО, и т.д.). В любом случае, ПО должно опираться на возможности, предоставляемые устройством защиты информации. 

     Рассмотрим  ряд продуктов, предлагающихся сегодня  на отечественном рынке. 

     Серия контроллеров “Аккорд” (ОКБ САПР) 

     Контроллеры “Аккорд-1”, “Аккорд-1.5”. Содержат ПЗУ  расширения BIOS, обеспечивающее блокирование загрузки с дискеты, аутентификацию пользователей и контроль целостности  ресурсов компьютера до загрузки операционной системы. Имеют интерфейс к устройству чтения/записи информации на идентификаторах  TМ. 

     В контроллере “Аккорд-4”, в отличие  рассмотренных выше моделей, указанное  расширение BIOS содержится в энергонезависимой  памяти, которая реализована на микросхеме Flash Memory и разделена на две области: для расширения BIOS (Read Only) и для дополнительной информации (Read/Write). В частности, в область дополнительной информации могут быть записаны встроенное ПО и аутентифицирующие данные пользователей. Кроме того, реализована аппаратная поддержка работы с ТМ, что обеспечивает более устойчивую работу контроллера с этими носителями.  

     Контроллер  “Аккорд-4R”, обладая перечисленными характеристиками, снабжен также  аппаратным датчиком случайных чисел.  

     Контроллер  “Аккорд-4М” дополнительно может  иметь от одного до четырех “пользовательских” блоков энергонезависимой памяти объемом 32 Кбит каждым, для работы с которыми контроллер снабжен процессором  типа Z8 (ZILOG). 

       На базе “Аккорд-4М” разработан  комплекс “Аккорд-АМДЗ”, выполняющий функции “электронного замка” и осуществляющий контроль целостности файлов в системах FAT, FAT32, NTFS, HPFS, Free BSD.  

     Контроллер  “Аккорд-RS” конструктивно выполнен вместе со съемником информации с TМ и предназначен для установки на последовательный порт RS 232. Расширение BIOS (обеспечивающее блокирование загрузки с дискеты и т.д.) содержится в ПЗУ, которое устанавливается на сетевую карту в разъеме, предназначенном для ПЗУ удаленной загрузки.  

     Процессорная  плата DSP-Шифр (АО Сигнал-КОМ) 

     Процессорная  плата DSP-Шифр аппаратно реализует  несколько российских и американских криптографических стандартов (шифрование, цифровая подпись, генерация ключей) и реализована на базе цифрового  процессора обработки сигналов TMS320C25 фирмы Texas Instruments. 

     DSP-Шифр  устанавливается в свободный  слот персонального компьютера  и обеспечивает производительность  при реализации алгоритма ГОСТ 28147-89 около 300 Кбит/с. Имеется аппаратный  датчик случайных чисел.  

     Обеспечивается  возможность построения двухключевых и гибких трехуровневых одноключевых криптосетей, использования платы в качестве криптографического сопроцессора и в составе систем защиты от несанкционированного доступа. 

     Долговременные  секретные ключи хранятся на идентификаторах  TМ, и только после их считывания пользователю разрешается доступ к ресурсам компьютера. 

     Средства  аппаратной поддержки системы Secret Net (НИП Информзащита) 

     Secret Net ROM BIOS . Микросхема с расширением BIOS, устанавливается на сетевой карте компьютера вместо микросхемы удаленной загрузки (BootROM).  

     Secret Net Card . Плата, на которой находится микросхема с расширением BIOS, устанавливается внутри компьютера в свободный разъем ISA. 

     Оба средства представляют собой механизмы  встраивания в процесс загрузки компьютера до старта ОС. Обеспечивает идентификацию пользователей по имени и паролю, вводимым с клавиатуры. Идентификация может быть обеспечена с помощью ТМ и смарт-карт, устройства для считывания информации с которых подключаются к порту RS 232.  

     На  плате Secret Net Touch Memory Card находится микросхема с расширением BIOS и разъем для подключения считывателя для Touch Memory. Плата устанавливается внутри компьютера в свободный разъем шины ISA, обеспечивает идентификацию пользователей по идентификаторам TМ до загрузки ОС и возможность размещения во внутренней памяти ТМ дополнительной информации.