25 сентября 2001
Повышение доверия к безопасности программного обеспечения
ПОВЫШЕНИЕ ДОВЕРИЯ К БЕЗОПАСНОСТИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ
Г. Пономаренко
Журнал АДЭ, № 6(2001)
Введение
В последние годы предметом пристального внимания специалистов во всем мире являются вопросы потенциальной уязвимости систем обработки и передачи информации и связанных с этим мер по защите информационных ресурсов организаций и частных лиц - участников глобального информационного обмена.
Повышение актуальности вопросов безопасности информации обусловлено следующими известными факторами:
- интенсификацией человеческой деятельности в области коммерции, банковских операций и т.д. при переходе к электронной реализации;
- резким увеличением объемов информации, обрабатываемой автоматизированными информационно-телекоммуникационными системами;
- существенным возрастанием стоимости и значимости конфиденциальной корпоративной информации;
- сосредоточением в единых базах и банках данных информационных массивов различного назначения, различной принадлежности и различной степени конфиденциальности;
- резким расширением круга пользователей, имеющих непосредственный доступ к информационным ресурсам, хранящимся в информационных массивах;
- тотальной автоматизацией процессов обработки и передачи информации;
- появлением новых сетевых технологий, охватывающих отдельные регионы, ведомства, страны или имеющих глобальную международную топологию;
- существенным усложнением программного обеспечения, используемого для обработки и передачи информации и многими другими.
Уязвимость систем обработки и передачи информации и возможный вследствие этого экономический, политический и иной ущерб, с одной стороны, и объективная необходимость использования автоматизированных средств обработки и передачи информации в широких масштабах во многих областях человеческой деятельности, с другой стороны, требуют принятия определенных мер и необходимых затрат общественного труда и материальных ресурсов для решения проблем защиты информационных ресурсов.
В процессе решения данной задачи необходим поиск некоторого компромисса, позволяющего добиваться обеспечения информационной безопасности при минимизации затрат на реализацию данного мероприятия.
Существенным фактором в решении проблемы защиты корпоративной информации при организации электронного ведения бизнеса может рассматриваться применение специализированных программных и программно-аппаратных средств защиты, встроенных механизмов защиты, отвечающих требованиям Государственных систем сертификации по требованиям безопасности информации.
Краткая характеристика системы сертификации средств защиты информации по требованиям безопасности информации Гостехкомиссии России
В рамках настоящей статьи рассматриваются аспекты практического использования для поддержки процессов электронного ведения бизнеса специализированных средств и встроенных механизмов защиты, сертифицированных в рамках Системы сертификации средств защиты информации по требованиям безопасности информации Государственной технической комиссии при Президенте Российской Федерации.
Сертификационные испытания средств защиты в рамках данной системы сертификации предусматривают комплекс мероприятий по проверке соответствия этих средств формальным базовым требованиям по обеспечению безопасности информации, изложенным в нормативных документах Гостехкомиссии России.
К таким нормативным документам относятся руководящие документы Гостехкомиссии России - по требованиям к автоматизированным системам, к средствам ВТ, к межсетевым экранам.
Наличие нескольких руководящих документов, содержащих формальные базовые требования к средствам защиты информации в зависимости от функционального назначения последних, используемых технологических решений и т.п. позволяет проводить целенаправленные испытания средств защиты и получать формальные и объективные оценки возможности этих средств выполнять свою основную функцию - обеспечение безопасности информации.
Использование формальных критериев оценки при сертификации позволяет сделать обоснованный вывод о возможности средств защиты выполнять свои функции не только на качественном уровне, но и на количественном уровне. В зависимости от степени соответствия средств защиты совокупности предъявляемых к ним формальных требований может быть сделан вывод о возможности либо невозможности использования данных средств для защиты информации в зависимости от степени ее конфиденциальности, схемы циркуляции защищаемой информации и других параметров.
Следует отметить, что перечень нормативных документов постоянно расширяется с учетом новых требований к информационной безопасности и тенденций изменения информационных технологий. В настоящее время готовятся к изданию новые руководящие документы, регламентирующие требования по безопасности информации для VPN и VLAN решений. Кроме того, ведутся активные работы по адаптации отечественной нормативной базы в области информационной безопасности к требованиям в данной области, используемым ведущими промышленно развитыми странами мира (речь идет о документе Международный стандарт ISO/IEC 15408-99. "Критерии оценки безопасности информационных технологий" или так называемые "Общие критерии").
Сертификация программного обеспечения, используемого для обработки информации конфиденциального характера
Понятно, что от степени конфиденциальности информации, которая должна быть защищена, зависит степень жесткости требований к средствам защиты. Варьировать данной степенью жесткости и реально оценить параметры соответствия средств защиты информации предъявляемым к ним требованиям как раз и позволяют сертификационные испытания по требованиям безопасности информации.
В рамках данной статьи не рассматриваются вопросы, связанные с защитой информации, по степени конфиденциальности отнесенной к сведениям, составляющим государственную тайну. Отметим только, что соответствующими законодательными документами регламентируется обязательная сертификация средств защиты такого рода информации.
Вместе с тем, стоимость конфиденциальной корпоративной информации может быть настолько велика и ущерб от потери либо порчи такой информации может быть настолько критичен для ее владельца, что требования к используемым средствам защиты правомерно могут быть сопоставимыми с требованиями к средствам защиты информации со специальными грифами.
Рассмотрим основные преимущества использования сертифицированных средств защиты информации, используемых для обеспечения информационной безопасности функционирования прикладных электронных бизнес приложений. К числу таких преимуществ можно отнести следующие:
- наличие сертификата несет в себе определенную (и формально подтвержденную в виде сертификата) гарантию со стороны государства о возможности средства защиты выполнять совокупность функций в соответствии с формальными требованиями к продукции такого рода. При этом состав формальных требований может быть выбран заказчиком в зависимости от функциональных задач, возлагаемых на средство защиты;
- процесс сертификационных испытаний предполагает не только проверку объекта испытаний на соответствие формальным требованиям нормативных документов, но и проверку корректности функционирования (фактически тестирования) средства защиты в штатных, продекларированных разработчиком режимах. При этом максимально учитывается функциональное назначение средства защиты, особенности его реализации, особенности среды и условий функционирования прикладного программного обеспечения, в интересах которого используется средство защиты, и т.п. Согласитесь, гораздо разумнее пользоваться протестированным средством защиты, нежели тестировать его на своих реальных бизнес приложениях;
- разрабатываемая и/или корректируемая эксплуатационная документация на сертифицированное средство защиты, экспертиза и нормоконтроль которой предусмотрены как обязательные технологические операции при проведении сертификационных испытаний, приобретает форму, максимально ориентированную на удобство ее использования. Вместе с тем, такая документация содержит абсолютно объективную информацию об условиях применения средства защиты, в том числе об ограничениях при его использовании, о так называемых "слабых местах", выявленных в процессе сертификационных испытаний и требующих либо доработки средства защиты, либо совместного с ним использования других средств и/или мер защиты информации для достижения заданного уровня безопасности информации;
- сертифицированные средства защиты имеют четкий признак, позволяющий однозначно их идентифицировать - утвержденные на уровне системы сертификации контрольные суммы программных составляющих данных средств защиты. Наличие таких признаков позволяет обеспечить контроль целостности и неизменности параметров средств защиты в процессе их эксплуатации.
Перечисленные преимущества напрямую относятся к специализированным средствам, которые используются для обеспечения защиты информации в интересах прикладных бизнес-приложений и работают параллельно с ними. Вместе с тем, возрастающая актуальность вопросов безопасности информации зачастую побуждает производителей и заказчиков прикладного программного обеспечения различного назначения, используемого, в частности, для поддержки процессов электронного ведения бизнеса, автоматизации процессов управления и документооборота и т.п. предусматривать наличие встроенных механизмов защиты информации, непосредственно реализованных в рамках данного прикладного программного обеспечения на уровне функций или отдельных подсистем. В таких случаях сертификация по требованиям безопасности информации также вполне актуальна и целесообразна.
В данном случае следует понимать, что реализация защитных механизмов непосредственно в рамках прикладных бизнес приложений является, как правило, не полной по отношению к совокупности формальных требований, предъявляемых к специализированным средствам защиты, что не всегда позволяет использовать нормативные документы для интерпретации параметров соответствия сертифицируемых механизмов защиты базовым требованиям по безопасности информации.
Для таких случаев в рамках системы сертификации Гостехкомиссии России предусмотрена возможность сертификации прикладного программного обеспечения на соответствие требованиям технических условий на него в части функций, обеспечивающих безопасность обрабатываемой информации. Понятно, что сертификат такого рода является дополнительным плюсом в общей маркетинговой привлекательности прикладного бизнес приложения.
Кроме того, как специализированные средства, так и встроенные механизмы защиты информации могут быть сертифицированы на отсутствие так называемых недекларированных возможностей, о чем будет сказано ниже.
Сертификация программного обеспечения, используемого для электронного ведения бизнеса
Правомерно предположить, что наличие сертификата объективно повышает степень доверия к используемому средству или механизму защиты. Рассмотрим более подробно, за счет чего это может быть достигнуто.
Прежде всего следует отметить, что при проведении сертификационных испытаний как специализированные средства, так и встроенные механизмы защиты подвергаются гораздо более разнообразным и изощренным попыткам атак на их стойкость, чем те, которым они могут быть подвержены в условиях реальной эксплуатации. При этом целенаправленно используются как штатные, доступные широкому кругу потенциальных злоумышленников, средства нарушения механизмом защиты, так и специализированные инструменты и методы воздействия на средства и механизмы защиты. Такие испытания позволяют получать вполне объективную оценку пригодности средств и механизмов защиты информационных ресурсов. Объективность результатов испытаний при этом обусловлена тем обстоятельством, что они проводятся высококвалифицированными специалистами на основе специализированных теоретических и эмпирических знаний в данной предметной области. При этом при попытках нарушения защитных механизмов сертифицируемого средства или механизма защиты информации максимально учитываются особенности его функционирования, реализации, области применения и т.п.
Существенным фактором, обуславливающим повышение степени доверия к средству или механизму защиты, может служить проверка на отсутствие так называемых недекларированных возможностей, проводимая в соответствии с требованиями соответствующего Руководящего документа Гостехкомиссии России, введенного в действие в 1999 году. Данная проверка позволяет получить формальное подтверждение отсутствия в объекте сертификации преднамеренных или случайно внесенных разработчиком средства защиты механизмов, позволяющих производить действия по нарушению целостности защищаемой информации как самим разработчиком, так и третьими лицами.
При проведении такой проверки сертифицируемое средство или встроенный механизм защиты анализируется на наличие как явных программных конструкций, использование которых предполагает нарушение целостности защищаемой информации, так и на наличие так называемых критичных конструкций, способных при определенных условиях спровоцировать нештатные действия (например, конструкции, связанные с проблемой 2000 года, возможностью доступа к отладочной информации и т.п.).
Проверка на отсутствие недекларированных возможностей связана с анализом исходных текстов программного обеспечения средств защиты информации, что позволяет проводить углубленное исследование объекта сертификации, от уровня проектных спецификаций до уровня практической реализации.
Вполне понятно, что вопросы сертификации программного обеспечения на отсутствие недекларированных возможностей и связанный с этим анализ исходного кода программ вызывает опасение разработчиков относительно нераспространения этого кода третьим лицам, сохранения авторских прав и т.п. Однако, по опыту работы нашей лаборатории, в интересах заказчика такие испытания могут быть проведены на его территории, не зависимо от страны местоположения.
Сертификация на отсутствие недекларированных возможностей предполагает наличие нескольких уровней контроля, в зависимости от положительного прохождения которых средство или встроенный механизм защиты может быть рекомендован для обработки информации разной степени конфиденциальности, вплоть до информации со специальными грифами (что в явном виде отражается в сертификате на средство защиты).
Заключение
В настоящее время существует целый ряд средств защиты информации, имеющих соответствующие сертификаты по требованиям безопасности информации. Данные средства различаются как по функциональному назначению - защита локальных компьютеров (стационарных и переносных), защита сетевых решений, так и по механизмам реализации защитных функций - программные, аппаратные, программно-аппаратные решения. Информация о сертифицированных средствах защиты, их функциональном назначении, степени их соответствия предъявляемым к продукции такого рода требованиям, условиях и рекомендациях по их применению, уровню конфиденциальности информации, для обеспечения безопасности которой они могут использоваться, носит открытый характер и может быть доступна для потенциальных потребителей.
Следует отметить, что наряду с используемыми в нашей стране средствами защиты, предлагаемыми признанными в данной области зарубежными производителями, широкое распространение получают средства защиты информации отечественного производства, и немаловажным фактором, способствующим этому, является наличие у таких средств сертификатов по требованиям безопасности информации.
Растет и число прикладных бизнес приложений, сертифицированных и сертифицируемых в части реализованных в них встроенных механизмов защиты информации.
Резюмируя вышесказанное можно утверждать, что, используя сертифицированные специализированные средства или встроенные механизмы защиты информации в интересах функционирования некоторого электронного бизнес приложения, вы получаете средства, которые с определенной степенью вероятности делают две простые вещи:
- корректно и гарантированно выполняют функции по защите вашей информации;
- не имеют встроенных механизмов, позволяющих нанести этой информации вред.
Об авторе: Пономаренко Геннадий Владимирович, руководитель испытательной лаборатории ЗАО "НПП "Безопасные информационные технологии". Тел. (095) 263-42-02, факс (095) 261-49-69, e-mail: gena@npp-bit.ru
Источник: НПП "Безопасные информационные технологии"
