Конечно, мир может существовать только во всякого рода диалектических единствах. А диалектическое единство – это, по сути дела, борьба.
Можно много и красиво рассуждать о том, что для гармонии, таким образом, нужны обе стороны (мужчина и женщина, белое и черное, небо и земля, Добро и Зло, Дневной и Ночной Дозоры, Порядок и Хаос), однако каждый из нас в решающий момент делает свой выбор, и поддерживает мировую гармонию со своей стороны баррикад.
Мы выбрали Порядок, и тех, кто отстаивает романтику Хаоса, называя себя Хакерами, считаем своими оппонентами, что бы они ни вкладывали в это слово.
К международному дню Защиты информации мы хотим приурочить эту полуфилософскую беседу (пусть и в монологической форме очерков) о защите информации вообще и о себе в частности.
Очерк 1. Порядок VS Хаос
Чтобы все было в жизни правильно,
Красиво и безопасно,
Помни основополагающее правило:
«Отчуждай и властвуй»!
Это правило, впервые примененное к защите информации в монографии «Управление защитой информации на базе СЗИ НСД АККОРД»1 , стало сегодня общим местом в вопросах идентификации/аутентификации. В самом деле, если мы что-то важное унесли с собой, то злоумышленнику как минимум понадобится это у нас отнять или сымитировать (поэтому, кстати, немаловажно, что же это «отчуждаемое», и легко ли его подменить).
Однако правило это гораздо более универсальное, оно применимо отнюдь не только к идентификации/аутентификации пользователя с помощью некоего носимого предмета (так называемой двухфакторной аутентификации).
На шаг ниже – не приклеивайте пароль на монитор; на шаг выше – не производите критические с точки зрения безопасности процедуры с помощью процессора ПК, незащищенного от модификации.
Именно отсюда и вырастает методология аппаратной защиты, в основе которой – резидентный компонент безопасности – РКБ, выполняющий все критичные процедуры в доверенной среде, независимой от ПК.
Эта методология реализована в средствах защиты информации от несанкционированного доступа (СЗИ НСД) семейств АККОРД и ШИПКА.
Аккорд-АМДЗ
Немаловажным аспектом поддержания порядка является элементарная дисциплина. Это когда каждый делает то, что ему положено и в то время, в которое ему положено.
К сожалению, не всегда этого можно добиться воспитанием и убеждением. В случае с компьютерными системами, однако, добиться этого можно. Понадобится Аккорд-АМДЗ.
СЗИ НСД Аккорд-АМДЗ2 – это аппаратный модуль доверенной загрузки.
Доверенная загрузка – это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и аппаратной идентификации / аутентификации пользователя.
Иными словами, это загрузка строго определенной, не измененной ОС и только в том случае, если подтверждено, что в компьютере не произошло никаких несанкционированных изменений (на аппаратном уровне и в критичной части приложений) и что включает его именно тот пользователь, который имеет право на нем работать именно в это время.
Аккорд-АМДЗ физически представляет собой плату расширения, которая устанавливается в материнскую плату ПК и начинает работу сразу после выполнения штатного BIOS компьютера – до загрузки операционной системы.
Фактически же он представляет собой отдельный компьютер с собственным процессором, независимым от процессора ПК. На схемотехническом уровне процессор Аккорда защищен от несанкционированного перепрограммирования через ПК, поэтому его firmware не может быть искажено злоумышленником или недобросовестным пользователем. Санкционированное перепрограммирование контроллера возможно только в специальном защищенном режиме.
Аккорд-АМДЗ – активное устройство, то есть непосредственно процессором контроллера не только выполняются те или иные функции, но и на основе результатов их выполнения принимаются решения, касающиеся вопросов безопасности. Принятие решения независимым от ПК устройством – важнейшее положительное отличие. Если это не реализовано, то есть устройство выполняет какие-либо процедуры, но не сохраняет и не обрабатывает их результатов, а передает их для принятия решения в ПК, – решения принимаются вне доверенной среды. ПО, работающее на процессоре ПК может подвергаться несанкционированным изменениям. Соответственно, возможна как подмена результата, переданного СЗИ, и принятие решения на основе сфальсифицированного результата, так и подмена механизма принятия решения, и т. п.
Проиллюстрируем это на примере попытки обхода правил разграничения доступа. Сравним два устройства, имеющих критический по параметрам безопасности ресурс – память с базой пользователей. Одно устройство пассивное, то есть работа с этой памятью возможна из ОС при успешной идентификации в соответствующем ПО. Второе – активное, то есть работа с этой памятью возможна только через firmware микроконтроллера.
Предположим, что некто, не обладающий правами администратора, но обладающий правами пользователя (то есть ОС по его идентификатору и паролю будет загружена), попытался получить полномочия администратора, изменив программное обеспечение работы с контроллером таким образом, чтобы ПК в любом случае получал «положительный результат» идентификации. Тогда в первом случае – после такой подмены пользователь получит желаемые полномочия (например, доступ к базам пользователей), и контроллер никаким образом не может повлиять на это решение. Во втором случае этого не произойдет, поскольку для того, чтобы внести изменения в базу пользователей, администратору необходимо, чтобы администратором его признал именно микроконтроллер, чего невозможно добиться обходом системы разграничения доступа на уровне ПО в ОС.
Аккорд-АМДЗ обеспечивает доверенную загрузку ОС, работающих с файловыми системами FAT 12, FAT 16, FAT 32, NTFS, HPFS, EXT2FS, EXT3FS, FreeBSD, Sol86FS, QNXFS, MINIX. Это, в частности, ОС семейств MS DOS, Windows (Windows 9x, Windows ME, Windows NT, Windows 2000, Windows XP, Windows 2003, Windows Vista), QNX, OS/2, UNIX, LINUX, BSD и др.
Поскольку на процесс загрузки операционных систем семейства Windows влияют не только системные файлы, но и реестр, контроля файловой системы не достаточно для того, чтобы убедиться в корректности загрузки этих ОС, необходимо также проконтролировать неизменность отдельных ветвей реестра. В Аккорд-АМДЗ для всех ОС семейства Windows реализована такая возможность.
Журнал регистрации событий, который ведется во время каждого сеанса работы пользователя, хранится в энергонезависимой памяти контроллера и доступен только администратору безопасности информации. Также непосредственно внутри платы хранятся базы пользователей и базы контроля целостности, поскольку если эти базы хранятся в ПК, то они не защищены от несанкционированных модификаций.
Аккорд-АМДЗ может быть реализован на различных контроллерах, но его базовая функциональность всегда остается одинаковой и соответствует заявленной и отраженной в сертификатах соответствия.
Для того чтобы выбрать нужный Вам вариант, в первую очередь определите, свободный слот с каким шинным интерфейсом есть у того СВТ, в которое Вы планируете установить Аккорд-АМДЗ.
Это может быть:
- PCI или PCI-X – контроллеры Аккорд-5МХ или Аккорд-5.5
- PCI-express – контроллеры Аккорд-5.5.е или Аккорд-GX
- Mini PCI – контроллер Аккорд-5.5МР
- Mini PCI-express – контроллеры Аккорд-5.5МЕ или Аккорд-GXM
- Mini PCI-express half card – контроллер Аккорд-GXMH
По умолчанию идентификаторами пользователя для Аккорд-АМДЗ на базе любого из контроллеров предлагается ТМ-идентификатор.
Считыватели для ТМ-идентификатора могут различаться – они могут быть внешними – на шнурках, или внутренними – монтируемыми на корпус компьютера, с фиксаторами для ТМ-идентификатора, и без. По умолчанию при заказе в комплекте предлагается внешний считыватель без фиксатора, если требуется другой – при Заказе это нужно указать.
Биометрия: отчуждаемое неотчуждаемое
Тема идентификации пользователей компьютерных систем разрабатывается давно и плодотворно. Обобщающий результат этих разработок можно представить следующим образом: в качестве идентификатора пользователя компьютерной системы может выступать имя учетной записи, аппаратный идентификатор и биометрический параметр пользователя.
Имя учетной записи в качестве идентификатора пользователя в программно-аппаратных комплексах средств защиты информации от несанкционированного доступа (ПАК СЗИ НСД) в силу специфики области применения и благодаря нормативным документам применятся крайне редко.
Применение аппаратных средств идентификации пользователей в ПАК СЗИ НСД давно стало привычным и обыденным делом. Обычно в качестве аппаратных идентификаторов используются удобные неприхотливые вандалоустойчивые TM-идентификаторы. Уже около двадцати лет применяются они в ПАК СЗИ НСД и сдавать свои позиции не собираются. Вторую группу идентификаторов представляют различные USB-устройства: токены, смарт-карты (в совокупности со считывателями), ПСКЗИ. Эти устройства начали применяться в ПАК СЗИ НСД лет десять назад и применяются в основном в тех системах, где они также используются и в другом качестве (например, как носитель криптографического ключа). Действительно, если USB-устройство все равно будет использоваться в автоматизированной системе, то какой смысл награждать пользователя двумя устройствами, если можно обойтись одним. Да и для производителей ПАК СЗИ НСД поддержка таких устройств не представляется сложной задачей в силу простоты интерфейса и проработанности стандартов взаимодействия с устройством.
Биометрические системы идентификации пользователей в ПАК СЗИ НСД применяются крайне редко. Можно сказать, что вообще не применяются. Хотя спрос на такие решения есть.
Обусловлен этот спрос тем, что отчуждаемый от ПК идентификатор точно так же отчуждаем и от своего владельца. Проще говоря, он может быть потерян (и кем-то найден), украден, отнят. В этом смысле, чем менее отчуждаем идентифицирующий пользователя признак от самого пользователя, тем меньше вероятности хотя бы, что он его потеряет или 
забудет дома. Но зато появляются разные другие неприятные вероятности (которые позволяют производителям СВТ и СЗИ с юмором выходить из ситуаций неприятного вопроса «почему Вы до сих пор не поддерживаете биометрическую идентификацию?!»).
Почему же на самом деле? Ведь явно же не потому, что «мы ценим наших пользователей и их пальцы».
Причины такой ситуации видятся в следующем: аппаратная часть ПАК СЗИ НСД имеет крайне ограниченные собственные ресурсы (память для хранения данных ограничена десятками килобайт, память кода составляет сотни килобайт), среда исполнения аппаратной части чаще всего плохо масштабируется, идентификация пользователя должна быть надежной и быстрой, обязательность автономности работы без возможности обращения к серверу.
Методы биометрической идентификации делятся на динамические и статические. Динамические связаны с оценкой поведения человека, например, по голосу, по динамике рукописного подчерка, по клавиатурному почерку. Статические основаны на анализе форм тела человека. В качестве примера можно привести отпечатки пальцев, распознавание лица, ДНК, ладонь руки, сетчатка глаза, запах/аромат.
Динамические методы плохо подходят для использования в ПАК СЗИ НСД: их математические модели сложны, реализация алгоритмов распознавания занимает значительный объем кода, время работы составляет единицы секунд. Все эти недостатки делают динамические методы биометрической идентификации пользователей неприемлемыми для применения в аппаратных составляющих ПАК СЗИ НСД на данном этапе развития этих самых составляющих.
В настоящее время наибольшее развитие получили статические биометрические технологии идентификации пользователей, основанные на анализе рисунка радужной оболочки глаза, геометрии лица, папиллярного рисунка на пальцах, биометрических особенностей ладони человека, основанных на венозной системе. Рассмотрим все эти технологии в аспекте применения в ПАК СЗИ НСД.
Анализ рисунка радужной оболочки глаза характеризуется высокой статистической надёжностью алгоритма. Захват изображения радужной оболочки можно производить на расстоянии от нескольких сантиметров до нескольких метров, при этом физического контакта человека с устройством не происходит. Радужная оболочка защищена от повреждений — а значит не будет изменяться во времени. Однако цена системы, основанной на анализе радужной оболочки достаточно высока. Кроме того, доступность готовых решений низкая – приобрести оборудование достаточно сложно.
Анализ геометрии лица в отличие от большинства биометрических методов, не требует дорогостоящего оборудования. При соответствующем оборудовании есть возможность распознавания на значительных расстояниях от камеры. Однако этот метод характеризуется низкой статистической достоверностью. Кроме того, предъявляются высокие требования к освещению (например, не удается регистрировать лица входящих с улицы людей в солнечный день). Для многих алгоритмов анализа каких-либо внешние помехи, как то очки, борода, некоторые элементы прически, представляют существенные трудности.
Обязательно фронтальное изображение лица, с весьма небольшими отклонениями. Многие алгоритмы не учитывают возможные изменения мимики лица, то есть выражение должно быть нейтральным, а человек не всегда в силах владеть выражением своего лица.
Анализ папиллярного рисунка на пальцах – наиболее зрелая технология биометрической идентификации пользователей.
На рынке представлено множество сканеров с различными параметрами и ценами, что позволяет выбрать приемлемое решение для систем с разными требованиями. Кроме того, сканеры легко интегрируются с ПАК СЗИ НСД как по подключению (есть множество моделей с USB-интерфейсом подключения к ПЭВМ), так и по интерфейсам: производители предлагают библиотеки подключения для различных ОС (Windows 32 и 64 бита, Linux). К недостаткам технологии следует отнести достаточно большой размер эталонного образца (порядка 3 килобайт на один палец) и необходимость хранения эталонов нескольких пальцев для одного пользователя (производители сканеров рекомендуют для каждого пользователя хранить три-четыре эталона разных пальцев).
Анализ биометрических особенностей ладони человека, основанных на венозной системе, сравнительно новая технология, дающая поразительные результаты. Суть технологии состоит в инфракрасном сканировании рисунка кровонесущих венозных сосудов ладони. Технология является бесконтактной. Время сканирования составляет порядка секунды. Существуют отдельно стоящие USB-сканеры и сканеры, совмещенные с USB-мышью.
Производители сканеров предоставляют библиотеки взаимодействия под различные ОС (Windows 32 и 64 бита, Linux). Дополнительным преимуществом для поддержки таких устройств в ПАК СЗИ НСД является объем эталонного образца – на одну ладонь требуется порядка 800 байт. Недостатком данного решения может являться более высокая цена, по сравнению со сканером отпечатков пальца.
Резюмируя, можно сказать, что о крайней мере две технологии (отпечатки пальцев и венозная система ладони) уже вполне готовы к применению в ПАК СЗИ НСД. Важно правильно встроить эти технологии в существующие реализации ПАК СЗИ НСД. Для этого необходимо более детально рассмотреть режимы работы систем биометрической идентификации. Их два:
- Верификация — сравнение предъявленного биометрического параметра один к одному с эталоном. При этом проверяется, что пользователь тот, за кого он себя выдает
- Идентификация — сравнение один ко многим – поиск предъявленного параметра в базе: после «захвата» биометрических данных идет соединение с базой биометрических данных для определения личности. Идентификация личности проходит успешно, если в базе данных найден эталон, соответствующий предъявленным данным.
Общим местом обоих режимов (впрочем, как и любой системы идентификации) является наличие эталона. Эталон может либо предъявляться пользователем, либо храниться в локальной базе ПАК СЗИ НСД, либо храниться в централизованной базе, доступ к которой осуществляется через сеть.
Применительно к ПАК СЗИ НСД вариант с хранением эталона в централизованной базе неприемлем по нескольким причинам: во-первых, интеграция модулей для сетевого взаимодействия в аппаратную часть ПАК СЗИ НСД достаточно сложный и нетривиальный процесс. Во-вторых, комфортное время проведения процедуры идентификации должно составлять единицы секунд, что нельзя гарантировать в варианте с централизованной базой эталонов. В-третьих, неопределенность разрешения ситуации в случае отсутствия связи центральной базой: не загружать компьютер нельзя (сбой сетевого оборудования не должен приводить к выходу из строя локального рабочего места), а как загружать – не понятно. В-четвертых, база с эталонами становится объектом, содержащим биометрические персональные данные пользователей, который в свою очередь становится объектом, который нуждается в защите. Причем классифицироваться такая система может вплоть до класса К1 – в зависимости от ее объема.
Поэтому предъявления эталона пользователем является более приемлемым вариантом. Пользователь приносит на своем идентификаторе (TM-идентификаторе или USB-устройстве) биометрический эталон, этот эталон считывается в момент идентификации пользователя, проверяется возможность его использования именно на этом АРМ и проводится процедура биометрической верификации пользователя.
Идентификатор, отчуждаемый от компьютера, но неотчуждаемый от пользователя, вряд ли существенно отличается в части технических аспектов защиты информации от другого надежного аппаратного идентификатора. Однако в части обеспечения информационной безопасности – отличия есть, и в реальной жизни они могут оказаться очень существенными. К частям своего тела не относится халатно (не разбрасывает их где попало) даже тот человек, который, фигурально выражаясь (но именно фигурально!) готов даже свою голову где-то забыть. И еще – несанкционированный доступ по предварительному сговору с легальным пользователем – остается вполне реальным. Но возможен он только в присутствии этого самого легального пользователя. На это решиться, слава Богу, сложнее, а доказать предварительный сговор в этом случае – проще.
И, наконец, эта мера поможет дисциплинировать как операторов, так и Администраторов информационной безопасности, нет-нет, да и решающих завести один идентификатор на несколько пользователей с одинаковыми с точки зрения ОС ролями, мол, зачем несколько – пусть передают друг другу, роли-то одинаковые, права – тоже.
Устройства блокировки
Какой системный администратор, а тем более – администратор безопасности информации – не мечтал о «рубильнике»?
Контроллеры Аккорд могут быть оснащены двумя реле блокировки физических каналов. Через эти реле могут управляться специальные интерфейсные разъемы для подключаемых устройств. Это дает возможность администратору блокировать отдельным пользователям доступ к внешним (по отношению к контроллеру) устройствам, например, к СD-ROM или принтеру.
Контроллер Аккорд может быть оснащен отдельным реле управления питанием материнской платы. Если за N секунд (интервал, определенный администратором) не начал работу АМДЗ, то компьютер выключается.
Разграничение доступа к дисковым устройствам
Специально для этого предназначено устройство блокировки SATA-интерфейса.
Устройство поддерживает стандарты SATA (1.5 Гбит/с) и SATA-2 (3 ГБит/с). Опционально устройство может служить коммутатором SATA-устройств (подключение к SATA-хосту одного из двух SATA-устройств).
Комплектоваться этим устройством по отдельному заказу может любой из контроллеров Аккорд-АМДЗ.
Разграничение доступа к USB-портам
Тема разграничения доступа к USB-портам сегодня, наверное, даже популярнее пресловутых «инсайдеров». Нами разработано и производится устройство блокировки USB-интерфейса.
Устройство предназначено для блокировки 2-х портов USB, поддерживает стандарты USB 1.1 и USB 2.0.
Подключается устройство на внутренние разъемы USB на материнской плате, которые обычно выводятся на переднюю панель системного блока.
Таким образом, физически заблокировав доступ к внешним USB-разъемам на задней панели материнской платы, можно разграничить доступ пользователей к USB-портам, расположенным спереди или вынесенным на заднюю панель с помощью USB-брэкета (см. картинку).
Комплектоваться этим устройством по отдельному заказу может любой из контроллеров Аккорд-АМДЗ, оборудованных реле.
Очерк 2. Трудовая дисциплина VS Нелепые запреты
С помощью контроллеров семейства АККОРД можно выполнить правило «отчуждай и властвуй» почти в полном объеме. Персональный идентификатор позволяет отчуждать (и уносить с собой) часть информации, необходимой для запуска ОС, программируемый активный процессор контроллера позволяет отчуждать и выполнять в доверенной среде критичные вычисления и принимать решения на основе доверенных результатов.
Однако все это – на одном конкретном ПК.
Возникает вопрос, кто в доме хозяин?
Ответ с одной стороны очевиден – конечно, хозяином не может быть компьютер, потому что компьютер – это только инструмент, и любая зависимость от инструмента говорит о том, что что-то недостаточно продумано. Однако в то же время ответ и неочевиден, потому что один и тот же человек в разном качестве входит в разные «стаи». И в рамках «дома», называемого «место работы», хозяин – далеко не каждый пользователь каждого компьютера. Правила вырабатываются и устанавливаются централизованно, политики, права доступа и все остальное – задается и функционирует на уровне организации.
Однако у каждого из нас кроме корпоративной, есть и персональная сфера деятельности, частная жизнь, наконец, да и деловая активность, в которой мы выступаем хоть и корпоративно, но персонально (например, в командировках).
Для таких обстоятельств применение Аккорда-АМДЗ может быть не всегда удобно, да и нельзя не учитывать, что использование «полновесной» защиты на любом – произвольном компьютере – слишком дорого и организационно недостижимо. Неужели следует отказаться от доверенных вычислений?
Совсем не обязательно. Правильнее – снизить пафос и обеспечивать доверенную вычислительную среду только на те периоды, когда решаются задачи, для которых это необходимо. Но зато – на любом компьютере. То есть создать доверенный сеанс связи.
Разумная достаточность. Доверенный сеанс связи (ДСС)
Концепция ДСС развивается ОКБ САПР уже довольно давно. Суть концепции заключается в том, что компьютер практически всегда используется в незащищенных сетях, и только иногда – в защищенных. Значит, нужно добиваться не «тотальной» защиты, что дорого и неудобно, а защиты, при которой «опасные» ресурсы отделяются, и не могут использоваться тогда, когда необходима доверенная среда вычислений.
Необходимый уровень защищенности ПК обеспечивается только на те периоды времени, когда высокая защищенность действительно необходима.
При этом пользователи могут выбирать режим работы на своем ПК: обычный режим (без доступа к сервисам доверенной информационной системы (ИС)) и режим доверенного сеанса связи, в рамках которого обеспечивается защищённая работа с сервисами ИС.
Доверенный сеанс связи – период работы компьютера, в рамках которого обеспечивается доверенная загрузка ОС, организуется защищенное соединение, а также поддерживаются достаточные условия работы с ЭП.
Одна из очень существенных на сегодня задач – возможность использования именно произвольного, любого компьютера, приводит к тому, чтобы средство обеспечения доверенного сеанса связи было персональным, мобильным и могло применяться на любом СВТ. Такое устройство – средство обеспечения доверенного сеанса «МАРШ!», изготавливаемый в виде специализированного USB-устройства.
При начале доверенного сеанса связи пользователь загружается с «МАРШ!»а (из защищенной от записи памяти), обеспечивая тем самым доверенную среду, жесткий диск компьютера не используется. Далее стартует браузер и все сопутствующее программное обеспечение, необходимое для работы. В браузере в доверенном сеансе обеспечивается защищенный обмен информацией.
После загрузки ОС на компьютер клиента и старта браузера устанавливается доверенный сеанс связи с сервером (VPN-шлюзом) центральной ИС. Сервер ИС выполняет авторизацию пользователя на доступ к сервисам ИС и соединение с требуемым сервисом ИС.
Такой вариант организации, например, дистанционного банковского обслуживания (ДБО) представляется наиболее соответствующим современным требованиям.
Человеческий фактор. Разграничение доступа
Чем сложнее система, чем больше факторов на нее влияют, тем более она склонна к Хаосу. Особенно, если среди этих факторов – человеческий.
Закономерно, что многопользовательские ПК и тем более – терминальные системы – должны быть защищены даже более продуманно, чем ПК, на котором работает один пользователь или несколько, но с равными правами.
Использование штатных встроенных в операционные системы мониторов разграничения доступа ненадежно по уже подробно рассмотренной здесь причине – если проверка производится ресурсом, который подвержен изменениям, то быть уверенным в правильности этой проверки нет никаких оснований. Для того чтобы разграничение доступа было не формальным выполнением требований, а эффективным механизмом защиты, оно должно выполняться с помощью специальных средств защиты на аппаратной базе.
Программно-аппаратные комплексы средств защиты информации (ПАК СЗИ) Аккорд-Win32 и Win64 предназначены для разграничения доступа пользователей к рабочим станциям, терминалам и терминальным серверам.
ПАК СЗИ НСД Аккорд обеспечивает:
- защиту от несанкционированного доступа к ПЭВМ;
- идентификацию / аутентификацию пользователей до загрузки операционной системы с последующей передачей результатов успешной идентификации/аутентификации в операционную систему;
- аппаратный контроль целостности системных файлов и критичных разделов реестра;
- доверенную загрузку ОС;
- контроль целостности программ и данных, их защиту от несанкционированных модификаций;
- создание индивидуальной для каждого пользователя изолированной рабочей программной среды;
- запрет запуска неразрешенных программ;
- разграничение доступа пользователей к массивам данных и программам с помощью дискреционного контроля доступа;
- разграничение доступа пользователей и процессов к массивам данных с помощью мандатного контроля доступа;
- автоматическое ведение протокола регистрируемых событий в энергонезависимой памяти аппаратной части комплекса;
- усиленную аутентификацию терминальных станций с помощью контроллера Аккорд или ПСКЗИ ШИПКА;
- идентификацию / аутентификацию пользователей, подключающихся к терминальному серверу (с использованием ТМ-идентификатора или ПСКЗИ ШИПКА);
- опциональную автоматическую идентификацию в системе Windows NT+ и на терминальном сервере пользователей, аутентифицированных защитными механизмами контроллера АМДЗ (при таком подходе, избегая повторной идентификации пользователей, можно гарантировать, что ОС будет загружена под именем того же пользователя, который был аутентифицирован в контроллере АМДЗ, и к терминальному серверу подключится тот же самый пользователь);
- управление терминальными сессиями;
- контроль печати на принтерах, подключенных как к терминальным серверам, так и к пользовательским терминалам, который позволяет протоколировать вывод документов на печать и маркировать эти документы (в качестве маркера может выступать гриф секретности документа, имя пользователя, имя принтера, имя документа и другая служебная информация).
Комплекс использует собственную систему разграничения доступа (мандатный и дискреционный методы контроля) и служит фильтром между ядром ОС и расположенным выше прикладным ПО терминальных служб. Это значит, что действия, разрешенные прикладным ПО, но запрещенные АККОРДОМ – будут запрещены пользователю.
Комплексная защита терминальной сессии обеспечивается тогда и только тогда, когда пользователь может работать только с защищенного терминала и только с защищенным терминальным сервером. Для этого в момент создания терминальной сессии со стороны терминального сервера необходимо аутентифицировать не только пользователя, но и терминал, а со стороны терминала необходимо убедиться в том, что терминальный сервер действительно тот, с которым должен работать пользователь. Это возможно только при наличии активных СЗИ и на терминале, и на сервере.
Стало быть, для защиты терминальной сессии необходимо установить комплекс не только на терминальный сервер, но и на терминалы.
В предлагаемой системе защиты терминальных сессий комплексы Аккорд, установленные на терминальных серверах и на пользовательских терминалах, взаимодействуют в рамках виртуальных каналов, построенных на протоколах RDP и ICA. Это позволяет использовать уже установленную связь между сервером и терминалом, а не устанавливать новую.
При этом состав полномочий пользователя инвариантен как к протоколу подключения, так и к типу терминального сервера (Microsoft или Citrix).
В течение всего сеанса работы пользователя ведется подробный журнал событий, в котором фиксируются все действия пользователя на терминальном сервере.
Программное обеспечение комплексов позволяет администратору безопасности информации описать любую не противоречивую политику безопасности на основе наиболее полного набора атрибутов:
Кроме этого, администратор безопасности информации для каждого субъекта – пользователя системы определяет:
- перечень файлов, целостность которых должна контролироваться системой и опции контроля;
- запуск стартовой задачи (для функционально замкнутых систем);
- наличие, либо отсутствие привилегий супервизора;
- детальность журнала доступа;
- назначение/изменение пароля для аутентификации;
- временные ограничения – время по дням недели (с дискретностью 30 мин), в которое разрешено начало работ для данного субъекта;
- параметры управления экраном – гашение экрана через заранее определенный интервал времени (в случае, если в течение указанного интервала действия оператором не выполнялись), подача соответствующих звуковых и визуальных сигналов.
Также в СПО Аккорд реализована возможность контроля доступа к USB-устройствам и контроля печати на принтерах (сетевых, локальных и виртуальных), который позволяет протоколировать вывод документов на печать из любой программы, предполагающей возможность вывода на печать, и маркировать эти документ. В качестве маркера может выступать, например, гриф секретности документа, имя пользователя, имя принтера, имя документа и другая служебная информация.
В течение всего сеанса работы пользователя ведется подробный журнал событий, в котором фиксируются все действия пользователя на терминальном сервере.
ПАК СЗИ НСД Аккорд сертифицированы ФСТЭК России для применения на объектах информатизации второй категории.
Очерк 3. Знания VS Догмы
Тенденцией нашего времени стало то, что средства защиты информации начинают выбирать не только исходя из перечня их свойств и абстрактных преимуществ одного перед другим, а исходя из потребностей той системы, в которой их планируется применять. Это закономерный шаг вперед, поскольку в плюсах и минусах технических реализаций представленных на рынке средств специалисты уже прекрасно разбираются, и взять их на пушку «защищать информацию можно только так» уже нельзя.
Более того, если говорить о криптографических средствах, то многие технические сомнения снимаются данными о том, какие именно алгоритмы реализованы в устройстве (или программе), программно или аппаратно выполняются вычисления, откуда берутся, где хранятся и как обрабатываются ключи, и, наконец, есть ли у средства защиты сертификаты, и какие именно.
Значит ли это, что выбор криптографического средства становится формальным? Думается, что нет. Это значит, что на первый план выходит соответствие средств защиты задачам конкретной системы.
Инфраструктура PKI – распределения открытых ключей – является основным инфраструктурным элементом организации защищенной коммуникации с использованием информационных систем и сетей связи.
Коммуникация – это не однородное понятие.
Мы можем вступать в коммуникацию в одной из трех ипостасей
- как личность с другой личностью,
- как гражданин с различными государственными институтами,
- как член гражданского общества с другими его членами или обществом в целом.
Эти виды взаимодействия значительно различаются, и вступаем мы в них с разными целями. Как личность я встречаюсь в кафе с друзьями, как гражданин государства я взаимодействую с его представителями – чиновниками различного уровня, как член гражданского общества – посещаю массовые мероприятия, вступаю в клубы по интересам и пишу на профессиональных форумах в Интернете.
В сфере электронного информационного взаимодействия актуальны те же принципы – человек вступает в коммуникацию либо с личностью, либо с государством, либо с обществом. Учет особенностей коммуникации поможет свести к минимуму существенную часть трудностей, возникающих при внедрении криптографии в информационную систему, ведь большинство этих трудностей связано именно с тем, что на систему накладываются не совсем подходящие для нее защитные механизмы. Применяя инфраструктурные решения, соответствующие виду взаимодействия, трудности внедрения можно, по крайней мере, значительно ослабить.
К решению проблемы обмена открытыми ключами (а соответственно, к построению PKI) может быть три подхода:
1. обмен ключами непосредственно между пользователями (личностями) – прямой обмен ключами «из рук в руки» ,
2. система «паспортов», когда удостоверение связи открытого ключа и пользователя вменяется в обязанность уполномоченной организации, которой пользователи должны доверять - система Удостоверяющих Центров,
3. система общественных поручителей (когда пользователи подписывают открытые ключи других пользователей, «ручаясь» за его подлинность) – «сеть доверия» .
Российская инфраструктура открытых ключей до сих пор строилась преимущественно по иерархическому принципу – системы удостоверяющих центров, выдающих цифровые сертификаты. Это логично, поскольку PKI в нашей стране получает распространение через государственные институты к общественным, а не наоборот.
Однако вне парадигмы «гражданин – государственный институт» такой способ построения документооборота не всегда удобен.
С одной стороны, если организация небольшая и не распределенная, не имеет большого количества удаленных один от другого филиалов, а документы, циркулирующие в системе, используются только внутри организации и не предназначены для предъявления другим секторам действенности, то включение в систему документооборота удостоверяющего центра и принятие всех связанных с этим орг.мер, просто не целесообразно.
С другой стороны, иерархическая система имеет особенность, критичную для крупных и территориально распределенных организаций, для которых принципиальное значение имеет бесперебойность работы с электронными документами, обрабатываемыми в их системе. Речь идет о том, что система удостоверяющих центров предполагает наличие «цепочки сертификатов». Логика иерархической системы такова, что отзыв сертификата одного из УЦ разрушает всю цепочку ниже его. Это может вызвать коллапс системы электронного документооборота на предприятии.
В случае если речь идет об обращении гражданина в государственные органы или о взаимодействии государственных органов между собой, то применение цифровых сертификатов просто обязательно.
Однако для других целей (например, построения защищенной системы ЭДО в крупной организации, распределенной территориально) может быть целесообразной создание собственной «сети доверия».
В основе «сети доверия» лежит очень простая логика: когда человек вступает в коммуникацию как член гражданского общества, а не как представитель государства, он не обязан включать в свою коммуникацию никакую организацию, даже уполномоченную государством. Поэтому удостоверять принадлежность открытого ключа человеку может другой человек, убежденный в этой принадлежности, путем подписания этого ключа собственной ЭЦП.
Эта система лежит в основе стандарта OpenPGP, на котором базируется программа PGP (Pretty Good Privacy). PGP сложна в настройке и не работает с российскими криптоалгоритмами, однако сегодня на российском рынке уже есть отечественные средства криптографической защиты информации, работающие в этой логике с российскими алгоритмами и несложно настраиваемые.
Сертификат принято сравнивать с паспортом. Это сравнение очень удачно и в том смысле, что сертификат – универсален. И это, как ни странно, определяет ограничения его применимости.
Паспорт – документ намного более «официальный», чем, например, читательский билет в библиотеку. Но именно по читательскому билету Вас пропустят в тот или иной зал РГБ, потому что право на работу в том или ином зале отражено именно в читательском билете, а в паспорте ничего про это нет. Более того, если занести сведения об этом в паспорт, то он станет недействительным. Так и с сертификатами – в них уже ничего не добавишь.
Сеть доверия на уровне организации позволяет решать очень важную задачу – задачу разграничения ключей, предназначенных для разных задач. Хорошо понятно, что применять одни и те же ключи для разных задач – неверно, так как риск компрометации возрастает, а степень контролируемости – снижается.
Снимается эта проблема, как правило, орг.мерами. При генерации сертификатов, и в отдельных случаях – ключей, можно ограничить его назначение. Однако это довольно «крупные мазки» – шифрование, подпись, защита электронной почты... Это очень важно. Однако для более «тонкой настройки» все равно необходимо прибегать к орг.мерам, потому что владелец системы (или ответственный за те или иные ее ключевые сегменты) в праве, и даже обязан быть уверенным, для шифрования или подписи ЧЕГО, для защиты КАКИХ сообщений электронной почты, при взаимодействии С КЕМ используется тот или иной ключ.
Что они могут предпринять? Могут зарегистрировать сертификаты (ключи) в каком-то журнале (бумажном или электронном). Это очень полезно. Однако этот факт никак не отражается на самом сертификате. Проверить, для чего же он зарегистрирован, можно только по журналу (то есть постфактум, при разборе), либо в том случае, если система регистрации интегрирована глубоко в систему, что означает дорогостоящую и сложную доработку информационной системы.
Если же проверить, для чего зарегистрирован сертификат, можно только по журналу, то, например, получая подписанное сообщение электронной почты, я могу получить информацию о том, верна ли подпись, но не могу получить информацию о том, как мне воспринимать подписанное на этом ключе письмо. Я должна уточнить это у кого-то, или понадеяться на собственную информированность.
Сеть доверия же позволяет не рассчитывать на информированность и аккуратность пользователя, так как эта технология предполагает возможность подписывать ключи. То есть регистрация ключа как предназначенного для той или иной задачи, отражается не только в некоем журнале, но и непосредственно в самом ключе: в поле подписей появляется подпись уполномоченного сотрудника подразделения, которая подтверждает, что данный конкретный ключ предназначен для данной конкретной цели.
В этом случае я как получатель защищенных данных могу самостоятельно – по открытому ключу отправителя – определить, правомерно ли он использовал данный ключ, могу ли я доверять полученным данным не только с точки зрения техники защиты, но и с точки зрения регламента работы в организации.
В небольшой же компании может быть наиболее удобным прямой обмен ключами, если используемое техническое средство позволяет производить его удобно и защищенно.
Согласно ФЗ «Об электронной подписи» все три подхода к PKI позволяют (при условии соответствия используемого технического средства изложенным в законе требованиям) организовывать систему электронного документооборота или электронную коммуникацию, защищенную не только простой, но и усиленной ЭП.
Остается только один фактор, ограничивающий владельца системы или участников отношений в выборе: они могут использовать только те механизмы, которые предоставляют им технические средства ЭП.
Сегодня на российском рынке есть СКЗИ, удовлетворяющие как требованиям регуляторов на класс КС3, и при этом предоставляющие возможность использования ЭП с применением любого из трех подходов к организации PKI. Поскольку эти средства российской разработки, и их архитектура предполагает возможность адаптации для задач и особенностей различных систем, то построение систем на основе этих средств не только обеспечит необходимый уровень информационной безопасности, но и существенно упростит и ускорит разработку и внедрение систем, в которых должна применяться ЭП.
Нет, в принципе, никаких препятствий к тому, чтобы во всех случаях для организации доверенного обмена информацией использовать систему цифровых сертификатов, равно как вполне можно пускать знакомых в квартиру только по предъявлении паспорта, например. Однако не случайно где-то спрашивают паспорт, где-то пропуск, а где-то – медицинскую справку. Для разных систем актуальны разные документы, формирующиеся, обрабатывающиеся и предъявляющиеся по-разному. Разными должны быть и средства защиты.
Очерк 4. Свобода VS безответственность
Мы не согласны, что свобода в анонимности (хотя следует признать, что иногда это может стать необходимым, но всё-таки недостаточным условием). Свобода – в возможности ограничить доступ к своей частной (и корпоративной) жизни, не скрывая себя.
Существует средство, позволяющее решить две важнейшие проблемы современного мира:
1. защитить от посторонних глаз то, что Вам хочется скрыть и
2. обрести уверенность в том, что в диалоге участвует именно тот человек, которого Вы подразумеваете, и что он получает именно то, что Вы ему пишете, а Вы – именно то, что пишет Вам он .
Это средство – Персональное средство криптографической защиты информации (ПСКЗИ) ШИПКА (Шифрование-Идентификация-Подпись-Коды аутентификации).
ПСКЗИ ШИПКА
ШИПКА3 – это USB-устройство, представляющее собой «специализированный компьютер» размером со среднюю флешку. Этот компьютер имеет собственный процессор, который реализует криптографические алгоритмы – самостоятельно, без участия процессора того компьютера, к USB-разъему которого ШИПКА подключена.
Криптографическая защита информации – это, в первую очередь, шифрование и электронная цифровая подпись (ЭЦП).
Искушенные пользователи прекрасно знают, что зашифровать файл или подписать его ЭЦП можно и без дополнительного устройства – с помощью ПО, устанавливаемого на компьютер. Однако при этом нужно иметь в виду «тонкие места», которые могут свести на нет все защитные свойства таких преобразований.
Они заключаются в том, как и где производится преобразование данных.
Первое тонкое место – как генерируется и где хранится ключ (или ключевая пара).
Генерировать ключи в компьютере – опасно, поскольку это среда не надежная, позволяющая злоумышленнику, например, подсунуть пользователю заранее записанный ключ, или сгенерировать ключ так, чтобы его было можно просчитать. ШИПКА генерирует ключи самостоятельно, имея для этого физический датчик случайных чисел.
Хранить ключ в памяти компьютера опасно потому, что существуют различные возможности его оттуда извлечь или восстановить. Кроме того, ключи человеку могут понадобиться не только на своем ПК, а записывать такую информацию на разного рода носители – еще более опасно! В случае же с использованием ШИПКИ ключи в с е г д а доступны их владельцу, но н и к о г д а не доступны никому другому.
Второе тонкое место – правильность реализации самого преобразования. ПО компьютера может быть модифицировано злоумышленником таким образом, что, создавая видимость зашифровывания, в действительности оно будет производить совсем другие действия, никак не защищающие, а возможно, даже разрушающие данные. Кроме того, даже если преобразование протекает правильно – в этот момент ничто не мешает злоумышленнику перехватить ключ.
ШИПКА выполняет все защитные действия, не обращаясь к ПО компьютера: она в этом не нуждается, поскольку сама является компьютером. При этом ПО ШИПКИ невозможно модифицировать извне, поэтому ШИПКА – это доверенная среда, значит, преобразованиям, которые она выполняет, можно доверять.
При всем при этом ШИПКА – это небольшое по размеру и простое в использовании устройство, которое не нужно устанавливать внутрь компьютера с помощью отвертки и специальных знаний. Использовать ее можно везде, где имеется возможность инсталлировать ее ПО.
Необходимо, однако, помнить, что ШИПКА – это СКЗИ, и значит, ее применение требует создания среды функционирования СКЗИ (СФК).
Очерк 5. PRIVACY VS Хаос
Порядком часто оправдывают тиранию, приравнивая, соответственно, к Хаосу демократию, либерализм и уважение прав и свобод.
Мы это мнение не разделяем. Порядок – это, в частности, когда человек сам решает, в какой мере его частная жизнь должна быть общественным достоянием. Это когда человек может влиять на то, как организован его обмен информацией с теми или иными абонентами. Причем, что не маловажно, любой человек, а не только супер-профессионал, или тот самый Человек, которого «мы знаем».
Именно для этого создаются инфраструктуры вообще, и инфраструктура открытых ключей (ИОК, или PKI), в частности.
Значит, должны быть инструменты для использования этой инфраструктуры не только отдельными специалистами или в отдельных корпоративных системах. У нас есть такой инструмент – ПАК PRIVACY.
Итак, PRIVACY – это программно-аппаратный комплекс, аппаратной частью которого является ПСКЗИ ШИПКА, а программной – набор модулей для
- работы с ключами,
- шифрования файлов и папок,
- защиты (с помощью шифрования и ЭЦП) сообщений электронной почты,
- защиты (с помощью шифрования и ЭЦП) мгновенных сообщений (ICQ и т. п., далее – ICQ),
- работы с защищенными виртуальными дисками.
Программная часть комплекса является интерфейсом для использования функций ШИПКИ, то есть все криптографические преобразования и работа с ключами производятся исключительно процессором ШИПКИ, а не в ОС ПК, на котором установлена PRIVACY.
Работа с ключами
Средствами PRIVACY можно генерировать ключи и ключевые пары с помощью ПСКЗИ ШИПКА, работать с симметричными ключами уже созданными в ПСКЗИ ШИПКА, импортировать и экспортировать ключи, подписывать импортированные открытые ключи, а также удалять ключи и ключевые пары.
Сообщения электронной почты и ICQ защищаются с помощью асимметричной криптографии (то есть шифруются либо подписываются с использованием ключевых пар), а файлы и папки на жестком диске, а также виртуальные диски – с помощью симметричной криптографии (шифруются на симметричных ключах – ключах шифрования).
Обмен открытыми ключами между пользователями осуществляется путем передачи сертификата открытого ключа по электронной почте или каким-либо иным способом (с дискеты или флешки).
PRIVACY поддерживает работу с сертификатами двух видов: внутреннего формата и формата X.509. Внутренний формат сертификата открытого ключа предназначен только для пользователей PRIVACY и содержит необходимую информацию для проверки подлинности открытого ключа.
Поддержка формата X.509 позволяет обмениваться зашифрованными сообщениями с пользователями других программных продуктов, основанных на применении асимметричной криптографии с использованием сертификатов данного вида, являющегося стандартным для большинства приложений.
Защита переписки по электронной почте или ICQ
Для защиты электронной почты и ICQ в PRIVACY предназначены два сервиса. Один из сервисов контролирует передачу данных по электронной почте, второй анализирует трафик от клиентов программ для обмена мгновенными сообщениями.
Анализ трафика средствами, входящими в PRIVACY, позволяет использовать любые почтовые клиенты, поддерживающие протоколы MIME, S/MIME, PGP/MIME, а также клиенты обмена мгновенными сообщениями по протоколу OSCAR.
Настроить свою учетную запись в Privacy очень просто благодаря продуманному интерфейсу и подсказкам, а в случае с ICQ эта настройка и вовсе сводится к введению своего UIN – номера ICQ.
Защита файлов
PRIVACY позволяет хранить файлы и папки на жестком диске в зашифрованном виде. Для шифрования файла необходимо выбрать симметричный ключ, который должен быть сгенерирован в ПСКЗИ ШИПКА средствами PRIVACY или средствами другого приложения заранее, и указать те файлы или папки, которые требуется зашифровать.
В процессе расшифровывания файла ключ подбирается автоматически без участия пользователя.
Для передачи зашифрованного файла или для того, чтобы оставить возможность ознакомиться с его содержанием кому-то еще, можно выбрать шифрование на ключе получателя. При этом необходимо указать ключ получателя и свой ключ из пары, открытый ключ которой есть у получателя.
Виртуальные диски
Виртуальный диск для пользователя выглядит как любой другой локальный диск (например, О: или M: и т. д.), хотя на самом деле он является файлом, который находится на жестком диске пользователя.
На виртуальном диске можно создавать файлы и каталоги, устанавливать приложения, работать с ним средствами Windows. При записи на виртуальный диск данные шифруются, а при чтении расшифровываются «на лету» (то есть пользователь не отдает для этого специальной команды – это происходит автоматически). Средства PRIVACY позволяют пользователю работать с таким файлом.
Пользователь может выбрать размер, файловую систему и обозначение для виртуального диска.
При этом если к компьютеру не подключена ШИПКА (или подключена, но в интерфейсе PRIVACY не установлена опция «подключить виртуальный диск»), – то в списке дисков просто не будет диска с таким именем, а файл в папке (выбранной пользователем при организации виртуального диска) – не будет читаться никаким способом.
Возможна организация общего для нескольких пользователей виртуального диска, для этого нужно только правильно распределить ключи.
Как уже отмечалось выше, при работе с PRIVACY все процедуры обработки данных происходят внутри ПСКЗИ ШИПКА и вся ключевая информация пользователей, включая и открытые ключи других абонентов, хранятся в памяти устройства, что не только надежно, но и удобно, так как не требуется никаких дополнительных носителей. Правило «отчуждай и властвуй» выполняется в случае с PRIVACY на всех уровнях – отчуждается как критичная по значимости информация, так и критичные по значимости процедуры.
Организация PRIVACY по актуальной сегодня системе «единого окна» существенно облегчает работу с функциями ПСКЗИ ШИПКА и делает ее доступной даже для не очень опытных пользователей.
Ключи в сети доверия
ПАК Privacy на базе ПСКЗИ ШИПКА предоставляет возможности организации распределения ключей по горизонтальной (не иерархической) схеме – «Сеть доверия» или Web of Trust.
Применение ШИПКИ обеспечивает конфиденциальность закрытых ключей на протяжении всего их жизненного цикла и корректность криптографических преобразований, а программная надстройка Privacy обеспечивает организацию работы с ключами.
Инфраструктура открытых ключей в Privacy организована по принципу «сети доверия» – стандарта OpenPGP, известного в наибольшей степени по программе PGP. При этом Privacy работает не только с импортной, но и с российской криптографией, являясь интерфейсной программной надстройкой над сертифицированным по классу КС3 российским криптосредством.
«Сеть доверия» (Web of trust) – это система, в которой в качестве метода подтверждения принадлежности открытого ключа тому или иному пользователю применяется подписывание ключей, подлинность которых установлена, непосредственно пользователями. В этом случае решение о доверии тому или иному ключу пользователь принимает самостоятельно, под свою ответственность, на основании доверия тем доводам, которые он сам считает достаточными (сличение отпечатка, наличие подписи лица, которому он доверяет на ключе, которому он доверяет, и т. д.).
Ситуации, в которых пользователь принимает решение о том, доверять ли ключу, можно разделить на две большие группы:
Первый случай– получатель открытого ключа лично знаком с владельцем закрытого ключа, которому соответствует полученный открытый ключ, и может с ним связаться. Тогда для того чтобы проверить подлинность открытого ключа, получателю достаточно найти в «свойствах ключа» его электронный отпечаток (Fingerprint), и сверить этот отпечаток с отпечатком ключа владельца, созвонившись с ним по телефону. Если отпечатки совпали, то можно смело подписывать полученный открытый ключ, а если нет, то ключ следует удалить и попробовать получить новый, используя другой, более надежный канал передачи.
Заметим, что даже получая ключ при личной встрече, «из рук в руки», лучше сверить отпечатки, если нет оснований безусловно доверять защищенности компьютера, через который осуществляется передача.
Возможен второй случай – получатель не знаком лично с владельцем закрытого ключа, которому соответствует полученный открытый ключ, но им необходимо вести защищённую переписку. Тогда для обеспечения доверия ключу необходим общий знакомый, которому доверяют оба абонента. В этом случае проверка подлинности заключается в том, чтобы общий знакомый получил открытый ключ, проверил его подлинность, подписал его своим ключом (подлинность которого оба абонента могут проверить) и отправил ключ адресату. Соответственно, если получен открытый ключ, подписанный на ключе, которому получатель доверяет, он признает его подлинным.
При этом, конечно, нельзя забывать о том, что решение о доверии ключу может быть принято пользователем легкомысленно, безосновательно или ошибочно. Поэтому для построения защищенного обмена сообщениями по электронной почте в организации целесообразно вменить проверку подлинности ключей специально назначенному ответственному лицу или подразделению, которое будет подписывать ключи своим ключом, гарантируя их подлинность, возможно, фиксировать в журнале.
Заметим, что фиксация в журнале таких подробностей никак не повышает риска компрометации закрытых ключей этих пар, поскольку в ШИПКЕ работа с ключами организована так, что никакая значимая с точки зрения безопасности информация о закрытом ключе не показывается пользователю никаким способом.
Анонимность и неотказуемость VS Коррупция
Бывает, что лицо, подписавшее документ (например, экспертный отчет) должно оставаться неизвестным третьим лицам (например, авторам материала, подвергнутого экспертизе). Причины очевидны – исключить коррупционную составляющую, а также последующую месть в случае отрицательного отчета.
Однако каждый, кто выступал либо экспертом, либо автором «экспертируемого» материала – подтвердит, что ознакомить автора неудачного проекта с замечаниями эксперта могло бы быть в очень значительной мере полезно – это помогло бы ему улучшить содержание и оформление работы, убедиться в том, существенны ли замечания, или его «засудили».
Ни эксперты, ни авторы материалов, в отношении которых проводится экспертиза, не были бы против раскрытия материалов отчета, если бы при этом была гарантирована их анонимность.
В то же время, очевидно, что анонимность экспертизы недопустима, поскольку снимает с эксперта персональную ответственность за ее качество и создает почву для злоупотреблений уже против авторов, чьи труды – объект экспертизы – не анонимны.
Получается, что получающая сторона должна быть уверена в источнике (отправителе) и подлинности (неизмененности) полученной информации, неотказуемость эксперта от своей экспертизы должна быть надежно обеспечена, но при этом до возникновения необходимости установления автора экспертизы в связи с разбором того или иного инцидента, должна надежно сохраняться анонимность экспертизы.
Выстроить такую ситуацию вполне возможно – с применением электронной подписи, ключи которой распределяются в инфраструктуре «Сети доверия».
Особенность ситуации в том, что задача сохранить анонимность подписанта требует, чтобы ключ не имел легко интерпретируемой связи с человеком. А значит, усложняется проблема доверия ключу – доверять надо вообще не понятно, чему.
Поэтому для построения защищенного обмена документами с экспертами целесообразно вменить проверку и подтверждение подлинности ключей специально назначенному ответственному лицу или подразделению, которое будет подписывать ключи своим ключом, гарантируя их подлинность, и ключи которого, в свою очередь будут доверенными для всех участников обмена.
В случае с организацией работы с экспертами схема может быть такой.
1. Уполномоченное подразделение, назовем его «отдел К», наделяет троих сотрудников правом удостоверять подлинность открытых ключей участников информационного обмена. Каждый из них генерирует с помощью Privacy пару ключей, и в специальном журнале фиксируются записи, содержащие ФИО и должность сотрудников, серийные номера их ШИПОК, имя, ID и прочие свойства пар, выработанных для данной задачи, включая их Fingerprint'ы и сроки действия. Можно сохранять снимок экрана со свойствами ключа в файл. Имя файла со снимком может иметь имя, совпадающее с порядковым номером учетной записи.
В качестве дополнительной организационной меры, которая может пригодиться в случае непре
