«Невидимые» чернила, узелки на нитках, различные способы скрытого письма между строк –люди предпринимали попытки сокрытия не только содержания передаваемой информации, но и самого факта передачи информации с древнейших времен и не оставляют эти попытки по сей день. С течением времени развитие распределенных информационных технологий привело в качестве побочного эффекта к появлению целого класса угроз информационной безопасности, связанных с использованием скрытых, или «потайных», каналов передачи информации, непредусмотренных разработчиком технологии или системы, а комплекс методов скрытой передачи данных, представленных в электронной форме, составил отдельное направление, получившее название компьютерная стеганография.
Классическим примером, иллюстрирующим сущность скрытых каналов (далее – СК), является возможность отображения на уровне сегмента сети, для которого требуется обеспечение низкого уровня безопасности, названий каталогов и файлов, созданных на уровне сегмента сети, для которого требуется обеспечение высокого уровня безопасности. При этом информация может передаваться, например, в неявном закодированном виде в сформированных определенным условным способом именах файлов, атрибутах, даже размерах и датах изменения файлов и т. д. Наконец, сам факт существования файла с определенным названием содержит в себе один бит информации, передаваемый с высокого уровня на низкий. Например, появление в папке файла с условленным названием может стать сигналом «пуск» для вредоносного ПО, до этого мирно мониторящего папку на предмет наличия такого файла.
В общем случае СК могут использоваться злоумышленником для внедрения вредоносных программ и данных, передачи внедренному в защищаемую систему программному агенту команд для выполнения, организации утечки отдельных информационных ресурсов и пр.
К сожалению, традиционные средства защиты, по крайней мере, при типовом конфигурировании, способны контролировать только те информационные потоки, которые проходят по каналам, предназначенным для их передачи. Очевидно, что в системах, требующих обеспечения повышенного уровня доверия, должны учитываться угрозы безопасности информации, обусловленные наличием возможности несанкционированных действий с использованием СК. Следовательно, для удовлетворения потребности в обеспечении безопасности надлежащего уровня, позволяющего блокировать угрозы безопасности, возникающие вследствие наличия возможности несанкционированных воздействий с помощью СК, должны создаваться специальные методы и механизмы защиты.
Одним из наиболее очевидных методов противодействия опасным СК является использование однонаправленной сети, или диода данных (data diode) – механизма, позволяющего осуществлять передачу данных только в одном направлении. В средах с повышенными требованиями к безопасности информации диод данных используется при соединении между двумя или более сетями с различающимися уровнями чувствительности информации и, соответственно, различающимися уровнями защиты, как показано на рисунке 1.
Рисунок 1 – Применение диода данных в сетях с различными уровнями чувствительности информации
Преимущества для пользователей сети с высоким уровнем защиты заключаются в том, что их данные остаются конфиденциальными, и при этом у них остается возможность получения доступа к данным стороны с низким уровнем защиты. Подобная функциональность может быть востребована, например, в том случае, если чувствительные данные хранятся в сети, которой требуется подключение к сети Интернет.
Однако хотя односторонний канал данных обеспечивает исключительно высокий уровень защиты данных, размещенных в защищенном сегменте сети, его применение обусловливает возникновение дилеммы, связанной с потребностью в верификации данных, которая является критичной в большинстве систем передачи данных. В частности, протоколы, обычно используемые в сетевых соединениях, такие как TCP/IP, не могут использоваться в однонаправленных сетях передачи данных, поскольку требуют пересылки подтверждений приема.
Наличие известных трудностей заставляет искать альтернативные решения в качестве основы для построения однонаправленных каналов передачи данных. Одним из таких альтернативных механизмов является организация однонаправленного канала передачи данных на базе защищенного служебного носителя информации.
Обобщенная схема защищенного служебного носителя информации приведена на рисунке 2.
Рисунок 2 - Обобщенная схема защищенного служебного носителя информации
Носитель информации, показанный на рисунке 2, представляет собой запоминающее устройство, содержащее пользовательские данные и удовлетворяющее спецификации для USB-устройств класса Mass Storage. Исполнительный механизм для ограничения доступа к носителю информации реализован в блоке ограничения доступа. При этом блок ограничения доступа получает управляющие воздействия со стороны вычислителя, который реализован в виде микропроцессорного устройства, также выполняющего операции, связанные с идентификацией и аутентификацией пользователя при доступе к пользовательским данным, содержащимся на носителе информации. Безопасность хранения ключей в энергонезависимой памяти вычислителя базируется на отсутствии доступных для злоумышленника процедур, позволяющих получить значения ключей аутентификации.
Определяющим механизмом, положенным в основу концепции рассматриваемой архитектуры защищенного служебного носителя информации является процедура регистрации. При этом различаются процедуры первичной и повторной регистрации. Первичная регистрация позволяет ему функционировать на обособленном компьютере или в заданном сегменте сети (в зависимости от модификации защищенного служебного носителя информации, определяющей возможность его сопоставления либо с выделенным компьютером, либо с сегментом сети). Повторная регистрация предназначена для расширения области его функционирования за счет дополнительных «дружественных» обособленных рабочих станций или сегментов сети.
В целях реализации однонаправленного канала передачи данных процедура регистрации должна быть параметризована таким образом, чтобы предусматривать возможность задания режима доступа («только чтение», «только запись», «чтение и запись») к носителю информации на обособленном компьютере или в сегменте сети. В этом случае при регистрации защищенного служебного носителя информации администратором безопасности в сегменте сети с низким уровнем защищенности для него должен быть установлен режим «чтение и запись» или «только запись», а при регистрации в сегменте сети с высоким уровнем защищенности «только чтение». Информация о заданных режимах доступа сохраняется во внутренней энергонезависимой памяти вычислителя. Реализация данного подхода принципиально возможна, поскольку механизм для ограничения доступа к носителю информации реализован в блоке ограничения доступа, в свою очередь управляемом программой, также записанной во внутренней энергонезависимой памяти вычислителя.
Таким образом, общий алгоритм работы защищенного служебного носителя информации, реализующего односторонний канал передачи данных, выглядит следующим образом:
1) после подключения к соответствующему разъему компьютера вычислитель начинает исполнять программу, записанную в его внутренней энергонезависимой памяти (при этом блок ограничения доступа запрещает обращение к носителю информации со стороны интерфейса USB);
2) вычислитель как USB-устройство выполняет функции подключения к интерфейсу USB в соответствии с технологией Plug and Play, в результате чего операционная система компьютера распознает устройство и загружает его драйвер;
3) вычислитель получает необходимые данные для проведения:
? идентификации и аутентификации пользователя;
? определения, производилась ли ранее регистрация на данной рабочей станции (относится ли она к числу рабочих станций, на которых разрешается получение доступа к пользовательским данным, содержащимся на носителе информации; в ходе проверки выполняется процедура криптографической взаимной аутентификации защищенного служебного носителя информации и системы);
? определения заданного режима доступа к пользовательским данным, заданного на этапе регистрации в зависимости от уровня защищенности сегмента сети;
4) вычислитель после получения необходимых данных выполняет вычисления, результатом которых является принятие решения об открытии доступа к носителю информации с учетом заданного режима доступа;
5) если проверки не увенчались успехом, то в доступе будет отказано, вычислитель не направит в блок ограничения доступа команду, разрешающую обращение к носителю информации со стороны интерфейса USB; таким образом, доступ к носителю информации будет по-прежнему запрещен, а вычислитель возвращается в состояние ожидания необходимых данных;
6) если проверки выполнены успешно, вычислитель посылает в блок ограничения доступа команду, разрешающую обращение к носителю информации со стороны интерфейса USB в рамках заданного режима доступа, и поддерживает его в таком состоянии до отключения питания.
Таким образом можно, например, организовать передачу на ресурс, являющийся ИСПДн К1 (и защищенный соответствующим образом), производящий агрегацию ПДн невысоких категорий, собираемых и обрабатываемых на отдельных ресурсах невысокого класса ИСПДн, но которые, будучи собранными вместе, дают «новое качество». При построении технологии работы с ПДн таким способом (путем сегментирования) – совершенно необходимо исключить возможность «соединения» данных где-либо кроме выделенного ресурса, защищенного по классу ИСПДн К1, поэтому запись на каждый отдельный служебный носитель должна быть возможно только в «своем» сегменте, а не «где угодно, кроме» центрального обобщающего ресурса, иначе интересующую совокупность данных можно было бы собрать на самом служебном носителе.
Приведенный алгоритм позволяет на физическом уровне блокировать попытки записи данных при подключении устройства к сегменту с высоким уровнем защиты, тем самым неизбежно перекрывая как СК, основанные на наличии памяти, так и статистические СК. Использование скрытых каналов по времени представляется затруднительным уже в силу самой физической природы служебного носителя информации, предполагающей асинхронность передачи порций данных.
Любопытно, что описанный односторонний канал передачи данных может быть «направлен» и в обратную сторону – в целях формирования доверенной стороны как источника информации с повышенным уровнем обеспечения целостности и доступности.
Допустим, для того чтобы исключить заражения ресурса, на котором расположен ФАП (фонд алгоритмов и программ) организации вирусами с компьютеров, на которые оттуда переносятся данные (через сетевой ли доступ или через флешки администраторов, которые неизбежно подключаются к администрируемым компьютерам пользователей для установки ПО, записанного из ФАП). Для этого достаточно выполнить регистрацию защищенного служебного носителя информации в сегменте с высоким (с точки зрения требований, предъявляемых к целостности и доступности) уровнем защищенности, определив для него режим доступа «только запись» или «чтение и запись», а далее выполнить его регистрацию в сегменте с низким уровнем защищенности в режиме «только чтение». При этом алгоритм функционирования такого канала передачи полностью аналогичен описанному выше.
Служебный носитель, соответствующий описанным требованиям, и позволяющий реализовать описанные схемы – на рынке сегодня представлен. Это «Секрет Особого назначения». Подробнее о «Секретах» разных типов – на сайте www.proSecret.ru.
