В информационных системах – государственных, частных или личных – данные хранятся, передаются и обрабатываются. Средства хранения данных принято называть носителями.
Носители данных в информационной системе (как, впрочем, и средства их обработки) могут быть стационарными и мобильными. Помимо этого носители информации могут быть составной частью оборудования, выполняющего также и обработку данных, а могут быть носителями в собственном смысле слова – устройствами, с помощью которых информацию носят, и во время того, как ее носят, она там хранится. А потом, когда информацию перенесли, она обрабаты-вается с помощью какого-либо другого оборудования. И вновь сохраняется на носитель, чтобы быть перенесенной куда-то еще.
Являясь частью защищенной информационной системы, носители информации тоже должны быть защищенными.
Защищенность – характеристика объекта, определяющая его способность противостоять атакам. Поэтому тезис о том, что защищенность различных элементов информационных систем обеспечивается разными способами, очевиден: повышает защищенность объекта способность противостоять именно тем атакам, осуществление которых наиболее вероятно по отношению к данному элементу системы. Спасательный круг существенно повысит защищенность на воде, но совершенно не повысит ее при пожаре или, скажем, морозе.
Что это означает применительно к вопросу защищенности мобильных носителей информации?
Носители информации являются частью информационной системы, и, значит, существенно бoльшая их защищенность по отношению к остальным ресурсам системы не имеет смысла («общий уровень защищенности определяется уровнем защищенности самого слабого звена», или «дыра в заборе» * ), она никак не усилит общую защищенность данных, и переплачивать за нее нецелесообразно. Нет практического смысла использовать сверхзащищенную флешку в незащищенной системе.
Однако даже для того, чтобы защищенность флешки соответствовала уровню защищенности самого обыкновенного домашнего компьютера, не защищенного ничем, кроме антивируса, эта флешка должна а) находиться в квартире и нигде кроме, б) быть каким-то мистическим образом защищена от возможного воздействия вирусов. Теоретически это достижимо с помощью оргмер. Владелец флешки, которая используется только внутри защищенного помещения для переноса информации между несколькими защищенными от вирусов компьютерами, может быть спокоен – флешка не снижает общей защищенности его системы.
К сожалению, такая идеальная с точки зрения безопасности ситуация даже если и возникает, то обычно длится недолго: флешку понадобится куда-то вынести.
Самая главная особенность мобильных носителей состоит в том, что они подвержены дополнительным угрозам (по отношению к угрозам, актуальным для основной («стационарной») системы), связанным с тем, что контур системы для них проницаем: они могут не только выноситься (и выносятся!) за пределы системы, но и использоваться там. А, как следствие, это приводит к утечкам информации из системы и к притоку вредоносного ПО в систему.
Именно поэтому проекты защищенных информационных систем зачастую предусматривают полный запрет на использование USB-носителей. Однако жизнь, как правило, оказывается далека от проектов. Некоторые причины такой «сопротивляемости» флешек «безопасникам» приведены в конце этой брошюры – в разделе «Почему вообще флешки?».
Итак, флешки признаются абсолютным злом потому, что они могут использоваться вне системы. Значит, защищенный носитель – это такой носитель, который может использоваться только внутри системы (государственной, корпоративной, личной) и не может использоваться вне ее.
Назовем такой носитель служебным.
Служебный носитель – это такой носитель, который позволяет оперативно и просто переносить информацию внутри системы согласно ее внутренним правилам, но не позволяет ни выносить хранимую на нем информацию из системы, ни приносить в систему информацию, записанную на него вне системы. Никому, в том числе и легальному, пользователю. Только в этом случае носитель не будет снижать общего уровня защищенности системы даже при его физическом выносе за ее периметр.
Если посмотреть с этой точки зрения на продукты информационной безопасности, позиционируемые поставщиками как средства защиты информации на флешках, то выяснится, что при всех своих возможных плюсах необходимую задачу они не решают.
Критерии оценки, которые адекватны понятию «защищенный служебный носитель», следующие:
1) является ли продукт средством хранения и переноса информации (носителем),
2) удобно ли его использование (аппаратные требования, требовательность к навыкам эксплуататора, мобильность, дружественность),
3) снижает ли применение продукта степень негативных последствий кражи или утери носителя с данными для системы,
4) защищает ли продукт данные от доступа посторонних лиц,
5) при использовании вне защищенной системы способен ли продукт предотвратить «заражение» вредоносным ПО, которое в дальнейшем может попасть в систему,
6) можно ли при помощи продукта защитить данные от хищения мотивированным инсайдером,
7) имеет ли применение продукта нормативные ограничения в РФ,
8) сколько стоит продукт.
Ни одно из представленных до сих пор на рынке средств или решений по защите информации не давало возможности создать систему, включающую в себя защищенные служебные носители, поскольку не было предложено решения главной задачи: привязки носителя к системе.
В программно-аппаратных комплексах (ПАК) линейки «СЕКРЕТ» именно эта функция является основной.
Что может предпринять злоумышленник в отношении флешки как носителя информации, включенного в интересующую его систему?
1. Кража или находка
2. Отъем
3. Завладение оставленным без присмотра устройством
4. Завладение путем мошенничества и социальной инженерии
5. Покупка у мотивированного инсайдера
Как правило, пп. 1, 2 и 5 имеют своей целью завладение данными с флешки, а п. 3 или 4 может также иметь целью внедрение подложных данных или вредоносного кода (реже, но тоже возможно – уничтожение данных на флешке).
В отличие от угроз данным в сетях или на локальных компьютерах, которые реализуются весьма разнообразными атаками, угрозы, связанные с флешками, характеризуются очень мощными общими признаками возможных атак: физическое завладение устройством и получение доступа к его памяти на каком-то ПК.
Атаки на флешки через сеть, например, весьма маловероятны и будут скорее атаками на данные на дисках компьютера (подключаемых), а не на данные на флешке. И в любом случае, вряд ли возможность реализации такого рода угрозы может быть классифицирована как уязвимость флешки.
Очевидно, что защитить маленькое устройство от физической кражи (или находки в результате целенаправленного поиска в местах возможных потерь, провокации потери) – крайне сложно и практически невозможно сделать это техническими методами.
Более того, и применение организационных мер крайне затруднительно, поскольку на физическое владение таким маленьким предметом очень сильно влияет характер пользователя – рассеянный он, или любит похвалиться, или нечист на руку, или доверчивый...
Значит, задача защиты флешки сводится к тому, чтобы сделать нелегальное физическое обладание ею бессмысленным. То есть, даже имея флешку, получить доступ к данным на ней на не разрешенном явно для этой флешки компьютере не разрешенному явно пользователю должно быть невозможно.
Именно эта логика и положена в основу защищенных флешек семейства «СЕКРЕТ».
ЧТО ДЕЛАЕТ ФЛЕШКУ «СЕКРЕТОМ»?
Для того чтобы флешка работала на одних компьютерах и не работала на других, флешка должна уметь различать компьютеры.
Это первая задача, только после решения которой можно обсуждать, по каким параметрам различать компьютеры правильно, а по каким нет или каким образом добиваться изменения списка разрешенных (или запрещенных) компьютеров.
Очевидно, что все эти вопросы важны, но только в том случае, если флешка в принципе различает компьютеры.
Обыкновенная флешка делать этого не может. Это связано с тем, что у флешки просто нет для этого никаких ресурсов. Если говорить упрощенно, флешка состоит из памяти и контроллера USB.
Ни то, ни другое не является ресурсом, способным осуществлять произвольные операции.
Компьютер может различать флешки по их уникальным идентификаторам – VID, PID и серийному номеру, если на нем установлены средства для этого (например, USB-фильтры), потому что у него, в отличие от флешки, есть необходимые вычислительные ресурсы. Стоит иметь в виду, что эти уникальные идентификаторы не всегда и не совсем уникальны (все флешки некоторых производителей имеют один и тот же серийный номер, а с помощью специального технологического ПО эти «уникальные параметры» можно менять). Однако, в любом случае, для того чтобы проанализировать тот или иной признак объекта (флешки ли, компьютера ли), тот, кто анализирует, должен иметь ресурсы, предназначенные для такого анализа.
Вывод очевиден: чтобы различать компьютеры, флешка должна сама быть компьютером. Именно в этом и состоит отличие служебных носителей (СН) «Секрет».
Управляющий элемент в СН «Секрет» различных модификаций реализован по-разному, однако общая логика остается единой: управляющий элемент «коммутирует» компьютер с диском «Секрета» (собственно флешкой) только после успешного завершения контрольных процедур: взаимной аутентификации СН, компьютера и пользователя. До того как сценарий аутентификации будет успешно разыгран до конца, диск «Секрета» не будет примонтирован, не появится в списке дисков и не окажется доступен не только для пользователя, но и для системы (с ее потенциальными закладками или вирусами).
Дополнительно защитные свойства «Секрета» могут быть усилены шифрованием данных при записи на диск. Выбирать такой носитель целесообразно тогда, когда разумно предположение, что злоумышленник может попытаться считать данные с флеш-памяти напрямую, например, выпаяв ее с устройства. Однако надо иметь в виду, что за счет аппаратного шифрования заметно снижается скорость чтения/записи, это неизбежные издержки. В СН «Секрет» без шифрования скорости чтения/записи не отличаются от скоростей обычных флешек.
Такова принципиальная структура и логика защитных свойств служебного носителя «Секрет», а продукты линейки «СЕКРЕТ» различаются тем, как организовано управление процессом взаимной аутентификации компьютера, «Секрета» и его пользователя.
В настоящее время есть 3 продукта этой линейки: «Личный Секрет», «Секрет Особого Назначения» и «Секрет Фирмы».
Первые два продукта – «Личный Секрет» и «Секрет Особого Назначения» – могут использоваться на автономных ПК и сценарий аутентификации разыгрывают именно с ними. При этом «Личный Секрет» «договаривается» с «Секретным Агентом», установленным на жесткий диск компьютера, а «Секрет Особого Назначения» – с «Секретным Агентом», запускающимся с открытой части его собственного диска.
«Секрет Фирмы» – это сетевое решение, в котором присутствует управляющий инфраструктурный элемент – Сервер Аутентификации, и взаимная аутентификация «Секретов» производится именно с ним. А рабочая станция, к которой подключается тот или иной «Секрет», выполняет в этом сценарии роль транспортного агента.
ПОКУШЕНИЯ НА «СЕКРЕТЫ»
Чтобы наглядно продемонстрировать принципиальные преимущества защитных механизмов «Секрета», сравним эффективность противодействия перечисленным выше атакам традиционными способами и с применением «Секретов».
Напомним виды атак:
1. Находка или кража носителя
2. Отъем носителя
3. Завладение оставленным без присмотра устройством
4. Завладение носителем путем мошенничества и социальной инженерии
5. Покупка носителя у мотивированного инсайдера
Находка или кража
Потерять маленькое устройство очень просто, тем более если пользователь по характеру не очень внимательный и собранный.
Потеряв флешку, невозможно быть уверенным ни в том, потеряна она или украдена, ни в том, что случайно нашедший ее человек не воспользуется записанными данными.
Очевидно, что в этой ситуации совершенно не успокаивает наличие в системе USB-фильтров. Это утешение звучит даже несколько издевательски.
Насколько в этой ситуации может успокоить PIN-код – вопрос философский. Примерно на столько же, насколько успокоительна мысль, что, скорее всего, никто не станет поднимать валяющуюся флешку и скоро ее просто раздавят. Хорошо, если так, а если нет, то PIN-код подберут, и очень легко. Предназначенные для этого программы сегодня есть у каждого студента.
Теоретически можно бороться с этим, увеличивая длину PIN-кода. Но чем длиннее PIN-код, тем выше вероятность того, что он записан на корпусе флешки.
Биометрия. Отпечаток пальца «подобрать» сложнее, чем PIN-код. Но если задуматься о том, как может быть реализована биометрическая аутентификация в обычной флешке, то становится предельно ясно, что эталон хранится на самой же флешке (флешке больше негде его хранить), а сравнение производится в оперативной памяти ПК (так как у флешки нет своих вычислительных ресурсов).
Все следствия очевидны:
1) у системы есть доступ к флешке до аутентификации (иначе как она получит эталон?),
2) решение «сошлось» принимается в оперативной памяти компьютера.
Это значит, что на специально подготовленном компьютере (иными словами, на своем компьютере) злоумышленник сможет открыть флешку.
Шифрование данных на флешке. Пожалуй, самый убедительный из традиционных способов. Однако ограничения у этого способа все те же, что описаны выше в отношении биометрии.
Где-то на флешке хранится ключ, на котором в оперативной памяти ПК будут расшифровываться данные. Чтобы система получила доступ к ключу, нужно корректно аутентифицироваться. Таким образом, шифрование вообще никак не повышает защищенности флешки с PIN-кодом или «пальцем», так как задача сводится к предыдущему случаю – передать данные о корректной аутентификации.
Как же обстоит дело в случае применения «Секрета»?
Злоумышленник добыл «Секрет» и подключает его к своему «специально обучен-ному» компьютеру.
Если это «Личный Секрет», то даже при наличии на ПК злоумышленника «Секретного Агента» он увидит запись о том, что «Секрет» не зарегистрирован. Если же «Секретного Агента» нет, то все, что он увидит, – это некое «другое устройство» в «Устройствах».
Доступа к диску «Секрета» и к данным, которые его открывают, нет ни у пользователя, ни у системы, поэтому запускать какие-то свои специальные программы злоумышленнику бессмысленно. В итоге он будет вынужден выбросить флешку – пусть с ней играет кот.
Отъем
Предполагать случай отъема не хочется.
Однако надо отдавать себе отчет в том, что злоумышленник понимает: за такую мелочь, как флешка, скорее всего, человек не будет биться до последнего, и в общем случае сработает вариант отобрать и, оказав психологическое давление (а сам факт отъема окажет на большинство людей известное психологическое давление!), выяснить PIN-код, если он имеется.
Что может спасти данные, если с флешкой (не хочется писать «с Вами», чтобы не накликать) такое случилось?
Для человека, не остановившегося перед силовыми действиями, «выяснить» PIN-код не вызовет затруднений.
Фантазировать насчет биометрии – совершенно не хочется.
Шифрование не поможет по тем же причинам: выяснить данные, необходимые для доступа к ключу, не сложно.
Как же обстоит дело в случае применения «Секрета»?
Смело отдавайте флешку и не подвергайтесь опасности физического воздействия. Смело называйте PIN-код. Пускай злоумышленник уносит все это.
В общем случае силовые меры неприятны и самому злоумышленнику тоже, поэтому, скорее всего, отняв флешку и выяснив аутентифицирующую информацию, он с бывшим владельцем расстанется.
А на его компьютере «Секрет» не примонтируется и не запросит PIN-код.
Конечно, не исключено, что, вспылив, он бросится к владельцу «Секрета» выяснять отношения, но вполне логично, что уже подвергшийся угрозе от него человек заручится к этому времени поддержкой как минимум друзей, а лучше – специальных силовых ведомств.
Развивая сюжет боевика, можно вообразить ситуацию, что злоумышленник взял владельца с собой, чтобы убедиться, что тот назвал ему верный PIN-код. Мол, если не подойдет – поговорим по-другому.
Ничего страшного, он сам убедится, что «флешка сломанная» – не появляется диск в «Моем компьютере» и все тут.
И ввел бы PIN-код, но куда?
Самый пессимистичный сценарий – если пользователя вместе с флешкой захватили непосредственно на его рабочем месте и требуют открыть флешку именно на этом его легальном с точки зрения «Секрета» компьютере. Однако этот сценарий уже очень далеко выходит за рамки угроз данным, записанным на флешку, поэтому позволим себе не останавливаться на нем в этом контексте. Постарайтесь свести ситуацию к вышеописанной – отдайте флешку и спровоцируйте злоумышленника идти анализировать ее к себе.
Завладение оставленным без присмотра устройством
Наверное, самый распространенный способ получить чужую флешку – это взять ее там, где пользователь ее бросил «на 5 минут», вздремнув или отойдя попить кофе.
С точки зрения противодействия злоумышленнику этот случай не отличается от случая с кражей. С точки зрения действий злоумышленника по обходу этих защитных мер и получению доступа к диску флешки – тоже.
Однако есть существенная деталь, заставляющая рассматривать эту ситуацию как отдельную. В случае с кражей или потерей владелец устройства знает о том, что инцидент произошел. В описываемой же ситуации вполне реализуемо представить все так, будто никакого инцидента и не было. Пользователь видит флешку на месте и не имеет ни малейших оснований для опасений, что его данные стали кому-то известны, а возможно, искажены, а возможно, флешка заражена вирусами или иными вредоносными программами.
С точки зрения этой особенности необходимо отдавать себе отчет в том, что если для подбора PIN-кода или иной аутентифицирующей информации для доступа к данным (или к ключу для расшифрования данных) компьютер (ноутбук) злоумышленника должен быть снабжен минимальным инструментарием, а сам злоумышленник должен иметь минимальную квалификацию, то для того, чтобы записать на флешку вредоносный код или просто заразить ее вирусами, ничего этого не нужно.
Как уже упоминалось выше, любая флешка с аутентификационными механизмами должна «пускать» к себе систему ПК, так как верификация предъявленных аутентифицирующих данных должна производиться в оперативной памяти компьютера, в которую необходимо загрузить эталон, хранящийся на флешке (система должна получить доступ к флешке, чтобы получить данные для проведения аутентификации).
У системы есть доступ к флешке, значит, есть он и у вредоносного ПО. Game over.
Как же обстоит дело в случае применения «Секрета»?
До успешного прохождения взаимной аутентификации «Секрета» с компьютером и успешной аутентификации пользователя в устройстве – взаимодействие производится только с модулем аутентификации «Секрета», который физически отделен от флеш-памяти. Флеш-диск при этом не примонтирован и недоступен системе – ни на чтение, ни на запись.
Злоумышленник может экспериментировать с устройством сколько угодно, но на диск устройства при этом ничего не запишется, пока злоумышленник не пройдет все этапы аутентификации.
Ну а тот факт, что и пройти все этапы аутентификации ему не удастся, был уже доказан выше.
Заметим, что для случаев, когда важно не только не допустить успешной реализации такой атаки, но и знать обо всех попытках атак, в продукте «Секрет Особого Назначения» ведется аппаратный журнал событий, в котором фиксируются все без исключения попытки подключения устройства к различным компьютерам – вне зависимости от того, успешной или нет была попытка.
Если у Вас возникли хоть малейшие подозрения (флешка, кажется, лежала не совсем здесь) – их можно проверить, чтобы знать точно.
Завладение путем мошенничества или социальной инженерии
По сути дела, это «мягкий» вариант «отъема», отягченный, впрочем, дополнительными обстоятельствами:
1) пострадавший не знает (во всяком случае, в первый момент), что стал жертвой покушения, – и не предпринимает своевременных мер;
2) при определенной квалификации мошенник может выстроить многоступенчатый сценарий атаки на систему, включающий не только единовременное завладение флешкой, но также и подмену данных, то же заражение системы или внедрение в нее нужных ему закладок.
Очевидно, что, если флешки с PIN-кодом, биометрией и шифрованием бессильны в случае отъема и кражи, бессильны они и в этом случае. Наоборот, доверяя злоумышленнику, пользователь не только введет PIN-код и приложит палец, но и проследит, чтобы у злоумышленника все было хорошо.
Как же обстоит дело в случае применения «Секрета»?
Возможны два сценария развития событий в зависимости от того, как построена система работы с «Секретами» в организации.
Если пользователь не знает, как организована система защиты (в принципе, пользователям знать это не обязательно, это вопрос администраторов безопасности информации), а работает просто по факту – «на легальных компьютерах работать сможешь, на нелегальных – нет», он подумает, что либо компьютер нелегальный (и заподозрит злоумышленника), либо флешка сломалась. Так или иначе, даже будучи предельно доверчивым, помочь злоумышленнику открыть «Секрет» он не сможет.
Если же пользователь в курсе, как работает «Секрет» (допустим, владелец не делает из этого тайны или пользователь просто читал про «Секреты» для себя), то он со всей очевидностью поймет: человек, который его склоняет отдать флешку, либо будет ее использовать в рамках легальной системы, а значит, «свой», либо не сможет использовать «Секрет». Если мошенник настолько искусен, что убедит пользователя, что правда все же на его стороне, пользователь будет вынужден обратиться к администратору за Кодом Регистрации или Мандатом на повторную регистрацию (см. об этом в главе «Разные “Секреты”») и факт мошеннических действий выплывет наружу.
Покупка у мотивированного инсайдера
К сожалению, феномен мотивированного инсайдера является частью нашего мира, как бы ни хотелось верить своим сотрудникам безоговорочно. Эта беда может случиться. И не стоит говорить о том, что обманутое доверие может быть более горькой утратой, чем материальный ущерб.
И совершенно невозможно спорить с тем, что ни PIN-код, ни биометрическая аутентификация, ни зашифрование/расшифрование данных на флешке на основании введенных аутентифика-ционных данных пользователя не могут защитить от того, что легальный пользователь сам может отдать флешку заинтересованным лицам на привлекательных для себя условиях, или скопирует данные на домашний компьютер и отправит куда-то по почте, или принесет в информационную систему какие-то программы или данные в интересах третьих лиц.
Легальный пользователь – полновластный хозяин флешки.
Неужели с этим нужно смириться и подозревать всех, кто работает с флешками, каждый раз, когда они унесли их домой? Ведь проверить, «было или не было?», невозможно.
Как же обстоит дело в случае применения «Секрета»?
Основной этап системы контроля доступа в «Секрете» – взаимная аутентификация «Секрета» и компьютера. В «Секрете» есть база компьютеров, а на компьютерах – база «Секретов». Только после того, как «Секрет» опознал компьютер, который для него разрешен, а компьютер опознал «Секрет», которому можно на нем работать, процедура контроля доступа переходит к стадии аутентификации пользователя.
То есть будь пользователь абсолютно легальным – «Секрет» даже и не узнает об этом, если подключить он (пользователь) его («Секрет») пытается к «постороннему» компьютеру.
В таком случае просто бессмысленно уносить «Секрет» с собой. А если случайно и унесли, то можно не мучиться подозрениями, все равно «Секрет» нигде не примонтировался бы, если бы пользователь даже и захотел его поиспользовать, пользуясь случаем.
Если же владелец хочет не только иметь уверенность в том, что флешка не была использована на чужих компьютерах, но и иметь возможность в любой момент проверить честность своих сотрудников – проверить, не пытались ли они сделать что-то подобное, то этого можно добиться, используя «Секрет Особого Назначения». В «Секрете Особого Назначения» в специальном аппаратном журнале администратор может увидеть записи обо всех случаях подключений, даже неудачных (см. подробнее в главе «Разные “Секреты”»). Это даст возможность не сомневаться, а проверить – и убедиться в добросовестности своих сотрудников. Мы знаем, как важно доверять своей команде, и создали инструмент борьбы с сомнениями.
Люди – это не «человеческий фактор», а то, что намного важнее любых устройств. А самое главное – их практически невозможно переделать. Они все равно будут терять и забывать флешки, из лучших побуждений подключать их к небезопасным компьютерам, доверять тому, кому не нужно доверять, и делать еще массу очень человеческих вещей. Людей нельзя переделать. Значит, нужно переделать устройства.
Так мы и поступили, создав «Секреты».
Подробно о том, какие продукты есть в этой линейке – на сайте www.proSecret.ru.
