10 сентября 2014
Вводная лекция: «Резидентный компонент безопасности: концепция корректного старта и ее развитие в истории эволюции СВТ и СЗИ»
ОКБ САПР проводит курсы стажировок по своей продукции и реализованным в ней подходам и технологиям.
Ниже приведено краткое содержание вводной лекции этого курса, которая поможет определить, целесообразно ли Вам или Вашим сотрудникам пройти стажировку по какому-то одному или нескольким направлениям.
Если Вас заинтересовали курсы, Вы можете записаться на них здесь.
Содержание вводной лекции должно определяться преподавателем в зависимости от того, насколько данная конкретная группа обучающихся знакома с продукцией ОКБ САПР. В соответствии с имеющимся у слушателей опытом необходимо более подробно или более кратко останавливаться на тех или иных продуктах, в рассказе о неизвестном слушателям опираться на уже известное им, проводить явные аналогии, связи или наоборот – противопоставления.
Задача вводной лекции – построить для слушателей систему, в рамках которой они будут воспринимать дальнейший материал. При этом содержание и композиция лекции могут быть следующими.
В основе подхода ОКБ САПР к технологиям защиты информации лежит концепция «правильного старта». Для того чтобы действовать в парадигме утверждения – «компьютер – это только инструмент», необходимо иметь возможность убедиться в том, что это именно Ваш инструмент, а не кого-то, кто его модифицировал для выполнения собственных задач, возможно, далеко не совпадающих с задачами легального пользователя.
Чтобы убедиться в неизменности аппаратной и программной среды компьютера, необходимо провести контрольные процедуры. Однако очевидно, что если контрольные процедуры производятся измененным в свою очередь компонентом, то в них нет никакого смысла.
Именно поэтому контролировать неизменность среды нельзя программными средствами – так как программа может быть изменена. Для того чтобы убедиться, что она не была изменена – ее нужно сначала проверить. Если ее мы проверяем другой программой, то сначала нужно проверить ту программу, которой мы проверяем первую… и так далее. Мы попадаем в зону действия известного парадокса «кто будет сторожить сторожей?». В защите информации попытки контролировать целостность среды программными средствами носит название «синдром Мюнгхаузена», поскольку аналогичен попыткам вытащить себя самого из болота за волосы.
Продолжая эту аналогию легко прийти к правильным выводам: вытащить себя из болота за волосы – нельзя, потому что нет точки опоры. А вот если тянуть за ветку дерева, растущего на кочке – то можно, потому что у дерева есть точка опоры.
Что может означать «точка опоры» применительно к компьютерной системе фон-Нейменовского типа, не различающей команды и данные, системе, в которой одним из основных действий является «запись», то есть системе принципиально модифицируемой?
«Точка опоры» может означать только одно: контролирующие процедуры должны быть вынесены из этой модифицируемой среды в среду немодифицируемую и легко проверяемую, то есть простую, небольшую по объему (тогда легко обеспечить ее верифицируемость). Это означает аппаратное устройство, независимое от компьютера, который оно проверяет.
Независимость контролирующего устройства – обязательное требование: если часть процедур или решений об обработке их результатов вынесены в основной (контролируемый) компьютер, то модифицированной системой могут быть навязаны любые результаты контроля. Эффект от применения аппаратуры сведется к нулю.
И наконец, самое главное – независимое аппаратное контролирующее устройство должно стартовать первым, до старта операционной системы, иначе у модифицированной системы будет возможность отключить контроллера. «Кто первый встал, того и тапки». Стартовать первым должно то, чему мы доверяем.
Такое аппаратное, простое, независимое от компьютера контролирующее устройство, стартующее первым, до загрузки ОС компьютера – называется резидентный компонент безопасности (РКБ).
Определение: Резидентный компонент безопасности – это встроенный в вычислительную систему объект, способный контролировать целостность среды путем сравнения ее параметров с эталонными.
Ключевые характеристики РКБ:
- это устройство памяти с очень высоким уровнем защищенности (его внутреннее программное обеспечение должно быть немодифицируемым)
- примитивное (иначе обеспечение его собственной защищенности эквивалентно задаче защиты компьютера, который он защищает)
- встроенное в контролируемую систему и стартующее до старта основной ОС (иначе его функционирование будет необязательным)
- независимое от контролируемой системы (функционирующее автономно)
- перестраиваемое (то есть предполагающее функционирование в режиме управления, когда возможно изменение политик (только специальным привилегированным пользователем) и в пользовательском режиме, когда изменение политик невозможно, и осуществляется только контроль их выполнения).
Концепция РКБ реализована во всех решениях ОКБ САПР, каждое из которых включает в себя аппаратный компонент (базис) и может включать в себя программную надстройку, неразрывно связанную с этим базисом.
Таким образом построены следующие группы продуктов, каждая из которых включает в себя стационарные и мобильные средства.
1) Средства защиты информации от несанкционированного доступа (СЗИ НСД). В этой группе стационарными являются СЗИ НСД на базе контроллеров «Аккорд», а мобильными – СЗИ НСД на базе контроллера «Инаф».
2) Средства криптографической защиты информации (СКЗИ) и средства электронной подписи (СЭП). В этой группу стационарное средства – УАПК «Аккорд-У» (версий класса КС3 и КВ2), а мобильные – продукты семейства ПСКЗИ ШИПКА.
3) Инфраструктурные решения. Стационарные – ПАК «Аккорд-В.», «ГиперАккорд», и мобильные – ПАК «Центр-Т», СОДС «МАРШ!».
Особняком среди этих групп стоят защищенные служебные носители – флешки «Секрет». По понятной причине – носители принципиально не делятся на стационарные и мобильные. Носители предназначены для переноса данных и они всегда – мобильны. В этой линейке у нас представлено на сегодняшний день 3 продукта: «Личный Секрет», «Секрет Фирмы» и «Секрет Особого Назначения».
Также особняком, но по другой причине – стоят средства управления и мониторинга – не являющиеся собственно средствами защиты. Это Подсистема распределенного аудита и управления «Аккорд-РАУ» и Система удаленного централизованного управления – «СУЦУ».
Первым, с чего началась практическая реализация ОКБ САПР парадигмы аппаратной защиты, стало СЗИ НСД «Аккорд-АМДЗ», положивший начало линейке «Аккорд».
«Аккорд-АМДЗ» – это аппаратный модуль доверенной загрузки, РКБ, обеспечивающий тот самый «правильный старт» компьютерной системы, доверенную загрузку операционной системы.
Определение: «Доверенная загрузка» – это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и идентификации / аутентификации пользователя.
Аккорд-АМДЗ может быть реализован на различных контроллерах, но его базовая функциональность всегда остается одинаковой и соответствует заявленной и отраженной в сертификатах соответствия.
Выбор контроллера зависит, в первую очередь, от того, свободный слот с каким шинным интерфейсом есть у средства вычислительной техники (компьютера, сервера, ноутбука, моноблока), в которое Вы планируете установить «Аккорд-АМДЗ».
Это может быть:
- PCI или PCI-X – контроллеры Аккорд-5МХ или Аккорд-5.5
- PCI-express – контроллеры Аккорд-5.5.е или Аккорд-GX
- Mini PCI-express – Аккорд-GXM
- Mini PCI-express half card – контроллер Аккорд-GXMH
Существует также вариант исполнение «Аккорд-АМДЗ» на базе USB-устройства, которое называется «Инаф» (от английского enough – достаточно). Этот вариант имеет определенные ограничения, которые должны восполняться орг. мерами или применением дополнительных механизмов, однако в ряде случаев этого вполне достаточно, отсюда и название.
Подробно речь о различных исполнениях СЗИ НСД «Аккорд-АМДЗ» пойдет в соответствующей теме.
«Аккорд-АМДЗ» контролирует только старт компьютера и не работает в операционной системе. Поэтому в тех случаях, когда необходимо не только загрузить доверенную среду, но и разграничить доступ к ресурсам компьютера уже в ходе работы пользователей, особенно при многопользовательском режиме работы или в распределенных инфраструктурах, необходимо применять программно-аппаратные комплексы на базе «Аккорд-АМДЗ» – ПАК «Аккорд-Win32», «Аккорд-Win64» или «Аккорд-Х». Они предназначены, соответственно, для разграничения доступа в 32-х и 64-х разрядных ОС Windows и в ОС Linux.
Функциональность комплексов одинакова – в них реализованы дискреционный (с использованием 13 атрибутов) и мандатный механизмы разграничения доступа, в том числе – контроль печати из любых приложений на принтеры любых типов (сетевые, локальные, виртуальные).
Для терминальных систем как на базе Microsoft, так на базе Citrix, предназначены версии TSE (Terminal Server Edition) поддерживающие управление терминальными сессиями. Cерверные и клиентские компоненты комплексов взаимодействуют в рамках протоколов ICA или RDP, формируя собственный виртуальный канал.
Подробно эти комплексы будут рассмотрены в рамках соответствующих тем.
Для виртуальных инфраструктур, на которых сейчас все чаще строятся ЦОДы, в линейке «Аккордов» предназначены программно-аппаратные комплексы «Аккорд-В.» и «ГиперАккорд». Первый предназначен для виртуализации на базе VMWare, второй – для виртуализации на базе Microsoft.
Работа конечных пользователей с ЦОДом может строиться несколькими различными способами: работа с виртуальными рабочими станциями, работа на основе терминального доступа, web-доступа или смешанно. Во всех этих случаях пользователь физически работает на каком-то СВТ, и оно также является объектом защиты, поскольку именно с него осуществляется доступ к защищаемому ЦОДу. Система защиты должна учитывать все нижеперечисленные требования:
- доступ к системе должен осуществляться из доверенной среды, которая должна, соответственно, обеспечиваться на клиентских средствах вычислительной техники,
- внедрение системы защиты не должно вести к замене оборудования, не вышедшего еще из строя, даже если это «зоопарк» разных СВТ с разными ОС),
- защищенный доступ к системе не должен быть разорван с подсистемой разграничения доступа в самой системе.
Для защиты клиентских рабочих мест в соответствии с этими требованиями предназначены комплексы «Центр-Т» и средство обеспечения доверенного сеанса связи «МАРШ!».
С точки зрения пользователя работа с этими комплексами выглядит практически совершенно одинаково: пользователь подключает к клиентской машине (например, к аппаратному терминалу) свое персональное USB-устройство (ШИПКУ или «МАРШ!»), происходит (не требуя действий от пользователя, а в соответствии с предварительно заданными управляющим персоналом настройками) загрузка клиентской ОС, в которой стартует браузер или терминальный клиент и начинается сессия с удаленной системой.
Вместе с тем «Центр-Т» и СОДС «МАРШ!» – это совершенно разные комплексы, имеющие существенные особенности, обусловленные инфраструктурами систем, для которых они предназначены. СОДС «МАРШ!» предназначен для локальной загрузки ОС из защищенной памяти устройства и организации сессии Web- или терминального доступа, а ПАК «Центр-Т» предназначен для конструирования, защищенного хранения и сетевой загрузки образов ОС терминальных станций по сети и дальнейшей организации защищенной терминальной сессии с терминальным сервером, защищенным ПАК «Аккорд TSE». Однако и то, и другое решение предназначено для того, чтобы унифицировать клиентские рабочие места различного аппаратного состава, имеющих различные встроенные ОС, или даже вовсе не имеющие в своем составе жесткого диска с какой-либо ОС. В дальнейшем о каждом из этих решений пойдет речь подробно.
ПАК «Центр-Т» построен на аппаратной базе ПСКЗИ ШИПКА – все компоненты комплекса реализованы на ШИПКАХ, которые в рамках этого решения выступают в качестве загрузочных носителей, применяются для контроля целостности и подлинности загружаемых по сети образов ПО (вычисления и проверки кодов аутентификации (КА), и используются как идентификаторы в комплексе «Аккорд TSE» на терминальном сервере.
Также эти же самые ШИПКИ могут быть хранилищем ключей VPN, если дополнительно каналы в этой терминальной системе защищаются с помощью решений такого класса, а также – и хранилищем ключей программных СКЗИ, если они используются в системе.
Кроме этого ШИПКА может быть идентификатором для входа в ОС Windows и в Домен Windows (как смарт-карта).
Все эти функции являются дополнительными к основной криптографической функциональности ПСКЗИ ШИПКА. А именно:
- Шифрование и подпись файлов и папок,
- Защищенная электронная почта,
- Защищенное хранение паролей и доступ к приложениям,
- Защищенное хранение ключей и сертификатов.
В двух словах стоит сказать о последнем. ПСКЗИ ШИПКА позволяет организовать работу с криптографическими ключами тремя способами: напрямую к ключами как отдельными объектами, с обменом «из рук в руки», через использование цифровых сертификатов (как сертификатов, выдаваемых удостоверяющими центрами, так и самоподписанных), и в парадигме «сети доверия» (через специальную программную оболочку «Privacy»).
При этом возможно получение сертификатов на ключи, выработанные ШИПКОЙ, в самых разных УЦ, как путем заполнения web-анкет, так и через запросы на сертификат в формате pkcs7.
Подробно эти функции будут рассмотрены в рамках соответствующей темы, наряду с применением ШИПКИ в составе УАПК «Аккорд-У» (и совместно с этим комплексом), в составе ПАК «Аккорд», ПАК «Аккорд-В.», совместно с КриптоПро CSP, СКАД «Сигнатура», VipNetClient, VPN Gate Client и мн. др., а также ПАК Privacy, построенном на базе ШИПКИ.
Этот комплекс позволяет сделать мобильными без потери защищенности не только ключи и само СКЗИ, но и настройки, которые зачастую представляют существенную сложность и ограничивают возможности человека по использованию, например, защищенной почты – повторить настройки на почтовом клиенте на очередном компьютера – не каждому под силу. Privacy же позволяет носить с собой настройки, поскольку они задаются не в почтовом клиенте, а непосредственно в Privacy и сохраняются в ШИПКЕ.
СКЗИ, полностью аналогичным ШИПКЕ, но в форм-факторе PCI-платы является Аккорд-У. За счет того, что PCI-плата позволяет несколько больше, чем USB-устройство, помимо версии, сертифицированной ФСБ России на класс КС3, нам удалось сделать также версию, сертифицированную на КВ2. Но с точки зрения реализации криптографических алгоритмов и даже с точки зрения пользовательского интерфейса «Аккорд-У» и ШИПКА – полностью аналогичны, и тот, кто умеет работать с ШИПКОЙ не испытает ни малейших затруднений в работе с «Аккорд-У». Продукты могут работать навстречу, например, при построении обмена зашифрованными данными между центральным офисом и филиалами, в центральном офисе, где данных для обработки будет больше, может использоваться «Аккорд-У», а в филиалах – ШИПКИ. Именно так использует эти продукты один наш Заказчик из сферы телерадиовещания.
Еще один крайне интересный пример использования ШИПОК и «Аккордов-У» – это построение на их базе УЦ «Автограф». Это не наш продукт, а ФГНУ ЦИТиС, но поскольку это единственный известный нам удостоверяющий центр, абсолютно все криптографические преобразования в котором выполняются аппаратно, и более того, на наших СКЗИ, то мы считаем необходимым остановиться на нем отдельно в рамках соответствующей темы.
Есть такие инфраструктурные элементы, которые почти никак не зависят от способа построения системы. Например, флешки. Как бы ни строилась информационная система, они в ней почти всегда есть, даже если официально – нет. Флешки существенно упрощают жизнь, но и являются источником многих проблем. Однако если систематизировать, то проблем с флешками ровно две:
1) на них можно вынести то, что не положено и считать на любом другом компьютере,
2) на них можно принести ив информационную систему организации то, что не надо – например, вирусы, подхваченные дома в похвальном стремлении повысить производительность труда.
Обе эти проблемы связаны с одной ключевой особенностью флешек: все компьютеры для нее – одинаковы. Компьютеры могут различать флешки и допускать применение только разрешенных. Флешке же не объяснишь, что компьютеры тоже бывают разрешенные и неразрешенные, поэтому границы информационной системы для флешек носят условный характер и поддерживаются только организационными мерами.
На исключение именно этого недостатка направлено применение линейки «Секрет». Защищенные служебные носители «Секрет» – это такие флешки, которые работают только на разрешенных им компьютерах, а на всех остальных их диски просто не монтируются, поэтому не определяются системой как диск «массторадж». Этим достигается эффект отсутствия доступа не только пользователя к данным, но и системы к диску – то есть вирусы на подключенную, но не примонтированную флешку – не запишутся.
Семейству продуктов «Секрет» посвящен отдельный однодневный курс.
Такое разнообразие линеек продуктов ОКБ САПР приводит на сегодняшний день к тому, что все, кроме каналов передачи данных, можно защитить комплексом наших взаимосвязанных средств, избегая тем самым пресловутого «зоопарка» средств защиты, чреватого проблемами совместимости и дублирования функций. Однако разработчиками ОКБ САПР постоянно ведутся работы по проверке (а в случае отрицательного результата – обеспечения) совместимости продуктами других вендоров, а с наиболее авторитетными средствами защиты каналов мы интегрированы вплоть до интеграции в рамках одного средства (СОДС «МАРШ!»). Вопросы совместимости не вынесены в отдельную тему, но должны освещаться при рассмотрении каждого конкретного продукта.
