Тема: Основные понятия программно-технического уровня информационной безопасности

Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности. Основной ущерб наносят в основном действия легальных пользователей, по отношению к которым процедурные регуляторы малоэффективны. Главные враги - некомпетентность и неаккуратность при выполнении служебных обязанностей, и только программно-технические меры способны им противостоять.

Следует, однако, учитывать, что быстрое развитие информационных технологий не только предоставляет обороняющимся новые возможности, но и объективно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня. Причин тому несколько:

  • повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

  • развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют круг людей, имеющих техническую возможность организовывать атаки;

  • появление новых информационных сервисов ведет и к образованию новых уязвимых мест как "внутри" сервисов, так и на их стыках;

  • конкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что приводит к снижению качества тестирования и выпуску продуктов с дефектами защиты;

  • навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Центральным для программно-технического уровня является понятие сервиса безопасности. В число таких сервисов входят:

- идентификация и аутентификация;

- управление доступом;

- протоколирование и аудит;

- контроль целостности;

- экранирование;

- анализ защищенности;

- обеспечение отказоустойчивости;

- обеспечение безопасного восстановления;

- туннелирование;

- управление.

Эти сервисы должны функционировать в открытой сетевой среде с разнородными компонентами, то есть быть устойчивыми к соответствующим угрозам, а их применение должно быть удобным для пользователей и администраторов.

2. Программно-технические средства защиты информации

К программно-техническим средствам защиты информации относятся:

а) Программно-технические средства защиты информации от несанкционированного копирования, в том числе:

- средства защиты носителей данных;

- средства предотвращения копирования программного обеспечения, установленного на ПЭВМ.

Защита при помощи компьютерных компакт-дисков

Как правило, этот способ защиты применяется для защиты программ, записанных на этом же компакт-диске, являющимся одновременно ключевым. Для защиты от копирования используется:

  • запись информации в неиспользуемых секторах;

  • проверка расположения и содержимого «сбойных» секторов;

  • проверка скорости чтения отдельных секторов.

Первые два метода бесполезны при снятии полного образа с диска. Третий метод более надёжный. Он используется, например, в защите StarForce. В настоящее время наибольшую известность в мире имеют системы защиты от копирования SecuROM, StarForce, SafeDisc, CD-RX и Tages.

Защита программ, установленных на жёстком диске

Для программ, установленных на жёстком диске, могут применяться такие меры защиты:

  • Программа может требовать компакт-диск. В частности, это широко применяется в играх.

  • Электронный ключ (донгл), вставленный в один из портов компьютера (обычно LPT или USB, редко — COM). Достоинство ключа в том, что его можно вставлять в любой компьютер, на котором намереваетесь запустить программу. Кроме того, электронный ключ быстр и не занимает дисковода. Но электронные ключи дороги (5—15 долларов), и применяются лишь в дорогостоящем ПО. Также теоретически возможны конфликты периферийных устройств с ключом. Типичный пример электронного ключа —HASP.

Интеллектуальные и физические возможности ключа во многом определяются той базой, на которой собран ключ. Современные ключи собирают на базе микросхем энергонезависимой электрически перепрограммируемой памяти, так называемой EEPROM-памяти (ElectricallyErasableProgrammableReadOnlyMemory); на базе заказных ASIC - чипов (ApplicationSpesificIntegratedCircuit) с памятью или без; на базе микропроцессоров.

Ключи на базе EEPROM. Это самые простые и недорогие ключи, выпускаемые для параллельного порта CENTRONICS. Для обеспечения каскадирования дополнительно используется мультиплексор. Количество ключей, которые могут работать каскадно, обычно не превышает трех. Из-за типовых схемотехнических решений эти ключи имеют «прозрачность» только для принтеров, работающих в стандартном протоколе CENTRONICS. Двунаправленный протокол, в котором работают современные лазерные и струйные принтеры (HPLJ-V, Stylus-850) обычно ими не поддерживаются, что сильно ограничивает перспективы их использования в будущем. Размер памяти ключа, доступной на чтение/запись составляет примерно 128 байтов. Часть этой памяти используется для унификации ключа. В ней хранится некоторая служебная информация, тип ключа, идентификатор пользователя (Customer'scode) , серийный номер ключа (ID-number).

Ключи на базе ASIC- чипа. Это, наверное, самый привлекательный тип электронных ключей, так как особенности их функционирования закладываются на стадии проектирования ASIC-чипа (заказной интегральной микросхемы специального применения). Как правило, этот чип вбирает в себя весь интеллект и опыт работы огромного числа специалистов в области защиты, криптографии, микроэлектроники. Он имеет достаточно сложную внутреннюю организацию и нетривиальные алгоритмы работы.

Перед изготовлением ключа под конкретного заказчика сначала специальным образом с помощью специальной аппаратуры программируется ASIC-чип. Как минимум в него заносится уникальный код, присвоенный этому заказчику, и может быть уникальный серийный номер изготавливаемого ключа. Количество комбинаций для кода заказчика составляет порядка 240-250. Эта информация будет доступна в дальнейшем только на чтение и ее нельзя будет изменить никакими средствами.

Одним из главных критериев качества защиты является устойчивость к эмуляции. Эмуляторы электронного ключа могут быть как программные, так и аппаратные. При этом эмулироваться может не только протокол обмена ключа с портом, но и сам ключ. Ключи, построенные на базе EEPROM-памяти, используют для защиты от эмуляции так называемые "плавающие" или изменяемые и "зашумленные" протоколы обмена с портом. Ключи на базе ASIC-чипа имеют дополнительную защиту от эмуляции, реализованную в виде сложнейшей функции, статистический анализ которой не возможно провести за приемлемое время.

Ключи на базе микропроцессоров. Электронные ключи, выполненные на базе микропроцессора, в основном предназначены для работы в открытых системах для защиты UNIX - приложений. Обычно микропроцессорные ключи подсоединяются к последовательному порту RS-232/432 рабочей станции и поддерживают платформы IBM RS6000, SUN, DEC Alpfa, SiliconGrapfics, HP, IBM-PC. Эти ключи выполняются как платформонезависимые.

Внутренний микропроцессор ключа реализует некий сложный алгоритм преобразования данных. При работе защищенное приложение посылает ключу стандартный запрос. Ключ его обрабатывает и по заданному алгоритму выполняет некие преобразования данных. Ключи разных производителей могут выполнять различные функции. Это - либо функция шифрования данных, реализуемая процессором ключа, либо иной алгоритм общения защищенного приложения с ключом.

Схемы построения защиты.

Важнейшей составной частью системы защиты с использованием электронных ключей является ее программная компонента. Как правило, она включает в себя:

-защитный "конверт" (Envelope);

-библиотечные функции обращения к ключу (API - ApplicationProgramInterface).

Оба способа обеспечения защиты имеют свое назначение и, по возможности, должны применяться совместно.

  • Привязка к серийным номерам компонентов компьютера. Её достоинство в том, что не требуется никакого специфического аппаратного обеспечения, и программу можно распространять посредством цифровой дистрибуции. В качестве привязки используются серийный номер BIOS материнской платы, серийный номер винчестера.


б) Программно-технические средства криптографической и стенографической защиты информации (включая средства маскирования информации) при ее хранении на носителях данных и при передаче по каналам связи.

в) Программно-технические средства прерывания работы программы пользователя при нарушении им правил доступа, в том числе:

- принудительное завершение работы программы;

- блокировка компьютера.

г) Программно-технические средства стирания данных, в том числе:

- стирание остаточной информации, возникающей в процессе обработки данных в оперативной памяти и на магнитных носителях;

- надежное стирание устаревшей информации с магнитных носителей.

д) Программно-технические средства выдачи сигнала тревоги при попытке несанкционированного доступа к информации, в том числе:

- средства регистрации некорректных обращений пользователей к защищаемой информации;

- средства организации контроля за действиями пользователей ПЭВМ.

е) Программно-технические средства обнаружения и локализации действия программных и программно-технических закладок.


3. Программно-технические средства защиты от несанкционированного доступа

SecretDisk 4 – система защиты конфиденциальной информации и персональных данных от несанкционированного доступа и раскрытия конфиденциальной информации, хранящейся и обрабатываемой на персональном компьютере или ноутбуке, когда есть риск его кражи, утери или несанкционированного использования.

SecretDisk 4 позволяет защищать шифрованием системный раздел жёсткого диска. Для доступа к загрузке операционной системы пользователь должен подключить USB-ключ eToken или смарт-карту и ввести PIN-код.

Также SecretDisk 4 позволяет зашифровать несистемные разделы жёстких дисков, тома на динамических дисках, съёмные носители (USB-диски, Flash-диски, ZIP, магнитооптические диски, дискеты, карты памяти для мобильных устройств и т.п.), а также создавать виртуальные зашифрованные диски в виде файлов-контейнеров.

Операции первоначального шифрования, перешифрования и расшифрования проводятся в фоновом режиме и не мешают работе пользователя.

Электронный ключ eToken

Возможности использования:

Хранение ключевой информации криптопровайдера LIRCSP (цифровые сертификаты, закрытые ключи ЭЦП и шифрования) в памяти eToken. Хранение ключевой информации в мобильном защищённом носителе значительно надёжнее, чем в реестре компьютера или на дискете, где она может быть удалена, повреждена или к ней может иметь место несанкционированный доступ в результате подбора злоумышленником пароля пользователя.

Усиление безопасности приложений, использующих криптопровайдер LIRCSP. Любые приложения, использующие криптопровайдер LIRCSP , могут сразу после установки продукта начать использовать eToken для хранения ключевой информации. Никаких изменений в код продукта вносить не требуется.

Преимущества:

Безопасность ключевой информации. Ключевая информация криптопровайдера LIRCSP (цифровые сертификаты, закрытые ключи ЭЦП и шифрования) хранится в защищённой PIN-кодом памяти eToken, а не на диске компьютера. Сам eTokenаппаратно защищён от перебора PIN-кодов. Электронные ключи и смарт-карты eToken PRO соответствуют требованиями руководящего документа Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», сертифицированы по международному стандарту безопасности FIPS 140-1 (уровни 2 и 3), а используемая в них операционная система - по стандарту ITSEC Level E4.

SecretNet 5.0.

SecretNet 5.0 автономный вариант – система защиты информации от несанкционированного доступа нового поколения, которая реализует требования руководящих документов и ГОСТ по защите информации, не ограничивая возможности ОС и прикладного программного обеспечения.

SecretNet 5.0 – это программно-аппаратный комплекс, который обеспечивает защиту серверов, рабочих станций и мобильных ПК, работающих под управлением операционных систем Windows 2000, WindowsХР и Windows 2003.

Возможности SecretNet 5.0:

- защита от загрузки с внешних носителей

- полномочное управление доступом

- разграничение доступа к устройствам

- замкнутая программная среда

- контроль целостности

- шифрование файлов

- гарантированное уничтожение данных

- контроль аппаратной конфигурации компьютера

- контроль печати конфиденциальной информации

- регистрация событий

Аккорд-АМДЗ 5.5

СЗИ НСД Аккорд-АМДЗ – это аппаратный модуль доверенной загрузки (АМДЗ) для IBM-совместимых ПК – серверов и рабочих станций локальной сети, обеспечивающий защиту устройств и информационных ресурсов от несанкционированного доступа.

«Доверенная загрузка» – это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и идентификации/аутентификации пользователя.

Комплекс начинает работу сразу после выполнения штатного BIOS компьютера – до загрузки операционной системы, и обеспечивает доверенную загрузку ОС, поддерживающих файловые системы FAT 12, FAT 16, FAT 32, NTFS, HPFS, EXT2FS, EXT3FS, FreeBSD, Sol86FS, QNXFS, MINIX. Это, в частности, ОС семейств MS DOS, Windows (Windows 9x, Windows ME, Windows NT, Windows 2000, Windows XP, Windows 2003, WindowsVista), QNX, OS/2, UNIX, LINUX, BSD и др. Аккорд-АМДЗ может быть реализован в 5 основных вариантах: Аккорд-5 (для шинного интерфейса PCI), унифицированный контроллер для шин PCI и PCI-X – Аккорд-5МХ, его функциональный аналог в стандарте mini-PCI – Аккорд-5МХ mini-PCI, унифицированный контроллер (PCI, PCI-X) Аккорд-5.5, имеющий мощную аппаратно реализованную криптографическую подсистему, а также его версия для шины PCIe – Аккорд-5.5.e.

Контроллеры могут быть оснащены интерфейсом блокировки двух и более физических каналов (FDD, HDD (IDE), ATX, EATX). В Аккорд-5.5 также реализована возможность отключения питания компьютера в случае, если за N секунд не начал работу BIOS АМДЗ. Аккорд-АМДЗ позволяет использовать для идентификации пользователей смарт-карты, устройства iButton, устройства считывания отпечатков пальцев, а также устройство ШИПКА.

Электронный замок «Соболь»

Электронный замок «Соболь» может применяться как устройство, обеспечивающее защиту автономного компьютера, а также рабочей станции или сервера, входящих в состав локальной вычислительной сети.

Система защиты Электронный замок «Соболь» обладает следующими возможностями:

- идентификация и аутентификация пользователей.

- запрет загрузки ОС со съемных носителей.

- контроль целостности программной среды.

Возможности по идентификации и аутентификации пользователей, а также регистрация попыток доступа к ПЭВМ не зависят от типа использующейся ОС.

«Соболь-PCI» сертифицирован ФАПСИ (сертификат № СФ/527-0553 от 01.07.2002) и Гостехкомиссией России (сертификат № 907 от 18.05.2004г.).

Электронный замок «Соболь-PCI» сертифицирован Федеральным агентством правительственной связи и информации России. Сертификат ФАПСИ № СФ/527-0553 от 01.07.2002 позволяет применять «Соболь-PCI» для защиты информации, составляющей коммерческую или государственную тайну.

Кроме того, электронный замок «Соболь-PCI» сертифицирован Гостехкомиссией России. Сертификат № 457 от 14.05.2001 г. подтверждает соответствие этого изделия требованиям руководящего документа Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» и позволяет использовать его при разработке средств защиты для автоматизированных систем с классом защищенности до 1В включительно.Электронный замок «Соболь-PCI» содержит аппаратный датчик случайных чисел (ДСЧ), который соответствует требованиям ФАПСИ. Этот ДСЧ может применяться при построении прикладных криптографических приложений.

Электронный замок «Соболь-PCI» прост в установке, настройке и эксплуатации. Администрирование и использование электронного замка «Соболь-PCI» не требует высокой квалификации в области информационных технологий.

Страж NT 2.5

СЗИ Страж NT 2.0 предназначена для комплексной защиты информационных ресурсов от несанкционированного доступа при работе в многопользовательских автоматизированных системах. СЗИ Страж NТ 2.0 функционирует в среде операционных систем Windows NT 4.0, Windows 2000, Windows XP и устанавливается как на автономных рабочих местах, так и на рабочих станциях и файл-серверах локальной вычислительной сети.

Основные возможности:

- идентификация и аутентификация пользователей при входе в систему по идентификатору и паролю;

- блокировка клавиатуры на время загрузки операционной системы (за исключением администратора безопасности);

- управление запуском всех системных компонентов, включая драйверы, службы и прикладные программы пользователей;

- создание изолированной программной среды для пользователей;

- дискреционный контроль доступа к ресурсам системы;

- мандатный контроль доступа к защищаемым ресурсам, в т.ч. прикладных программ;

- контроль потоков защищаемой информации;

- автоматическое затирание защищаемых файлов при их удалении;

- контроль целостности информационных массивов и программной среды.

В качестве идентификатора пользователя в данной версии СЗИ Страж NТ 2.0 могут применяться стандартная дискета (3,5"), устройства iButton, USB - ключи eToken R2, eTokenPro, Guardant.

DallasLock 7.5

«DallasLock» является программным средством защиты информации от несанкционированного доступа к информационным ресурсам компьютеров и соответствуют требованиям руководящих документов Гостехкомиссии России по 3-му уровню контроля отсутствия недекларированных возможностей и 4-му классу защищенности от НСД. Продукт может использоваться для защиты государственной тайны категории «секретно».

Программное средство «DallasLock», обеспечивает многоуровневую защиту локальных ресурсов компьютера:

- защиту информации от несанкционированного доступа на ПЭВМ в ЛВС через терминальный и сетевой вход;

- разграничение полномочий пользователей по доступу к ресурсам файловой системы;

- контроль доступа к реестру, контроль целостности, аудит событий;

- очистку остаточной информации;

- защиту данных путем преобразования диска (кодирования);

- разграничение доступа к устройствам, контроль аппаратной конфигурации;

- возможность создания замкнутой программной среды;

- разграничение доступа при сетевом взаимодействии;

- сетевое администрирование, включая удаленную настройку и просмотр журналов.

Данная система может поставляться как в программном варианте комплектации, так и с опциональным дополнением аппаратных средств защиты, что значительно повышает ее эксплуатационные характеристики, снимая вопросы совместимости с аппаратными платформами используемых средств вычислительной техники.

Кроме того, предусмотрена возможность подключения различных видов считывателей и идентификаторов (TouchMemory, USB-eToken, Proximity) через com- и usb-порты. Также средство имеет встроенную возможность печати грифов конфиденциальности на любых документах и возможность использования системы для защиты ресурсов мобильных (Notebook) и промышленных компьютеров.


Войти