Безпека понад усе!
Поліпшення безпеки автоматизованих комплексів
Станіслав Короткий
Постановка задачі
Розширення сфер застосування сучасних інформаційних технологій висуває нові вимоги до принципів побудови та властивостей інформаційних систем. Сьогодні все більшої важливості набуває проблема забезпечення безпеки. Пояснюється це в першу чергу впровадженням та модернізацією інформаційних технологій в організаціях і підприємствах, які усвідомили необхідність забезпечення конфіденційності своїх даних, а також появою нових технічних прийомів, таких як електронно-цифровий підпис, що має юридичну силу. Крім того, хоч як це парадоксально, вдосконалення комп'ютерних технологій призвело до утворення безлічі лазівок для витоку цінної інформації. Так, розвиток локальних, а потім корпоративних та глобальних комп'ютерних мереж значно збільшує можливість проникнення в інформаційну систему підприємства зловмисників, якщо не вжити відповідних заходів. Враховуючи, що тенденції розвитку чітко окреслили перевагу комплексних, територіально розподілених комп'ютерних систем, можна зробити висновок, що завдання щодо забезпечення безпеки також має комплексний характер. Вона може бути вирішена лише у разі застосування засобів захисту у контексті всіх експлуатованих операційних систем та прикладних програм.
Тут слід виділити два основних напрямки робіт, розділених за принципом розташування даних. По-перше, необхідні засоби забезпечення безпечного зв'язку внутрішньої мережі масштабу підприємства із зовнішнім світом, тобто захист від несанкціонованого доступу ззовні та надійне шифрування даних, що передаються через мережеву інфраструктуру зовнішнього світу; по-друге, розмежування правдоступу та шифрування даних внутрішніх ресурсів.
Варто зазначити, що всі пропоновані компанією ВЕСТЬ АТ програмні продукти та інтеграційні рішення на їх основі використовують як базу надійні мережеві операційні системи та промислові СУБД, які мають вбудовані засоби ідентифікації користувача при підключенні до мережі та зверненні до даних, а також засоби протоколювання виконуваних дій. В результаті цього користувачі отримують строго обмежені права доступу до ресурсів і всі спроби несанкціонованого доступу реєструються в системних журналах і журналах прикладного програмного забезпечення. На деяких платформах допустиме посилення захисту за рахунок вбудовування операційного середовища додаткових модулів контролю доступу. Наприклад, система управління документами DOCS Open дає можливість застосовувати в середовищі Windows NT Server спеціальне програмне забезпечення DOCS Open Document Sentry Agent, яке запобігає прямому зверненню до об'єктів файлової системи в обхід системи безпеки DOCS Open (можна сказати, що Document Sentry Agent виконує функції своєрідного брандмауера на рівні файлів).
Підвищення безпеки за допомогою криптозахисту
Шифрування інформації за допомогою системи КЗІ дозволяє надійно зберегти її від прочитання неуповноваженими особами. Зашифровані дані можуть вільно передаватись через відкриті канали зв'язку, пересилатися на дискетах або зберігатися у вигляді файлів. У будь-якому випадку у власника даних є гарантія, що розшифрувати дані зможе тільки та особа, якій він надіслав цю інформацію.
Важливість проблеми захисту інформації стала приводом для створення безлічі як вітчизняних, так і зарубіжних стандартів КЗІ. Серед зарубіжних слід перш за все згадати DES(Data Encryption Standard — стандарт шифрування даних), що реалізує симетричну схему із закритим ключем і затверджений урядом США як державний стандарт (він використовує блокове кодування з довжиною блоку 64 біт та ключем у 56 біт), RSA (Rivest, Shamir, Adleman) — криптосистема з відкритим ключем, блокові шифри IDEA (International Data Encryption Algorithm), RC-2 та його вдосконалені версії RC-4 та RC-5. Об'єднання окремих алгоритмів в один дало PGP (Pretty Good Privacy), який використовує RSA для безпечного обміну ключами, IDEA для шифрування повідомлень, RSA для цифрового підпису та MD5 для обчислення хеш-функцій.
Усі вітчизняні стандарти КЗІ оформлені у вигляді ГОСТів. Наприклад, ГОСТ 28147-89 описує алгоритми криптографічної обробки інформації (шифрування та розшифрування, генерування імітівставки з метою контролю цілісності даних та запобігання випадкових або навмисних спотворень), ГОСТ Р34.10-94 – процедури вироблення та перевірки електронного цифрового підпису на базі ГОСТ Р34.11-94 - обчислення хеш-функцій довільних блоків даних.
Зазвичай комплекси КЗІ виробляються у вигляді модулів або бібліотек, що вбудовуються в операційні системи або прикладне ПЗ. Вибір тут досить широкий, але слід звернути особливу увагу, чи сертифікований той чи інший комплекс. Не варто забувати, що кожна країна, як правило, має певний інститут, який сертифікує системи КЗІ, і зазвичай лише мала частина систем, що пропонуються на ринку, такі сертифікати отримує. В Україні подібну роботу веде ФАПСІ і до останнього часу жодна з іноземних систем КЗІ (наприклад, Microsoft CriptoAPI, що використовується в Windows NT, RSA CRYPTOKI, Generic Security Services API, Independent Data UnitProtection API (Generic Crypto Service API) не отримала сертифікат. Це означає, що застосування цих СКЗІ протипоказане державним структурам та установам та не забезпечує на території нашої країни юридичної сили підписаним за допомогою їх коштів ЕЦП документам. Крім того, сертифікація побічно свідчить про високу надійність СКЗД.
Серед сертифікованих ФАПСІ СКЗІ можна назвати апаратно-програмний криптографічний комплекс ШИП (шифратор IP-потоків), комплекс ТИТАН, призначений для створення захищених мереж X.25 з використанням аутентифікації абонентів (вузлів мережі) та шифрування пакетів мережі X.25, комплекс «Криптограф », «Бурштин» та інші.
«Верба» у складі продуктів від ВЕСТЬ АТ
Однією з найвідоміших сертифікованих СКЗІ в Україні є комплекс «Верба», розроблений у московському відділенні Пензенського науково-дослідного електротехнічного інституту, який дозволяє забезпечити високий рівень захисту інформації від несанкціонованого доступу та виявлення її спотворення при зберіганні на дисках або в результаті передачі каналами зв'язку. . Існує кілька версій, що функціонують у різних операційних системах, що дає можливість впроваджувати "Вербу" в гетерогенні інформаційні системи (див. рис. 1). Сьогодні доступні версії для DOS, Windows 3.1x, Windows 95, Windows NT та кількох діалектів Unix.
Програмний засіб КЗІ «Верба» є бібліотекою динамічного компонування, функції якої після її встановлення стають доступними для використання із системи DOCS Open та WorkRoute II.
Важливо, що всі розроблені компанією ВЕСТЬ АТ комплекси автоматизації діловодства, офісного та інженерного документообігу, а також управління підприємством можуть бутилегко вдосконалені з метою підвищення їхньої безпеки. Таким чином, наприклад, комплекс PowerDOCS, що поєднує в собі СУД DOCS Open, систему маршрутизації завдань та документів з контролем їх виконання WorkRoute II та систему для роботи з образами документів DeltaImage, інтегрується зі СКЗІ «Верба» шляхом встановлення на клієнтські місця відповідної бібліотеки та вбудовування викликів функцій криптозахисту в інтерфейс комплексу виходячи з вимог замовника. Всі застосовувані в технічних рішеннях компанії ВЕСТЬ АТ програмні продукти (наприклад, та сама система DOCS Open) у свою чергу характеризуються відкритістю, тобто забезпечені розвиненими засобами, що сприяють розширенню функціоналу системи. Так само криптозахист може бути вбудований в комплекс з організації електронного архіву інженерно-технічної документації та супутнього документообігу TechnoDOCS або в систему автоматизації інвестиційної компанії StockRoute. Остання будується на основі системи WorkRoute II та програм бухгалтерського обліку.
До основних криптографічних функцій СКЗІ «Верби» входить шифрування та розшифрування інформації на рівні файлів і блоків пам'яті, формування ключів електронного цифрового підпису та ключів шифрування (для цієї мети існує спеціальне робоче місце адміністратора безпеки — АРМ АБ), формування та перевірка ЕЦП файлів і блоків пам'яті, а також виявлення спотворень, що вносяться зловмисниками або вірусами в інформацію, що захищається.
Особливо слід зазначити, що більшість СКЗІ, що вбудовуються, не гарантує контроль цілісності програмного забезпечення СКЗІ при підключенні її до прикладних програм, про що повинні подбати інтегратори і розробники комплексних інформаційних систем. У цьому сенсі "Верба" вигідновідрізняється від своїх конкурентів, оскільки має систему вбудованого контролю цілісності та може доповнитися системою захисту від несанкціонованого доступу «Акорд».
Серед інших можливостей СКЗІ «Верба» виділяється автоматичне завантаження робочого ключа за його ідентифікатором у процесі розшифрування файлу та формування ЕЦП, підпис файлу кількома (від 1 до 255) кореспондентами, а також виконання ряду спеціальних операцій. До них входить шифрування групи файлів на одному ключі з об'єднанням їх в один закритий файл та вибіркове розшифрування одного з них, а також ведення журналів реєстрації протоколу перевірки ЕЦП, підписаних файлів, шифрування файлів та виведення розшифрованих файлів на друк.
Технічні характеристики СКЗІ «Верба»
СКЗІ "Верба" використовує ключі довжиною 256 біт. Державні організації зазвичай застосовують модифікацію «Верби», що забезпечує роботу із закритими симетричними ключами. Для комерційних організацій пропонується "Верба-О", що реалізує шифрування за допомогою асиметричних ключів.
СКЗІ «Верба» вимагає 200 Кб оперативної пам'яті та наявності накопичувача на гнучкому магнітному диску. Ключі шифрування та ЕЦП можуть зберігатися на гнучкому та жорсткому магнітних дисках. До Windows-версії СКЗІ «Верба» надається приклад Windows-програми у вихідних текстах, що використовує функції DLL.
Під час обробки інформації на комп'ютері PC/AT 486/100 СКЗІ «Верба-О» забезпечує наступні показники швидкодії.
| Операції | Значення |
| Шифрування | 500 Кб/с |
| Вичищення хеш-функції | 400 Кб/с |
| Формування ЕЦП | 0,04 с |
| Перевірка ЕЦП | 0,2 с |
Алгоритм шифрування виконаний відповідно довимогами ГОСТ 28147-89 «Системи обробки інформації. Захист криптографічний».
Цифровий підпис виконаний згідно з вимогами ГОСТ Р34.10-94 «Інформаційна технологія. Криптографічний захист інформації. Процедури вироблення та перевірки електронного цифрового підпису на базі асиметричного криптографічного алгоритму».
СКЗІ «Верба» може комплектуватися платою апаратної підтримки «Кулон-1», що доповнює комплекс заходів щодо захисту від несанкціонованого доступу.
Важливе зауваження
На закінчення хотілося б нагадати, що лише технічних засобів забезпечення безпеки недостатньо. Керівництво будь-якої організації має розуміти, що найбільш уразливою ланкою будь-якої системи є людина. Таким чином, разом із впровадженням комплексу криптозахисту (а краще попередньо) необхідно провести зі співробітниками роз'яснювальну роботу, видати відповідні організаційно-розпорядчі документи, визначити ступінь відповідальності та, можливо, взяти підписку про нерозголошення інформації, призначеної для службового користування, а також розробити комплекс заходів щодо дотримання режиму секретності та контролю дисципліни. Все це дозволить знизити ймовірність негативних наслідків від можливої недбалості або злого наміру співробітників.