Информационная безопасность

Клиент Secret Net (как автономный вариант, так и сетевой) устанавливается на компьютер, содержащий важную информацию, будь то рабочая станция в сети или какой-либо сервер (в том числе и сервер безопасности). Основное назначение клиента Secret Net:

1. Защита ресурсов компьютера от несанкционированного доступа и разграничение прав зарегистрированных пользователей.
2. Регистрация событий, происходящих на рабочей станции или сервере сети, и передача информации на сервер безопасности.
3. Выполнение централизованных и децентрализованных управляющих воздействий администратора безопасности.
4. Клиенты Secret Net оснащаются средствами аппаратной поддержки (для идентификации пользователей по электронным идентификаторам и управления загрузкой с внешних носителей).

Сервер безопасности устанавливается на выделенный компьютер или контроллер домена и обеспечивает решение следующих задач: 
Ведение центральной базы данных (ЦБД) системы защиты, функционирующую под управлением СУБД Oracle 8.0 Personal Edition и содержащую информацию, необходимую для работы системы защиты. Сбор информации о происходящих событиях со всех клиентов Secret Net в единый журнал регистрации и передача обработанной информации подсистеме управления. Взаимодействие с подсистемой управления и передача управляющих команд администратора на клиентскую часть системы защиты.

Подсистема управления Secret Net устанавливается на рабочем месте администратора безопасности и предоставляет ему следующие возможности:

1. Централизованное управление защитными механизмами клиентов Secret Net. Контроль всех событий имеющих отношение к безопасности информационной системы.
2. Контроль действий сотрудников в ИС организации и оперативное реагирование на факты и попытки НСД.
3. Планирование запуска процедур копирования ЦБД и архивирования журналов регистрации.
4. Схема управления, реализованная в Secret Net, позволяет управлять информационной безопасностью в терминах реальной предметной области и в полной мере обеспечить жесткое разделение полномочий администратора сети и администратора безопасности.

Система защиты информации Secret Net выпускается в автономном и сетевом вариантах. Автономный вариант - состоит только из клиентской части Secret Net и предназначен для обеспечения защиты автономных компьютеров или рабочих станций и серверов сети, содержащих важную информацию. Сетевой вариант - состоит из клиентской части, подсистемы управления, сервера безопасности и позволяет реализовать защиту, как всех компьютеров сети, так и только тех рабочих станций и серверов, которые хранят и обрабатывают важную информацию. Причем в сетевом варианте, благодаря наличию сервера безопасности и подсистемы управления, будет обеспечено централизованное управление и контроль работы всех компьютеров, на которых установлены клиенты Secret Net.

Основными сферами применения системы Secret Net являются:

• защита информационных ресурсов;
• централизованное управление информационной безопасностью;
• контроль состояния информационной безопасности.

Семейство средств защиты информации Secret Net имеет все необходимые сертификаты Гостехкомиссии России и Федерального агентства правительственной связи и информации России. Система защиты информации Secret Net 4.0 сертифицирована Гостехкомиссией России по 3 классу защищенности. Это означает, что Secret Net 4.0 можно применять для защиты информации, содержащей сведения, составляющие государственную тайну.

2.2. Система криптографической защиты информации

«Верба - ОW»

Защита данных с помощью криптографических преобразований (преобразование данных шифрованием и (или) выработкой имитовставки) - одно из возможных решений проблемы их безопасности.

Шифрование данных производится с целью скрыть содержание представляемой ими информации. Зашифрованные данные становятся доступными только для того, кто знает соответствующий ключ, с помощью которого можно расшифровать сообщение, и поэтому похищение зашифрованных данных без знания ключа является бессмысленным занятием.

Передаваемые по каналам связи зашифрованные данные критичны к искажениям. Используемые в СКЗИ «Верба-ОW» методы шифрования гарантируют не только высокую секретность, но и эффективное обнаружение искажений или ошибок в передаваемой информации.

Криптография обеспечивает надежную защиту данных. Однако необходимо понимать, что ее применение не является абсолютным решением всех проблем защиты информации. Для эффективного решения проблемы защиты информации необходим целый комплекс мер, который включает в себя соответствующие организационно-технические и административные мероприятия, связанные с обеспечением правильности функционирования технических средств обработки и передачи информации, а также установление соответствующих правил для обслуживающего персонала, допущенного к работе с конфиденциальной информацией.

Основными компонентами криптографии являются данные, криптографическое преобразование и ключ:

1. данные - при зашифровании исходными данными будет сообщение, а результирующими - зашифрованное сообщение. При расшифровании они меняются местами. Сообщения могут быть различных типов: текст, видеоизображение и т.п.;
2. криптографическое преобразование - под криптографическим преобразованием понимают преобразование данных при помощи алгоритма шифрования или выработки электронно-цифровой подписи. Считается, что криптографическое преобразование известно всем, но, не зная ключа, с помощью которого пользователь закрыл сообщение, практически невозможно восстановить содержание сообщения или подделать электронно-цифровую подпись. Термин "шифрование" объединяет в себе два процесса: зашифрование и расшифрование информации. Если зашифрование и расшифрование осуществляются с использованием одного и того же ключа, то такой алгоритм криптографического преобразования называется симметричным, в противном случае- асимметричным. В СКЗИ "Верба-OW" используется симметричный алгоритм криптографического преобразования;
3. ключ шифрования (ключ связи) - конкретное секретное состояние некоторых параметров алгоритма криптографического преобразования данных. В данном случае термин "ключ" означает уникальный битовый шаблон.

При зашифровании сообщения криптографическое преобразование использует ключ. Он используется аналогично обычному ключу, которым запирают дверь, и закрывает сообщение от посторонних глаз. Для расшифрования сообщения нужен соответствующий ключ. Важно ограничить доступ к ключам шифрования, так как любой, кто обладает ключом шифрования, может прочитать зашифрованное Вами сообщение.

В СКЗИ «Верба-OW» используется механизм открытого распределения ключей, при котором для формирования ключа связи используется пара ключей: открытый и секретный ключи шифрования.

В СКЗИ «Верба-ОW» используется симметричный алгоритм криптографического преобразования данных, определенный ГОСТ28147-89. Данный алгоритм предназначен для аппаратной и программной реализации и удовлетворяет необходимым криптографическим требованиям. ГОСТ28147-89 предусматривает несколько режимов работы алгоритма криптографического преобразования. В СКЗИ «Верба-ОW» используется алгоритм шифрования, основанный на принципе гаммирования, который подразумевает процесс наложения по определенному закону гаммы шифра на открытые данные (под гаммой понимается псевдослучайная двоичная последовательность, вырабатываемая по заданному алгоритму). ГОСТ 28147-89 также определяет процесс выработки имитовставки. Имитовставка - это последовательность данных фиксированной длины, которая вырабатывается по определенному правилу из открытых данных и ключа шифрования. Выработка имитовставки обеспечивает защиту информации от случайных или преднамеренных искажений в канале связи. Выработка имитовставки обеспечивает защиту от навязывания ложных данных. Вероятность навязывания ложных помех равна 10-9. Имитовставка передается по каналу связи вместе с зашифрованным сообщением. Поступившие зашифрованные данные расшифровываются, и из полученных блоков данных вырабатывается контрольная имитовставка, которая затем сравнивается с имитовставкой, полученной из канала связи. В случае несовпадения имитовставок все расшифрованные данные считаются ложными.

В последнее время широкое распространение получили криптографические системы с открытым распределением ключей. В таких системах каждый пользователь формирует два ключа: открытый и секретный. Секретный ключ шифрования должен храниться в тайне. Открытый ключ шифрования не является секретным и может быть опубликован для использования всеми пользователями системы, которые обмениваются сообщениями. Знание открытого ключа шифрования не дает практической возможности определить секретный ключ.

Общий секретный ключ связи (длиной 256 бит согласно требованиям ГОСТ 28147-89) вырабатывается после того, как абоненты сети обменялись своими открытыми ключами.

СКЗИ «Верба-ОW» является системой с открытым распределением ключей. Каждый пользователь вырабатывает свой секретный ключ, из которого затем с помощью некоторой процедуры формируется открытый ключ. Открытые ключи объединяются в справочник.

В СКЗИ «Верба-ОW» ключ зашифрования совпадает с ключом расшифрования. При зашифровании сообщения i-ым абонентом для j-ого абонента общий секретный ключ связи вырабатывается на основе секретного ключа шифрования i-ого абонента и открытого ключа шифрования j-ого абонента. Соответственно, для расшифрования этого сообщения j-ым абонентом формируется секретный ключ связи на основе секретного ключа шифрования j-ого абонента и открытого ключа шифрования i-ого абонента.

Таким образом, для обеспечения связи с другими абонентами каждому пользователю необходимо иметь:

• собственный секретный ключ шифрования;
• справочник открытых ключей шифрования пользователей сети конфиденциальной связи.

Примем следующее соглашение. Абонента, который зашифровывает сообщение, будем в дальнейшем называть отправителем; абонента, который расшифровывает закрытое сообщение- получателем.

Электронная цифровая подпись- это средство, позволяющее на основе криптографических методов надежно установить авторство и подлинность электронного документа. Электронная цифровая подпись позволяет заменить при безбумажном документообороте традиционные печать и подпись. При построении цифровой подписи вместо обычной связи между печатью или рукописной подписью и листом бумаги выступает сложная математическая зависимость между электронным документом, секретным и общедоступным ключами. Практическая невозможность подделки электронной цифровой подписи опирается на очень большой объем определенных математических вычислений.

Проставление подписи под документом не меняет самого документа, она только дает возможность проверить подлинность и авторство полученной информации.

В СКЗИ «Верба-ОW» реализована система электронной цифровой подписи на базе криптографического алгоритма, соответствующего ГОСТ Р34.10-94. Секретный ключ подписи используется для выработки электронной цифровой подписи. Только сохранение пользователем в тайне своего секретного ключа гарантирует невозможность подделки злоумышленником документа и цифровой подписи от имени заверяющего.

Открытый ключ подписи вычисляется как значение некоторой функции от секретного ключа, но знание открытого ключа не дает возможности определить секретный ключ. Открытый ключ может быть опубликован и используется для проверки подлинности подписанного документа, а также для предупреждения мошенничества со стороны заверяющего в виде отказа его от подписи документа.

При работе с СКЗИ «Верба-ОW» каждый пользователь, обладающий правом подписи, самостоятельно формирует личные секретный и открытый ключи подписи. Открытые ключи подписи всех пользователей объединяются в справочники открытых ключей сети конфиденциальной связи.

Каждому пользователю, обладающему правом подписи, необходимо иметь:

• секретный ключ подписи;
• справочник открытых ключей подписи пользователей сети.

В СКЗИ "Верба-ОW" реализована система электронной цифровой подписи на базе асимметричного криптографического алгоритма согласно ГОСТ Р 34.10-94. Электронная цифровая подпись вырабатывается на основе электронного документа, требующего заверения, и секретного ключа. Согласно стандарту документ "сжимается" с помощью функции хеширования Однонаправленная хэш-функция получает на входе исходное сообщение произвольной длины и преобразует его в хеш-значение фиксированной длины (256 бит согласно ГОСТ Р34.11-94). Значение хэш-функции сложным образом зависит от содержания документа, но не позволяет восстановить сам документ. Хэш-функция чувствительна к всевозможным изменениям в тексте. Кроме того, для данной функции нельзя вычислить, какие два исходные сообщения могут генерировать одно и то же хеш-значение, поскольку хеш-значения двух 256-битовых документов могут совпасть в одном из 2256 (1077) случаев. Далее к полученному хеш-значению применяется некоторое математическое преобразование, в результате которого и получается собственно цифровая подпись электронного документа.

При проверке подписи проверяющий должен располагать открытым ключом пользователя, поставившего подпись. Проверяющий должен быть полностью уверен в подлинности открытого ключа (а именно в том, что имеющийся у него открытый ключ соответствует открытому ключу конкретного пользователя). Процедура проверки подписи состоит из вычисления хеш-значения документа и проверки некоторых соотношений, связывающих хеш-значение документа, подпись под этим документом и открытый ключ подписавшего пользователя. Документ считается подлинным, а подпись правильной, если эти соотношения выполняются. В противном случае подпись под документом считается недействительной.

Для разрешения споров между отправителем и получателем информации, связанных с возможностью искажения пересылаемого документа или открытого ключа проверки подписи, достоверная копия этого ключа может выдаваться третьей стороне (арбитру) и применяться им при возникновении конфликта между отправителем и получателем. Наличие у абонента секретного ключа не позволяет ему самому сменить свой номер в сети или выработать подпись под номером другого абонента.