Sertifikuotų skzi naudojimas - FSB požiūris. Sertifikuotos kriptografinės informacijos apsaugos priemonės (CI)
Informacijos slaptumo (konfidencialumo) užtikrinimas. 2.
Informacijos vientisumo užtikrinimas. 3.
Informacijos (dokumentų) autentifikavimas. Norint išspręsti šias problemas, būtina įgyvendinti šiuos veiksmus
procesai: 1.
Faktinių informacijos saugumo funkcijų įgyvendinimas, įskaitant:
šifravimas / iššifravimas; EDS sukūrimas/patikrinimas; imitacinių intarpų kūrimas/testavimas. 2.
Būsenos stebėjimas ir KPI priemonių veikimo valdymas (sistemoje):
būsenos kontrolė: KPI priemonių veikimo pažeidimo, bandymų neteisėtai prieiti, raktų kompromitavimo atvejų nustatymas ir registravimas;
veiklos valdymas: priemonių ėmimasis esant išvardytiems nukrypimams nuo normalaus KPI priemonių veikimo. 3.
KZI objektų priežiūros vykdymas: raktų valdymo įgyvendinimas;
procedūrų, susijusių su naujų tinklo abonentų prijungimu ir (arba) išėjusių abonentų pašalinimu, vykdymas; nustatytų CIPF trūkumų pašalinimas; naujų versijų diegimas programinė įranga CIPF;
CIPF techninių priemonių modernizavimas ir pakeitimas pažangesnėmis ir (arba) priemonių, kurių ištekliai išnaudoti, pakeitimas.
Raktų valdymas yra viena iš svarbiausių kriptografinės informacijos apsaugos funkcijų, kurią sudaro šių pagrindinių funkcijų įgyvendinimas:
raktų generavimas: apibrėžia raktų ar raktų porų generavimo mechanizmą, garantuojantį jų kriptografines savybes;
raktų paskirstymas: apibrėžia mechanizmą, kuriuo raktai patikimai ir saugiai pristatomi abonentams;
raktų saugojimas: apibrėžia mechanizmą, kuriuo raktai yra saugiai ir saugiai saugomi naudoti ateityje;
rakto atkūrimas: apibrėžiamas vieno iš raktų atkūrimo mechanizmas (pakeitimas nauju raktu);
raktų sunaikinimas: apibrėžiamas mechanizmas, kuriuo pasenę raktai saugiai sunaikinami;
raktų archyvas: mechanizmas, kuriuo raktai gali būti saugiai saugomi vėliau notaro patvirtintam atkūrimui konfliktinėse situacijose.
Apskritai, išvardintoms kriptografinės informacijos apsaugos funkcijoms įgyvendinti, būtina sukurti kriptografinės informacijos apsaugos sistemą, kuri apjungtų faktines CSI priemones, aptarnaujantį personalą, patalpas, biuro įrangą, įvairią dokumentaciją (techninę, norminę), ir tt
Kaip jau minėta, norint gauti informacijos apsaugos garantijas, būtina naudoti sertifikuotas KPI priemones.
Šiuo metu labiausiai paplitęs yra konfidencialios informacijos apsaugos klausimas. Šiai problemai išspręsti, globojant FAPSI, buvo sukurtas funkciškai pilnas konfidencialios informacijos kriptografinės apsaugos rinkinys, leidžiantis išspręsti išvardintus informacijos apsaugos uždavinius įvairiausioms programoms ir naudojimo sąlygoms.
Šis kompleksas pagrįstas kriptografinėmis šerdimis „Verba“ (asimetrinių raktų sistema) ir „Verba-O“ (simetrinių raktų sistema). Šios kriptografinės šerdies suteikia duomenų šifravimo procedūras pagal GOST 28147-89 „Informacijos apdorojimo sistemos“ reikalavimus.
Kriptografinė apsauga“ ir Elektroninis parašas pagal GOST R34.10-94 "Informacinės technologijos. Kriptografinė informacijos apsauga. Elektroninio skaitmeninio parašo, pagrįsto asimetriniu kriptografiniu algoritmu, kūrimo ir tikrinimo procedūros" reikalavimus.
Į CIPF kompleksą įtrauktos priemonės leidžia apsaugoti elektroninius dokumentus ir informacijos srautus naudojant sertifikuotus šifravimo ir elektroninio parašo mechanizmus beveik visose šiuolaikinėse informacinėse technologijose, įskaitant: CIPF naudojimą neprisijungus;
saugus informacijos mainai neprisijungus prie interneto; saugus informacijos mainai on-line režimu; saugomas nevienalytis, t.y. mišrus informacijos mainai.
Sisteminiams kriptografinės informacijos apsaugos priemonių naudojimo klausimams spręsti, vadovaujant D. A. Starovoitovui, buvo sukurta kompleksinė kriptografinės informacijos apsaugos technologija Vityaz, užtikrinanti kriptografinių duomenų apsaugą iš karto visose sistemos dalyse: ne tik ryšio kanaluose. ir sistemos mazguose, bet ir tiesiogiai vartotojo darbo vietose dokumento kūrimo procese, kai pats dokumentas yra apsaugotas. Be to, naudojant bendrąją „Vityaz“ technologiją, vartotojams pateikiama supaprastinta, lengvai prieinama licencijuotų CIPF įterpimo į įvairias programų sistemas technologija, todėl šių CIPF naudojimas yra labai platus.
Žemiau pateikiamas kiekvieno iš išvardytų režimų apsaugos priemonių ir metodų aprašymas.
CIPF naudojimas neprisijungus.
Dirbant autonomiškai su CIPF gali būti diegiami šie kriptografinės informacijos apsaugos tipai: saugomo dokumento sukūrimas; failų apsauga;
saugomo sukūrimas Failų sistema; saugomo sukūrimas loginis diskas. Vartotojo pageidavimu gali būti įdiegta šių tipų dokumentų (failų) kriptografinė apsauga:
dokumento (failo) šifravimas, dėl kurio jo turinys tampa neprieinamas tiek saugant dokumentą (failą), tiek perduodant jį ryšio kanalais ar per kurjerį;
intarpo imitatoriaus sukūrimas, kuris užtikrina dokumento (bylos) vientisumo kontrolę;
EDS suformavimas, užtikrinantis dokumento (bylos) vientisumo kontrolę ir dokumentą (bylą) pasirašiusio asmens autentiškumo patvirtinimą.
Dėl to apsaugotas dokumentas (failas) virsta šifruotu failu, kuriame, jei reikia, yra EDS. Skaitmeninis parašas, priklausomai nuo informacijos apdorojimo proceso organizavimo, gali būti pavaizduotas ir atskira nuo pasirašyto dokumento byla. Be to, šis failas gali būti išvestas į diskelį ar kitą laikmeną, kad būtų pristatytas per kurjerį, arba išsiųstas bet kokiu turimu el. paštu, pavyzdžiui, internetu.
Atitinkamai, gavus užšifruotą failą el. paštu ar tam tikroje laikmenoje, atliekami kriptografinės apsaugos veiksmai Atvirkštinė tvarka(iššifravimas, imitacijos įterpimo patikrinimas, skaitmeninio parašo patikrinimas).
Dėl įgyvendinimo baterijos veikimo laikas Su CIPF gali būti naudojamos šios sertifikuotos priemonės:
teksto rengyklė „Lexicon-Verba“, įdiegta CIPF „Verba-O“ ir CIPF „Verba“ pagrindu;
CIPF programinės įrangos kompleksas „Autonomous Workplace“ įdiegtas CIPF „Verba“ ir „Verba-O“ pagrindu, skirtas Windows 95/98/NT;
kriptografinio disko tvarkyklė PTS "DiskGuard".
Saugoma tekstų rengyklė „Lexicon-Verba“.
„Lexicon-Verba“ sistema yra visų funkcijų teksto rengyklė, palaikanti dokumentų šifravimą ir elektroninį skaitmeninį parašą. Norėdami apsaugoti dokumentus, jis naudoja Verba ir Verba-O kriptografines sistemas. Šio gaminio išskirtinumas slypi tame, kad šifravimo ir teksto pasirašymo funkcijos tiesiog įtrauktos į šiuolaikinio teksto rengyklės funkcijas. Dokumento šifravimas ir pasirašymas šiuo atveju iš specialių procesų virsta tiesiog standartiniais veiksmais dirbant su dokumentu.
Tuo pačiu metu „Lexicon-Verba“ sistema atrodo kaip įprasta teksto rengyklė. Teksto formatavimo parinktys apima pilnas pritaikymas dokumento šriftai ir pastraipos; lentelės ir sąrašai; poraštės, išnašos, šoninės juostos; stilių panaudojimas ir daugelis kitų šiuolaikinius reikalavimus atitinkančių teksto rengyklės ypatybių. „Lexicon-Verba“ leidžia kurti ir redaguoti dokumentus Lexicon, RTF, MS Word 6/95/97, MS Write formatais.
Autonominė darbo vieta.
CIPF „Autonominė darbo vieta“ yra įdiegta CIPF „Verba“ ir „Verba-O“ pagrindu, skirta „Windows 95/98/NT“, ir leidžia vartotojui atlikti šias funkcijas interaktyviu režimu:
failų šifravimas / iššifravimas raktuose; failų šifravimas / iššifravimas naudojant slaptažodį; Elektroninių skaitmeninių parašų (EDS) tvirtinimas/pašalinimas/patikrinimas prie rinkmenų;
užšifruotų failų tikrinimas;
EDS tvirtinimas + failų šifravimas (vienu veiksmu); iššifravimas + EDS pašalinimas (vienu veiksmu) pagal failus;
maišos failo skaičiavimas.
CIPF „Autonominė darbo vieta“ patartina naudoti kasdieniam darbui darbuotojams, kuriems reikia:
konfidencialios informacijos perdavimą elektroniniu formatu rankiniu būdu arba per kurjerį;
Konfidencialios informacijos siuntimas viešuoju tinklu, įskaitant internetą;
apsauga nuo neteisėtos prieigos prie konfidencialios informacijos asmeninius kompiuterius darbuotojų.
Valerijus Konyavskis
VNIIPVTI mokslinis vadovas,
mokslinis konsultantas OKB SAPR
Bet kokia operacija su atsitiktiniu skaičiumi duos atsitiktinį skaičių. Atsitiktinė seka, pridėta prie paprasto teksto, suteiks atsitiktinį kriptotekstą. Kuo geresnė gama kokybė, tuo mažesnė tikimybė iššifruoti kriptotekstą. Jei gama tikrai atsitiktinė, kriptoteksto iššifruoti negalima.
Vernamo šifras
Kriptografinės informacijos apsaugos (CIPF) priemones galima suskirstyti į šifravimo priemones ir elektroninio parašo priemones (SES).
Nebuvo labai patogu ir gana brangu perduoti diapazoną didžiulių perforuotos juostos ritinių pavidalu. Todėl kartais kildavo problemų dėl pakartotinio naudojimo ir dėl to svarbios informacijos nutekėjimo.
Kad neperduotų perforuotos juostos ritės brangiais kanalais, jie sugalvojo būdus, kaip sugeneruoti ilgą gamą iš atsitiktinio, bet trumpo klavišo. Tuo metu buvo lengviau perduoti trumpą atsitiktinį klavišą nei ilgą.
Sertifikuotas CIPF
Atsiradus šiuolaikinėms laikmenoms, situacija kardinaliai pasikeitė, o dabar nėra jokių problemų gaminti ir perduoti gigabaitus gama – jei tik DFS būtų geras. Programinės įrangos pseudo-atsitiktinių sekų generatoriai (PSP) čia gali būti naudojami tik iš nevilties, kad nėra gero fizinio generatoriaus.
Kriptografijos standartai apibrėžia operacijų sekas, kurios leidžia gauti saugiai užšifruotą paprastą tekstą, pagrįstą geru raktu. Tuo pačiu metu raktai vis tiek turi būti pagaminti ant gerų jutiklių.
Reguliatorius nustato taisykles, testavimo laboratorijos tikrina, ar laikomasi reikalavimų operacijoms, raktams ir kitų procesų įtakos šiems procesams nebuvimo – taip atsiranda sertifikuotos kriptografinės informacijos apsaugos priemonės.
Šifravimas ir elektroninis parašas
Gama turi turėti šias savybes:
- būti tikrai atsitiktiniai, tai yra, suformuoti fizinių, analoginių, o ne skaitmeninių procesų;
- atitikti nurodyto paprasto teksto dydį arba jį viršyti;
- taikomas kiekvienam pranešimui tik vieną kartą, o tada atmetamas.
Toks šifras vadinamas Vernamo šifru ir yra vienintelis šifras, turintis absoliučią kriptografinę galią. Dabar nereikia įrodinėti jo stiprumo, kaip tai padarė K. Shannon dar 1945 metais.. Didelis gamos ilgis, jos formavimasis fizinių procesų pagrindu ir garantuotas sunaikinimas – tai sąlygos šifro stiprumui.
Šifravimas būtinas siekiant užtikrinti, kad prieigą turėtų tik tie, kurie gali pasiekti informaciją. EP naudojamas asmens valiai fiksuoti. Ir jei CIPF turi teisingai atlikti kriptografines transformacijas patikrintoje aplinkoje, elektroniniam parašui to neužtenka. Turi būti imtasi visų priemonių tai užtikrinti laisva asmens valia. FZ-63 to ir yra siekiama, todėl vienas iš svarbiausių jo reikalavimų yra reikalavimas teisingai vizualizuoti dokumentą, kurį pasirašo asmuo. Taigi, priešingai nei CIPF, kvalifikuotam SES pridedami vizualizacijos įrankių patikrinimai. Žinoma, atliekamos ir visos būtinos kriptografinių algoritmų patikros.
Analizuojant vieną ar kitą ES schemą, dažniausiai kyla toks klausimas: „Ar galima greitai pasiimti du skirtingus (prasmingus) pranešimus, kurie turės tą patį ES“. Atsakymas čia dažniausiai yra neigiamas. Jei naudojama gera maišos funkcija, kuriai nerasta efektyvaus susidūrimo mechanizmo, tokia ataka beveik visada pasmerkta žlugti. Michailas Gruntovičius (žr. p. 48) klausimą pateikė kitaip: „Ar įmanoma, turint du pranešimus, pasirinkti parašo raktus, kad ES sutaptų?“. O tai padaryti pasirodė nepaprastai lengva!
Gruntovičiaus puolimas
Mes apsvarstysime konkrečias šios atakos įgyvendinimo sąlygas (labai supaprastinta versija) naudodami parašo pavyzdį pagal ElGamal schemą. Tikėjimas šios schemos stabilumu grindžiamas (hipotetiniu) diskrečiojo logaritmo uždavinio sudėtingumu, tačiau čia puolama ne diskrečiosios matematikos problema.
CIPF turi būti aparatinė įranga. Juose turi būti reikiamos kokybės fizinis RNG ir užtikrinamas ne tik parašo rakto, bet ir kitų kriptografinių elementų, turinčių įtakos algoritmų stiprumui, neištraukimas.
Įveskime tokį užrašą:
- H yra kriptografinė maišos funkcija;
Zn yra skaičių rinkinys (0,1, …, n - 1), n yra natūralusis skaičius;
a (mod p) yra sveikojo skaičiaus a dalijimo iš natūraliojo skaičiaus p liekana.
„ElGamal“ parašo generavimo schemai:
- fiksuotas pakankamos talpos pirminis skaičius p, o g yra primityvusis elementas mod p;
- privatus parašo raktas yra bet koks skaičius x iš Zp.
Laiško parašo m apskaičiavimas:
- apskaičiuojamas maišos kodas h = H(m);
- atsitiktinis skaičius k pasirenkamas koprime su p - 1: 1< k < p - 1;
- r = g k (mod p) apskaičiuojamas;
- apskaičiuojamas s = k -1 (h - xr) (mod p - 1);
- parašas yra pora c = (r, s).
Dabar pažiūrėkime, ką užpuolikas turi padaryti, kad įgyvendintų ataką. Jis turėtų generuoti maišos kodus:
- h 1 \u003d H (m 1), h 2 \u003d H (m 2)
ir atitinkančius parašus su tuo pačiu atsitiktiniu skaičiumi k:
- s = k -1 (h 1 - x 1 r) (mod p - 1) ir
s \u003d k -1 (h 2 - x 2 r) (mod p - 1).
O tai reiškia, kad:
h 1 – x 1 r (mod p – 1) = h 2 – x 2 r (mod p – 1).
Kai kurios funkcijos, į kurias turėtumėte atkreipti dėmesį naudodamiesi SKZI.
1. Jei CIPF dokumentacijoje nurodyta, kurioje OS jis gali būti naudojamas, tuomet būtina jį naudoti šioje sistemoje. Priešingu atveju, net jei CIPF veiks, vis tiek turėsite atlikti žinomo CIPF įterpimo į naują aplinką tyrimus. Tai nėra sunku (santykinai) aparatinei CIPF, bet gana sudėtinga programinei įrangai.
2. Jei aparatinės įrangos kriptografinės informacijos apsaugos sistema neturi patikrinto DSC ir nėra patikrintų savęs patikrinimo įrankių (kitaip negali būti kriptografinės informacijos apsaugos priemonėse, pagamintose ant universalių lustinių kortelių mikroschemų), tuomet atkreipkite dėmesį į įdėjimo dokumentus. ir veikimas. Kadangi iš kažkur reikia pridėti entropiją ir atlikti testavimą, gali pasirodyti, kad šis CIPF gali būti naudojamas autonomiškai labai trumpą laiką, pavyzdžiui, dvi ar tris dienas. Tai ne visada patogu.
3. Jei jums pasiūlo kokį nors žetoną ir sako, kad jis sertifikuotas pagal KS2 ir aukštesnę klasę, netikėkite. Labiausiai tikėtina, kad dokumentacijoje yra reikalavimas naudoti šį prieigos raktą saugioje aplinkoje. elektroninis užraktas. Be to klasė nebus aukštesnė nei CC1.
Kaip matote, renkantis raktus x 1 ir x 2, kad būtų įvykdyta aukščiau nurodyta sąlyga, parašai sutampa, nepaisant to, kad pasirašyti pranešimai skiriasi! Atkreipkite dėmesį, kad norint apskaičiuoti x 2 iš žinomo x 1, reikia minimalių skaičiavimų, palyginti su subeksponentinio diskrečiojo logaritmo problema.
Tačiau ne viskas taip baisu. Faktas yra tai, kad gauti rezultatai jokiu būdu nediskredituoja kriptografinis EP stiprumas. Jie rodo pažeidžiamumo potencialą netinkamas pritaikymas EP mechanizmai.
Šis pavyzdys aiškiai parodo pažeidžiamumą, kuris atsiranda netinkamai įdiegus CIPF. Aprašyta ataka įmanoma, jei vartotojas žino savo parašo raktą ir gali sužinoti atsitiktinį skaičių.
Yra radikalus būdas kovoti su tokio pobūdžio išpuoliais - tam tereikia turėti įrenginį, kuriame:
- sugeneruojamas pasirašymo raktas;
- apskaičiuojamas parašo tikrinimo raktas;
- viešasis raktas eksportuojami, įskaitant sertifikavimą sertifikavimo institucijoje;
- parašo raktas naudojamas ES generuoti tik įrenginio viduje, jo eksportuoti neįmanoma! Visai neseniai tokie įrenginiai buvo vadinami nenuimamais raktais;
- atsitiktinis skaičius niekada nepasirodo kompiuterio aplinkoje, jis sugeneruojamas ir sunaikinamas pritaikius įrenginio viduje.
Iš čia aišku, kad patikimesnis variantas yra EPS ir CIPF, pagaminti iš įrangos. Tokiu atveju galima užtikrinti pakankamą RNG kokybę ir parašo rakto saugojimo patikimumą.
Šifravimas
Dabar grįžkime prie šifravimo ir pakalbėkime apie tai, kada ir kodėl jis turėtų būti naudojamas asmenys taip pat legalus.
Pirmiausia išskirkime pagrindinius šifravimo tipus, tai yra abonentas ir kanalas. Kaip matyti iš pavadinimų, abonento šifravimo atveju abonentas pirmiausia užšifruoja informaciją (failą, dokumentą), o tada perduoda jį į kanalą uždara forma. Naudojant kanalo šifravimą, pats kanalas yra apsaugotas kriptografiniais metodais, o abonentui nereikia rūpintis informacijos šifravimu prieš perduodant ją kanalu. Jei kanalas yra taškas-taškas, tada naudojami kanalų kodavimo įrenginiai. Jei kanalas yra ne laidai, o aktyvi struktūra kaip internetas, tada šifruoti reikia ne viską, o tik duomenis. Adresai negali būti iškraipomi, kitaip paketai tiesiog nepasieks adresato. Čia pradeda veikti virtualūs privatūs tinklai (VPN). Labiausiai žinomi protokolai yra IPsec ir SSL. Beveik visi rinkoje esantys VPN įdiegia vieną iš šių protokolų.
VPN
Norint sąmoningai pasirinkti vieną ar kitą priemonę, reikia suprasti, kuo jos skiriasi ir su kokiais sunkumais susidursite eksploatuodami šias priemones. Čia yra minimalūs dalykai, kuriuos reikia atsiminti:
- kriptografinė kanalų apsauga turėtų būti naudojama, jei kyla grėsmė, kad jūsų perduodami duomenys įsibrovėliui bus tokie įdomūs, kad jis prisijungs prie kanalo ir pradės „klausytis“ visos jūsų mainų. Žinoma, kanalus reikia pradėti apsaugoti, kai vidinis tinklas yra patikimai apsaugotas, nes viešai neatskleista informacija paprastai yra pigesnė nei kanalo ataka; 1 abu protokolai – šie protokolai skirti sąveikai ne su klientais, o su tinklais, todėl juos sunku konfigūruoti. Taigi tinklo saugumo kontrolės priemonės yra labai svarbios ir turėtų būti pasirinktos pirmiausia;
- TCP/IP protokolų krūvoje IPsec veikia IP lygmenyje, o SSL – TCP lygmenyje. Tai yra, jei IPsec suteikia apsaugą sistemos lygiu, SSL - programos lygiu. Kadangi IPsec veikia daug „žemiau“, todėl apsaugos srityje „apsaugos“ daug daugiau protokolų nei SSL, o tai, žinoma, yra geriau;
- Kai naudojate VPN, pagrindinis jūsų rūpestis yra raktų valdymas. Raktus reikia išduoti laiku, pakeisti – žodžiu, juos reikia tvarkyti. Kiekvienas CIPF turi savo raktų generavimo ir valdymo sistemą. Jei jau naudojate raktų sistemą, naudokite ją toliau. Nekurkite „zoologijos sodo“ – sunku išlaikyti net vieną sistemą, o net kelias – beveik nepakeliama užduotis;
- jei jūsų užduotis yra susijusi su daugelio erdvėje paskirstytų informatizacijos objektų veiklos užtikrinimu, naudokite VPN. Tai taikoma tik tiems objektams, tarp kurių intensyvi informacinė sąveika vykdoma saugomais duomenimis, kurie įsibrovėlį gali taip sudominti, kad jis pasiruošęs „klausytis“ kanalų. Jei viskas neveikia taip, pabandykite apsiriboti abonento kriptografinės informacijos apsauga.
Abonentas CIPF
Jiems būdingi ne algoritmai (nustatyti standartai), o komunalinės paslaugos, leidžiančios naudoti šiuos CIPF, ir sąlygos, kurių reikia laikytis. Pageidautina, kad šias priemones būtų patogu naudoti.
Ir svarbiausia – nepamirškite apsaugos priemonių pakankamumo. Nereikia naudoti brangių CIPF, kur galite apsieiti be jų.
Ir dar vienas dalykas: yra CIPF ir SEP, atitinkantys visus mūsų aptartus reikalavimus. Iki KV2 klasės. Jų neįvardiju tik tam, kad straipsnis netaptų reklama.
Literatūra
- Konyavsky V.A. Kompiuteriniai nusikaltimai. T. II. - M., 2008 m.
- Jaščenka V.V. Įvadas į kriptografiją. Naujos matematinės disciplinos. - M., 2001 m.
Komentuojama...
Aleksejus, laba diena!
8-ojo centro atsakyme nieko nenurodoma apie būtinybę naudoti sertifikuotas kriptografinės informacijos apsaugos priemones. Tačiau yra „Metodinės rekomendacijos...“, patvirtintos Rusijos FSB 8-ojo centro vadovybės 2015 m. kovo 31 d. Nr. 149/7/2/6-432, kurios antroje dalyje yra tokia pastraipa. dalis:
Siekiant užtikrinti asmens duomenų saugumą juos tvarkant ISPD, turėtų būti naudojami CIPF, kurie nustatyta tvarka praėjo atitikties vertinimo procedūrą. SKZI sąrašas, patvirtintas FSB Rusija, paskelbta oficialioje Rusijos FSB licencijavimo, sertifikavimo ir valstybės paslapčių apsaugos centro svetainėje (www.clsz.fsb.ru). Papildomą informaciją apie konkrečias informacijos saugos priemones rekomenduojama gauti tiesiogiai iš šių įrankių kūrėjų ar gamintojų, o prireikus – iš specializuotų organizacijų, atlikusių šių priemonių atvejų tyrimus;
Kodėl tai nėra reikalavimas naudoti sertifikuotą CIPF?
Yra Rusijos FSB 2014 m. liepos 10 d. įsakymas Nr. 378, kurio 5 dalies "d" papunktyje nurodyta: "Informacijos saugumo priemonių, praėjusių teisės aktų reikalavimų laikymosi vertinimo procedūrą, naudojimas. Rusijos Federacijos informacijos saugumo srityje, kai tokių priemonių naudojimas yra būtinas esamoms grėsmėms neutralizuoti.
Šiek tiek glumina tai, „kai tokių priemonių naudojimas yra būtinas siekiant neutralizuoti realias grėsmes“. Tačiau visa ši būtinybė turėtų būti aprašyta įsibrovėlio modelyje.
Bet šiuo atveju vėlgi, 2015 metų „Metodinių rekomendacijų...“ 3 skirsnyje nurodyta, kad „Naudojant ryšio kanalus (linijas), iš kurių neįmanoma perimti jais perduodamos saugomos informacijos ir (ar) ), kuriame su šia informacija negalima atlikti neleistinų veiksmų, su bendru aprašymu Informacinės sistemos turite nurodyti:
- metodų ir priemonių, skirtų apsaugoti šiuos kanalus nuo neteisėtos prieigos prie jų, aprašymas;
- išvados, pagrįstos šių ryšių kanalų (linijų) saugumo nuo neteisėtos prieigos prie saugomos informacijos, kurią per juos perduoda organizacija, turinti teisę atlikti tokius tyrimus, tyrimų rezultatais, nurodant dokumentą, kuriame yra šios išvados.
Aš visa tai dėl ko – taip, nereikia visada ir visur naudoti kriptografinės informacijos apsaugą užtikrinant asmens duomenų tvarkymo saugumą. Bet tam reikia suformuoti pažeidėjo modelį, kur visa tai aprašyta ir įrodyta. Rašėte apie du atvejus, kai reikia juos naudoti. Bet tai, kad norint užtikrinti PD apdorojimo atvirais ryšio kanalais saugumą arba jei šių PD apdorojimas peržengia kontroliuojamos zonos ribas, galima naudoti nesertifikuotas kriptografinės informacijos apsaugos priemones – tai nėra taip paprasta. Ir gali atsitikti taip, kad lengviau naudoti sertifikuotas kriptografinės informacijos apsaugos priemones ir laikytis visų reikalavimų jų eksploatavimo ir saugojimo metu, nei naudoti nesertifikuotas priemones ir užpakalines galvutes su reguliatoriumi, kuris, matydamas tokią situaciją, labai stengsis kišti. jo nosis.
nežinomi komentarai...Atvejis, kai būtina naudoti tokias priemones esamoms grėsmėms neutralizuoti: Rusijos FSTEC 2013 m. vasario 11 d. įsakymo Nr. 17 reikalavimas (reikalavimai valstybės ir savivaldybių ISPD),
11 punktas. Siekiant užtikrinti informacijos, esančios informacinėje sistemoje, apsaugą, naudojamos informacijos saugos priemonės, kurios praėjo atitikties įvertinimą kaip privalomą sertifikavimą dėl atitikties informacijos saugumo reikalavimams pagal Federalinio įstatymo Nr. 184-FZ 5 straipsnį. 2002 m. gruodžio 27 d. „Dėl techninio reglamento“.
Aleksejus Lukatskis komentuoja...Proximo: FSB rekomendacijos yra neteisėtos. 378 įsakymas yra teisėtas, bet turi būti vertinamas visų teisės aktų kontekste ir jame sakoma, kad atitikties vertinimo specifiką nustato Vyriausybė arba Prezidentė. Nei vienas, nei kitas toks NPA neišleido t
Aleksejus Lukatskis komentuoja...Antonas: valstybėje sertifikavimo reikalavimas yra nustatytas įstatymu, 17 įsakymas juos tiesiog kartoja. Ir mes kalbame apie PDN
nežinomi komentarai...Aleksejus Lukatskis: Ne. FSB rekomendacijos yra neteisėtos "Kaip neteisėta? Aš kalbu apie 2015-05-19 dokumentą Nr. %40fsbResearchart.html), bet ne apie 2008-02-21 dokumentą Nr. 149/54- 144.
Kitas specialistas taip pat anksčiau kreipėsi į FSB panašia tema, ir jam buvo pasakyta, kad 2008 m. FSB „Metodika ...“ ir „Rekomendacijos ...“ neturėtų būti naudojami, jei kalbate apie šiuos dokumentus. . Tačiau vėlgi, šie dokumentai nebuvo oficialiai panaikinti. Ir šie dokumentai yra teisėti, ar ne, manau, nuspręs FSB inspektoriai, esantys jau patikrinimo metu.
Įstatymas sako, kad reikia apsaugoti PD. Vyriausybės, FSB, FSTEC įstatai tiksliai nustato, kaip jie turi būti apsaugoti. FSB NPA sako: "Naudokite sertifikuotą. Jei nenorite sertifikuoto, įrodykite, kad galite jį naudoti. Ir prašau, pridėkite įmonės, turinčios licenciją teikti tokias išvadas, išvadą." Kažkas panašaus į tai...
Aleksejus Lukatskis komentuoja...1. Bet kokia rekomendacija yra rekomendacija, o ne privalomas reikalavimas.
2. 2015 metų vadovas neturi nieko bendra su PD operatoriais - jis taikomas valstybėms, kurios rašo grėsmių modelius pavaldžioms institucijoms (atsižvelgiant į 1 punktą).
3. FSB neturi teisės tikrinti komercinių PD operatorių, o vyriausybėms neapsimoka naudoti nesertifikuotos kriptografinės informacijos apsaugos – jos privalo naudoti sertifikuotus sprendimus, nepaisant PD buvimo. tai yra FZ-149 reikalavimai.
4. Įstatuose parašyta, kaip apsisaugoti, ir tai gerai. Bet jie negali nustatyti gynimo priemonių vertinimo formos – tai gali padaryti tik Vyriausybės ar Prezidentės NMA. FSB neturi teisės to daryti
Pagal Reglamentą 1119:
4. Asmens duomenų apsaugos sistemos informacijos saugos priemones pasirenka operatorius pagal Rusijos Federacijos federalinės saugumo tarnybos ir Federalinės techninės ir eksporto kontrolės tarnybos pagal 4 dalį priimtus norminius teisės aktus. Federalinio įstatymo „Dėl asmens duomenų“ 19 straipsnio 1 dalis.
13 m. Informacijos saugos priemonių, praėjusių Rusijos Federacijos teisės aktų reikalavimams informacijos saugumo srityje įvertinimo procedūros, naudojimas tuo atveju, kai tokių priemonių naudojimas yra būtinas esamoms grėsmėms neutralizuoti.
Kaip pagrįsti grėsmės neaktualumą perduodant PD telekomunikacijų operatoriaus kanalais?
Tie. jei ne SKZI, tai matyt
- terminalo prieiga ir plonieji klientai, bet kartu ir terminalo informacijos apsaugos sistemos duomenys
prieiga turi būti sertifikuota.
- telekomunikacijų operatoriaus kanalų apsauga, telekomunikacijų operatoriaus (teikėjo) atsakomybė.
Neaktualumą nustato operatorius ir jam niekam nereikia
Kriptografinių apsaugos priemonių (CIPF) naudojimas yra labai dviprasmiška ir slidi tema. Tačiau PD operatorius turi tokią teisę, esant realioms grėsmėms, taikyti CIPF apsaugai užtikrinti. Tačiau ne visada aišku, kaip pasinaudoti šia teise. O dabar gyvenimą palengvina FSB, išleistas metodinių rekomendacijų dokumentas, taikomas tiek valstybinei IS, tiek visiems kitiems PD Operatoriams. Pažvelkime į šį dokumentą atidžiau.
Ir taip atsitiko, paskelbė FSB 8-asis centras aprašančios rekomendacijas PD apsaugos norminių teisės aktų rengimo srityje. Tuo pačiu metu ISPD operatoriams, kuriant privačių grėsmių modelius, rekomenduojama naudoti tą patį dokumentą.
Taigi, ką FSB galvoja apie tai, kaip ir kur taikyti CIPF?
Pakankamai svarbu, kad šis dokumentas būtų paskelbtas tik FSB svetainėje,neturi registracijosTeisingumo ministerijoje irneturi parašoIr– tai yra jo teisinė reikšmė ir privalomumas neviršija gairių. Svarbu tai atsiminti.
Pažiūrėkime į vidų, dokumento preambulė apibrėžia tas rekomendacijas „federalinėms vykdomosios valdžios institucijoms... kitoms valstybės įstaigoms..., kurios ... priima norminius teisės aktus, apibrėžiančius grėsmes asmens duomenų saugumui, kurie yra aktualūs tvarkant asmens duomenis asmens duomenų informacinėse sistemose (toliau – ISPD) veikia įgyvendinant atitinkamą veiklą“. Tie. aiškiai nurodoma valstybės informacinės sistemos.
Tačiau tuo pat metu tomis pačiomis normomis „taip pat patartina vadovautis vystymusi privačių grėsmių modeliai asmens duomenų informacinių sistemų operatoriai, priėmę sprendimą dėl lėšų panaudojimo kriptografinės informacijos apsauga(toliau – CIPF) asmens duomenų saugumui užtikrinti“. Tie. dokumentas šiuo atveju tampa universalus visiems vartotojams.
Kada būtina naudoti SKZI?
CIPF naudojimas asmens duomenų saugumui užtikrinti būtinas šiais atvejais:
- jei asmens duomenims taikoma kriptografinė apsauga pagal Rusijos Federacijos įstatymus;
- jei informacinėje sistemoje yra grėsmių, kurias galima neutralizuoti tik CIPF pagalba.
- asmens duomenų perdavimas ryšio kanalais, kurie nėra apsaugoti nuo kaltininko perėmimo jais perduodamos informacijos arba nuo neteisėtos įtakos šiai informacijai (pavyzdžiui, perduodant asmens duomenis viešaisiais informacijos ir telekomunikacijų tinklais);
- asmens duomenų saugojimas informacijos laikmenose, prie kurių negalima atmesti neteisėtos pažeidėjo prieigos naudojant nekriptografinius metodus ir būdus.
Ir čia mes ateiname. Jei antrasis punktas taip pat gana logiškas, tai pirmasis nėra toks akivaizdus. Faktas yra tas, kad pagal galiojančią Asmens duomenų įstatymo redakciją vardas, pavardė ir patronimas jau yra asmens duomenys. Atitinkamai, bet kokia korespondencija ar registracija svetainėje (atsižvelgiant į tai, kiek duomenų šiuo metu reikia registruojantis) formaliai patenka į šį apibrėžimą.
Tačiau, kaip sakoma, nėra taisyklių be išimčių. Dokumento pabaigoje yra dvi lentelės. Čia tik viena eilutė Programos Nr. 1.
Dabartinė grėsmė:
1.1. atakos vykdymas būdamas kontroliuojamoje zonoje.
Nebuvimo priežastis (sąrašas šiek tiek sutrumpintas):
- darbuotojai, kurie yra ISPD vartotojai, bet nėra CIPF vartotojai, informuojami apie darbo ISPD taisykles ir atsakomybę už informacijos saugumo užtikrinimo taisyklių nesilaikymą;
- CIPF vartotojai informuojami apie darbo ISPD taisykles, darbo su CIPF taisykles ir atsakomybę už informacijos saugumo užtikrinimo taisyklių nesilaikymą;
- patalpose, kuriose yra kriptografinės informacijos apsaugos sistema, įrengiamos įėjimo durys su užraktais, užtikrinančios, kad patalpų durys būtų visam laikui užrakintos ir atidaromos tik įgaliotam praėjimui;
- patvirtino patekimo į patalpas, kuriose yra CIPF, darbo ir ne darbo valandomis, taip pat ekstremaliomis situacijomis taisykles;
- patvirtintas asmenų, turinčių teisę patekti į patalpas, kuriose yra CIPF, sąrašas;
- vartotojų prieigos prie saugomų išteklių diferencijavimas ir kontrolė;
- vartotojo veiksmų registravimas ir apskaita su PD;
darbo stotyse ir serveriuose, kuriuose įdiegtas CIPF:
naudojamos sertifikuotos informacijos apsaugos nuo neteisėtos prieigos priemonės;- naudojamos sertifikuotos antivirusinės apsaugos priemonės.
Tai yra, jei naudotojai yra informuoti apie taisykles ir pareigas bei taikomos apsaugos priemonės, tada paaiškėja, kad nėra ko jaudintis.
- siekiant užtikrinti asmens duomenų saugumą juos tvarkant ISPD, turėtų būti naudojamos kriptografinės informacijos apsaugos priemonės, kurios nustatyta tvarka praėjo atitikties vertinimo procedūrą.
Tiesa, šiek tiek žemiau rašoma, kad sertifikuotų kriptografinės informacijos apsaugos priemonių sąrašą galima rasti TsLSZ FSB svetainėje. Tai, kad atitikties vertinimas nėra sertifikavimas, buvo ne kartą kalbėta.
- nesant nustatyta tvarka priimtų CIPF atitikties įvertinimo procedūrų ... preliminaraus projekto arba projekto (eskizinio-techninio) projekto etape, informacinės sistemos kūrėjas, dalyvaujant operatoriui (įgaliotajam) ir siūlomas CIPF kūrėjas parengia naujo tipo CIPF kūrimo tikslingumo pagrindimą ir nustato jo funkcinių savybių reikalavimus.
Tai tikrai džiugina. Faktas yra tas sertifikavimas procesas labai ilgas – iki šešių mėnesių ir daugiau. Dažnai klientai naudoja naujausias operacines sistemas, kurių nepalaiko sertifikuota versija. Pagal šį dokumentą klientai gali naudoti produktus, kurie yra sertifikavimo procese.
Dokumente teigiama, kad:
Naudojant ryšio kanalus (linijas), iš kurių neįmanoma perimti jais perduodamos saugomos informacijos ir (ar) kuriuose su šia informacija neįmanoma atlikti neleistinų veiksmų, bendrame informacinių sistemų aprašyme būtina nurodyti:
- metodų ir priemonių, skirtų apsaugoti šiuos kanalus nuo neteisėtos prieigos prie jų, aprašymas;
- išvados, pagrįstos šių ryšių kanalų (linijų) saugumo nuo neteisėtos prieigos prie saugomos informacijos, kurią per juos perduoda organizacija, turinti teisę atlikti tokius tyrimus, tyrimų rezultatais, nurodant dokumentą, kuriame yra šios išvados.
Informacijos saugumo reikalavimuose projektuojant informacines sistemas nurodomi bruožai, apibūdinantys naudojamas informacijos apsaugos priemones. Juos apibrėžia įvairūs reguliavimo institucijų aktai informacijos saugumo srityje, ypač FSTEC ir Rusijos FSB. Kokios yra saugumo klasės, apsaugos priemonių tipai ir tipai, taip pat kur apie tai sužinoti daugiau, atsispindi straipsnyje.
Įvadas
Šiandien informacijos saugumo užtikrinimo klausimams skiriamas didelis dėmesys, nes visur be informacijos saugumo diegiamos technologijos tampa naujų rimtų problemų šaltiniu.
Rusijos FSB praneša apie situacijos rimtumą: kibernetinių nusikaltėlių padarytos žalos dydis per kelerius metus visame pasaulyje svyravo nuo 300 milijardų iki 1 trilijono dolerių. Remiantis Rusijos Federacijos generalinio prokuroro pateikta informacija, vien per pirmąjį 2017 m. pusmetį nusikaltimų aukštųjų technologijų srityje skaičius Rusijoje išaugo šešis kartus, bendra žalos suma viršijo 18 mln. Tikslinių išpuolių pramonės sektoriuje 2017 m. buvo pastebėtas visame pasaulyje. Visų pirma, Rusijoje atakų skaičius, palyginti su 2016 m., padidėjo 22%.
Informacinės technologijos pradėtos naudoti kaip ginklas kariniais-politiniais, teroristiniais tikslais, kištis į suverenių valstybių vidaus reikalus, taip pat daryti kitus nusikaltimus. Rusijos Federacija pasisako už tarptautinės informacijos saugumo sistemos sukūrimą.
Rusijos Federacijos teritorijoje informacijos savininkai ir informacinių sistemų operatoriai privalo blokuoti bandymus neteisėtai pasiekti informaciją, taip pat nuolat stebėti IT infrastruktūros saugumo būklę. Tuo pačiu metu informacijos apsauga užtikrinama taikant įvairias priemones, įskaitant technines.
Informacijos saugos įrankiai arba informacijos saugos įrankiai užtikrina informacijos apsaugą informacinėse sistemose, kurios iš esmės yra duomenų bazėse saugomos informacijos rinkinys, informacines technologijas, teikiant jo apdorojimą ir technines priemones.
Šiuolaikinės informacinės sistemos pasižymi įvairios techninės ir programinės įrangos platformų naudojimu, komponentų teritoriniu pasiskirstymu, taip pat sąveika su atviraisiais duomenų perdavimo tinklais.
Kaip tokiomis sąlygomis apsaugoti informaciją? Atitinkamus reikalavimus nustato įgaliotos institucijos, ypač FSTEC ir Rusijos FSB. Straipsnio rėmuose, atsižvelgdami į šių reguliuotojų reikalavimus, pabandysime atspindėti pagrindinius informacijos saugos priemonių klasifikavimo požiūrius. Kiti informacijos saugos priemonių klasifikavimo apibūdinimo būdai, atspindėti Rusijos departamentų, taip pat užsienio organizacijų ir agentūrų norminiuose dokumentuose, nepatenka į šio straipsnio taikymo sritį ir toliau nėra svarstomi.
Straipsnis gali būti naudingas pradedantiesiems informacijos saugumo srityje kaip struktūrinės informacijos šaltinis apie informacijos saugumo informacijos klasifikavimo būdus, remiantis Rusijos FSTEC (daugiau) ir trumpai Rusijos FSB reikalavimais. .
Struktūra, kuri nustato nekriptografinių informacijos saugumo metodų teikimo tvarką ir koordinuoja veiksmus, yra Rusijos FSTEC (anksčiau Valstybinė techninė komisija prie Rusijos Federacijos prezidento, Valstybinė techninė komisija).
Jei skaitytojas turėjo pamatyti Valstybinį sertifikuotų informacijos saugos priemonių registrą, kurį sudaro Rusijos FSTEC, jis tikrai atkreipė dėmesį į tai, kad informacijos saugumo įrenginio paskirties aprašomojoje dalyje yra tokių frazių kaip „klasė“. RD SVT“, „NDV nebuvimo lygis“ ir kt. (1 pav.).
1 pav. Sertifikuotų informacijos saugos objektų registro fragmentas
Kriptografinių informacijos apsaugos priemonių klasifikacija
Rusijos FSB apibrėžia šias kriptografinės informacijos saugumo priemonių klases: KS1, KS2, KS3, KB ir KA.
Pagrindinės SZI klasės KS1 savybės yra jų gebėjimas atlaikyti atakas, vykdomas iš už kontroliuojamos zonos ribų. Tai reiškia, kad atakų metodų kūrimas, jų parengimas ir įgyvendinimas vykdomas nedalyvaujant specialistams kuriant ir analizuojant kriptografinės informacijos saugumo priemones. Daroma prielaida, kad informaciją apie sistemą, kurioje naudojamos šios informacijos saugos priemonės, galima gauti iš atvirųjų šaltinių.
Jei kriptografinis IPS gali atlaikyti CS1 klasės blokuojamas atakas, taip pat vykdomas kontroliuojamoje zonoje, tai toks IPS atitinka CS2 klasę. Kartu daroma prielaida, kad, pavyzdžiui, ruošiantis atakai, gali tapti prieinama informacija apie fizines informacinių sistemų apsaugos priemones, valdomos zonos suteikimą ir pan.
Jei įmanoma atsispirti atakoms turint fizinę prieigą prie lėšų informatika su įdiegta kriptografinės informacijos apsauga reiškia, kad tokios priemonės atitinka KS3 klasę.
Jei kriptografinės informacijos saugos objektas atsispiria atakoms, kurias kuriant į šių priemonių kūrimą ir analizę buvo įtraukti specialistai, įskaitant tyrimų centrus, buvo galima atlikti laboratorinius apsaugos priemonių tyrimus, tai kalbame apie atitiktį KV klasei.
Jei kuriant atakų metodus dalyvavo sistemos programinės įrangos NDV naudojimo specialistai, buvo prieinama atitinkama projektinė dokumentacija ir buvo prieiga prie bet kokių kriptografinės informacijos saugos įrenginių aparatinės įrangos komponentų, tada apsauga nuo tokių atakų gali būti užtikrinta priemonėmis. KA klasės.
Elektroninio parašo apsaugos priemonių klasifikacija
Elektroninio parašo priemonės, priklausomai nuo gebėjimo atsispirti atakoms, dažniausiai lyginamos su šiomis klasėmis: KS1, KS2, KS3, KB1, KB2 ir KA1. Ši klasifikacija yra panaši į pirmiau aptartą kriptografinio IPS.
išvadas
Straipsnyje buvo nagrinėjami kai kurie informacijos saugumo klasifikavimo Rusijoje metodai, pagrįsti reguliuotojų reguliavimo sistema informacijos apsaugos srityje. Apsvarstytos klasifikavimo galimybės nėra baigtinės. Nepaisant to, tikimės, kad pateikta suvestinė informacija leis pradedančiajam informacijos saugumo srities specialistui greitai orientuotis.
