Какво е skzi на компютър. Криптографска защита на информацията

1.1. Тази политика за финансиране криптографска защитаинформация ( по-нататък - Политика ) определя процедурата за организиране и осигуряване на функционирането на криптирането ( криптографски) средства, предназначени за защита на информация, която не съдържа информация, представляваща държавна тайна ( по-нататък - CIPF, крипто-означава ), ако се използват за осигуряване на безопасност конфиденциална информацияи лични данни, когато се обработват в информационни системи.

1.2. Тази Политика е разработена в изпълнение на:

• федерален закон "Относно личните данни" , регулаторни актове на правителството на Руската федерация в областта на гарантирането на сигурността на личните данни;
• Федерален закон № 63-FZ "относно електронен подпис " ;
• Заповед на ФСБ на Руската федерация № 378 „За одобряване на състава и съдържанието на организационните и технически мерки за осигуряване на сигурността на личните данни по време на тяхната обработка в информационни системи за лични данни, използващи криптографски средства за защита на информацията, необходими за изпълнение на изискванията, установени от правителството на Руската федерация за защита на лични данни за всяко от нивата на сигурност";
• FAPSI Поръчка № 152 " За одобряване на Инструкцията за организиране и осигуряване на сигурността на съхранението, обработката и предаването чрез комуникационни канали с криптографска защита на информация с ограничен достъп, която не съдържа информация, представляваща държавна тайна.»;
• Заповед на Федералната служба за сигурност на Руската федерация N 66 " За одобряване на Наредбата за разработване, производство, продажба и експлоатация на криптиращи (криптографски) средства за защита на информацията (Наредба PKZ-2005) »;

1.3. Тази Политика се прилага за крипто инструменти, предназначени да гарантират сигурността на поверителна информация и лични данни по време на обработката им в информационни системи;

1.4. Криптографски инструментиинформационна сигурност ( по-нататък - CIPF ), които прилагат функции за криптиране и електронен подпис, се използват за защита електронни документипредавани по обществени комуникационни канали, напр. обществена мрежаИнтернет или комутируеми комуникационни канали.

1.5. За да се гарантира сигурността, е необходимо да се използва CIPF, който:

• позволяват вграждане в технологични процеси за обработка на електронни съобщения, осигуряват взаимодействие с приложен софтуер на ниво обработка на заявки за криптографски трансформациии издаване на резултати;
• са снабдени от разработчиците с пълен набор от експлоатационна документация, включително описание на ключовата система, правила за работа с нея, както и обосновка на необходимите организационни и кадрови изисквания;
• поддържане на непрекъснатостта на процесите на регистриране на работата на CIPF и осигуряване на интегритет софтуерза среда за функциониране на CIPF, която представлява набор от хардуерни и софтуерни средства, заедно с които се осъществява нормалното функциониране на CIPF и които могат да повлияят на изпълнението на изискванията за CIPF;
• заверени от упълномощен държавен орган или имат разрешение от ФСБ на Русия.

1.6. CIPF, използван за защита на лични данни, трябва да има клас най-малко KS2.

1.7. CIPF се изпълняват въз основа на алгоритми, които отговарят на националните стандарти на Руската федерация, условията на договора с контрагента.

1.8. CIPF, лицензи, свързани ключови документи, инструкции за CIPF се придобиват от организацията независимо или могат да бъдат получени от организация на трета страна, инициираща защитен поток от документи.

1.9. CIPF, включително инсталационен носител, ключови документи, описания и инструкции за CIPF, представляват търговска тайна в съответствие с Наредбите за поверителна информация.

1. Процедурата за използване на CIPF

2.1. Инсталирането и конфигурирането на криптографски инструменти за защита на информацията се извършва в съответствие с оперативната документация, инструкциите на Федералната служба за сигурност на Русия, други организации, участващи в сигурното управление на електронни документи. След завършване на инсталирането и конфигурирането се проверява готовността на CIPF за използване, изготвят се заключения за възможността за тяхната работа и CIPF се пуска в експлоатация.

Поставянето и инсталирането на CIPF, както и на друго оборудване, работещо с крипто-средства, в чувствителни помещения трябва да сведе до минимум възможността за неконтролиран достъп на неоторизирани лица до тези средства. Поддръжкатакова оборудване и смяната на крипто ключовете се извършват в отсъствието на лица, които нямат право да работят с CIPF данни. Необходимо е да се предвидят организационни и технически мерки, които изключват възможността за използване на CIPF от неупълномощени лица. Физическото местоположение на CIPF трябва да гарантира сигурността на CIPF, предотвратявайки неоторизиран достъп до CIPF. Достъпът на лица до помещенията, в които се намират предпазни средства, е ограничен в съответствие с необходимостта от обслужване и се определя от списък, утвърден от директора.

Вграждането на крипто-средства от клас KS1 и KS2 се извършва без контрол от ФСБ на Русия ( ако този контрол не е предвиден в техническото задание за развитие (модернизиране) на информационната система).

Вграждането на криптографски инструменти от класовете KS3, KB1, KB2 и KA1 се извършва само под контрола на ФСБ на Русия.

Вграждането на криптографски инструменти от клас KS1, KS2 или KS3 може да се извърши или от потребителя на криптографския инструмент, ако той има съответния лиценз от FSB на Русия, или от организация, която има съответния лиценз от FSB на Русия Русия.

Вграждането на криптографски инструмент от клас KV1, KV2 или KA1 се извършва от организация, която има съответния лиценз от ФСБ на Русия.

Извеждането от експлоатация на CIPF се извършва при спазване на процедури, които гарантират гарантирано изтриване на информация, чието неразрешено използване може да навреди на бизнес дейностите на организацията, и информация, използвана от инструментите за сигурност. информационна сигурност, от постоянна памет и от външен носител (с изключение на архиви на електронни документи и протоколи за електронно взаимодействие, чието поддържане и запазване за определен период от време е предвидено от съответните нормативни и (или) договорни документи.) и се съставя от акта. CIPF унищожи ( отървавам се от) по решение на собственика на криптографския инструмент и с уведомяване на организацията, отговорна в съответствие с организацията на отчитането на копията на криптографските инструменти.

предвидени за унищожаване рециклиране) CIPF подлежат на изтегляне от хардуера, с който са функционирали. В същото време криптографските инструменти се считат за изтеглени от хардуера, ако процедурата за премахване на софтуера на криптографските инструменти, предвидена в оперативната и техническа документация за CIPF, е завършена и те са напълно изключени от хардуера.

Единици и части от хардуер с общо предназначение, подходящи за по-нататъшна употреба, които не са специално предназначени за хардуерно внедряване на криптографски алгоритми или други криптографски функции за защита на информацията, както и оборудване, което работи във връзка с криптографски инструменти ( монитори, принтери, скенери, клавиатури и др.), разрешено е да се използва след унищожаването на CIPF без ограничения. В същото време информацията, която може да остане в паметта на оборудването ( например принтери, скенери), трябва да бъдат отстранени сигурно ( изтрити).

2.2. Работата на CIPF се осъществява от лица, определени със заповед на директора на организацията и обучени за работа с тях. Ако има двама или повече потребители на CIPF, задълженията между тях се разпределят, като се вземе предвид личната отговорност за безопасността на криптовалутите, ключовата, оперативната и техническата документация, както и за възложените области на работа.

От потребителите на криптовалути се изисква:

• да не разкриват информация, до която са допуснати, включително информация за CIPF и други мерки за защита;
• да не разкрива информация за ключови документи;
• предотвратяване на копиране на ключови документи;
• предотвратяване на показването на ключови документи ( монитор) персонален компютърили принтер;
• да не допускат записване на чужда информация върху ключовия носител;
• предотвратяване на инсталиране на ключови документи на други персонални компютри;
• спазват изискванията за гарантиране сигурността на информацията, изискванията за осигуряване сигурността на CIPF и ключовите документи към тях;
• докладват за опити на неупълномощени лица, станали им известни, да получат информация за използваните средства за криптографска защита на информацията или ключови за тях документи;
• незабавно уведомява за фактите на загуба или недостиг на CIPF, ключови документи към тях, ключове за помещения, трезори, лични печати и други факти, които могат да доведат до разкриване на защитена информация;
• предава CIPF, оперативна и техническа документация за тях, ключови документи при уволнение или отстраняване от изпълнението на задължения, свързани с използването на криптографски инструменти.

Сигурността на обработката на информация чрез CIPF се осигурява от:

• спазване от страна на потребителите на поверителност при работа с информация, която им е поверена или станала известна по време на работа, включително информация за функционирането и процедурите за сигурност на използваните средства за криптографска защита на информацията и ключови документи за тях;
• точно изпълнение от потребителите на CIPF на изискванията за информационна сигурност;
• надеждно съхранение на оперативна и техническа документация за CIPF, ключови документи, носители с ограничено разпространение;
• своевременно откриване на опити от неупълномощени лица да получат информация за защитена информация, за използваните CIPF или ключови документи към тях;
• предприемане на незабавни мерки за предотвратяване на разкриването на защитена информация, както и възможното й изтичане при разкриване на факти за загуба или липса на CIPF, ключови документи към тях, сертификати, пропуски, ключове за помещения, трезори, сейфове ( метални шкафове), лични печати и др.

Ако е необходимо, прехвърлете технически средствавръзки за служебни съобщения ограничен достъппо отношение на организацията и работата на CIPF, тези съобщения трябва да се предават само с помощта на криптографски средства. Не се допуска предаване на криптоключове чрез технически средства за комуникация, с изключение на специално организирани системи с децентрализирано доставяне на криптоключове.

CIPF подлежат на счетоводно отчитане с помощта на индекси или условни имена и регистрационни номера. Определя се списъкът с индекси, условни имена и регистрационни номера на криптовалути Федерална службасигурността на Руската федерация.

Използвани или съхранявани CIPF, експлоатационна и техническа документация за тях, ключови документи подлежат на копиране на счетоводство. Формулярът на Дневника на CIPF е даден в Приложение № 1, Дневникът на ключовите превозвачи в Приложение № 2 към настоящата Политика. В същото време трябва да се вземат предвид софтуерните CIPF заедно с хардуера, с който се извършва тяхната редовна работа. Ако хардуерните или хардуерно-софтуерните криптографски средства за защита на информацията са свързани към системната шина или към един от вътрешните хардуерни интерфейси, тогава тези крипто-средства също се вземат предвид заедно със съответния хардуер.

Единицата за отчитане на копия на ключови документи се счита за многократно използваем носител на ключове, тефтер за ключове. Ако един и същ ключов носител се използва многократно за запис на крипто ключове, тогава той трябва да се регистрира отделно всеки път.

Всички получени копия на крипто-средства, оперативна и техническа документация за тях, ключови документи трябва да бъдат издадени срещу получаване в съответния екземплярен регистър на потребителите на крипто-средства, които носят лична отговорност за тяхната безопасност.

Прехвърлянето на криптографски инструменти за защита на информацията, оперативна и техническа документация към тях, ключови документи е разрешено само между потребители на криптографски инструменти и (или) отговорен потребител на криптографски инструменти срещу получаване в съответните дневници на инстанционно счетоводство. Такова прехвърляне между потребители на криптографски инструменти трябва да бъде разрешено.

Съхранението на CIPF инсталационни носители, оперативна и техническа документация, ключови документи се извършва в шкафове ( кутии, склад) индивидуална употреба при условия, които изключват неконтролиран достъп до тях, както и неволното им унищожаване.

Хардуерът, с който се осъществява нормалното функциониране на CIPF, както и хардуерът и хардуерно-софтуерният CIPF трябва да бъдат оборудвани със средства за контрол на тяхното отваряне ( запечатан, запечатан). Място за запечатване ( запечатване) крипто-означава, хардуерът трябва да е такъв, че да може да се контролира визуално. В присъствието на техническа осъществимостпо време на отсъствие на потребители на криптографски инструменти, тези средства трябва да бъдат изключени от комуникационната линия и прибрани в запечатани трезори.

Извършването на промени в софтуера и техническата документация на CIPF за CIPF се извършва въз основа на получени от производителя на CIPF и документирани актуализации с фиксиране на контролни суми.

Работата на CIPF включва поддържане на поне две резервни копия на софтуера и едно архивиранеключови носители. Възстановяването на работата на CIPF в аварийни ситуации се извършва в съответствие с оперативната документация.

2.3. Производството на ключови документи от оригиналната ключова информация се извършва от отговорни потребители на CIPF, като се използват обикновени криптографски инструменти, ако такава възможност е предвидена от оперативната и техническа документация при наличие на лиценз от Федералната служба за сигурност на Русия за производството на ключови документи за криптографски инструменти.

Ключовите документи могат да бъдат доставени с куриер ( включително ведомствени) комуникация или със специално определени отговорни потребители на криптографски инструменти и служители, при спазване на мерки, които изключват неконтролиран достъп до ключови документи по време на доставка.

За да изпратите ключови документи, те трябва да бъдат поставени в здрава опаковка, която изключва възможността от тяхното физическо увреждане и външно въздействие. На опаковките посочете отговорния потребител, за когото са предназначени тези опаковки. Такива пакети са с надпис "Лично". Опаковките са запечатани по такъв начин, че е невъзможно да се извлече съдържанието от тях, без да се нарушат опаковките и отпечатъците от печата.

Преди първоначалното депортиране ( или връщане) адресатът се информира с отделно писмо за описанието на изпратените до него колети и печатите, с които могат да бъдат запечатани.

За изпращане на ключови документи се изготвя съпроводително писмо, в което е необходимо да се посочи: какво се изпраща и в какво количество, номера на сметки на документи и, ако е необходимо, целта и реда за използване на изпратения артикул. В един от пакетите е приложено мотивационно писмо.

Получените пакети се отварят само от отговорния потребител на криптографските инструменти, за които са предназначени. Ако съдържанието на получения пакет не отговаря на посочените в мотивационното писмо или на самия пакет и печата - тяхното описание ( впечатление), а също и при увреждане на опаковката, което води до свободен достъп до нейното съдържание, получателят съставя акт, който се изпраща на подателя. Ключовите документи, получени с такива пратки, не могат да бъдат използвани, докато не бъдат получени инструкции от подателя.

Ако бъдат открити дефектни ключови документи или крипто ключове, едно копие от дефектния продукт трябва да се върне на производителя, за да се установят причините за инцидента и да се отстранят в бъдеще, а останалите копия трябва да се съхраняват до получаване на допълнителни инструкции от производителя получени.

Получаването на ключови документи трябва да бъде потвърдено на подателя в съответствие с процедурата, посочена в мотивационното писмо. Подателят е длъжен да контролира доставката на своите пратки до адресатите. Ако съответното потвърждение не е получено от получателя своевременно, подателят трябва да му изпрати заявка и да предприеме мерки за изясняване на местоположението на пратките.

Предварително се прави поръчка за изработване на следващите ключови документи, тяхното изработване и разпределяне по местата на използване за навременна подмяна на съществуващи ключови документи. Индикация за влизане в сила на следващите ключови документи се дава от отговорния ползвател на криптографски средства само след получаване на потвърждение от него, че следващите ключови документи са получени.

Неизползваните или неработещи ключови документи се връщат на отговорния ползвател на криптографските инструменти или по негово указание трябва да се унищожават на място.

Унищожаване на крипто ключове ( първоначална ключова информация) могат да бъдат направени чрез физическо унищожаване на ключовия носител, на който се намират, или чрез изтриване ( унищожаване) криптовалути ( първоначална ключова информация) без да повредите носещия ключ ( за да може да се използва повторно).

Крипто ключове ( оригинална ключова информация) се изтриват в съответствие с технологията, приета за съответните ключови носители за многократна употреба ( дискети, компакт дискове (CD-ROM), ключ за данни, смарт карта, сензорна памет и др.). Директни действия за изтриване на крипто ключове ( първоначална ключова информация), както и възможните ограничения върху по-нататъшното използване на съответния ключов носител за многократна употреба се регулират от оперативната и техническа документация за съответните инструменти за криптографска защита на информацията, както и инструкции от организацията, записала крипто ключовете ( първоначална ключова информация).

Ключовите носители се унищожават чрез нанасяне на непоправими физически щети, изключващи възможността за тяхното използване, както и възстановяване на ключова информация. Директните действия за унищожаване на конкретен тип ключов носител се регулират от оперативната и техническа документация за съответните средства за криптографска защита на информацията, както и от инструкциите на организацията, записала крипто ключовете ( първоначална ключова информация).

Хартията и други горими носители на ключове се унищожават чрез изгаряне или използване на машини за рязане на хартия.

Ключовите документи се унищожават в сроковете, посочени в оперативно-техническата документация за съответния CIPF. Фактът на унищожаването се документира в съответните екземплярни регистри.

Унищожаването по акта се извършва от комисия в състав минимум двама души. В акта се посочва какво и в какво количество се унищожава. В края на акта се прави окончателно вписване (с цифри и с думи) за броя на елементите и копията на основните документи, които трябва да бъдат унищожени, инсталиране на CIPF носители, оперативна и техническа документация. Корекциите в текста на акта трябва да бъдат посочени и удостоверени с подписите на всички членове на комисията, участвали в унищожаването. За извършеното унищожаване се правят бележки в съответните дневници за отчитане на копията.

Криптовалутите, за които се подозира, че са компрометирани, както и други криптовалути, работещи във връзка с тях, трябва да бъдат незабавно деактивирани, освен ако не е посочено друго в оперативната и техническа документация на CIPF. В спешни случаи, когато липсват криптовалути, които да заменят компрометираните, се разрешава по решение на отговорния ползвател на криптоинструменти, съгласувано с оператора, използването на компрометирани криптоключове. В този случай периодът на използване на компрометирани крипто ключове трябва да бъде възможно най-кратък, а защитената информация трябва да бъде възможно най-малко ценна.

При нарушения, които могат да доведат до компрометиране на крипто ключове, техните компоненти или предадени ( съхранени) с използването на данните от тях, потребителите на криптографски инструменти са длъжни да докладват на отговорния потребител на криптографски инструменти.

Проверката на ключови носители за многократна употреба от неупълномощени лица не трябва да се счита за подозрение за компрометиране на криптовалути, ако това изключва възможността за тяхното копиране ( четене, възпроизвеждане).

В случаите на липси, непредставяне на ключови документи, както и несигурност на местонахождението им, отговорният потребител предприема спешни мерки за тяхното издирване и локализиране на последствията от компрометиране на ключови документи.

1. Процедура за управление на ключова система

Регистрацията на лица с ключови права на управление се извършва в съответствие с оперативната документация за CIPF.

Управлението на ключовете е информационен процес, който включва три елемента:

- генериране на ключове;

— натрупване на ключове;

- раздаване на ключове.

В информационните системи на организацията се използват специални хардуерни и софтуерни методи за генериране на случайни ключове. По правило се използват генератори на псевдослучайни числа ( по-нататък - PSCH ), с достатъчно висока степен на случайност на генерирането им. Доста приемливи са софтуерните генератори на ключове, които изчисляват PRNG като сложна функцияот текущото време и ( или) номер, въведен от потребителя.

Под натрупване на ключове се разбира организацията на тяхното съхранение, отчитане и изтриване.

Тайните ключове не трябва да се записват изрично на носител, който може да се чете или копира.

Цялата информация за използваните ключове трябва да се съхранява в криптирана форма. Ключовете, които криптират информацията за ключа, се наричат ​​главни ключове. Всеки потребител трябва да знае главните ключове наизуст, забранено е съхраняването им на какъвто и да е материален носител.

За условието за информационна сигурност е необходимо периодично да се актуализира ключова информация в информационните системи. Това преназначава както обикновените ключове, така и главните ключове.

При разпределяне на ключове трябва да бъдат изпълнени следните изисквания:

- ефективност и точност на разпределението;

— секретност на разпределените ключове.

Алтернатива е двама потребители да получат споделен ключ от централен орган, център за разпространение на ключове (KDC), чрез който те могат да си взаимодействат сигурно. За организиране на обмена на данни между CRC и потребителя, на последния се разпределя специален ключ по време на регистрацията, който криптира съобщенията, предавани между тях. На всеки потребител се разпределя отделен ключ.

УПРАВЛЕНИЕ НА КЛЮЧОВЕ БАЗИРАНО НА СИСТЕМИ С ПУБЛИЧНИ КЛЮЧОВЕ

Преди да използват криптосистема с публичен ключ за обмен на обикновени секретни ключове, потребителите трябва да обменят своите публични ключове.

Управлението на публични ключове може да се извършва чрез онлайн или офлайн директория, а потребителите могат също да обменят ключове директно.

1. Наблюдение и контрол на използването на CIPF

За да се повиши нивото на сигурност по време на работата на криптографската защита на информацията в системата, е необходимо да се внедрят процедури за наблюдение, които записват всички значими събития, настъпили по време на обмена електронни съобщенияи всички инциденти със сигурността на информацията. Описанието и списъкът на тези процедури трябва да бъдат установени в оперативната документация за CIPF.

Контролът върху използването на CIPF осигурява:

• контрол върху съответствието на настройките и конфигурацията на средствата за информационна сигурност, както и хардуерни и софтуерни инструменти, които могат да повлияят на изпълнението на изискванията за средства за информационна сигурност, нормативна и техническа документация;
• наблюдение на спазването на правилата за съхраняване на информация с ограничен достъп, използвана при работата на средствата за информационна сигурност ( по-специално ключ, парола и информация за удостоверяване);
• контрол на възможността за достъп на неупълномощени лица до средства за информационна сигурност, както и до хардуерни и софтуерни средства, които могат да повлияят на изпълнението на изискванията за средства за информационна сигурност;
• наблюдение на спазването на правилата за реакция при инциденти информационна информация (относно фактите на загуба, компрометиране на ключ, парола и информация за удостоверяване, както и всяка друга информация с ограничен достъп);
• контрол на съответствието на техническите и софтуерни средства на CIPF и документацията за тези средства с референтни образци ( гаранции на доставчика или механизми за контрол, които позволяват такова съответствие да бъде установено независимо);
• контрол на целостта на хардуера и софтуера на CIPF и документацията за тези инструменти по време на съхранението и въвеждането в експлоатация на тези инструменти ( като се използват както контролните механизми, описани в документацията за CIPF, така и организационни).

Изтегли ZIP файл (43052)

Документите бяха полезни - поставете "харесване":

Всеки, който сериозно мисли за сигурността на своята поверителна информация, е изправен пред задачата да избере софтуер за криптографска защита на данните. И в това няма абсолютно нищо изненадващо - криптирането е един от най-надеждните начини за предотвратяване на неоторизиран достъп до важни документи, бази данни, снимки и всякакви други файлове.

Проблемът е, че за компетентен избор е необходимо да се разберат всички аспекти на работата на криптографските продукти. В противен случай много лесно можете да направите грешка и да се спрете на софтуер, който или не ви позволява да защитите цялата необходима информация, или не осигурява необходимата степен на сигурност. На какво трябва да обърнете внимание? Първо, това са алгоритмите за криптиране, налични в продукта. Второ, методите за удостоверяване на собствениците на информация. Трето, начини за защита на информацията. Четвърто, допълнителни функции и възможности. Пето, авторитетът и славата на производителя, както и наличието на сертификати за разработване на инструменти за криптиране. И това не е всичко, което може да бъде важно при избора на система за криптографска защита.

Ясно е, че за човек, който не е запознат с информационната сигурност, е трудно да намери отговори на всички тези въпроси.

Secret Disk 4 Lite

Secret Disk 4 Lite е разработен от Aladdin, един от световните лидери, работещи в областта на информационната сигурност. Тя има много сертификати. И въпреки че въпросният продукт не е сертифициран инструмент (Secret Disk 4 има отделна сертифицирана версия), този факт показва признанието на компанията като сериозен разработчик на криптографски инструменти.

Secret Disk 4 Lite може да се използва за криптиране отделни секциитвърд диск, всякакви сменяеми устройства, както и за създаване на сигурни виртуални устройства. По този начин с този инструмент можете да разрешите повечето проблеми, свързани с криптографията. Отделно си струва да се отбележи възможността за криптиране системен дял. В този случай зареждането на операционната система от неоторизиран потребител става невъзможно. Освен това тази защита е несравнимо по-надеждна от вградените инструменти за защита на Windows.

Secret Disk 4 Lite няма вградени алгоритми за криптиране. Тази програма използва външни криптографски доставчици за своята работа. По подразбиране се използва стандартен модул, интегриран в Windows. Той изпълнява алгоритмите DES и 3DES. Днес обаче те се считат за остарели. Следователно, за по-добра защитаМожете да изтеглите специален Secret Disk Crypto Pack от уебсайта на Aladdin. Това е криптографски доставчик, който прилага най-сигурните криптографски технологии до момента, включително AES и Twofish с дължина на ключа до 256 бита. Между другото, ако е необходимо, в комбинация с Secret Disk 4 Lite можете да използвате сертифицирани доставчици на алгоритми Signal-COM CSP и CryptoPro CSP.

Отличителна черта на Secret Disk 4 Lite е системата за удостоверяване на потребителя. Въпросът е, че се гради върху употребата цифрови сертификати. За целта в пакета на продукта е включен хардуерен USB eToken. Това е изключително сигурно хранилище за секретни ключове. Всъщност говорим за пълноценна двуфакторна автентификация (наличие на токен плюс познаване на неговия ПИН код). В резултат на това разглежданата система за криптиране е спестена от такова „препятствие“ като използването на конвенционална защита с парола.

От допълнителните функции на Secret Disk 4 Lite може да се отбележи възможността за работа с много потребители (собственикът на криптирани дискове може да предостави достъп до тях на други хора) и фоновата работа на процеса на криптиране.

Интерфейсът на Secret Disk 4 Lite е прост и ясен. Направен е на руски език, точно като подробната помощна система, която описва всички нюанси на използването на продукта.

InfoWatch CryptoStorage

InfoWatch CryptoStorage е продукт на доста известна компания InfoWatch, която има сертификати за разработване, разпространение и поддръжка на инструменти за криптиране. Както вече беше отбелязано, те не са задължителни, но могат да играят ролята на своеобразен индикатор за сериозността на компанията и качеството на нейните продукти.

Фигура 1. Контекстно меню

InfoWatch CryptoStorage реализира само един алгоритъм за криптиране - AES с дължина на ключа 128 бита. Удостоверяването на потребителя се осъществява с помощта на конвенционална защита с парола. В името на справедливостта трябва да се отбележи, че програмата има ограничение за минимална дължина ключови думи, равно на шест знака. Въпреки това, защитата с парола със сигурност е далеч по-ниска по своята надеждност от двуфакторната автентификация с помощта на токени. Характеристика на програмата InfoWatch CryptoStorage е нейната гъвкавост. Въпросът е, че може да се използва за криптиране отделни файловеи папки, цели дялове на твърдия диск, всякакви сменяеми устройства, както и виртуални устройства.

Този продукт, подобно на предишния, ви позволява да защитите системни дискове, тоест може да се използва за предотвратяване на неоторизирано зареждане на компютъра. Всъщност InfoWatch CryptoStorage ви позволява да решавате целия набор от задачи, свързани с използването на симетрично криптиране.

Допълнителна характеристика на разглеждания продукт е организирането на многопотребителски достъп до криптирана информация. Освен това InfoWatch CryptoStorage прилага гарантирано унищожаване на данни без възможност за тяхното възстановяване.

InfoWatch CryptoStorage е рускоезична програма. Интерфейсът му е направен на руски, но е доста необичаен: основният прозорец като такъв липсва (има само малък прозорец на конфигуратора) и почти цялата работа се извършва с помощта на контекстно меню. Такова решение е необичайно, но не може да не се разпознае неговата простота и удобство. Естествено, документацията на руски език в програмата също е налична.

Rohos Disk е продукт на Tesline-Service.S.R.L. Той е част от линия от малки помощни програми, които прилагат различни инструменти за защита на поверителна информация. Тази серия се разработва от 2003 г.

Фигура 2. Програмен интерфейс

Rohos Disk е предназначен за криптографска защита на компютърни данни. Тя ви позволява да създавате криптирани виртуални устройства, на които можете да записвате всякакви файлове и папки, както и да инсталирате софтуер.

За защита на данните този продукт използва криптографския алгоритъм AES с дължина на ключа от 256 бита, който осигурява висока степенсигурност.

Rohos Disk има два метода за удостоверяване на потребителя. Първият от тях е обичайната защита с парола с всичките й недостатъци. Вторият вариант е да използвате обикновен USB диск, на който е записан необходимия ключ.

Тази опция също не е много надеждна. При използването му загубата на "флашка" може да доведе до сериозни проблеми.

Rohos Disk има широк набор от допълнителни функции. На първо място, заслужава да се отбележи защитата на USB устройствата. Същността му е да създадете специален криптиран дял на "флашката", в който можете безопасно да прехвърляте поверителни данни.

Освен това продуктът включва отделна помощна програма, с която можете да отваряте и преглеждате тези USB устройства на компютри, които нямат инсталиран Rohos Disk.

Следващата допълнителна функция е поддръжката на стеганография. Същността на тази технология е да скрие криптирана информация в мултимедийни файлове (поддържат се формати AVI, MP3, MPG, WMV, WMA, OGG).

Използването му ви позволява да скриете самия факт на наличието на таен диск, като го поставите например във филма. Последната допълнителна функция е унищожаването на информация без възможност за нейното възстановяване.

Програмата Rohos Disk има традиционен интерфейс на руски език. Освен това е придружена помощна система, може би не толкова подробен като предишните два продукта, но достатъчен, за да овладеете принципите на неговото използване.

Говорейки за криптографски помощни програми, не може да не споменем безплатния софтуер. Всъщност днес в почти всички области има достойни продукти, които се разпространяват напълно безплатно. И информационната сигурност не е изключение от това правило.

Вярно е, че има двояко отношение към използването на безплатен софтуер за защита на информацията. Факт е, че много помощни програми са написани от отделни програмисти или малки групи. В същото време никой не може да гарантира за качеството на тяхното изпълнение и липсата на "дупки", случайни или умишлени. Но самите криптографски решения са доста трудни за разработване. Когато ги създавате, трябва да вземете предвид огромен брой различни нюанси. Ето защо се препоръчва да се използват само добре познати продукти и винаги с отворен код. Това е единственият начин да сте сигурни, че те нямат "отметки" и са тествани от голям брой специалисти, което означава, че са повече или по-малко надеждни. Пример за такъв продукт е програмата TrueCrypt.

Фигура 3. Интерфейс на програмата

TrueCrypt е може би една от най-богатите на функции безплатни криптографски помощни програми. Първоначално се използва само за създаване на защитени виртуални дискове. Все пак за повечето потребители това е най-удобният начин за защита на различна информация. С течение на времето обаче в него се появи функцията за криптиране на системния дял. Както вече знаем, той има за цел да защити компютъра от неоторизирано стартиране. TrueCrypt обаче все още не знае как да криптира всички други дялове, както и отделни файлове и папки.

Въпросният продукт реализира няколко алгоритъма за криптиране: AES, Serpent и Twofish. Собственикът на информацията може да избере в коя иска да използва този момент. Удостоверяването на потребителя в TrueCrypt може да се извърши с помощта на обикновени пароли. Има обаче и друг вариант - използване на ключови файлове, които могат да се съхраняват на твърд диск или друг сменяемо хранилище. Отделно, заслужава да се отбележи, че тази програма поддържа токени и смарт карти, което ви позволява да организирате надеждна двуфакторна автентификация.

от допълнителни функциина разглежданата програма е възможно да се отбележи възможността за създаване скрити обемивътре в основните. Използва се за скриване на чувствителни данни, когато устройство се отвори под принуда. Освен това TrueCrypt внедрява система Резервно копиезаглавки на томове за възстановяване при срив или връщане към стари пароли.

Интерфейсът TrueCrypt е познат на помощните програми от този вид. Той е многоезичен и има възможност за инсталиране на руски език. Документацията е много по-лоша. Така е и е много подробно, но написано английски език. Естествено, за всякакви техническа поддръжкане може да има реч.

За по-голяма яснота всички техни характеристики и функционалност са обобщени в таблица 2.

Таблица 2 - Функционалностпрограми за криптографска защита на информацията.

Secret Disk 4 lite	InfoWatch CryptoStorage
Алгоритми за криптиране	DES, 3DES, AES, TwoFish			AES, Serpent, TwoFish
Максимална дължина на ключа за криптиране
Свързване на външни доставчици на крипто
Силно удостоверяване с помощта на токени				+ (токените се купуват отделно)
Шифроване на файлове и папки
Шифроване на дялове
Системно криптиране
Криптиране на виртуални дискове
Криптиране на преносимо хранилище
Поддръжка за работа с много потребители
Гарантирано унищожаване на данните
Скриване на криптирани обекти
Работа под принуда
Интерфейс на руски език
Документация на руски език
Техническа поддръжка

Слушайте ... можете ли, за наша обща полза, всяко писмо, което пристига във вашата пощенска служба, входящо и изходящо, знаете, да го разпечатате малко и да прочетете: съдържа ли някакъв отчет или само кореспонденция .. .

Н. В. Гогол "Ревизор"

В идеалния случай само двама души трябва да могат да четат поверително писмо: подателят и този, до когото е адресирано.Формулирането на такова на пръв поглед много просто нещо беше отправната точка на системите за криптозащита. Развитието на математиката даде тласък на развитието на такива системи.

Още през XVII-XVIII век шифрите в Русия са били доста сложни и устойчиви на разбиване. Много руски математици са работили върху създаването или подобряването на системи за криптиране и в същото време се опитват да вдигнат ключовете към шифрите на други системи. В момента могат да се отбележат няколко руски системи за криптиране, като Lexicon Verba, Secret Net, DALLAS LOCK, Secret Disk, семейството на продуктите Accord и др. Ще говорим за тях. Ще се запознаете и с основния софтуер и хардуер и софтуер комплекси за криптозащита, научете за техните възможности, силни страни и Слабости. Надяваме се, че тази статия ще ви помогне да направите избор на система за криптографска защита.

Въведение

Притеснявате ли се от това важна информацияот вашия компютър може да попадне в неподходящи ръце? Тази информация може да се използва от конкуренти, регулаторни органи и просто недоброжелатели. Очевидно подобни действия могат да ви донесат значителни щети. Какво да правя? За да защитите информацията си от непознати, трябва да инсталирате една от програмите за криптиране на данни. Нашият преглед е посветен на анализа на системите за криптиране за настолни системи. Трябва да се отбележи, че използването на чужди системи за криптиране в Русия е много ограничено поради редица причини държавни организациии големите местни компании са принудени да използват руски разработки. Въпреки това средни и малки фирми, както и физически лица, понякога предпочитат чужди системи.

За непосветените криптирането на информация изглежда като нещо като черна магия. Наистина, криптирането на съобщения, за да се скрие тяхното съдържание от външни лица, е сложен математически проблем. Освен това шифърът трябва да бъде избран така, че да бъде практически невъзможно да се отвори без ключ, а бързо и лесно с ключ. За много компании и организации е много трудно оптимален изборпри инсталиране на програми за криптиране. Въпросът се усложнява още повече от факта, че не съществуват абсолютно сигурни компютри и абсолютно надеждни системи за криптиране. Въпреки това все още има достатъчно начини, чрез които можете да отблъснете почти всички опити за разкриване на криптирана информация.

Какво съдържат програмите за криптиране

Програмите за криптиране се различават една от друга по алгоритъма за криптиране. След като файлът е шифрован, можете да го запишете на флопи диск, да го изпратите чрез електронна пощаили поставете на сървър във вашата локална мрежа. Получателят на вашето криптиране трябва да има същата програма за криптиране, за да прочете съдържанието на файла.

Ако искате да изпратите криптирано съобщение до множество потребители едновременно, тогава вашата информация за всеки получател може да бъде криптирана със собствен ключ или със споделен ключ за всички потребители (включително автора на съобщението).

Криптосистемата използва таен код, за да превърне вашата информация в безсмислен, псевдослучаен набор от знаци. При добър алгоритъмкриптиране, е почти невъзможно да дешифрирате съобщение, без да знаете таен кодизползвани за криптиране. Такива алгоритми се наричат ​​алгоритми със симетричен ключ, защото един и същ ключ се използва за криптиране и декриптиране на информация.

За да защити вашите данни, програмата за криптиране създава таен ключ въз основа на вашата парола. Просто трябва да зададете дълга парола, която никой не може да познае. Ако обаче искате някой друг да прочете файла, ще трябва да кажете на това лице секретния ключ (или паролата, на която се основава). Можете да сте сигурни, че дори прост алгоритъм за криптиране ще защити вашите данни от редовен потребител, да речем, от колега на работа. Професионалистите обаче имат редица начини да дешифрират съобщение, без да знаят тайния код.

Без специални познания няма да можете самостоятелно да проверите колко надежден е вашият алгоритъм за криптиране. Но можете да разчитате на мнението на професионалистите. Някои алгоритми за криптиране, като например Triple DES (стандарт за криптиране на данни), са били подложени на години на тестване. Според резултатите от теста този алгоритъм се е доказал добре и криптографите смятат, че може да му се вярва. Повечето от новите алгоритми също са внимателно проучени, а резултатите са публикувани в специализираната литература.

Ако алгоритъмът на програмата не е бил открито прегледан и обсъден от професионалисти, ако няма сертификати и други официални документи, това е причина да се съмнявате в неговата надеждност и да откажете да използвате такава програма.

Друг вид системи за криптиране са системите с публичен ключ. За да работи такава система, не е необходимо да съобщавате на адресата секретния ключ (или паролата, въз основа на която е създаден). Тези системи за криптиране генерират два цифрови ключа за всеки потребител: единият се използва за криптиране на данни, а другият - за дешифрирането им. Първият ключ (наречен публичен ключ) може да бъде направен публичен, докато вторият ключ се пази в тайна. След това всеки може да криптира информацията с публичния ключ и само тези, които имат съответния таен ключ, могат да я декриптират.

Някои програми за криптиране съдържат друго важно средство за защита - цифров подпис. Цифровият подпис удостоверява, че файлът не е бил модифициран след подписването му и дава на получателя информация кой точно е подписал файла. Алгоритъм за създаване цифров подписвъз основа на изчисляването на контролната сума - така наречената хеш сума, или дайджест на съобщението. Приложените алгоритми гарантират, че е невъзможно да се вземат два различни файла, чиито хеш суми да съвпадат.

Когато получателят получи цифрово подписан файл, неговата програма за криптиране преизчислява хеш сумата за този файл. След това получателят използва публичния ключ, публикуван от подателя, за да възстанови цифровия подпис. Ако резултатът съответства на стойността, изчислена за файла, тогава получателят може да бъде сигурен, че текстът на съобщението не е променен (ако това се случи, хеш сумата ще бъде различна) и подписът принадлежи на лице, което има достъп към секретния ключ на подателя.

Защитата на чувствителна или поверителна информация изисква повече от просто добра програмакриптиране. Трябва да предприемете редица мерки, за да осигурите информационна сигурност. Ако паролата ви е слаба (експертите препоръчват да я зададете на осем или повече знака) или ако на вашия компютър се съхранява некриптирано копие на поверителна информация, тогава в този случай дори най-добрата системакриптирането ще бъде безсилно.

Система Лексикон-Верба

Системата Lexicon-Verba е средство за организиране на защитена електронен документообороткакто в рамките на корпоративната мрежа, така и между различни организации. Lexicon-Verba използва две модификации на криптографската система: системата Verba-W е предназначена за държавни органи (защита на поверителна информация, по-специално ПДЧ; ключовете за подпис са отворени, ключовете за криптиране са затворени), системата Verba-OW е за търговски организации (защита на търговските тайни; ключовете за подпис и криптиране са отворени).

Има доста глобални стандарти за криптиране, но само малка част от тях са сертифицирани от Федералната агенция за правителствени комуникации и информация (FAPSI), което прави невъзможно използването на несертифицирани решения в Русия. Системата Verba-W притежава FAPSI сертификат № SF / 114-0176. Система Verba-OW - FAPSI сертификат № SF / 114-0174.

„Lexicon-Verba“ осигурява криптиране и цифров подпис в съответствие с изискванията на GOST 28147-89 „Системи за обработка на информация. Криптографска защита" и GOST R34.10-94 " Информационни технологии. Криптографска защита на информацията. Процедури за разработване и проверка на електронен цифров подпис, базиран на асиметричен криптографски алгоритъм.

Програмата е сертифицирана от Държавната техническа комисия към президента на Руската федерация. През юли се очаква да получи сертификат от Министерството на отбраната на Русия.

Криптографската защита на системата се основава на метода на криптиране с публичен ключ. Всеки ключ, който идентифицира потребител, се състои от две части: публичен ключ и частен ключ. Публичният ключ се разпространява свободно и се използва за криптиране на информация този потребител. За да дешифрира документ, лицето, което го е шифровало, трябва да има вашия публичен ключ и да ви идентифицира като имащ достъп до документа, когато го шифрова.

За да дешифрирате документ, трябва да използвате частния ключ. Частният ключ се състои от две части, едната от които се съхранява на смарт карта или сензорна памет, а другата се съхранява на твърдия диск на вашия компютър. По този начин нито загубата на смарт карта, нито неоторизиран достъп до компютър правят възможно индивидуалното дешифриране на документи.

Първоначален комплект ключове включително пълна информацияотносно публичния и частния ключ на потребителя, се създава на специално оборудвано защитено работно място. Дискета с ключова информация се използва само на етапа на подготовка на работното място на потребителя.

Системата Lexicon-Verba може да се използва в рамките на две основни системи за организиране на защитено управление на документи:

• като самостоятелно решение. Ако организацията има локална мрежа, системата може да бъде инсталирана не на всички компютри, а само на тези, които изискват работа с поверителни документи. Това означава, че вътре в корпоративната мрежа има подмрежа за обмен на класифицирана информация. В същото време участниците в затворената част на системата могат да обменят отворени документи с други служители;
• като част от работния процес. Lexicon-Verba има стандартни интерфейси за свързване външни функцииза извършване на операциите по отваряне, запазване, затваряне и изпращане на документи, което улеснява интегрирането на тази система както в съществуващи, така и в новоразработени системи за работен процес.

Трябва да се отбележи, че свойствата на системата Lexicon-Verba я правят не само средство за осигуряване защита на информациятаот външни намеси, но и като средство за увеличаване на вътрешнокорпоративната поверителност и споделяне на достъп.

Един от важните допълнителни ресурси за повишаване нивото на контрол на информационната сигурност е възможността за поддържане на "дневник на събития" за всеки документ. Функцията за коригиране на хронологията на документи може да бъде активирана или деактивирана само когато системата е инсталирана; когато е включен това списаниеще се проведе независимо от желанието на потребителя.

Основното предимство и отличителна чертасистемата е проста и интуитивна реализация на функциите за информационна сигурност, като същевременно се запазват традиционните текстови процесориработна среда на потребителя.

Криптографското звено извършва криптиране, както и инсталиране и премахване на електронен цифров подпис (ЕЦП) на документи.

Спомагателни функции на блока - изтегляне на секретен ключ, експортиране и импортиране на публични ключове, настройка и поддържане на директория на системни абонатни ключове.

Така всеки от тези, които имат достъп до документа, може да постави само своя подпис, но да премахне всеки от предварително поставените.

Това отразява възприетата процедура на деловодство, когато, докато документът е одобрен, той може да бъде предмет на ревизии на различни етапи, но след това документът трябва да бъде одобрен отново.

Ако се опитате да направите промени в документа със средства, различни от "Lexicon-Verba", EDS е повреден, в резултат на това в полето "Статус на подписа" ще се появи надпис "Damaged".

офис

Тъй като броят на потребителите на системата се увеличава, въвеждането на всеки публичен ключ на всеки компютър става трудно. Следователно, за да се организира работата на офиса, се организира централизирано администриране на директорията с публични ключове. Това става по следния начин:

1) "Lexicon-Verba" се инсталира на компютъра на администратора в локален режим. Това създава директория с публични ключове, в която администраторът добавя всеки ключ, използван в офиса;

2) на всички други компютри, в които е инсталирана системата мрежов режим. Този режим използва директорията с публичен ключ, намираща се на компютъра на администратора;

3) всеки Нов потребител, добавен от администратора към директорията, става "видим" за всички потребители, свързани с директорията. От този момент нататък те получават възможност да му прехвърлят криптирани документи.

Администрирането на директорията става централизирано, но това не влияе на нивото на сигурност на системата, тъй като предоставянето на достъп до публични ключове е вид „запознанство“ на потребителите, но не дава достъп до никакви документи. За да може даден потребител да декриптира документ, неговият публичен ключ трябва не само да е в директорията, но също така трябва да бъде изрично посочен като имащ достъп до документа.

ДА СЕ средства за криптографска защита на информацията(CIPF), включват хардуер, фърмуер и софтуер, които изпълняват криптографски алгоритмиинформационна трансформация.

Предполага се, че криптографските средства за защита на информацията се използват в дадена компютърна система (в редица източници - информационна и телекомуникационна система или комуникационна мрежа), заедно с механизми за прилагане и гарантиране на определена политика за сигурност.

Наред с термина "средства за криптографска защита на информацията" често се използва терминът скрамблер- устройство или програма, която изпълнява алгоритъм за криптиране. Въведеното понятие CIPF включва енкодер, но като цяло е по-широко.

Първите операционни системи (ОС) за персонални компютри (MS-DOS и Windows версиидо 3.1 включително) изобщо не разполагаха със собствени средства за защита, което породи проблема за създаване на допълнителни средства за защита. Неотложността на този проблем практически не е намаляла с появата на по-мощни операционни системи с разширени подсистеми за защита. Това се дължи на факта, че повечето системи не са в състояние да защитят данните, които са извън тях, например, когато използват мрежов обмен на информация.

Средствата за криптографска защита на информацията, които осигуряват повишено ниво на защита, могат да бъдат разделени на пет основни групи (фиг. 2.1).

Ориз. 2.1 Основни групи CIPF

Формира се първата група системи за идентификацияИ удостоверяване на потребителя. Такива системи се използват за ограничаване на достъпа на случайни и незаконни потребители до ресурсите на компютърната система. Общ алгоритъмРаботата на тези системи е да получат от потребителя информация, доказваща неговата самоличност, да проверят нейната автентичност и след това да предоставят (или да не предоставят) на този потребител възможността да работи със системата.

Втората група средства, осигуряващи повишено ниво на защита са дискови криптиращи системи. Основната задача, решавана от такива системи, е защитата срещу неразрешено използване на данни, разположени на дискови носители.

Гарантирането на поверителността на данните, намиращи се на дискови носители, обикновено се извършва чрез криптирането им с помощта на симетрични алгоритми за криптиране. Основният класификационен признак на криптиращите комплекси е нивото на тяхната интеграция в компютърна система.

Системите за криптиране на данни могат да извършват криптографски трансформации на данни:

9. на ниво файл (индивидуалните файлове са защитени);

10. на ниво диск (защитени са целите дискове).

Програмите от първия тип включват архиватори като WinRAR, които ви позволяват да използвате криптографски методи за защита на архивни файлове. Пример за втория тип система е програмата за криптиране Diskreet, която е част от популярния софтуерен пакет Norton Utilities.

Друг класификационен признак на системите за криптиране на дискови данни е начинът, по който работят.

Според метода на функциониране системата за криптиране на дискови данни се разделя на два класа:

4) "прозрачни" системи за криптиране;

5) системи, специално извикани за прилагане на криптиране.

В системите прозрачно криптиране(криптиране в движение) криптографските трансформации се извършват в реално време, незабележимо за потребителя. Ярък пример е криптирането на папката Temp и My Documents при използване на EFS Win2000 - по време на работа не само самите документи са криптирани, но и създадените временни файлове и потребителят не забелязва този процес.

Второкласните системи обикновено са помощни програми, които трябва да бъдат специално извикани за извършване на криптиране. Те включват например архиватори с вградена защита с парола.

Третата група инструменти, които осигуряват повишено ниво на защита, включва Системи за криптиране на данни, предавани през компютърни мрежи. Има два основни метода за криптиране:

криптиране на канали;

криптиране на терминал (абонат).

Кога криптиране на каналацялата информация, предавана по комуникационния канал, включително служебната информация, е защитена. Съответните процедури за криптиране се изпълняват с помощта на протокола на слоя за връзка на седемслойния референтен модел на взаимодействие отворени системи OSI (взаимосвързване на отворена система).

Този метод на криптиране има следното предимство - вграждането на процедури за криптиране в слоя за връзка позволява използването на хардуер, което подобрява производителността на системата.

Този подход обаче има значителни недостатъци, по-специално криптирането на служебната информация, което е неизбежно дадено ниво, може да доведе до появата на статистически модели в криптирани данни; това се отразява на надеждността на защитата и налага ограничения върху използването на криптографски алгоритми.

Криптиране от край до край (абонатен).ви позволява да гарантирате поверителността на данните, предавани между два обекта на приложение (абонати). Шифроването от край до край се реализира с помощта на протокол на приложен или презентационен слой на OSI референтния модел. В този случай само съдържанието на съобщението е защитено, цялата служебна информация остава отворена. Този методви позволява да избегнете проблеми, свързани с криптиране на служебна информация, но възникват други проблеми. По-специално, нападател, който има достъп до комуникационни канали компютърна мрежа, получава възможността да анализира информация за структурата на обмена на съобщения, например за подателя и получателя, за времето и условията на предаване на данни, както и за количеството предадени данни.

Четвъртата група защити са електронни системи за удостоверяване на данни.

При обмен на електронни данни през комуникационни мрежи възниква проблемът с удостоверяването на автора на документа и самия документ, т.е. установяване на самоличността на автора и проверка на липсата на промени в получения документ.

За удостоверяване на електронни данни се използва код за удостоверяване на съобщение (вмъкване на имитация) или електронен цифров подпис. При генериране на код за удостоверяване на съобщение и електронен цифров подпис различни видовекриптиращи системи.

Петата група средства, осигуряващи повишено ниво на защита, се формира от ключови инструменти за управление на информацията. Ключовата информация се разбира като съвкупността от цялата информация, използвана в компютърна система или мрежа криптографски ключове.

Както знаете, сигурността на всеки криптографски алгоритъм се определя от използваните криптографски ключове. В случай на слабо управление на ключове, нападателят може да се добере до ключова информация и да получи пълен достъпкъм цялата информация в компютърна система или мрежа.

Основният класификационен признак на инструментите за управление на ключова информация е типът на функцията за управление на ключове. Има следните основни типове функции за управление на ключове: генериране на ключове, съхранение на ключове и разпространение на ключове.

Начини генериране на ключовесе различават за симетрични и асиметрични криптосистеми. За генериране на ключове на симетрични криптосистеми се използват хардуерни и софтуерни средства за генериране на произволни числа. Генерирането на ключове за асиметрични криптосистеми е много по-трудна задача поради необходимостта да се получат ключове с определени математически свойства.

функция съхранение на ключовевключва организацията безопасно съхранение, осчетоводяване и изтриване на ключове. За да се гарантира безопасното съхранение и предаване на ключовете, те се криптират с други ключове. Този подход води до ключови йерархични концепции. Йерархията на ключовете обикновено включва главен ключ (главен ключ), ключ за криптиране на ключ и ключ за криптиране на данни. Трябва да се отбележи, че генерирането и съхранението на главни ключове са критични проблеми в криптографската защита.

Разпределение на ключовее най-отговорният процес в управлението на ключове. Този процес трябва да гарантира секретността на разпределените ключове, както и скоростта и точността на тяхното разпространение. Има два основни начина за разпространение на ключове между потребителите на компютърна мрежа:

използването на един или повече ключови разпределителни центрове;

директен обмен на сесийни ключове между потребителите.

Нека преминем към формулирането на изискванията за криптографска защита на информацията, общи за всички разглеждани класове.

Криптографските методи за защита на информацията могат да бъдат реализирани както в софтуера, така и в хардуера. Хардуерен енкодер или криптографско устройство за защита на данните (UKZD) най-често е разширителна платка, поставена в конектор 18A или PC1 на дънната платка на персонален компютър (PC) (фиг. 3.21). Има и други опции за изпълнение, например под формата на ключ u8B с криптографски функции (фиг. 3.22).

Производителите на хардуерни енкодери обикновено ги оборудват с различни допълнителни функции, включително:

Генериране на произволни числа, необходими за получаване на криптографски ключове. В допълнение, много криптографски алгоритми ги използват за други цели, например в алгоритъма за електронен цифров подпис, GOST R 34.10-2001, се изисква ново произволно число за всяко изчисление на подписа;

Ориз. 3.21. Хардуерен енкодер под формата на PC1 платка:

1 - технологични съединители; 2 - памет за регистриране; 3 - превключватели за режими; 4 - многофункционална памет; 5 - блок за управление и микропроцесор; 6- PC1 интерфейс; 7- PC1 контролер; 8- DSC; 9- интерфейси за свързване на ключови носители

Ориз. 3.22.

• контрол на влизане в компютъра. При включване на компютъра устройството изисква от потребителя да въведе лична информация (например поставете устройство с частен ключ). Зареждане операционна системаще бъде разрешено само след като устройството разпознае представените ключове и ги счита за "свои". В противен случай ще трябва да отворите системна единицаи премахнете енкодера от там, за да заредите операционната система (все пак информацията на твърдия диск на компютъра също може да бъде криптирана);
• контрол на целостта на файловете на операционната система за предотвратяване на злонамерени модификации конфигурационни файловеИ системни програми. Енкодерът съхранява списък с всички важни файлове с предварително изчислени контролни хеш стойности за всеки от тях и ако хеш стойността на поне един от контролираните файлове не отговаря на стандарта при следващото зареждане на ОС, компютърът ще бъде блокиран.

Шифровач, който извършва контрол на влизане на компютър и проверява целостта на операционната система, също се нарича " електронна брава» (вижте параграф 1.3).

На фиг. 3.23 показва типична структура на хардуерен енкодер. Помислете за функциите на основните му блокове:

• контролен блок - основният модул на енкодера. Обикновено се изпълнява на базата на микроконтролер, при избора на който основното е скоростта и достатъчно количество вътрешни ресурси, както и външни портове за свързване на всички необходими модули;
• Контролер на системната шина на PC (например PC1), чрез който се осъществява основният обмен на данни между UKZD и компютър;
• енергонезависимо устройство за съхранение (памет), обикновено реализирано на базата на чипове с флаш памет. Той трябва да е достатъчно обемен (няколко мегабайта) и да позволява голям брой цикли на запис. Това е мястото, където се намира софтуерът на микроконтролера, който вие

Ориз. 3.23. Структурата UKZD се попълва, когато устройството се инициализира (когато енкодерът поеме контрола, когато компютърът се зарежда);

• памет за регистрационни файлове за одит, която също е енергонезависима памет (за да се избегнат възможни сблъсъци, програмната памет и паметта за регистрационни файлове не трябва да се комбинират);
• шифров процесор (или няколко подобни единици) - специализирана микросхема или микросхема на програмируема логика PLD (Програмируемо логическо устройство), която осигурява изпълнението на криптографски операции (криптиране и декриптиране, изчисляване и проверка на EDS, хеширане);
• генератор на случайни числа, който представлява устройство, което произвежда статистически случаен и непредвидим сигнал (т.нар. бял шум). Това може да бъде например шумов диод. Преди по-нататъшно използване в процесора за шифроване, съгласно специални правила, белият шум се преобразува в цифрова форма;
• блок за въвеждане на ключова информация. Осигурява сигурно получаване на частни ключове от носителя на ключове и въвеждане на идентификационна информация за потребителя, необходима за неговата идентификация;
• блок от превключватели, необходими за деактивиране на възможността за работа с външни устройства (устройства, CD-ROM, паралелни и серийни портове, USB шина и др.). Ако потребителят работи с изключително чувствителна информация, UKZD ще блокира всички външни устройства, включително дори мрежова карта.

Криптографските операции в UKZD трябва да се извършват по такъв начин, че да се изключи неоторизиран достъп до сесия и частни ключовеи възможността за влияние върху резултатите от тяхното изпълнение. Следователно процесорът за шифър логично се състои от няколко блока (фиг. 3.24):

• калкулатор - набор от регистри, суматори, блокове за заместване и др. свързани помежду си с шини за данни. Проектиран за най-бързо изпълнение на криптографски операции. Като вход калкулаторът получава отворени данни, които трябва да бъдат криптирани (дешифрирани) или подписани, и криптографски ключ;
• контролен блок - хардуерно реализирана програма, която управлява калкулатора. Ако по някаква причина

Ориз. 3.24.

програмата ще се промени, работата й ще започне да закъснява. Ето защо тази програматрябва не само да се съхранява сигурно и да функционира стабилно, но и редовно да се проверява неговата цялост. Външният контролен блок, описан по-горе, също периодично изпраща контролни задачи към контролния блок. На практика, за по-голяма увереност в енкодера, се инсталират два шифър процесора, които постоянно сравняват резултатите от своите криптографски операции (ако не съвпадат, операцията се повтаря);

I/O буферът е необходим за подобряване на производителността на устройството: докато първият блок от данни се криптира, следващият се зарежда и т. н. Същото се случва на изхода. Такова предаване на данни по конвейер сериозно увеличава скоростта на криптографските операции в енкодера.

Има още една задача за осигуряване на сигурност при извършване на криптографски операции от шифратора: зареждане на ключове в шифратора, заобикаляне RAMкомпютър, където теоретично могат да бъдат прихванати и дори заменени. За да направите това, UKZD допълнително съдържа входно-изходни портове (например COM или USB), към които са директно свързани различни четци на ключови медии. Това могат да бъдат всякакви смарт карти, токени (специални USB ключове) или сензорни памети (вижте параграф 1.3). В допълнение към директното въвеждане на ключове в UKZD, много от тези носители осигуряват и тяхното надеждно съхранение - дори ключов носител без да знае специален код за достъп (например ПИН код) няма да може да прочете съдържанието му.

За да избегнете сблъсъци при едновременен достъп до енкодера различни програми, в компютърната система е инсталиран специален софтуер

Ориз. 3.25.

• (софтуер) за управление на енкодера (фиг. 3.25). Такъв софтуер издава команди чрез драйвера на енкодера и предава данни към енкодера, като се уверява, че информационните потоци от различни източници не се припокриват и също така, че енкодерът винаги съдържа правилните ключове. По този начин UKZD изпълнява основно две различни видовекоманди:
• преди зареждане на операционната система се изпълняват команди, които са в паметта на енкодера, които извършват всички необходими проверки (например идентификация на потребителя и удостоверяване) и задават необходимото ниво на сигурност (например изключване на външни устройства);
• след зареждане на операционната система (например Windows) се изпълняват команди, които идват чрез софтуера за управление на шифратора (шифроване на данни, презареждане на ключове, изчисляване на произволни числа и т.н.).

Такова разделяне е необходимо от съображения за сигурност - след изпълнение на командите на първия блок, който не може да бъде прескочен, нарушителят вече няма да може да извършва неразрешени действия.

Друга цел на софтуера за управление на енкодера е да предостави възможност за замяна на един енкодер с друг (да речем такъв, който е по-продуктивен или прилага други криптографски алгоритми), без да се променя софтуерът. Това се случва по същия начин, например, промяна мрежова карта: Шифровачът идва с драйвер, който позволява на програмите да изпълняват стандартен набор от криптографски функции в съответствие с интерфейс за програмиране на някои приложения (например CryptAP1).

По същия начин можете да замените хардуерен енкодер със софтуер (например емулатор на енкодер). За да направите това, софтуерният енкодер обикновено се внедрява като драйвер, който предоставя същия набор от функции.

Въпреки това, не всички UKZD се нуждаят от софтуер за управление на енкодер (по-специално енкодер за "прозрачно" криптиране-декриптиране на всички харддискКомпютърът трябва да се настрои само веднъж).

За допълнително осигуряване на сигурността при извършване на криптографски операции в UKZD може да се използва многостепенна защита на криптографски ключове за симетрично криптиране, при което произволен сесиен ключ се криптира с дългосрочен потребителски ключ, а той от своя страна с главен ключ (фиг. 3.26).

На етапа на първоначално зареждане главният ключ се въвежда в ключова клетка № 3 на паметта на енкодера. Но за криптиране на три нива трябва да вземете още две. Сесийният ключ се генерира в резултат на заявка към генератора (сензора)

Ориз. 3.26. Шифроване на файла с помощта на UKZD ny numbers (DSN) енкодер за получаване на произволно число, което се зарежда в ключова клетка № 1, съответстваща на ключа на сесията. Той криптира съдържанието на файла и създава нов файл A, който съхранява криптираната информация.

След това потребителят получава подкана за дългосрочен ключ, който се зарежда в ключова клетка #2 с дешифриране с помощта на главния ключ, разположен в клетка #3. в този случай ключът изобщо не "напуска" енкодера. Накрая ключът на сесията се шифрова с помощта на дългосрочния ключ в клетка 2, изтеглен от шифроващото устройство и записан в заглавката на шифрования файл.

Когато декриптирате файл, ключът на сесията първо се дешифрира с помощта на дългосрочния ключ на потребителя и след това информацията се възстановява с него.

По принцип един ключ може да се използва за криптиране, но многоключовата схема има сериозни предимства. Първо, възможността за атака срещу дългосрочен ключ е намалена, тъй като той се използва само за криптиране на кратки сесийни ключове. И това усложнява криптоанализа на атакуващия на криптирана информация, за да получи дългосрочен ключ. Второ, когато променяте дългосрочния ключ, можете много бързо да шифровате повторно файла: достатъчно е да шифровате отново сесийния ключ от стария дългосрочен ключ към новия. Трето, носителят на ключове е разтоварен, тъй като на него се съхранява само главният ключ и всички дългосрочни ключове (и потребителят може да има няколко от тях за различни цели) могат да се съхраняват криптирани с главния ключ дори на твърд компютър шофиране.

Шифровачите под формата на SHV ключове (вижте Фиг. 3.22) все още не могат да станат пълноценен заместител на хардуерен енкодер за шината PC1 поради ниската скорост на криптиране. Те обаче имат няколко интересни характеристики. Първо, токенът (SW ключ) е не само хардуерен енкодер, но и носител на ключове за криптиране, т.е. устройство две в едно. Второ, жетоните обикновено отговарят на общите международни криптографски стандарти (RKSB #11, 1BO 7816, RS / 8C и т.н.) и могат да се използват без допълнителни настройкив съществуващите софтуерни инструментизащита на информацията (например те могат да се използват за удостоверяване на потребителите в операционната система на семейството Microsoft Windows). И накрая, цената на такъв енкодер е десет пъти по-ниска от тази на класически хардуерен енкодер за PCI шина.