Проектирование системы безопасности автоматизированных систем обработки информации

При загрузке компьютера осуществляется идентификация и аутентификация пользователя, выполняется проверка целостности контролируемых объектов средствами механизма контроля целостности. В том случае, если имя пользователя и его пароль указаны верно, разрешенное время работы совпадает с фактическим и целостность контролируемых объектов не нарушена, загрузка компьютера продолжается. В противном случае загрузка компьютера прерывается.

В процессе работы пользователя с ресурсами компьютера драйвер защиты контролирует доступ пользователя к ресурсам. Если пользователь превышает свои права доступа к ресурсу, его действия ограничиваются способом, заданным параметрами работы системы защиты. Также, средствами механизма регистрации событий осуществляется регистрация в соответствующих журналах всех событий, связанных с безопасностью системы и работой пользователя на компьютере.

В качестве средства идентификации пользователей используются персональные электронные идентификаторы Touch Memory или Proximity.

Система ЗИ «Dallas Lock 7.0» представляет собой программное средство защиты ПЭВМ, подключенного к ЛВС, от НСД в среде ОС Windows 2000/ХР.

Программный комплекс обеспечивает:

· разграничение полномочий пользователей при работе на компьютере;

· опознавание пользователей посредством индивидуальных паролей;

· запрос пароля при входе на ПЭВМ инициируется до загрузки ОС. Загрузка ОС с жесткого диска осуществляется только после ввода личного пароля;

· число зарегистрированных пользователей на каждом защищенном компьютере ограничивается размером свободного дискового пространства, (максимум - 8192). Один пользователь может быть зарегистрирован на нескольких ПЭВМ с разными полномочиями, что в пределах ОИ вполне может иметь место.

· возможна блокировка клавиатуры на время загрузки компьютера. Ограничение круга доступных объектов (дисков, папок и файлов) компьютера под любой файловой системой (FAT16, FAT32, NTFS4, NTFS5);

· реализовано два принципа контроля доступа: мандатный и дискреционный. Ограничение доступа пользователей к компьютеру можно организовать по дате - назначить пользователю дату начала и окончания работы на защищенном компьютере;

· интегрированы функции очистки остаточной информации, гарантирующие предотвращение восстановления удаленных данных;

· хорошо развита система аудита действий пользователей в электронных журналах, в том числе обращений пользователей к локальному и сетевым принтерам и попыток несанкционированного входа.

· обеспечение контроля целостности объектов компьютера.

Класс защищенности системы ЗИ от НСД - 4 в соответствии с РД Гостехкомиссии РФ «Средства ВТ. ЗИ от НСД к информации. Показатели защищенности от НСД к информации».

Класс защищенности для АС - 1Г в соответствии с РД Гостехкомиссии «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ».

3. Программно-аппаратные комплексы «Secret Net» (разработчик НИП «Информзащита»).

Система ЗИ «Secret Net 4.0» предназначена для ЗИ в ЛВС, построенных на основе ОС Windows 9x/2000/NT и Novell Netware. Она позволяет организовать эффективную ЗИ, циркулирующей в информационной АС ОИ.

Система ЗИ не подменяет собой защитные механизмы ОС, а дополняет их в части защиты рабочих станций и серверов сети, позволяя тем самым повысить защищенность всей АС обработки информации в целом. Иными словами, система ЗИ является специализированным программно-техническим продуктом, дополняющим ОС функциями защиты от НСД к различным ресурсам рабочих станций и серверов сети, который позволяет централизованно управлять этой защитой в рамках информационной АС ОИ.

Система ЗИ представляет собой реализацию новой технологии управления ИБ и позволяет:

· решать различные задачи по обеспечению ИБ (сбор оперативных данных, контроль доступа в помещения и т.д.) в рамках единой системы управления безопасностью ОИ;

· реально объединить в единую систему различные средства обеспечения БИ - СКЗИ, средства анализа защищенности и оповещения о сетевых атаках, средства защиты от НСД;

· оперативно получать актуальную информацию о реальном состоянии защищенности информационной системы и оценивать ее соответствие требованиям, существующим в ОИ;

· значительно упростить управление доступом сотрудников ОИ к ресурсам информационной системы за счет унификации номенклатуры управляемых объектов и прав доступа.

Дополнительно к стандартным механизмам защиты, реализованным в ОС Windows 9x/2000/NT и Novell Netware система защиты обеспечивает:

· полномочное (мандатное) управление доступом пользователей к данным. Дополнительно к избирательному (дискреционному) управлению доступом, возможно также разграничение доступа к файлам (на локальных и удаленных дисках) в соответствии со степенью конфиденциальности содержащихся в них сведений и уровнем допуска пользователя;

· возможность подключения и использования СКЗИ, передаваемых по сети, и данных, хранимых в файлах на внешних носителях (жесткие и гибкие магнитные диски и т.д.). Обмен данными между всеми или отдельными рабочими станциями сети может осуществляться в криптографическом защищенном виде;

· централизованное оперативное управление доступом пользователей к совместно используемым ресурсам, как в одноранговой, так и в доменной сети;

· оперативный контроль работы пользователей сети, оповещение администратора безопасности о событиях НСД, централизованный сбор и анализ содержимого журналов регистрации;

· контроль целостности программ, используемых ОС и пользователем.

Класс защищенности системы ЗИ от НСД - 3 в соответствии с РД Гостехкомиссии РФ «Средства ВТ. ЗИ от НСД к информации. Показатели защищенности от НСД к информации».

Класс защищенности для АС - 1В в соответствии с РД Гостехкомиссии «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ».

Сетевая карта стандарта PCI с установленным Secret Net ROM BIOS обеспечивает идентификацию и аутентификацию пользователей по имени и паролю, вводимых с клавиатуры или по электронным TM-идентификаторам и защиту компьютера от загрузки нештатной ОС с гибких дисков. Дополнительно плата одновременно может использоваться как стандартная сетевая карта Ethernet 10/100. Система сертифицирована на применение в ПЭВМ с классом защиты до 1Б.

Электронный замок «Соболь-PCI» предназначен для защиты ресурсов компьютера от НСД. Электронный замок сертифицирован ФАПСИ РФ, имеет сертификаты № СФ/022-0306 от 10.02.2000 г. и № СФ/527-0553 от 01.07.2002 г. и позволяет защищать информацию, составляющую конфиденциальную или государственную тайну.

Кроме того, «Соболь-PCI» сертифицирован по требованиям РД Гостехкомиссии РФ «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ», имеет сертификат № 457 от 14.05.2001 г. и может использоваться при разработке системы ЗИ для АС с классом защищенности до 1В включительно.

Действие электронного замка «Соболь-PCI» состоит в проверке персонального идентификатора и пароля пользователя при попытке входа в систему. В случае попытки входа в систему не зарегистрированного пользователя электронный замок «Соболь-PCI» регистрирует попытку НСД и осуществляется аппаратная блокировка до трех устройств.

Электронный замок «Соболь-PCI» обладает следующими возможностями:

· идентификация и аутентификация пользователей;

· регистрация попыток доступа к ПЭВМ;

· запрет загрузки ОС со съемных носителей;

· контроль целостности программной среды.

Возможности по идентификации и аутентификации пользователей, а также регистрация попыток доступа к ПЭВМ не зависят от типа использующейся ОС.

Для настройки электронного замка «Соболь» администратор имеет возможность:

· определять минимальную длину пароля пользователя;

· определять предельное число неудачных входов пользователя;

· добавлять и удалять пользователей;

· блокировать работу пользователя на компьютере;

· создавать резервные копии персональных идентификаторов.

Преимущества:

· наличие датчика случайных чисел, соответствующий требованиям ФАПСИ;

· простота установки, настройки и администрирования;

· современная элементная база, обеспечивающая высокую надежность и долговечность;

· возможность установки в любой IBM-совместимый персональный компьютер, имеющий свободный разъем стандарта PCI.

4. Программно-аппаратные комплексы «Страж NT» (разработчик «Лаборатория испытаний средств и систем информатизации»).

Система ЗИ от НСД «Страж NT 2.0» предназначена для комплексной и многофункциональной защиты информационных ресурсов от НСД при работе в многопользовательских АС на базе ПЭВМ. Система ЗИ от НСД «Страж NТ 2.0» функционирует в среде ОС Windows NT 4.0/2000/XP и устанавливается как на АРМ, так и на рабочих станциях и файл-серверах ЛВС.

Основные функциональные возможности системы ЗИ от НСД «Страж NT 2.0»:

· вход в систему пользователей только при предъявлении ими специального TM-идентификатора и ввода пароля;

· избирательное разграничение доступа пользователей к защищаемым ресурсам (дискам, каталогам, файлам и др.);

· разграничение доступа пользователей к информации различных уровней конфиденциальности в соответствии с имеющимися у них допусками;

· возможность изменения наименований меток конфиденциальности;

· управление запуском и поддержка мандатного принципа контроля доступа для DOS-приложений и консольных приложений Win32;

· управление и настройка механизмов защиты как локально, так и удаленно;

· упрощенная схема настройки программных средств для работы с защищаемыми ресурсами;

· регистрация событий безопасности, ведение дополнительных журналов аудита;

· создание замкнутой программной среды пользователя, позволяющей ему запуск только разрешенных приложений;

· контроль целостности защищаемых ресурсов, обеспечивающий защиту от несанкционированного внесения изменений в программную среду АС;

· гарантированная очистка содержимого защищаемых файлов на локальных жестких дисках после их удаления;

· возможность запуска хранителя экрана, блокировка рабочей станции при удалении USB-ключа или при предъявлении TM-идентификатора;

· создание и удаление пользователей, добавление и удаление их из группы;

· наличие средств тестирования работоспособности системы ЗИ;

· возможность применения шаблонов настроек программных средств.

Преимущества системы ЗИ от НСД «Страж NT 2.0»:

· простота и понятность процессов установки и настройки системы;

· независимость от типа файловой системы;

· полная прозрачность для пользователя, недоступные пользователю ресурсы становятся невидимыми;

· возможность одновременной работы с документами разных уровней конфиденциальности;

· гибкая настройка сложных программных комплексов;

· многоуровневый контроль целостности и автоматическое восстановление системы защиты при сбоях;

· автоматическая очистка содержимого защищаемых файлов при удалении;

· отсутствие аппаратной составляющей, что исключает необходимость проведения специальных исследований и проверок после установки средств защиты на ПЭВМ, а также дает возможность применения на ноутбуках.

Класс защищенности системы ЗИ от НСД - 3 в соответствии с РД Гостехкомиссии РФ «Средства ВТ. ЗИ от НСД к информации. Показатели защищенности от НСД к информации».

Класс защищенности для АС - 1Б в соответствии с РД Гостехкомиссии «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ».

АС ОИ должна обеспечивать ЗИ от НСД по классу «1Г» в соответствии с РД Гостехкомиссии РФ «РД. АС. Защита от НСД к информации. Классификация АС и требования по ЗИ».

После исследования программно-аппаратных комплексов ЗИ от НСД решено было выбрать комплекс «Secret Net 4.0» совместно с сетевой картой стандарта PCI с установленным Secret Net ROM BIOS. Данный комплекс устанавливается на ПЭВМ, обрабатывающие конфиденциальную информацию. Система «Secret Net 4.0» соответствует 3 классу защищенности системы ЗИ от НСД в соответствии с РД Гостехкомиссии РФ «Средства ВТ. ЗИ от НСД к информации. Показатели защищенности от НСД к информации» и классу 1Б в соответствии с РД Гостехкомиссии «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ».

3.2 ИССЛЕДОВАНИЕ РЫНКА И ВЫБОР СКЗИ

Все приведенные СКЗИ являются продуктами, получившие сертификат на соответствие определенному классу защищенности.

1. СКЗИ «Криптон » (разработчик ООО «Анкад»).

СКЗИ «Криптон» имеет сертификат ФАПСИ, который удостоверяет, что СКЗИ «Crypton ArcMail» соответствует ФАПСИ к стойкости СКЗИ и может использоваться для выработки ключей шифрования и ЭЦП, имитозащиты ключевых данных, шифрования и ЭЦП информации, не содержащей сведений, составляющих государственную тайну.

СКЗИ представляет собой целый комплекс программ, каждая из которых выполняет свои четко определенные функции. СКЗИ имеет в своем арсенале следующие основные возможности:

· установление авторства документов (путем подписывания электронных документов ЭЦП);

· проверка целостности документов;

· сжатие документов (специальные алгоритмы сжатия - шифрования файлов);

· конфиденциальность документов (специальные алгоритмы шифрования - архивации файлов);

· уничтожение файлов без возможности их восстановления.

СКЗИ «Криптон» состоит из следующих компонентов:

· «Crypton Emulator»;

· «Crypton API»;

· «Crypton ArcMail»;

· «Криптон-Шифрование»;

· «Криптон-Подпись».

Пакет программ «Crypton Emulator» обеспечивает программную эмуляцию функций шифрования УКЗД серии «Криптон» в ОС Windows-95/98/NT 4.0. Эмулятор обеспечивает шифрование по алгоритму ГОСТ 28147-89, по функциям шифрования эмулятор полностью совместим с УКЗД серии «Криптон».

Пакет программ «Crypton API» реализует программный интерфейс между УКЗД серии «Криптон» или его программным эмулятором Crypton Emulator и прикладными программами Win32 в ОС Windows 95/98/ME/2000/ NT 4.0.

Пакет программ «Crypton API» необходим для работы приложений Win32, использующих УКЗД серии «Криптон» или «Crypton Emulator», а также приложений DOS, использующих устройства «Криптон» или Crypton Emulator в среде Windows.

Для облегчения встраивания эмулятора может дополнительно поставляться ПО «Crypton DK». ПО представляет собой библиотеку прототипов cryptlib.lib и заголовочный файл cryptlib.h, содержащий объявления функций «Crypton API» и описания используемых структур данных. Библиотека «Crypton DK» защищена от копирования путем привязки к серийному номеру шифратора: УКЗД «Криптон» или эмулятора. Защита от копирования реализована в библиотеке crdk11.dll. Данная библиотека должна находиться в каталоге, входящем в стандартный путь поиска динамических библиотек.

Комплекс «Crypton ArcMail» обеспечивает конфиденциальность, проверку авторства и целостности файлов, каталогов и областей памяти. «Crypton ArcMail» в едином сервисе предоставляет функции архивирования, ЭЦП и шифрования. Crypton ArcMail создает подписанный или зашифрованный архив, который можно отправлять адресатам по открытым каналам связи, в том числе по сети Internet.

«Crypton ArcMail» предназначается для защиты от НСД к документам-файлам, передаваемым по электронной почте в глобальных и ЛВС. «Crypton ArcMail» предназначается для защиты от НСД к документам-файлам, передаваемым по электронной почте в глобальных и ЛВС. Он обеспечивает:

· сжатие документов;

· проверку целостности документов;

· конфиденциальность документов;

· установление лица, отправившего документ по почте.

Для штатной работы с программами комплекса «Crypton ArcMail» каждый пользователь снабжается парой ключей - секретным и открытым. Все действия программ комплекса «Crypton ArcMail» протоколируются в специальном журнале, который можно просмотреть с помощью программы «Менеджер журнала операций».

Комплекс «Криптон-Шифрование» позволяет шифровать файлы, обеспечивая их конфиденциальность. Зашифрованную информацию можно хранить на любых носителях (в том числе дисках ПЭВМ), передавать по сети Internet и другим открытым каналам связи, не опасаясь, что с содержимым зашифрованных файлов ознакомятся посторонние.

Компонент позволяет шифровать файлы, что обеспечивает их конфиденциальность. Зашифрованную информацию можно хранить на обычных носителях, передавать по глобальным и другим открытым каналам связи, при этом можно не опасаться, что данная информация может быть прочитана или распознана злоумышленниками или просто посторонними лицами. При шифровании используется алгоритм шифрования ГОСТ 28147-89 с длиной ключа 256 бит, применяется трехуровневая иерархия ключей, симметричная схема управления ключами. Если говорить о минимальной длине пароля, то она составляет 4 символа.

Одним из существенных плюсов данного компонента является то, что благодаря специальным утилитам командной строки имеется возможность встраивания функции шифрования в ПО пользователя.

Существует также специальный мастер ключей шифрования, который позволяет осуществлять генерацию ключей и управление ими. Нельзя не отметить также то, что продукт обеспечивает интерактивную обработку файлов.

Комплекс «Криптон-Подпись» реализует функции ЭЦП, обеспечивая проверку авторства и целостности файлов. ЭЦП служит аналогом подписи ответственного лица и печати организации; один и тот же файл может быть подписан несколько раз (бухгалтером, главбухом, директором).

Компонент обеспечивает все операции с ЭЦП, обеспечивая проверку авторства и целостности файлов. ЭЦП служит аналогом подписи ответственного лица и печати организации; один и тот же файл может быть подписан несколько раз (бухгалтером, главбухом, директором и т.д.).

Аналогично предыдущему компоненту существуют мастер ключей подписи, который выполняет функции создания и генерации ключей, также возможность интерактивной обработки файлов в проводнике (простановка подписи, проверка, удаление) и, наконец, возможность встраивания функций электронной цифровой подписи в ПО пользователя.

СКЗИ соответствует классу защищенности АС 1А.

2. «Верба-OW» (разработчик: ЗАО МО ПНИЭИ).

СКЗИ «Верба-ОW» предназначена для защиты конфиденциальной информации, не являющейся государственной тайной, и разработана для решения задач обеспечения безопасности национальных информационных ресурсов. СКЗИ «Верба-OW» имеет сертификат ФАПСИ, который удостоверяет, что данное СКЗИ соответствует требованиям ФАПСИ к стойкости СКЗИ и может использоваться для выработки и проверки ЭЦП, шифрования, и имитозащиты информации, не содержащей сведений, составляющих государственную тайну.

Программа fcolseow.exe входит в состав ППО СКЗИ «Верба-OW» и функционирует в ОС Windows 95/98/NT. Пакет ПО СКЗИ «Верба-ОW» предоставляют пользователю следующие дополнительные возможности:

· файл может быть подписан 1-255 корреспондентами;

· файл может быть зашифрован нескольким корреспондентам одновременно;

· пользователь (администратор) может корректировать справочники открытых ключей шифрования и подписи.

Развитая система контроля шифратора и обработка ошибочных ситуаций обеспечивают надежную работу библиотеки и анализ неисправностей.

СКЗИ включает в себя ряд пакетов необходимых для функционирования комплекса.

Файловый криптоменеджер представляет собой приложение Win32 API, позволяющее криптографическими методами решать задачи защиты ЗИ при ее хранении и передаче по каналам связи. На уровне файлов файлового криптоменеджера выполняет следующие функции:

· шифрование/расшифрование информации на ключе, включая имитозащиту (имитозащита обеспечивает защиту информации от случайных или преднамеренных искажений);

· формирование/проверка ЭЦП.

Также предусмотрены дополнительные возможности:

· выполнения перечисленных функций над данными, помещенными в буфер «ClipBoard»;

· хеширование информации;

· сравнение вычисленных и контрольных значений хэш-функции используется для контроля целостности информации;

· шифрование/расшифрование информации на пароле.

Ключевая система алгоритмов шифрования и ЭЦП, используемых в файловом криптоменеджере, построена по принципу открытого распределения ключей. В соответствии с этим принципом, отправитель шифрует сообщение на открытом ключе получателя, а расшифровать сообщение может только получатель с использованием своего закрытого (секретного) ключа. Для ЭЦП принцип открытого распределения ключей означает, что сообщение подписывается на секретном ключе отправителя, а проверка подписи производится на его открытом ключе. В качестве ключевых носителей могут использоваться дискеты, электронные идентификаторы и др.

Криптографические алгоритмы соответствуют требованиям отечественных стандартов по ЗИ:

· ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»;

· ГОСТ Р 34.10-94 «Информационная технология. Криптографическая ЗИ. Система ЭЦП на базе асимметричного криптографического алгоритма»;

· ГОСТ Р 34.11-94 «Информационная технология. Криптографическая ЗИ. Функция хеширования».

Утилиты командной строки предназначены для выполнения стандартных функций «Верба-OW» при помощи командной строки, при этом возможно встраивания специальных меню в стандартные приложения для вызова функций «Верба-OW», что облегчает работу со средством криптографической защиты информации обычному пользователю.

СКЗИ соответствует классу защищенности АС 1А.

3. «Крипто-Про 2.0» (разработчик: ООО «Крипто-Про»).

СКЗИ «Крипто-Про» имеет сертификат ФАПСИ, который удостоверяет, что данное СКЗИ соответствует ФАПСИ к стойкости СКЗИ и может использоваться для выработки и проверки ЭЦП и шифрования информации, не содержащей сведений, составляющих государственную тайну.

ПО СКЗИ «Крипто-Про CSP» состоит из следующих компонент:

· сервисные модули;

· модули настройки встроенного ПКЗИ ОС Windows;

· криптопровайдер «Крипто-Про CSP»;

· СКЗИ «Крипто-Про CSP»

Сервисные модули обеспечивают контроль целостности дистрибутива «Крипто-Про CSP», его установку и удаление из ОС, а также конфигурацию параметров для каждого пользователя.

Модуль контроля целостности дистрибутива cpverify.exe предназначен для контроля целостности дистрибутива при установке ПО «Крипто-Про CSP» на ПЭВМ и поставляется совместно с дистрибутивом. Целостность ПО «Крипто-Про CSP», установленного на компьютере, может осуществляется средствами Microsoft Authenticode.

Дистрибутив - файл cpcsp.exe построен с помощью InstallShield и представляет собой исполняемый модуль, который разворачивает структуры данных дистрибутива во временный каталог и проводит установку ПО «Крипто-Про CSP».

Модуль конфигурации cpconfig.cpl обеспечивает возможность управления пользователем конфигурацией ПО «Крипто-Про CSP», а также содержит возможности регистрации установленного ПО и получения пользователем дополнительной информации.

Модули настройки встроенного ПКЗИ ОС Windows предназначены для обеспечения использования ПО «Крипто-Про CSP» в ПКЗИ ОС Windows. Модули также реализуют форматы криптографических сообщений, используемых в защищенной электронной почте и функциях CryptoAPI, форматы сертификатов и их обработку.

Модули настройки классифицируются как ПКЗИ и ответственны за использование криптопровайдера «КриптоПро CSP» со стороны приложений. Они обеспечивают вызов сервиса криптографических функций, но не обрабатывают ключевую и криптографически опасную информацию (не имеют доступа к ключам).

Состав модулей настройки встроенного ПКЗИ ОС Microsoft Windows:

· модуль расширения и настройки CryptoAPI;

· модули инициализации настройки встроенного ПКЗИ ОС Windows;

· модуль настройки системных библиотек ОС Windows.

Модуль расширения и настройки CryptoAPI cpext.dll является зарегистрированной в системном реестре Windows динамической библиотекой и обеспечивает:

· установку соответствия между идентификаторами объектов в криптографических сообщениях и сертификатах открытых ключей и функциями «КриптоПро CSP»;

· формирование и разбор криптографических сообщений и сертификатов открытых ключей.

Модуль инициализации для ОС Windows NT/2000 cpinit.exe реализован в виде системного сервиса. Он обеспечивает загрузку определенных динамических библиотек в адресное пространство каждого процесса. Дополнительно этот модуль осуществляет контроль целостности установленного ПО «Крипто-Про CSP» (периодический и при загрузке ОС).

Модуль инициализации системных модулей для Windows 9x cpload.exe реализован в виде сервиса. Модуль загружает динамические библиотеки настройки для системного разделяемого advapi32.dll и держит его загруженным до окончания работы системы. Сервис не останавливается при смене пользователя. Дополнительно этот модуль осуществляет контроль целостности установленного ПО «Крипто-Про CSP» (периодический и при загрузке ОС).

Модуль инициализации разделяемых модулей для Windows 9x cpshar.dll загружается модулем (сервисом) инициализации в разделяемое каждым процессом пространство и держится все время загруженным. Модуль устанавливает настройки на разделяемые модули, загруженные по адресам. Совпадает с cpadvai.dll, но имеет другой базовый адрес.

Модуль настройки для системного разделяемого advapi32.dll осуществляет загрузку DLL в пользовательское виртуальное адресное пространство каждого процесса для установления перехватов функций из advapi32.dll. Настройка заключается в проверке целостности криптопровайдера «Крипто-Про CSP» с использованием хэш-функции ГОСТ Р 34.11-94, а других криптопровайдеров с использованием стандартных средств ОС Windows, при использовании их из ПКЗИ Windows.

Интерфейсная библиотека криптопровайдера «Крипто-Про CSP» cpcsp.dll реализует стандартный интерфейс криптопровайдера, соответствующий спецификации Microsoft Cryptographic Service Provider, и обеспечивает данный интерфейс для обычных приложений через криптографический сервис по RPC, или для привилегированных приложений (имеющих право доступа к устройствам носителей ключевого контейнера) непосредственно.

Интерфейсная библиотека криптографического сервиса (RPC) cpcspr.dll обеспечивает возможность обращения обычных приложений к сервису криптографических функций по протоколу RPC.

СКЗИ «Крипто-Про CSP» реализует целевые функции криптографической ЗИ, работу с ключами, доступ к ключевым носителям, доступ к физическим ДСЧ, реализует биологический ДСЧ.

Модуль cprmcsp.exe реализует целевые функции криптографической ЗИ при обращении по RPC с локального ПЭВМ для интерфейсной библиотеки криптографического сервиса.

Модуль обеспечивает:

· хранение и работу с контекстом уровня библиотеки;

· выполнение криптографических преобразований

· хранение криптографических объектов:

Ш ключевых пар (постоянных и временных);

Ш открытых ключей (временных);

Ш ключей сессий (временных симметричных);

Ш хэш объекты.

Модуль сprmcs95.exe реализует целевые функции криптографической ЗИ при обращении по RPC с локального ПЭВМ для интерфейсной библиотеки криптографического сервиса.

Интерфейс cpcspi.dll реализует целевые функции криптографической ЗИ для интерфейсной библиотеки криптопровайдера в варианте функционирования ПО «Крипто-Про CSP» без использования интерфейса криптографического сервиса. Интерфейс доступа к ключевым носителям библиотека cprdr.dll обеспечивает унифицированный интерфейс доступа к ключевым носителям вне зависимости от их типа.

Библиотека поддержки доступа к ключевым носителям cpsuprt.dll обеспечивает реализацию общих функций доступа к различным устройствам хранения ключевых носителей. Интерфейс доступа к биологическому и физическим ДСЧ библиотека cprndm.dll обеспечивает унифицированный интерфейс доступа к физическому или биологическому ДСЧ.

СКЗИ «Крипто-Про CSP» является системой с открытым распределением ключей. Открытые ключи подписи и шифрования обычно представляются в виде сертификатов открытых ключей.

В СКЗИ «Крипто-Про CSP» секретный ключ подписи может быть использован только для формирования ЭЦП. Секретный ключ шифрования может быть использован как для формирования ключа связи с другим пользователем, так и для формирования ЭЦП.

При работе с СКЗИ каждый пользователь, обладающий правом подписи или шифрования, вырабатывает сам на рабочем месте или получает от администратора безопасности личные секретный и открытый ключи. На основе каждого открытого ключа третьей стороной (Центром Сертификации) формируются сертификат открытого ключа.

В СКЗИ «Крипто-Про CSP» ключ зашифрования сообщения совпадает с ключом расшифрования (общий секретный ключ связи). При зашифровании сообщения одного пользователя для другого пользователя общий секретный ключ связи вырабатывается на основе секретного ключа шифрования первого пользователя и открытого ключа шифрования второго пользователя. Соответственно, для расшифрования этого сообщения вторым пользователем формируется общий секретный ключ связи на основе своего собственного секретного ключа шифрования и открытого ключа шифрования первого пользователя. Таким образом, для обеспечения связи с другими абонентами каждому абоненту необходимо иметь:

· собственный секретный ключ шифрования;

· открытые ключи шифрования (сертификаты открытых ключей) других пользователей.

Секретный ключ подписи используется для выработки ЭЦП. При проверке подписи проверяющий должен располагать открытым ключом (сертификатом) пользователя, поставившего подпись. Проверяющий должен быть полностью уверен в подлинности открытого ключа, а именно в том, что имеющийся у него открытый ключ соответствует открытому ключу конкретного пользователя. Для этой цели используется сертификат открытого ключа, подписанный третьей доверенной стороной. Каждому пользователю, обладающему правом подписи, необходимо иметь:

· секретный ключ подписи;

· открытые ключи подписи (сертификаты открытых ключей) других пользователей.

СКЗИ соответствует классу защищенности АС 1А.

После исследования СКЗИ решено было выбрать комплекс «Крипто-Про 2.0» как решение задачи защиты содержимого конфиденциальных документов от НСД и обеспечения проверки целостности и авторства электронного документа. Кроме этого СКЗИ используется АС для подготовки и представления отчетности «Контур-Экстерн», а также средством организации виртуальных частных сетей «Континент-К».

3.3 АС ДЛЯ ПОДГОТОВКИ И ПРЕДСТАВЛЕНИЯ ОТЧЕТНОСТИ «КОНТУР-ЭКСТЕРН» (РАЗРАБОТЧИК СКБ «КОНТУР»)

Субъекты всех форм собственности и всех размеров обязаны регулярно предоставлять сведения о своей деятельности в различные государственные органы: налоговые инспекции, территориальные управления Пенсионного фонда и Фонда социального страхования, отделения Росстата, территориальные органы Министерства финансов, Фонда медицинского страхования, Таможенного комитета, Федеральной службы финансового мониторинга и других.

В этих условиях все в меньшей степени пригодным и оправданным остается применение традиционной схемы ведения документооборота - на бумажных носителях. Канал передачи данных, состоящий из человека со стопкой бумаг, не соответствует состоянию информационных систем, находящихся на концах этого информационного канала и ограничивает их применение. Использование устаревших технологий передачи данных делает невозможным полноценное и качественное использование современных информационных технологий, требует огромных человеческих и финансовых ресурсов.

На сегодняшний день система «Контур-Экстерн» является лидером отечественного рынка услуг передачи налоговой и бухгалтерской отчетности через Internet.

Особенностями системы «Контур-Экстерн» являются:

· последовательная реализация концепции «тонкого клиента» - все изменяемые компоненты ПО системы хранятся и настраиваются на сервере оператора, доступ к которому осуществляется через веб-интерфейс;

· гибкость и настраиваемость;

· ориентированность на бухгалтера.

Реализация всей работы пользователя через веб-интерфейс на сервере системы позволяет полностью избавиться от необходимости обновления клиентского ПО при изменениях в законодательстве, кардинально снижая, тем самым, себестоимость технической поддержки системы. Благодаря этому, операторам, эксплуатирующим технологию «Контур-Экстерн», удается поддерживать наиболее конкурентоспособную стоимость услуг для конечных пользователей.

Система полностью соответствует действующему законодательству, и максимально автоматизирует всю работу пользователей, связанную с отработкой установленных протоколов и регламентов информационного взаимодействия. «Контур-Экстерн» защищена авторскими свидетельствами № 2004611946 и № 2004611947 от 23.08.2004 г. и патентом № 43983 «АС для подготовки и представления отчетности» от 10.02.2005 г.

Технологическое ядро системы «Контур-Экстерн», спроектированное и развитое для решения задачи организации защищенного ЭД, представляет собой гибкую и масштабируемую программную архитектуру, которая может быть использована в решении достаточно широкого класса задач передачи и обработки форматированных данных.

Три функциональных слоя системы «Контур-Экстерн» - телекоммуникационный, криптографический и прикладной конфигурируются независимо друг от друга. Это значит, что с использованием системы «Контур-Экстерн» можно решать общую задачу защищенного ЭД - передавать формализованные данные любого характера по произвольным цепочкам и протоколам обмена документами и в любой криптографической среде.

Компоненты системы:

· сервер оператора;

· АРМ оператора;

· контролирующий орган, подключенный к системе.

Основную функциональность системы «Контур-Экстерн» обеспечивает ее главный компонент - сервер оператора, на котором обрабатываются все информационные потоки между участниками документооборота. Сервер оператора исполняет роль единого шлюза между информационно-телекоммуникационными системами абонентов и контролирующих органов. На сервере оператора размещается все изменяемое ПО.

На сервере оператора осуществляется также резервное копирование всех обращающихся в системе документов, хранятся рабочие базы абонентов системы. Там же конфигурируются права доступа к системе, настраиваются режимы работы системе, производятся обновления всего ПО.

Рабочее место абонента системы используется для доступа к серверу системы через веб-интерфейс. Комплект клиентского ПО состоит из Internet-браузера и СКЗИ. В окне браузера абонент системы осуществляет работу с ПО сервера системы, подготавливая, проверяя, отправляя и получая электронные документы.

Контролирующий орган, подключенный к системе «Контур-Экстерн», использует в своей работе телекоммуникационный модуль и специализированный АРМ «Прием». Этот программный продукт, в который интегрировано СКЗИ, обеспечивает автоматическое исполнение криптографических операций, поддерживает электронный архив контролирующего органа и предоставляет специалисту контролирующего органа возможности для работы с этим архивом, автоматически формирует квитанции о приеме документов от абонента, дает возможность создавать электронные документы и передавать их абонентам.

Основой криптографической инфраструктуры системы «Контур-Экстерн» является Удостоверяющий Центр. В соответствии с ФЗ «Об ЭЦП», Удостоверяющий Центр осуществляет сертификацию открытых ключей ЭЦП участников документооборота. Сертификат ключа подписи используется для подтверждения подлинности ЭЦП и идентификации владельца сертификата ключа подписи.

Особое внимание разработчики системы «Контур-Экстерн» обращают на обеспечение ЗИ в процессе эксплуатации системы. Благодаря применению сертифицированного СКЗИ решаются задача защиты содержимого конфиденциальных документов от НСД, задача обеспечения проверки целостности и авторства электронного документа. В настоящее время этот интерфейс системы «Контур-Экстерн» поддерживает работу с сертифицированным СКЗИ «Крипто-Про CSP 2.0». При этом возможна работа различных модулей системы на различных криптографических ядрах.

Подавляющее большинство абонентов системы «Контур-Экстерн» в настоящее время применяет СКЗИ «Крипто-Про CSP 2.0» являющееся лидером отечественного рынка СКЗИ, не содержащей сведений, составляющих государственную тайну.

Абонент системы «Контур-Экстерн» может использовать дополнительные средства защиты ключевой информации (электронные USB-брелки eToken или ruToken), системы защиты рабочего места и им подобные: повышая защищенность пользователя, любые такие средства не мешают штатному функционированию системы.

Вектор развития системы «Контур-Экстерн» нацелен на создание полноценной системы «единого окна» документооборота субъектов и государственных органов. Под системой «единого окна» разработчики понимают информационно-телекоммуникационную инфраструктуру, обеспечивающую взаимодействие хозяйствующего субъекта с любым государственным органом, вне зависимости от местонахождения этих участников документооборота, с использованием единообразных стандартов и процедур взаимодействия, единых средств ЗИ и ключей ЭЦП.

В системе «Контур-Экстерн» выполнены три основные предпосылки для создания реально работающей инфраструктуры «единого окна»:

1. В чистом виде реализован шлюзовый интерфейс абонента с внешним миром через сервер системы. Это значит, что технологически полностью исключено непосредственное общение абонентов друг с другом. Благодаря этому, развитие системы ЭД и присоединение к ней новых участников происходит без необходимости настройки или изменения ПО у ранее подключенных абонентов.

2. Поддерживается возможность использования различных СКЗИ участниками документооборота. Это позволяет учитывать сложившиеся предпочтения тех или иных государственных органов по использованию СКЗИ, и при этом оставлять абонентам свободный выбор при приобретении криптографического средства для работы в системе. Абоненту достаточно иметь один экземпляр СКЗИ, и один набор криптографических ключей.

3. Реализована автоматизированная подсистема «роуминга», предусматривающая определение адресата сообщения и передачу сообщения по цепочке взаимодействующих серверов. Таким образом, обмениваясь данными только с ближайшим сервером системы «Контур-Экстерн», каждый абонент получает возможность отправлять и принимать электронные документы по любым направлениям, взаимодействуя с любым из других участников документооборота.

Схема документооборота представлена на рис. 3.1.



Рис. 3.1 Схема документооборота

На сегодняшний день существует три варианта представления отчетности в государственные контролирующие органы - в бумажном виде, на электронных носителях с дублированием на бумаге и по телекоммуникационным каналам связи.

Использование современных технических решений предполагает существенную экономию рабочего времени бухгалтера, поскольку отправка отчетности происходит непосредственно с рабочего места, и не требует дублирования на бумаге. Эта возможность закреплена законодательно с 2002 г. и обеспечивается использованием ЭЦП, которая является аналогом собственноручной.

После формирования и отправки отчетности налогоплательщику приходит подтверждение получения отчетности инспекцией, которое имеет юридическую силу, и время получения которого является временем сдачи отчетности.

Представление отчетности в электронном виде предполагает защищенный документооборот: вся передаваемая информация защищена от НСД путем использования сертифицированных СКЗИ. Современные алгоритмы шифрования позволяют обеспечить целостность информации, передаваемой по каналам связи. Кроме того, вся передаваемая отчетность протоколируется на сервере системы, что предполагает защиту отчетности от потери.

Использование телекоммуникационных каналов связи повышает эффективность обработки информации в налоговой инспекции: отчетность проходит входной контроль и разносится по счетам в информационной базе.

Система «Контур-Экстерн» позволяет субъектам осуществлять обмен юридически значимыми электронными документами с государственными контролирующими органами по сети Internet. Система сертифицирована ГНИВЦ МНС России на соответствие приказам МНС России № БГ-3-32/169 и № БГ-3-32/705, отмечена дипломом в номинации «Технология года» всероссийской конференции по ИБ «Инфофорум».

Технологически Система «Контур-Экстерн» представляет собой полное соответствие всем современным принципам организации систем налоговой и бухгалтерской отчетности через Internet: выгрузка данных из бухгалтерских программ, автоматическое проставление реквизитов налогоплательщика плюс выходной контроль отчетности на предмет соответствия актуальной на момент сдачи форме.

Подготовка отчета, его подписание, шифрование и отправка в системе происходят фактически с сервера спецоператора, что обеспечивает почти мгновенное формирование подтверждения отправки отчетности. Еще одним принципиальным моментом является то, что пользователю нет необходимости самому следить и устанавливать обновления форм на свою ПЭВМ. Доступ на сервер спецоператора обеспечивается единовременной установкой ПО на АРМ и действующими лицензией на СКЗИ «Крипто-Про» и сертификатом ключа ЭЦП.

Только абоненты системы «Контур-Экстерн» имеют возможность сдавать отчетность практически во все регионы страны с одного АРМ и всегда получают техническую поддержку до 24 ч. последнего дня отчетного периода.

«Контур-Экстерн» предоставляет налогоплательщикам также дополнительные сервисы ЭД с налоговыми инспекциями. Среди них - получение информационной выписки о выполнении обязательств перед бюджетами разных уровней (распечатки по налогам), которая также передается по каналам связи. Отчитавшись в налоговую инспекцию хотя бы раз, абонент становится включенным в информационную рассылку и начинает получать общедоступную информацию от налоговых органов об изменении бюджетных счетов, налогового законодательства и иных нормативных актов.

3.4 ИССЛЕДОВАНИЕ РЫНКА И ВЫБОР СРЕДСТВ ЭЛЕКТРОННОЙ ПОЧТЫ

1. Электронная почта «IBM Lotus Domino/Notes 6.0» (разработчик «IBM»).

Средства безопасности «Lotus Notes 6.0» позволяют обеспечить постоянную защиту рабочей области и данных, чтобы доступ к данным пользователя имели только он сам и назначенные им лица.

Средства безопасности данных включают использование единого пароля для Notes и Windows или доступа к серверу Domino через Internet, отказ от запроса пароля Notes в программах на основе Notes, а также проверку и запрос изменений настройки парольной защиты, установленной администратором. Для входа в Notes можно также использовать смарт-карту, сохраняя на ней личные ключи для работы с Internet.

Шифрование почты с помощью сертификатов Notes и Internet позволяет исключить прочтения сторонними лицами сообщений даже в случае их перехвата. Использование ЭЦП гарантирует авторство отправителя. Notes позволяет установить режим, при котором на локальном ПЭВМ выполняется шифрование всех новых реплик созданных баз данных. Более того, можно зашифровывать отдельные документы, чтобы их могли просматривать только те лица, которым отправлен ключ.

С использованием криптографических и других методов защиты «Lotus Notes» обеспечивает четыре уровня защиты данных:

· Аутентификация. Аутентификация в Notes является двунаправленной, то есть серверы проводят аутентификацию пользователей, а пользователи, в свою очередь, аутентификацию серверов. Аутентификация применяется при каждом связывании пользователя с сервером или двух серверов друг с другом.

· Управление доступом. В списках управления доступом определяется, кто имеет доступ к каждому из ресурсов и какими правами по их использованию он обладает. Ресурсы в списках управления доступом включают в себя серверы, отдельные базы данных, документы и поля в документах. Списки управления доступом в Notes включают в себя следующие уровни:

Ш хранитель (depositor) - имеет право только записывать информацию в базу данных. Их применение полезно для баз данных, информация в которые заносится с помощью электронной почты;

Ш читатель (reader) - может только читать документы из базы данных;

Ш автор (author) - может создавать в базе данных новые документы и читать уже имеющиеся там, но не могут модифицировать документы в базе данных;

Ш редактор (editor) - может читать, записывать и модифицировать документы в базе данных;

Ш дизайнер (designer) - имеет право обновлять или изменять схему построения базы данных;

Ш менеджер (manager) - является владельцем базы данных и может добавлять или удалять других пользователей из списка управления доступом.

· Шифрование на уровне полей. Используется при необходимости коллективно использовать информацию из одного поля документа с другим пользователем, обеспечив при этом защиту этого поля для доступа другими пользователями. Шифрование включает в себя зашифровку или кодирование информации, так что даже если к ней получит доступ неуполномоченное лицо, то понять содержимое будет невозможно. В Notes имеется четыре уровня шифрования:

Ш уровень сообщений - отдельные сообщения могут быть зашифрованы для одного или нескольких выбранных получателей;

Ш сетевой уровень - шифрование не позволяет кому-либо беспорядочно «прослушивать» или вклиниваться в трафик ЛВС или телефонной линии, так как его содержимое не будет иметь какого-либо смысла для нарушителя;

Ш уровень поля - базы данных могут быть настроены таким образом, чтобы определенные поля документов шифровались, и только указанные пользователи могли бы читать их;

Ш уровень базы данных - шифрование защищает хранящиеся на локальном диске базы данных от доступа кем-либо за исключением пользователей, знающих идентификатор и пароль, использованные при шифровании.

· ЭЦП. Пользователям часто необходимо удостовериться, что полученная ими информация действительно была послана отправителем, указанным в документе. ЭЦП позволяет предоставить для сообщений такую гарантию. Она представляют собой вариант взаимной аутентификации пользователей. Кроме того, данная технология позволяет компьютеру заверять сообщения, предоставляя получателю гарантию, что сообщение не было подделано или исправлено в процессе передачи.

Главные особенности «IBM Lotus Domino 6.0» для сервера Novell Netware 5.0:

· Благодаря укреплению надежности и усилению безопасности, помогает повысить доступность вашей системы.

· Сберегает время, позволяя централизованно обновлять клиентскую среду, что сокращает необходимые для этого усилия.

· Упрощает администрирование и сберегает время, позволяя централизованно управлять настройками для индивидуальных пользователей, групп или даже для всего ОИ.

· Благодаря усовершенствованиям в кластеризации, в механизме языка formula, в полнотекстовом поиске, в сетевой компрессии данных и в процессе репликации, способствует большей продуктивности и лучшей связи пользователей.

· Обеспечивает взаимодействие с имеющимися у заказчика серверами приложений, такими, как Domino R5, Sametime 3, QuickPlace 3, Microsoft Exchange и WebSphere Application Server.

· Централизует ресурсы каталогов, способствуя лучшей управляемости при меньших издержках.

· Снижает затраты и облегчает администрирование за счет поддержки множества организаций и языков на одном сервере Domino.

· Благодаря усовершенствованиям, которые предоставляют лучшие возможности сбора данных и обеспечивают более быстрый перезапуск сервера, помогает повысить полезное время работы системы.

Главные особенности «IBM Lotus Notes 6.0» для рабочих станций Windows 2000/XP:

· Объединяет наиболее ценные ресурсы по управлению обменом сообщениями, совместной работой и персональной информацией (PIM) (в частности, электронную почту, календарь, список планируемых дел) давая пользователям возможность обращаться к ним в интерактивном и в автономном режимах.

· Включает сотни усовершенствований для упрощения работы, в том числе фоновую обработку прикрепленных файлов, многопользовательскую поддержку и возможность настройки.

· Предлагает наиболее функциональные в отрасли решения календаря и планирования, которые предоставляют пользователям удобные возможности сотрудничества и планирования контактов с коллегами во всем мире.

· Помогает снизить общую стоимость владения за счет минимального обучения, повышения продуктивности работы конечных пользователей и встроенных функциональных возможностей управления и администрирования.

2. Microsoft Exchange Server (разработчик «Microsoft»).

Exchange Server построен по модульному принципу, что позволяет добавлять новые функции по мере необходимости. Он состоит из набора базовых и дополнительных компонент.

Exchange Server использует архитектуру клиент-сервер. Для доступа к своим почтовым ящикам пользователи могут использовать разнообразные протоколы, включая RPC, РОРЗ и HTTP. Для доступа к общим папкам могут использоваться RPC, HTTP и NNTP. Поиск информации в каталоге может быть выполнен с использованием RPC, HTTP и LDAP.

Перечислим некоторые из возможностей сервера Exchange Server:

· реализация на основе технологии клиент-сервер;

· поддержка каталога организации, совместимого со стандартом Х.500;

· внутренняя адресация на основе протокола Х.400;

· поддержка множественного пространства имен;

· централизованное управление, гибкая система квот на использование ресурсов системы;

· поддержка транзакций на уровне информационного хранилища;

· поддержка распределенного резервного копирования без прекращения работы сервера;

· хранение единственной копии сообщения на сервер;

· гибкая система делегирования прав доступа;

· ЭЦП и шифрование информации, возможность восстановления секретного ключа;

· поддержка общих папок, дискуссий и досок объявлений;

· мощная система репликации информации и синхронизации каталога;

· поддержка двунаправленной репликации общих папок между серверами Exchange службой новостей USENET;

· мощная система трассировки сообщений, протоколирования событий и мониторинга состояния системы;

· мощная система маршрутизации сообщений;

· шлюзы в другие почтовые системы, такие как MS Mail, cc:Mail, SMTP и Х.400;

· поддержка клиентских протоколов доступа РОРЗ, HTTP, LDAP и NNTP;

· использование формата Unicode и OLE2 для хранения сообщений и расширенного формата RTF для передачи сообщений;

· одновременная поддержка любого количества национальных языков и наличие полностью локализованных клиентов;

· поддержка форматов MIME и UUENCODE и наличие широкого набора трансляторов кодовых страниц для национальных языков, включая русский;

· правила обработки сообщений, исполняющиеся на сервере, возможность назначения правил на общие папки;

· поддержка универсального почтового ящика на клиенте, протоколов MAPI 1.0 и OLE2;

· возможность автоматической миграции почтовых отделений MS Mail, Lotus cc:Mail, DEC All-In-One, IBM PROFS, Novell GroupWise и создания ящиков для списков пользователей доменов NT и серверов Netware;

· поддержка группового планирования;

· поддержка каталога электронных форм организации, средства их разработки;

· поддержка технологии Active Server Pages, интеграция с Internet Information Server 3.0;

· улучшенный клиент Outlook, имеющий встроенные средства разработки на языке VBScript;

· поддержка широкого спектра сетевых протоколов и клиентских операционных систем.

Exchange Server позволяет использовать разнообразные средства, чтобы сохранить неприкосновенной важную информацию. Среди них:

· подтверждение прав пользователя на доступ к серверу, выполняемое средствами защиты Windows NT Server;

· проверка прав пользователя на доступ к информационным ресурсам, включая почтовые ящики, общие папки, почтовые шлюзы и т.п.;

...