поиск по сайту
Доверенный сеанс связи на службе академического процесса

Доверенный сеанс связи на службе академического процесса

А. А. Алтухов

Рассматривается способ работы по предоставлению студентам вуза безопасного удаленного доступа к информационно-техническим ресурсам в рамках академического процесса, для научно-исследова­тельской деятельности, а также удаленной работы в рамках стажировки.

В настоящее время обычным явлением становится возможность выполнять свои ра­бочие обязанности, находясь за пределами периметра компаний. Удаленный доступ к ин­фраструктуре, необходимой для выполнения своих рабочих или учебных обязанностей, яв­ляется одним из признаков общества постиндустриального, общества информационного. Данный способ работы позволяет оптимизировать некоторые возможные издержки и мак­симизировать эффективность и вместе с тем прибыль. Возможность работать из любой точки мира позволяет не выпадать из рабочего процесса во время поездок и позволяет эко­номить время на перемещение из дома до офиса. Современные технологии типа SaaS, PaaS, IaaS наряду с активно развивающимися облачными технологиями являются эффективным и экономичным решением многих задач.

Обеспечение отказоустойчивости, надежности и безопасности корпоративных ин­формационных систем является одной из важных задач. Эта задача может и сложная, но стандартная. Проблемы начинают возникать, когда подключение к информационной си­стеме осуществляется извне физического периметра. С подобной проблемой автор столк­нулся на кафедре «Защиты информации» Московского Физико-Технического Института Государственного Университет, базовое предприятие — ЗАО «ОКБ САПР».

В рамках академического процесса для освоения различных дисциплин по специ­альности, проведения лабораторных работ и ведения научно-исследовательской деятельно­сти кафедра предоставляет материально-техническое обеспечение (аппаратное и про­граммное), также обеспечивается возможность проходить стажировку на предприятии и получать реальный опыт работы в отрасли. Из соображений эффективности и экономии материально-техническое обеспечение создается на основе инфраструктуры базового предприятия. Реализация удаленного доступа в настоящий момент не является проблемой. Существует много различных технологий, в частности VPN. Именно эту технологию мы использовали для решения нашей задачи. Реальная проблема оказалась в том, как обеспе­чить безопасный доступ. В первую очередь компанию интересует именно безопасность инфраструктуры, к которой студент будет получать доступ. При проектировании решения данной проблемы рассмотрены следующие возможные риски инфраструктуры: утеря сту­дентом учетных данных для удаленного подключения; возможность осуществлять несанк­ционированные действия в инфраструктуре, как самим студентом, так и похитителем учет­ных данных; безопасный удаленный доступ к необходимым ресурсам. Для минимизации рисков, связанных с вышеприведенными угрозами, меры принимаются в разных частях информационной системы, в том числе и на стороне, предоставляющей ресурсы.

В данной работе рассматриваются лишь те меры, которые были приняты на клиент­ской стороне взаимодействия. При обеспечении безопасного клиент-серверного доступа необходимо учитывать безопасность сервера, канала связи и клиента.

Обеспечение безопасности сервера (поставщика сервисов) не является чем-то не­обычным. С защитой канала тоже проблем нет. Существует много различных технологий, которые позволяют организовать защищенный доступ к удаленным информационным ре­сурсам. С клиентами дело обстоит несколько иначе. Серьезные проблемы возникают, когда клиентские устройства осуществляют подключения к информационной системе извне пе­риметра. Здесь возникает важный и существенный вопрос, каким образом можно обеспе­чить безопасность клиента.

Концептуальное решение данной задачи уже давно известно, и один из стандартных способов организации защищенного доступа пользователей к удаленной информационной системе обеспечивается применением VPN в доверенной среде. На удаленном рабочем ме­сте должна быть обеспечена доверенная среда для организации защищенного доступа. Ор­ганизация подключения к удаленным ресурсам должна осуществляться только из доверен­ной среды. Только в этом случае мы можем гарантировать как безопасность подключения, так и невозможность получения учетных данных удаленного доступа студента злоумыш­ленником, например, с помощью трояна. В составе доверенной среды должен быть только определенный набор функций, который может быть использован удаленным пользователем при доступе к ресурсам. Естественно необходимо минимизировать затраты на данное ре­шение.

Одним из возможных способов решения — это предоставление студенту средства вычислительной техники (СВТ) с настроенной доверенной средой, реализованной функци­ей доверенной загрузки и необходимым минимальным набором программного обеспече­ния. Подобным средством может быть ноутбук. Однако это достаточно дорогое решение и для многих студентов связанно с различными ограничениями. Особенно проблемы возни­кают, если они не могут использовать данное решение для выполнения личных задач. В та­кой среде они не будут полноправными владельцами и администраторами системы. Данное решение обычно подходит тем, у кого нет своего персонального средства вычислительной техники. Также в данном подходе следует отметить наличие лишних издержек, связанных с задачей администрирования данной единицы техники.

В большинстве случаев у современных студентов есть своя ЭВМ, с которой они хо­тели бы получать доступ. На данном СВТ скорее всего нет доверенной среды. Более того, у базового предприятия нет возможности убедиться, что данная среда будет организована в момент предоставления доступа.

Следует отметить, что уже существует решение задачи организации доверенного сеанса связи (ДСС), которое используются как для решения задач клиент-банкинга и взаи­модействия с государственными услугами, так и для безопасного удаленного доступа. Для рассматриваемого в докладе вопроса парадигма ДСС применима, так как нам необходимо обеспечить доверенную вычислительную среду на определенный короткий срок для задачи доступа к удаленным ресурсам.

На базе аппаратной платформы устройства «МАРШ!» было спроектировано устройство, призванное решить поставленную проблему. Устройство состоит из аппарат­ной и программной части. Аппаратная часть обеспечивает управление доступом к памяти. С точки зрения управления доступом устройство на базе платформы «МАРШ!» представ­ляет собой память, разделенную на несколько разделов.

На проектируемом устройстве один раздел доступен только для чтения (ReadOnly), на данном разделе расположена операционная система и необходимый минимальный набор программного обеспечения для доступа к удаленным ресурсам и выполнения поставленной учебной задачи. Два раздела скрыты для пользователя и доступны лишь для программных компонент доверенной среды. Один из них доступен только для чтения (ReadOnly), в нем хранится необходимая ключевая информация и учетные данные для удаленного доступа. Обратим внимание, что пользователь не обладает данной информацией и не может исполь­зовать ее в другой среде. Второй из них, ПО доверенной среды, может переводить в состо­яние «только на добавление» (AddOnly). Этот раздел используется резидентным софтом из доверенной среды для ведения журналов событий.

В состав резидентного программного обеспечения входит операционная система, VPN, программное обеспечение для удаленного доступа. В резидентной операционной си­стеме настроено разграничение доступа. Пользователь не обладает правами администрато­ра ОС и имеет возможность выполнять только тот функционал, который необходим для решения поставленных задач и определяется базовым предприятием (владельцем удален­ной информационной системы). Перед входом в ОС происходит аутентификация пользова­теля по паролю, который передается пользователю вместе с устройством. Следует отме­тить, что способы аутентификации могут быть различны, но в конкретной реализации был выбран именно такой способ.

Данное устройство студент может использовать для создания доверенной среды в те моменты времени, когда ему необходимо поработать с предоставляемыми кафедрой ре­сурсами. Для загрузки доверенной среды он вполне может использовать свой персональ­ный компьютер, общественный компьютер в институте или компьютер своего соседа по комнате.

При этом базовое предприятие получает гарантии, что подключение к удаленным ресурсам будет происходить только из доверенной среды. Потеря учетных данных удален­ного доступа возможна только вместе с устройством.

В случае утери для доступа к резидентной операционной системе необходима аутентифицирующая информация. На случай получения данной информации злоумышлен­ником средства в доверенной среде ограничены в функциональности и не позволяют зло­умышленнику получить широкий комплекс возможностей воздействия на удаленную систему.

Таким образом, базовое предприятие может минимизировать свои риски, связанные с предоставлением ресурсов для студентов.