поиск по сайту
Хранение данных СКЗИ: ШИПКА-лайт или Секрет

Хранение данных СКЗИ: ШИПКА-лайт или Секрет

ЛАДЫНСКАЯ Ю.П., БОРИСОВА Т.М.
РОССИЯ, МОСКВА, ОКБ САПР

В настоящее время все большую актуальность обретает проблема выбора хранилища для критичной информации, генерируемой и используемой программными средствами криптографической информации (СКЗИ).

С точки зрения хранения и применения криптографических ключей в Автоматизированной системе принципиальное значение имеют 2 фактора:

  • защищенное хранение ключа (и, соответственно, носитель ключа)
  • условия доступа к ключу и работы с ним при непосредственном выполнении СКЗИ функций по обработке данных (то есть среда функционирования криптографии).

В части доступа к ключу очевидна необходимость учитывать как условия доступа пользователя (человека), так и условия доступа СКЗИ и другого системного и функционального программного обеспечения.

В части среды функционирования криптографии необходимо учитывать особенности сред и систем, в которых пользователи выполняют задачи, связанные с криптографическими преобразованиями: работа в различных ОС, загруженных на СВТ различных архитектур из различных источников различными способами — может иметь целый ряд особенностей, существенно влияющих на безопасность ключа.

Отсюда вытекают требования к защищенному ключевому носителю.

Требования к защищенному ключевому носителю

Защищенный носитель ключа в идеальном случае должен быть способен контролировать:

  • доступ к ключу через любые интерфейсы, в том числе и путем применения разрушающего программного воздействия (РПВ),
  • среду, в которой производится попытка доступа к ключу.

При этом очевидно, что в любом случае, если применяется внешнее СКЗИ, защищенный ключевой носитель не должен контролировать корректность его работы или собственно обеспечивать среду его функционирования (это функция средства доверенной загрузки).

Иными словами, задача «контроля» среды, из которой осуществляется доступ к ключу, сводится к тому, чтобы доступ к ключу предоставлялся не только исключительно легальному пользователю, но и исключительно на заданных рабочих местах (наличие «правильной» среды на которых обеспечивается в установленном в организации порядке).

Итак, защищенный ключевой носитель должен:

Основные требования

1) быть персональным устройством,

2) быть специализированным именно для хранения ключей устройством (то есть обеспечивать возможность защищенного хранения криптографических ключей с применением интерфейсов работы со смарт-картой (ccid или pkcs#11)),

3) предоставлять доступ к ключам только легальному пользователю после успешной аутентификации в устройстве,

4) предоставлять легальному пользователю доступ к ключам только на тех СВТ, на которых данному пользователю разрешено работать с данным ключевым хранилищем,

5) удовлетворять требованию патентной чистоты.

Дополнительные требования

6) предоставлять возможность защищенного с учетом основных требований хранения ключей различных СКЗИ одновременно (для минимизации количества устройств у каждого пользователя),

7) предоставлять СКЗИ интерфейс для использования встроенного ДСЧ,

8) соответствовать требованиям эргономики и дизайна, принятым в эксплуатирующей организации (цвет и размер, наличие аксессуаров, требуемых регламентом использования).

Современный рынок информационных технологий предлагает множество решений в данной области, это могут быть отчуждаемые носители информации (смарт-карты, токены, обычные флэш-накопители), среди которых есть и специализированные устройства (такие как устройства с защищенной памятью, так и флеш-накопители)[1]. Примером таких специализированных устройств может служить ПСКЗИ ШИПКА и Секрет. Рассмотрим различные аспекты их применения и постараемся выяснить, какое из устройств является наиболее подходящим для решения задач по хранению критичной информации программных СКЗИ.

ПСКЗИ ШИПКА — это USB-устройство, которое совмещает аппаратно реализованные криптографические функции с целым рядом дополнительных защитных функций и возможностей, таких как использование ШИПКи в качестве идентификатора и для хранения ключевой информации сторонних программных СКЗИ и т.д.

Одно из устройств семейства ПСКЗИ ШИПКА, а именно ШИПКА-лайт, также аппаратно реализует криптографические алгоритмы, но в отличие от остальных конструктивов ШИПКи, скорости ее криптоопераций достаточно малы. Еще одно устройство семейства — ШИПКА-лайт Slim — вовсе не обладает криптографическим функционалом. Поэтому в основном применение этих устройств сводится к использованию их в качестве идентификатора и для хранения ключевой информации программных СКЗИ.

ШИПКА-лайт состоит из смарт-карты, работающей по базовым стандартам ISO-7816, и CCID-совместимого карт-ридера. ШИПКА-лайт Slim реализована в виде цельнокорпусного микропроцессорного устройства, имеющего несъемный ключевой контейнер. Оба устройства поддерживают стандартный протокол обмена данными CCID, используемый для работы с традиционными смарт-картами.

Драйвер смарт-карты, необходимый для работы ШИПКи-лайт и ШИПКи-лайт Slim (далее — ШИПКА-лайт), автоматически подгружается из центра обновлений в операционных системах, начиная с Windows Vista и выше, что позволяет использовать устройства в качестве ключевого хранилища программных СКЗИ без установки программного обеспечения (ПО) ШИПКи.

Для получения доступа к файлу с ключевой информацией программного СКЗИ необходим PIN-код, количество попыток ввода которого ограничено аппаратно, что исключает возможность подбора. Поскольку ключи хранятся во встроенной защищенной энергонезависимой памяти, получить к ним доступ без знания PIN-кода невозможно.

ШИПКА-лайт имеет небольшой объем памяти — всего 128КБ (в случае ШИПКи-лайт Slim — 64КБ), однако, данного объема достаточно для хранения ключевой информации программных СКЗИ.

При использовании ШИПКи-лайт и ШИПКи-лайт Slim в качестве ключевого хранилища, данные в устройстве хранятся в формате PKCS#11, и именно в этом формате работают с ключами СКЗИ. Однако оказывается, что ключи — это не единственная информация, которая по требованиям к применению тех или иных СКЗИ должна храниться защищенно. И хранение в памяти данных устройств другой информации программных СКЗИ (например, справочников сертификатов), которые существуют в отличных от указанного форматах, невозможно. Помимо прочего такая информация занимает значительно больший объем, поэтому при необходимости хранить не только ключи, но и еще какую-либо информацию программных СКЗИ, целесообразнее не дорабатывать механизмы работы с данного токенов, а использовать другие устройства, имеющие, в том числе, больший объем памяти. Такими устройствами могут быть защищенные носители Секрет.

Секрет существует в трех вариациях: ПАК «Личный Секрет», ПАК «Секрет Фирмы» и ПАК «Секрет Особого Назначения». В состав каждого комплекса входит специальный носитель пользователя (СН).

ПАК «Личный Секрет», состоящий из ПО «Секретный агент» и специального носителя Секрет, предназначен для защиты личных данных пользователя, в том числе и при утрате этого носителя. Использовать «Личный Секрет» можно только на разрешенных администратором рабочих станциях (РС). При подключении устройства к неразрешенным РС, диск устройства не будет примонтирован и определен ПК, как флеш-накопитель.

ПАК «Секрет фирмы» — это корпоративное развитие ПАК «Личный Секрет».

ПАК «Секрет Особого Назначения» состоит из специального носителя Секрет, все необходимое для работы программное обеспечение располагается в одном из разделов внутренней памяти устройства, доступного только для чтения. Установка дополнительного ПО не требуется, устройство поддерживает стандартный CCID-интерфейс.

Принципиальное отличие «Секрета Особого Назначения» от «Личного Секрета» и «Секрета Фирмы» заключается в том, что в его аппаратном журнале фиксируются все попытки работы с ним на различных АРМ, вне зависимости от того, была ли попытка успешной. В случае «Секрета Особого Назначения» администратор может настроить политики использования специального носителя, предоставив доступ без ограничений по доменам и РС, или задать список разрешенных рабочих станций.

Для доступа к данным СН Секрет, как в случае ШИПКи-лайт, необходим PIN-код (или код авторизации — КА).

СН Секрет обладает значительным объемом флеш-памяти: в стандартной комплектации — 4 ГБ, что в случае его использования в качестве хранилища информации программного СКЗИ, позволяет помимо ключей, хранить еще и справочники сертификатов, а также копии библиотек и другую необходимую информацию.

Если рассматривать представленные устройства с точки зрения контроля среды функционирования, то в случае использования каждого из устройств (и ШИПКи-лайт, и Секрета), доступ к ключам предоставляется только легальному пользователю после успешной аутентификации в устройстве посредствам ввода PIN-кода (или КА), а в случае использования Секрета, доступ к ключам предоставляется еще и исключительно на разрешенных рабочих станциях.

Также оба устройства имеют возможность защищенного хранения ключевой информации с применением стандартных интерфейсов работы (CCID или PKCS#11), что обеспечивает совместимость с различными программными СКЗИ.

Таким образом, каждое из рассмотренных устройств имеет свои особенности, и под каждую конкретную задачу можно подобрать наиболее подходящее решение.

Однако наиболее универсальным и надежным стало бы устройство, сочетающее преимущества и ШИПКи-лайт и Секрета. Ключевое хранилище, имеющее привязку к разрешенным ПК, защищенное PIN-кодом (или КА), обладающее значительным объемом криптографически защищенной памяти, работающее со стандартными протоколами передачи данных — вот оно, идеальное устройство, отвечающее всем требованиям безопасности и общепринятым нормам практичности применения.


[1] Об этом см.: Батраков А.Ю. Обзор защищенных ключевых хранилищ //Комплексная защита информации. Безопасность информационных технологий. Материалы XVII Международной конференции 15-18 мая 2012 года, Суздаль (Россия). 2012. С. 37-38.


ФорумФорум
Форум ОКБ САПР
Вопросы специалистовВопросы специалистов
Вопросы, которые нам присылают, и наши ответы на них