Аппаратные ключи от облаков

TMS-решения (Token Management System), интегрированные с другими системами обеспечения комплексной ИБ, востребованы сегодня практически во всех сегментах рынка. Вполне возможно, что в ближайшем будущем они станут необходимыми всем, кто захочет соблюдать требования ИБ, пользуясь всевозможными облачными сервисами.

В мае 2011 г. оператор «Ростелеком» начал продажи USB-ключей, существенно облегчающих гражданам задачу пользования единым порталом госуслуг. После смены PIN-кода, установки плагина и выбора соответствующей опции в личном кабинете пользователь получает возможность заверять свои обращения в государственные органы через портал при помощи электронно-цифровой подписи (ЭЦП). Если поставить себе задачу сравнить USB-ключ с универсальной электронной картой (УЭК), то для пользования ключом достаточно компьютера с USB-портом, чего пока нельзя сказать об универсальной карте, срок массового изготовления которой был перенесен на 2013 г.

«Ростелеком» начал продажи USB-ключей, существенно облегчающих гражданам задачу пользования единым порталом госуслуг

ЭЦП, помимо госсектора, уже широко используется в корпоративных СЭД, при сдаче налоговой отчетности, осуществлении удаленных банковских транзакций, создании юридически значимых электронных документов и т.д. и т.п.

Чем подписать документ?

Наиболее распространенными на практике сегодня являются “ассиметричные” цифровые подписи, к которым относится и алгоритм, описанный в российском ГОСТ Р 34.10-2001. К созданному электронному документу, авторство, целостность и другие свойства которого нужно подтвердить, сначала обычно применяют хэш-функцию, неким однозначным образом преобразующим его в строку определенной длины (хэш). После того, как над хэшем “поработает” ассиметричный алгоритм, расшифровать результат можно будет только лишь зная открытую часть ключа, принадлежность которого владельцу подтверждается сертификатом удостоверяющего центра (УЦ).

Считается, что при правильном использовании алгоритмов (достаточно длинный закрытый ключ и пр.), можно гарантировать то, что сформировать поддельную цифровую подпись для любого (содержательного и осмысленного) документа другим вычислительным способом в течение срока действия ЭЦП при современном развитии математики и вычислительной практически невозможно. В то же время, с вычислительной задачей шифрования справляется даже относительно низкопроизводительный процессор отдельного устройства (hardware token), выполненного в формате USB-ключа или смарт-карты.

Аппаратные токены являются современным средством, позволяющим, в частности, решить одну из базовых задач ИБ – надежной аутентификации пользователя. Современные требования к токенам подразумевают, что закрытый ключ создается внутри этого устройства и недоступен для операционной системы и приложений компьютера, в порт которого он подключен. Для того, чтобы воспользоваться потерянным токеном, необходимо знать PIN-код, а это означает, что у его законного владельца будет время обнаружить утрату токена и аннулировать сертификат открытого ключа.

Поскольку токен представляет собой не абстрактный математический алгоритм, а физическое устройство конкретной модели, то он уязвим перед различными видами атак по так называемым сторонним каналам, что подразумевает точное измерение времени, энергопотребления, электромагнитного излучения, задание нештатных режимов эксплуатации и пр. С практической же точки зрения у злоумышленников нет необходимости пытаться тем или иным способом обязательно добраться до закрытого ключа, поскольку сегодня существуют более простые и актуальные способы снабдить документ ЭЦП без ведома владельца.

Специалисты по ИБ любят рассуждать о том, что защита при помощи аппаратных токенов создает опасную иллюзию безопасности для пользователя, который считает, что вполне достаточно всего лишь держать токен при себе (например, вместе с ключами от дома), чтобы гарантировано защитить себя от неприятных неожиданностей. Но можно ли, например, снять деньги с расчетного счета при помощи заверенного ЭЦП платежного поручения, отправленного через “банк-клиент”, установленного на компьютере, защищенным стандартным антивирусным ПО?

Один из наиболее простых способов следующий: путем относительно несложной модификации кода создается троянская программа (на базе уже известных), которая не определяется наиболее распространенными сигнатурными антивирусами. Шансы на то, что зараженный тем или иным путем компьютер успешно (с точки зрения создателя трояна) создаст, подпишет и отправит некое платежное поручение в то время, когда пользователь ненадолго отойдет от компьютера, оставив в нем активированный набором PIN-кода стандартный ЭЦП-токен, или же совершит подмену одного платежного поручения другим в процессе работы с “банк-клиентом” - достаточно велики.

Наиболее актуален данный тип угрозы для компаний СМБ, где общий уровень обеспечения ИБ в силу объективных причин, как правило, более низкий, чем в крупных компаниях. Означает ли это, что токен применять в малом бизнесе в принципе небезопасно?

Анонсированное компанией “Актив” решение Рутокен PINPad интересно тем, что учитывает особенности СМБ компаний и помогает им выборочно защитить отдельные рабочие места (например, компьютер бухгалтера) следующим, достаточно удобным способом: небольшое устройство с сенсорным экраном (решение Рутокен PINPad) устанавливается “в разрыв” подключения USB-ключа, заверяющего платежное поручение при помощи ЭЦП, к порту компьютера. Сенсорный экран служит для ввода PIN-кода ЭЦП-токена, просмотра подписываемого платежного поручения, а также - для окончательного одобрения его отправки через “банк-клиент” путем нажатия соответствующей “виртуальной” кнопки на экране.

Рутокен PINPad отвечает потребностям многих СМБ компаний в простых в использовании устройствах, обеспечивающих высокий уровень ИБ

“Пользователь может быть уверен, что в банк отправится именно то платежное поручение, которое он визуально проверит на сенсорном экране Rutoken PINPad. Без его непосредственного участия совершить платеж с удаленного компьютера физически невозможно” – сообщил руководитель отдела перспективных проектов компании “Актив” Евгений Сухов. Выдать себя за законного пользователя или совершить подмену платежного документа путем подписания хэша от другого документа, злоумышленник, внедривший вредоносное ПО или получивший удаленный доступ к компьютеру с “банк-клиентом”, интегрированным с Rutoken PINPad, уже не сможет.

Также как и крупные компании, помимо удаленного управления банковским счетом, компании СМБ сегодня достаточно часто применяют различные аппаратные (и программные) токены для отправки в электронном виде бухгалтерской отчетности и других документов, требующих заверения ЭЦП. Они могут понадобиться небольшой компании, участвующей в тендерах, для доступа к специализированным web-сервисам, а также в других целях.

Безопасность для здравоохранения

В условиях фактически имеющихся бюджетных, кадровых и пр. ограничений работают не только компании СМБ, но и, например, многие ЛПУ, причем к этим ограничениям необходимо добавить изменяющиеся требования законодательства и отраслевых нормативных актов.

Решение, предлагаемое компанией Kraftway, построенное на базе сервера и тонких клиентов, позволяет обеспечить для ЛПУ комплексную ИБ, важной составляющей которой является наличие аппаратных модулей доверенной загрузки (АМДЗ). В частности, в специально разработанных Kraftway для этого решения тонких клиентах VV18 АМДЗ тесно интегрирован с BIOS и активируется покупкой отдельной лицензии. Для аутентификации пользователя применяются, в частности, специальные ключи. Если код активированного электронного замка АМДЗ не выполнен, то загрузка обрывается путем блокирования доступа к загрузочным устройствам.

Подобного рода простое и учитывающее реальные потребности многих ЛПУ решение в сочетании с мерами по защите самого BIOS от заражения и др. отвечает высоким требованиям ИБ, и позволяет, в частности, решить задачу аутентификации пользователей. Ключи-“таблетки” touch-memory хорошо знакомы многим пользователям, открывающим ими электронные замки в своем подъезде, а значит, такое решение не должно вызывать сложностей при его эксплуатации.

С использованием модулей доверенной загрузки со считывателями специальных контактных ключей создаются типовые решения для медучреждений

"Затраты по приведению оборудования к требованиям ФЗ №152 могут быть сопоставимы с закупкой самого оборудования. Наличие у аппаратной части сертифицированных модулей доверенной загрузки, активируемых покупкой дополнительной лицензии, помогут этого избежать", – подчеркнул директора департамента развития бизнеса компании Kraftway Максим Шумилов.

Таким образом, простые и надежные в эксплуатации аппаратные современные средства аутентификации пользователей востребованы самыми различными сегментами рынка – от частных пользователей, широко использующих, например, банковские смарт-карты для управления личным счетом до СМБ и крупных компаний разных форм собственности, работающих в разных отраслях. Они уже сегодня позволяют более надежно защитить “среднестатистического” частного или корпоративного пользователя, а разработчики предлагают созданные на их базе решения, отвечающие требованиям различных категорий конечных потребителей.

Представить к чему в будущем потенциально может привести массовая авторизация пользователей при помощи логина и пароля для доступа к всевозможным “облакам” несложно. В связи с этим можно ожидать, что совершенствование данного типа устройств и увеличение емкости этого рынка будет достаточно активно продолжаться в ближайшие годы.