Основные термины и классификация средств криптографической защиты информации. Классификация средств защиты информации от фстэк и фсб россии Система криптографической защиты информации примеры

Определение 1

Криптографическая защита информации – это механизм защиты посредством шифрования данных для обеспечения информационной безопасности общества.

Криптографические методы защиты информации активно используются в современной жизни для хранения, обработки и передачи информации по сетям связи и на различных носителях.

Сущность и цели криптографической защиты информации

Сегодня самым надежным способом шифрования при передаче информационных данных на большие расстояния является именно криптографическая защита информации.

Криптография – это наука, изучающая и описывающая модели информационной безопасности (далее – ИБ) данных. Она позволяет разрешить многие проблемы, что присущи информационной безопасности сети: конфиденциальность, аутентификация, контроль и целостность взаимодействующих участников.

Определение 2

Шифрование – это преобразование информационных данных в форму, которая будет не читабельной для программных комплексов и человека без ключа шифрования-расшифровки. Благодаря криптографическим методам защиты информации обеспечиваются средства информационной безопасности, поэтому они являются основной частью концепции ИБ.

Замечание 1

Ключевой целью криптографической защиты информации является обеспечение конфиденциальности и защиты информационных данных компьютерных сетей в процессе передачи ее по сети между пользователями системы.

Защита конфиденциальной информации, которая основана на криптографической защите, зашифровывает информационные данные посредством обратимых преобразований, каждое из которых описывается ключом и порядком, что определяет очередность их применения.

Важным компонентом криптографической защиты информации является ключ, отвечающий за выбор преобразования и порядок его реализации.

Определение 3

Ключ – это определенная последовательность символов, которая настраивает шифрующий и дешифрующий алгоритм системы криптозащиты информации. Каждое преобразование определяется ключом, задающим криптографический алгоритм, который обеспечивает безопасность информационной системы и информации в целом.

Каждый алгоритм криптозащиты информации работает в разных режимах, которые обладают, как рядом преимуществ, так и рядом недостатков, что влияют на надежность информационной безопасности государства и средства ИБ.

Средства и методы криптографической защиты информации

К основным средствам криптозащиты информации можно отнести программные, аппаратные и программно-аппаратные средства, которые реализуют криптографические алгоритмы информации с целью:

защиты информационных данных при их обработке, использовании и передаче;
обеспечения целостности и достоверности обеспечения информации при ее хранении, обработке и передаче (в том числе с применением алгоритмов цифровой подписи);
выработки информации, которая используется для аутентификации и идентификации субъектов, пользователей и устройств;
выработки информации, которая используется для защиты аутентифицирующих элементов при их хранении, выработке, обработке и передаче.

В настоящее время криптографические методы защиты информации для обеспечения надежной аутентификации сторон информационного обмена являются базовыми. Они предусматривают шифрование и кодирование информации.

Различают два основных метода криптографической защиты информации:

симметричный, в котором один и тот же ключ, что хранится в секрете, применяется и для шифровки, и для расшифровки данных;
ассиметричный.

Кроме этого существуют весьма эффективные методы симметричного шифрования – быстрый и надежный. На подобные методы в Российской Федерации предусмотрен государственный стандарт «Системы обработки информации. Криптографическая защита информации. Алгоритм криптографического преобразования» - ГОСТ 28147-89.

В ассиметричных методах криптографической защиты информации используются два ключа:

Несекретный, который может публиковаться вместе с другими сведениями о пользователе, что являются открытыми. Этот ключ применяется для шифрования.
Секретный, который известен только получателю, используется для расшифровки.

Из ассиметричных наиболее известным методом криптографической защиты информации является метод RSA, который основан на операциях с большими (100-значными) простыми числами, а также их произведениями.

Благодаря применению криптографических методов можно надежно контролировать целостность отдельных порций информационных данных и их наборов, гарантировать невозможность отказаться от совершенных действий, а также определять подлинность источников данных.

Основу криптографического контроля целостности составляют два понятия:

Электронная подпись.
Хэш-функция.

Определение 4

Хэш-функция – это одностороння функция или преобразование данных, которое сложно обратить, реализуемое средствами симметричного шифрования посредством связывания блоков. Результат шифрования последнего блока, который зависит от всех предыдущих, и служит результатом хэш-функции.

В коммерческой деятельности криптографическая защита информации приобретает все большее значение. Для того чтобы преобразовать информацию, используются разнообразные шифровальные средства: средства шифрования документации (в том числе для портативного исполнения), средства шифрования телефонных разговоров и радиопереговоров, а также средства шифрования передачи данных и телеграфных сообщений.

Для того чтобы защитить коммерческую тайну на отечественном и международном рынке, используются комплекты профессиональной аппаратуры шифрования и технические устройства криптозащиты телефонных и радиопереговоров, а также деловой переписки.

Кроме этого широкое распространение получили также маскираторы и скремблеры, которые заменяют речевой сигнал цифровой передачей данных. Производятся криптографические средства защиты факсов, телексов и телетайпов. Для этих же целей применяются и шифраторы, которые выполняются в виде приставок к аппаратам, в виде отдельных устройств, а также в виде устройств, которые встраиваются в конструкцию факс-модемов, телефонов и других аппаратов связи. Электронная цифровая подпись широкое применяется для того, чтобы обеспечить достоверность передаваемых электронных сообщений.

Криптографическая защита информации в РФ решает вопрос целостности посредством добавления определенной контрольной суммы или проверочной комбинации для того, чтобы вычислить целостность данных. Модель информационной безопасности является криптографической, то есть она зависит от ключа. По оценкам информационной безопасности, которая основана на криптографии, зависимость вероятности прочтения данных от секретного ключа является самым надежным инструментом и даже используется в системах государственной информационной безопасности.

Послушайте... нельзя ли вам, для общей нашей пользы, всякое письмо, которое прибывает к вам в почтовую контору, входящее и исходящее, знаете, этак немножко распечатать и прочитать: не содержится ли в нем какого-нибудь донесения или просто переписки...

Н.В.Гоголь «Ревизор»

В идеале конфиденциальное письмо должны иметь возможность прочитать только двое: отправитель и тот, кому оно адресовано.Формулировка такой, казалось бы, очень простой вещи, явилась отправной точкой систем криптозащиты. Развитие математики дало толчок к развитию подобных систем.

Уже в XVII-XVIII веках шифры в России были достаточно изощренными и устойчивыми к взлому. Многие русские математики трудились над созданием или усовершенствованием систем шифрования и параллельно пытались подобрать ключи к шифрам других систем. В настоящее время можно отметить несколько российских систем шифрования, таких как «Лексикон Верба» , Secret Net, DALLAS LOCK, Secret Disk, семейство продуктов «Аккорд» и др. О них и будет рассказано.Вы также ознакомитесь с основными программными и программно-аппаратными комплексами криптозащиты, узнаете об их возможностях, о сильных и слабых сторонах. Надеемся, что эта статья поможет вам сделать выбор системы криптозащиты.

Введение

Обеспокоены ли вы тем, что важная информация из вашего компьютера может попасть в чужие руки? Этой информацией могут воспользоваться и конкуренты, и контролирующие органы, и просто недоброжелатели. Очевидно, что такие действия могут принести вам значительный ущерб. Что же делать? Для того чтобы уберечь свою информацию от посторонних, необходимо установить одну из программ шифрования данных. Наш обзор посвящен анализу систем шифрования для настольных систем. Следует отметить, что использование зарубежных систем шифрования на территории России в силу ряда причин сильно ограничено, поэтому государственные организации и крупные отечественные компании вынуждены использовать российские разработки. Однако средние и мелкие компании, а также частные лица иногда предпочитают зарубежные системы.

Для непосвященных шифрование информации выглядит чем-то вроде черной магии. Действительно, шифрование сообщений для сокрытия их содержания от посторонних является сложной математической задачей. К тому же шифр должен быть подобран таким образом, чтобы без ключа открыть его было практически невозможно, а с ключом - быстро и легко. Многим компаниям и организациям бывает очень трудно сделать оптимальный выбор при установке шифровальных программ. Дело осложняется еще и тем, что абсолютно защищенных компьютеров и абсолютно надежных систем шифрования не бывает. Однако все же есть достаточно способов, с помощью которых можно отразить практически все попытки раскрыть зашифрованную информацию.

Что у программ шифрования внутри

Программы шифрования отличаются друг от друга алгоритмом шифрования. Зашифровав файл, вы можете записать его на дискету, послать его по электронной почте или положить на сервер в вашей локальной сети. Получатель вашей шифровки должен иметь такую же шифровальную программу, чтобы прочитать содержимое файла.

Если вы хотите отправить зашифрованное сообщение нескольким пользователям одновременно, то ваша информация для каждого получателя может быть зашифрована по его собственному ключу либо по общему ключу для всех пользователей (включая автора сообщения).

Система криптозащиты использует секретный код для того, чтобы превратить вашу информацию в бессмысленный, псевдослучайный набор символов. При хорошем алгоритме шифрования практически невозможно дешифровать сообщение без знания секретного кода, использованного для шифрования. Такие алгоритмы называют алгоритмами с симметричным ключом, так как для шифрования и дешифровки информации используется один и тот же ключ.

Для защиты данных программа шифрования создает секретный ключ по вашему паролю. Надо только задать длинный пароль, который никто не сможет угадать. Однако если требуется, чтобы файл смог прочесть кто-то другой, вам понадобится сообщить этому человеку секретный ключ (или пароль, на основе которого он создан). Можно быть уверенным, что даже простой алгоритм шифрования защитит ваши данные от обычного пользователя, скажем, от коллеги по работе. Однако у профессионалов есть целый ряд способов дешифрации сообщения без знания секретного кода.

Без специальных знаний самостоятельно проверить, насколько надежен ваш алгоритм шифрования, вам не удастся. Но вы можете положиться на мнение профессионалов. Некоторые алгоритмы шифрования, такие, например, как Triple DES (Data Encryption Standard - стандарт шифрования данных), были подвергнуты многолетней проверке. По результатам проверки этот алгоритм хорошо себя зарекомендовал, и криптографы считают, что ему можно доверять. Большинство новых алгоритмов также тщательно изучаются, а результаты публикуются в специальной литературе.

Если алгоритм программы не подвергся открытому рассмотрению и обсуждению профессионалов, если у него нет сертификатов и других официальных бумаг, - это повод усомниться в его надежности и отказаться от использования такой программы.

Другая разновидность систем шифрования - это системы с открытым ключом. Для работы такой системы нет необходимости сообщать адресату секретный ключ (или пароль, на основе которого он создан). Указанные системы шифрования генерируют два цифровых ключа для каждого пользователя: один служит для шифрования данных, другой - для их расшифровки. Первый ключ (называемый открытым) можно опубликовать, а второй держать в секрете. После этого зашифровать информацию сумеет любой, воспользовавшись открытым ключом, а расшифровать - только тот, кто имеет соответствующий секретный ключ.

Некоторые программы шифрования содержат еще одно важное средство защиты - цифровую подпись. Цифровая подпись удостоверяет, что файл не был изменен с тех пор, как был подписан, и дает получателю информацию о том, кто именно подписал файл. Алгоритм создания цифровой подписи основан на вычислении контрольной суммы - так называемой хэш-суммы, или дайджеста сообщения. Применяемые алгоритмы гарантируют, что невозможно подобрать два разных файла, хэш-суммы которых совпали бы.

Когда адресат получает файл с цифровой подписью, его программа шифрования заново вычисляет хэш-сумму для этого файла. Затем получатель с помощью открытого ключа, опубликованного отправителем, восстанавливает цифровую подпись. Если результат соответствует значению, вычисленному для файла, то получатель может быть уверен, что текст сообщения не был изменен (если бы это произошло, хэш-сумма оказалась бы иной), а подпись принадлежит человеку, имеющему доступ к секретному ключу отправителя.

Для защиты важной или конфиденциальной информации нужна не только хорошая программа шифрования. Вам необходимо принять ряд мер для обеспечения информационной безопасности. Если ваш пароль ненадежен (специалисты рекомендуют задавать его из восьми или более символов) или если незашифрованная копия конфиденциальной информации хранится у вас на компьютере, то в этом случае даже лучшая система шифрования окажется бессильна.

Система «Лексикон-Верба»

Система «Лексикон-Верба» является средством организации защищенного электронного документооборота как внутри корпоративной сети, так и между различными организациями. В «Лексиконе-Верба» используются две модификации системы криптографии: система «Верба-W» предназначена для государственных органов (защита конфиденциальной информации, в частности ДСП; ключи подписи - открытые, ключи шифрования - закрытые), система «Верба-OW» - для коммерческих организаций (защита коммерческой тайны; ключи подписи и шифрования - открытые).

Существует довольно много мировых стандартов шифрования, но лишь малая их часть имеет сертификаты Федерального агентства правительственной связи и информации (ФАПСИ), что делает невозможным применение несертифицированных решений на территории России. Система «Верба-W» имеет сертификат ФАПСИ № СФ/114-0176. Система «Верба-ОW» - сертификат ФАПСИ № СФ/114-0174.

«Лексикон-Верба» обеспечивает шифрование и электронную цифровую подпись в соответствии с требованиями ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая» и ГОСТ Р34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

Программа сертифицирована Гостехкомиссией при Президенте Российской Федерации. В июле ожидается получение сертификата Минобороны России.

В основе работы криптозащиты системы лежит методика шифрования с открытым ключом. Каждый ключ, идентифицирующий пользователя, состоит из двух частей: открытого и секретного ключа. Открытый ключ может распространяться свободно и используется для шифрования информации данного пользователя. Для расшифровки документа нужно, чтобы пользователь, зашифровавший его, имел ваш открытый ключ и при шифровании указал вас как имеющего доступ к документу.

Чтобы расшифровать документ, нужно воспользоваться закрытым ключом. Закрытый ключ состоит из двух частей, одна из которых хранится на смарт-карте или touch-memory, а другая - на жестком диске вашего компьютера. Таким образом, ни утеря смарт-карты, ни несанкционированный доступ к компьютеру не дают, каждый по отдельности, возможности расшифровать документы.

Первоначальный ключевой комплект, включающий в себя полную информацию об открытых и закрытых ключах пользователя, создается на специально оборудованном защищенном рабочем месте. Дискета с ключевой информацией используется только на этапе подготовки рабочего места пользователя.

Система «Лексикон-Верба» может быть использована в рамках двух основных систем организации защищенного документооборота:

как самостоятельное решение. При наличии в организации локальной сети систему можно установить не на все компьютеры, а только на те, где требуется работа с конфиденциальными документами. Это значит, что внутри корпоративной сети возникает подсеть обмена закрытой информацией. При этом участники закрытой части системы могут обмениваться с остальными сотрудниками и открытыми документами;
как составная часть документооборота. «Лексикон-Верба» имеет стандартные интерфейсы подключения внешних функций для выполнения операций открытия, сохранения, закрытия и отправки документов, что позволяет легко интегрировать эту систему как в существующие, так и во вновь разрабатываемые системы документооборота.

Следует отметить, что свойства системы «Лексикон-Верба» делают ее не только средством обеспечения информационной защиты от внешних проникновений, но и средством повышения внутрикорпоративной конфиденциальности и разделения доступа.

Одним из важных дополнительных ресурсов повышения уровня контроля информационной безопасности является возможность ведения «журнала событий» для любого документа. Функция фиксации истории документа может быть включена или отключена только при установке системы; при ее включении данный журнал будет вестись независимо от желания пользователя.

Главным достоинством и отличительной особенностью системы является простая и интуитивно понятная реализация функций защиты информации при сохранении традиционной для текстовых процессоров рабочей среды пользователя.

Блок криптографии осуществляет шифрование, а также установку и снятие электронной цифровой подписи (ЭЦП) документов.

Вспомогательные функции блока - загрузка секретного ключа, экспорт и импорт открытых ключей, настройка и ведение справочника ключей абонентов системы.

Таким образом, каждый из имеющих доступ к документу может поставить только свою подпись, но снять - любую из ранее поставленных.

Это отражает принятый порядок делопроизводства, когда по мере прохождения визирования документ может подвергаться правкам на разных этапах, но после этого документ должен быть завизирован заново.

При попытке внести изменения в документ иными, нежели «Лексикон-Верба», средствами, ЭЦП повреждается, в результате в поле «Статус подписи» появится надпись «Повреждена».

Офис

При увеличении числа пользователей системы внесение каждого открытого ключа на каждый компьютер становится затруднительным. Поэтому для организации работы офиса организуется централизованное администрирование справочника открытых ключей. Это делается следующим образом:

1) на компьютере администратора устанавливается «Лексикон-Верба» в локальном режиме. При этом создается справочник открытых ключей, в который администратор добавляет каждый используемый в офисе ключ;

2) на всех остальных компьютерах система устанавливается в сетевом режиме. В этом режиме используется справочник открытых ключей, находящийся на компьютере администратора;

3) каждый новый пользователь, внесенный администратором в справочник, становится «виден» всем пользователям, подключенным к справочнику. С этого момента они получают возможность передавать ему зашифрованные документы.

Администрирование справочника становится централизованным, но на уровень безопасности системы это не влияет, так как предоставление доступа к открытым ключам - это своеобразное «знакомство» пользователей, но доступа к каким-либо документам оно не дает. Для получения пользователем возможности расшифровки документа необходимо, чтобы его открытый ключ не только находился в справочнике, но и был явно указан как имеющий доступ к документу.

Криптографические методы защиты информации могут быть реализованы как программными, так и аппаратными средствами. Аппаратный шифратор или устройство криптографической защиты данных (УКЗД) представляет собой, чаще всего, плату расширения, вставляемую в разъем 18А или РС1 системной платы персонального компьютера (ПК) (рис. 3.21). Существуют и другие варианты реализации, например, в виде и8В-ключа с криптографическими функциями (рис. 3.22).

Производители аппаратных шифраторов обычно оснащают их различными дополнительными возможностями, среди которых:

Генерация случайных чисел, необходимых для получения криптографических ключей. Кроме того, многие криптографические алгоритмы используют их и для других целей, например, в алгоритме электронной цифровой подписи, ГОСТ Р 34.10-2001 при каждом вычислении подписи необходимо новое случайное число;

Рис. 3.21. Аппаратный шифратор в виде платы РС1:

1 - технологические разъемы; 2 - память для ведения журнала; 3 - переключатели режимов; 4 - многофункциональная память; 5 - блок управления и микропроцессор; 6- интерфейс РС1; 7- контроллер РС1; 8- ДСЧ; 9- интерфейсы для подключения ключевых носителей

Рис. 3.22.

контроль входа на компьютер. При включении ПК устройство требует от пользователя ввести персональную информацию (например, вставить устройство с закрытым ключом). Загрузка операционной системы будет разрешена только после того, как устройство опознает предъявленные ключи и сочтет их «своими». В противном случае придется вскрыть системный блок и изъять оттуда шифратор, чтобы загрузить операционную систему (однако информация на жестком диске ПК тоже может быть зашифрована);
контроль целостности файлов операционной системы для предотвращения злоумышленного изменения конфигурационных файлов и системных программ. Шифратор хранит в себе список всех важных файлов с заранее вычисленными для каждого из них контрольными хеш-значениями и, если при следующей загрузке ОС не совпадет с эталоном хеш-значение хотя бы одного из контролируемых файлов, компьютер будет блокирован.

Шифратор, выполняющий контроль входа на ПК и проверяющий целостность операционной системы, называют также «электронным замком» (см. парагр. 1.3).

На рис. 3.23 приведена типовая структура аппаратного шифратора. Рассмотрим функции его основных блоков:

блок управления - основной модуль шифратора. Обычно реализуется на базе микроконтроллера, при выборе которого главным является быстродействие и достаточное количество внутренних ресурсов, а также внешних портов для подключения всех необходимых модулей;
контроллер системной шины ПК (например, РС1), через который осуществляется основной обмен данными между УКЗД и компьютером;
энергонезависимое запоминающее устройство (ЗУ), реализуемое обычно на базе микросхем флэш-памяти. Оно должно быть достаточно емким (несколько мегабайт) и допускать большое число циклов записи. Здесь размещается программное обеспечение микроконтроллера, которое вы-

Рис. 3.23. Структура УКЗД полняется при инициализации устройства (когда шифратор перехватывает управление при загрузке компьютера);

память журнала аудита, также представляющая собой энергонезависимое ЗУ (во избежание возможных коллизий память для программ и память для журнала не должны объединяться);
шифропроцессор (или несколько подобных блоков) - специализированная микросхема или микросхема программируемой логики PLD (Programmable Logic Device), обеспечивающая выполнение криптографических операций (шифрование и расшифрование, вычисление и проверка ЭЦП, хэширование);
генератор случайных чисел, представляющий собой устройство, выдающее статистически случайный и непредсказуемый сигнал (так называемый белый шум). Это может быть, например, шумовой диод. Перед дальнейшим использованием в шифропроцессоре по специальным правилам белый шум преобразуется в цифровую форму;
блок ввода ключевой информации. Обеспечивает защищенное получение закрытых ключей с ключевого носителя и ввод идентификационной информации о пользователе, необходимой для его аутентификации;
блок коммутаторов, необходимых для отключения возможности работы с внешними устройствами (дисководами, CD- ROM, параллельным и последовательным портами, шиной USB и т. д.). Если пользователь работает с особо секретной информацией, УКЗД при входе на компьютер заблокирует все внешние устройства, включая даже сетевую карту.

Криптографические операции в УКЗД должны выполняться так, чтобы исключить несанкционированный доступ к сеансовым и закрытым ключам и возможность воздействия на результаты их выполнения. Поэтому шифропроцессор логически состоит из нескольких блоков (рис. 3.24):

вычислитель - набор регистров, сумматоров, блоков подстановки ит. п., связанных между собой шинами передачи данных. Предназначен для максимально быстрого выполнения криптографических операций. На вход вычислитель получает открытые данные, которые следует зашифровать (расшифровать) или подписать, и криптографический ключ;
блок управления - аппаратно реализованная программа, управляющая вычислителем. Если по какой-либо причине

Рис. 3.24.

программа изменится, его работа начнет давать сбои. Поэтому данная программа должна не только надежно храниться и устойчиво функционировать, но и регулярно проверять свою целостность. Описанный выше внешний блок управления тоже периодически посылает блоку управления контрольные задачи. На практике для большей уверенности в шифраторе устанавливают два шифропроцессора, которые постоянно сравнивают результаты своих криптографических операций (если они не совпадают, операция повторяется);

Буфер ввода-вывода необходим для повышения производительности устройства: пока шифруется первый блок данных, загружается следующий и т. д. То же самое происходит и на выходе. Такая конвейерная передача данных серьезно увеличивает скорость выполнения криптографических операций в шифраторе.

Есть еще одна задача обеспечения безопасности при выполнении шифратором криптографических операций: загрузка ключей в шифратор, минуя оперативную память компьютера, где их теоретически можно перехватить и даже имея подменить. Для этого УКЗД дополнительно содержит порты ввода-вывода (например, СОМ или USB), к которым напрямую подключаются разные устройства чтения ключевых носителей. Это могут быть любые смарт-карты, токены (специальные USB-ключи) или элементы Touch Memory (см. парагр. 1.3). Помимо прямого ввода ключей в УКЗД, многие из таких носителей обеспечивают и их надежное хранение - даже ключевой носитель без знания специального кода доступа (например, PIN-кода) нарушитель не сможет прочесть его содержимое.

Для того чтобы не возникало коллизий при одновременном обращении к шифратору разных программ, в компьютерной системе устанавливается специальное программное обеспечение

Рис. 3.25.

(ПО) управления шифратором (рис. 3.25). Такое ПО выдает команды через драйвер шифратора и передает шифратору данные, следя за тем, чтобы потоки информации от разных источников не пересекались, а также за тем, чтобы в шифраторе всегда находились нужные ключи. Таким образом, УКЗД выполняет два принципиально разных вида команд:
перед загрузкой операционной системы выполняются команды, находящиеся в памяти шифратора, которые осуществляют все необходимые проверки (например, идентификацию и аутентификацию пользователя) и устанавливают требуемый уровень безопасности (например, отключают внешние устройства);
после загрузки ОС (например, Vindows) выполняются команды, поступающие через ПО управления шифратором (шифровать данные, перезагружать ключи, вычислять случайные числа и т. д.).

Такое разделение необходимо из соображений безопасности - после выполнения команд первого блока, которые нельзя обойти, нарушитель уже не сможет совершить несанкционированные действия.

Еще одно назначение ПО управления шифратором - обеспечить возможность замены одного шифратора на другой (скажем, на более производительный или реализующий другие криптоалгоритмы), не меняя программного обеспечения. Это происходит аналогично, например, смене сетевой карты: шифратор поставляется вместе с драйвером, который позволяет программам выполнять стандартный набор криптографических функций в соответствии с каким-либо интерфейсом прикладного программирования (например, Сгур1оАР1).

Таким же образом можно заменить аппаратный шифратор на программный (например, на эмулятор шифратора). Для этого программный шифратор выполняют обычно в виде драйвера, предоставляющего тот же набор функций.

Впрочем, ПО управления шифратором нужно не всем УКЗД (в частности, шифратор для «прозрачного» шифрования-расшифрования всего жесткого диска ПК достаточно настроить один раз).

Для дополнительного обеспечения безопасности выполнения криптографических операций в УКЗД может применяться многоуровневая защита криптографических ключей симметричного шифрования, при которой случайный сеансовый ключ шифруется долговременным ключом пользователя, а тот, в свою очередь, главным ключом (рис. 3.26).

На этапе начальной загрузки в ключевую ячейку № 3 ЗУ шифратора заносится главный ключ. Но для трехуровневого шифрования необходимо получить еще два. Сеансовый ключ генерируется в результате запроса к генератору (датчику) случай-

Рис. 3.26. Шифрование файла с помощью УКЗД ных чисел (ДСЧ) шифратора на получение случайного числа, которое загружается в ключевую ячейку № 1, соответствующую сеансовому ключу. С его помощью шифруется содержимое файла и создается новый файл, хранящий зашифрованную информацию.

Далее у пользователя запрашивается долговременный ключ, который загружается в ключевую ячейку № 2 с расшифровкой посредством главного ключа, находящегося в ячейке № 3. Надежный шифратор должен иметь режим расшифровки одного ключа с помощью другого внутри шифропроцессора; в этом случае ключ в открытом виде вообще никогда «не покидает» шифратора. И наконец, сеансовый ключ зашифровывается с помощью долговременного ключа, находящегося в ячейке № 2, выгружается из шифратора и записывается в заголовок зашифрованного файла.

При расшифровке файла сначала с помощью долговременного ключа пользователя расшифровывается сеансовый ключ, а затем с его помощью восстанавливается информация.

В принципе можно использовать для шифрования и один ключ, но многоключевая схема имеет серьезные преимущества. Во-первых, снижается возможность атаки на долговременный ключ, так как он используется только для шифрования коротких сеансовых ключей. А это усложняет нарушителю криптоанализ зашифрованной информации с целью получения долговременного ключа. Во-вторых, при смене долговременного ключа можно очень быстро заново зашифровать файл: достаточно заново зашифровать сеансовый ключ со старого долговременного на новый. В-третьих, разгружается ключевой носитель, так как на нем хранится только главный ключ, а все долговременные ключи (а их может быть у пользователя несколько для различных целей) могут храниться в зашифрованном с помощью главного ключа виде даже на жестком диске ПК.

Шифраторы в виде ШВ-ключей (см. рис. 3.22) пока не могут стать полноценной заменой аппаратному шифратору для шины РС1 из-за низкой скорости шифрования. Однако у них есть несколько интересных особенностей. Во-первых, токен (ШВ-ключ) представляет собой не только аппаратный шифратор, но и носитель ключей шифрования, т. е. устройство «два в одном». Во-вторых, токены обычно соответствуют распространенным международным криптографическим стандартам (РКСБ #11, 1БО 7816, РС/8С и т. д.), и их можно использовать без дополнительной настройки в уже существующих программных средствах защиты информации (например, с их помощью можно проводить аутентификацию пользователей в ОС семейства Microsoft Windows). И наконец, цена такого шифратора в десятки раз ниже, чем классического аппаратного шифратора для шины PCI.

С задачей подбора программного обеспечения для криптографической защиты данных сталкивается каждый, кто всерьез задумывается о безопасности своей конфиденциальной информации. И в этом нет абсолютно ничего удивительного - шифрование на сегодняшний день является одним из самых надежных способов предотвратить несанкционированный доступ к важным документам, базам данных, фотографиям и любым другим файлам.

Проблема заключается в том, что для грамотного выбора необходимо понимать все аспекты работы криптографических продуктов. В противном случае можно очень легко ошибиться и остановиться на ПО, которое либо не позволит защитить всю необходимую информацию, либо не обеспечит должной степени безопасности. На что же нужно обращать внимание? Во-первых, это доступные в продукте алгоритмы шифрования. Во-вторых, способы аутентификации владельцев информации. В-третьих, способы защиты информации. В-четвертых, дополнительные функции и возможности. В-пятых, авторитет и известность производителя, а также наличие у него сертификатов на разработку средств шифрования. И это еще далеко не все, что может оказаться важным при выборе системы криптографической защиты .

Понятно, что человеку, не разбирающемуся в области защиты информации, сложно найти ответы на все эти вопросы.

Secret Disk 4 Lite

Разработчиком продукта Secret Disk 4 Lite является компания Aladdin - один из мировых лидеров, работающих в области информационной безопасности. Она обладает большим количеством сертификатов. И хотя сам рассматриваемый продукт не является сертифицированным средством (у Secret Disk 4 есть отдельная сертифицированная версия), данный факт говорит о признании компании серьезным разработчиком криптографических средств.

Secret Disk 4 Lite может использоваться для шифрования отдельных разделов винчестера, любых съемных накопителей, а также для создания защищенных виртуальных дисков. Таким образом, с помощью этого инструмента можно решить большую часть задач, связанных с криптографией. Отдельно стоит отметить возможность шифрования системного раздела. При этом сама загрузка ОС неавторизированным пользователем становится невозможной. Причем эта защита несоизмеримо надежнее, нежели встроенные средства защиты Windows.

В продукте Secret Disk 4 Lite нет встроенных алгоритмов шифрования. Эта программа для своей работы использует внешние криптопровайдеры. По умолчанию применяется стандартный модуль, интегрированный в Windows. В нем реализованы алгоритмы DES и 3DES. Однако сегодня они считаются уже морально устаревшими. Поэтому для лучшей защиты можно загрузить с сайта Aladdin специальный Secret Disk Crypto Pack. Это криптопровайдер, в котором реализованы наиболее надежные на сегодняшний день криптографические технологии, включая AES и Twofish с длиной ключа до 256 бит. Кстати, в случае необходимости в сочетание с Secret Disk 4 Lite можно использовать сертифицированных поставщиков алгоритмов Signal-COM CSP и "КриптоПро CSP".

Отличительной особенностью Secret Disk 4 Lite является система аутентификации пользователей. Дело в том, что она построена на использовании цифровых сертификатов. Для этого в комплект поставки продукта включен аппаратный USB-токен eToken. Он представляет собой надежно защищенное хранилище для секретных ключей. Фактически, речь идет о полноценной двухфакторной аутентификации (наличие токена плюс знание его PIN-кода). В результате рассматриваемая система шифрования избавлена от такого "узкого" места, как использование обычной парольной защиты.

Из дополнительных функция Secret Disk 4 Lite можно отметить возможность многопользовательской работы (владелец зашифрованных дисков может предоставить доступ к ним другим людям) и фоновую работу процесса шифрования.

Интерфейс Secret Disk 4 Lite прост и понятен. Он выполнен на русском языке, точно так же, как и подробная справочная система, в которой расписаны все нюансы использования продукта .

InfoWatch CryptoStorage

InfoWatch CryptoStorage - продукт достаточно известной компании InfoWatch, обладающей сертификатами на разработку, распространение и обслуживание шифровальных средств. Как уже отмечалось, они не обязательны, но могут играть роль своеобразного индикатора серьезности компании и качества выпускаемой ею продукции.

Рисунок 1. Контекстное меню

В InfoWatch CryptoStorage реализован только один алгоритм шифрования - AES с длиной ключа 128 бит. Аутентификация пользователей реализована с помощью обычной парольной защиты. Ради справедливости стоит отметить, что в программе есть ограничение минимальной длины ключевых слов, равное шести символам. Тем не менее, парольная защита, безусловно, сильно уступает по своей надежности двухфакторной аутентификации с использованием токенов. Особенностью программы InfoWatch CryptoStorage является ее универсальность. Дело в том, что с ее помощью можно зашифровывать отдельные файлы и папки, целые разделы винчестера, любые съемные накопители, а также виртуальные диски.

Данный продукт, как и предыдущий, позволяет защищать системные диски, то есть он может использоваться для предотвращения несанкционированной загрузки компьютера. Фактически, InfoWatch CryptoStorage позволяет решить весь спектр задач, связанных с использованием симметричного шифрования.

Дополнительной возможностью рассматриваемого продукта является организация многопользовательского доступа к зашифрованной информации. Кроме того, в InfoWatch CryptoStorage реализовано гарантированное уничтожение данных без возможности их восстановления.

InfoWatch CryptoStorage - русскоязычная программа. Ее интерфейс, выполнен на русском языке, однако достаточно необычен: главное окно как таковое отсутствует (есть только небольшое окошко конфигуратора), а практически вся работа реализована с помощью контекстного меню. Такое решение непривычно, однако нельзя не признать его простоту и удобство. Естественно, русскоязычная документация в программе также имеется.

Rohos Disk - продукт компании Tesline-Service.S.R.L. Он входит в линейку небольших утилит, реализующих различные инструменты по защите конфиденциальной информации. Разработка этой серии продолжается с 2003 года.

Рисунок 2. Интерфейс программы

Программа Rohos Disk предназначена для криптографической защиты компьютерных данных. Она позволяет создавать зашифрованные виртуальные диски, на которые можно сохранять любые файлы и папки, а также устанавливать программное обеспечение.

Для защиты данных в данном продукте используется криптографический алгоритм AES с длиной ключа 256 бит, который обеспечивает высокую степень безопасности.

В Rohos Disk реализовано два способа аутентификации пользователей. Первый из них - обычная парольная защита со всеми ее недостатками. Второй вариант - использование обычного USB-диска, на который записывается необходимый ключ.

Данный вариант также не является очень надежным. При его использовании утеря "флешки" может грозить серьезными проблемами.

Rohos Disk отличается широким набором дополнительных возможностей. В первую очередь стоит отметить защиту USB-дисков. Суть ее заключается в создании на "флешке" специального зашифрованного раздела, в котором можно без опасений переносить конфиденциальные данные.

Причем в состав продукта входит отдельная утилита, с помощью которой можно открывать и просматривать эти USB-диски на компьютерах, на которых не инсталлирован Rohos Disk .

Следующая дополнительная возможность - поддержка стеганографии. Суть этой технологии заключается в сокрытии зашифрованной информации внутри мультимедиа-файлов (поддерживаются форматы AVI, MP3, MPG, WMV, WMA, OGG).

Ее использование позволяет скрыть сам факт наличия секретного диска путем его размещения, например, внутри фильма. Последней дополнительной функцией является уничтожение информации без возможности ее восстановления.

Программа Rohos Disk обладает традиционным русскоязычным интерфейсом. Кроме того, она сопровождена справочной системой, может быть, не столь подробной, как у двух предыдущих продуктов, однако достаточной для освоения принципов ее использования.

Говоря о криптографических утилитах, нельзя не упомянуть и про бесплатное программное обеспечение. Ведь сегодня практически во всех областях есть достойные продукты, распространяющиеся совершенно свободно. И защита информации не является исключением из этого правила.

Правда, к использованию свободного ПО для защиты информации существует двоякое отношение. Дело в том, что многие утилиты пишутся программистами-одиночками или небольшими группами. При этом никто не может поручиться за качество их реализации и отсутствии "дыр", случайных или намеренных. Но криптографические решения сами по себе весьма сложны для разработки. При их создании нужно учитывать огромное множество различных нюансов. Именно поэтому рекомендуется применять только широко известные продукты, причем обязательно с открытым кодом. Только так можно быть уверенным, что они избавлены от "закладок" и протестированы большим количеством специалистов, а значит, более-менее надежны. Примером такого продукта является программа TrueCrypt .

Рисунок 3.Интерфейс программы

TrueCrypt является, пожалуй, одной из самых функционально богатых бесплатных криптографических утилит. Изначально она использовалась только для создания защищенных виртуальных дисков. Все-таки для большинства пользователей это наиболее удобный способ защиты различной информации. Однако со временем в ней появилась функция шифрования системного раздела. Как мы уже знаем, она предназначается для защиты компьютера от несанкционированного запуска. Правда, шифровать все остальные разделы, а также отдельные файлы и папки TrueCrypt пока не умеет.

В рассматриваемом продукте реализовано несколько алгоритмов шифрования: AES, Serpent и Twofish. Владелец информации может сам выбрать, какой из них он хочет использовать в данный момент. Аутентификации пользователей в TrueCrypt может производиться с помощью обычных паролей. Однако есть и другой вариант - с использованием ключевых файлов, которые могут сохраняться на жестком диске или любом съемном накопителе. Отдельно стоит отметить поддержку данной программой токенов и смарт-карт, что позволяет организовать надежную двухфакторную аутентификацию.

Из дополнительных функций рассматриваемой программы можно отметить возможность создания скрытых томов внутри основных. Она используется для сокрытия конфиденциальных данных при открытии диска под принуждением. Также в TrueCrypt реализована система резервного копирования заголовков томов для их восстановлении при сбое или возврата к старым паролям.

Интерфейс TrueCrypt привычен для утилит подобного рода. Он многоязычен, причем есть возможность установить и русский язык. С документацией дела обстоят гораздо хуже. Она есть, причем весьма подробная, однако написана на английском языке. Естественно, ни о какой технической поддержки речи идти не может.

Для большей наглядности все их особенности и функциональные возможности сведены в таблицу 2 .

Таблица 2 - Функциональные возможности программ криптографической защиты информации.

Secret Disk 4 lite	InfoWatch CryptoStorage
Алгоритмы шифрования	DES, 3DES, AES, TwoFish	AES, Serpent, TwoFish
Максимальная длина ключа шифрования
Подключение внешних криптопровайдеров
Строгая аутентификация с использованием токенов		+ (токены приобретаются отдельно)
Шифрование файлов и папок
Шифрование разделов
Шифрование системы
Шифрование виртуальных дисков
Шифрование съемных накопителей
Поддержка многопользовательской работы
Гарантированное уничтожение данных
Сокрытие зашифрованных объектов
Работа «под принуждением»
Русскоязычный интерфейс
Русскоязычная документация
Техническая поддержка

Средства криптографической защиты информации (СКЗИ)

"...Средство криптографической защиты информации (СКЗИ) - сертифицированные в порядке, установленном законодательством Российской Федерации, аппаратные и (или) программные средства, обеспечивающие шифрование, контроль целостности и применение ЭЦП при обмене электронными документами;..."

Источник:

"Методические рекомендации по предоставлению организациям, осуществляющим производство и (или) оборот (за исключением импорта и розничной продажи) этилового спирта, алкогольной и спиртосодержащей продукции на территории Российской Федерации, программных средств единой государственной автоматизированной информационной системы учета объема производства и оборота этилового спирта, алкогольной и спиртосодержащей продукции и их установки в технические средства фиксации и передачи информации об объеме производства и оборота этилового спирта, алкогольной и спиртосодержащей продукции в единую государственную автоматизированную информационную систему учета объема производства и оборота этилового спирта, алкогольной и спиртосодержащей продукции" (утв. Росалкогольрегулированием)

"...Средства криптографической защиты информации (СКЗИ) - совокупность программных и технических средств, реализующих криптографические преобразования с исходной информацией и функцию выработки и проверки электронной цифровой подписи..."

Источник:

Правления ПФ РФ от 26.01.2001 N 15 "О введении в системе Пенсионного фонда Российской Федерации криптографической защиты информации и электронной цифровой подписи" (вместе с "Регламентом регистрации и подключения юридических и физических лиц к системе электронного документооборота Пенсионного фонда Российской Федерации")

Официальная терминология . Академик.ру . 2012 .

Смотреть что такое "Средства криптографической защиты информации (СКЗИ)" в других словарях:

СКЗИ - средства криптографической защиты информации СКЗИ средство контроля защищенности информации Источник: http://pcweek.ru/?ID=476136 … Словарь сокращений и аббревиатур

Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения - Терминология Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения: 29. Администратор защиты Субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к… … Словарь-справочник терминов нормативно-технической документации

EToken - смарт карта и USB ключ eToken PRO, eToken NG FLASH, eToken NG OTP, eToken PRO (Java) и eToken PASS eToken (от англ. electronic электронный и англ. token признак, жетон) торговая марка для линейки персональных средств… … Википедия

OPTIMA-WorkFlow - В данной статье или разделе имеется список источников или внешних ссылок, но источники отдельных утверждений остаются неясными из за отсутствия сносок. Вы можете улучшить статью, внеся более точные указания на источники … Википедия - Аппаратное шифрование процесс шифрования, производимый при помощи специализированных вычислительных устройств. Содержание 1 Введение 2 Достоинства и недостатки аппаратного шифрования … Википедия