58
сотрудн
ичества в пла
не приема и передачи инфор
мации, касаемо К
И. Бюро
буд
ет обязано предост
авлять ключи дл
я проверки Ц
П.
Для обм
ена бухгалтерскими докуме
нтами используется лич
ный кабинет
органи
зации в сист
еме. Так ка
к для вхо
да в сист
ему используется лог
ин и
пар
оль, то ника
ких дополнительных подп
исей счета и акты н
е потребуется. Па
ра
логин и пароль мож
ет выступать в качестве ПЭ
П. Согласно ста
тье 6, п. 2 Ф
З№63
«Об электр
онной подписи» [10]:
Инфор
мация в электр
онной форме, кото
рая подписывается с помощью
прос
той электронной подп
исьи ил
и неквалифицированной электр
онной
подписи, является электр
онным документом. Так
ой документ явля
ется
равнозначным докум
енту на бума
жном носителе, подп
исанным
собствен
норучной подписью. Слу
чаи, в кот
орых вышеска
занное является
вер
ным - установлены федера
льными законами, приним
аемыми в соотве
тствии с
ни
ми нормати
вными правовыми акт
ами и соглаш
ениями между участн
иками
электронного документ
ооборота. Нормат
ивные правовые ак
ты, а та
к же
согла
шения между участн
иками электронного документ
ооборота, которые
подтве
рждают случаи призн
ания электронных докум
ентов, подписанных
неквалифиц
ированной электронной подп
исью, равнозначными докум
ентам,
представленными н
а бумажных носит
елях, подписанных собствен
норучной
подписью, дол
жны предусматривать поря
док проверки неквалифиц
ированной
электронной подп
иси. Нормативные прав
овые акты и соглашения меж
ду
участниками электр
онного документооборота, кото
рые устанавливают случаи
призн
ания электронных докум
ентов, подписанных прос
той электронной
подп
исью, равнозначными докум
ентам на бума
жных носителях, подпис
анным
собственноручной подп
исью, должны соответс
твовать требованиям ста
тьи 9
Федерального зак
она №63 «Об электр
онной подписи».
И
з вышеуказанного мож
но сделать выв
од, что дл
я подписания
бухгалт
ерских документов доста
точно логина и пароля пр
и входе в систему
59
(ПЭ
П), для конт
роля целостности инфор
мации по К
И при при
еме/передачи
доста
точно НЭП, дл
я формирования кото
рой в автомат
ическом режиме буд
ет
использоваться Крипт
оПро JCP [11].
Так ж
е с помо
щью КриптоПро JCP буд
ет организовано шифро
вание
данных в базе сист
емы. В цел
ях соблюдения коммер
ческой тайны, алго
ритм и
тек
ст программы с подключением дан
ных библиотек в исходный ко
д не мож
ет
быть опубли
кован в дан
ной работе.
3.2 Внедр
ение индивидуального электр
онного ключа сотруд
ников
ООО «Атмосфера», имею
щих доступ к АС АТ
М
Электронный кл
юч – аппар
атное средство, предназ
наченое дл
я защиты
програ
ммного обеспечения и конфиденциальной инфор
мации от
несанкцион
ированного доступа, нелега
льного использования и
несанкционированного копиро
вания и распрост
ранения.
Использование так
их ключей позво
ляет усовершенствовать проц
ессы
идентификации и аутентификации н
а локальных рабо
чих компьютерах
сотруд
ников организации и в корпора
тивной сети комп
ании. Производители
предл
агают два вари
анта ключей: сма
рт-карты и usb-ключи. Дл
я нашей сист
емы
будет удоб
нее использование име
нно usb-ключей, та
к как планир
уется
использование н
а компьютерах рабо
чих.
Для автори
зации на серв
ере используется ключ
евой носитель eToken Pro
32k. Име
нно поэтому выб
ор компании произво
дителя для заку
пки usb-ключей
опред
елить не сло
жно, тем бол
ее ценовые катег
ории различных комп
аний в
дан
ной области сущест
венно не различ
аются: от 1000р до 2000р.
Характеристики eToken Pro:
двухфак
торная аутентификация – усовершенс
твованный вид защ
иты, при
кото
рой используется пар
оль, при эт
ом пользователь автори
зуется, предоставляя
ка
к минимум дв
а средства аутенти
фикации. Одним и
з этих сред
ств является
60
token, напр
имер, USB-ключ ил
и смарт-кар
та eToken PRO (Jаvа), а вто
рое –
персональный PIN-ко
д пользователя.
В каче
стве второго крит
ерия идентификации пользо
вателя при
использ
овании электронных USB-клю
чей и сма
рт-карт eToken PRO (Jаvа)
приме
няют: Цифровые сертиф
икаты, использующие государс
твенный стандарт
Х.509 (Public Key Infrаstructure – инфраст
руктура открытых клю
чей) и Пароли
пользователей, ко
ды доступа и прочая инфор
мация для осущест
вления
аутентификации, кото
рые хранятся в защищенной пам
яти token.
Рисунок 2 – Ключевой носитель eToken Pro 32k
Работа с электронными ключ
ами не предст
авляет особой сложн
ости
пользователей П
К любого уро
вня. Принцип раб
оты с ключ
ами состоит в
следующем: кл
юч присоединяется к определѐнному интер
фейсу компьютера.
Дал
ее защищѐнная прогр
амма через специа
льный драйвер отпра
вляет ему
инфор
мацию, которая обрабат
ывается в соотве
тствии с алгор
итмом, заданным
ран
ее, и возвра
щается обратно. Ес
ли ключ отпра
вляет верный отв
ет, то
прогр
амма продолжает св
ою работу. В противном слу
чае программа мож
ет
61
выполнять разли
чные действия, за
данн
ые разрабо
тчиком. Например,
переклю
чаться в демонстр
ационный режим, блокир
овать доступ к некоторым
функ
циям.
Таким обра
зом, внедрение в работу подо
бных ключей явля
ется
необходимой мер
ой при постр
оении системы защ
иты информации.
Аутенти
фикации посредст
вом только пар
оля, как прав
ило, бывает недост
аточно.
Даже пар
оль более 10 симв
олов достаточно про
сто взломать, им
ея доступ к
рабочему компь
ютеру. Наличие электр
онного ключа сущест
венно усложняет
зад
ачу взломщиков.
3.3 Внедр
ение технических сред
ств защиты инфор
мации от уте
чки по
кана
лам связи
Зача
стую, во мно
гих организациях кана
лам утечки инфор
мации по
кана
лам связи (телеф
онные сети и ЛВС) практи
чески не уделя
ется должного
вним
ания. Многие руково
дители не счит
ают нужным затрач
ивать на эт
о
ресурсы комп
ании. Однако, дл
я опытных взлом
щиков не сост
авит труда
полу
чить все необхо
димые данные, испол
ьзуя, например, телеф
онную сеть.
Име
нно поэтому защ
ита каналов свя
зи является одн
ой из важне
йших задач пр
и
построении сист
емы защиты инфор
мации.
3.3.1 Защита телеф
онных сетей
Боль
шую опасность дл
я компании предст
авляет НСД злоумышл
енников
к програ
ммным портам АТ
С через внеш
ние каналы свя
зи. Гарантию то
го, что в
коммутационных стан
циях отсутствуют н
едекларированные возмож
ности,
может да
ть экспертиза и
х принципиальных сх
ем и исхо
дных текстов
програ
ммного обеспечения, кото
рая проводится тол
ько при сертиф
икации
изделий согл
асно требованиям ФС
Б РФ. Больши
нство иностранных
произво
дителей отказываются прохо
дить указанную проце
дуру, мотивируя св
ое
решение "коммер
ческой тайной". Так
им образом, бе
з каких-ли
бо
62
дополнительных меропр
иятий по органи
зации защиты телеф
онных сетей ри
ск
взлома сил
ьно возрастает.
Основ
ными техническими средс
твами для обеспе
чения защиты о
т взлома
в телефонных сет
ях являются межстан
ционные экраны. Прин
цип работы так
их
устройств заключ
ается в следу
ющем: устройство подклю
чается в раз
рыв
цифровых лин
ий, которые соеди
няют АТС комп
ании и АТ
С общего
пользо
вания, обеспечивает посто
янный контроль вс
ех событий, кото
рые
происходят в пользовательских и служебных кана
лах на фаз
ах установления и
разрыва соеди
нения, в состо
янии разговора.
Та
к же сущес
твуют блокираторы телеф
онов. Их глав
ной функцией
явля
ется отслеживание и предотвращение попы
ток прослушивания чер
ез
параллельную лин
ию.
Анализаторы телеф
онных линий мож
но разделить н
а два ви
да:
индивидуальные и тестовые компл
екты. Индивидуальные сигнали
заторы
следует устанав
ливать на зара
нее проверенную лин
ию. Они слу
жат для конт
роля
параметров телеф
онной пары. Ка
к правило, подо
бные сигнализаторы назы
вают
«телефонными стра
жами». Такой стр
аж обычно предоста
вляется в ви
де розетки
с двумя светод
иодами: зеленый озна
чает «Линия чис
та», красный озна
чает
«Тревога! Парам
етры линии измен
ились». Несомненным плю
сом таких
индивид
уальных сигнализаторов явля
ется простота эксплу
атации, минусом –
высо
кая вероятность ложн
ого срабатывания. Тест
овые комплекты
предназ
начены как ра
з для пров
ерки линии специал
истами. Такой комп
лект
посылает в линию зондир
ующий сигнал и анализирует отве
тный сигнал, п
о
которому опред
еляет наличие в линии как
их-либо радиоэл
ементов, присущих
сист
емам съема и передачи инфор
мации.
Примером такого устройства является SEC-2000 Ultra - Индикатор
состояния телефонной линии, который обеспечивает
63
– звуковую и световую индикацию дистанционного прослушивания
телефонного разговора с любого удаленного телефона;
– защиту от пиратского подключения со стороны линии;
– запрет выхода на линии междугородной и международной связи;
– установку пароля пользователя; запрос доступа к занятой линии при
междугороднем входящем звонке;
– активизацию акустопуска подключенных к телефонной линии
диктофонов;
– защиту телефона от скачков напряжения в телефонной линии.
«Лучшая обор
она – это напад
ение» – таким принц
ипом пользуются
устро
йства активной защ
иты телефонных лин
ий. Обычно и
х называют
телефо
нными подавителями. Так
ое устройство осущес
твляет зашумление
верх
него звукового диапа
зона, тем сам
ым ухудшая соотно
шение сигнал/шу
м на
вхо
де устройств. Н
а практике получ
ается, что подав
итель шума созд
ает очень
гром
кий звук, чт
о говорить практи
чески невозможно.
Преиму
щества анализаторов, подави
телей и блокир
аторов гармонично
соче
тают в се
бе универсальные устро
йства защиты телеф
онных линий. Он
и
работают в двух режи
мах: обнаружение и подавление. Пр
и любом конта
ктном
подключении к линии при
бор подаст ва
м сигнал трев
оги, после это
го можно
вклю
чить режим подав
ления. Помеха, кото
рая подается в линию, дейст
вует на
учас
тке от приб
ора до АТ
С, тем сам
ым приводя вс
е средства съе
ма в нераб
очее
состояние. Так
ой класс устро
йств защиты инфор
мации от уте
чки по телеф
онным
линиям явля
ется наиболее прием
лемым для обеспе
чения защиты перего
воров по
телеф
онным сетям. Осно
вной минус так
их приборов – неспосо
бность защитить
разг
овор абонента о
т системы опера
тивно-розыскных меропр
иятий, проводимая
субъе
ктами ОРД: ФС
Б, СВР, МВ
Д.
64
От сист
емы оперативно-розыс
кных мероприятий част
ично может
защи
тить класс так
их устройств защ
иты телефонных перего
воров, как
скре
мблеры. Телеф
онные скремблеры – устро
йства шифрации/дешиф
рации
речевых перего
воров. Так ка
к любой ко
д и ши
фр можно вскр
ыть, то скрем
блеры
только сниж
ают ценность раскр
ытого разговора. Напр
имер, вы разгова
ривали по
теле
фону о как
ой-либо важ
ной встрече, испол
ьзуя скремблирующее устро
йство.
Разговор бы
л перехвачен, н
о результаты дешиф
рации были полу
чены только
чер
ез какое-ли
бо время пос
ле встречи. И
з чего след
ует, что операт
ивная
ценность инфор
мации потеряна. Са
м скремблер предст
авляет собой чер
ную
(серую, бел
ую) коробку, кото
рую размещают ряд
ом с телеф
онным аппаратом.
Так
ая же коро
бка должна бы
ть у вс
ех абонентов, с которыми необх
одимо
засекретить перег
оворы. Порядок дейс
твий со скремб
лером следующий: в
ы
дозваниваетесь д
о абонента, об
а включаете св
ои скремблеры, жде
те пока он
и
настроятся др
уг на дру
га, после че
го начинаете разгова
ривать.
Пример такого устройства - «Референт Basic» - устройство для защиты
телефонных переговоров.
Аппараты серии РЕФЕРЕНТ работают как в открытом, так и в закрытом
режиме , используя специальные цифровые алгоритмы различной степени
защищенности. При этом различные аппараты в защищенном режиме
совместимы друг с другом. В открытом режиме все функции телефонных
аппаратов сохранены. Устройства могут работать как на линиях городских АТС
, так и в составе офисных станций. Небольшие габариты и вес, а также простота
подключения позволяют использовать аппаратуру РЕФЕРЕНТ в командировках.
Гибкость программного обеспечения позволяет реализовывать различные
версии для защиты сети, построенных на основе технологий Frame Relay, а
также в IP - телефонии.
Последний кла
сс приборов защ
иты телефонной лин
ии это выжиг
атели
средств съе
ма. Работает так
ое средство доста
точно просто: н
а линию пода
ется
65
малый то
к высокого напря
жения. Таким обра
зом все прослуш
ивающие
устройства сгор
ают. Приобретение так
ого устройства, ка
к правило, се
бя не
оправд
ывает. Это дово
льно дорогостоящее меропр
иятие, которое дол
жны
производить квалифици
рованные специалисты в данной обла
сти.
Следовательно, и
з всех сред
ств защиты и контроля тел
ефонных сет
ей общего
пользо
вания максимально эффект
ивными по крите
риям защиты и эксплуатации
явля
ются универсальные устро
йства защиты и скремблеры.
Дал
ее рассмотрим некот
орые примеры подо
бных устройств.
«Г
И-1500»: ГИ-1500 - выжиг
атель устройств съе
ма информации в
проводных лин
иях связи и в обесто
ченной электросети.
Предна
значен для защ
иты от несанкцион
ированного прослушивания
перего
воров по теле
фону и в помещении с помощью устро
йств, которые
рабо
тают в прово
дных линиях ил
и в электр
осети.
Принцип дейс
твия прибора осно
ван на электри
ческом пробое
радиоэл
ементов. В лин
ию подается мощ
ный короткий высоков
ольтный импульс,
с помощью кото
рого возможно полно
стью разрушить функцио
нальную
деятельность сред
ств съема инфор
мации.
Техническое сред
ство защиты телеф
онных сетей «Гра
нит-8» - это
абонен
тское устройство защ
иты информации в телефонных сет
ях, которое
предназ
начено для защ
иты информации в телефонной лин
ии от уте
чки
вследствие микроф
онного эффекта з
а счет акустоэлек
трических преобразований,
а также пр
и высокочастотном навязы
вании. Устройство защ
иты телефонных
лин
ий представляет соб
ой фильтр, кото
рый пропускает сигн
алы речевого
диапа
зона и ослаб
ляет сигналы высокоча
стотного навязывания.
Особен
ности данного устро
йства:
Одной и
з основных особен
ностей данного устро
йства защиты
телеф
онных линий явля
ется возможность устан
овки фильтра «Гра
нит-8» на
двухпро
водные линии; обеспе
чение защиты инфор
мации в телеф
онной линии о
т
66
утечки вслед
ствие микрофонного эффе
кта за сч
ет акустоэлектрических
преобра
зований, а так
же при высокоча
стотном навязывании; вс
е элементы
схе
мы устройства защ
иты телефонных лин
ий защищены электрост
атическим
экраном.
Устан
овка:
Установка при
бора осущест
вляется на охран
яемом объекте в месте, гд
е
он защи
щен от воздей
ствия атмосферных осад
ков, механических повреж
дений и
до
ступа постор
онних лиц. Произв
одится монтаж лин
ий, соединяющих при
бор с
Ш
С, линиями ПЦ
Н, сетью, извеща
телями, световым и звуковым оповеща
телями,
голосовым оповещ
ателем, управлен
ием системой венти
ляции, световым таб
ло
согласно схе
мы внешних соеди
нений.
На рассмо
трении эт
их двух приб
оров можно остан
овитьс
я, так ка
к на
предпр
иятии важная конфиден
циальная информация н
е передается п
о
телефонным лин
иям. Поэтому буд
ет достаточно использ
ования прибора Гра
нит-
8. В не
м оптимально сочет
аются необходимые технич
еские характеристики и
приемлемая стоим
ость.
3.3.2 Защита ЛВ С
При пере
ходе от раб
оты на П
К к раб
оте в общ
ей корпоративной се
ти
существенно услож
няется обеспе
чение защиты инфор
мации. Достаточно
взло
мать один компь
ютер, как ресу
рсы сети буд
ут открыты.
Первым, чт
о необходимо дел
ать при органи
зации защиты ЛВ
С, это
разде
лить доступ разли
чным категориям сотруд
ников. В так
ом случае ри
ск
проникновения в ЛВС органи
зации будет сущест
венно снижен.
Коне
чно, одного разгран
ичения доступа н
е достаточно. Необх
одимо
прибегать к техническим средс
твам. Самым распрост
раненным средством дл
я
обеспечения защ
иты в ЛВ
С являются сете
вые фильтры.
Фил
ьтр сетевой «ЛФ
С-40-1Ф»: предна
значен для защ
иты
радиоэлектронных устро
йств и сред
ств вычислительной техн
ики от уте
чки
67
информации п
о цепям электро
питания с напряж
ением до 250 В частотой 50 Г
ц с
максим
альным рабочим ток
ом 40 А, а также о
т высокочастотных пом
ех в пол
осе
частот 0,1- 1000 МГ
ц.
Фильтр примен
яется для обеспе
чения электромагнитной разв
язки по
цеп
ям электропитания радиоэле
ктронны устройств, сред
ств вычислительной
техн
ики и электр
осетей промышленных и других объе
ктов.
Установка: та
к как ЛФ
С-40-1Ф предст
авляет собой высокоча
стотный
фильтр, т
о его необх
одимо включать в сеть с напряжением 220В с част
отой 50Гц
бе
з соблюдения поляр
ности. Для умень
шения связи меж
ду входом и выходом
элем
енты фильтра разме
щены в тр
ех экранированных отсе
ках, образованных
стенками и шасси изде
лия. Устройство выпол
нено в ко
рпусе и
з оцинкованной
ста
ли. Элеме
нты смонтированы в электростатическом экр
ане. Режим раб
оты
изделия автомат
ический, круглосуточный.
Програ
ммные средства уж
е предусмотрены в организации, приве
дены в
аналити
ческой части дан
ной работы.
3.4 Поря
док работ по внедрению
1. Цифр
овая подпись.
Дл
я интеграции Sun IdM и КриптоПро JCP:
Снач
ала необходимо устан
овить IdM.
Посл
е чего н
а сервер след
ует поставить JCP в соответствии с
рекомендациями п
о установке П
О СКЗИ.
Настр
оить конфигурацию серв
ера по докуме
нтации. (Для устан
овки:
security.nonrepudiation.signedApprovals=true) .
Далее необх
одимо открыть отлад
очную страницу Identity Manager
(http://PathToIDM/debug). Загру
зится страница с системными настро
йками. В
пун
кте «List Objects» необходимо выбр
ать из выпада
ющего меню
«Configuration» и нажать «List Objects», появ
ится страница «List Objects of type:
Configuration». В пункте «System Configuration» необх
одимо выбрать «Edit»,