Përdorimi i kriptimit në kompanitë ruse. Futja e kripto-masave në sistemet e mbrojtjes së të dhënave personale

Mjetet e mbrojtjes së informacionit kriptografik të klasave të sigurisë KS2 dhe KS1 në përputhje me kërkesat e FSB të Rusisë ndryshojnë në aftësitë aktuale të burimeve të sulmit dhe masat e marra për të luftuar sulmet.

1. Aftësitë aktuale të burimeve të sulmit

Mjetet e mbrojtjes së informacionit kriptografik (CIPF) të klasës KS1 përdoren kur janë të pranishme aftësitë aktuale të burimeve të sulmit, përkatësisht, për të krijuar në mënyrë të pavarur metoda sulmi, për të përgatitur dhe kryer sulme vetëm jashtë zonës së kontrolluar.

Klasa CIPF KS2 përdoret kur aftësitë aktuale të burimeve të sulmit janë:

krijoni në mënyrë të pavarur metoda sulmi, përgatitni dhe kryeni sulme vetëm jashtë zonës së kontrolluar;
krijoni në mënyrë të pavarur metoda sulmi, përgatitni dhe kryeni sulme brenda zonës së kontrolluar, por pa akses fizik në harduerin mbi të cilin zbatohet CIPF dhe mjedisi i tyre operativ (SF).

Kështu, klasa CIPF KS2 ndryshon nga KS1 për sa i përket neutralizimit të burimeve të sulmit, krijimit të pavarur të metodave të sulmit, përgatitjes dhe kryerjes së sulmeve brenda zonës së kontrolluar, por pa qasje fizike në harduerin në të cilin zbatohen CIPF dhe IP.

2. Opsionet për zbatimin e klasave të mbrojtjes CIPF KS3, KS2 dhe KS1

Opsioni 1, ky është softueri bazë CIPF që siguron klasën e mbrojtjes KS1.

Opsioni 2 është një CIPF i klasës KS2, i përbërë nga një CIPF bazë i klasës KS1 së bashku me një modul ngarkese të besuar të softuerit të certifikuar (APMDZ).

Opsioni 3 është një klasë CIPF KS3, e përbërë nga një klasë CIPF KS2 së bashku me softuer të specializuar për krijimin dhe kontrollin e një mjedisi të mbyllur softueri.

Kështu, softueri i klasës CIPF KS2 ndryshon nga KS1 vetëm në shtimin e një APMDZ të certifikuar në klasën CIPF KS1. Dallimi midis klasës CIPF KS3 dhe klasës KS1 është përdorimi i klasës CIPF KS1 në lidhje me një APMDZ të certifikuar dhe softuer të specializuar për të krijuar dhe kontrolluar një mjedis të mbyllur softueri. Dhe gjithashtu ndryshimi midis klasës CIPF KS3 dhe klasës KS2 është përdorimi i klasës CIPF KS2 së bashku me softuerin e specializuar për të krijuar dhe kontrolluar një mjedis të mbyllur softueri.

3. Masat kundër sulmeve

Klasa CIPF KS2 nuk zbaton masa për të luftuar sulmet, të cilat janë të detyrueshme kur përdorni klasën CIPF KS1, përkatësisht:

është miratuar një listë e personave që kanë të drejtë të hyjnë në ambiente;
është miratuar një listë e personave që kanë të drejtë të hyjnë në ambientet ku ndodhen sistemet e mbrojtjes së informacionit kriptografik;
u miratuan rregullat për hyrjen në ambientet ku ndodhen sistemet e mbrojtjes së informacionit kriptografik gjatë orarit të punës dhe jo-pune, si dhe në situata emergjente;
aksesi në zonën e kontrolluar dhe ambientet ku ndodhen sistemet e informacionit të të dhënave personale (PDIS) dhe/ose burimet CIPF sigurohet në përputhje me regjimin e kontrollit të aksesit;
informacioni për masat fizike për mbrojtjen e objekteve në të cilat ndodhen sistemet e informacionit është i disponueshëm për një numër të kufizuar punonjësish;
dokumentacioni për CIPF ruhet nga personi përgjegjës për CIPF në një kasafortë metalike (kabinet);
ambientet në të cilat ndodhet dokumentacioni për komponentët CIPF, CIPF dhe SF janë të pajisura me dyer hyrëse me bravë, duke siguruar që dyert e lokaleve të jenë të kyçura dhe të hapura përgjithmonë vetëm për kalim të autorizuar;
përfaqësuesit e shërbimeve teknike, të mirëmbajtjes dhe të tjera mbështetëse kur punojnë në ambientet (raftet) ku ndodhen CIPF, dhe punonjësit që nuk janë përdorues të CIPF, ndodhen në këto ambiente vetëm në prani të punonjësve të operimit;
punonjësit që janë përdorues të ISPD, por nuk janë përdorues të CIPF, janë të informuar për rregullat e punës në ISPD dhe përgjegjësinë për mosrespektimin e rregullave të sigurisë së informacionit;
Përdoruesit e CIPF informohen për rregullat e punës në ISDN, rregullat e punës me CIPF dhe përgjegjësinë për mosrespektimin e rregullave të sigurisë së informacionit;
kryhet regjistrimi dhe regjistrimi i veprimeve të përdoruesit me të dhënat personale;
Monitorohet integriteti i mjeteve të sigurisë së informacionit.

Pak më shumë se dy dekada më parë, kriptografia në Rusi ishte afërsisht në të njëjtin nivel sekreti si teknologjia e prodhimit të armëve - zbatimi i saj praktik ishte ekskluzivisht në domenin e ushtrisë dhe shërbimeve të inteligjencës, domethënë kontrollohej plotësisht nga shteti. Nuk ishte e mundur të gjesh ndonjë botim ose punim shkencor për këtë çështje në domenin publik - tema e kriptografisë u mbyll.

Situata ndryshoi vetëm në 1990, kur u prezantua standardi i kriptimit GOST 28147-89. Fillimisht, algoritmi u klasifikua si DSP dhe zyrtarisht u bë "plotësisht i hapur" vetëm në 1994.

Është e vështirë të thuhet saktësisht se kur është bërë një zbulim informacioni në kriptografinë vendase. Me shumë mundësi, kjo ndodhi me ardhjen e aksesit në internet nga publiku i gjerë, pas së cilës materiale të shumta me përshkrime të algoritmeve dhe protokolleve kriptografike, artikuj mbi kriptanalizën dhe informacione të tjera që lidhen me kriptim filluan të publikohen në internet.

Në kushtet aktuale, kriptografia nuk mund të mbetej më prerogativë vetëm e shtetit. Për më tepër, zhvillimi i teknologjive të informacionit dhe komunikimeve ka krijuar nevojën për përdorimin e mjeteve mbrojtëse kriptografike nga kompanitë dhe organizatat tregtare.

Sot për të mjetet e mbrojtjes së informacionit kriptografik(CIS) përfshijnë: mjetet e kriptimit, mjetet e mbrojtjes së imitimit, mjetet elektronike të nënshkrimit dixhital, mjetet e kodimit, mjetet kryesore të prodhimit të dokumenteve dhe veten e tyre dokumentet kryesore.

mbrojtjen e sistemeve të informacionit të të dhënave personale;
mbrojtjen e informacionit konfidencial të kompanisë;
enkriptimi i postës elektronike të korporatës;
krijimi dhe verifikimi i nënshkrimeve dixhitale.

Përdorimi i kriptografisë dhe CIPF në kompanitë ruse

1. Futja e kriptomonedhave në sistemet e mbrojtjes së të dhënave personale

Aktivitetet e pothuajse çdo kompanie ruse sot shoqërohen me ruajtjen dhe përpunimin e të dhënave personale (PD) të kategorive të ndryshme, për mbrojtjen e të cilave legjislacioni i Federatës Ruse parashtron një sërë kërkesash. Për t'i përmbushur ato, menaxhmenti i kompanisë, para së gjithash, përballet me nevojën për të formuar modelet e kërcënimit të dhënat personale dhe zhvillimet e bazuara në to sistemet e mbrojtjes së të dhënave personale, i cili duhet të përfshijë një mjet për mbrojtjen e informacionit kriptografik.

Kërkesat e mëposhtme janë paraqitur për CIPF të zbatuar në sistemin e mbrojtjes së të dhënave personale:

Një mjet kriptografik duhet të funksionojë siç duhet në lidhje me harduerin dhe softuerin që mund të ndikojnë në përmbushjen e kërkesave për të.
Për të siguruar sigurinë e të dhënave personale gjatë përpunimit të tyre, duhet të përdoren kriptovalutat e certifikuara në sistemin e certifikimit të FSB të Rusisë.

Një mjet kriptografik, në varësi të nivelit të mbrojtjes që ofron, mund të klasifikohet në një nga gjashtë klasat (KS1, KS2, KS3, KB1, KB2, KA1). Futja e një kripto-vegle të një klase ose një tjetër me një sistem sigurie përcaktohet nga kategoria e shkelësit(subjekti i sulmit), i cili përcaktohet nga operatori në modelin e kërcënimit.

Kështu, mjetet e mbrojtjes kriptografike tani përdoren në mënyrë efektive nga kompanitë dhe organizatat për të mbrojtur të dhënat personale të qytetarëve rusë dhe janë një nga komponentët më të rëndësishëm në sistemet e mbrojtjes së të dhënave personale.

2. Mbrojtja e informacionit të korporatës

Nëse në paragrafin 1 përdorimi i mjeteve kriptografike përcaktohet, para së gjithash, nga kërkesat e legjislacionit të Federatës Ruse, atëherë në këtë rast menaxhmenti i vetë kompanisë është i interesuar në përdorimin e mbrojtjes së informacionit kriptografik. Duke përdorur një mjet kriptimi, një kompani është në gjendje të mbrojë informacionin e saj të korporatës - informacion që përfaqëson një sekret tregtar, pronë intelektuale, informacion operativ dhe teknik, etj.

Sot, për përdorim efektiv në një mjedis të korporatës, një program enkriptimi duhet të sigurojë:

kriptimi i të dhënave në një server të largët;
mbështetje për kriptografinë asimetrike;
kriptim transparent;
enkriptimi i dosjeve të rrjetit;
aftësia për të diferencuar të drejtat e aksesit në informacionin konfidencial ndërmjet punonjësve të kompanisë;
aftësia e punonjësve për të ruajtur çelësat privatë në media të jashtme të ruajtjes (tokenat).

Pra, aplikimi i dytë i CIPF është mbrojtja e informacionit konfidencial të kompanisë. Një mjet kriptimi që mbështet aftësitë e mësipërme mund të sigurojë mbrojtje mjaft të besueshme, por sigurisht që duhet të përdoret si një komponent qasje e integruar për mbrojtjen e informacionit. Kjo qasje përfshin gjithashtu përdorimin e mureve të zjarrit, antiviruseve dhe mureve të zjarrit, dhe gjithashtu përfshin zhvillimin e një modeli të kërcënimit të sigurisë së informacionit, zhvillimin e politikave të nevojshme të sigurisë së informacionit, caktimin e atyre që janë përgjegjës për sigurinë e informacionit, kontrollin e rrjedhës së dokumenteve elektronike, kontrollin dhe monitorimi i aktiviteteve të punonjësve etj.

3. Nënshkrimi elektronik

Një nënshkrim elektronik (ES) sot është një analog i plotë i një nënshkrimi të shkruar me dorë dhe mund të përdoret nga persona juridikë dhe individë për të siguruar një dokument në një format dixhital me fuqi ligjore. Përdorimi i nënshkrimeve elektronike në sistemet elektronike të menaxhimit të dokumenteve rrit ndjeshëm shpejtësinë e përfundimit të transaksioneve tregtare, zvogëlon volumin e dokumenteve të kontabilitetit në letër dhe kursen kohën e punonjësve. Përveç kësaj, nënshkrimi elektronik zvogëlon kostot e kompanisë për lidhjen e kontratave, përpunimin e dokumenteve të pagesave, marrjen e certifikatave të ndryshme nga agjencitë qeveritare dhe shumë më tepër.

Mjetet e mbrojtjes kriptografike, si rregull, përfshijnë funksione për krijimin dhe verifikimin e nënshkrimeve elektronike. Legjislacioni rus parashtron kërkesat e mëposhtme për një CIPF të tillë:

Kur krijojnë një nënshkrim elektronik, ata duhet:

t'i tregojë personit që nënshkruan dokumentin elektronik përmbajtjen e informacionit që ai po nënshkruan;
krijoni një nënshkrim elektronik vetëm pas konfirmimit nga personi që nënshkruan dokumentin elektronik të operacionit për të krijuar një nënshkrim elektronik;
tregojnë qartë se nënshkrimi elektronik është krijuar.

Kur kontrollojnë nënshkrimin elektronik, ata duhet:

tregoni përmbajtjen e një dokumenti elektronik të nënshkruar me nënshkrim elektronik;
shfaq informacione rreth ndryshimeve në dokumentin elektronik të nënshkruar;
tregoni personin që përdor çelësin e nënshkrimit dixhital të të cilit janë nënshkruar dokumentet elektronike.

4. Kriptimi i postës elektronike

Për shumicën e kompanive, emaili është mjeti kryesor i komunikimit ndërmjet punonjësve. Nuk është sekret që sot një sasi e madhe informacioni konfidencial dërgohet përmes emailit të korporatës: kontrata, fatura, informacione për produktet e kompanisë dhe politikat e çmimeve, treguesit financiarë, etj. Nëse një informacion i tillë bëhet i disponueshëm për konkurrentët, kjo mund të shkaktojë dëme të konsiderueshme në shoqëria deri në përfundimin e veprimtarisë së saj.

Prandaj, mbrojtja e emailit të korporatës është një komponent jashtëzakonisht i rëndësishëm në sigurimin e sigurisë së informacionit të një kompanie, zbatimi i të cilit bëhet i mundur edhe nëpërmjet përdorimit të mjeteve të kriptografisë dhe enkriptimit.

Shumica e klientëve të postës elektronike si p.sh Outlook, Kinderbird, The Bat! etj., ju lejojnë të konfiguroni shkëmbimin e mesazheve të koduara bazuar në certifikatat e çelësit publik dhe privat (certifikata në formatet X.509 dhe PKCS#12, përkatësisht), të krijuara duke përdorur mjetet e mbrojtjes kriptografike.

Këtu vlen të përmendet edhe aftësia e mjeteve kriptografike për të punuar si autoritete certifikimi (CA). Qëllimi kryesor i një autoriteti certifikues është të lëshojë certifikata të kriptimit dhe të konfirmojë vërtetësinë e çelësave të enkriptimit. Në përputhje me legjislacionin rus, CA-të ndahen në klasa (KS1, KS2, KS3, KB1, KB2, KA1), secila prej të cilave ka një numër kërkesash. Në të njëjtën kohë, klasa e CIPF e përdorur në mjetet CA nuk duhet të jetë më e ulët se klasa përkatëse CA.

Duke përdorur CyberSafe Enterprise

Gjatë zhvillimit të programit CyberSafe Enterprise, ne u përpoqëm të merrnim parasysh të gjitha tiparet e përshkruara më sipër, duke i përfshirë ato në grupin funksional të programit. Kështu, ai mbështet funksionet e renditura në paragrafin 2 të këtij neni, enkriptimin e emailit, krijimin dhe verifikimin e nënshkrimeve dixhitale, si dhe punën si autoritet certifikues.

Disponueshmëria në CyberSafe serverët e çelësit publik lejon kompanitë të organizojnë një shkëmbim të përshtatshëm çelësash midis punonjësve të tyre, ku secili prej tyre mund të publikojë çelësin e tij publik, si dhe të shkarkojë çelësat publikë të përdoruesve të tjerë.

Më pas, do të ndalemi më në detaje mbi mundësinë e futjes së Ndërmarrjes CyberSafe në sistemet e mbrojtjes së të dhënave personale. Kjo mundësi ekziston falë mbështetjes së programit të kriptoproviderit CryptoPro CSP, i certifikuar nga FSB e Federatës Ruse si CIPF i klasave KS1, KS2 dhe KS3 (në varësi të versionit) dhe specifikohet në pikën 5.1. "Rekomandime metodologjike për të siguruar sigurinë e të dhënave personale duke përdorur mjete kriptografike":

"Përfshirja e kripto-pasurive të klasës KS1 dhe KS2 kryhet pa kontroll nga FSB e Rusisë (nëse ky kontroll nuk parashikohet në specifikimet teknike për zhvillimin (modernizimin) e sistemit të informacionit)."

Kështu, duke pasur një CIPF CryptoPro CSP të integruar, programi CyberSafe Enterprise mund të përdoret në një sistem të mbrojtjes së të dhënave personale të klasave KS1 dhe KS2.

Pas instalimit të CryptoPro CSP në kompjuterin e përdoruesit, kur krijoni një certifikatë në CyberSafe Enterprise, do të jetë e mundur të krijoni një certifikatë CryptoPRO:

Pasi të përfundojë krijimi i certifikatës CyberSafe, krijohen gjithashtu çelësat CryptoPRO, të shfaqura në paketën tuaj dhe të disponueshme për përdorim:

Nëse ka nevojë për të eksportuar çelësat CryptoPro në një skedar të veçantë, kjo mund të bëhet përmes funksionit standard të eksportit të çelësit CyberSafe:

Nëse dëshironi të kriptoni skedarët për transferim te përdoruesit e tjerë (ose t'i nënshkruani ato me nënshkrimin tuaj dixhital) dhe të përdorni çelësat CryptoPro për këtë, duhet të zgjidhni CryptoPro nga lista e ofruesve të disponueshëm të kriptove:

Nëse dëshironi të përdorni çelësat CryptoPro për kriptim transparent të skedarëve, duhet të specifikoni gjithashtu CryptoPro si një ofrues kripto në dritaren e përzgjedhjes së certifikatës:

Në CyberSafe, është e mundur të përdorni CryptoPRO dhe algoritmin GOST për të kriptuar disqet/ndarjet logjike dhe për të krijuar disqe virtuale të koduara:

Gjithashtu, bazuar në certifikatat CryptoPro, mund të konfigurohet enkriptimi i emailit. Në KriptoPro CSP, algoritmet për gjenerimin dhe verifikimin e nënshkrimeve elektronike zbatohen në përputhje me kërkesat e standardit GOST R 34.10-2012, algoritmi i kriptimit / deshifrimit të të dhënave zbatohet në përputhje me kërkesat e standardit GOST 28147-89.

Deri më sot, CyberSafe është i vetmi program që kombinon funksionet e enkriptimit të skedarëve, dosjeve të rrjetit, disqeve logjike, postës elektronike dhe aftësisë për të punuar si autoritet certifikimi me mbështetje për standardet e kriptimit GOST 28147-89 dhe GOST R 34.10-2012.

Dokumentacioni:

1. Ligji Federal "Për të dhënat personale", datë 27 korrik 2006 Nr. 152-FZ.
2. Rregullore për garantimin e sigurisë së të dhënave personale gjatë përpunimit të tyre në sistemet e informacionit të të dhënave personale, miratuar me Dekret të Qeverisë së Federatës Ruse të 17 nëntorit 2007 Nr. 781.
3. Rekomandime metodologjike për të siguruar sigurinë e të dhënave personale duke përdorur mjete kriptografike gjatë përpunimit të tyre në sistemet e informacionit të të dhënave personale duke përdorur mjete automatizimi, të miratuara nga menaxhmenti i Qendrës së 8-të të FSB të Rusisë më 21 shkurt 2008 Nr. 149/54- 144.
4. Rregulloret për zhvillimin, prodhimin, shitjen dhe funksionimin e mjeteve të sigurisë së informacionit të kriptimit (kriptografik), miratuar me Urdhrin e FSB të Federatës Ruse të 9 shkurtit 2005 nr. 66.
5. Kërkesat për mjetet e nënshkrimit elektronik dhe Kërkesat për mjetet e një qendre certifikimi, miratuar me Urdhrin e Shërbimit Federal të Sigurisë të Federatës Ruse, datë 27 dhjetor 2011, nr. 796.

Software "CryptoPro CSP" projektuar për të monitoruar integritetin e sistemit dhe softuerit aplikativ, për të menaxhuar elementët kryesorë të sistemit në përputhje me rregulloret për masat e sigurisë, autorizimin dhe për të siguruar rëndësinë ligjore të dokumenteve elektronike gjatë shkëmbimit të tyre midis përdoruesve. Përveç vetë ofruesit të kriptove, CryptoPro CSP përfshin produktet CryptoPro TLS, CryptoPro EAP-TLS, CryptoPro Winlogon dhe CryptoPro Revocation Provider.

Zgjidhja është menduar për:

autorizimi dhe sigurimi i rëndësisë juridike të dokumenteve elektronike gjatë shkëmbimit të tyre midis përdoruesve, përmes përdorimit të procedurave për gjenerimin dhe verifikimin e një nënshkrimi elektronik (ES) në përputhje me standardet e brendshme GOST R 34.10-2001 / GOST R 34.10-2012 (duke përdorur GOST R 34.11-94 / GOST R 34.11-2012);
sigurimi i konfidencialitetit dhe monitorimi i integritetit të informacionit përmes enkriptimit dhe mbrojtjes së tij imituese, në përputhje me GOST 28147-89;
sigurimin e autenticitetit, konfidencialitetit dhe mbrojtjes imituese të lidhjeve nëpërmjet protokollit TLS;
monitorimi i integritetit të sistemit dhe softuerit aplikativ për ta mbrojtur atë nga ndryshimet e paautorizuara dhe shkeljet e funksionimit të duhur;
menaxhimin e elementeve kryesore të sistemit në përputhje me rregulloret për pajisjet mbrojtëse.

Algoritme të zbatueshme

Algoritmi për gjenerimin e vlerës së funksionit hash zbatohet në përputhje me kërkesat e GOST R 34.11-94 / GOST R 34.11-2012 "Teknologjia e informacionit. Mbrojtja e informacionit kriptografik. Funksioni hash."
Algoritmet për gjenerimin dhe verifikimin e një nënshkrimi elektronik zbatohen në përputhje me kërkesat e GOST R 34.10-2001 / GOST R 34.10-2012 "Teknologjia e informacionit. Mbrojtja e informacionit kriptografik. Proceset e formimit dhe verifikimit të nënshkrimeve dixhitale elektronike.”
Algoritmi i kriptimit / deshifrimit të të dhënave dhe llogaritja e inserteve imituese zbatohen në përputhje me kërkesat e GOST 28147-89 "Sistemet e përpunimit të informacionit. Mbrojtja kriptografike."

Kur gjeneroni çelësa privatë dhe publikë, është e mundur të gjeneroni me parametra të ndryshëm në përputhje me GOST R 34.10-2001 / GOST R 34.10-2012.
Kur gjeneroni një vlerë të funksionit hash dhe enkriptim, është e mundur të përdorni nyje të ndryshme zëvendësuese në përputhje me GOST R 34.11-94 dhe GOST 28147-89.

Llojet kryesore të mediave të mbështetura

floppy disqe 3.5;
kartat inteligjente që përdorin lexues të kartave inteligjente që mbështesin protokollin PC/SC;
Tabletat me memorie me prekje DS1993 - DS1996 duke përdorur pajisje Accord 4+, një bllokues elektronik "Sobol", "Krypton" ose një lexues tableti me memorie Touch-Memory DALLAS (vetëm versioni i Windows);
çelësat elektronikë me një ndërfaqe USB (shenja USB);
media e lëvizshme me ndërfaqe USB;
regjistri i Windows OS;
Skedarët e sistemit operativ Solaris/Linux/FreeBSD.

	CSP 3.6	CSP 3.9	CSP 4.0	CSP 5.0
Windows Server 2016		x64*	x64**	x64
Windows 10		x86 / x64*	x86 / x64**	x86/x64
Windows Server 2012 R2		x64	x64	x64
Windows 8.1		x86/x64	x86/x64	x86/x64
Windows Server 2012	x64	x64	x64	x64
Windows 8	x86/x64	x86/x64	x86/x64
Windows Server 2008 R2	x64/iteanium	x64	x64	x64
Windows 7	x86/x64	x86/x64	x86/x64	x86/x64
Windows Server 2008	x86 / x64 / itanium	x86/x64	x86/x64	x86/x64
Windows Vista	x86/x64	x86/x64
Windows Server 2003 R2	x86 / x64 / itanium	x86/x64	x86/x64	x86/x64
Windows Server 2003	x86 / x64 / itanium	x86/x64	x86/x64	x86/x64
Windows XP	x86/x64
Windows 2000	x86