Электронный замок «Соболь» разработан НИП “Информзащита” и является типичным примером электронного замка. Аппаратный модуль доверенной загрузки «Аккорд-АМДЗ» выполняет более широкие функции, чем простой электронный замок, но, в частности, выполняет и функции электронного замка. Он серийно выпускается ОКБ САПР .
Принцип работы перечисленных электронных замков примерно одинаков, и основан на перехвате момента загрузки ОС при помощи кода, размещенного в т.н. Expansion ROM. При получении управления ПО электронного замка проводит идентификацию/аутентификацию пользователя, затем выполняются процедуры контроля целостности аппаратных и программных средств, и затем происходит загрузка ОС, установленной на компьютере.
Качество и надежность процедур идентификации/аутентификации и контроля целостности являются основными определяющими факторами при выборе электронного замка. Рассмотрим реализацию этих процедур более подробно.
name='more'>
Идентификация/аутентификация пользователя
Идентификация/аутентификация пользователя в сравниваемых электронных замках производится при помощи ТМ-идентификатора/пароля. Однако, в реализации этих процедур имеются кардинальные отличия, вызванные разной архитектурой контроллеров “Соболь” и “Аккорд”. Для возможности проведения полноценного сравнения необходимо вначале рассмотреть особенности архитектуры каждого из контроллеров, приведенные на рис. 1 и рис. 2, соответственно.
 |
Рис.1 Архитектура контроллера “Соболь” |
 |
Рис.2 Архитектура контроллера Аккорд |
На первый взгляд архитектуры рассматриваемых контроллеров весьма похожи. Контроллер ”Аккорд” отличается только наличием интерфейсного микроконтроллера. А между тем именно это, на первый взгляд, незначительное отличие делает контроллер ”Аккорд” изделием совершенно другого класса. Поясним это утверждение, рассмотрев более подробно реализации процедур идентификации/аутентификации. Отметим сразу, что у обоих контроллеров данные о пользователях хранятся во встроенной энергонезависимой памяти.
Идентификация/аутентификация пользователя в электронном замке "Соболь"
Сложность интерфейсного автомата контроллера “Соболь” весьма невысока. Именно это является причиной того, что процедура идентификации/аутентификации проводится не контроллером “Соболь”, а только при помощи ПО, размещенного в BIOS контроллера и исполняемого персональным компьютером. Фактически это выглядит так:
- запрос на получение ТМ-идентификатора;
- ввод пароля;
- чтение всех данных из энергонезависимой памяти контроллера в память персонального компьютера;
- принятие решения о успешном/неуспешном завершении процедуры;
- блокирование дальнейшей работы с энергонезависимой памятью.
 |
| Электронный замок "Соболь" |
Все эти процедуры исполняются персональным компьютером в его оперативной памяти. Таким образом, контроллер "Соболь" с точки зрения процедуры идентификации/аутентификации является не чем иным, как обычной энергонезависимой памятью. Более того, после включения персонального компьютера доступ к этой памяти никак не ограничен. Этот факт вполне понятен, так как иначе ПО не смогло бы получить данные о пользователях для проведения собственно процедуры идентификации/аутентификации.
Идентификация/аутентификация пользователя в электронном замке “Аккорд АМДЗ” на базе контроллеров ”Аккорд”
Процесс идентификации/аутентификации отличается от вышеизложенного прежде всего тем, что данные о пользователях никогда не попадают в оперативную память персонального компьютера, более того несанкционированный доступ к ним невозможен. За дисциплину доступа к данным энергонезависимой памяти отвечает микроконтроллер, имеющий встроенное ПО и данные. Рассмотрим процесс более подробно:
- ПО контроллера запрашивает ТМ-идентификатор и пароль (это делается в памяти персонального компьютера);
- эти данные передаются микроконтроллеру, который принимает решение о успешности/неуспешности процедуры при помощи анализа содержимого энергонезависимой памяти (эта операция производится только микроконтроллером);
- в случае успеха устанавливается дисциплина доступа к энергонезависимой памяти, определяемая параметрами пользователя.
 |
| Аккорд-АМДЗ |
Есть и еще одно важное отличие. У обоих контроллеров данные энергонезависимой памяти хранятся в зашифрованном виде. У контроллера «Аккорд» ключ для доступа к этим данным хранится непосредственно в микроконтроллере, и нет никакой возможности для его получения (это определяется особенностями архитектуры микроконтроллера). У контроллера “Соболь” нет подходящего ресурса для хранения такого ключа, а значит этот ключ надо хранить либо фактически в открытом виде в коде ПО, либо в ТМ-идентификаторе пользователя, что очень упрощает решение задачи получения доступа к данным энергонезависимой памяти.
Контроль целостности аппаратных и программных средств персонального компьютера
Непосредственно данные процедуры выполняются при помощи ПО в памяти персонального компьютера. При этом большое значение имеет выбор места и способа хранения эталонных данных для процедур контроля целостности.
При сравнении начнем с того, что электронный замок “Соболь” вообще не содержит функций контроля целостности аппаратных средств персонального компьютера, в то время как электронный замок “Аккорд-АМДЗ” имеет развитую подсистему контроля целостности аппаратных средств компьютера более чем по 20 параметрам.
Оба электронных замка имеют функции контроля целостности файлов на дисках. При этом для хранения эталонных данных “Аккорд-АМДЗ” использует энергонезависимую память данных, в то время как “Соболь” хранит данные на жестком диске в виде файлов данных. Естественно, что хранение в энергонезависимой памяти является намного более надежным решением, но при этом могут возникнуть дополнительные требования к ее объему.
Энергонезависимая память, примененная в контроллере “Соболь” не позволяет иметь суммарный объем памяти более 64Кбайт, кроме того имеет крайне низкую скорость обмена.
Энергонезависимая память, примененная в контроллере «Аккорд» имеет высокую скорость обмена, и ее объем может быть легко увеличен до 16 Мбайт, чего более чем достаточно для любых разумных применений. Стандартно поставляемый контроллер (емкость памяти – 256 КБайт) может хранить данные о целостности примерно 1700-1800 файлов.
ПО электронного замка “Соболь” способно контролировать целостность файлов, расположенных в разделах типа FAT, NTFS. ПО электронного замка “Аккорд-АМДЗ” способно работать с разделами типа FAT, NTFS, HPFS, Free-BSD.
Однако способ реализации контроля целостности файлов в NTFS разделе, примененный разработчиками “Соболя”, вызывает много вопросов. Предлагается следующая схема контроля целостности файлов в разделе NTFS:
- при помощи ПО, написанного для ОС NT, и выполняемого под ее управлением строятся карты распределения контролируемых файлов (список номеров секторов, занимаемых файлом на диске). Эти данные являются эталонными для ПО электронного замка “Соболь”;
- при выполнении процедуры контроля целостности ПО “Соболь” проверяет целостность заданной цепочки секторов.
Никакой связи реального имени файла с цепочкой секторов нет. Такая небрежная реализация открывает простор для самых разнообразных вредоносных манипуляций. Поясним это на примере: пусть контролируемый файл C:AUTOEXEC.BAT размещен в секторах 15 и 12. Переименование этого файла в C:AUTOEXEC.OLD не вызовет физического перемещения содержимого файла. Теперь ничто не мешает создать новый C:AUTOEXEC.BAT с произвольным содержимым, который будет расположен совершенно в других секторах. При этом процедура контроля целостности не обнаружит изменений в секторах 15 и 12. А вот операционная система будет работать совершенно с другим файлом.
Важнейшим преимуществом ПО электронного замка “Аккорд-АМДЗ” является возможность контроля целостности содержимого реестров ОС Windows 9x и Windows NT, в том числе и в разделах типа NTFS.
На основании вышеизложенного можно сделать следующие выводы:
- Аппаратные средства электронного замка “Аккорд-АМДЗ” имеют подавляющее преимущество перед аппаратными средствами электронного замка “Соболь” (контроллер “Соболь”).
- Программные средства электронного замка “Соболь” также значительно уступают по качеству ПО “Аккорд-АМДЗ”. Некоторые недостатки обусловлены архитектурой контроллера, и не могут быть устранены принципиально (процедура идентификации/аутентификации), подсистема же контроля целостности вполне может быть модернизирована в будущем.
В таблице приведены значения характеристик средств защиты информации уровня ПЭВМ, по которым осуществляется сравнение их функциональных возможностей и оценка их применения в АС.
Характеристика | «Соболь-PCI» | «Аккорд-АМДЗ» |
Идентификация пользователя по электронным ключам TouchMemory (iButton) | + | + |
Идентификация с использованием смарт-карт | – | + (1 |
Аутентификация пользователя по паролю с защитой от подбора пароля | + | + |
Доверенная загрузка ПЭВМ | + | + |
Контроль целостности программной среды ПЭВМ на томах файловых систем | FAT16, FAT32, NTFS | FAT 12, FAT 16, FAT 32, NTFS, HPFS, FreeBSD, EXT2FS, EXT3FS,Sol86FS, QNXFS, MINIX |
Контроль целостности аппаратных средств ПЭВМ | – | + |
Довереннаязагрузкаоперационныхсистем | DOS, Windows 95/98/NT/2000/XP/2003, FreeBSD 4.1 | DOS, Windows 95/98/NT/2000/XP/2003, FreeBSD, Linux, Solaris (Intel), OS/2, QNX, МСВС 3.0 |
Контроль целостности реестра ОС Windows | – | + |
Разграничение доступа пользователей к ПЭВМ по времени | – | + |
Регистрация событий в энергонезависимой памяти, количество записей | +(около 128) | + (около 2000) |
Разграничение доступа к съемным накопителям информации (FDD, CD-ROM, ZIP) | + | +(2 |
Таймер реального времени | – | +(3 |
Энергонезависимая память, объем | 64 КБайт | 1 Мбайт (до 16 Мбайт) |
Датчик случайных чисел для использования криптографической подсистемой | + | + |
Сертификат ФАПСИ (ФСБ) России | № СФ/527-0553: - ГОСТ 28147-89; - электронный замок класса КЭЗ-1.99. | № СФ/527-0542: - ГОСТ 28147-89; - ГОСТ Р 34.11-94; - электронный замок класса КЭЗ-1.99. |
Сертификат Гостехкомиссии России (ФСТЭК – Федеральной службы по техническому и экспортному контролю) | №907: - 3 класса «РД НДВ»(4; - может использоваться для построения АС класса 1В «РД по АС»(5. | №246/5: - 3 класса «РД НДВ»(4; - 1Д «РД по АС»; - может использоваться для построения АС класса 1Б «РД по АС»(5. |
Другие сертификаты | – | Сертификат Госстандарта РФ: №4680188 РОСС RU.ME 06.B01303 Санитарно- эпидемиологическое заключение: №50.РВ.01.401.П.006112.08.01 |
Легитимность поставляемого PCI- устройства | Отсутствует | Обеспечивается членством ОКБ САПР в PCI-ассоциации. Vendor ID: 1795. |
Гарантийный срок | 1 год | 3 года. Пожизненная гарантия на все оборудование. |
Стоимость изделия (с НДС) | 240$ | 277$ |
Стоимость технической поддержки за 2 и 3 год эксплуатации. | 120$(6 | Бесплатно (2 и 3 год входят в гарантийный срок) |
Состав технической поддержки системы: | ||
Консультации: | консультирование по телефону в режиме 5х8 и по электронной почте закрепление за заказчиком выделенного инженера службы поддержки | консультирование по телефону в режиме 5х8 и по электронной почте |
Время реакции: | приоритетное обслуживание запросов по горячей линии. Гарантированное время реакции не более 8 часов (в рабочие дни) | Гарантированное время реакции не более 8 часов (в рабочие дни) |
Обновления ПО: | предоставление обновлений программного обеспечения и документации на компакт-диске (по почте) | Предоставление обновлений программного обеспечения и документации по электронной почте |
Выезд специалистов: | не более четырех раз в течение гарантийного срока на один день для разрешения конфликтных ситуаций и для установки обновлений ПО (в пределах Москвы и области – бесплатно, в регионах - с оплатой командировочных расходов) | Выезды специалистов для разрешения проблемных ситуаций в пределах Москвы и области – бесплатно. |
Скидки на обучение: | бесплатное обучение одного специалиста заказчика в УЦ «Информзащита» | Бесплатное обучение двух специалистов на базе «ОКБ «САПР» |
Замена вышедших из строя изделий: | поставка по специальной цене запасных комплектов оборудования при выходе из строя средств аппаратной поддержки с оплатой почтовых расходов на доставку. Замена устаревших микроконтроллеров на новые не осуществляется. | Осуществляется бесплатно. Осуществляется замена устаревших микроконтроллеров на новые с доплатой разницы цены. |
Стоимость эксплуатации в течение 3-х лет (с учетом стоимости технической поддержки) | 360$ | 277$ |
ПРИМЕЧАНИЯ:
- С опцией «S» - интерфейс RS-232 для подключения считывателя смарт-карт.
- C опцией «С1», «С2».
- С опцией «Т».
- Руководящий документ Гостехкомиссии Росси «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей».
- Руководящий документ Гостехкомиссии России «Автоматизированные системы. Защита от НСД к информации. Классификация автоматизированных систем и требования по защите информации».
- Условия поддержки: SN-Sup-Platinum. Стоимость: 25% от стоимости системы.
Вывод по таблице:Средство защиты информации «программно-аппаратный комплекс средств защиты информации от несанкционированного доступа «Аккорд-АМДЗ» функционально превосходит «электронный замок Соболь-PCI» по следующим характеристикам:
- составу поддерживаемых файловых систем;
- составу поддерживаемых операционных систем по функции доверенная загрузка;
- наличию функции контроля целостности аппаратных средств ПЭВМ.
Источник: к сожалению не известен... эта статья попала мне в руки совершенно случайно среди множества других статей. Судя по дате последнего изменения документа - статья написана 4 года назад, так что некоторая информация уже может быть не актуальной.
