Защита документооборота

w w w. a l a d d i n – r d. r u

Как построить защищенный электронный документооборот.

Вопросы идентификации и аутентификации при применении

разных видов электронной подписи

Алексей Сабанов, к.т.н.,

Зам.ген. директора «Аладдин Р.Д.»

11 декабря 2013г.

1

w w w. a l a d d i n – r d. r u

Защита документооборота

• Решать классическую задачу защиты информации для информационных систем, содержащих конфиденциальную информацию

• Выделить объекты доступа и их расположение• Рассмотреть субъекты доступа, уровень

возможностей, перечень защищаемых ресурсов, типы доступа

• Обосновать перечень угроз • Провести анализ рисков• Сформировать модель нарушителя• Разработать и внедрить эффективную систему

защиты• Регулярно проводить аудит системы защиты

2

w w w. a l a d d i n – r d. r u

Объекты доступа (объекты защиты)

• Электронные документы – ЭД• Базы данных – СУБД• Функциональное программное обеспечение– ФПО• Программное обеспечение операционных систем• Устройства ввода-вывода информации – УВВ • Технические средства обработки информации – ТС• Каналы связи - КС

3

w w w. a l a d d i n – r d. r u

Субъекты доступа

• Разработчик АИС• Администратор АИС• Пользователь корпоративной сети АИС• Неавторизованные пользователи ЛВС (внутренний

нарушитель)• Внешние неавторизованные пользователи (внешний

нарушитель)

4

w w w. a l a d d i n – r d. r u

Перечень угроз защищаемой информации

• Нарушение целостности– Дефекты, сбои, отказы, аварии ТС и систем – Несанкционированное изменение информации– Использование дефектов программного обеспечения– Использование программных закладок– Применение программных вирусов– Нарушение режима функционирования ТС обработки информации – Хищение носителя защищаемой информации

• Нарушение конфиденциальности– Несанкционированное копирование информации на отчуждаемые физические

носители– Разглашение информации лицам, не имеющим права доступа к защищаемой

информации– Передача информации по открытым линиям связи– Обработка информации на незащищенных ТС – Передача носителя информации лицу, не имеющему права доступа к ней

• Нарушение прав доступа

5

w w w. a l a d d i n – r d. r u

Технологии защиты

• Аутентификация и разграничение доступа• Контроль целостности используемого ПО и данных• Регистрация событий в информационной системе

защищенного ЭДО• Криптографическая защита• Межсетевое экранирование• Защита каналов с помощью виртуальных частных

сетей (VPN)• Антивирусная защита• Аудит информационной безопасности

6

w w w. a l a d d i n – r d. r u

Аутентификация и управление доступом

• Строгая аутентификация для доступа к защищаемым и информационно-значимым ресурсам

• Ограничение доступа к конфиденциальной информации и персональным данным

• Блокирование несанкционированного доступа• Обеспечение доступности публичной информации

7

w w w. a l a d d i n – r d. r u

• “is a key element for the delivery of any e-services.” – European Commission COM(2008) 798 final (28 Nov. 2008)

• “is a critical component of . . . national and global economic, governmental and social activities [which] rely more and more on the Internet.” – OECD, The Role of Digital Identity Management in the Internet

Economy (June 2009)

• “is a one of the most important security service of e-commerce and e-government”APEC Guidance for E-commerce (December 2005)

8

Важность аутентификации в мире

w w w. a l a d d i n – r d. r u

Идентификация и аутентификация (ИА)

Процессный подход:• Регистрация;• Хранение;• Предъявление идентификаторов;• Предъявление аутентификатора;• Протокол обмена;• Валидация;• Принятие решения;• Передача управления в блок авторизации.

9

w w w. a l a d d i n – r d. r u

Процедуры ИА. Пример: регистрация

• Субъект (аппликант) обращается в ЦР с целью стать пользователем ИС. Заявитель предъявляет в ЦР свои Credentials (ЭУ или бумажные действующие удостоверения личности, содержащие присвоенные ему идентификаторы).

• ЦР проверяет предъявленные бумажные или ЭУ на предмет совпадения принадлежности предъявленных документов данному субъекту и их действительности (валидация).

• На основании выполненной проверки ЦР создает учетную запись для данного субъекта в базе данных ЦР для доступа к информационным ресурсам (ресурсу).

• На основе записи для субъекта ЦР издает/регистрирует секрет (аутентификатор), ассоциированный с конкретным субъектом.

• Процедура делегирования прав доступа (фактически делегирование доверия к изданным аутентификатору и ЭУ) другой (или другим) ИС на основе доверительных отношений. При переходе к облачным вычислениям эта процедура становится весьма актуальной.

• Последней процедурой регистрации является выдача изданных ЦР-ом аутентификатора и ЭУ на руки субъекту.

10

w w w. a l a d d i n – r d. r u

Упрощенная схема аутентификации

11

Предъявление идентификатора пользователем

Вызов процедуры аутентификации

Авторизация пользователя

Сигнализация о событии ИБ Временная блокировка

Уведомление пользователя об

ошибке

Аутентификатор совпал?

Идентификатор из БД совпал с Id?

Превышено число попыток?

да

да

нет

нет

нет

Id

АИ Политики безопасности:

Допустимое число попыток

w w w. a l a d d i n – r d. r u

Схема обмена информацией из ITU Rec.Х.811

12

Предъявляемая информация

Проверочная информация

ДТС

Претендент Проверяющая сторона

АИ для обмена

АИ для обмена АИ для обмена и/или Проверочная АИ

w w w. a l a d d i n – r d. r u 13

0,2 10 - 15 25 - 40 50 - 100$

Классификация средств идентификации и аутентификации

с точки зрения применяемых технологий

w w w. a l a d d i n – r d. r u

Классификация аутентификации по видам и целям

14

w w w. a l a d d i n – r d. r u

Классификация аутентификации

15

w w w. a l a d d i n – r d. r u

Сервис электронной подписи

• целостность подписанной информации,• аутентификация источника данных,• неотрекаемость того, кто подписал эту

информацию.

.

w w w. a l a d d i n – r d. r u

Пример отличий. Подпись

17

Собственноручная подпись Цифровая подпись

Не зависит от подписываемого текста, всегда одинакова Зависит от подписываемого текста, разная для

различных текстов

Неразрывно связана с подписывающим лицом, однозначно определяется его психофизическими

свойствами, не может быть утеряна

Определяется секретным ключом, принадлежащим подписывающему лицу, который

может быть утерян владельцем

Неотделима от носителя (бумаги), поэтому отдельно подписывается каждый экземпляр документа

Легко отделима от документа, поэтому верна для всех его копий

Не требует для реализации дополнительных механизмов Требует дополнительных механизмов,

реализующих алгоритмы её вычисления и проверки

Не требует создания поддерживающей инфраструктуры Требует создания доверенной инфраструктуры

сертификатов открытых ключей

Не имеет срока давности Имеет ограничения по сроку действия

w w w. a l a d d i n – r d. r u

Виды электронной подписи

Простая ЭП. Согласно 63-ФЗ «простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт создания электронной подписи определённым лицом».

Усиленная ЭП. ЭП однозначно связана с лицом, подписавшим данные; можно подтвердить подлинность лица, подписавшего данные; ЭП создана средствами, которые находятся под контролем подписанта;ЭП связана с данными, которым она соответствует.

Квалифицированная ЭП. Ключ проверки электронной подписи указан в квалифицированном сертификате;

для создания и проверки ЭП используются сертифицированные средства подписи.

w w w. a l a d d i n – r d. r u

Использование нескольких видов ЭП

Принцип Кирхгофа: квалифицированная электронная подпись + простая электронная подпись = простая электронная подпись

19

w w w. a l a d d i n – r d. r u

Аутентификация – это:

процессы подтверждения подлинности предъявленных заявителем идентификаторов (идентификатора) и проверка принадлежности аутентификатора (секрета, который знают обе стороны взаимодействия или о существовании которого знают обе стороны взаимодействия)

w w w. a l a d d i n – r d. r u

Три вида секрета, три типа аутентификации

21

Учетная запись пользователя Секрет (аутентификатор)

Тип аутентификац

ии

логин пароль простая

Логин

или поля Х.509

одноразовый пароль (технология ОТР)

или Закрытый ключ

усиленная

заданные поля Х.509, сформированного аккр.

удостоверяющим центром для доступа пользователя

закрытый ключ (в терминах №1-ФЗ)

строгая

w w w. a l a d d i n – r d. r u

Рекомендованные типы аутентификации

22

  виды ЭП

Типы

аутентификации

простая усиленная строгая

простая + - -

усиленная + + -

строгая + + +

w w w. a l a d d i n – r d. r u

Три уровня надежности ИА в РФ

• Низкий уровень надежности процессов ИА. Основной аутентификатор – пароль.

• Средний уровень надежности. Основной аутентификатор:– ОТР; – цифровой сертификат Х.509 доступа, выданный

неаккредитованным удостоверяющим центром.

• Высокий уровень надежности аутентификации. Сертификат доступа от аккредитованного УЦ. Требования к аутентификатору:– Хранение контейнеров ключевого материала в защищенном

PIN-кодом от копирования чипе;– Применение SSCD (Secure Signature Creation Device);– SSCD c повышенными требованиями: EAL4+

23

w w w. a l a d d i n – r d. r u

Качественные интегральные показатели

24

w w w. a l a d d i n. r uw w w. a l a d d i n – r d. r u

Спасибо за внимание!

25

a.sabanov@aladdin-rd.ru