Руководство администратора
Настоящий документ является руководством администратора программно- аппаратного комплекса средств защиты информации от НСД — аппаратного модуля доверенной загрузки — , далее по тексту «Аккорд- АМДЗ», и предназначен для лиц, планирующих и организующих защиту информации с его использованием в системах и средствах информатизации на базе ПЭВМ.
В документе приведены основные функции и особенности эксплуатации комплексов СЗИ НСД , работающих на основе контроллеров:
- .5(e), , , , , (для СЗИ НСД , выпускаемого по ТУ 4012-038- 11443195–2011);
- , , (для СЗИ НСД , выпускаемых по ТУ 4012-);
- , , , (для СЗИ НСД , выпускаемых по ТУ -).
Перед установкой и эксплуатацией комплексов СЗИ НСД необходимо внимательно ознакомиться с комплектом эксплуатационной документации, а также принять рекомендуемые защитные организационные меры.
Применение защитных средств комплексов должно дополняться общими мерами технической безопасности.
Источник
СЗИ НСД Аккорд-АМДЗ
- PCI
- PCI Express
- Mini PCI Express
- Mini PCI Express Half Size
- M2
- Предложения
- Описание
- Характеристики
- Подарки
Предложения
Описание
Возможности Аккорд-АМДЗ
СЗИ НСД «Аккорд-АМДЗ» представляет собой аппаратный модуль доверенной загрузки (АМДЗ) для IBM-совместимых ПК — серверов и рабочих станций локальной сети, обеспечивающий защиту устройств и информационных ресурсов от несанкционированного доступа.
Под доверенной загрузкой понимается загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и идентификации/аутентификации пользователя.
Основные характеристики Аккорд-АМДЗ
СЗИ НСД Аккорд-АМДЗ начинает работу сразу после выполнения кода системного BIOS компьютера — до загрузки операционной системы. Контроллеры семейства «Аккорд-АМДЗ» обеспечивают доверенную загрузку ОС, поддерживающих наиболее распространенные файловые системы, включая: FAT12, FAT16, FAT32, NTFS, HPFS, Ext2, Ext3, Ext4, ReiserFS, FreeBSD UFS/UFS2, Solaris UFS, QNX4, MINIX. Это, в частности, ОС семейств MS DOS, Windows, QNX, OS/2, UNIX, LINUX, BSD и др.
Аккорд-АМДЗ, как правило, применяется в следующей конфигурации:
Количество и ;тип идентификаторов, модификация контроллера и съемника оговариваются при поставке комплекса. Персональные идентификаторы и съемники информации заказываются отдельно.
Контроллеры Аккорд-АМДЗ
Аккорд-АМДЗ может быть реализован на различных типах контроллеров, предназначенных для работы с разными шинными интерфейсами СВТ. При этом его базовая функциональность всегда остается одинаковой (вне зависимости от типа контроллера) и соответствует заявленной и отраженной в конструкторской и эксплуатационной документации.
Для того, чтобы выбрать нужный вариант, в первую очередь необходимо определите, какой свободный слот и с каким шинным интерфейсом есть у того СВТ, в которое планируется установка ПАК СЗИ НСД Аккорд-АМДЗ.
- PCI или PCI-X — контроллеры Аккорд-5МХ или Аккорд-5.5;
- PCI-express — контроллеры Аккорд-5.5.е, Аккорд-5.5.e new (Аккорд-LE) или Аккорд-GX;
- Mini PCI-express — контроллер Аккорд-GXM;
- Mini PCI-express half card — контроллер Аккорд-GXMH;
- M.2 с ключами A и/или E (интерфейс PCI-express) — контроллер Аккорд-M.2.
Все контроллеры допускают возможность расширения функций с «Аккорд-АМДЗ» до ПАК «Аккорд» (например, Аккорд-Win32/64», «Аккорд-X», «Аккорд-В»). Можно выбирать «Аккорд-АМДЗ» на базе любого контроллера, не опасаясь что, если в дальнейшем понадобится добавить СПО «Аккорд» для разграничения доступа, компоненты окажутся несовместимы.
Идентификаторы
В качестве идентификатора могут использоваться USB-токены, USB-ключи, смарт-карты, устройства ШИПКА (на базе ШИПКА-лайт Slim, ШИПКА-2.0 CCID или других моделей), ТМ-идентификаторы.
Количество и тип идентификаторов оговариваются при поставке комплекса. Персональные идентификаторы заказываются отдельно. В состав поставки «Аккорд-АМДЗ» и ПАК СЗИ НСД «Аккорд-АМДЗ» идентификатов и считыватели (съемники информации) не входят. Идентификаторы и считыватели для Аккорд-АМДЗ необходимо приобретать отдельно.
Съемники информации
Съемники информации (считыватели) предназначены для считывания данных с ТМ-идентификаторов, смарт-карт и бесконтактных RFID-меток.
Сертификаты
Комплекс Аккорд-АМДЗ соответствует требованиям документов «Требования к средствам доверенной загрузки» (ФСТЭК России, 2013) и «Профиль защиты средства доверенной загрузки уровня платы расширенного второго класса защиты. ИТ.СДЗ.ПР2.П3» (ФСТЭК России, 2013). Кроме того имеется действующий сертификат ФСБ России.
Источник
Аккорд-У: универсальное средство защиты информации
РОССИЯ, МОСКВА, ОКБ САПР
В настоящее время становится все более востребованным использование одного средства защиты информации (СЗИ) для решения целого ряда задач, направленных на защиту системы. К таким задачам относятся:
— защита от несанкционированного доступа;
— разграничение доступа пользователей и процессов к информации;
— криптографическая защита файлов с помощью механизмов шифрования и электронной цифровой подписи.
Многие владельцы компаний хотят решить все эти задачи, не желая использовать для этого несколько независимых устройств, каждое из которых реализует одну или несколько из требуемых функций по защите информации. Не зря в настоящее время очень модным словом, связанным с защитой информации, является слово «комплексная». При этом, как правило, считается, что чем больше функций защиты информации реализовано в одной системе, тем лучше. А еще лучше, если все эти функции реализованы в одном устройстве. Однако обычно такие ощущения возникают только в начале, пока новая техническая сфера кажется больше интересной игрушкой, чем инструментом. Вспомним телефоны с видеокамерами, фотоаппаратами, MP3-плееарам. Сейчас наличие таких функций в телефоне интересует только самых юных пользователей, а серьезные люди предпочитают использовать телефон только по его прямому назначению.
Аналогичная ситуация начала складывается в последнее время и в области защиты информации. Владельцы многих компаний не хотят использовать устройства, одновременно реализующие все перечисленные функции защиты информации в силу того, что часть функций в их системах уже реализована при помощи других устройств, или же, в силу особенностей функционирования их системы, в этих функциях вообще нет необходимости. В этом случае компании предпочитают покупать СЗИ, реализующие только необходимые им функции защиты информации и не переплачивать за наличие других. Как правило, совмещение функций в одном устройстве наводит на мысль о том, что оно либо дороже, чем могло бы быть «без лишнего», либо эти функции реализованы не достаточно хорошо. Еще неизвестно, какая из этих оценок хуже.
Однако обе точки зрения имеют право на существование: правы и те владельцы компаний, которые хотят использовать «комплексное» средство защиты информации и те, которые предпочитают пользоваться только нужной им функциональностью СЗИ. Поэтому от установки на комплексность мы делаем следующий шаг — к установке на универсальность.
Для того чтобы СЗИ удовлетворяло всем современным требованиям, оно должно позволять решать все вышеназванные задачи, но именно в той комбинации, которая нужна данной конкретной компании. Таким СЗИ является Аккорд-У.
Программно-аппаратный комплекс (ПАК) Аккорд-У построен на базе контроллеров Аккорд-5.5 (PCI или PCI-X), оборудованных USB-хостом, и в зависимости от комплектации может совмещать в себе функции аппаратного модуля доверенной загрузки, предназначенного для защиты информации от несанкционированного доступа (СЗИ НСД «Аккорд-АМДЗ») с функциями криптографической защиты данных (СПО «Аккорд-У»), а также с функциями подсистемы разграничения доступа (СПО «Аккорд-NT/2000 V3.0»). То есть Аккорд-У в зависимости от комплектации может обеспечивать защиту от несанкционированного доступа, разграничение доступа пользователей и процессов к информации, а также криптографическую защиту файлов с помощью механизмов шифрования и электронной цифровой подписи.
СЗИ НСД «Аккорд-АМДЗ» представляет собой аппаратный модуль доверенной загрузки (АМДЗ) для IBM-совместимых ПК-серверов и рабочих станций локальной сети, обеспечивающий защиту устройств и информационных ресурсов от несанкционированного доступа.
Обеспечение доверенной среды является обязательным требованием при построении любой надежной системы защиты информации. Это связано, в том числе и с тем, что даже при использовании аппаратной криптографии для защиты файлов в операционной системе, нельзя гарантировать, что, например, эти файлы не были изменены непосредственно перед зашифрованием или вычислением от них ЭЦП. Поэтому мы рекомендуем в поставке ПАК Аккорд-У не отказываться от функций, реализуемых СЗИ НСД «Аккорд-АМДЗ».
Однако бывают такие ситуации, когда для обеспечения доверенной среды в защищаемой системе уже используется другое СЗИ. Или же для достижения тех или иных целей при разработке системы в ПК устанавливается несколько контроллеров Аккорд. Естественно, в качестве «Аккорд-АМДЗ» должен работать один из них. В обоих рассмотренных случаях можно отказаться от функций, реализуемых СЗИ НСД «Аккорд-АМДЗ». Во всех остальных случаях для обеспечения доверенной среды мы настоятельно рекомендуем использовать реализуемые им функции.
СПО «Аккорд-NT/2000 V3.0» — это программная надстройка для Аккорд-АМДЗ, предназначенная для разграничения доступа пользователей к рабочим станциям, терминалам и терминальным серверам. Использование данного СПО позволяет создать индивидуальную для каждого пользователя изолированную рабочую программную среду, обеспечивает запрет запуска неразрешенных программ, разграничение доступа пользователей (и процессов) к массивам данных и программам с помощью дискреционного и мандатного контроля доступа. Помимо этого «Аккорд-NT/2000 V3.0» выполняет усиленную аутентификацию терминальных станций с помощью контроллера Аккорд или ПСКЗИ ШИПКА, идентификацию/аутентификацию пользователей, подключающихся к терминальному серверу (с использованием ТМ-идентификатора или ПСКЗИ ШИПКА), управление терминальными сессиями, а так же контроль печати на принтерах, подключенных как к терминальным серверам, так и к пользовательским терминалам.
СПО «Аккорд-У» представляет собой библиотеки и пользовательские утилиты настройки и применения криптографической части комплекса.
В криптографической подсистеме Аккорд-У аппаратно реализованы все российские криптографические алгоритмы: шифрование, ЭЦП, вычисление функции хеширования и иммитовставки. Генерация ключей и ключевых пар в Аккорд-У также выполняется аппаратно (с применением физического ДСЧ), сами ключи при этом защищенно хранятся в его памяти и никогда не покидают устройства в открытом виде.
В СПО «Аккорд-У» реализованы программные интерфейсы CryptoAPI и PKCS#11, позволяющие работать с криптографической подсистемой Аккорд-У не только утилитам, входящим в СПО, но и сторонним приложениям, таким как Outlook, OutlookExpress и т. п. Более того, Аккорд-У также полностью совместим со всеми криптографическими системами, построенными на этих же стандартных интерфейсах, например, КриптоПро CSP, PGP и многими другими.
Помимо рассмотренных подсистем в комплекте Аккорд-У по выбору покупателя могут поставляться следующие идентификаторы:
В том случае если в качестве идентификатора приобретается ПСКЗИ ШИПКА, то оно может использоваться и по прямому своему назначению, как криптографическое устройство.
С точки зрения криптосистемы ПАК Аккорд-У полностью аналогичен ПСКЗИ ШИПКА: устройства не только могут обмениваться ключами и производить все встречные операции (можно расшифровывать с помощью Аккорд-У зашифрованное с помощью ПСКЗИ ШИПКА, и наоборот, проверять ЭЦП, выработанные Аккорд-У с помощью ПСКЗИ ШИПКА, и наоборот), но и делать все это пользователи будут обращаясь к одним и тем же программам из меню «Пуск» (необходимо только в строке выбора серийного номера устройства выбрать серийный номер Аккорда, а не ШИПКИ). Библиотеки и пользовательские программы в СПО «Аккорд-У» полностью аналогичны библиотекам и программам из ПО для ПСКЗИ ШИПКА, поэтому применение криптографических возможностей комплекса не вызовет сложностей у тех, кто имеет опыт работы с ПСКЗИ ШИПКА. Таким образом, если при построении системы защиты информации уже использовалось одно из этих двух типов устройств, то внедрение второго должно пройти достаточно легко, не требуя при этом проведения дополнительных работ по их интеграции, если такие работы предполагаются.
Если же в комплект ПАК Аккорд-У входит не ПСКЗИ ШИПКА, а ТМ-идентификатор, то он может использоваться и для других задач, в которых необходимо наличие ТМ-идентификатора, например, для входа сотрудника компании в помещение.
ПСКЗИ ШИПКА, в свою очередь, может использоваться для построения комплексной системы контроля физического доступа, в которой выполняется не только контроль входа сотрудника в помещение компании (с предъявлением, например, фотографии, подписанной подписью сотрудника и, допустим, руководителя отдела кадров предприятия), но и контроль его доступа к необходимому информационному ресурсу.
ПАК Аккорд-У может быть укомплектован идентификаторами обоих типов (и ПСКЗИ ШИПКА и TM-идентификатором) одновременно. В этом случае можно, например, зарегистрировать на одном устройстве администратора, а на другом — пользователя системы. При этом, как описывалось выше, ПСКЗИ ШИПКА может выступать и в качестве криптоустройства, а так же использоваться для защищенного входа в ОС на ПК, на котором не установлен Аккорд.
Таким образом, программно-аппаратный комплекс Аккорд-У предлагается в шести возможных комплектациях, охватывающих все выше описанные возможности. Нужная комплектация выбирается при заказе в зависимости от потребностей. Соответственно, если политика компании не предусматривает использование одной из описанных возможностей, то компания может приобрести Аккорд-У в таком составе, который будет включать только необходимое и достаточное, и не переплачивать за лишнее.
Базовая комплектация Аккорд-У (ТУ 4012-023-11443195-2005 01, ТУ 4012-023-11443195-2005 02) соответствует требованиям ФСБ к СКЗИ по классу КС3 или КВ2 в зависимости от выполнения условий, описанных в эксплуатационной документации на комплекс.
Подводя итог, можно утверждать, что используя Аккорд-У в качестве основы для системы ЗИ, можно решать самые разные задачи, направленные на защиту системы. Для этого достаточно лишь правильно подобрать комплектацию комплекса.
Автор: Каннер(Борисова) Т. М.
Дата публикации: 01.01.2010
Библиографическая ссылка: Каннер (Борисова) Т. М. Аккорд-У: универсальное средство защиты информации // Комплексная защита информации. Материалы XV международной научно-практической конференции (Иркутск (Россия), 1–4 июня 2010 г.). М., 2010. С. 45–49.
Источник