По каким параметрам можно определить, какой из предлагаемых продуктов безопасности позволит добиться желаемого результата в плане шифрования массовых хранилищ?

Для внутренней и внешней коммуникации между компонентами необходимо соответствие криптографическому стандарту PKCS-11. Если продукт для шифрования использует этот стандарт, его можно интегрировать с соответствующими решениями, например, с идентификационными системами на базе смарт-карт, картами PCMCIA, биометрическими системами или аппаратными «токенами», а также браузерами Web, приложениями PKI, почтовыми клиентами и т.д. PKCS-11 — это наиболее часто применяемый API, он поддерживается Open Card Framework.

Кроме того, продукт для шифрования должен отвечать требованиям некоторых сертификационных процедур, в частности, Common Criteria EAL4 и FIPS 140-1 второго уровня. Если шифрующее ПО обладает сертификатом Common Criteria EAL4, то пользователь может быть уверен, что продукт прошел строгое тестирование и соответствует стандартам безопасности ИТ Международной организации по стандартизации ISO 15408. Благодаря большому количеству критериев проверки Common Criteria EAL 4 — самый высокий из достижимых уровней для коммерческих и ведомственных продуктов безопасности ИТ, признанный более чем в 20 странах мира.

Продукты, отвечающие положениям стандарта EAL-4, удовлетворяют следующим критериям безопасности:

  • контроль доступа — продукт позволяет ввести правила, определяющие права доступа к объекту;
  • идентификация и аутентификация — пользователи должны в обязательном порядке проходить идентификацию перед загрузкой системы, т.е. прежде чем они получат возможность предпринять дальнейшие действия по шифрованию и дешифрованию защищенных данных;
  • управление криптографическими ключами — доступ к криптографическим ключам и зашифрованным данным запрещается, если идентификация дала отрицательный результат или пользователи лишены прав доступа;
  • аудит процессов безопасности —продукт протоколирует все важные для безопасности действия и сохраняет записи в защищенном хранилище. Доступ к данным ограничен и предоставляется только авторизированным пользователям. Данные аудита содержат отметку о времени и сведения о выполненных действиях.

Все упомянутые стандарты изучались ведущими экспертами и учреждениями и получили подтверждение хорошей совместимости, что говорит об их способности обеспечивать высокий уровень безопасности. Чем больше стандартов безопасности поддерживается, тем надежнее решение.

Прогрессивные продукты для шифрования базируются на многократно скомбинированном механизме аутентификации (так называемая двух- или трехфакторная аутентификация), а не только на использовании паролей.
В соответствии с концепцией ключей отдельные элементы (жесткие диски, внешние носители и файлы) снабжаются идентификаторами, которые затем связываются с токеном или сохраняются на нем (сертификаты). Таким образом, доступ к этим элементам осуществляется только с использованием комбинации нескольких механизмов аутентификации, что существенно повышает уровень защиты. Такими токенами могут служить, к примеру, накопители USB с хранилищем сертификатов или биометрические сканеры отпечатков пальцев с хранилищем сертификатов, которые уже встраиваются в ноутбуки. В таком случае, если постороннему лицу станет известен пароль владельца ноутбука, то доступ в систему будет возможен только при условии обладания аппаратным токеном, то есть, при наличии второй части, необходимой для успешной идентификации.

Еще один важный момент: механизмы аутентификации должны проверяться до запуска операционной системы. Это гарантирует, что никакие данные не будут дешифрованы без предварительной аутентификации (идентификация до загрузки).

ТЕХНОЛОГИЯ KEY LABELING

Предприятия, нуждающиеся в защите большого количества данных или их носителей, получают заметное преимущество, если программное обеспечение шифрования поддерживает технологию Key Labeling, обладающую уникальным свойством — общим доступом к зашифрованным объектам. К примеру, если переносной жесткий диск или накопитель USB шифруются подобным образом и предназначены только для определенного круга пользователей, то устройство снабжается различными ключами, которые предоставляются сразу всем обладателям прав доступа. Такая комбинация ключей с определенными для них ярлыками обеспечивает чрезвычайно гибкое управление доступом и контроль над ним. В результате, администраторы предприятия могут создать систему управления ключами, основанную на функциональности и идентичности и адаптированную к индивидуальным потребностям пользователей.

Концепция общего доступа имеет заведомые преимущества, особенно если используется много жестких или сменных дисков, накопителей USB, систем Zip, устройств флэш-памяти и т.д. К примеру, можно указывать, сколько пользователей — один или тысячи — получают право доступа к одному или нескольким устройствам хранения. Кроме того, технология позволяет четко определить права каждого пользователя для массовых хранилищ в случае их разбиения на разделы.

Сопряжение этой технологии с уже существующим центром сертификации (CA или Active Directory) позволяет осуществлять назначение прав быстро, эффективно и централизованно, что незаменимо в крупных средах.

Многие продукты шифрования используют так называемый мастер-пароль. Он позволяет главному администратору получить доступ ко всем компьютерным системам, включая зашифрованные массовые хранилища, даже если пользователь забыл свой пароль. Однако такое удобство таит в себе огромный риск. В случае компрометации мастер-пароля угрозе подвергнуться все компьютерные системы и массовые хранилища предприятия. Некоторые продукты предусматривают лишь шестизначные мастер-пароли, что многократно повышает риск.

Критики концепции ключей всегда ставят под сомнение возможность восстановления ключа. В качестве примера они приводят показательные неудачи, подтверждающие, что восстановление очень трудоемко и связано с большими затратами при сомнительной вероятности успеха. Означает ли это, что концепция ключей обречена на забвение?

Ничего подобного! Основой для подобных критических высказываний служит тезис о необходимости восстановления ключа. А если в этом нет надобности? Современные продукты шифрования предполагают выполнение некоторых предварительных действий, что становится их главным преимуществом. Еще до того как ключи распределяются по предприятию, они централизованно создаются и сохраняются в базе данных. В результате отпадает необходимость восстановления, поскольку предприятие располагает всеми ключами еще до того, как они станут использоваться в ландшафте ИТ. При необходимости на них можно просто взглянуть. В результате удается обеспечить доступ ко всем данным, но нет риска утери мастер-пароля и отсутствует необходимость восстановления ключей. Это весомый аргумент в пользу концепции ключей.

Подводя черту, перечислим отличительные признаки качественного продукта шифрования:

  • шифрование всего жесткого диска (включая свободные области и пространство между разделами);
  • поддержка нескольких стандартов безопасности (Common Criteria EAL, FIPS 140-1 второго уровня);
  • большая глубина шифрования (минимум 256 бит, к примеру AES);
  • использование технологии ключей, поддержка маркировки ключей и отсутствие мастер-паролей;
  • быстрые алгоритмы шифрования и дешифрования (в режиме реального времени даже при работающих антивирусных программах), причем максимальная нагрузка на процессор современного компьютера не должна превышать 2%;
  • совместимость с последующей установкой сервисных пакетов и заплаток для операционных систем, резервным копированием данных (с технологией создания образов, как у Acronis) даже при наличии зашифрованных жестких дисков;
  • аутентификация до начальной загрузки в соответствии с двух- или трехфакторным механизмом (к примеру, посредством смарт-карт, USB-токенов и сертификатов PKI);
  • предоставление инструмента управления с возможным сопряжением с центром сертификации (CA) или Active Directory;
  • поддержка нескольких операционных систем.

При выполнении этих критериев пользователь может быть уверен, что он обладает эффективным продуктом шифрования, предоставляющим высокую степень защиты, простым в управлении и пригодным для гибкого использования с минимальными затратами на его администрирование даже в крупных сетях.

Томас Хрубы — коммерческий директор компании Sysob IT-Distribution.