Certifié Skzy FSB. Communicateurs certifiés – ce qu’il faut savoir pour les choisir correctement. Exigences pour le personnel de service

Les exigences en matière de sécurité de l'information lors de la conception des systèmes d'information indiquent les caractéristiques qui caractérisent les moyens de sécurité de l'information utilisés. Ils sont définis par différents actes des régulateurs dans le domaine de la sécurité sécurité des informations, en particulier - le FSTEC et le FSB de Russie. Les classes de sécurité, les types et types d'équipements de protection, ainsi que les endroits où en savoir plus à ce sujet, sont reflétés dans l'article.

Introduction

Aujourd'hui, les questions liées à la sécurité de l'information font l'objet d'une attention particulière, car les technologies mises en œuvre partout sans assurer la sécurité de l'information deviennent une source de nouveaux problèmes graves.

Le FSB russe fait état de la gravité de la situation : le montant des dégâts causés par les attaquants sur plusieurs années dans le monde varie entre 300 milliards et 1 000 milliards de dollars. Selon les informations fournies par le Procureur général de la Fédération de Russie, au cours du seul premier semestre 2017, le nombre de délits dans le domaine de la haute technologie en Russie a été multiplié par six, le montant total des dommages dépassant 18 millions de dollars. dans le secteur industriel en 2017 a été constatée dans le monde entier. En Russie notamment, l’augmentation du nombre d’attentats par rapport à 2016 était de 22 %.

Les technologies de l'information ont commencé à être utilisées comme armes à des fins militaro-politiques et terroristes, pour s'immiscer dans les affaires intérieures d'États souverains et pour commettre d'autres crimes. La Fédération de Russie est favorable à la création d'un système international de sécurité de l'information.

Sur le territoire Fédération Russe les propriétaires d'informations et les opérateurs de systèmes d'information sont tenus de bloquer les tentatives d'accès non autorisé à l'information et de surveiller en permanence l'état de sécurité de l'infrastructure informatique. Parallèlement, la protection des informations est assurée par la prise de diverses mesures, notamment techniques.

Les outils de sécurité de l'information, ou systèmes de protection de l'information, assurent la protection des informations dans les systèmes d'information, qui sont essentiellement un ensemble d'informations stockées dans des bases de données, des technologies de l'information qui assurent leur traitement, et moyens techniques.

Les systèmes d'information modernes se caractérisent par l'utilisation de diverses plates-formes matérielles et logicielles, la répartition territoriale des composants, ainsi que l'interaction avec réseaux ouverts transmission de données.

Comment protéger les informations dans de telles conditions ? Les exigences correspondantes sont présentées par les organismes autorisés, notamment le FSTEC et le FSB de Russie. Dans le cadre de l'article, nous tenterons de refléter les principales approches de classification des systèmes de sécurité de l'information, en tenant compte des exigences de ces régulateurs. Autres manières de décrire la classification des systèmes de sécurité de l'information, reflétées dans documents réglementaires Les départements russes, ainsi que les organisations et agences étrangères, sortent du cadre de cet article et ne sont pas examinés plus en détail.

L'article peut être utile aux spécialistes novices dans le domaine de la sécurité de l'information en tant que source d'informations structurées sur les méthodes de classification de la sécurité de l'information sur la base des exigences du FSTEC de Russie (dans une plus grande mesure) et, brièvement, du FSB de Russie.

La structure qui détermine la procédure et coordonne la fourniture de la sécurité de l'information à l'aide de méthodes non cryptographiques est le FSTEC de Russie (anciennement Commission technique d'État auprès du Président de la Fédération de Russie, Commission technique d'État).

Si le lecteur a déjà vu le Registre national des outils certifiés de sécurité de l'information, constitué par le FSTEC de Russie, il a certainement prêté attention à la présence dans la partie descriptive de l'objectif du système de protection de l'information de phrases telles que « RD SVT ». classe », « niveau d'absence de non-conformité avec les données de non-conformité », etc. (Figure 1) .

Figure 1. Fragment du registre des dispositifs de protection de l'information certifiés

Classification des outils de sécurité des informations cryptographiques

Le FSB de Russie a défini des classes de systèmes de protection des informations cryptographiques : KS1, KS2, KS3, KV et KA.

Les principales caractéristiques des IPS de classe KS1 incluent leur capacité à résister aux attaques menées depuis l'extérieur de la zone contrôlée. Cela implique que la création de méthodes d'attaque, leur préparation et leur mise en œuvre s'effectuent sans la participation de spécialistes dans le domaine du développement et de l'analyse de la sécurité des informations cryptographiques. On suppose que les informations sur le système dans lequel les systèmes de sécurité de l'information spécifiés sont utilisés peuvent être obtenues à partir de sources ouvertes.

Si un système de sécurité des informations cryptographiques peut résister aux attaques bloquées au moyen de la classe KS1, ainsi qu'à celles effectuées dans la zone contrôlée, alors cette sécurité des informations correspond à la classe KS2. Dans ce cas, il est admis, par exemple, que lors de la préparation d'une attaque, il puisse devenir informations disponibles sur les mesures physiques de protection des systèmes d'information, d'assurance d'une zone contrôlée, etc.

S'il est possible de résister aux attaques s'il existe un accès physique à un équipement informatique sur lequel des informations de sécurité cryptographiques sont installées, un tel équipement est dit conforme à la classe KS3.

Si la sécurité des informations cryptographiques résiste aux attaques, dont la création a impliqué des spécialistes dans le domaine du développement et de l'analyse de ces outils, y compris des centres de recherche, et qu'il a été possible de mener des études en laboratoire des moyens de sécurité, alors nous parlons de conformité à la classe HF. .

Si des spécialistes dans le domaine de l'utilisation du système NDV étaient impliqués dans le développement de méthodes d'attaque logiciel, la documentation de conception correspondante était disponible et il y avait accès à tous les composants matériels du système de sécurité des informations cryptographiques, la protection contre de telles attaques peut alors être assurée au moyen de la classe KA.

Classification des moyens de protection des signatures électroniques

Installations signature électronique en fonction de leur capacité à résister aux attaques, il est d'usage de les comparer avec les classes suivantes : KS1, KS2, KS3, KV1, KV2 et KA1. Cette classification est similaire à celle évoquée ci-dessus en ce qui concerne la sécurité des informations cryptographiques.

conclusions

L'article examine certaines méthodes de classification de la sécurité de l'information en Russie, fondées sur le cadre réglementaire des régulateurs dans le domaine de la protection de l'information. Les options de classification envisagées ne sont pas exhaustives. Néanmoins, nous espérons que les informations récapitulatives présentées permettront à un spécialiste novice dans le domaine de la sécurité de l'information de s'y retrouver rapidement.

Les principales tâches de protection de l'information lors de son stockage, de son traitement et de sa transmission via les canaux de communication et sur divers supports, résolues avec l'aide du CIPF, sont : 1.

Assurer le secret (confidentialité) des informations. 2.

Assurer l’intégrité des informations. 3.

Confirmation de l'authenticité des informations (documents). Pour résoudre ces problèmes, il est nécessaire de mettre en œuvre les éléments suivants

processus : 1.

Mise en œuvre des fonctions réelles de protection des informations, notamment :

cryptage/déchiffrement ; création/vérification de signature numérique ; créer/vérifier des inserts simulés. 2.

Suivi de l'état et gestion du fonctionnement des outils KZI (dans le système) :

surveillance de l'état : détection et enregistrement des cas de dysfonctionnement des outils de sécurité numérique, des tentatives d'accès non autorisés, des cas de compromission des clés ;

gestion de l'exploitation : prendre des mesures en cas d'écarts répertoriés par rapport au fonctionnement normal des installations du CIS. 3.

Réalisation de la maintenance des installations KZI : mise en place de la gestion des clés ;

effectuer des procédures liées à la connexion de nouveaux abonnés au réseau et/ou à l'exclusion des abonnés sortants ; élimination des lacunes identifiées du FCPE ; introduction de nouvelles versions du logiciel FCPE;

modernisation et remplacement des moyens techniques du FCPE par des moyens plus avancés et/ou remplacement de moyens dont la durée de vie est épuisée.

Le contrôle des touches est l'une des fonctions les plus importantes protection cryptographique informations et consiste en la mise en œuvre des principales fonctions suivantes :

génération de clés : définit un mécanisme de génération de clés ou bi-clés avec une garantie de leurs qualités cryptographiques ;

distribution des clés : définit le mécanisme par lequel les clés sont fournies de manière fiable et sécurisée aux abonnés ;

stockage des clés : définit un mécanisme par lequel les clés sont stockées de manière sécurisée et fiable pour une utilisation future ;

key recovery : définit le mécanisme de restauration d'une des clés (en la remplaçant par une nouvelle clé) ;

Destruction de clé : définit le mécanisme par lequel les clés obsolètes sont détruites de manière sécurisée ;

archive de clés : un mécanisme par lequel les clés peuvent être stockées en toute sécurité pour leur récupération ultérieure notariée dans des situations de conflit.

De manière générale, afin de mettre en œuvre les fonctions énumérées de protection des informations cryptographiques, il est nécessaire de créer un système de protection des informations cryptographiques qui combine les outils de sécurité numérique eux-mêmes, le personnel de service, les locaux, les équipements de bureau, diverses documentations (techniques, réglementaires et administratives) , etc.

Comme déjà noté, pour obtenir des garanties de sécurité de l’information, il est nécessaire d’utiliser des outils de sécurité numérique certifiés.

Actuellement, le problème le plus répandu est la protection des informations confidentielles. Pour résoudre ce problème, sous les auspices de la FAPSI, un ensemble fonctionnel complet d'outils de protection cryptographique des informations confidentielles a été développé, ce qui permet de résoudre les problèmes répertoriés de protection des informations pour une grande variété d'applications et de conditions d'utilisation.

Ce complexe repose sur les noyaux cryptographiques « Verba » (système à clé asymétrique) et « Verba-O » (système à clé symétrique). Ces cœurs cryptographiques fournissent des procédures de cryptage des données conformément aux exigences de GOST 28147-89 « Systèmes de traitement de l'information ».

Protection cryptographique" et signature numérique conformément aux exigences de GOST R34.10-94 "Technologies de l'information. Protection cryptographique des informations. Procédures de développement et de vérification d'une signature numérique électronique basée sur un algorithme cryptographique asymétrique."

Les moyens inclus dans le complexe CIPF vous permettent de protéger documents électroniques Et flux d'informations en utilisant des mécanismes de cryptage certifiés et des signatures électroniques dans presque tous les informatique, vous permettant notamment de : utiliser le FCPE en mode hors ligne ;

protégé échange d'informations en mode hors ligne ; échange d'informations sécurisé en ligne; protégé hétérogène, c'est-à-dire échange d’informations mixtes.

Pour résoudre les problèmes systémiques liés à l'utilisation du CIPF, sous la direction de D. A. Starovoitov, la technologie Vityaz de protection des informations cryptographiques complexes a été développée, qui assure la protection des données cryptographiques dans toutes les parties du système à la fois : non seulement dans les canaux de communication et les nœuds du système, mais également directement sur les postes de travail des utilisateurs pendant le processus de création d'un document, lorsque le document lui-même est protégé. De plus, dans le cadre de la technologie générale Vityaz, une technologie simplifiée et facilement accessible aux utilisateurs permettant d'intégrer des CIPF sous licence dans divers systèmes d'application est proposée, ce qui rend la gamme d'utilisation de ces CIPF très large.

Vous trouverez ci-dessous une description des moyens et méthodes de protection pour chacun des modes répertoriés.

Utiliser le FCPE en mode hors ligne.

En travaillant de manière autonome avec le CIPF, les types de protection des informations cryptographiques suivants peuvent être mis en œuvre : création d'un document protégé ; protection des fichiers ;

créer un environnement sécurisé système de fichiers; création d'un lecteur logique protégé. A la demande de l'utilisateur, les types de protection cryptographique des documents (fichiers) suivants peuvent être mis en œuvre :

le cryptage d'un document (fichier), qui rend son contenu inaccessible aussi bien lors du stockage du document (fichier) que lors de sa transmission via les canaux de communication ou manuellement ;

élaboration d'un encart simulé, qui assure le contrôle de l'intégrité du document (fichier) ;

génération d'une signature numérique électronique, qui assure le contrôle de l'intégrité du document (fichier) et l'authentification de la personne qui a signé le document (fichier).

De ce fait, le document (fichier) protégé se transforme en un fichier crypté contenant, si nécessaire, une signature numérique électronique. La signature numérique, selon l'organisation du processus de traitement de l'information, peut être présentée dans un fichier distinct du document à signer. Ce fichier peut ensuite être sorti sur une disquette ou un autre support pour être livré par courrier, ou envoyé via n'importe quel e-mail, par exemple via Internet.

Ainsi, dès réception d'un fichier crypté par email ou sur l'un ou l'autre support, les étapes de protection cryptographique effectuées sont réalisées dans l'ordre inverse (déchiffrement, vérification des imitations, vérification de la signature numérique).

Implémenter vie de la batterie Les moyens certifiés suivants peuvent être utilisés avec le FCPE :

éditeur de texte « Lexicon-Verba », implémenté sur la base du CIPF « Verba-O » et du CIPF « Verba » ;

Progiciel CIPF « Autonomous Workplace », implémenté sur la base du CIPF « Verba » et « Verba-O » pour Windows 95/98/NT ;

pilote de disque cryptographique PTS "DiskGuard".

Protégé traitement de texte"Lexique-Verba".

Le système Lexikon-Verba est un éditeur de texte complet prenant en charge le cryptage de documents et les signatures numériques électroniques. Pour protéger les documents, il utilise les systèmes cryptographiques Verba et Verba-O. La particularité de ce produit est que les fonctions de cryptage et de signature de texte sont simplement incluses dans les fonctions d'un système moderne. éditeur de texte. Dans ce cas, le cryptage et la signature d'un document passent de processus spéciaux à de simples actions standard lorsque vous travaillez avec un document.

Dans le même temps, le système Lexicon-Verba ressemble à un éditeur de texte classique. Les options de formatage du texte incluent personnalisation complète polices et paragraphes du document ; tableaux et listes; en-têtes, notes de bas de page, barres latérales ; utilisation de styles et de nombreuses autres fonctions d'un éditeur de texte répondant aux exigences modernes. "Lexicon-Verba" vous permet de créer et d'éditer des documents aux formats Lexicon, RTF, MS Word 6/95/97, MS Write.

Lieu de travail autonome.

CIPF « Autonomous Workplace » est implémenté sur la base de CIPF « Verba » et « Verba-O » pour Windows 95/98/NT et permet à l'utilisateur d'exécuter les fonctions suivantes de manière interactive :

cryptage/déchiffrement de fichiers à l'aide de clés ; cryptage/déchiffrement de fichiers à l'aide d'un mot de passe ; apposer/supprimer/vérifier des signatures numériques électroniques (EDS) sous les fichiers ;

vérifier les fichiers cryptés ;

apposition d'une signature numérique + cryptage (en une seule action) des fichiers ; décryptage + suppression de la signature numérique (en une seule action) sous les fichiers ;

calcul du fichier de hachage.

Il est conseillé d'utiliser le FCPE « Autonomous Workplace » pour le travail quotidien des salariés qui doivent assurer :

transfert d'informations confidentielles par voie électronique par exprès ou par courrier ;

envoi d'informations confidentielles sur un réseau public, y compris Internet ;

protection contre l’accès non autorisé aux informations confidentielles sur Ordinateur personnel employés.

Cependant, il y a ici de nombreuses nuances : la comptabilité et le stockage des outils de cryptage, l'accès au CIPF et la réglementation de leur utilisation doivent être effectués en stricte conformité avec les exigences légales.

La violation des règles de protection des informations, conformément à l'article 13.12 du Code des infractions administratives de la Fédération de Russie, peut entraîner un certain nombre de sanctions : des amendes pour les fonctionnaires et les organisations, ainsi que la confiscation des moyens de cryptoprotection eux-mêmes. La conséquence peut être l’impossibilité d’envoyer des rapports électroniques ou le blocage du travail de l’institution dans le système d’échange de données.

Un contrôle régulier de l'utilisation des outils de cryptage utilisés pour assurer la sécurité des données personnelles (ci-après dénommés PD) est effectué sur la base des exigences des réglementations suivantes :

• Loi fédérale du 27 juillet 2006 n° 152-FZ « sur les données personnelles » ;
• Ordonnance du FSB de Russie du 10 juillet 2014 n° 378 ;
• Instruction FAPSI n°152 du 13 juin 2001 ;
• et un certain nombre d'autres documents réglementaires.

Le plan d'inspection du FSB pour l'année est publié sur le site officiel du Bureau du Procureur général de la Fédération de Russie. Ici, toute organisation, à l'aide de son NIF ou de son OGRN, peut se renseigner sur les inspections à venir cette année, leur durée et leur période.

Afin de préparer une inspection du FSB, il est nécessaire de prendre un certain nombre de mesures organisationnelles, d'élaborer et d'approuver des documents liés au travail avec la protection des informations cryptographiques.

Les réponses aux questions suivantes vous aideront à systématiser votre préparation à l'inspection et à vous concentrer sur les mesures nécessaires :

1. L'organisation dispose-t-elle de moyens de protection des informations cryptographiques ? Existe-t-il des documents pour leur acquisition, des registres sont-ils tenus ? Quels documents réglementent le transfert du FCPE pour aliénation et utilisation ?
2. Quel service de l'entreprise est chargé de travailler avec le FCPE, à savoir : établir des conclusions sur la possibilité d'utiliser le FCPE, élaborer des mesures pour assurer le fonctionnement et la sécurité des CIPF utilisés conformément aux termes des certificats délivrés à leur intention, copier- comptabilité par copie des FCPE utilisés, documentation opérationnelle et technique de ceux-ci, comptabilité des détenteurs d'informations confidentielles desservis, contrôle du respect des conditions d'utilisation du FCPE, enquête et conclusion sur les faits de violation des conditions d'utilisation du FCPE , élaboration d'un schéma d'organisation de la protection cryptographique des informations confidentielles ?
3. Quels documents réglementent la création du service indiqué ci-dessus, ainsi que quels documents désignent les personnes chargées de mener les actions au sein de ce service ?
4. Des réglementations ont-elles été élaborées pour l’enregistrement et le stockage du FCPE ?
5. Les formulaires des journaux comptables du FCPE sont-ils agréés et comment sont-ils tenus ?
6. Le cercle des personnes responsables et la responsabilité ont-ils été définis en cas de violation des règles de collaboration avec le FCPE ?
7. Comment s'effectuent le stockage et la fourniture de l'accès au SZKI ?

Tous les documents doivent être approuvés par le responsable ou la personne autorisée de l’organisation ; aucune classification de sécurité n’est requise, cependant, les documents doivent être destinés uniquement aux employés et aux inspecteurs de l’organisation.

Notre expérience dans l'accompagnement des clients lors des inspections du FSB nous a permis d'identifier les blocs les plus typiques auxquels l'autorité de régulation prête attention.

1. Organisation d'un système de mesures organisationnelles pour protéger les données personnelles

Ce qui est vérifié		Conseil
Champ d'application du FCPE dans les systèmes d'information sur les données personnelles ; Disponibilité des documents départementaux et arrêtés portant organisation de la protection cryptographique	Documents départementaux et arrêtés portant organisation de la protection des informations cryptographiques	Il est nécessaire de se référer aux documents définissant l'utilisation obligatoire du CIPF pour le traitement et la transmission des informations. Concernant la protection des données personnelles dans systèmes étatiques ce sont les commandes 17 et 21 FSTEC

2. Organisation d'un système de mesures de protection des informations cryptographiques

3. Permis et documentation opérationnelle

Ce qui est vérifié	Quels documents doivent être fournis	Conseil
Disponibilité des licences nécessaires à l'utilisation du CIPF dans les systèmes d'information sur les données personnelles ; Disponibilité des certificats de conformité pour le FCPE utilisé ; Disponibilité de la documentation opérationnelle du FCPE (formulaires, règles de fonctionnement, manuel de l'opérateur, etc.); La procédure d'enregistrement du FCPE, la documentation opérationnelle et technique de celui-ci	Licences et certificats du FCPE utilisés ; Documentation opérationnelle du FCPE	De quels documents parlons-nous : 1) licences de logiciels, 2) la disponibilité des distributions pour ces licences, obtenues légalement,

4. Exigences concernant le personnel de service

Ce qui est vérifié	Quels documents doivent être fournis	Conseil
La procédure d'inscription des personnes autorisées à travailler avec le FCPE ; Disponibilité des responsabilités fonctionnelles des utilisateurs responsables du FCPE ; Dotation des postes réguliers en personnel et leur suffisance pour résoudre les problèmes liés à l'organisation de la protection des informations cryptographiques ; Organisation du processus de formation des personnes utilisatrices du CIPF	Listes approuvées ; Documents confirmant les responsabilités fonctionnelles des employés ; Journal utilisateur moyens cryptographiques; Documents confirmant la fin de la formation des employés	Vous devez avoir les documents suivants : 1) instructions pour travailler avec le FCPE, 2) nomination par arrêtés internes des personnes chargées de travailler avec le FCPE

5. Fonctionnement du FCPE

Ce qui est vérifié	Quels documents doivent être fournis	Conseil
Vérifier la bonne mise en service ; Évaluation de l'état technique du système de protection des informations cryptographiques ; Respect des délais et exhaustivité Entretien; Vérifier le respect des règles d'utilisation du FCPE et de la procédure de traitement des documents clés y afférents	Certificats de mise en exploitation du FCPE ; Journal de comptabilité copie par instance du CIPF ; Journal d'enregistrement et de délivrance des médias avec les informations clés	Les documents suivants doivent être élaborés : 1) les certificats d'installation du FCPE, 2) ordonnance d'approbation des formulaires du journal de bord

6. Mesures organisationnelles

Ce qui est vérifié	Quels documents doivent être fournis	Conseil
Le respect des exigences en matière de placement, d'équipement spécial, de sécurité et d'organisation du régime dans les locaux où sont installés des systèmes de protection des informations cryptographiques ou où les documents clés les concernant sont stockés ; Conformité du mode de stockage du FCPE et de la documentation clé aux exigences ; Évaluer dans quelle mesure l'opérateur dispose de clés cryptographiques et organiser leur livraison ; Vérification de la disponibilité des instructions de rétablissement de la communication en cas de compromission des clés existantes du CIPF	Documentation opérationnelle du FCPE ; Locaux affectés à l'installation des FCPE et au stockage des documents clés les concernant ; Instructions en cas de compromission des clés CIPF existantes	1) Conformité aux exigences de l'Instruction 152 du FAPSI. Cela dépend des conditions spécifiques ; cela peut nécessiter l’installation d’une sécurité, l’installation de rideaux aux fenêtres, l’achat d’un coffre-fort, etc. 2) Instructions pour travailler avec le FCPE

Toutes les exigences ci-dessus découlent du règlement sur la conduite des inspections du FSB. Des actions spécifiques sont menées conformément à l'arrêté FAPSI n° 152 du 13 juin 2001.

Le respect d'au moins une partie des exigences augmentera considérablement la probabilité de réussir toutes les procédures réglementaires sans amende. En général, il n'y a pas de redondance dans les exigences ; toutes les actions sont vraiment importantes et contribuent à protéger les intérêts de l'organisation.

Nikita Iarkov, responsable du groupe de licences chez SKB Kontur, projet Kontur-Safety

Valéry Koniavski
Directeur scientifique du VNIIPVTI,
consultant scientifique de l'OKB SAPR

Toute opération avec un nombre aléatoire donnera nombre aléatoire. Une séquence aléatoire ajoutée au texte brut produira un cryptotexte aléatoire. Comment meilleure qualité gamma, moins il est probable que le cryptotexte soit déchiffré. Si le gamma est vraiment aléatoire, alors le cryptotexte ne peut pas être déchiffré.

Chiffre de Vernam

Les outils de protection des informations cryptographiques (CIPF) peuvent être divisés en outils de cryptage et outils de signature électronique (EDS).

Transmettre la gamme sous la forme d'énormes rouleaux de ruban de papier perforé n'était pas très pratique et assez coûteux. Par conséquent, il y avait parfois des problèmes de réutilisation et, par conséquent, des fuites d’informations importantes.

Afin de ne pas transmettre des bobines de bandes de papier perforées sur des canaux coûteux, ils ont trouvé des moyens de générer un long gamma à partir d'une clé aléatoire mais courte. A ce moment-là, passe le court clé aléatoire c'était plus facile que le long.

Certifié FCPE

Avec l'avènement de médias modernes informations, la situation a radicalement changé, et il n'y a désormais aucun problème pour produire et transmettre des gigaoctets de gamma - tant que le DNG est bon. Les générateurs logiciels de séquences pseudo-aléatoires (PSP) ne peuvent être utilisés ici que par désespoir car il n'existe pas de bon générateur physique.

Les normes cryptographiques définissent des séquences d'opérations qui permettent d'obtenir un texte clair crypté de manière sécurisée, basé sur une bonne clé. Cependant, les clés doivent toujours être réalisées à l’aide de bons capteurs.

Le régulateur fixe les règles, les laboratoires d'essais vérifient si les exigences en matière d'opérations, de clés et l'absence d'influence sur ces processus par d'autres processus sont respectées - c'est ainsi qu'apparaissent les systèmes certifiés de protection des informations cryptographiques.

Cryptage et signature électronique

Gamma doit avoir les propriétés suivantes :

• être véritablement aléatoire, c'est-à-dire formé par des processus physiques, analogiques plutôt que numériques ;
• correspondre ou dépasser la taille spécifiée du texte en clair ;
• être appliqué à chaque message une seule fois, puis détruit.

Ce chiffre s'appelle le chiffre Vernam - et c'est le seul chiffre qui possède une force cryptographique absolue. Il n'est plus nécessaire de prouver sa force maintenant, puisque cela a été fait par K. Shannon en 1945. Une grande longueur gamma, sa formation sur la base de processus physiques et une destruction garantie sont les conditions de la force du chiffre.

Le cryptage est nécessaire pour garantir que seuls ceux qui peuvent avoir accès aux informations. La signature électronique est utilisée pour enregistrer la volonté d'une personne. Et si le CIPF doit effectuer correctement des transformations cryptographiques dans un environnement éprouvé, alors cela ne suffit pas pour une signature électronique. Il est nécessaire de prendre toutes les mesures pour garantir que libre arbitre d'une personne. La loi fédérale 63 vise à cela, c'est pourquoi l'une de ses exigences les plus importantes est l'exigence d'une visualisation correcte du document qu'une personne signe. Ainsi, contrairement au CIPF, des contrôles d'outils de visualisation sont ajoutés pour les SES qualifiés. Bien sûr, tout est fait vérifications nécessaires algorithmes cryptographiques.

Lors de l'analyse d'un système de signature électronique particulier, la question est généralement posée comme suit : « Est-il possible de sélectionner rapidement deux messages différents (significatifs) qui auront les mêmes signatures électroniques ? » La réponse ici est généralement non. Si une bonne fonction de hachage est utilisée sans un mécanisme efficace de détection des collisions, l’attaque est presque toujours vouée à l’échec. Mikhaïl Gruntovitch (voir page 48) a posé la question différemment : « Est-il possible, avec deux messages, de sélectionner des clés de signature pour que les signatures électroniques coïncident ? Et il s’est avéré que c’est extrêmement simple à faire !

L'attaque de Gruntovitch

Considérons les conditions particulières de mise en œuvre de cette attaque (dans une version très simplifiée) à l'aide de l'exemple d'une signature selon le schéma El-Gamal. La croyance en la force de ce schéma repose sur la complexité (hypothétique) du problème du logarithme discret, mais ce n’est pas le problème des mathématiques discrètes qui est attaqué ici.

Le FCPE doit être matériel. Ils doivent contenir un RNG physique de la qualité requise et garantir la non-récupération non seulement de la clé de signature, mais également des autres éléments cryptographiques qui affectent la force des algorithmes.

Introduisons la notation suivante :

• H – fonction de hachage cryptographique ;
  Zn – ensemble de nombres (0,1, …, n - 1), n ​​​​​​– nombre naturel ;
  a (mod p) – le reste de la division de l'entier a par l'entier naturel p.

Pour le schéma de génération de signature ElGamal :

• un nombre premier p de largeur suffisante est fixe et g est un élément primitif mod p ;
• la clé privée de la signature est n'importe quel nombre x de Zp.

Calcul de la signature du message m :

• le code de hachage h = H(m) est calculé ;
• un nombre aléatoire k est sélectionné et est premier à p - 1:1< k < p - 1;
• r = g k (mod p) est calculé ;
• s = k -1 (h - xr) (mod p - 1) est calculé ;
• la signature est le couple c = (r, s).

Voyons maintenant ce qu'un attaquant doit faire pour mener une attaque. Il devrait générer des codes de hachage :

• h 1 = H(m 1), h 2 = H(m 2)

et faire correspondre les signatures avec le même nombre aléatoire k :

• s = k -1 (h 1 - x 1 r)(mod p - 1) et
  s = k -1 (h 2 - x 2 r)(mod p - 1).

Et cela signifie que :

h 1 - x 1 r (mod p - 1) = h 2 - x 2 r(mod p - 1).

Certaines fonctionnalités auxquelles vous devez prêter attention lorsque vous utilisez le CIPF.
1. Si la documentation du CIPF indique dans quel système d'exploitation il peut être utilisé, alors il doit être utilisé dans ce système. Autrement, même si le FCPE fonctionne, vous devrez quand même effectuer des recherches sur la bonne intégration du FCPE connu dans le nouvel environnement. Ce n'est pas difficile (relativement) pour les CIPF matériels, mais assez difficile pour les logiciels.
2. Si le matériel CIPF n'a pas de DFS vérifié et qu'il n'y a pas d'outils d'auto-test vérifiés (et il ne peut en être autrement dans le CIPF implémenté sur les puces de carte à puce universelles), alors faites attention aux documents sur l'installation et le fonctionnement. Étant donné que l'entropie doit être ajoutée quelque part et que des tests doivent être effectués, il se peut que ce CIPF puisse être utilisé de manière autonome pendant une très courte période, par exemple deux ou trois jours. Ce n'est pas toujours pratique.
3. Si on vous propose un jeton et qu'on vous dit qu'il est certifié de classe KS2 ou supérieure, ne le croyez pas. Il est très probable que la documentation exige d'utiliser ce jeton dans un environnement sécurisé. serrure électronique. Sans cela, la classe ne sera pas supérieure à KS1.

Comme vous pouvez le constater, lors du choix des clés x 1 et x 2 de telle sorte que la condition ci-dessus soit remplie, les signatures correspondent, malgré le fait que les messages signés sont différents ! Notez que pour calculer x 2 à partir d'un x 1 connu, les calculs requis sont minimes par rapport au problème du logarithme discret sous-exponentiel.

Cependant, tout n’est pas si effrayant. Le fait est que les résultats obtenus ne discréditent pas la réalité force cryptographique de la signature électronique. Ils montrent une vulnérabilité possible lorsque abuser Mécanismes PE.

Cet exemple démontre clairement les vulnérabilités qui surviennent lorsque le FCPE est mal mis en œuvre. L'attaque décrite est possible si l'utilisateur connaît sa clé de signature et peut connaître le nombre aléatoire.

Il existe une manière radicale de lutter contre les attaques de ce type - pour cela, il vous suffit de disposer d'un appareil dans lequel :

• une clé de signature est générée ;
• la clé de vérification de signature est calculée ;
• Clé publique exporté, y compris pour certification par un centre de certification ;
• La clé de signature est utilisée pour générer une signature numérique uniquement à l'intérieur de l'appareil ; elle ne peut pas être exportée ! DANS Dernièrement ces appareils sont appelés appareils à clé non amovible ;
• Un nombre aléatoire n'apparaît jamais dans l'environnement informatique, il est généré et détruit après avoir été utilisé à l'intérieur de l'appareil.

De là, il est clair que l'option la plus fiable est le SEP et le CIPF, réalisés sous forme d'équipement. Dans ce cas, une qualité suffisante du RNG et un stockage fiable de la clé de signature peuvent être assurés.

Chiffrement

Revenons maintenant au cryptage et parlons de quand et pourquoi il devrait être utilisé aussi bien par les personnes physiques que par les personnes morales.

Soulignons d’abord les principaux types de cryptage, à savoir l’abonné et le canal. Comme les noms l'indiquent, dans le cas du cryptage de l'abonné, l'abonné crypte d'abord les informations (fichier, document), puis les transmet sous forme fermée au canal. Avec le cryptage de canal, le canal lui-même est protégé à l'aide de méthodes cryptographiques et l'abonné n'a pas à se soucier du cryptage des informations avant de les transmettre sur le canal. Si le canal est une connexion point à point, des encodeurs de canal sont utilisés. Si le canal n'est pas constitué de câbles, mais d'une structure active comme Internet, alors tout n'a pas besoin d'être crypté, mais seulement les données. Les adresses ne peuvent pas être déformées, sinon les paquets n'atteindront tout simplement pas le destinataire. Les mécanismes de réseau privé virtuel (VPN) sont utilisés ici. Les protocoles les plus connus sont IPsec et SSL. Presque tous les produits VPN du marché implémentent l’un de ces protocoles.

VPN

Afin de choisir consciemment l'un ou l'autre produit, vous devez comprendre en quoi ils diffèrent et quelles difficultés vous rencontrerez lors du fonctionnement de ces produits. Voici ce que vous devez au moins garder à l’esprit :

• La protection cryptographique des canaux doit être utilisée s'il existe un risque que les données que vous transmettez soient si intéressantes pour un intrus qu'il rejoindra le canal et commencera à « écouter » l'intégralité de votre échange. Bien sûr, vous devez commencer à protéger les chaînes après avoir protégé de manière fiable réseau interne, puisqu'un initié coûte généralement moins cher qu'une attaque contre une chaîne ; 1 les deux protocoles - ces protocoles sont conçus pour l'interaction non pas entre clients, mais entre réseaux, ils sont donc difficiles à configurer. Ainsi, les contrôles de sécurité du réseau sont essentiels et doivent être choisis en premier ;
• dans la pile de protocoles TCP/IP, IPsec fonctionne au niveau de la couche IP et SSL fonctionne au niveau de la couche TCP. Autrement dit, si IPsec assure la protection au niveau du système, alors SSL assure la protection au niveau de l'application. Étant donné qu'IPsec fonctionne de manière significativement « inférieure », il « encapsule » ainsi un nombre beaucoup plus important de protocoles dans le domaine de sécurité que SSL, qui est, bien sûr, meilleur ;
• Lorsque vous utilisez un VPN, votre tâche principale est la gestion des clés. Les clés doivent être délivrées en temps opportun, modifiées - en un mot, elles doivent être gérées. Chaque FCPE possède son propre système de génération et de gestion des clés. Si vous utilisez déjà un système de clé, continuez à l’utiliser. Ne démarrez pas un « zoo » - entretenir ne serait-ce qu'un seul système est difficile, encore moins plusieurs - une tâche presque impossible ;
• si votre tâche consiste à assurer les activités de nombreux objets d'information distribués dans l'espace, utilisez un VPN. Cela s'applique uniquement aux objets entre lesquels il existe une interaction informationnelle intensive utilisant des données protégées, qui peuvent être si intéressantes pour l'intrus qu'il est prêt à « écouter » les canaux. Si tout ne se passe pas bien, essayez de vous limiter à la protection des informations cryptographiques des abonnés.

Souscripteur FCPE

Ils se caractérisent non pas par des algorithmes (définis par des normes), mais par des utilitaires qui permettent d'utiliser ces CIPF, et les conditions qui doivent être remplies. Il est souhaitable que ces fonds soient pratiques à utiliser.

Et surtout, pensez à disposer de suffisamment d’équipements de protection. Il n’est pas nécessaire d’utiliser le FCPE coûteux là où vous pouvez vous en passer.

Et encore une chose : le FCPE et le SEP qui répondent à toutes les exigences dont nous avons discuté existent. Jusqu'à la classe KV2. Je ne les nomme pas uniquement pour que l’article ne devienne pas une publicité.

Littérature

1. Konyavsky V.A. Crime d'ordinateur. T.II. –M., 2008.
2. Iachchenko V.V. Introduction à la cryptographie. Nouvelles disciplines mathématiques. –M., 2001.

Commentaires...

Alexeï, bon après-midi !
La réponse du 8ème Centre n'indique rien sur la nécessité d'utiliser le FCPE certifié. Mais il existe des "Recommandations méthodologiques..." approuvées par la direction du 8ème Centre du FSB de Russie en date du 31 mars 2015 n° 149/7/2/6-432, dans lesquelles se trouve le paragraphe suivant dans le deuxième partie:

Pour assurer la sécurité des données personnelles lors de leur traitement dans l'ISPD, il faut utiliser le CIPF ayant passé de la manière prescrite procédure d’évaluation de la conformité. La liste des CIPF certifiés par le FSB de Russie est publiée sur le site officiel du Centre d'octroi de licences, de certification et de protection des secrets d'État du FSB de Russie (www.clsz.fsb.ru). Informations Complémentaires Il est recommandé de se renseigner sur des outils spécifiques de sécurité de l'information directement auprès des développeurs ou fabricants de ces outils et, si nécessaire, auprès d'organismes spécialisés qui ont réalisé des études de cas de ces outils ;

Pourquoi n’est-il pas obligatoire d’utiliser le FCPE certifié ?

Il existe un arrêté du FSB de Russie du 10 juillet 2014 n° 378, qui stipule à l'alinéa « d » du paragraphe 5 : « l'utilisation d'outils de sécurité de l'information qui ont passé avec succès la procédure d'évaluation du respect des exigences de la législation de la Fédération de Russie dans le domaine de la sécurité de l'information, dans les cas où le recours à de tels moyens est nécessaire pour neutraliser les menaces actuelles.

Cela « alors que le recours à de tels moyens est nécessaire pour neutraliser les menaces actuelles » prête un peu à confusion. Mais tout cela doit être décrit dans le modèle de l’intrus.

Mais dans ce cas encore, l'article 3 des « Recommandations méthodologiques... » de 2015 stipule que « lors de l'utilisation de canaux de communication (lignes) à partir desquels il est impossible d'intercepter des informations protégées transmises par leur intermédiaire et (ou) dans lesquels elles sont impossible d'exercer des influences non autorisées. Ces informations doivent être indiquées dans la description générale des systèmes d'information :
- description des méthodes et moyens de protection de ces chaînes contre tout accès non autorisé à celles-ci ;
- conclusions basées sur les résultats d'études sur la sécurité de ces canaux (lignes) de communication contre l'accès non autorisé aux informations protégées transmises par leur intermédiaire par une organisation habilitée à mener de telles études, en référence au document contenant ces conclusions."

Ce que je veux dire par tout cela - oui, il n'est pas nécessaire d'utiliser toujours et partout la protection des informations cryptographiques pour garantir la sécurité du traitement des données personnelles. Mais pour ce faire, vous devez créer un modèle du délinquant, où tout cela peut être décrit et prouvé. Vous avez écrit sur deux cas où vous devez les utiliser. Mais le fait que pour assurer la sécurité du traitement des données personnelles canaux ouverts communications, ou si le traitement de ces données personnelles dépasse les limites de la zone contrôlée, vous pouvez utiliser un CIPF non certifié - ce n'est pas si simple. Et il peut arriver qu'il soit plus facile d'utiliser des dispositifs de protection des informations cryptographiques certifiés et de respecter toutes les exigences lors de leur fonctionnement et de leur stockage que d'utiliser des produits non certifiés et de se heurter au régulateur qui, voyant une telle situation, s'efforcera de se frotter leur nez dedans.

Commentaires inconnus...

Le cas où l'utilisation de tels moyens est nécessaire pour neutraliser les menaces actuelles : l'exigence de l'arrêté du FSTEC de Russie n° 17 du 11 février 2013 (exigences pour l'ISPDn étatique et municipal),

article 11. Pour assurer la protection des informations contenues dans Système d'Information, sont utilisés des moyens de sécurité de l'information qui ont réussi l'évaluation de la conformité sous la forme d'une certification obligatoire pour le respect des exigences de sécurité de l'information conformément à l'article 5 de la loi fédérale du 27 décembre 2002 n° 184-FZ « sur la réglementation technique ».

Alexeï Loukatski commente...

Proximo : Les recommandations du FSB sont illégitimes. L'ordonnance 378 est légitime, mais doit être considérée dans le contexte de toute législation, et elle stipule que les détails de l'évaluation de la conformité sont établis par le gouvernement ou le président. Ni l'un ni l'autre n'ont publié de tels actes juridiques

Alexeï Loukatski commente...

Anton : Dans le gouvernement de l'État, l'exigence de certification est établie par la loi, le 17e ordre les répète simplement. Et nous parlons de PDn

Commentaires inconnus...

Alexeï Lukatski : Non. Les recommandations du FSB sont illégitimes" Dans quelle mesure illégitimes ? Je parle du document n° 149/7/2/6-432 du 19 mai 2015 (http://www.fsb.ru/fsb/science/ single.htm!id%3D10437608 %40fsbResearchart.html), mais pas sur le document du 21/02/2008 n°149/54-144.

Un autre spécialiste a également adressé une demande au FSB sur un sujet similaire, et on lui a répondu que la « Méthodologie » et les « Recommandations » du FSB de 2008 ne doivent pas être utilisées lorsqu'il s'agit de Ces documents. Mais encore une fois, ces documents n'ont pas été officiellement annulés. Et si ces documents sont légitimes ou non, je crois que les inspecteurs du FSB décideront sur place lors de l'inspection.

La loi dit que les données personnelles doivent être protégées. Les règlements du gouvernement, du FSB et du FSTEC déterminent exactement comment ils doivent être protégés. Les réglementations du FSB disent : "Utilisez certifié. Si vous ne voulez pas de certification, prouvez que vous pouvez l'utiliser. Et ayez la gentillesse de joindre à ce sujet une conclusion émanant d'une entreprise autorisée à émettre de telles conclusions." Quelque chose comme ça...

Alexeï Loukatski commente...

1. Toute recommandation est une recommandation et non une exigence obligatoire.
2. Le manuel de 2015 n'a rien à voir avec les opérateurs PD - il fait référence aux responsables gouvernementaux qui rédigent des modèles de menace pour les institutions subordonnées (en tenant compte du point 1).
3. Le FSB n'a pas le droit de procéder à des inspections des opérateurs commerciaux de PD, et pour les agences gouvernementales, la question de l'utilisation de CIPF non certifiés n'en vaut pas la peine - ils sont obligés d'utiliser des solutions certifiées, quelle que soit la disponibilité des PD - ce sont les exigences de la loi fédérale-149.
4. Les règlements vous disent comment vous protéger et c'est normal. Mais ils ne peuvent pas déterminer la forme d'évaluation des équipements de protection - cela ne peut être fait que par règlement du gouvernement ou du président. Le FSB n'est pas autorisé à le faire

Commentaires inconnus...

Selon le décret 1119 :

4. Le choix des moyens de sécurité de l'information pour le système de protection des données personnelles est effectué par l'opérateur conformément aux actes juridiques réglementaires adoptés par le Service fédéral de sécurité de la Fédération de Russie et le Service fédéral du contrôle technique et des exportations conformément à la partie 4. de l'article 19 de la loi fédérale "sur les données personnelles".
13.g. L'utilisation d'outils de sécurité de l'information ayant fait l'objet d'une évaluation de conformité aux exigences de la législation de la Fédération de Russie dans le domaine de la sécurité de l'information, dans les cas où l'utilisation de tels outils est nécessaire pour neutraliser les menaces actuelles.

Comment justifier la non-pertinence de la menace lors de la transmission de données personnelles via les canaux d'un opérateur télécom ?

Ceux. si ce n'est pas le FCPE, alors apparemment
- l'accès aux terminaux et aux clients légers, mais en même temps les données de sécurité des informations des terminaux
l'accès doit être certifié.
- protection des chaînes par l'opérateur télécom, responsabilité de l'opérateur télécom (fournisseur).

Alexeï Loukatski commente...

La non-pertinence est déterminée par l'opérateur et il n'a besoin de personne pour cela