Информация >> Публикации сотрудников компании >>Доступ к информации открывает ключик. Но не золотой, а криптографический

«Вестник Науфор», №10, 2000 декабрь

(технологии защиты финансовой информации в Интернет компании «Сигнал-КОМ»)

Компания «Сигнал-КОМ» создана в декабре 1990 г. За деcять лет приобрела известность в России и странах СНГ как разработчик средств защиты информации и телефонных переговоров. Является партнером международной компании Global One.

«Сигнал-КОМ» предоставляет своим клиентам «под ключ» комплекс телекоммуникационных услуг в совокупности с программно-аппаратными средствами защиты, обеспечивающими безопасный режим работы через сети общего пользования.

Компания имеет лицензии на право деятельности в области защиты информации Государственной техкомиссии при Президенте РФ, ФСБ, ФАПСИ, а также лицензии Минсвязи РФ как партнер и дистрибьютор компании Global One.

Основное направление деятельности компании в последние четыре года - разработка программно-аппаратных средств защиты информации в Интернет/Интранет и создания защищенных виртуальных частных сетей.

Особым спросом последнее время пользуется система защиты HTTP-приложений «Inter-PRO». Объясняется это тем, что многие крупные финансовые и промышленные структуры, осознавшие эффективность использования передовых Интернет-технологий, начинают их внедрение, как правило, с организации электронного документооборота на базе Web-приложений. Это неизбежно приводит к необходимости решения вопроса о создании соответствующих систем информационной безопасности.

Продукт «Inter-PRO» и поддерживающий его сертификационный центр «Notary-PRO» способны в полной мере обеспечить решение этой задачи.

«Inter-PRO» - система защиты электронного документооборота

Программный комплекс «Inter-PRO» относится к числу первых разработок «Сигнал-КОМ», связанных с защитой Интернет-приложений

«Inter-PRO» функционирует в среде WINDOWS 9х/NT, Free BSD, Linux Red Hat, SCO UNI и обеспечивает защищенное информационное взаимодействие между Web-браузерами клиентов и Web-серверами на основе SSL протокола.

Протокол SSL (Secure Sockets Layer) в настоящее время является наиболее распространенным протоколом защиты информации в Интернет. Он включает два этапа взаимодействия сторон защищаемого соединения:

  • установление SSL сессии;
  • защита потока данных.
  1. На этапе установления SSL сессии осуществляется аутентификация сервера и (опционально) клиента, стороны договариваются об используемых криптографических алгоритмах и формируют общий «секрет», на основе которого создаются общие сеансовые криптографические ключи для последующей защиты соединения. Этот этап называют также процедурой «рукопожатия»
  2. На втором этапе осуществляется собственно защита потока данных, передаваемых по установленному SSL-соединению. При этом конфиденциальность информации обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов (например, RC4, RC2, DES и др.), а контроль целостности передаваемых блоков данных осуществляется за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code - MAC), вычисляемых с помощью хэш-функций.

Для аутентификации и формирования общих секретных сеансовых ключей в SSL используются методы асимметричной (или двухключевой) криптографии, предполагающей наличие у каждой аутентифицируемой стороны двух ключей - секретного и открытого. Секретный ключ доступен только самому владельцу и хранится в тайне, а открытый ключ может распространяться свободно в составе так называемого сертификата и должен быть известен той стороне, которая выполняет процедуру аутентификации.

В качестве двухключевого алгоритма для аутентфикации сторон и формирования совместных секретных сеансовых ключей протокол SSL чаще всего использует алгоритм RSA (разработки RSA Data Security Inc.).

Сертификаты открытых ключей формируются специальными центрами сертификации в том числе и сертификационным центром «Notary-PRO» разработки компании «Сигнал-КОМ».

Функциональные возможности «Inter-PRO»

Несмотря на свою популярность, до недавнего времени протокол SSL имел крайне ограниченную сферу применения на территории России, т.к. практически все существующие продукты, поддерживающие SSL, реализованы в США и до декабря 1999 года поступали на наш отечественный рынок с экспортными ограничениями на длину криптографических ключей. Это обстоятельство исключало их использование при построении надежных систем с приемлемым уровнем защиты.

Именно по этой причине компания «Сигнал-КОМ» 5 лет назад взялась за разработку собственной технологии защиты клиент-серверных Интернет-приложений на базе SSL протокола. В результате появился программный комплекс «Inter-PRO», который в существующей коммерческой версии обеспечивает защиту Web-приложений на базе расширенного протокола SSL, обладающего следующими свойствами:

  • используемые протоколом зарубежные криптографические алгоритмы свободны от экспортных ограничений на длину ключей;
  • протокол дополнен отечественными криптографическими алгоритмами (ГОСТ 28147-89);
  • в рамках SSL реализована возможность формирования и проверки в режиме on-line цифровой подписи пользователя под электронной HTML-формой, заполняемой им в процессе взаимодействия с Web-сервером. В настоящее время для формирования подписи используется алгоритм RSA.

Способность «на проходе» формировать и проверять цифровую подпись под HTML- формой является уникальной особенностью «Inter-PRO», позволяющей использовать его при создании защищенных платежных систем, базирующихся на Web - технологиях и требующих наличия электронных подписей под документами, которыми в этом случае являются HTML-формы.

Возможные схемы подключения «Inter-PRO»

Комплекс «Inter-PRO» включает два программных модуля.

«Inter-PRO Server» устанавливается на стороне Web-сервера и может располагаться как на той же машине, что и защищаемый Web-сервер, так и на отдельно стоящем компьютере, причем, в этом случае один модуль «Inter-PRO Server» может осуществлять защиту сразу нескольких Web-серверов.

«Inter-PRO Client» устанавливается на той же машине, что и Web-браузер и обеспечивает взаимодействие с удаленным модулем «Inter-PRO Server». В параметрах настройки программы «Inter-PRO/Client» указывается, с какими Web-серверами должны устанавливаться защищенные соединения; со всеми остальными ресурсами «Inter-PRO/Client» будет работать в открытом режиме, как ретранслятор, без преобразования информации (см. Рис.1).

Схема взаимодействия модулей 'Inter-PRO' в защищенном (протокол) SSL и в открытом (незащищенном) режимах

Proxy - технология, реализуемая в программном продукте «Inter-PRO», обеспечивает его независимость от типов взаимодействующих между собой браузеров и Web-серверов. Единственным требованием, предъявляемым к программному обеспечению на стороне клиента, является наличие возможности настройки Web-браузера на работу с HTTP Proxy.

Защищенное взаимодействие клиента с Web-сервером осуществляется через посредство модулей «Inter-PRO/Client» и «Inter-PRO/Server», между которыми устанавливается SSL соединение.

Режимы аутентификации. Ключи и сертификаты

Согласно реализованному в «Inter-PRO» протоколу SSL, серверы подлежат обязательной аутентификации и, следовательно, должны иметь секретный ключ и соответствующий ему сертификат.

Необходимость наличия ключей и сертификата у клиентов определяется установленным на стороне модуля «Inter-PRO Server» режимом аутентификации клиентов.

Комплекс «Inter-PRO» поддерживает три режима взаимодействия клиента с WEB-сервером:

  • односторонняя аутентификация (защищенное взаимодействие без аутентификации клиентов);
  • необязательная аутентификация клиентов;
  • двусторонняя аутентификация (защищенное взаимодействие с обязательной аутентификацией клиентов).

Односторонняя аутентификация обеспечивает минимально необходимый уровень защиты, и включает в себя:

  • обязательную аутентификацию сервера, без аутентификации клиентов;
  • шифрование трафика между клиентом и сервером.

При работе в данном режиме сервер на этапе «рукопожатия» не запрашивает сертификат клиента и устанавливается «анонимное» защищенное соединение. В этом случае клиент может не иметь секретного ключа и сертификата, однако при этом он лишается возможности формировать электронную цифровую подпись под документами. Режим с односторонней аутентификацией сервера может использоваться для предоставления некоторой группе пользователей конфиденциальной информации на основании парольной защиты, однако пароль в этом случае будет предъявляться пользователем только после установления защищенного SSL-соединения с Web-сервером, что повышает уровень защиты от несанкционированного доступа по сравнению с передачей пароля по открытым соединениям.

В режиме с необязательной аутентификацией сервер запрашивает сертификат клиента, но его отсутствие не считается ошибкой.

Двусторонняя аутентификация обеспечивает максимальный уровень защиты и включает в себя:

  • взаимную аутентификацию клиента и Web - сервера с помощью их сертификатов;
  • шифрование трафика между клиентом и сервером;
  • формирование и проверку электронной цифровой подписи под электронными HTML-формами, заполняемыми пользователями.

Двусторонний метод аутентификации позволяет обеспечить доступ в закрытую часть Web - сервера только зарегистрированным владельцам сертификатов. При этом нужно иметь в виду, что разграничение доступа к информационным ресурсам сервера, основанное на проверке сертификатов клиентов, гораздо надежнее, чем просто паролевая защита.

В данном режиме работы клиенту необходимо сгенерировать открытый и секретный ключ и получить в Сертификационном Центре сертификат.

Наличие у клиентов сертификатов обеспечивает возможность формирования электронной цифровой подписи под формами документов. В случае успешной проверки электронной подписи на стороне модуля «Inter-PRO Server», строка подписи и ее параметры, строка сертификата для проверки подписи и уникальное имя пользователя, подписавшего форму, передаются приложениям Web-сервера для организации хранения электронных форм документов на случай возникновения споров и для обеспечения дальнейшего авторизованного доступа к информационным базам данных. Вместе с дистрибутивом «Inter-PRO Server» поставляется специальная утилита, позволяющая, в случае возникновения споров, осуществить проверку электронной подписи под содержимым электронной формы в режиме off-line.

Режим с обязательной аутентификацией используется в системах электронной коммерции или электронных платежных системах, требующих наличия цифровой подписи клиента под электронными запросами или формами документов, а также в тех случаях, когда для предоставления клиенту конфиденциальной информации недостаточно простой парольной аутентификации.

Формирование секретного и открытого ключа пользователей и сервера осуществляется с помощью встроенной в модули «Inter-PRO» процедуры генерации ключей. Для защиты секретного ключа от несанкционированного доступа в «Inter-PRO» предусмотрена возможность его шифрования на пароле или хранения на Touch Memory. На основе открытого ключа формируется запрос сертификата, который передается Сертификационному Авторитету в Сертификационный Центр. В качестве Сертификационного Центра может быть использован локальный центр «Notary-PRO» разработки «Сигнал-КОМ» (об этом ниже).

Защищенные платежные системы на базе «Inter-PRO»

Наиболее очевидна эффективность использования «Inter-PRO» в электронных платежных системах типа «Банк-Клиент», ориентированных на дистанционное обслуживание клиентов через Интернет, или в любых других системах, где необходимо авторизованное подтверждение запроса клиента на обслуживание (в системах электронной торговли, электронного страхования, платного информационного обслуживания и т.д.).

Рассмотрим возможности использования «Inter-PRO» на примере организации системы безопасности в системе электронной торговли ценными бумагами ATON-LINE инвестиционной группы «Атон». Система ориентирована на Интернет-трейдинг, позволяя торговать практически любыми финансовыми инструментами на всех торговых площадках, которые предоставляют возможность удаленного подключения.

Доступ к системе ATON-LINE осуществляется с любого компьютера, оборудованного доступом в Интернет.

Для работы в системе используется стандартный браузер Microsoft Internet Explorer версии 4.01 и выше. Для обеспечения защищенного информационного взаимодействия через Интернет рабочее место клиента (инвестора) дополнительно оснащается клиентским модулем «Inter-PRO/Client», а на стороне Web-сервера системы ATON-LINE устанавливается серверный модуль «Inter-PRO/Server».

Клиентский модуль «Inter-PRO» настраивается на защищенное взаимодействие с Web-сервером системы и на открытое - со всеми остальными Web-серверами.

Установив через посредничество «Inter-PRO» защищенное SSL-соединение с Web - сервером, аутентифицированные клиенты получает авторизованный доступ к специализированному приложению электронной торговой системы, обеспечивающей:

  • регистрацию дистанционных распоряжений;
  • оперативный контроль за исполнением торговых поручений;
  • оперативный доступ к информации о ходе торгов в режиме реального времени;
  • доступ к аналитике, динамическим графикам и техническому анализу, и многое другое.

Передача дистанционных распоряжений (заявок) осуществляется путем заполнения клиентом соответствующих электронных форм, причем, при подтверждении заполненной формы формируется электронная цифровая подпись, которая автоматически проверяется серверным модулем «Inter-PRO» на стороне Web-сервера.

Использование в системе ATON-LINE технических решений, базирующихся на передовых Интернет-технологиях, позволяет разместить все ресурсы, необходимые для профессиональной торговли ценными бумагами в нескольких окнах броузера, причем у клиента не возникает проблем при обновлении и сопровождении системы - все осуществляется на сервере компании.

Администрирование системы распределения ключевой информации в криптографической системе «Inter-PRO», составляющей основу безопасности ATON-LINE, обеспечивается сертификационным центром «Notary-PRO» .

Сертификационный Центр «Notary-PRO»

Сертификационный Центр «Notary-PRO» является одним из важнейших в семействе продуктов «Сигнал-КОМ». Связано это с тем, что средства защиты Интернет-приложений, базирующиеся на двухключевых ассиметричных криптографических системах, требуют наличия у участников защищенного взаимодействия пары ключей (открытого и секретного) и сертификата X.509 на открытый ключ. Однако получение сертификата в авторитетных зарубежных Центрах Сертификации, типа Verisign, юридически сложно и неоправданно дорого, а национальных общедоступных Центров Сертификации у нас в России, к сожалению, пока не существует.

В связи с этим «Сигнал-КОМ» предлагает крупным корпоративным объединениям или платежным системам создавать свои локальные службы сертификации на базе Сертификационного Центра «Notary-PRO». То, что он соответствует международным Рекомендациям ITU X.509, делает возможным организацию на его основе региональных или корпоративных Центров Сертификации, которые в будущем могут естественным образом влиться в иерархическую структуру национальной системы Сертификации.

Организации, приобретающие «Notary-PRO» получают возможность самостоятельно формировать необходимое количество клиентских сертификатов. При этом важно, что клиентам не придется обращаться к стороннему сертификационному центру, и вся информации о сертификатах будет храниться в организации и будет недоступна третьим лицам.

Сертификаты, выпускаемые «Notary-PRO», могут быть использованы при работе как с программными продуктами «Сигнал-КОМ» (например, «Inter-PRO», «Net-PRO» , «Message-PRO» ), так и с продуктами независимых, в том числе зарубежных производителей.

«Notary-PRO» представляет собой программный комплекс, работающий под управлением Windows 95/NT, и позволяющий:

  • генерировать ключи администратора безопасности (сертификационного авторитета);
  • формировать сертификаты администратора;
  • регистрировать запросы на сертификацию открытых ключей пользователей;
  • формировать сертификаты открытых ключей в соответствии с Рекомендациями ITU X.509 на основе запросов пользователей;
  • выпускать списки отмененных (скомпрометированных) сертификатов (revocation list);
  • поддерживать базу данных по пользователям системы;
  • формировать запросы на сертификациюключей сертификационного авторитета и создавать его сертификаты для поддержания иерархических систем сертификационных центров.

Сертификат X.509 представляет собой блок данных, содержащий следующую информацию:

  • имя центра сертификации;
  • имя владельца сертификата;
  • открытый ключ владельца сертификата;
  • период действия сертификата;
  • идентификатор и параметры алгоритма крипто-обработки;
  • цифровую подпись центра сертификации, заверяющую все данные в составе cертификата.

Цифровая подпись центра в составе сертификата обеспечивает достоверность и однозначность соответствия открытого ключа и его владельца. Центр Сертификации выполняет роль нотариуса, заверяющего подлинность открытых ключей, что позволяет их владельцам пользоваться услугами защищенного взаимодействия без предварительной личной встречи.

* * *

В настоящее время число банков и компаний, использующих «Inter-PRO», превысило два десятка. География их размещения весьма разнообразна: Москва, Санкт-Петербург, Екатеринбург, Уфа, Нижний Новгород, Кузбасс и др. А география размещения клиентуры этих банков еще более представительна, поскольку новые формы дистанционного обслуживания позволяют обеспечить пользователю доступ к банковским услугам из любой точки, куда только дотягивается Интернет.

В ряде банков (к их числу относятся «Гута-банк» и «Северная Казна») подсистема безопасности «Inter-PRO» эксплуатируется уже больше года и предоставляемый ею высокий уровень защиты при работе через Интернет обеспечивает постоянный приток новых клиентов.

Программный комплекс «Inter-PRO» является составной частью ситемы защиты информации в сетях TCP/IP «Net-PRO VPN», имеющей сертификат Государственной технической комиссии при Президенте РФ N 311 от 13.03.2000 г.

В IV квартале 2001 года планируется завершение работ по сертификации в ФАПСИ крипто-ядра, положенного в основу криптографической системы защиты «Inter-PRO» и других продуктов разработки компании «Сигнал-КОМ».

Программно-аппаратные средства защиты информации «Сигнал-КОМ»

Для построения систем информационной безопасности компания «Сигнал-КОМ» предлагает семейство продуктов, позволяющее организовать комплексную защиту информационных потоков и ресурсов на сетевом, транспортном уровнях и на уровне приложений.

«Inter-PRO» - защита Web-приложений на базе «расширенного» протокола SSL (без экспортных ограничений, с российскими криптографическими стандартами ГОСТ); обеспечивает аутентификацию взаимодействующих сторон, шифрование HTTP-трафика, формирование/проверку в режиме on-line цифровой подписи под электронными HTML-формами;

Net-PRO VPN - построение защищенных частных TCP/IP-сетей на базе протоколов SOCKS и SSL (обеспечивает функции Firewall по защите сети от несанкционированного доступа, управление доступом к ресурсам, аутентификацию по сертификатам и шифрование потока данных при взаимодействии локальных сетей друг с другом и с удаленными или мобильными пользователями);

IPSafe-PRO - межсетевой экран с функциями статической маршрутизации и криптографической защитой IP-трафика (обеспечивает фильтрацию IP-пакетов и шифрование IP-трафика в магистральных каналах на сетевом уровне; использует протокол ESP из семейства IPSec - Encapsulated Security Payload в туннельном режиме);

Message-PRO - криптографические модули и библиотеки для Windows NT/9x, SCO Unix, DOS (обеспечивает криптографическую защиту областей памяти и файлов данных; использует сертификаты формата X.509, соответствует стандартам PKCS 7, PKCS 10).

Mail-PRO - защита почтовых сообщений на базе криптографического расширения (Extension) почтового клиента MS Outlook Exchange (обеспечивает шифрование/расшифрование, формирование/проверку подписей в почтовых сообщениях);

Notary-PRO - Сертификационный Центр для администрирования одноранговых или иерархических систем распределения криптографических ключей в соответствии с Рекомендациями ITU (CCITT) X.509 (обеспечивает регистрацию, хранение и выдачу сертификатов открытых ключей и списков отмены серверам и клиентам систем безопасности).

Контактная информация: тел. (095) 317-8727, 317-8372, 317-8409.