Сравнение токенов с аппаратной поддержкой алгоритмов ГОСТ без сертификата ФСБ

В продолжение представленного ранее сравнения токенов с аппаратной поддержкой отечественных криптографических алгоритмов мы решили подготовить отдельный обзор решений иного типа. Рассмотренные ниже токены поддерживают отечественные криптографические алгоритмы и при этом не обладают действующим сертификатом ФСБ России.

1. Введение
2. Методология сравнения токенов
3. Сравнение токенов без действующего сертификата ФСБ России
1. 3.1. Сертификация
2. 3.2. Аппаратное обеспечение
3. 3.3. Программное обеспечение
4. 3.4. Функциональное обеспечение
5. 3.5. Особенности функционирования

Введение

Обязательность использования криптографических механизмов, утвержденных в качестве национальных стандартов Российской Федерации, по-прежнему оставлена в качестве признака, определяющего круг рассматриваемых токенов. Это согласуется с основополагающим принципом применения криптографических механизмов в криптосредствах, предназначенных для использования на территории Российской Федерации. Именно по этой причине за рамками обзора остались решения, основанные исключительно на зарубежных криптографических алгоритмах.

В свою очередь, наличие у токена сертификата ФСБ России не во всех случаях относится к числу обязательных требований для возможности использования решения на территории Российской Федерации.

Наличие сертификата ФСБ России в соответствии с действующим законодательством требуется для токенов, которые используются для защиты сведений, содержащих государственную тайну, а также обеспечения защищенности персональных данных. Несертифицированные решения в большинстве случаев не могут использоваться и при создании электронных документов, равнозначных документу на бумажном носителе, подписанному собственноручной подписью. Для использования усиленной квалифицированной электронной подписи подходят только токены, для которых подтверждено соответствие требованиям, установленным Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» и Приказом ФСБ РФ от 27 декабря 2011 г. № 7. Это соответствие подтверждается как раз наличием сертификата ФСБ России.

В целом область использования несертифицированных токенов с поддержкой отечественных криптографических алгоритмов в общем случае ограничена рамками подсистем обеспечения информационной безопасности для корпоративных информационных систем (банков, ИТ-компаний, страховых фирм и пр.), в которых они могут использоваться в качестве:

• устройства шифрования и электронной подписи в системах защищенного документооборота, криптографических сервис-провайдерах, программ для шифрования логических дисков;
• единого идентификационного устройства пользователя;
• защищенного хранилища служебной информации, личной информации пользователей, паролей, ключей шифрования, цифровых сертификатов и любой другой информации конфиденциального характера.

В существующих на рынке несертифицированных токенах с поддержкой отечественных криптографических алгоритмов реализованы механизмы, позволяющие с функциональной и экономической точки зрения успешно конкурировать с сертифицированными решениями.

Интерес к токенам данного типа в значительной степени поддерживается их более низкой по сравнению с сертифицированными аналогами стоимостью.

При этом отсутствие у токена сертификата ФСБ России, как правило, не связано с ненадлежащим выполнением требуемых от него функций. В самом деле, для производителя нет смысла тратить временные и финансовые ресурсы на разработку заведомо неработоспособного и ненадежного решения. Причины отсутствия сертификата по состоянию на тот или иной момент времени могут состоять в следующем:

• планирование сертификации в будущем (в соответствии с планом производителя по сертификации продуктов, при достижении более благоприятных условий и т. д.);
• затруднения в своевременной адаптации программного или аппаратного обеспечения решения к ужесточающимся требованиям регулятора;
• наличие заказчиков в сферах, в которых не требуется наличие сертифицированного решения, например, различных технологических процессах обработки информации в коммерческих организациях.

Методология сравнения токенов

Сведения, представленные в рамках сравнения, включают:

• реестр токенов;
• перечень параметров, по которым они могут быть сопоставлены;
• оценку токенов по представленным параметрам.

Для сравнения отобрано несколько примеров токенов с аппаратной поддержкой отечественных криптографических алгоритмов без сертификата ФСБ России, о которых на момент написания статьи доступна информация в открытых источниках. Отметим, что поиск решений с заданными характеристиками затруднен малым объемом имеющейся в открытом доступе информации о несертифицированных продуктах. По-видимому, это объясняется:

• первоочередной ориентированностью производителей СКЗИ на взаимодействие с крупными организациями из государственного сегмента, в котором наличие сертификата зачастую обязательное условие;
• предположением о незаинтересованности коммерческих учреждений в использовании СКЗИ.

В целом за вычетом признака наличия сертификата к несертифицированным токенам могут быть применены те же параметры сравнения, что и для сертифицированных решений. Напомним, что параметры сравнения выбираются таким образом, чтобы как можно более полно представить имеющуюся информацию о токенах. При формировании набора параметров учитывается как исторически сложившееся в отрасли представление об устройствах данного класса, так и критерии последнего времени. При этом помимо отечественной нормативной базы использовались следующие зарубежные документы:

• PKCS #15 v1.1: Cryptographic Token Information Syntax Standard; RSA Laboratories; June 6, 2000; Department of Defense Public Key Infrastructure and Key Management Infrastructure Token Protection Profile (Medium Robustness), Version 3.0, 22 March 2002, Common Criteria for Information Technology Security Evaluation, Prepared by Booz Allen Hamilton Prepared for National Security Agency (NSA);
• Серия европейских стандартов Protection profiles for Secure signature creation device;
• GlobalPlatform Device Technology. Secure Element Access Control, Version 1.0, Public Release, May 2012;
• NIST Special Publication 800-63B. Digital Identity Guidelines. Authentication and Lifecycle Management, June 2017», введенный в действие в июне 2017 года и заменяющий значимые для поставленной цели разделы документа «NIST Special Publication (SP) 800-63-2. Electronic Authentication Guideline, August 2013.

Наконец, отдельно стоит упомянуть о наличии технических решений, которые функционально отличаются от традиционных токенов, но зато предоставляют дополнительные функции безопасности.

К числу таких устройств можно отнести, например, «Идеальный токен» производства «ОКБ САПР». «Идеальный токен» представляет собой USB-устройство с функцией ограничения числа разрешенных компьютеров, на которых возможно получение доступа к ключам, хранящимся внутри устройства. Список компьютеров, на которых разрешена работа с «Идеальным токеном», определяется администратором информационной безопасности системы. Доступ к ключам предоставляется только легальному пользователю после успешной аутентификации в устройстве.

Сравнение токенов без действующего сертификата ФСБ России

Описание существующих решений, представленное в рамках результатов данной аналитической задачи, не претендует на то, чтобы привести читателя к некоему единственно правильному  обоснованному выбору. Скорее, его следует расценивать как попытку предоставить развернутую картину, позволяющую сделать самостоятельный выбор.