Обзор eXpress 2.14, российской защищённой корпоративной системы коммуникаций

1. Введение
2. Функциональные возможности системы eXpress
3. Архитектура системы eXpress
   1. 3.1. Схема взаимодействия
   2. 3.2. Механизмы защиты
      1. 3.2.1. Разграничение доступа
      2. 3.2.2. Идентификация и аутентификация
      3. 3.2.3. Формирование ключей внешних пользователей
      4. 3.2.4. Формирование ключей корпоративных пользователей
      5. 3.2.5. Защита взаимодействия типа «пользователь — пользователь»
      6. 3.2.6. Защита взаимодействия типа «пользователь — сервер» («сервер — пользователь»)
      7. 3.2.7. Защита взаимодействия типа «сервер — сервер»
      8. 3.2.8. Защита хранимых данных
4. Системные требования комплекса eXpress
   1. 4.1. Аппаратные требования
   2. 4.2. Требования к программному обеспечению
      1. 4.2.1. Операционная система
      2. 4.2.2. Программное обеспечение для автоматизации развёртывания приложений и управления ими
      3. 4.2.3. Программное обеспечение синхронизации времени
   3. 4.3. Прочие требования
5. Сценарии использования системы eXpress
   1. 5.1. Создание учётных записей пользователей с помощью консоли администратора
   2. 5.2. Подключение непривилегированного сотрудника к корпоративной системе коммуникаций
   3. 5.3. Создание административной группы с ограниченным набором прав доступа
   4. 5.4. Подключение сотрудника из группы администраторов к корпоративной системе коммуникаций
   5. 5.5. Включение режима повышенной конфиденциальности (стелс-режим)
6. Выводы

Введение

Текущая ситуация на отечественном рынке ИТ и ИБ беспрецедентна: большое количество внешних атак, уже названное «киберштормом», сильнейшее санкционное давление со стороны западных государств, ограничения работы иностранных вендоров. Многие компании остаются без привычных инструментов, что существенно стимулирует рынок российских разработок, за последние годы шагнувший далеко вперёд. Внедрение отечественных сервисов становится жизненной необходимостью как для государственных структур, так и для бизнеса. Особенно актуален этот вопрос в секторе корпоративных коммуникаций: активно обсуждаемые приостановка или ограничение работы зарубежных мессенджеров, удаление данных российских пользователей по сценарию Slack и риски блокировок популярных сервисов вынуждают искать решения, которые обеспечат надёжный доступ к коммуникационным сервисам в режиме 24×7. Циркулирующие в мессенджерах данные (сообщения, вложения, аудио- / видеопотоки) могут содержать информацию ограниченного распространения, что требует обеспечения её конфиденциальности и целостности.

Эксперты в области информационной безопасности рассматривают различные решения, обеспечивающие с одной стороны необходимый объём коммуникаций, а с другой — высокий уровень защищённости. Однако в регулярно публикуемых сравнениях вновь фигурируют решения принадлежащие зарубежным компаниям из Австралии, Британии, Германии, США, Швейцарии и др. В условиях текущего кризиса возможность полноценного безопасного использования таких сервисов вызывает сомнения. Между тем, на российском рынке существуют проверенные отечественные решения, давно используемые крупнейшими российскими корпорациями. Эти сервисы обладают богатыми коммуникационными возможностями и имеют в своём составе встроенные механизмы защиты информации. К таким решениям относится система коммуникаций «Express» от ООО «Анлимитед Продакшен» (регистрационный № 5745 от 20.09.2019 г. в Едином реестре российских программ для электронных вычислительных машин и баз данных).

Функциональные возможности системы eXpress

Защита коммуникаций и конфиденциальность передаваемых данных обеспечиваются с помощью нескольких ключевых возможностей платформы:

1. Принцип криптоконтейнера.
2. Трёхслойное сквозное (end-to-end) шифрование.
3. Хранение информации на серверах в зашифрованном виде.
4. Электронная подпись сообщений и контроль их целостности.
5. Функция переписки с ограниченным временем хранения сообщений: они удаляются либо по истечении установленного периода, либо сразу после прочтения.
6. Уничтожение корпоративной информации из приложения eXpress на смартфоне пользователя, например, при увольнении сотрудника.

Интерфейс клиентских приложений eXpress интуитивно понятен и позволяет новому пользователю быстро сориентироваться и начать работу.

Что касается классических функций мессенджера, то в eXpress доступны:

1. Обмен текстовыми сообщениями и файлами различного формата.
2. Голосовые вызовы.
3. Видеозвонки, в том числе групповые на 30 активных участников включительно.
4. Групповые чаты и каналы. Необходимо отметить, что администратор может сделать доступными для нового участника чата или канала те сообщения, которые передавались ранее, до его присоединения.

Пользователи eXpress могут выстроить каналы коммуникаций как внутри одной организации, так и с представителями иных компаний и ведомств, использующих в работе рассматриваемую систему. Такая возможность обеспечивается т. н. федеративной структурой построения системы eXpress. Каждая организация может установить в своей инфраструктуре любое количество корпоративных серверов и связать их в единую сеть. Установка клиентского приложения (как мобильного варианта, так и настольной версии) не вызывает технических сложностей.

Адресные книги корпоративных пользователей предоставляются только тем лицам, кто подключён к соответствующим корпоративным серверам системы eXpress. Существует возможность установки доверительных отношений между корпоративными серверами разных организаций, что позволяет сотрудникам этих компаний или ведомств взаимодействовать между собой. В остальных случаях пользователи «видят» друг друга, если в адресных книгах мобильных устройств указаны их номера телефонов, но доступ к корпоративным адресам при этом исключён.

Платформа BotX, предназначенная для создания ботов, и платформа разработки приложений eXpress Smart Apps позволяют выполнить интеграцию системы eXpress с различными корпоративными сервисами. В частности, доступны специальные боты и приложения внутри eXpress для интеграции с системами электронного документооборота, кадровыми и финансовыми комплексами, механизмами ИТ-мониторинга и пр.

Архитектура системы eXpress

Схема взаимодействия

Система eXpress включает в себя серверные компоненты и приложения. Различаются серверные компоненты регионального уровня (RTS-серверы), уровня предприятия (ETS-серверы) и корпоративного уровня (CTS-серверы). Для взаимодействия пользователей системы eXpress с серверными компонентами предусмотрены мобильные, настольные и веб-приложения.

Основное назначение CTS-сервера — обслуживание пользователей одной организации (корпоративной сети). Если организация имеет территориально распределённую структуру (две и более корпоративных сетей), возможна установка ETS-сервера. В этом случае ETS-сервер объединяет несколько CTS-серверов. CTS-серверы могут быть развёрнуты в виде единого (т. н. Single CTS) или разделённого (т. н. Front CTS и Back CTS) сервера eXpress. Допускается использование как аппаратной платформы, так и виртуальной.

Объединение сетей различных организаций в рамках одного региона обеспечивают RTS-серверы, которые, в свою очередь, соединяясь с головными серверами системы eXpress, обеспечивают возможность взаимодействия всех зарегистрированных пользователей. Головные серверы для отечественных компаний размещаются на территории Российской Федерации.

Обобщённая схема взаимодействия серверных компонентов системы eXpress представлена на рисунке 1.

Рисунок 1. Схема взаимодействия серверных компонентов системы eXpress

Система eXpress предоставляет пользователям возможность подключаться напрямую ко всем трём видам серверов.

Поддержка голосовых вызовов обеспечивается т. н. серверами STUN/TURN, VoEx. Они могут быть как отдельно установленными, так и совмещёнными с CTS-, RTS- или ETS-серверами. Поэтому на представленной выше схеме взаимодействия (рис. 1) они явно не выделены (условно полагается, что была выполнена их совместная установка).

В системе eXpress выделяют внешний и внутренний контуры.

Основу внешнего контура составляет RTS-сервер. Именно в нём происходит первичная регистрация пользователей, которые не имеют отношения к какой-либо организации. Для взаимодействия с / между такими пользователями тоже используются средства внешнего контура.

CTS-сервер или совокупность CTS- и ETS-серверов образуют внутренний контур. Такая вариативность позволяет выделить в нём контур предприятия, объединяющий несколько ETS-серверов, и корпоративный контур.

Как в контуре предприятия, так и в корпоративном контуре предусматривается собственная регистрация пользователей. Таким образом, учётная запись пользователя делится на несколько профилей, которые привязаны ко своим серверам (RTS, ETS, CTS). Каждый профиль в зависимости от того, к какому серверу он привязан, содержит определённую информацию о пользователе, историю сообщений и список контактов. Профиль RTS-сервера содержит личную информацию и хранит переписку со внешними контактами, CTS- и ETS-профили — корпоративную.

Пользователи одной корпоративной сети обмениваются сообщениями через свой CTS-сервер. Пользователи разных корпоративных сетей взаимодействуют между собой через ETS-сервер. Система eXpress предоставляет возможность определения доверенных отношений между серверами. В этом случае пользователи одной корпоративной сети могут взаимодействовать с пользователями другой корпоративной сети напрямую, минуя связывающий их ETS-сервер. Аналогичным образом можно настраивать доверенные отношения между ETS-серверами, что позволит обеспечить взаимодействие их пользователей минуя связующий RTS-сервер.

Обобщённая схема системы eXpress с выделением внешнего и внутреннего контуров представлена на рисунке 2.

Рисунок 2. Внешний и внутренний контуры системы eXpress

Механизмы защиты

Согласно действующему сертификату ФСТЭК России № 4232, автоматизированное средство коммуникаций Express версии 1 имеет встроенные средства защиты от несанкционированного доступа к информации, которая не содержит сведений составляющих государственную тайну. Эти средства защиты реализуют функции идентификации, аутентификации и управления доступом.

Корректность встраивания алгоритмов шифрования подтверждена в ходе аудита компанией «КриптоПро».

Разграничение доступа

В зависимости от того, в сервере какого контура осуществлена регистрация пользователя системы eXpress, различают учётные записи внешних и внутренних пользователей. Каждой учётной записи пользователя назначается роль. Сопоставление ролей и прав доступа представлено в таблице 1.

Таблица 1. Состав ролей в системе eXpress

Предусматривается возможность создания ролей с правами обеспечивающими решение конкретных задач.

Система eXpress может работать совместно со службой каталогов (в частности, Microsoft Active Directory). В этом случае изменения, вносимые в параметры учётных записей службы каталогов, синхронизируются с соответствующими параметрами учётных записей системы eXpress.

Идентификация и аутентификация

Доступ в систему eXpress предоставляется исключительно зарегистрированным пользователям, прошедшим аутентификацию.

Формирование ключей внешних пользователей

На устройствах внешних пользователей, при первичной регистрации на RTS-сервере, формируются ключевые пары: открытый (rts_user_public_key) и закрытый (rts_user_private_key) ключи.

Открытый ключ размещается в репозитории Key Distribution Center (KDC) RTS-сервера в открытом виде, а закрытый — в специальном репозитории RTS-сервера в зашифрованном виде. В качестве ключа шифрования выступает пароль пользователя, применяемый для доступа в систему eXpress.

Схематично этот процесс представлен на рисунке 3.

Рисунок 3. Формирование ключевого материала для внешних пользователей системы eXpress

Формирование ключей корпоративных пользователей

На устройствах корпоративных пользователей, при первичной регистрации на CTS-сервере, также формируются ключевые пары: открытый (cts_user_public_key) и закрытый (cts_user_private_key) ключи.

Открытый ключ размещается в репозиториях Key Distribution Center (KDC) CTS- и RTS-серверов в открытом виде, а закрытый — в специальном репозитории CTS-сервера в зашифрованном виде. В качестве ключа шифрования, так же как и в предыдущем сценарии, выступает пароль пользователя.

Схематично процесс представлен на рисунке 4.

Рисунок 4. Формирование ключевого материала для корпоративных пользователей системы eXpress

Защита взаимодействия типа «пользователь — пользователь»

Взаимодействие пользователей осуществляется посредством обмена текстовыми сообщениями или файлами. При этом выделяют взаимодействие двух пользователей (т. н. «чат 1:1») и коммуникацию множества пользователей (т. н. «групповой чат»). Принцип шифрования одинаков в обоих случаях и состоит в том, что передаваемые данные (текстовое сообщение, файл) перед отправкой зашифровываются с использованием одноразового ключа, вырабатываемого отправителем.

В свою очередь одноразовый ключ зашифровывается на открытых ключах пользователей участвующих во взаимодействии. Зашифрованные данные и зашифрованные экземпляры одноразового ключа собираются в единый пакет, который отправляется участникам взаимодействия через CTS.

Защита взаимодействия типа «пользователь — сервер» («сервер — пользователь»)

Процессу обмена данными между пользователями системы eXpress предшествует установление соединения между устройством и сервером (CTS, RTS), когда создаётся защищённый канал связи на базе протокола TLS.

Защита данных при использовании канала строится следующим образом: все сообщения шифруются общим ключом и расшифровываются ключом, который есть у всех подписчиков канала.

По умолчанию для реализации криптографических преобразований в системе eXpress использована библиотека libsodium. В рамках установленной сессии шифрование передаваемых данных между устройством пользователя и сервером обеспечивает алгоритм поточного шифрования «xsalsa20» с использованием сессионных ключей. На момент выхода этой статьи публичных сообщений об успешных атаках в отношении этой версии алгоритма не было.

Формирование сессионных ключей и обмен ими выполняются по протоколу Диффи — Хеллмана с использованием эллиптической криптографии Curve25519.

Защита взаимодействия типа «сервер — сервер»

Взаимодействие между CTS- и RTS-серверами возникает в тех случаях, когда пользователи подключены к разным корпоративным серверам, а также когда в обмене данными принимают участие внешние пользователи.

Тогда между серверами устанавливается защищённый канал связи, в котором происходит шифрование и подписывание передаваемых пакетов данных. Для этого используются ключи (открытый и закрытый), формируемые при развёртывании серверов. В целом процесс криптографической защиты передаваемых между серверами данных аналогичен описанному ранее процессу для обмена информацией между пользователями.

Защита хранимых данных

В системе eXpress основным местом хранения данных являются CTS-серверы. Все данные, которыми обмениваются пользователи, хранятся в зашифрованном виде; расшифрование осуществляется на устройствах пользователей, куда передаются данные в объёме необходимом для функционирования приложений системы eXpress.

При установке клиентских приложений на устройствах пользователей разворачиваются базы данных системы eXpress. В частности, для мобильных платформ устанавливаются Realm DB (под iOS) и SQLite DB (под Android).

На этапе установки СУБД вырабатывается ключ шифрования, хранимый локально на устройстве пользователя и впоследствии применяемый для преобразования данных.

Системные требования комплекса eXpress

Перечень требований к аппаратным и программным средствам приводится в руководстве администратора к системе eXpress.

Аппаратные требования

Минимальные требования к аппаратной платформе рассчитываются исходя из числа обслуживаемых пользователей и в отношении Single CTS / Back CTS приведены в таблице 2. При расчёте объёма накопителя учитывались глубина хранения журналов (1 ГБ) и пользовательских данных (4 ГБ) за 4 года.

Таблица 2. Требования к аппаратным средствам Single CTS, Back CTS

Минимальные расчётные требования к аппаратной платформе в отношении Front CTS приведены в таблице 3.

Таблица 3. Требования к аппаратным средствам Front CTS

Минимальные требования для развёртывания серверов STUN/TURN, VoEx приведены в таблице 4. Они определяются исходя из количества обслуживаемых пользователей системы eXpress.

Таблица 4. Требования к аппаратным средствам серверов STUN/TURN, VoEx

При расчёте минимальных требований для случая совместной установки серверов STUN/TURN, VoEx с CTS- / RTS- / ETS-серверами минимальные требования необходимо суммировать.

Требования к программному обеспечению

Операционная система

Рекомендуется использовать на CTS-серверах операционную систему Ubuntu версии 20.04 LTS. Допускается развёртывание на CTS-серверах любой ОС семейства Linux, поддерживающей установку программного обеспечения для автоматизации развёртывания приложений и управления ими в средах с поддержкой контейнеризации Docker версии 18.03.0-ce и выше.

Программное обеспечение для автоматизации развёртывания приложений и управления ими

На CTS-серверах требуется установка программного обеспечения Docker версии 18.03.0-ce или выше. Рекомендуется выполнять установку Docker из репозитория https://docs.docker.com/install/linux/docker-ce/ubuntu/.

Программное обеспечение синхронизации времени

Требуется установить локальный NTP-сервер с уровнем иерархии (stratum) не ниже 15.

Прочие требования

В технической документации представлены требования:

• к заданию доменного имени CTS-сервера;
• к TLS-сертификату для сетевого взаимодействия клиента и сервера;
• к корпоративному LDAP-каталогу;
• к SMTP-серверу;
• к сетевым настройкам серверов Single CTS, Front CTS, Back CTS и ETS.

Сценарии использования системы eXpress

Создание учётных записей пользователей с помощью консоли администратора

Создание пользователей системы eXpress возможно двумя способами. Первый способ состоит в синхронизации со службой каталогов. В этом случае в создаваемой карточке пользователя невозможно будет изменить полученную из этой службы информацию. Изменения в карточке можно выполнить в случае создания пользователей через консоль администратора. Для этого требуется перейти в раздел «Пользователи» (рис. 5).

Рисунок 5. Раздел «Пользователи» в консоли администратора системы eXpress

В указанном разделе понадобится щёлкнуть по ссылке «Создать». В результате откроется меню создания учётной записи пользователя (рис. 6).

Рисунок 6. Меню создания пользователей в консоли администратора системы eXpress

В открывшемся окне нужно заполнить стандартную форму и нажать кнопку «Сохранить». На рисунке 7 представлен пример заполнения.

Рисунок 7. Пример заполнения учётных данных пользователя системы eXpress

Созданная учётная запись станет доступна в разделе «Пользователи» (рис. 8).

Рисунок 8. Раздел «Пользователи» с созданной учётной записью в консоли администратора системы eXpress

Открыв учётную запись пользователя, получаем доступ ко сформированному профилю. Пример внешнего вида профиля пользователя для созданной неактивной учётной записи представлен на рисунке 9.

Рисунок 9. Пример профиля пользователя системы eXpress

Для завершения регистрации пользователя в системе потребуется обеспечить его аутентификацию посредством электронной почты или через службу каталогов.

Особенность этого режима создания учётных записей пользователей состоит в том, что администратор не формирует пароли. Такой подход ограничивает возможности привилегированных пользователей и исключает для них вход в систему eXpress под чужой учётной записью.

Подключение непривилегированного сотрудника к корпоративной системе коммуникаций

Далее будет описан сценарий подключения сотрудника к корпоративному серверу eXpress на стационарном компьютере.

Сотрудник, учётная запись которого заблаговременно создана администратором (см. рис. 7), со своего стационарного компьютера с помощью веб-браузера подключается к сайту express.ms и инициирует загрузку установщика настольного клиента (рис. 10). В результате на компьютер будет загружен файл с именем формата «eXpress Setup <версия>.exe».

Рисунок 10. Окно загрузки инсталлятора системы eXpress

Далее требуется запустить установщик системы eXpress и в открывшемся окне выбрать опцию «Войти с помощью номера телефона» (рис. 11).

Рисунок 11. Окно выбора способа входа в программе установки системы eXpress

В следующем окне (рис. 12) необходимо выбрать из списка страну и указать номер мобильного телефона.

Рисунок 12. Окно ввода номера телефона сотрудника для системы eXpress

На указанный номер мобильного телефона будет отправлено SMS-сообщение с проверочным кодом, который потребуется ввести в окно показанное на рисунке 13.

Рисунок 13. Окно ввода проверочного кода для доступа к системе eXpress

Система eXpress генерирует ключи пользователя и потребует ввести пароль для их защиты, соответствующий заданным требованиям (рис. 14).

Рисунок 14. Окно формирования криптографических ключей пользователя системы eXpress

На следующем шаге пользователь указывает своё имя и выбирает фотографию (рис. 15).

Рисунок 15. Окно выбора аватара и указания имени пользователя системы eXpress

Для возможности доступа к корпоративному серверу сотрудник должен указать адрес электронной почты, заданный администратором при формировании учётной записи корпоративного пользователя (рис. 16). В примере рассматривается учётная запись, показанная на рисунке 7.

Рисунок 16. Окно ввода адреса электронной почты для доступа к корпоративному серверу системы eXpress

На следующем шаге сотрудник должен указать адрес корпоративного сервера, на котором для него администратором была создана учётная запись (рис. 17).

Рисунок 17. Окно ввода адреса корпоративного сервера системы eXpress

С корпоративного сервера будет отправлен проверочный код — по тому адресу, который администратор указал при первичной настройке учётной записи пользователя. Для примера с рисунка 7 такое отправление будет иметь вид показанный на рисунке 18.

Рисунок 18. Пример письма с проверочным кодом для доступа к корпоративному серверу системы eXpress

Полученный код сотрудник должен ввести в соответствующем окне программы установки (рис. 19).

Рисунок 19. Окно ввода проверочного кода для доступа к корпоративному серверу системы eXpress

После ввода корректного проверочного кода произойдёт автоматический переход в клиентское приложение системы eXpress. Пример интерфейса с отображением профиля пользователя представлен на рисунке 20.

Рисунок 20. Пример интерфейса клиентского приложения системы eXpress

Факт завершения процедуры регистрации нового пользователя администратор может увидеть через консоль: в графе «Active» для соответствующей учётной записи появится значение «true» (рис. 21).

Рисунок 21. Пример отображения сведений об окончании регистрации нового пользователя в административной консоли системы eXpress

Создание административной группы с ограниченным набором прав доступа 

Создание групп привилегированных пользователей осуществляется через раздел «Администраторы» (см. рис. 22).

Рисунок 22. Раздел «Администраторы» в консоли управления системы eXpress

Требуется щёлкнуть по ссылке «Показать группы» и в открывшемся подразделе выбрать ссылку «Создать». В результате откроется меню создания группы (рис. 23).

Рисунок 23. Меню создания группы в консоли администратора системы eXpress

В открывшемся окне необходимо дать разрешение «read» на права «Аудит», «Чаты», «Статистика» и нажать кнопку «Сохранить» (рис. 24).

Рисунок 24. Создание административной группы «Контроль пользователей и приложений» в консоли управления системы eXpress

Состоящий в созданной группе пользователь сможет теперь выполнять административные функции по просмотру событий аудита, статистики работы приложений, списков чатов и их состава (рис. 25).

Рисунок 25. Включение пользователя в административную группу «Контроль пользователей и приложений» в консоли управления системы eXpress

После входа в консоль администратора пользователю будет доступно ограниченное число разделов (рис. 26).

Рисунок 26. Пример внешнего вида консоли администрирования для пользователя с ограниченным набором привилегий в системе eXpress

В частности, будет доступен раздел содержащий записи аудита (рис. 27).

Рисунок 27. Просмотр записей аудита в консоли администратора системы eXpress

Подключение сотрудника из группы администраторов к корпоративной системе коммуникаций

Созданный в консоли управления пользователь с административными привилегиями может подключаться к этой же консоли и выполнять в ней действия относящиеся к его компетенции. Для того чтобы предоставить ему возможность взаимодействовать с коллегами посредством системы eXpress, потребуется создать для него дополнительную учётную запись в разделе «Пользователи» консоли администрирования, а затем активировать её рассмотренным выше способом.

Для примера рассмотрим привилегированного пользователя с административным профилем «auditor» (рис. 28). Пусть требуется предоставить ему возможность взаимодействовать с коллегами через мобильный клиент системы eXpress.

Рисунок 28. Профиль пользователя в группе «Администраторы» системы eXpress

Сотрудник должен на своём мобильном устройстве войти в магазин приложений, найти программу «eXpress Enterprise Messenger» компании Unlimited Technologies и выполнить её установку (рис. 29).

Рисунок 29. Программа установки мобильного приложения системы eXpress

После установки мобильного приложения появится окно с предложением открыть его. В случае согласия потребуется указать номер мобильного телефона (рис. 30).

Рисунок 30. Окно ввода номера мобильного телефона в приложении системы eXpress

Система eXpress отправит SMS-сообщение с проверочным кодом, который необходимо ввести в новом окне мобильного клиента (рис. 31).

Рисунок 31. Окно ввода проверочного кода в мобильном приложении системы eXpress

Далее следует придумать и ввести пароль для доступа к системе eXpress (рис. 32).

Рисунок 32. Окно ввода пароля в мобильном приложении системы eXpress

В открывшемся окне будет предложено выбрать фотографию для созданного профиля и указать имя сотрудника (рис. 33).

Рисунок 33. Окно ввода аватара и имени в мобильном приложении системы eXpress

На следующем шаге необходимо указать адрес электронной почты, заданный при регистрации учётной записи в консоли администрирования (см. рис. 28). Именно этот адрес будет сопоставлен сотруднику при регистрации на корпоративном сервере в качестве пользователя системы eXpress (рис. 34).

Рисунок 34. Окно ввода адреса электронной почты для пользователя системы eXpress

На следующем шаге сотрудник указывает адрес корпоративного сервера системы eXpress (рис. 35).

Рисунок 35. Окно ввода адреса корпоративного сервера системы eXpress

В следующем окне необходимо повторно ввести корпоративный адрес электронной почты и запросить проверочный код, нажав на кнопку «Получить код» (рис. 36).

Рисунок 36. Окно запроса проверочного кода на доступ к корпоративному серверу системы eXpress

Система eXpress сопоставит введённые данные с зарегистрированными на сервере профилями, и на указанный корпоративный адрес электронной почты сотрудника будет отправлено письмо с проверочным кодом. Пример такого письма представлен на рисунке 37.

Рисунок 37. Пример письма с проверочным кодом для доступа к корпоративному серверу системы eXpress

Полученный код сотрудник должен ввести в окне мобильного клиентского приложения (рис. 38).

Рисунок 38. Окно ввода проверочного кода в мобильном приложении системы eXpress

Если проверочный код правилен, то автоматически откроется доступ к основному интерфейсу мобильного приложения системы eXpress (рис. 39). Таким образом у привилегированного пользователя появится возможность обмена сообщениями в системе коммуникаций eXpress.

Рисунок 39. Интерфейс мобильного клиента системы eXpress

Созданная учётная запись станет доступна в разделе «Пользователи» административной консоли системы eXpress (рис. 40).

Рисунок 40. Раздел «Пользователи» административной консоли системы eXpress

Включение режима повышенной конфиденциальности (стелс-режим)

Для этого режима характерны следующие меры безопасности:

• автоматическое удаление сообщений по истечении установленного времени после их отправки и прочтения;
• возможность доступа к чату только с мобильных устройств;
• отслеживание фактов ведения несанкционированной видеозаписи и сохранения снимков экрана;
• блокирование возможности копирования и пересылки сообщений из одного чата в другие.

Для активации режима повышенной конфиденциальности необходимо войти в раздел свойств чата и нажать на кнопку «Режим повышенной конфиденциальности». В этом случае станет доступно окно настройки стелс-режима (рис. 41).

Рисунок 41. Настройка стелс-режима системы eXpress (веб-клиент)

Следует указать время жизни сообщений после отправки, после прочтения и нажать кнопку «Включить».

Аналогично, для активации стелс-режима в мобильном клиенте требуется войти в раздел свойств чата и нажать на кнопку «Режим повышенной конфиденциальности», что даст возможность в открывшемся окне активировать переключатель «Только мобильный доступ». Далее необходимо нажать кнопку «Включить стелс-режим». Окно настройки примет вид представленный на рисунке 42.

Рисунок 42. Настройка стелс-режима системы eXpress (мобильный клиент)

После выполнения рассмотренных действий все перечисленные выше меры безопасности активируются.

Выводы

Стопроцентной гарантии в части обеспечения безопасности коммуникаций не даёт ни одно техническое решение. Это связано в том числе и с человеческим фактором, когда в реализации тех или иных функциональных возможностей допускается ошибка, которая может быть выявлена и использована злоумышленником для получения доступа к учётным записям пользователей, прослушивания окружения вызываемого абонента, нелегитимного удалённого доступа к компьютеру и пр. Идиллия полной приватности коммуникаций может быть поставлена под сомнение в случае выполнения таких требований, как размещение коммуникационных серверов на территории определённого государства или обеспечение хранения передаваемых данных даже в случае их удаления взаимодействующими сторонами. С одной стороны, подобные требования призваны обеспечить защиту интересов граждан, выявление различных преступных сообществ. С другой стороны, соблюдение этих требований повышает риск получения несанкционированного доступа ко хранимым данным и требует принятия необходимых мер по их защите. На этом фоне система eXpress выглядит вполне привлекательно, она обладает функциональными возможностями для организации полноценного взаимодействия сотрудников корпорации как между собой, так и со внешними абонентами (партнёрами, клиентами).

Встроенные механизмы защиты обеспечивают высокую степень защиты информации, передаваемой и хранимой в системе eXpress 2.14.

Вместе с тем стоит обратить внимание на ряд особенностей и оценить то, насколько они согласуются с требованиями политики безопасности в организации, выбирающей для себя средство коммуникаций.

Достоинства:

• Наличие сертификата ФСТЭК России.
• Многоуровневое шифрование, обеспечивающее конфиденциальность и целостность передаваемых данных в случае компрометации ключей корпоративных серверов, с возможностью одновременного использования отечественной и зарубежной криптографии.
• Возможность развёртывания на серверах заказчика.
• Размещение RTS-серверов на территории Российской Федерации.
• Наличие клиентских приложений для мобильных и настольных систем, использование веб-доступа.
• Возможность применения на значимых объектах критической информационной инфраструктуры 3-й категории, в государственных информационных системах 3-го класса защищённости, в автоматизированных системах управления производственными и технологическими процессами 3-го класса защищённости, в информационных системах персональных данных при необходимости обеспечения 3-го и 4-го уровней защищённости.
• Возможность масштабирования и выделения контуров хранения для разных видов информации.
• Прозрачность использования защитных механизмов при взаимодействии пользователей, удобный и интуитивно понятный интерфейс, обеспечивающий быструю адаптацию пользователя к работе в системе.

Недостатки:

• Отсутствует удобный механизм плановой смены пользовательских ключей.
• В предоставленной нам версии системы eXpress отсутствовала возможность использования отечественных криптопровайдеров.
• При плановой замене ключей вся переписка пользователя до даты их смены станет недоступной.