Обзор ПАК ЗХИ «Секрет Особого Назначения», защищенного служебного USB-накопителя

1. Введение
2. Архитектура ПАК «Секрет Особого Назначения»
3. Функциональные возможности ПАК «Секрет Особого Назначения»
4. Системные требования ПАК «Секрет Особого Назначения»
5. Установка и настройка ПАК «Секрет Особого Назначения»
6. Работа с ПАК «Секрет Особого Назначения»
1. 6.1. Консоль пользователя
2. 6.2. Консоль администратора
3. 6.3. Поддержка продукта
7. Выводы

Введение

Мобильность и удобство съемных накопителей приводят к тому, что им часто доверяют личную и служебную информацию. Как следствие, количество атак с использованием USB-накопителей увеличилось. Главные угрозы, которые возникают, — кража, потеря, подмена и бесконтрольное использование. В результате происходит заражение систем вредоносными программами и утечка информации. Аналитики CoSoSys провели опрос и выяснили, что 74% компаний разрешают использовать сотрудникам USB-накопители, 65% опрошенных используют их для передачи служебной информации, 44% сталкивались с фактом потери съемного накопителя и 55% сообщали о пропаже.

Для усиления контроля над съемными накопителями компании используют различные средства защиты информации, в том числе DLP-системы, покрывающие все возможные каналы утечки. Однако информация, тщательно оберегаемая внутри компании, становится беззащитной, как только пересекает порог офиса на съемном накопителе. Для безопасного использования служебного USB-накопителя важно обеспечить:

• возможность использования накопителя только на определенных компьютерах, чтобы исключить бесконтрольное подключение к неизвестным устройствам;
• возможность просмотра информации о подключениях носителя к компьютерам, чтобы точно узнать о попытках несанкционированного использования или об их отсутствии.
• установку политик безопасности администратором, чтобы для каждого пользователя установить соответствующие ограничения.

На этот случай компания «ОКБ САПР», которая с 1989 года создает средства защиты информации от несанкционированного доступа, разработала программно-аппаратный комплекс защищенного хранения информации (ПАК ЗХИ) «Секрет Особого Назначения» (СОН). Это защищенный USB-накопитель, который без установки на компьютер пользователя специального программного обеспечения позволяет администратору разрешить использование носителя только на определенных устройствах, настроить политики безопасности и просмотреть журнал использования носителя.

Программное обеспечение комплекса включено в реестр российских программ для электронных вычислительных машин и баз данных, что позволит государственным заказчикам купить продукт без дополнительных обоснований в части импортозамещения.

«Секрет особого назначения» сертифицирован ФСТЭК России как программно-техническое средство контроля съемных носителей информации, не содержащей сведения, составляющие государственную тайну, реализующее функции идентификации и аутентификации, управление доступом, регистрации событий безопасности и защиты машинных носителей информации (4 уровень контроля отсутствия недекларированных возможностей и технических условий).

Архитектура ПАК «Секрет Особого Назначения»

Устройство представляет собой защищенный флэш-диск с интерфейсом USB.

СОН предназначен для защищенного хранения корпоративной или личной информации конфиденциального характера и контролирует доступ компьютера к устройству в соответствии с политиками доступа, которые установил администратор.

СОН включает в себя:

• Специальный носитель СОН, который состоит из:
• микроконтроллера с внутренней памятью для хранения внутреннего программного обеспечения и служебной информации;
• физического датчика случайных чисел;
• энергонезависимой флэш-памяти для хранения пользовательской информации, журнала событий и программного обеспечения. Память устройства разделена на открытый, закрытый и служебный разделы.
• Программное обеспечение рабочей станции «Секретный Агент», которое хранится на открытом разделе носителя:
• драйвер USB-устройства;
• приложение для управления доступом к защищенным данным;
• приложение для управления политиками доступа;
• утилита для сбора идентификационной информации компьютера.
• Диск с документацией и дистрибутивами.
• Формуляр.

Рисунок 1. Фотография комплекта ПАК «Секрет Особого Назначения»

Рисунок 2. Фотография носителя ПАК «Секрет Особого Назначения»

Модификации служебного носителя СОН различаются по следующим параметрам: объем закрытого диска, наличие\отсутствие шифрования хранимых файлов, скорость работы, потребность во временной установке и снятии ограничений.

Стандартный объем памяти носителей — 8, 16 и 32 Гб. Другие объемы доступны под заказ.

Диск СОН разбит на три раздела: открытый, закрытый и служебный.

Открытый раздел монтируется всегда, доступен только для чтения, с него запускается программное обеспечение СОН.

Закрытый раздел монтируется только после успешного прохождения проверки компьютера на соответствие установленным политикам, доступен для чтения и записи, на нем хранятся пользовательские данные.

Служебный раздел монтируется всегда, но доступен для чтения только администратору устройства, на нем хранятся журналы подключений.

В СОН регистрируются разрешенные компьютеры по набору из 5 параметров. При подключении блок аутентификации СОН сверяет данные текущего компьютера со своим списком. До успешного прохождения этой проверки не запрашивается авторизация пользователя и не монтируется устройство хранения информации, то есть диск недоступен не только пользователю, но и системе. Контрольные процедуры проводятся собственными ресурсами СОН, без участия компьютера.

В журнал носителя записывается информация об успешных и неуспешных подключениях. В случае успешного подключения кроме даты и времени события сохраняется подробная информация о компьютере. Это позволяет контролировать как попытки подключения к ненадежным устройствам, так и факты работы в подозрительное время.

На случай подозрений, что злоумышленнику действительно важно получить данные пользователя и при этом у него есть навыки считывания с помощью специальных инструментов данных с подобных микросхем USB-накопителей, в СОН предусмотрено шифрование.

Шифрование реализовано по ГОСТ 28147-89 в режиме гаммирования с обратной связью. Скорость работы носителя с шифрованием составляет 0,2 Мб/с. Для случаев, когда можно отказаться от шифрования в пользу скорости работы, существует вариант СОН без поддержки шифрования. Скорость чтения и записи в этом случае составляет 5 и 8,8 Мб/с соответственно. Такой СОН называется «базовый».

Существуют модификации СОН, называемые «Быстрый Секрет» и «Секрет Руководителя», которые поддерживают шифрование, скорость чтения 6,1 Мб/с и скорость записи 5,7 Мб/с. Кроме того, «Секрет Руководителя» имеет дополнительную опцию — временную установку администратором ограничений с последующим их снятием.

Рисунок 3. Фотография вариантов корпусов ПАК «Секрет Особого Назначения»

Функциональные возможности ПАК «Секрет Особого Назначения»

СОН реализует следующий набор функций защиты:

Взаимная аутентификация накопителя и компьютера

Администратор устанавливает ограничение на работу с СОН по белому списку компьютеров, пользователь сможет работать с накопителем только на них, а на других монтироваться не будет. В режиме «доступ без ограничений» пользователь откроет СОН на любом компьютере. Идентификация происходит по следующим параметрам:

• имя компьютера;
• имя домена или рабочей группы;
• серийный номер материнской платы;
• серийный номер операционной системы;
• серийный номер платы электронного замка, если он установлен в компьютере.

Ограничение неуспешных попыток доступа к накопителю

Администратор устанавливает ограничение на количество неуспешных попыток доступа. По умолчанию после трех последовательных неудачных попыток ввода кода авторизации носитель блокируется. Для снятия блокировки требуется ввести специальный код. Если специальный код утерян, доступ к носителю может восстановить администратор, но в этом случае данные пользователя будут уничтожены.

Исключение несанкционированного доступа к информации, которая хранится на защищенном разделе накопителя

Для получения доступа к защищенному разделу пользователю требуется запустить программу с накопителя, зарегистрироваться в ней и авторизоваться. Только после авторизации на компьютере из списка разрешенных закрытый раздел монтируется и становится доступен в операционной системе.

Программное обеспечение комплекса открывается с открытого раздела носителя, доступного только для чтения.

Контроль подключения накопителя

Для работы с СОН не требуется установка на компьютер программного обеспечения, поэтому пользоваться носителем можно без прав администратора в интернет-кафе или смежных организациях, если это предусмотрено заданными администратором политиками доступа. Информация о подключении СОН к компьютерам записывается во внутренний журнал накопителя, по данным которого однозначно устанавливается факт подключения устройства к компьютеру.

Разделение полномочий пользователя и администратора

Управлять накопителем в зависимости от прав доступа можно с помощью специальных программ: консоли пользователя и консоли администратора. Вход в необходимую консоль производится по паролю. Пользователь имеет право на работу с защищенным разделом устройства и управление собственным паролем, администратор — на изменение всех настроек накопителя и просмотр журнала событий, но пользовательские данные в этой роли недоступны.

Сбор, запись и хранение информации о событиях безопасности

Журнал содержит информацию о каждом подключении устройства к компьютеру, а также действиях по установке прав доступа, настройке пользователей, просмотру журналов и других административных событий. Информация о работе пользователя с закрытым диском в журнал не записывается.

Системные требования ПАК «Секрет Особого Назначения»

Для использования защищенного носителя требуется: установленная операционная система Microsoft Windows версии XP и выше (x32 или x64) и свободный разъем USB. Также есть дистрибутивы для операционных систем Linux и Android, которые не включены в комплект поставки, но высылаются по обращению в техническую поддержку.

Для Windows версий XP и 8.1 требуется установить соответствующее обновление операционной системы, чтобы включить возможность работы с устройствами чтения карт USB.

Установка и настройка ПАК «Секрет Особого Назначения»

Подключается СОН так же, как обычный USB-накопитель — в свободный USB-разъем компьютера. При подключении к компьютеру автоматически монтируется открытый раздел, на котором размещено программное обеспечение СОН. Для начала работы требуется запустить нужную консоль, установка не нужна.

Рисунок 4. Открытый раздел «Секрета Особого Назначения»

Открытый диск доступен всегда, независимо от устанавливаемых администратором политик доступа.

Для получения доступа к защищенному разделу требуется консоль пользователя, которая запускается файлом «userConsole.exe» в папке «specialSecret» или файлом «startUserConsole.exe» на открытом диске носителя.

Рисунок 5. Окно консоли пользователя «Секрета Особого Назначения»

Сначала пользователь регистрируется, а потом проходит авторизацию для доступа к закрытому диску, на котором он будет хранить свои файлы.

Для регистрации пользователя требуется нажать кнопку «Регистрировать пользователя».

Если процедура регистрации пользователя не выполнялась, при запуске консоли пользователя доступна только функция регистрации. Если до этого зарегистрирован администратор, то в консоли пользователя в графе «Состояние» будет отображаться статус «Администратор зарегистрирован».

Рисунок 6. Окно регистрации пользователя «Секрета Особого Назначения»

В диалоговом окне требуется указать имя, если имя не задано администратором, и задать код авторизации.

После регистрации пользователя на экране отобразится сообщение с серийным номером, именем носителя, кодом авторизации и PUK-кодом пользователя. Для сохранения этих данных можно выполнить печать сразу из программы.

Рисунок 7. Окно печати кодов авторизации «Секрета Особого Назначения»

После авторизации пользователя закрытый диск носителя монтируется и становится доступен в операционной системе. В первый раз его нужно отформатировать.

Рисунок 8. Окно форматирования пользовательского раздела «Секрета Особого Назначения»

После выполнения описанных действий пользовательский раздел станет доступен для работы. На этом диске допустимо хранить конфиденциальную информацию.

Рисунок 9. Пользовательский раздел «Секрета Особого Назначения»

Работа с ПАК «Секрет Особого Назначения»

Для начала работы с СОН требуется запустить программу с открытого раздела носителя. В состав программных средств входят два приложения: консоль пользователя и консоль администратора.

Консоль пользователя

Первоначальная настройка носителя уже произведена и доступ к закрытой части носителя получен. После регистрации пользователя еще становятся доступными другие операции консоли пользователя, а функция регистрации становится недоступной.

Рисунок 10. Окно консоли пользователя после регистрации в «Секрете Особого Назначения»

Если в настройках политик использования носителя в поле «Тип доступа к СН» администратором выбран пункт «Доступ с ограничением по доменам и рабочим станциям» и компьютер не состоит в белом списке, то функции консоли пользователя блокируются.

Рисунок 11. Окно запрета доступа в «Секрете Особого Назначения»

Авторизация пользователя

До выполнения операции авторизации пользователя доступ к информации, хранящейся на закрытом разделе диска, запрещен. Для авторизации требуется в консоли пользователя выбрать функцию «Авторизовать пользователя» и в появившемся окне ввести код авторизации.

Рисунок 12. Экран авторизации в «Секрете Особого Назначения»

Если код авторизации введен некорректно, то на экране отображается сообщение об ошибке и доступ к закрытому разделу не предоставляется.

Если код авторизации введен корректно, предоставляется доступ к защищенному разделу и функции консоли пользователя блокируются, а в колонке «Состояние» отображается: «Пользователь авторизован».

Разблокировка пользователя

После нескольких последовательных неудачных попыток ввода кода авторизации носитель блокируется. При этом статус в главном окне консоли пользователя изменяется на «Заблокирован» и единственной доступной функцией становится функция разблокирования.

Для снятия блокировки требуется ввести PUK–код и новый код авторизации пользователя с подтверждением.

При утере PUK-кода разблокировать носитель может только администратор с помощью функции аннулирования регистрации пользователя, при этом закрытый диск форматируется и все данные с него удаляются.

Консоль администратора

Регистрация администратора при работе с СОН не обязательна. Пользователю достаточно самому зарегистрироваться и пройти авторизацию на носителе, чтобы начать работу. Настройки в этом случае используются по умолчанию. Для тонкого управления защищенным носителем требуется войти в консоль администратора. Администратору доступны следующие функции:

• настройка политик использования носителя;
• редактирование списка разрешенных компьютеров;
• просмотр журнала событий носителя;
• аннулирование регистрации пользователя носителя.

Для запуска консоли требуется выполнить файл «adminConsole.exe» в папке «specialSecret» или файл «startAdminConsole.exe» на открытом разделе флэш-диска. После этого в области уведомлений панели задач появится значок СОН.

При нажатии правой кнопкой мыши на значок появляется меню, которое содержит следующие поля:

«О программе» — выводит сведения о программном обеспечении СОН;

«Консоль администратора» — скрывает и показывает запущенную консоль администратора;

«Выход» — выполняет выход из консоли администратора.

Рисунок 13. Окно консоли администратора «Секрета Особого Назначения»

Регистрация администратора

Если процедура регистрации администратора не выполнялась, при запуске консоли доступна только кнопка регистрации администратора.

Рисунок 14. Окно регистрации администратора «Секрета Особого Назначения»

Регистрация администратора не относится к числу обязательных процедур. Для получения доступа к пользовательским данным достаточно зарегистрировать пользователя и выполнять процедуру авторизации.

После регистрации администратора дополнительно появляются функции управления защищенным носителем СОН:

• настройка политик использования носителя;
• редактирование списка разрешенных компьютеров;
• просмотр журнала событий носителя;
• аннулирование регистрации пользователя носителя.

Настройка политик и журналов

В консоли администратора нужно выбрать функцию «Настроить политики использования СН».

Рисунок 15. Окно настройки политик «Секрета Особого Назначения»

На экране настройки политик использования носителя возможно задать следующие параметры:

• тип доступа к носителю на рабочих станциях;
• реакция при заполнении объема, выделенного для хранения журнала;
• длина кода авторизации и условия блокировки носителя.

До изменения настроек действуют политики по умолчанию:

• политика доступа к СН на РС: «Доступ без ограничения»;
• политика заполнения журнала: «Перезаписывать циклически»;
• политика использования КА: минимальное значение КА равно 6, максимальное — 16, число попыток авторизации пользователя равно 3.

Политики доступа носителя делятся на два варианта:

• «Доступ без ограничения» — носитель работает на любом компьютере,
• «Доступ с ограничением по доменам и рабочим станциям» — только на разрешенных администратором.

При выборе последнего варианта указываются параметры компьютеров, на которых будет разрешена работа, в том числе можно указать конкретный домен Active Directory и рабочую группу. При авторизации пользователя носитель получает идентификатор домена и идентификатор компьютера, и на основании полученных данных разрешает доступ или отказывает в авторизации.

Действия при возможном переполнении журнала событий делятся на два варианта:

• перезаписывать циклически — при заполнении выделенного для хранения журнала объема (512 Мб) события будут записываться в журнал со стиранием самых старых записей;
• блокировать при переполнении — при достижении этой границы внутреннее программное обеспечение блокирует выполнение пользовательских функций до тех пор, пока администратор не выполнит очистку журнала событий.

Настройка политик использования кодов авторизации доступна только в том случае, если не зарегистрирован пользователь.

Минимальная и максимальная длина кода авторизации: от 6 до 16 произвольных символов.

Максимальное число неудачных попыток авторизации: от 1 до 255.

Добавление и удаление компьютера в список разрешенных

Чтобы задать список компьютеров, на которых разрешен доступ к носителю, в консоли администратора требуется выбрать функцию «Установить список разрешенных РС».

Рисунок 16. Окно списка разрешенных компьютеров в «Секрете Особого Назначения»

По нажатии кнопки «Добавить» на экране появляется окно выбора рабочей станции:

Рисунок 17. Окно добавления компьютера в политику в «Секрете Особого Назначения»

Если рабочая станция с заданным именем в сети не найдена, то на экране появляется сообщение об этом.

По нажатии кнопки «Текущая РС» на экране появляются имя и домен компьютера, на котором сейчас работает пользователь носителя.

По нажатии кнопки «Выбрать из» на экране отображается окно с доступными доменными именами компьютеров.

Рисунок 18. Окно выбора компьютеров из списка в «Секрете Особого Назначения»

При первом подключении носителя к компьютеру из числа разрешенных внутреннее программное обеспечение считывает и сохраняет на носителе информацию о параметрах оборудования. В дальнейшем эта информация используется при решении вопроса о предоставлении доступа. Чтобы зарегистрировать компьютер, можно ввести параметры и вручную, например, если они предоставлены пользователем. Но в этом случае нужно предусмотреть способ проверки корректности этих данных, чтобы случайно не предоставить доступ к носителю с постороннего компьютера.

Просмотр журнала

Просмотреть журнал событий можно только в роли администратора устройства.

Для просмотра журнала событий требуется нажать кнопку «Просмотреть журнал работы СН» в консоли администратора.

Рисунок 19. Окно просмотра журнала «Секрета Особого Назначения»

Журнал содержит информацию о событиях, зафиксированных в процессе работы с защищенным носителем СОН на текущем компьютере. При каждом подключении носителя к компьютеру в журнале регистрируется соответствующее событие для фиксирования собственно факта подключения (подачи электропитания на устройство). Событие регистрируется до начала взаимодействия носителя с прикладным программным обеспечением, установленным в компьютере. Работа с закрытым диском никак не фиксируется в журнале.

Содержимое журнала регистрации событий хранится в текстовых файлах в служебном разделе носителя.

Рисунок 20. Окно просмотра папки журналов «Секрета Особого Назначения»

Общий сброс устройства

Общий сброс СОН запускается из консоли администратора при нажатии кнопки «Общий сброс СН». При сбросе кроме аннулирования регистрации администратора также происходит сброс настроек носителя, журнала событий, аннулирование регистрации пользователя и удаление пользовательской информации. Эта процедура полезна при смене администратора, чтобы исключить возможный несанкционированный доступ к закрытой информации.

После общего сброса на консоли администратора будет доступна только одна функция — «Регистрировать администратора», так как носитель будет приведен в начальное состояние.

Смена пароля администратора и восстановление доступа к устройству

В случае трех подряд неудачных попыток ввода пароля администратора функции администрирования блокируются. Чтобы выйти из этого состояния, следует повторно подключить носитель и перезапустить консоль администратора.

Для смены пароля администратора (например, в случае компрометации) в консоли администратора требуется нажать кнопку «Сменить пароль администратора».

Для восстановления административных функций в случае утраты пароля администратора требуется выполнить процедуру общего сброса с полной очисткой устройства. Такой сброс выполняется в офисе ОКБ САПР при наличии документов, позволяющих установить право владения устройством.

Выполнять эту процедуру не обязательно, поскольку остается возможность выполнения пользовательских функций даже в условиях, когда пароль администратора утрачен.

Аннулирование регистрации пользователя, разблокировка носителя

Эта функция доступна, если на носителе зарегистрирован пользователь.

Аннулирование требуется в следующих случаях:

• носитель требуется передать другому пользователю;
• утрачен код авторизации и PUK-код.

При выполнении операции аннулирования регистрации пользовательская информация с носителя стирается.

Поддержка продукта

Срок гарантии на носитель — 1 год. Если возникнут трудности с «Секретом» и администратор не знает решения, служба технической поддержки ОКБ САПР поможет. Контакты поддержки указаны в документации: электронная почта и телефоны. Кроме того всегда можно прийти в центральный офис компании, чтобы получить помощь.

Выводы

Механизмы ограничения доступа к информации на флэш-накопителях разнообразны: парольная или биометрическая аутентификация пользователя, наличие клавиатур на корпусе, использование шифрования, физически защищенный корпус и удаление данных при несанкционированном доступе. Запрет работы с носителем на посторонних компьютерах — редкость.

ПАК ЗХИ «Секрет Особого Назначения» как раз отличается такой функцией и тем, что для работы не требуется устанавливать специальное программное обеспечение на компьютер, а также наличием встроенного в носитель журналом учета подключений к компьютерам. Дополнительно в СОН предусмотрено шифрование данных по ГОСТ 28147-89.

Наличие же в реестре российских программ для электронных вычислительных машин и баз данных, сертификация ФСТЭК России как средства защиты от несанкционированного доступа (4 уровень контроля отсутствия недекларированных возможностей и технических условий) делают продукт привлекательным для российского рынка.

Стоит обратить внимание, что никакой специальный носитель не может на 100% решить задачу безопасного применения USB-накопителей. Грамотное применение с другими средствами защиты и организационными мерами реализует необходимый уровень защиты информации.

Достоинства

• Простая установка и настройка.
• Работает на операционных системах Windows.
• Широкий выбор вариантов исполнения по объему, скорости работы и дизайну корпуса.
• Возможность ограничения доступа компьютеров к СОН по заданным параметрам.
• Разделение прав администратора и пользователя.
• Наличие встроенного в носитель журнала событий.

Недостатки

• Не работает в операционной системе macOS (производитель анонсирует скорую поддержку).
• В технической документации не указана поддержка Linux и Android, хотя на них решение работает.
• Неудобный просмотр журналов событий (нет фильтра и поиска).
• Нет инструментов для централизованного сбора журналов и обслуживания.