Система предохранения от раздельного допуска лиц к содержащим налоговую тайну массивам данных

Полезная модель относится к системам управления допуском к содержащим налоговую тайну массивам данных и может использоваться для блокирования допуска к массивам данным о налогоплательщиках (об иной группе граждан) как нелегальных, так и легальных лиц, претендующих на допуск - при попытке последних получить допуск без участия остальной необходимой части совокупности легальных лиц. Техническое решение направлено на обеспечение отсутствия необходимости личного присутствия при каждом разделении/восстановлении исходного числового ключа всех должностных лиц-членов легального сообщества участников и представителя центра распределения ключей в одном здании либо помещении - при предохранении от злоупотребления должностными полномочиями ответственных легальных лиц - налоговых инспекторов, иных ответственных лиц-при осуществлении ими допуска к массивам данных о налогоплательщиках (об иной группе граждан), а также от допуска любыми нелегальными лицами (в том числе с целью изготовления несанкционированных копий составляющих налоговую тайну массивов данных). Технический результат достигается тем, что выполняется разделение защищаемого числового ключа на распределяемые компоненты с возможностью их последующего объединения всеми лицами, составляющими легальное сообщество участников - с использованием видеоконференцсвязи и компьютерной сети в целях предохранения от единоличного допуска лица (или иного коллективного допуска некоторой совокупности нелегальных лиц либо легальных лиц, но в неполном их составе). Полезная модель может быть реализована в различных вариантах, в том числе при предохранении от допуска лиц к относящимся к социальной сфере конфиденциальным массивам данных о значительной части граждан Российской Федерации, например, медицинского характера, конфиденциальных сведений пенсионных фондов и т.п.

Область техники, к которой относится полезная модель

Полезная модель относится к системам управления допуском к содержащим налоговую тайну массивам данных и может использоваться для блокирования допуска к массивам данным о налогоплательщиках (об иной группе граждан) как нелегальных, так и легальных лиц, претендующих на допуск - при попытке последних получить допуск без участия остальной необходимой части совокупности легальных лиц. Техническое решение направлено на обеспечение отсутствия необходимости личного присутствия при каждом разделении/восстановлении исходного числового ключа всех должностных лиц-членов легального сообщества участников и представителя центра распределения ключей в одном здании либо помещении - при предохранении от злоупотребления должностными полномочиями ответственных легальных лиц - налоговых инспекторов, иных ответственных лиц - при осуществлении ими допуска к массивам данных о налогоплательщиках (об иной группе граждан), а также от допуска любыми нелегальными лицами (в том числе для изготовления несанкционированных копий составляющих налоговую тайну массивов данных). Технический результат достигается тем, что выполняется разделение защищаемого числового ключа на распределяемые компоненты с возможностью их последующего объединения всеми лицами, составляющими легальное сообщество участников - с использованием видеоконференцсвязи и компьютерной сети в целях предохранения от единоличного допуска лица (или иного коллективного допуска некоторой совокупности нелегальных лиц либо легальных лиц, но в неполном их составе). Полезная модель может быть реализована в различных вариантах, в том числе при предохранении от допуска лиц к относящимся к социальной сфере конфиденциальным массивам данных о значительной части граждан Российской Федерации, например, медицинского характера, конфиденциальных сведений пенсионных фондов и т.п.

Уровень техники

Известна схема разделения секрета (защищаемого числового ключа), предложенная Шамиром [Чмора А.Л. Современная прикладная криптография. - М.: Гелиос АРВ, 2001, Shamir A. How to share a secret // Comm. of the ACM, 1979, v.22, , pp.612-613], построенная по принципу полиномиальной интерполяции. При заданном многочлене степени (m-1) над конечным полем GF(q) из q элементов, а именно F(x)=a₀+a ₁x++a_m-1x^m-1, секретный ключ задается свободным членом a₀, все остальные коэффициенты многочлена - случайные элементы поля, причем поле GF(q) известно всем участникам. Каждая из n теней (компонент защищаемого ключа) представляет собой точку (x_i, y _i) кривой, описываемой многочленом F(x), x_i0. Воспользовавшись интерполяционной формулой Лагранжа, можно восстановить исходный многочлен (и, следовательно, секрет a₀) по любым m точкам (теням).

Схема разделения секрета Блэкли [Чмора А.Л. Современная прикладная криптография. - М.: Гелиос АРВ, 2001, Blakley G.R. Safeguarding cryptographic keys // Proc. of AFIPS National Computer Conference, 1979, 48, pp.313-317] имеет геометрическую природу. Секрет (защищаемый числовой ключ) представляет собой точку в m-мерном пространстве, причем для случая m>2 все геометрические построения выполняются над конечным полем GF(q).

Известна также разработанная Наором и Шамиром [Чмора А.Л. Современная прикладная криптография. - М.: Гелиос АРВ, 2001, Naor M., Shamir A. Visual cryptography // Proc. of EUROCRYPT'94, Lecture Notes in Соmр. Sci. Springer-Verlag, 1994, pp.1-12] схема разделения секрета, где защищаемым ключом служит изображение (в некотором графическом формате), подлежащее распределению среди n участников схемы. Для этого изображение "расслаивают" на n составляющих (теней) таким образом, что объединение любых m из них позволяет восстановить изображение. При этом ни одна из теней не дает представления об исходном изображении, а никакие (m-1) и менее теней не позволяют восстановить исходное изображение. Возможный вариант конструктивной реализации схемы заключается в "расслаивании" изображения на черные и белые пикселы с последующей их обработкой.

Наиболее близкой к заявляемой полезной модели по своей технической сущности является схема разделения секрета (защищаемого числового ключа), основанная на (древне)китайской теореме об остатках [Судоплатов С.В., Овчинникова Е.В. Элементы дискретной математики: Учебник. - М.: ИНФРА-М, Новосибирск: Изд-во НГТУ, 2002, Шаньгин В.Ф., ред. Защита информации в компьютерных системах и сетях. - М.: Радио и связь, 1999].

(Древне)Китайская теорема об остатках в общем виде формулируется следующим образом. Любое неотрицательное целое число, не превосходящее произведения модулей, можно однозначно восстановить, если известны его вычеты по этим модулям. Этот результат был известен еще в Древнем Китае и носит название китайской теоремы об остатках. Теорема была предложена китайским математиком первого века Сун Це и на сегодняшний день является мощным криптографическим инструментом.

Более детально, (древне)китайская теорема об остатках формулируется следующим образом.

Пусть m₁, m ₂, , m/_k - попарно взаимно простые числа больше 1, М=m₁m₂m_k. Тогда существует единственное неотрицательное решение по модулю М следующей системы уравнений:

xa₁(modm₁), xa₂(modm₂), , xa_k(modm_k).

Применение (древне)китайской теоремы для разделения секрета (безопасного хранения ключа) осуществляется следующим образом.

Пусть КZ - ключ, который необходимо защитить (сохранить). При этом требуется, чтобы k легальных участников совместно могли бы восстановить ключ, но ни один из них порознь либо некоторая группа легальных участников в количестве менее k или же какой-либо нелегальный участник не мог бы этого сделать.

Для решения задачи, согласно описанному прототипу:

А. Формируют множество целых чисел {p, m₁, m₂ , , m_k}, удовлетворяющее условиям:

1) p>К;

2) m₁<m₂<<m_k;

3) числа p, m₁ , m₂, , m_k должны быть попарно взаимно просты;

4) m₁·m₂··m_k>p·m₂··m_k.

Б. Исходя из того, что (см. п.А.4), выбирают целое число так, чтобы число K'=K+r·p попадало в интервал .

В. Распределяют между k участниками числа

К_i=К'(modm_i),

где i=1, 2, , k.

Г. Убеждаются, что по распределенным числам K₁, К₂, , К_k возможно восстановить исходный общий ключ К. Для этого, например, для всего двух участников:

1) из выражений (N₁·M₁)(modm₁ )1; (N₂·M₂)(modm₂)1,

где , отыскать N₁, N₂ (при этом может использоваться расширенный алгоритм Евклида как вспомогательный);

2) вычисляют величину

К'=(K ₁·N₁·M₁+K₂·N ₂·M₂)(modM)

где M=m ₁·m₂

либо может использоваться формула

K'=q₁+q₂·m ₁+q₃·m₁·m₂++q_k·m₁·m₂··m_k,

где 0q_i<|m_i|, q_i - остаток от деления a_i на m_i, i=1, k (при большем количестве участников),

а затем вычисляют исходный общий ключ К=К'-r·p.

Недостатком известных аналогов является то, что при каждом предохранении от злоупотребления полномочиями лицами-членами легального сообщества участников необходимо личное присутствие каждого из них в одном здании либо помещении, где хранится защищаемый числовым ключом объект защиты (база данных).

В основу полезной модели поставлена задача избежать указанного недостатка.

Раскрытие полезной модели

Пусть, например, имеется подлежащий защите исходный числовой ключ и два участника, образующие легальное множество для получения доступа к конфиденциальной информации. Последняя хранится, например, в сейфе с цифровым замком на 12 цифр.

Так как оба участника (элементы легального множества) не доверяют ни друг другу, ни посторонним (элементам какого-либо иного, нелегального множества), то они хотят запереть сейф лишь при условии совместного его отпирания, но никак не раздельного. Ни один из участников не должен знать исходного защищаемого ключа, и только объединение двух его компонентов (так называемых "теней", которыми обладают участники), позволит восстановить исходный защищаемый ключ и отпереть сейф.

Следует отметить, что иной, на первый взгляд здравый, подход к проблеме состоит в разбиении исходного ключа как бы на "полключа", т.е. в распределении каждому из двух участников шести из общих двенадцати цифр ключа. Недостатком такого подхода является то, что любой из двух участников, оставшись наедине с сейфом, сможет гораздо быстрее отыскать недостающие "полключа", чем если бы он пытался подбирать целый ключ (10¹² комбинаций).

Рассмотрим исходный защищаемый ключ как последовательность цифр, длиной n. Тогда две компоненты ("тени") исходного ключа формируют путем сложения по модулю 10 соответствующих цифр защищаемого ключа и некоторой случайной последовательности цифр (большого случайного числа). Затем сформированные таким образом компоненты распределяют между легальными участниками.

Исходный защищенный ключ, таким образом, может быть восстановлен лишь при наличии обеих его компонент ("теней"). Оценка трудоемкости раскрытия исходного ключа для каждого из легальных участников, как и для нелегальных, в данном случае составляет 10¹² попыток [Чмора А.Л. Современная прикладная криптография. - М.: Гелиос АРВ, 2001].

Рассмотрим сущность полезной модели как технического решения. В предлагаемом решении система разделения секрета, представляющая собою систему предохранения от раздельного допуска лиц к содержащим налоговую тайну массивам данных, состоит из: защищаемой разделяемым на компоненты числовым ключом электронной базы данных с содержащими налоговую (либо иную относящуюся к социальной сфере) тайну массивами данных, компьютерной сети с терминалами, многоточечного устройства видеоконференцсвязи между должностными лицами-членами легального сообщества участников, имеющего каждый свой терминал, а также телефонные аппараты, например, сотовые - для индивидуальной телефонной связи между независимым центром распределения ключей (ЦРК) и каждым из должностных лиц-членов легального сообщества участников.

При вышеуказанных существенных признаках технический результат заключается в обеспечении отсутствия необходимости личного присутствия при каждом разделении/восстановлении исходного числового ключа всех должностных лиц-членов легального сообщества участников и представителя независимого центра распределения ключей (ЦРК) в одном здании либо помещении - при предохранении от злоупотребления должностными полномочиями ответственных легальных лиц - налоговых инспекторов, иных ответственных лиц - при осуществлении ими допуска к массивам данных о налогоплательщиках, а также от допуска любыми нелегальными лицами (в том числе для изготовления несанкционированных копий составляющих налоговую тайну массивов данных).

Кроме того, с целью затруднения осуществляемого любыми лицами подкупа должностных лиц-членов легального сообщества участников, как правило, являющихся сотрудниками различных контролирующих или надзирающих органов и их подразделений, предлагается при разделении и восстановлении исходного числового ключа смена упомянутых должностных лиц, взаимодействующих с многоточечным устройством видеоконференцсвязи (периодическая либо при каждом разделении-восстановлении исходного числового ключа). При этом многоточечное устройство видеоконференцсвязи регистрирует каждую попытку допуска к защищаемой числовым ключом базе данных.

Указанные существенные признаки, влияющие на получаемый технический результат, отличают систему от прототипа.

Связь между элементами системы прослеживается из фиг.1, в соответствии с которым достигается решение поставленной задачи.

Краткое описание чертежей

На упомянутом фиг.1 в кружочках изображено:

ЦРК - терминал (независимого) центра распределения ключей,

НИ - терминал налогового инспектора, связанного системой видеоконференцсвязи с КO1КОn - терминалом(ами) контролирующего(их) (надзирающего(их)) органа(ов),

* - телефонные аппараты, составляющие независимую телефонную, например, сотовую, связь,

БД - защищаемая ключом К база данных, хранящаяся в электронном виде и связанная компьютерной сетью на необходимые периоды времени с терминалом ЦРК исключительно в целях установления им на БД ключа К.

Осуществление полезной модели

Осуществление заявляемой полезной модели сводится к следующему.

С учетом прослеживаемого из фиг.1 состава системы с необходимыми связями между элементами, имеют место две необходимые стадии: разделения ключа и восстановления ключа, составляющие способ использования системы.

А. Стадия разделения ключа.

1. Предварительно согласовав с налоговым инспектором (либо иным ответственным лицом, без посещения помещения с находящимся в нем компьютером с защищаемой базой данных), будет ли осуществляться на основе числового ключа К парольное физическое ограничение доступа к электронной базе данных (БД) или же производиться криптографическое преобразование массивов данных БД в соответствии с принятыми в РФ ГОСТами, а также и иную необходимую информацию (например, путь к хранящейся в компьютере налогового инспектора базе данных, права внешнего сетевого доступа к ней), в том числе указанные в п. "Уровень техники" математические формулы для вычисления К и К', независимый центр распределения ключей (ЦРК) генерирует (предпочтительно 32-разрядный) числовой ключ К.

2. При наблюдении всеми остальными легальными лицами-участниками по видеоконференцсвязи за действиями налогового инспектора (либо иного ответственного за защищаемую БД лица), им формируется первичный(е) массив(ы) данных (без возможности разобрать по видеоконференцсвязи другими легальными лицами-участниками каждый символ массивов) подлежащей защите БД и устанавливается на нее независимый от ключа К статический пароль, неизвестный, в том числе, центру распределения ключей. Упомянутый пароль, являясь одной из разновидностей защиты БД, в том числе от неправомерного доступа к БД из сети, не должен препятствовать ЦРК устанавливать в течение весьма ограниченного времени на БД являющийся другой разновидностью защиты числовой ключ К.

3. Налоговый инспектор (либо иное ответственное за БД лицо), не отключая находящихся на видеоконференцсвязи других легальных лиц-участников, по своему телефонному аппарату стационарному либо сотовому связывается с ЦРК и сообщает ему общее количество легальных лиц-участников, не сообщая номера налоговой инспекции (номера, наименования учреждения) и адреса ее местонахождения.

4. ЦРК, обладая предварительно полученной и упомянутой в п.1 необходимой информацией, по компьютерной сети устанавливает на защищаемую БД числовой ключ К, не имея возможности непосредственного допуска к конфиденциальным массивам данных; вследствие уже установленной на нее налоговым инспектором (либо иным ответственным за БД лицом, независимой парольной защиты).

5. ЦРК присваивает специальный номер данной совокупности легальных лиц-участников, заносит в свой журнал операций участников, и сообщает его по телефону стационарному либо сотовому налоговому инспектору (либо иному ответственному за БД лицу); при этом видеоконференцсвязь остается включенной со всеми находящимися на ее линии легальными лицами-участниками, обеспечивая, таким образом, известность упомянутого специального номера данной совокупности легальных лиц-участников.

6. Налоговый инспектор (либо иное ответственное за БД лицо) сообщает по видеоконференцсвязи указанный номер совокупности легальных лиц всем остальным легальным участникам.

7. ЦРК, зная общее количество легальных лиц-участников k данной совокупности, формирует числовое множество {p, m₁, m₂, , m_k} в соответствии с п.А схемы-прототипа, изложенной в разделе "Уровень техники".

8. ЦРК выбирает число r в соответствии с п.Б схемы-прототипа, изложенной в разделе "Уровень техники".

9. ЦРК вычисляет числа (компоненты) К₁, К₂ , , К_k на основе п.В схемы-прототипа, изложенной в разделе "Уровень техники".

10. ЦРК проверяет возможность восстановления по распределенным числам К₁, К₂, , K_k восстановления исходного общего ключа К - в соответствии с п.Г схемы-прототипа, изложенной в разделе "Уровень техники".

11. Каждый из легальных лиц-участников, не сообщая никакому другому участнику свой номер телефона (стационарного либо сотового), отсоединившись от видеоконференцсвязи и используя присвоенный данной совокупности легальных лиц-участников ее специальный номер (и, при запросе от ЦРК, например, посредством текстового sms-сообщения, свой порядковый номер из диапазона [1, , k]), обращается в максимально сжатые сроки (секунды, минуты) в ЦРК и скрытно по телефону (стационарному либо сотовому) получает свою компоненту K_i ключа К совместно с необходимыми составляющими соответствующих формул r, p, N₁, N ₂, m₁=М₂, m₂=М₁ , М.

В. Стадия восстановления ключа.

12. Налоговый инспектор (либо иное ответственное за БД лицо) при намерении получить допуск к защищаемой БД, по видеоконференцсвязи сообщает о своем намерении всем остальным легальным лицам-участникам - при их обязательном подключении по видеоконференцсвязи.

13. Каждый из k легальных участников, наблюдая по видеоконференцсвязи за действиями налогового инспектора (либо иного ответственного за БД лица), без использования своего телефона (стационарного либо сотового) сообщает налоговому инспектору (либо иному ответственному за БД лицу) по видеоконференцсвязи свою компоненту K_i разделенного ключа К.

14. Налоговый инспектор (либо иное ответственное за БД лицо) по уже известным ему математическим формулам для вычисления К' и К, упомянутым в п.1 стадии разделения ключа (изложенным в разделе "Уровень техники") при наблюдении в режиме реального времени (on-line) по видеоконференцсвязи каждым из остальных легальных лиц-участников, восстанавливает ключ К с помощью всех сообщенных ему компонент K_i ключа К.

Зная восстановленный из компонент ключ К и установленный ранее статический пароль, налоговый инспектор (либо иное ответственное за БД лицо) получает допуск к базе данных - при наблюдении в режиме реального времени (on-line) по видеоконференцсвязи каждым из остальных легальных лиц-участников.

Далее - при необходимости повторного допуска - весь процесс использования системы повторяется.

Таким образом, достигается заявленный технический результат, а именно обеспечение отсутствия необходимости личного присутствия при каждом разделении/восстановлении исходного числового ключа всех должностных лиц-членов легального сообщества участников и представителя центра распределения ключей в одном здании либо помещении - при предохранении от злоупотребления должностными полномочиями ответственных легальных лиц - налоговых инспекторов, иных ответственных лиц - при осуществлении ими допуска к массивам данных о налогоплательщиках (об иной группе граждан), а также от допуска любыми нелегальными лицами (в том числе для изготовления несанкционированных копий составляющих налоговую тайну массивов данных).

Рассмотрим конкретный числовой пример, с учетом данных фиг.1 и раздела "Краткое описание чертежей", а также обеих вышеописанных в текущем разделе стадий: разделения ключа и восстановления ключа.

Пример (числовой). Пусть двоим легальным лицам-участникам требуется защитить сгенерированный числовой ключ К=10 для защищаемой им базы данных.

Пример реализации способа использования системы, ее действия основан на изложенной в разделе "Уровень техники" описания схемы-прототипа, с учетом данных фиг.1 и раздела "Краткое описание чертежей", а также обеих вышеописанных в текущем разделе стадий: разделения ключа и восстановления ключа.

А. Формируют множество {p, m₁ , m₂}, где p=13, m₁=17, m₂=19 удовлетворяют условиям: 1) 13>10; 2) 17<19; 3) числа 13, 17, 19 попарно взаимно просты, т.е. НОД (13, 17)=1; НОД (13, 19)=1; НОД (17, 19)=1; 4) 17·19>13·19.

Б. Выбирают число так, чтобы удовлетворялось условие ,

т.е. 10+13·r[24,322].

Взяв, например, r=3, получают K'=49.

В. Распределяемыми числами будут: К ₁=49(mod17)=15;

K₂=49(mod19)11.

Г. Убеждаются в возможности восстановления исходного общего ключа К по двум распределенным числам К₁, К ₂.

; .

Имеют: (N₁·19)(mod17)1N₁=9; (N₂·17)(mod19)1N₂=9. (полученные числа N₁, N ₂ в общем случае не обязаны быть равны друг другу; в данном случае факт их равенства оказался просто совпадением).

2) Вычисляют К, затем К:

K'=(15·9·19+11·9·17)(mod323)=49;

K=49-3·13=10, что и требовалось.

Таким образом, подтверждается возможность получения при осуществлении полезной модели заявленного технического результата.

Следует также отметить, что для затруднения осуществляемого любыми лицами подкупа должностных лиц-членов легального сообщества участников, обычно являющихся сотрудниками различных контролирующих или надзирающих органов (их подразделений), при разделении и восстановлении исходного числового ключа упомянутые должностные лица, взаимодействующие с многоточечным устройством видеоконференцсвязи, могут сменяться. Смена их возможна как периодически, так и при каждом разделении-восстановлении исходного числового ключа. При этом многоточечное устройство видеоконференцсвязи способно регистрировать каждую попытку допуска к защищаемой числовым ключом базе данных; средством достижения указанного результата, состоящего в затруднении осуществляемого любыми лицами подкупа легальных контролирующих должностных лиц-участников путем их сменяемости, может служить электронный (либо печатный, рукописный) журнал, систематизирующий сменяемость упомянутых должностных лиц-членов легального сообщества участников. Последние, как правило, являются сотрудниками различных контролирующих или надзирающих органов.

1. Система разделения секрета, представляющая собою систему предохранения от раздельного допуска лиц к содержащим налоговую тайну массивам данных, отличающаяся тем, что она содержит защищаемую разделяемым на компоненты числовым ключом электронную базу данных, в которую включены содержащие налоговую либо иную относящуюся к социальной сфере тайну массивы данных, компьютерную сеть, многоточечное устройство видеоконференцсвязи между должностными лицами-членами легального сообщества участников, предназначенные для получения от терминала независимого центра распределения ключей своей компоненты Ki, разделяемого числового ключа К, а упомянутое устройство видеоконференции предназначено для сообщения по видеоконференции от каждого указанного участника своей компоненты Ki на терминал налогового инспектора для восстановления по полученным компонентам числового ключа К и осуществления допуска к электронной базе данных при наблюдении за допуском по видеоконференции в режиме реального времени с каждого устройства видеоконференцсвязи, а также телефонные сотовые аппараты - для индивидуальной телефонной связи между независимым центром распределения ключей и каждым из должностных лиц-членов легального сообщества участников, причем видеоконференцсвязь и компьютерная сеть при каждом разделении и каждом восстановлении исходного числового ключа с участием всех должностных лиц-членов легального сообщества участников позволяют им и представителю центра распределения ключей не присутствовать в одном здании либо помещении.

2. Система по п.1, отличающаяся тем, что для затруднения осуществляемого любыми лицами подкупа должностных лиц-членов легального сообщества участников, как правило, являющихся сотрудниками различных контролирующих или надзирающих органов и их подразделений, при разделении и восстановлении исходного числового ключа упомянутые должностные лица, взаимодействующие с многоточечным устройством видеоконференцсвязи, могут сменяться периодически либо при каждом разделении-восстановлении исходного числового ключа, причем многоточечное устройство видеоконференцсвязи способно регистрировать каждую попытку допуска к защищаемой числовым ключом базе данных.