Программно-аппаратный комплекс защиты информации в it-системах

Полезная модель относится к области информационных технологий (IT), в частности, к средствам защиты информации от несанкционированного использования и распространения.

Задачей, на решение которой направлена заявляемая полезная модель, является повышение степени защищенности информации в IT-системе и расширение функциональных возможностей программно-аппаратного комплекса защиты информации.

Технические результаты, достигаемые в результате решения поставленной задачи, заключаются: в обеспечении возможности контроля целостности ресурсов IT-системы с использованием для этого собственных ресурсов и средств, входящих в комплекс; в обеспечении возможности контроля достоверности работы и соответствия заданным алгоритмами работы; в обеспечении возможности блокирования опасных последствий, вызванных неправильными (ошибочными или преднамеренными) действиями отдельных пользователей; в обеспечении гибкости структуры комплекса, конструктивного исполнения входящих в его состав аппаратных и аппаратно-программных средств и интерфейса взаимодействия составных частей комплекса со средствами IT-системы, в зависимости от особенностей архитектуры IT-системы и требований к ней; в обеспечении возможности использования метода разделения секретов между несколькими пользователями.

Программно-аппаратный комплекс защиты информации в IТ-системах включает: комплект программ защиты информации (ПЗИ), каждая из которых инсталлируется в одно из аппаратно-программных средств IT-системы (IT-средство), и комплект аппаратно программных модулей (АПМ) защиты информации, каждый из которых выполнен с возможностью обеспечения парольного разграничения доступа к хранимым в нем информационным ресурсам и содержит: процессор (Прц), энергонезависимую память (ЭНП) и интерфейсный узел (ИУ) для взаимодействия со средствами IT-системы. Комплект АПМ включает: - аппаратно-программные модули, обеспечивающие разделение полномочий пользователей (АПМ-П), в ЭНП которых хранятся данные, определяющие уровень полномочий обладателей АПМ, включающие АПМ-П, по меньшей мере, двух категорий доступа: АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ); - по меньшей мере, один аппаратно-программный модуль контроля IT-системы (АПМ-К), в ЭПН которого хранятся данные, применяемые в процедуре контроля IT-системы. ЭНП каждого АПМ имеет директорно-файловую структуру, предусматривающую размещение в ней групп файлов трех типов: а) бинарных файлов приложений, содержащих данные, необходимые для работы IT-системы; б) файлов кодов доступа к ресурсам АПМ; в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной системы АПМ. Зона каждого файла включает поле для размещения самого файла и поле для размещения правил управления доступом (ПУД) к этому файлу, а число зон в каждой из групп файлов, число и содержание ПУД для каждого из файлов и размеры этих полей для каждого из файлов определяются алгоритмом взаимодействия АПМ с IT-средством и выбранной политикой безопасности IT-системы. Количество ПЗИ и количество АПМ каждого типа определяется архитектурой IT-системы и принятой в ней политикой безопасности. В отдельных случаях выполнения комплект АПМ может включать, по меньшей мере, один аппаратно-программный модуль разделения полномочий и контроля (АПМ-ПК), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IT-системы. Предпочтительно, чтобы программно-аппаратный комплекс защиты информации в IT-системах содержал группу АПМ, в каждом из которых хранится частный код (АПМ-ЧК), используемый совместно с частными кодами из других АПМ-ЧК этой группы для формирования общего системного секретного кода, используемого в IT-системе. В отдельных случаях выполнения частный код может быть размещен в специально выделенном АПМ для хранения частного кода (АПМ-ЧК), и/или в АПМ-П, и/или в АПМ-ПК. В отдельных случаях выполнения в комплект АПМ могут входить АПМ, в которых хранятся данные одного, или двух, или трех следующих видов: а) данные, применяемые для предоставления пользователю полномочий по одной из, как минимум, двух возможных категорий доступа пользователей; б) данные, применяемые в процедуре контроля IT-системы; в) данные одного из частных кодов, используемых, совместно с частными кодами из других АПМ, для формирования общего системного секретного кода, используемого в IT-системе, при этом количество хранимых видов данных в каждом из АПМ комплекта определяется архитектурой IT-системы и используемой в ней политикой безопасности. Предпочтительно, чтобы Прц, ЭНП, ИУ каждого АПМ были реализованы в одном или нескольких электрически соединенных между собой электрорадиоизделиях (ЭРИ), расположенных на общей плате. В отдельных случаях выполнения АПМ могут быть подключены к IT-средству по контактному и/или бесконтактному интерфейсу. В отдельных случаях выполнения АПМ может быть выполнен с контактным интерфейсом по стандарту ISO/IEC-7816, или бесконтактным радио-интерфейсом RFID, или Bluetooth интерфейсом. В отдельных случаях выполнения АПМ может быть выполнен в виде пластиковой смарт-карты или в виде брелока. Предпочтительно, чтобы в качестве АПМ была использована Российская интеллектуальная карта (РИК).

1 независимый пункт формулы, 11 зависимых пунктов формулы, 4 фиг. чертежа.

Заявляемая полезная модель относится к области информационных технологий (IT), в частности, к средствам защиты информации от несанкционированного использования и распространения.

Известны различные средства защиты информации от несанкционированного использования и распространения, в том числе путем разграничения доступа пользователей к ресурсам инфо-коммуникационной системы.

Известна парольная защита информации, основанная на использовании паролей в большей части программного обеспечения, например, Adobe Illustrator х.х фирмы Adobe Systems Inc. (http://www.adobe.com), SCO Open Server x.x фирмы Santa Cruz Operation Ltd., (http://www.sco.com) и др.

Известны средства и комплексы защиты информации, использующие для хранения данных, используемых при реализации алгоритмов контроля и разграничения доступа, запоминающие устройства, размещаемые в съемных субблоках, подключаемых к IT-средству через разъемы - в съемных носителях, например, в flash-дисках, в магнитных картах компании OMRON Electronics Ltd. (FARNELL Electronic components catalogue 1997/1998, p.995), в магнитных носителях с дефектами (Патент РФ 2109331 на изобретение «Способ защиты программно-информационного обеспечения от несанкционированного использования», МПК 6 G06F 12/14, G06K 1/04, опубл. 20.04.1998). Применение этих носителей обеспечивает возможность защиты от несанкционированного использования функциональных возможностей и/или от несанкционированного распространения защищаемой информации.

Наиболее современными являются программно-аппаратные средства защиты информации на базе процессоров, реализующие сложные и защищенные протоколы взаимодействия защищаемого программного обеспечения и ключевого носителя: интеллектуальные электронные ключи на базе процессоров и микросхем памяти: электронные идентификаторы Touch-Memory (DALLAS SEMICONDUCTOR Product Data Book 1992-1993), электронные ключи HASP фирмы Aladdin Knowledge Systems Ltd (.), патент РФ 2267155, МПК 7 G06F 13/00, G06F 1/00, опубл. 27.12.2005).

Известны также программно-аппаратные средства защиты информации, в которых протоколы взаимодействия защищаемого программного обеспечения IT - средства с информацией, хранимой в запоминающем устройстве съемного носителя, реализуются в микропроцессоре, расположенном в этом же съемном носителе: интеллектуальные электронные ключи на базе процессоров и микросхем памяти: электронные идентификаторы Touch-Memory (DALLAS SEMICONDUCTOR Product Data Book 1992-1993), электронные ключи HASP фирмы Aladdin Knowledge Systems Ltd (.), патент РФ 2267155, МПК 7 G06F 13/00, G06F 1/00, опубл. 27.12.2005).

Известно устройство защиты информации в IT-системах, содержащее энергонезависимую память, адаптер интерфейса и процессор, выполненный на микропроцессоре (многофункциональном микроконтроллере). Память устройства может быть расширена внешней, по отношению к процессору, флэш-памятью данных файловой системы, доступ к которой защищен паролем - PIN-кодом (патент 83862 на ПМ «Мобильное устройство защиты информации», МПК G06F 13/00, опубл. 20.06.2009).

Наиболее близким по совокупности существенных признаков к заявляемому техническому решению является выбранный в качестве прототипа программно-аппаратный комплекс «ESMART Access», предназначенный для защиты информации в IT-системах, включающий комплект программ защиты информации (ПЗИ), каждая из которых инсталлируется в одно из аппаратно-программных - средств IT-системы (IT-средство), и комплект аппаратно- программных модулей (АПМ) защиты информации (АПМ ЗИ). Каждый из АПМ выполнен с возможностью обеспечения парольного разграничения доступа к хранимым в нем информационным ресурсам и содержит: процессор (Прц), энергонезависимую память (ЭНП) и интерфейсный узел (ИУ) для взаимодействия со средствами IT-системы по контактным или бесконтактным интерфейсам. Подключенный к IТ-средству АПМ взаимодействует с этим IT-средством по интерфейсу между ними и, на основании анализа информации, поступающей в него из IT-средства производит контроль и разграничение доступа к своим ресурсам и, в рамках разрешенного доступа, проводит обработку информации, включая запись и считывание информации в ЭНП. В качестве АПМ может быть использован ряд микропроцессорных устройств, в том числе микропроцессорные смарт-карты с USB считывателями, бесконтактные смарт-карты или USB-ключи (брелоки), например, Alladin e-Token R2 (). Комплекс «ESMART Access» реализует ряд функций по защите информации, в том числе: аутентификацию (подтверждение подлинности) пользователя по введенному им паролю доступа (PIN) и информации, хранимой в подключенном к IT - средству АПМ ЗИ; авторизацию (представление и разграничение) полномочий успешно прошедших аутентификацию пользователей на доступ к ресурсам IT-системы на основании анализа хранимых в программно-аппаратном комплексе информации о полномочиях пользователя и правил разграничения доступа.

Известные средства и комплексы защиты информации, в том числе комплекс «ESMART Access», не обеспечивают:

- возможности контроля целостности ресурсов IТ-системы;

- возможности блокирования опасных последствий, вызванных неправильными (ошибочными или преднамеренными) действиями отдельных пользователей;

- возможности использования метода разделения секретов между несколькими пользователями;

Задачей, на решение которой направлена заявляемая полезная модель, является повышение степени защищенности информации в IT-системе и расширение функциональных возможностей программно-аппаратного комплекса защиты информации.

Технические результаты, достигаемые в результате решения поставленной задачи во всех случаях выполнения полезной модели, заключаются:

- в обеспечении возможности контроля целостности ресурсов IT-системы с использованием для этого собственных ресурсов средств, входящих в комплекс;

- в обеспечении возможности контроля достоверности работы и соответствия заданным алгоритмами работы;

- в обеспечении возможности блокирования опасных последствий, вызванных неправильными (ошибочными или преднамеренными) действиями отдельных пользователей;

- в обеспечении гибкости (возможности изменения) структуры комплекса, конструктивного исполнения входящих в его состав аппаратных и аппаратно-программных средств и интерфейса взаимодействия составных частей комплекса со средствами IT-системы, в зависимости от особенностей архитектуры IT-системы и требований к ней.

Технический результат, достигаемый в результате решения поставленной задачи в отдельных случаях выполнения полезной модели заключается в обеспечении возможности использования метода разделения секретов между несколькими пользователями.

Заявленные технические результаты достигаются тем, что программно-аппаратный комплекс защиты информации в IT-системах включает: комплект программ защиты информации (ПЗИ), каждая из которых инсталлируется в одно из аппаратно-программных средств IT-системы (IT-средство), и комплект аппаратно программных модулей (АПМ) защиты информации, каждый из которых выполнен с возможностью обеспечения парольного разграничения доступа к хранимым в нем информационным ресурсам и содержит: процессор (Прц), энергонезависимую память (ЭНП) и интерфейсный узел (ИУ) для взаимодействия со средствами IT-системы. Комплект АПМ включает:

- аппаратно-программные модули, обеспечивающие разделение полномочий пользователей (АПМ-П), в ЭНП которых хранятся данные, определяющие уровень полномочий обладателей АПМ, включающие АПМ-П, по меньшей мере, двух категорий доступа: АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ);

- по меньшей мере, один аппаратно-программный модуль контроля IT-системы (АПМ-К), в ЭПН которого хранятся данные, применяемые в процедуре контроля IТ-системы.

ЭНП каждого АПМ имеет директорно-файловую структуру, предусматривающую размещение в ней групп файлов трех типов:

а) бинарных файлов приложений, содержащих данные, необходимые для работы IT-системы;

б) файлов кодов доступа к ресурсам АПМ;

в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной системы АПМ.

Зона каждого файла включает поле для размещения самого файла и поле для размещения правил управления доступом (ПУД) к этому файлу, а число зон в каждой из групп файлов, число и содержание ПУД для каждого из файлов и размеры этих полей для каждого из файлов определяются алгоритмом взаимодействия АПМ с IT-средством и выбранной политикой безопасности IT-системы. Количество ПЗИ и количество АПМ каждого типа определяется архитектурой IT-системы и принятой в ней политикой безопасности.

В отдельных случаях выполнения комплект АПМ может включать, по меньшей мере, один аппаратно-программный модуль разделения полномочий и контроля (АПМ-ПК), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IТ-системы.

Предпочтительно, чтобы программно-аппаратный комплекс защиты информации в IT-системах содержал группу АПМ, в каждом из которых хранится частный код (АПМ-ЧК), используемый совместно с частными кодами из других АПМ-ЧК этой группы для формирования общего системного секретного кода, используемого в IТ-системе.

В отдельных случаях выполнения частный код может быть размещен в специально выделенном АПМ для хранения частного кода (АПМ-ЧК), и/или в АПМ-П, и/или в АПМ-ПК.

В отдельных случаях выполнения в комплект АПМ могут входить АПМ, в которых хранятся данные одного, или двух, или трех следующих видов: а) данные, применяемые для предоставления пользователю полномочий по одной из, как минимум, двух возможных категорий доступа пользователей; б) данные, применяемые в процедуре контроля IT-системы; в) данные одного из частных кодов, используемых, совместно с частными кодами из других АПМ, для формирования общего системного секретного кода, используемого в IT-системе, при этом количество хранимых видов данных в каждом из АПМ комплекта определяется архитектурой IT-системы и используемой в ней политикой безопасности.

Предпочтительно, чтобы Прц, ЭНП, ИУ каждого АПМ были реализованы в одном или нескольких электрически соединенных между собой электрорадиоизделиях (ЭРИ), расположенных на общей плате.

В отдельных случаях выполнения АПМ могут быть подключены к IT-средству по контактному и/или бесконтактному интерфейсу.

В отдельных случаях выполнения АПМ может быть выполнен с контактным интерфейсом по стандарту ISO/IEC-7816, или бесконтактным радио-интерфейсом RFID, или Bluetooth интерфейсом.

В отдельных случаях выполнения АПМ может быть выполнен в виде пластиковой смарт-карты или в виде брелока.

Предпочтительно, чтобы в качестве АПМ была использована Российская интеллектуальная карта (РИК).

Сопоставительный анализ заявляемой полезной модели с прототипом показал, что во всех случаях выполнения она отличается от известного, наиболее близкого технического решения:

- наличием аппаратно-программных модулей, обеспечивающих разделение полномочий пользователей (АПМ-П), в ЭНП которых хранятся данные, определяющие уровень полномочий обладателей АПМ, включающих АПМ-П, по меньшей мере, двух категорий доступа: АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ);

- наличием, по меньшей мере, одного аппаратно-программного модуля контроля IT-системы (АПМ-К), в ЭПН которого хранятся данные, применяемые в процедуре контроля IТ-системы;

- формированием директорно-файловой структуры ЭНП каждого АПМ предусматривающей размещение в ней групп файлов трех типов: а) бинарных файлов приложений, содержащих данные, необходимые для работы IT-системы; б) файлов кодов доступа к ресурсам АПМ; в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной системы АПМ;

- размещением в зоне каждого файла поля для размещения самого файла и поля для размещения правил управления доступом (ПУД) к этому файлу;

- определением конкретных параметров разбиения директорно-файловой стркутуре ЭНП (числа зон в каждой из групп файлов, числа и содержания ПУД для каждого из файлов и размера зон и полей для каждого из файлов) алгоритмом взаимодействия АПМ с IT-средством и выбранной политикой безопасности IТ-системы;

- определением количества ПЗИ и количества АПМ каждого типа архитектурой IT-системы и принятой в ней политикой безопасности.

В отдельных случаях выполнения заявляемая полезная модель отличается от известного, наиболее близкого технического решения:

- наличием, по меньшей мере, одного аппаратно-программного модуля разделения полномочий и контроля (АПМ-ПК), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IТ-системы;

- наличием группы АПМ, в каждом из которых хранится частный код (АПМ-ЧК), используемый совместно с частными кодами из других АПМ-ЧК этой группы для формирования общего системного секретного кода, используемого в IТ-системе;

- размещением частного кода в специально выделенном АПМ для хранения частного кода (АПМ-ЧК), и/или в АПМ-П, и/или в АПМ-ПК;

- наличием АПМ, в которых хранятся данные одного, или двух, или трех следующих видов: данные, применяемые для предоставления пользователю полномочий по одной из, как минимум, двух возможных категорий доступа пользователей; данные, применяемые в процедуре контроля IT-системы; данные одного из частных кодов, используемых, совместно с частными кодами из других АПМ, для формирования общего системного секретного кода, используемого в IТ-системе, при этом количество хранимых видов данных в каждом из АПМ комплекта определяется архитектурой IT-системы и используемой в ней политикой безопасности;

Совокупность присущих заявляемой полезной модели признаков обеспечивает достижение указанных технических результатов.

Наличие в комплекте АПМ заявляемого программно-аппаратного комплекса: а) АПМ-П, по меньшей мере, двух категорий доступа: АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ); б) по меньшей мере, одного аппаратно-программного модуля контроля IT-системы (АПМ-К), в ЭПН которого хранятся данные, применяемые в процедуре контроля IT-системы; использование в АПМ ЭНП с директорно-файловой структурой размещения хранимых данных, предусматривающей размещение в ней групп файлов трех типов: а) бинарных файлов приложений, содержащих данные, необходимые для работы IT-системы; б) файлов кодов доступа к ресурсам АПМ; в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной системы АПМ; выполнение зоны каждого файла включающей поле для размещения самого файла и поле для размещения правил управления доступом (ПУД) к этому файлу, определение числа зон в каждой из групп файлов, числа и содержание ПУД для каждого из файлов и размеров этих полей для каждого из файлов алгоритмом взаимодействия АПМ с IT-средством и выбранной политикой безопасности IТ-системы; определение количества ПЗИ и количество АПМ каждого типа архитектурой IT-системы и принятой в ней политикой безопасности

обеспечивают:

а) возможность разграничения пользователей по уровню доступа к ресурсам IT-системы в соответствии с уровнем доступа пользователя, что позволяет разграничить допуск различных категорий пользователей к различным видам действий и использовать метод обязательного проведения совместных действий несколькими (как минимум двумя) пользователями при выполнении определенного ряда ответственных операций. Совместные действия проводятся с целью блокирования опасных последствий, вызванных неправильными, ошибочными или преднамеренными действиями отдельных пользователей;

б) возможность контроля целостности ресурсов IT-системы с использованием ресурсов аппаратно-программных средств, входящих в комплект АПМ, в том числе с использованием хранящейся в этих аппаратно-программных средствах секретной информации, необходимой для безопасного выполнения алгоритмов контроля целостности;

в) возможность построения гибкой структуры разграничения и контроля доступа за счет приведения хранимой в ЭНП базы правил управления доступом (ПУД) к файлам в соответствии с текущей политикой безопасности в IT-системе и поддержания в актуальном состоянии (с возможностью оперативного санкционированного изменения) хранимых кодов доступа к этим файлам;

г) расширение возможностей операционной системы за счет введения специальных исполняемых файлов - скриптов, эффективно реализующих фрагменты целевых алгоритмов АПМ.

Наличие группы АПМ, в каждом из которых хранится частный код (ЧК), участвующий совместно с частными кодами из других АПМ этой группы в формировании общего системного секретного кода, используемого в IT-системе, повышает степень защиты информации за счет использования метода разделения секрета между АПМ нескольких пользователей. (Метод разделения секрета, заключающийся в том, что секрет представляется в виде нескольких компонентов, из которых формируется по заданному алгоритму). При этом компоненты секрета хранятся в ЭНП разных АПМ, входящих, при необходимости использования метода разделения секрета, в состав комплекта АПМ программно-аппаратного комплекса защиты информации в IT-системах. Указанная реализация метода разделения секрета обеспечивает повышение защищенности хранения секрета путем исключения хранения самого системного секретного кода в аппаратуре одного пользователя или в аппаратуре IТ-средства;

Возможность создания аппаратно-программных модулей, содержащих файлы одного или нескольких приложений (например, разграничение полномочий пользователя и контроля IT-системы (АПМ-ПК), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IT-системы; или, например, АПМ специально выделяемого для размещения частного кода (АПМ-ЧК), или, например, АПМ разграничения доступа, контроля IT-системы и хранения частного кода (АПМ-ПКЧК), в котором хранятся и данные разграничения полномочий пользователя, и данные для проведения контроля IT-системы, и частный код, участвующий совместно с другими кодами в формировании системного секретного кода) расширяет возможности и гибкость формирования составов комплекта АПМ в соответствии с требованиями конкретной IТ-системы.

Выполнение Прц, ЭНП, ИУ каждого АПМ в одном или нескольких электрически соединенных между собой электрорадиоизделиях (ЭРИ), расположенных на общей плате; подключение АПМ к IT-средству по контактному и/или бесконтактному интерфейсу взаимодействия, в том числе, по стандарту ISO/IEC-7816, и/или радио-интерфейсу (RFID или Bluetooth); выполнение АПМ в виде пластиковой смарт-карты и/или брелока расширяют функциональные возможности вариантов подключения АПМ к IT-средству и вариантов конструктивного исполнения АПМ заявляемой полезной модели.

Заявляемая полезная модель иллюстрируется схемными чертежами, представленным на фиг.1-4.

На фиг.1 представлена общая структурная схема программно-аппаратного комплекса защиты информации (ПАК ЗИ).

На фиг.2-4 представлены структурные схемы аппаратно-программного модулей (АПМ) различных видов.

На фиг.2 представлена структурная схема аппаратно-программного модуля, обеспечивающего разделение полномочий пользователей с уровнем доступа исполнителя (АПМ-ПИ)

На фиг.3 представлена структурная схема аппаратно-программного модуля, обеспечивающего разделение полномочий пользователей с уровнем доступа администратора безопасности (АПМ-ПБ)

На фиг.4 представлена структурная схема аппаратно-программного модуля контроля IT-системы (АПМ-К), в котором хранятся данные, применяемые в процедуре контроля IT-системы.

Программно-аппаратный комплекс защиты информации (ПАК ЗИ) 1 в IT-системе включает комплект программ защиты информации (ПЗИ) 2, каждая из которых инсталлируется в одно из IT-средств 3 IT-системы, и комплект аппаратно программных модулей (АПМ) защиты информации 4, каждый из которых выполнен с возможностью обеспечения парольного разграничения доступа к хранимым в нем информационным ресурсам. При этом каждый из комплектов АПМ при подключении его пользователем (обладателем данного АПМ) по интерфейсу (И) 5 к одному из IT-средства 3 IT-системы, в которое инсталлирована ПЗИ 2:

- выполняет функции аутентификации и авторизации (предоставления полномочий по работе с ресурсами АПМ) пользователя, на основании анализа кода доступа, передаваемого в АПМ 4 из IT-средства 3 по интерфейсу (И) 5 и формируемого в IT-средстве 3 из пароля, вводимого пользователем в IT-средство 3;

- выполняет, совместно со средствами IT-системы системные прикладные функции, определяемые набором хранящихся в этом АПМ данных

В зависимости от набора хранящихся в нем данных, АПМ 4 может представлять собой устройства различного назначения. Комплект АПМ может включать:

- аппаратно-программные модули, обеспечивающие разделение полномочий пользователей (АПМ-П), в которых хранятся данные, определяющие уровень полномочий обладателей АПМ, содержащие, по меньшей мере, АПМ-П двух категорий доступа - АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) 4-1-1 и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ) 4-1-2; и

- по меньшей мере, один аппаратно-программный модуль контроля IT-системы (АПМ-К) 4-2, в котором хранятся данные, применяемые в процедуре контроля IT-системы;

- по меньшей мере, один аппаратно-программный модуль разделения полномочий и контроля (АПМ-ПК) (на чертеже не показан), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IТ-системы; группу АПМ, в каждом из которых хранится частный код (АПМ-ЧК), используемый совместно с частными кодами из других АПМ-ЧК этой группы для формирования общего системного секретного кода, используемого в IT-системе (на чертеже не показаны).

- АПМ, в которых хранятся данные одного, или двух, или трех следующих видов: данные, применяемые для предоставления пользователю полномочий по одной из, как минимум, двух возможных категорий доступа пользователей; данные, применяемые в процедуре контроля IT-системы; данные одного из частных кодов, используемых, совместно с частными кодами из других АПМ, для формирования общего системного секретного кода, используемого в IT-системе. К ним относятся:

- АПМ разграничения полномочий и хранения составной части системных кодов (АПМ-ПЧК) (на чертеже не показан), в котором хранятся данные, определяющие уровень полномочий обладателей АПМ и один частный код, используемый совместно с другими частными кодами для формирования системных кодов;

- АПМ контроля IT-системы и хранения частного кода (АПМ КЧК) (на чертеже не показан), в котором хранятся данные, применяемые в процедуре контроля IT-системы и один частный код, используемый совместно с другими частными кодами для формирования системных кодов;

- АПМ разграничения полномочий, контроля IT-системы и хранения частного кода (АПМ ПКЧК) (на чертеже не показан), в котором хранятся данные, определяющие уровень полномочий обладателей АПМ; данные, применяемые в процедуре контроля IT-системы, и один частный код, используемый совместно с другими частными кодами для формирования системных кодов.

Количество ПЗИ в комплекте ПЗИ и количество АПМ каждого типа в комплекте определяется архитектурой IT-системы и принятой в ней политикой безопасности. При этом число АПМ, в которых хранятся данные по разграничению полномочий - не менее двух, для обеспечения разграничения, как минимум, двух категорий доступа пользователей, а число АПМ, хранящих частные коды - не менее двух, для обеспечения разделения секрета, как минимум, на две части.

Каждый АПМ содержит: процессор (Прц) 6, энергонезависимую память (ЭНП) 7 и интерфейсный узел (ИУ) 8 для взаимодействия со средствами IT-системы. ЭНП 7 каждого АПМ имеет директорно-файловую структуру (ДФС), предусматривающую размещение в ней групп файлов трех типов: а) бинарных файлов приложений (ЗБФ_i, где i=1N_ЗБФ.) 9, содержащих данные, необходимые для работы IT-системы; б) группу файлов кодов доступа к ресурсам АПМ (ЗКД_i, где i=1N_ЗKД) 10; в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной система АПМ (ЗФС _i, где i=1N_ЗФС) 11. Каждая зона каждого файла включает поле для размещения самого файла (Ф) и поле для размещения файлов правил управления доступом (ПУД) к этому файлу, причем число зон в каждой из групп файлов, число и содержание ПУД для каждого из файлов, и размеры этих полей для каждого из файлов определяются алгоритмом взаимодействия с IT-средством и выбранной политикой безопасности IТ-системы.

В полях каждой из зон директорно-файловой структуры АПМ размещены файлы приложения, соответствующие назначению этих зон и полей в этих зонах. В зоне приложений для файлов скриптов (ЗФС) 11 размещены файлы скриптов (ФС_i, где i=1N_ЗФС) 12, реализующие необходимые расширения операционной АПМ; файлы правил доступа (ПУД фзс_j, где j=1m) 13 к этим скриптам и адреса размещения кодов доступа, необходимых для реализации доступа по этим правилам (на чертеже не показаны).

В зоне для бинарных файлов (ЗФБ) 9, в зависимости от типа аппаратно-программного модуля размещены: либо системные коды исполнителя (СКИ_i где i=iN_ЗкФ) 14, необходимые IT-средству для выполнения алгоритмов его работы - для АПМ-ПИ 4-1-1, либо системные коды администратора безопасности (СКАБ_i, где i=iN_ЗкФ) 15, необходимые IT-средству для обеспечения информационной безопасности его работы и дополняющие значения системных кодов исполнителя для использования их IT средством при выполнении им алгоритмов своей работы - для АПМ-ПБ 4-1-2; либо контрольные значения (КЗ_i, где i=1N_ЗКФ.) 16 переменных, необходимые IT-средству для выполнения алгоритмов контроля - для АПМ-К 4-2.

В зонах для кодов доступа (ЗКД) 10 размещены файлы кодов доступа (КД_i, где i=1N_Зкд) 17 к файлам, расположенным в зонах директорно-файловой структуры ЭНП 7.

Процессор Прц 6, энергонезависимая память ЭНП 7 и интерфейсный узел ИУ 8 каждого АПМ реализованы в одном или нескольких электрически соединенных между собой электрорадиоизделиях (ЭРИ), расположенных на общей плате (на чертеже не показано). АПМ могут быть подключены к IT-средству по контактному (например, по стандарту ISO/IEC-7816) и/или бесконтактному (например, по радио-интерфейсу RFID или Bluetooth) интерфейсу (на чертеже не показано). АПМ может быть выполнен в виде пластиковой смарт-карты или брелока. Предпочтительно использование в качестве АПМ Российской интеллектуальной карты (РИК), которая представляет собой микропроцессорную карту, разработанную государственным унитарным предприятием "Научно-технический центр "Атлас" при научно-техническом сопровождении ФАПСИ и выполнена на основе отечественного микроконтроллера КБ5004ВЕ1 (разработанного ОАО "Ангстрем") В РИК обеспечена возможность реализации широкого спектра приложений на базе РИК. ()

Программно-аппаратный комплекс защиты информации в it-системах работает следующим образом.

Процессор Прц 6 проводит обмен информацией с сопрягаемым IT-средством через интерфейсный узел ИУ 8. В предпочтительном варианте АПМ изготавливается на базе разработанной и выпускаемой в России смарт-карты путем формирования целевой директорно-файловой структуры ДФС в ее энергонезависимой памяти ЭНП. Для создания комплекта АПМ должны быть произведены следующие действия. Изготовителем (эмитентом) проводится инициализация аппаратно-программных модулей АПМ 4, при этом в энергонезависимой памяти ЭНП 7 каждого из них создается целевая ДФС, формируемая внутри корневого управляющего мастер-файла (МФ) 18, сформированного ранее производителем АПМ.

При формировании ДФС в каждом из аппаратно-программных модулей комплекса АПМ 4 создаются зоны приложений для файлов приложений и файлов правил управления доступом к расположенному в этой зоне файлу.

При формировании ДФС эмитентом проводится следующее.

а) Запись в ЗБФ 9, ЗКД 10, ЗФС 11 в поля, предназначенные для правил управления доступом указателей («шаблонов») доступа к хранимым в этих зонах файлам приложений. При этом операционной системой АПМ проводится преобразование шаблонов доступа в физические адреса энергонезависимого запоминающего устройства, по которым в ЗКД 10 должны быть записаны соответствующие коды доступа. В дальнейшем, на этапе эксплуатации, эти коды доступа должны быть предъявлены в АПМ из IT-средства для получения возможности запрашиваемого из этого IT-средства варианта доступа к ресурсам АПМ. В качестве вариантов запрашиваемого вида доступа и действий могут выступать, например, следующие: считывание, запись, запись по OR с ранее записанным значением, диверсификация значения, добавление/исключение допустимого варианта (шаблона) действий.

б) Запись в ЗФС 11 файлов скриптов зоны.

Запись прикладных файлов в ЗБФ 9 и ЗКД 10 производится не эмитентом на этапе инициализации (преперсонализации), а на последующей стадии (фазе 0 стадии персонализации АПМ) организацией-пользователем (эксплуатирующей организацией) IT-системы, в которой используется программно-аппаратный комплекс защиты информации. При этом зоны ЗБФ 9 и ЗКД 10 могут быть записаны (службой безопасности информации эксплуатирующей организации):

1) в ЗБФ 10 - бинарные файлы (БФ), содержащие в виде массива байтов информацию, необходимую для работы сопрягаемого с АПМ IТ-средства;

2) в ЗКД 11 - файлы кодов доступа (ФКД) к файлам, расположенным в зонах ДФС АПМ. Эти коды доступа должны быть поданы в интерфейсный узел ИУ 8 АПМ из сопрягаемого с ним IT-средства для получения доступа к соответствующей зоне ДФС АПМ.

Общее количество создаваемых при инициализации АПМ в мастер-файле МФ 18 зон ЗБФ 9, ЗКД 10, ЗФС 11 - N_ЗКФ N_ЗБФ N_ЗКД, соответственно, размер и расположение каждой из этих зон в мастер-файле, размер и расположение файлов приложений, а также полей управления доступом (ПУД) в этих зонах задается при проведении инициализации, исходя из функциональных требований к создаваемому АПМ.

Работа АПМ заключается в проведении с хранимой в АПМ информацией процедур, запрашиваемых из IT-средства, к которому подключен АПМ.

При этом перед проведением процедур АПМ проводит проверку допустимости такой процедуры на основании получаемых из IТ-средства кодов запроса доступа. В ряде случаев для проведения процедуры (например, при выполнении в IT-средстве ответственных задач) требуется подключение к IT-средству нескольких, как минимум двух АПМ из комплекта. Количество АПМ, которые должны быть подключены к IT-средствам для выполнения конкретной процедуры, определяется политикой безопасности в IТ-системе. Например, подключение двух АПМ для выполнения конкретной процедуры необходимо в том случае, если для допуска к выполнению этой процедуры, в соответствии с политикой безопасности, требуется участие двух пользователей, в качестве идентификаторов которых используются их АПМ.

Краткое описание выполнения процедуры с АПМ.

1). Для проведения процедуры Ci (i=1,,S, где s - число процедур, проводимых IT-средством) с использованием АПМ-К 4-2) из IT-средства в АПМ-К 4-2 посылается:

- запрос на проведение процедуры Ci и информацию необходимую при проведении запрашиваемой процедуры;

- код запроса доступа (КЗДi) к файлу, требуемому для проведения процедуры (либо, если требуется работа с несколькими, например, с 2-мя АПМ;

- коды запроса доступа ко всем участвующим в выполнении процедуры АПМ (для примера, с двумя АПМ) - КЗД _i и КЗД_j, к соответствующим файлам обоих АПМ).

2). Процессор Прц 6, получив по интерфейсному узлу ИУ 8 указанные запрос и код (коды) запроса доступа, считывает из ЭНП 7 соответствующие файлы с правилами управления доступом (ПУД) и адресом (адресами) размещения кода (кодов) доступа по этому правилу. После этого процессор Прц 6 считывает по полученному адресу код (коды) доступа и проверяет соответствие полученных из IT-средства кодов запроса доступа и кодов доступа, считанных их ЭНП.

3) При соответствии этих кодов процессор Прц 6 проводит запрошенную процедуру (например, считывание или запись, или стирание или модификацию информации в ЭНП 7 АПМ или изменяет параметры ДФС). При этом процессор Прц 6 использует программные ресурсы операционной системы АПМ, а также дополнительные программные ресурсы скриптов, записанные в файлы ФС ЭНП 7. После этого процессор Прц 6 передает в IT-средство результаты проведенной процедуры и, если это предусмотрено выполняемой процедурой, считанную из АПМ информацию.

При выявлении несоответствия кодов запроса доступа (КЗД) и кодов доступа (КД) процессор формирует ответ в IT-средство сообщение об отказе в доступе с условным номером причины отказа и проводит запись данных о неудачной попытке доступа в ЭНП 7 в ЗКД 10. Если при выполнении следующей процедуры выявилось соответствие КЗД и КД, то процессор стирает предыдущую запись о несоответствии. При выявлении G подряд несоответствий кода запроса доступа и кода доступа проводится блокировка работы АПМ с этой ключевой зоной. Значение G устанавливается в ЗКД 10 при формировании ДФС.

Несколько АПМ (два и более) из одного комплекта АПМ могут использоваться для обеспечения согласованной работы группы IТ-средств (например, как носители ключевой информации двух взаимодействующих абонентов) или для обеспечения работы IT-средства в режимах, требующих наличия «совместной работы» нескольких лиц (например, при выполнении ответственных операций или при использовании метода «разделения секрета», когда требуемое значение может быть получено в IТ-средстве только при получении нескольких компонентов из разных источников - разных АПМ).

АПМ из одного комплекта имеют взаимоувязанные согласованные значения информации в файлах, хранимых в ЭНП 7, что позволяет увеличить гибкость их согласованного использовании в группе IT-средств.

1. Программно-аппаратный комплекс защиты информации в IT-системах, включающий комплект программ защиты информации (ПЗИ), каждая из которых инсталлируется в одно из аппаратно-программных - средств IT-системы (IT-средство), и комплект аппаратно программных модулей (АПМ) защиты информации, каждый из которых выполнен с возможностью обеспечения парольного разграничения доступа к хранимым в нем информационным ресурсам и содержит: процессор (Прц), энергонезависимую память (ЭНП) и интерфейсный узел (ИУ) для взаимодействия со средствами IT-системы, отличающийся тем, что комплект АПМ включает: аппаратно-программные модули, обеспечивающие разделение полномочий пользователей (АПМ-П), в ЭНП которых хранятся данные, определяющие уровень полномочий обладателей АПМ, включающие АПМ-П, по меньшей мере, двух категорий доступа: АПМ-П с уровнем доступа исполнителя (АПМ-ПИ) и АПМ-П с уровнем доступа администратора безопасности (АПМ-ПБ); по меньшей мере, один аппаратно-программный модуль контроля IT-системы (АПМ-К), в ЭПН которого хранятся данные, применяемые в процедуре контроля IT-системы; при этом ЭНП каждого АПМ имеет директорно-файловую структуру, предусматривающую размещение в ней групп файлов трех типов: а) бинарных файлов приложений, содержащих данные, необходимые для работы IT-системы; б) файлов кодов доступа к ресурсам АПМ; в) файлов скриптов, содержащих исполняемые файлы, расширяющие возможности операционной системы АПМ, причем зона каждого файла включает поле для размещения самого файла и поле для размещения правил управления доступом (ПУД) к этому файлу, а число зон в каждой из групп файлов, число и содержание ПУД для каждого из файлов и размеры этих полей для каждого из файлов определяются алгоритмом взаимодействия АПМ с IT-средством и выбранной политикой безопасности IT-системы, при этом количество ПЗИ и количество АПМ каждого типа определяется архитектурой IT-системы и принятой в ней политикой безопасности.

2. Программно-аппаратный комплекс защиты информации в IT-системах по п.1, отличающийся тем, что комплект АПМ включает, по меньшей мере, один аппаратно-программный модуль разделения полномочий и контроля (АПМ-ПК), в котором хранятся и данные, определяющие уровень полномочий обладателей АПМ, и данные, применяемые в процедуре контроля IТ-системы.

3. Программно-аппаратный комплекс защиты информации в IT-системах по п.1, отличающийся тем, что содержит группу АПМ, в каждом из которых хранится частный код (АПМ-ЧК), используемый совместно с частными кодами из других АПМ-ЧК этой группы для формирования общего системного секретного кода, используемого в IТ-системе.

4. Программно-аппаратный комплекс защиты информации в IT-системах по п.1, отличающийся тем, что в комплект АПМ входят АПМ, в которых хранятся данные одного, или двух, или трех следующих видов: данные, применяемые для предоставления пользователю полномочий по одной из, как минимум, двух возможных категорий доступа пользователей; данные, применяемые в процедуре контроля IТ-системы; данные одного из частных кодов, используемых, совместно с частными кодами из других АПМ, для формирования общего системного секретного кода, используемого в IT-системе, при этом количество хранимых видов данных в каждом из АПМ комплекта определяется архитектурой IT-системы и используемой в ней политикой безопасности

5. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что Прц, ЭНП, ИУ каждого АПМ реализованы в одном или нескольких электрически соединенных между собой электрорадиоизделиях (ЭРИ), расположенных на общей плате.

6. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ подключены к IT-средству по контактному и/или бесконтактному интерфейсу.

7. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ выполнен с контактным интерфейсом по стандарту ISO/IEC-7816.

8. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ выполнен с бесконтактным радио-интерфейсом RPID.

9. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ выполнен с бесконтактным Bluetooth интерфейсом.

10. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ выполнен в виде пластиковой смарт-карты.

11. Программно-аппаратный комплекс защиты информации в IT-системах по любому из пп.1-4, отличающийся тем, что АПМ выполнен в виде брелока.

12. Программно-аппаратный комплекс защиты информации в IT-системах по п.10, отличающийся тем, что в качестве АПМ использована Российская интеллектуальная карта (РИК).