ViPNet SafeBoot - сертифицированный высокотехнологичный программный модуль доверенной загрузки (МДЗ), устанавливаемый в UEFI BIOS различных производителей. Предназначен для защиты ПК, мобильных устройств, серверов (в том числе и серверов виртуализации) от различных угроз несанкционированного доступа (НСД) на этапе загрузки и от атак на BIOS.
Защита для компьютеров и серверов должна действовать с момента их включения. Время с момента включения до старта операционной системы является ключевым для доверия к системе в целом. На самых ранних этапах загрузки есть риск:
Назначение:
ViPNet SafeBoot предназначен для идентификации и аутентификации пользователей, разграничения доступа на основе ролей, а также организации доверенной загрузки операционной системы. ViPNet SafeBoot повышает уровень безопасности устройств и компьютеров за счёт:
ИнфоТеКС оставляет за собой право без уведомления вносить изменения в поставляемую продукцию (характеристики, внешний вид, комплектность), не ухудшающие ее потребительских свойств.
Строгая двухфакторная аутентификация - Аутентификация пользователя с помощью токена с сертификатом формата x.509 (двухфакторная), пароля или их сочетания. Поддерживаемые идентификаторы:
Ролевой доступ
Контроль целостности. Чтобы платформе можно было доверять, нужна гарантия, что все важные модули, загружаемые при старте системы, неизменны. Поэтому ViPNet SafeBoot проверяет целостность:
Для удобства пользователей появилась возможность автоматического построения списков контроля для ОС Windows.
Журнал событий безопасности. Для удобства предусмотрены несколько режимов ведения журнала с разным уровнем детализации.
Аутентификация пользователя может производиться различными способами и на разных этапах загрузки компьютера.
Для подтверждения личности запускающего компьютер могут требоваться различные факторы:
Аутентификация может быть многофакторной. Также аутентификация может быть многопользовательской с разделением прав доступа к компьютеру. Так, один пользователь сможет только запустить операционную систему с жёсткого диска, в то время как другому будет доступно изменение конфигурации CMOS и выбор загрузочного устройства.
Аутентификация может происходить:
Выполнение аутентификации на разных стадиях загрузки имеет свои преимущества.
На различных этапах загрузки компьютера доверенная загрузка может быть выполнена различными средствами, и, следовательно, будет обладать различной функциональностью.
Аппаратные модули доверенной загрузки имеют значительные преимущества перед чисто-программными средствами. Но обеспечение доверенной загрузки не может быть выполнено чисто аппаратно. Главные преимущества аппаратных средств:
Технология доверенного выполнения от Intel .
Представляет собой скорее не средство доверенной загрузки, а защиту ресурсов любых отдельных приложений на аппаратном уровне в целом.
TXT является абсолютно новой концепцией безопасности компьютера на аппаратном уровне, включая работу с виртуальными ПК.
Технология TXT состоит из последовательно защищённых этапов обработки информации и основана на улучшенном модуле TPM. В основе системы лежит безопасное исполнение программного кода. Каждое приложение, работающее в защищённом режиме, имеет эксклюзивный доступ к ресурсам компьютера, и в его изолированную среду не сможет вмешаться никакое другое приложение. Ресурсы для работы в защищённом режиме физически выделяются процессором и набором системной логики. Безопасное хранение данных означает их шифрование при помощи всё того же TPM. Любые зашифрованные TPM данные могут быть извлечены с носителя только при помощи того же модуля, что осуществлял шифрование.
Intel также разработала систему безопасного ввода данных. У вредоносной программы не будет возможности отследить поток данных на входе компьютера, а кейлоггер получит только бессмысленный набор символов, поскольку все процедуры ввода (включая передачу данных по USB и даже мышиные клики) будут зашифрованы. Защищённый режим приложения позволяет передавать любые графические данные в кадровый буфер видеокарты только в зашифрованном виде, таким образом, вредоносный код не сможет сделать скриншот и послать его хакеру.
Представляет собой аппаратный контроллер, предназначенный для установки в слот ISA (модификация 4.5) или PCI (модификация 5.0). Модули «Аккорд-АМДЗ» обеспечивают доверенную загрузку операционных систем (ОС) любого типа с файловой структурой FAT12, FAT 16, FAT32, NTFS , HPFS , UFS , UFS2, EXT2FS , EXT3FS, EXT4FS, QNX 4 filesystem, VMFS Version 3.
Вся программная часть модулей (включая средства администрирования), журнал событий и список пользователей размещены в энергонезависимой памяти контроллера. Таким образом, функции идентификации/аутентификации пользователей, контроля целостности аппаратной и программной среды, администрирования и аудита выполняются самим контроллером до загрузки ОС.
Основные возможности:
Дополнительные возможности:
Предназначен для разграничения и контроля доступа пользователей к аппаратным ресурсам автономных рабочих мест, рабочих станций и серверов локальной вычислительной сети. Позволяют проводить контроль целостности программной среды в ОС, использующих файловые системы FAT12, FAT16, FAT32 и NTFS.
Особенности:
Средства или модули доверенной загрузки (МДЗ, СДЗ) - это программные или программно-аппаратные средства, позволяющие осуществлять запуск операционной системы исключительно с доверенных носителей информации (например, жестких дисков). При этом такие устройства могут производить контроль целостности программного обеспечения (системные файлы и каталоги операционной системы) и технических параметров (сравнивать конфигурации компьютера при запуске с теми, которые были предопределены администратором при инициализации), и выступать в роли средств идентификации и аутентификации (с применением паролей и токенов).
Средства доверенной загрузки позволяют решать такие проблемы, как:
Запуск операционной системы в обход жесткого диска. Если злоумышленник не знает учетных данных легитимных сотрудников, но имеет физический доступ к пользовательскому компьютеру или серверу, он может загрузить операционную систему с заранее подготовленного флеш-накопителя и тем самым получить доступ к хранящейся на жестком диске информации. Однако одной из возможностей средств доверенной загрузки является наличие механизма сторожевого таймера. Так как для загрузки операционной системы с внешнего носителя необходимо зайти в BIOS (или базовую систему ввода вывода) компьютера и вручную выбрать средство для загрузки, на это может уйти достаточно много времени. Если выставить перезапуск компьютера, в случае когда операционная система загружается дольше обычного, злоумышленник не успеет изменить настройки BIOS и загрузиться со своего устройства.
Кража учетных данных пользователей. Даже если злоумышленник узнает логин и пароль сотрудника для входа в систему, его сдержит отсутствие персонального идентификатора. Для того чтобы загрузить операционную систему, когда на компьютере установлен модуль доверенной загрузки, пользователю необходимо прикладывать персональный идентификатор или токен. Без него загрузка осуществляться не будет.
Соответствие требованиям регуляторов. Для государственных информационных систем и систем, в которых обрабатываются персональные данные, требуется проходить аттестацию на соответствие требованиям. В требования включена обязательная защита информационных систем средствами защиты от несанкционированного доступа. При необходимости более высокого уровня защищенности хранящихся в системе данных в мерах обеспечения безопасности предписано применение аппаратных средств доверенной загрузки.
Средства доверенной загрузки могут быть:
Архитектура
ALTELL TRUST имеет модульную архитектуру. Сам модуль доверенной загрузки устанавливается на защищаемые устройства, заменяя стандартный BIOS материнской платы, расположенный в чипе EEPROM, и обеспечивает доверенную загрузку BIOS, многофакторную аутентификацию до загрузки ОС и соблюдение ролевых политик доступа. Модуль удаленного управления разворачивается на сервере управления и позволяет осуществлять централизованное развертывание и обновление ПО, проводить аудит безопасности и управлять всеми модулями доверенной загрузки из единого центра.
Возможности
Преимущества
Сценарии применения
ALTELL TRUST может применяться для обеспечение доверенной загрузки операционных систем, многофакторной аутентификации пользователей на удаленных AD/LDAP-серверах, удаленного централизованного управления парком защищаемых устройств, удаленного централизованного сбора событий безопасности, а также выступать в качестве единственного ПО тонких клиентов (концепция zero client). Подробное описание сценариев применения ALTELL TRUST приведено в соответствующем разделе.
Сравнение с конкурентами
Традиционные аппаратно-программные модули доверенной загрузки (АПМДЗ), представленные на российском рынке, не обладают возможностями, необходимыми на современном этапе развития информационных систем. Например, в АПМДЗ отсутствуют функции мониторинга и удаленного управления парком ПК, не поддерживается многофакторная аутентификация на удаленных серверах, не применяются ролевая модель доступа и мандатный контроль доступа к информации, не гарантируется безопасность работы в виртуальных средах. ALTELL TRUST, напротив, изначально разрабатывался для решения этих задач. При этом использовались современные подходы к обеспечению доверенной загрузки, основанные на использовании технологий UEFI Trusted Boot с применением доработанных и расширенных функций, а также концепций NIST и Trusted Computing Group. В результате в ALTELL TRUST реализованы более мощные, чем у традиционных АПМДЗ, защитные механизмы, при одновременном снижении издержек на администрирование инфраструктуры информационной безопасности за счет централизации управления и сбора статистики.
Поддерживаемые устройства
Из-за реализации ALTELL TRUST на уровне UEFI BIOS собственной разработки его необходимо адаптировать к конкретным моделям защищаемых устройств. Благодаря сотрудничеству с ключевыми вендорами (Intel, AMD, Lenovo, Panasonic) процесс доработки ALTELL TRUST максимально стандартизирован и сжат по времени. Так как сертифицируется сам модуль доверенной загрузки, а не BIOS целиком, внесение изменений не влияет на наличие сертификатов.
В настоящее ALTELL TRUST поддерживает:
Сертификация
ALTELL TRUST сертифицирован во ФСТЭК России как средство доверенной загрузки уровня базовой системы ввода-вывода по второму классу защиты. Так как сертифицирован модуль доверенной загрузки, а не UEFI BIOS целиком, адаптация ALTELL TRUST к новым устройствам не будет отменять действие полученных сертификатов. В настоящее время ведутся работы по получению сертификата ФСБ.
Информационные материалы
Тестирование
Если вы заинтересовались возможностями ALTELL TRUST, наши специалисты могут провести его бесплатную демонстрацию.
Модуль доверенной загрузки предназначен для вычислительной техники, обрабатывающей секретную и конфиденциальную информацию (включая уровни «совершенно секретно» и КА1).
Благодаря работе с многопользовательскими группам с равными и разными уровнями полномочий и поддержке схем администрирования как с централизованным и так децентрализованным управлением, Максим-М1 является универсальным решением для использования в защищенных системах.
контролирует доступ при первоначальном запуске ПЭВМ, до перехода к ОС. Идентифицирует и аутентифицирует пользователя двухфакторным методом;
ведёт нестираемые журналы: проверки подлинности пользователей, контроля целостности. Сохранность данных гарантируется за счет энергонезависимой памяти;
проверяет в реальном времени срок действия пользовательских данных (ключи, служебная информация);
контролирует аппаратные и программные средства защищаемой системы (оперативную память, жёсткие диски, файловую систему и журналы ФС, реестр Windows);
защищает от подбора пароля.
Подходит для установки на АРМ администратора безопасности информации в информационные системы, работающие с коммерческой тайной, персональными данными, государственной тайной.
Можно применять на бездисковой рабочей станции для работы с секретной и конфиденциальной информацией на удалённом сервере.
Модуль совместим с основными клиентскими версиями Windows (2000/XP/Vista/7) и серверными (2003/2008), а также с системами на ядре Linux 2.6.x и 3.x.x и ОС СН Astra Linux.
Для установки и правильной работы модуля, аппаратное и программное обеспечение должно отвечать уровню требований по архитектуре, питающему напряжению, конфигурации платы, версии BIOS, установленным обновлениям, разъёмам питания. В процессе работы модуля в системе выставляются ограничения для оборудования и ПО. Полный список требований представлен в документации на АПМДЗ.
Пользователь модуля ДЗ (администратор) должен уметь работать в основных операционных системах, иметь опыт настройки ПЭВМ и внешнего оборудования, и администрирования автоматических систем на локальных компьютерах, серверах, рабочих станциях и тонких клиентах.