Обзор трёх систем безопасного хранения данных на сервере

Сегодня теме информационной безопасности компаний уделяется очень много внимания. Вирусные эпидемии, хакерские атаки, несанкционированный доступ к информации... Все эти опасности, а также методы защиты от них достаточно хорошо изучены, и в большинстве случаев не составляют особых проблем. Однако почему-то мало кто задумывается о том, что абсолютно надежных систем безопасности не бывает. Их не бывает даже в том случае, если не учитывать человеческий фактор, который зачастую становится самым "узким" местом любой защиты. Кроме того, нельзя забывать и о возможности физической кражи носителей с информацией. При этом похищение сервера корпоративной сети, на котором находится вся коммерческая информация компании, может иметь просто катастрофические последствия. Для того, чтобы этого не произошло, необходима "вторая линия обороны", которая способна защитить данные в различных неприятных ситуациях.

Из описания поставленной задачи видно, что справиться с ее решением можно только одним способом. Речь идет, конечно же, о надежном шифровании всей коммерческой информации фирмы. То есть нам нужно специальное решение, которое реализует криптографическую защиту данных, но при этом не осложняет работу с ним простых пользователей. Сегодня на рынке присутствует несколько продуктов такого класса. И сейчас мы попробуем проанализировать функциональные возможности некоторых из них.

Для начала давайте хотя бы кратко опишем продукты, которые будем сравнивать. Первый из них называется Zserver. Это разработка одного из лидеров российского рынка информационной безопасности - компании SecurIT. Данная программа постоянно развивается и совершенствуется. Так, например, последняя, 4 версия с новыми интересными функциями появилась 26 октября прошлого года. Вторым продуктом, участвующим в нашем анализе будет утилита StrongDisk Server, разработанная специалистами известной компании "Физтех-софт". Последняя ее версия с номером 3.5 была выпущена 15 ноября 2004 года. Ну и, наконец, третьим, последним продуктом в нашем обзоре будет разработка "КриптоСейф" от компании "ЛАН Крипто", известной своими разработками в области криптографии, в частности, собственными алгоритмами шифрования данных.

Принцип работы всех перечисленных систем защиты информации одинаков. На сервере корпоративной сети создаются специальные хранилища, в которых вся информация записывается в зашифрованном виде. В будущем, они могут подключаться к системе в качестве виртуальных дисков. В этом случае во время чтения с них данных последние будут автоматически декодироваться в памяти, а при записи, наоборот, шифроваться. Таким образом, речь идет о реализации принципа прозрачного криптопреобразования. Его суть заключается в том, что данные всегда хранятся на физическом носителе только в зашифрованном виде, но при этом пользователь может работать с ними точно так же, как и с любой другой информацией.

Для того чтобы продолжать сравнение нужно сразу разобраться с принципом работы рассматриваемых продуктов. Сделаем мы это на примере одного из них - программы Zserver.

Пример реализации криптографической защиты данных на сервере

Итак, для подробного описания принципа криптографической защиты информации на сервере мы выбрали продукт Zserver. Причины этого очень просты: на сегодняшний день этот программно-аппаратный комплекс представляет собой одну из наиболее передовых разработок с некоторыми уникальными функциями, больше нигде не реализованными. Причем цена Zserver отнюдь не заоблачная. Более того, она даже меньше стоимости некоторых своих конкурентов.

Программная часть комплекса Zserver состоит из трех модулей. Первый из них устанавливается прямо на сервер сети, на котором хранится конфиденциальная информация. Именно в нем реализованы блок шифрования данных "на лету" и блок управления ключами шифрования. Второй модуль предназначен для управления системой защиты. Он отвечает за генерацию ключей шифрования и загрузку их на сервер, аутентификацию администратора, все операции с дисками и пользователями и может быть установлен на любом компьютере сети.

Добавление нового пользователя в Zserver

Последний модуль, входящий в комплекс Zserver, необходим для подачи сигнала "тревога", о котором будет рассказано ниже.

Хранилищем конфиденциальной информации в программе Zserver является указанный администратором раздел жесткого диска. Обычно он вообще не виден в операционной системе, которая считает его просто неразмеченным пространством. После же подключения этот диск "проявляется" вместе со всеми размещенными на нем данными. При этом он становится "обычным" логическим разделом, к которому можно применять все стандартные средства операционной системы, например, разделение прав доступа пользователей. Первоначальная настройка Zserver выглядит так.

Администратор безопасности должен запустить на своем компьютере специальный модуль, консоль управления, и установить по локальной сети соединение с сервером. Стоит отметить, что это соединение и взаимная аутентификация защищены с помощью модифицированного алгоритма Diffie-Hellman. Далее администратору необходимо сгенерировать ключ шифрования. Этот процесс осуществляется путем хаотичного движения мышью, из которого программа "извлекает" случайные числа. Именно с их помощью и создается ключ шифрования. Далее его нужно записать в память смарт-карты или USB-токена, защищенную PIN-кодом. Там этот ключ и будет храниться всегда. Таким образом, он будет недоступен для злоумышленников даже в том случае, если устройство попадет к ним в руки. Ведь для доступа к защищенной памяти необходимо точно знать правильный PIN-код, подобрать который невозможно. Конечно, существует вероятность передачи ключевой информации злоумышленникам сотрудником, имеющим к ней доступ. Однако нельзя забывать, что право подключать зашифрованные диски должны получать только ответственные за информационную безопасность компании лица или руководители. Ну а если среди них есть нелояльно настроенный человек, то данные не спасет ни одна защита.

Следующий шаг - загрузка ключа шифрования из памяти смарт-карты в оперативную память сервера. Только после этого можно приступать непосредственно к шифрованию выбранного логического раздела. Этот процесс может затянуться надолго. И для того чтобы пользователи не "простаивали" в это время, в программе Zserver он реализован в фоновом режиме. То есть во время шифрования информация, размещенная на диске, остается доступной. Это позволяет ни на секунду не останавливать работу офиса компании.

На этом настройку системы защиты можно считать завершенной. Эксплуатация системы осуществляется следующим образом. Для того чтобы подключить защищенный диск администратор безопасности должен запустить на своем компьютере консоль управления, подключить смарт-карту или USB-токен и, введя правильный PIN-код, загрузить ключ шифрования в память сервера. После этого раздел "появляется" в операционной системе. Но это только внешняя сторона процесса. На самом деле специальная служба, получив правильный ключ шифрования, начинает расшифровывать данные, представляя их в обычном для операционной системы виде. USB-токен офицер безопасности после завершения работы с закрытым диском может отключить от своего компьютера. При этом последний все равно останется открытым до тех пор, пока в оперативной памяти сервера размещается ключ шифрования. То есть диск "пропадет" в случае перезагрузки сервера, подачи сигнала "тревога" или соответствующей команды ответственного сотрудника при подключенном к его ПК токене.

Впрочем, не всегда подключение диска осуществляется так просто. В программе Zserver реализована уникальная функция кворума ключей. Суть ее заключается в разделении ключа шифрования на определенное число (m) частей, каждая из которых хранится в смарт-карте или USB-токене какого-то одного доверенного сотрудников. Для открытия диска необходимо, чтобы в память сервера поочередно были загружены несколько (n) частей ключа, причем n может быть меньше или равно m. Такой подход позволяет с одной стороны достигнуть большой гибкости, а с другой стороны, существенно уменьшить влияние человеческого фактора на надежность всей системы.

Для того чтобы информация, размещенная на защищенном диске, стала доступна сотрудникам компании, необходимо "расшарить" папки. Управление правами осуществляется средствами операционной системы на базе имен пользователей, хранящихся в Active Directory. При этом никаких изменений на остальных компьютерах, входящих в состав локальной сети, производить не требуется. Пользователи точно так же, как и всегда, будут входить под своими именами согласно реализованной в компании политике безопасности. Правда, стоит отметить один момент. Дело в том, что внедрение системы Zserver снизит производительность работы сервера на 10-15% в зависимости от его конфигурации и выбранного алгоритма шифрования. Кроме того, при выполнении некоторые операций (начальное шифрование или перешифрование диска) это падение может быть еще более значительным. Данный момент необходимо учитывать при вводе защиты в эксплуатацию.

При желании администратор может включить функцию защиты сетевых ресурсов. Она необходима для обеспечения безопасности данных от несанкционированного доступа в процессе работы системы. После включения режима защиты сетевых ресурсов все операции с папками общего доступа можно производить только через консоль управления Zserver. Попытки что-либо сделать с помощью стандартного интерфейса администрирования Windows будут заблокированы. В простейшем случае использования данной функции можно вообще отключить доступ по сети к файлам и папкам, расположенным на зашифрованном разделе в случае, если, например, файлы используются для работы серверов приложений.

В процессе работы компании возможны различные исключительные ситуации, при возникновении которых необходимо экстренное закрытие открытых в данный момент защищенных дисков. Осуществляется данная процедура путем подачи на сервер сигнала "тревога". Сделать это можно несколькими способами. Например, подать такой сигнал прямо со своих компьютеров путем нажатия на специально заданную для этого "горячую" комбинацию клавиш могут пользователи, которым администратор безопасности дал такое право.

Другой вариант - использование специального устройства, кнопки, поставляемой в комплекте Zserver. Нажатие на нее, например, при попытке нападения на офис, приведет либо к перезагрузке, либо просто к отключению открытых контейнеров (зависит от настроек). Правда, при этом нужно учитывать, что документы, с которыми работали пользователи на своих рабочих местах, окажутся беззащитными. Более того, в некоторых случаях, например, если отключение диска произошло прямо в процессе записи информации кем-то из сотрудников, часть ее может оказаться испорченной. Фактически, это будет равносильно принудительному прерыванию всех удаленных соединений с простым сервером прямо в процессе работы пользователей.

Причем в системе реализована возможность "привязать" к этому сигналу любые скрипты, написанные на языках Jscript или VBscript. Таким образом можно реализовать, например, подмену настоящего зашифрованного диска на специально подготовленный раздел с ложной информацией. А вообще, для подачи сигнала "тревога" достаточно замкнуть RX и TX контакты com-порта сервера. То есть, при желании, можно включить управление дисками прямо в систему физической безопасности офиса. В этом случае сигнал "тревога" будет подаваться автоматически при срабатывании охранной сигнализации, "несанкционированном" открывании окон или дверей и т.п.

Еще одним способом защиты от несанкционированного доступа к информации является вход под принуждением. Суть его заключается в том, что под угрозой насилия или в случае шантажа сотрудник компании может отдать свою смарт-карту злоумышленникам и сказать им настоящий PIN-код, но наоборот, то есть справа налево. При его вводе система "поймет", что данные находятся под угрозой, сотрет из памяти токена все ключи шифрования и выдаст ошибку. Правда, стоит отметить, что эта функция реализована исключительно средствами Zserver. То есть если злоумышленники попытаются воспользоваться смарт-картой на компьютере, на котором не установлена консоль управления, то они просто получат сообщение о неправильном вводе PIN-кода.

Нельзя забывать и о том, что токен, в котором хранится ключ шифрования, может выйти из строя или быть утерянным ответственным сотрудником. В этих случаях расшифровать защищенный диск будет уже невозможно, то есть вся информация окажется безвозвратно утерянной. Во избежание этой опасности в системе Zserver реализована возможность копирования ключей шифрования с одного защищенного носителя на другой. Тем более что в комплект поставки комплекса входит сразу два токена. То есть администратор безопасности может записать на них одинаковые ключи шифрования и отдать второй экземпляр другому ответственному сотруднику, положить его в сейф компании или передать на хранение в банк.

Помимо описанной опасности потеря токена с ключом шифрования ничем не грозит. Ведь если даже он попадет в руки злоумышленников, то последние все равно не смогут получить доступ к его памяти: подобрать PIN-код невозможно. Смарт-карта предоставляет пользователю четыре, а USB-токен - всего лишь 3 попытки ввода. И если он не угадает правильную строку (что просто-напросто невозможно), то доступ к носителю будет полностью заблокирован.

Ну и напоследок стоит отметить, что система защита информации от несанкционированного доступа не обеспечивает ее безопасности от случайного или намеренного уничтожения или порчи. Поэтому в любом случае на корпоративном сервере должна работать система резервного копирования данных. При этом наличие комплекса Zserver никак не мешает последней. Единственное условие, которое необходимо выполнять - запускать процесс создания резервной копии только тогда, когда защищенный диск открыт. При этом надо помнить, что данные будут копироваться в расшифрованном виде. Для их защиты рекомендуется использовать специальное ПО, например, систему Zbackup от той же компании SecurIT.

Сравнение продуктов

Все криптографические продукты всегда начинают сравнивать с реализованных в них алгоритмов шифрования. Zserver и StrongDisk Server в этом плане, в общем-то, похожи. Их разработчики "обучили" свои детища сразу нескольким криптографическим технологиям, в том числе, и алгоритму AES - национальному стандарту США, который де-факто стал современным мировым стандартом. В обоих продуктах пользователи могут для преобразования исходных данных использовать ключи длиной до 256 бит, а этого более чем достаточно для современного уровня развития вычислительной техники. Кстати, в дополнение к уже реализованным алгоритмам шифрования эти программы позволяют подключать внешние модули, содержащие другие криптографические технологии. Так, например, вместе с Zserver можно использовать модуль эмуляции платы "Криптон", реализующий российский национальный стандарт.

Выбор криптографического алгоритма в StrongDisk Server

Разработка "КриптоСейф" существенно отличается от своих конкурентов. Как мы уже говорили, компания "ЛАН Крипто" известна своими собственными алгоритмами шифрования, которые и использовались в данной разработке. Правда, хорошо это или плохо - вопрос спорный. Дело в том, что авторитетные специалисты в области криптографии не рекомендуют пользоваться программами с собственными алгоритмами шифрования. Все-таки общеизвестные технологии, многократно проверенные всеми лабораториями, в подавляющем большинстве случаев оказываются надежнее. И в случае с "КриптоСейфом" это подтвердилось. С одной стороны, алгоритм, реализованный в этой программе, имеет сертификат и, по утверждениям разработчиков, принят в качестве отраслевого стандарта. Однако, с другой стороны, во время одного из конкурсов криптографических технологий он не смог пройти проверку по линейному криптоанализу. Поэтому говорить о безопасности данных, зашифрованных этим алгоритмом, не приходится.

Второй параметр, по которому следует оценивать надежность криптографических систем - это используемые для хранения ключей шифрования средства. В большинстве случаев гораздо проще украсть ключевую информацию, нежели мучаться с расшифровкой данных. Именно поэтому очень важно надежное хранение ключей шифрования. В программе Zserver для этого могут использоваться любые носители информации. Правда разработчики настоятельно рекомендуют использовать только мобильные носители с защитой PIN-кодом. Кстати, именно поэтому в комплект поставки продукта входит устройство для чтения смарт-карт и две микропроцессорные карты с защищенной памятью. Это обеспечивает действительно надежное хранение ключей шифрования.

Выбор способа хранения ключевой информации в StrongDisk Server

В программе StrongDisk Server используется несколько иной подход. В этом продукте ключ хранится вместе с самой защищенной информацией, но в зашифрованном виде. Причем пользователь может самостоятельно выбрать данные, необходимые для его декодирования. Доступны такие варианты как обычный пароль, файл-ключ, код на съемном носителе или биометрическое устройство. И если последние два способа удовлетворяют современным представлениям о надежном хранении данных, то вот первые нет. Более того, использование пароля - явная угроза безопасности всей зашифрованной информации. Все-таки многие пользователи, сколько их не учи, все равно применяют очень слабые ключевые слова, которые легко подбираются полным перебором или перебором по словарю. А руководство компаний частенько старается минимизировать задачи, так что дополнительные устройства к приобретенной системе защиты покупаются далеко не всегда. Примерно то же самое можно сказать и о программе "КриптоСейф". В ней тоже разрешено хранение ключей прямо на жестком диске компьютера.

Идем дальше. Следующим важным моментом является способ генерации ключей шифрования. Многие пользователи не обращают внимания на эту характеристику особого внимания. И совершенно напрасно. В мировой практике известны случаи, когда слабо реализованный генератор случайных чисел, используемый для создания ключей шифрования, послужил причиной для взлома вроде бы надежно закрытой с помощью качественного алгоритма шифрования информации. Именно поэтому во многих современных продуктах стали реализовывать другой подход. Ключ шифрования в них генерирует сам пользователь, беспорядочно нажимая на клавиши клавиатуры или двигая мышь по столу. Такой способ практически полностью исключает "быстрый подбор" ключей шифрования. Именно он и реализован в программах Zserver и "КриптоСейф". В системе StrongDisk Server для генерации ключей шифрования применяется встроенный генератор случайных чисел.

Запуск процесса генерации ключа шифрования в Zserver

Кстати, отличаются рассматриваемые программы и хранилищами, которые используются для записи информации и организации виртуальных дисков. Обычно для этого применяются отдельные файлы-контейнеры. Такой подход реализован в продукте "КриптоСейф". Разработчики же системы Zserver пошли по другому пути. В их детище в качестве хранилища информации используется отдельный раздел на жестком диске, воспринимаемый операционной системой просто как неразбитое пространство. Ну а StrongDisk Server позволяет пользователям применять оба способа.

Подключение защищенного контейнера в StrongDisk Server

У варианта с файлами-контейнерами есть одно преимущество - это мобильность. То есть файл с данными можно легко скопировать на любой носитель и присоединить его к другому ПК, на котором установлено соответствующее ПО. Недостаток же такого подхода заключается в уязвимости контейнера. Вирусная атака, неосторожные действия хакеров или самих пользователей могут привести к удалению или порче этого файла. При этом вся информация, содержащаяся в нем, будет утеряна. Кроме того, при большом количестве одновременно подключенных пользователей работа с файлом-контейнером очень сильно замедляется. Второй же вариант, наоборот, полностью лишен мобильности, но зато никакие программы, использующие стандартные функции ОС, не смогут повредить хранилищу. Кроме того, не будем забывать, что речь идет о серверных утилитах, которые призваны защищать важную документацию компании. И мобильность в данном случае превращается во вред. Так что подход, реализованный в Zserver, представляется более практичным. Тем более что простой перенос информации можно обеспечить путем создания хранилищ на съемных носителях.

Ну а теперь давайте поговорим о дополнительных функциях рассмотренных сегодня утилит. Первая из них, Zserver, обладает достаточно широкими возможностями. Во-первых, в этом продукте реализован открытый интерфейс для подключения различных устройств, с которых может подаваться сигнал тревоги - "красных кнопок", радио-брелков, датчиков и устройств контроля доступа в помещение. Более того, одно такое устройство даже входит в комплект поставки. Эта функция необходима в том случае, если в помещение ворвались злоумышленники, желая силой завладеть информацией. Активация режима тревоги приведет к блокировке всех закрытых данных, либо к перезагрузке сервера (в зависимости от текущих настроек). Вторая дополнительная возможность программы Zserver - ведение полного журнала всех действий администратора (действия с ключами шифрования, открытие и закрытие дисков, и т.д.). Эти логи могут оказать неоценимую помощью в случае каких-нибудь инцидентов с коммерческой информацией. С их помощью можно легко увидеть, есть ли в действиях ответственного сотрудника что-то такое, что могло стать причиной утечки данных.

Настройка системы защиты информации Zserver

Третьей дополнительной функцией является так называемый кворум ключей. Это уникальная возможность, присутствующая только в продукте Zserver. Суть ее заключается в следующем. Ключ, необходимый для подключения хранилища, делится на несколько, например, на 3 части, каждую из которых получает один из доверенных сотрудников компании. Причем для расшифровки данных нужны не все, а только определенное количество частей, допустим, любые 2. Такой подход позволяет существенно снизить риск утечки данных. Ведь теперь злоумышленникам необходимо будет заполучить не один, а два ключа. Да и работа компании при этом не зависит от одного человека, единолично владеющего необходимым для подключения дисков доступом.

Еще одной интересной возможностью Zserver является "атомарная" реализация шифрования данных. Это значит, что весь процесс кодирования представлен в виде множества отдельных транзакций. Такой подход позволяет избежать потери данных в различных непредвиденных ситуациях. То есть в любой момент операция шифрования может быть прервана или возвращена в начальное состояние, даже в случае неожиданной перегрузки сервера и отключения электропитания.

Запуск шифрованного форматирования диска в Zserver

Помимо этого в программе Zserver реализовано еще немало интересных и полезных функций: поддержка нескольких виртуальных дисков, возможность разграничения прав доступа, интеграция системы с различными приложениями путем выполнения JScript или VBScript сценариев, удобное перешифрование данных и много, многое другое.

Консоль управления системой защиты информации Zserver

В программе StrongDisk Server также есть немало дополнительных возможностей. Во-первых, в ней реализованы "красная кнопка" и ведение лога обращений к защищенной информации. Во-вторых, у StrongDisk Server есть функция резервного копирования данных, которая призвана исправить недостатки использования файлов-контейнеров. Третьим решением (надо признать, очень интересным) являются так называемые ложные диски. То есть пользователь может "под давлением" выдать злоумышленникам специальный ключ, с которым они увидят не настоящие данные, а какую-то другую информацию. Кроме того, в программе StrongDisk Server реализовано несколько функций, предотвращающих утечку уже удаленной информации. Ведь ни для кого не секрет, что уничтоженные с помощью стандартных средств операционной системы данные на самом деле остаются на жестком диске. Дополнительно можно упомянуть о возможности очистки файла подкачки и временных файлов ОС, в которых теоретически может остаться какая-то важная информация.

Еще одной достойной упоминания функцией StrongDisk Server является защита информации, передаваемой между сервером и компьютером конечного пользователя. Достигается это путем установки между ними защищенного соединения (происходит автоматически) наподобие технологии VPN, а также передачей данных в зашифрованном виде. В этом случае на компьютерах конечных пользователей требуется инсталляция специального клиента. Таким образом, компания, на чьем сервере установлена система StrongDisk Server, оказывается защищенной от сниффинга важной информации из корпоративной сети.

Наименьшим набором дополнительных возможностей обладает программа "КриптоСейф". В ней реализованы "красная кнопка", которая может "нажиматься" только с компьютера, зависимые сервисы (автоматический запуск определенных сервисов при подключении контейнеров) и автоматическое отключение контейнеров при длительном простое.

Публикации по теме

30 декабря 2013 Стремительная эволюция систем Endpoint Security Решения для защиты конечных точек появились на рынке не так давно, фактически после начала массового развертывания в компаниях локальных сетей. Прообразом этих продуктов послужил обычный антивирус для защиты персонального компьютера.
25 февраля 2011 Утечка информации в 2010 году. Google Утечка данных о бюджетах пользователей сервиса контекстной рекламы Google AdWords стала одной из самых интересных в прошедшем году.
24 февраля 2011 Утечка информации в 2010 году. Facebook Еще одна крупная утечка в 2010 году связана с самой популярной в мире социальной сетью Facebook, аудитория которой превышает 500 млн зарегистрированных пользователей по всему миру.
18 февраля 2011 | PGP Corporation Юридическая сила электронной подписи Использование систем электронного документооборота с применением ЭЦП существенно ускоряет проведение многочисленных коммерческих операций, сокращает объемы бумажной бухгалтерской документации, экономит время сотрудников и расходы предприятия, связанные с заключением договоров, оформлением платежных документов, предоставлением отчетности в контролирующие органы, получением справок от различных госучреждений и прочим.
15 февраля 2011 | WatchGuard Самые опасные Web-сервисы и приложения 2011 года Согласно данным экспертов по информационной безопасности компании WatchGuard Technologies, наиболее быстро растущей угрозой для корпоративных сетей являются Web-сервисы и приложения, распространяемые через социальные сети.