Назначение:

Построение сетей связи для передачи информации, составляющей Государственную тайну (гриф «секретно»и «совершенно секретно»), а также построение корпоративных сетей защищенного электронного документооборота, не составляющего государственную тайну (гриф «конфиденциально»). По принципу построения относится к системам наложенной защиты. В отличие от систем встроенной защиты, в которых компоненты защиты встраиваются в программно-аппаратные средства и являются их неотъемлемой частью, системы наложенной защиты предполагают сопряжение с программно-аппаратными средствами и сетями, создававшимися без учета возможности дополнения средствами криптографической защиты информации. Указанное обстоятельство выгодно отличает СКЗИ «ФОРТ» от аналогичных. Это позволяет гибко строить наложенные сетевые решения для организации защиты конфиденциальной информации в системах типа «Банк-Клиент» , а также создавать систему цифровой подписи(ЦП) в сетях электронной торговли, автоматизированной бухгалтерии и др.

Начальная информация для построения сетей связи на базе СКЗИ «ФОРТ»

Система криптографической защиты информации (СКЗИ) «ФОРТ» на базе сертифицированного ФАПСИ прибора «ПКЗИ-КС» (М-484) позволяет создавать сети засекреченной связи для передачи информации, составляющей государственную тайну (гриф «секретно»), а также передачи конфиденциальной информации.

СКЗИ «ФОРТ» по принципу построения относится к системам наложенной защиты. В отличие от систем встроенной защиты, в которых компоненты защиты встраиваются в программно-аппаратные средства и являются их неотъемлемой частью, системы наложенной защиты предполагают сопряжение с программно-аппаратными средствами, создававшимися без учета возможности их дополнения средствами криптографической защиты информации.

СКЗИ «ФОРТ» может быть применена в системах передачи данных в случае возможности включения приборов «ПКЗИ-КС» между аппаратурой обработки информации и аппаратурой передачи информации по асинхронному интерфейсу RS-232C с организацией передачи информации «точка — точка».

В случае включения приборов «ПКЗИ-КС» между модемом и средствами обработки информации при работе в дуплексном режиме по выделенной или коммутируемой линии, на смежную по отношению к прибору аппаратуру накладываются следующие минимальные ограничения:

при работе по коммутируемым каналам связи должны использоваться HAYES-команды из ограничительного списка;

модемы должны выбираться из списка модемов, проверенных и согласованных ФАПСИ, или согласовываться вновь с проведением ряда специальных проверок. При этом не налагается каких-либо других ограничений на аппаратуру обработки информации, что позволяет использовать практически весь парк существующих на сегодня типов IBM PC — совместимых компьютеров и, что особенно важно, использовать весь парк широко распространенных коммуникационных программ.

Cледует отдельно отметить, что так как СКЗИ «ФОРТ» реализует защиту цифровой информации, возможна и апробирована защищенная передача речевой информации (при применении, например, программ IP-телефонии). Такие виды встраивания приборов в системе требуют проведения дополнительных работ для учета сетевых особенностей выбранных Заказчиком технических решений. Предлагаемые в этом случае Заказчику решения по встраиванию приборов и построению сети засекреченной информации будут базироваться на применении, по возможности, уже существующих серийно выпускаемых программно-аппаратных средств сопряжения.

Принципиально возможно включение приборов в иной конфигурации построения систем передачи данных, но при этом для сопряжения с приборами «ПКЗИ-КС» необходимо обеспечить ряд условий:

доведение информации по каналам связи должно обеспечиваться за счет алгоритмов, реализуемых вне прибора » ПКЗИ-КС»;

после установления соединения между абонентами (на физическом уровне) должен быть обеспечен обмен служебной информацией между приборами » ПКЗИ-КС» для синхронизации работы абонентов по ключам шифрования, после чего весь поток информации между приборами засекречивается.

Одним из основных свойств, является несекретность прибора до момента его инициализации. После инициализации прибор становится несекретным после выключения его питания. Это даёт возможность обеспечивать необходимые режимные требования при работе с аппаратурой только в рабочее время.

Сам процесс инициализации сведён к ряду простейших действий, выполняемых по «подсказкам», отображаемым на индикаторе прибора, и заключающимся в установке операторами в прибор выданных им интеллектуальных карт и задании необходимых параметров с помощью стандартной клавиатуры ПЭВМ.

Следует отметить, что периодичность смены ключей в СКЗИ «ФОРТ» составляет полгода, что также существенно упрощает процесс эксплуатации системы. Непосредственно при эксплуатации СКЗИ «ФОРТ» Заказчик использует приписанные первоначально объектам и пользователям интеллектуальные карты, что и обеспечивает реализацию необходимой конфигурации ключевой сети.

В СКЗИ «ФОРТ» реализована система полнодоступной ключевой матрицы, обеспечивающей возможность связи абонентов «каждый с каждым».

Ограничения, которые необходимо учитывать при построении ключевой сети, связаны с ограниченным числом ключей, которые могут быть внесены на интеллектуальную карту и в память приборов. Заказчику оказывается содействие в построении ключевой сети для оптимального выбора количества приборов и распределения ключей с учетом реального графа связи между пользователями в системе.

При выборе количества приобретаемых приборов Заказчик должен учитывать требования по восстановлению засекреченной связи при отказе приборов. В случае особо ответственных сетей, где требуется непрерывная работа в условиях отказов аппаратуры, Заказчик должен вводить резервирование приборов в системе («горячий» или «холодный» резерв), а так же предусматривать ЗИП на объектах (одиночный или групповой) с учетом времени восстановления отказавшего прибора. Следует учесть, что введение резервирования и ЗИП также влияет на заказ ключевых документов, так как в служебных картах службы безопасности объектов указываются уникальные номера приборов, которые могут быть инициализированы службой безопасности на каждом из объектов. Перечень действий нарушителя, парируемых СКЗИ

Попытка получения несанкционированного доступа (НСД) к информации, операции;

Попытка модификации программного обеспечения терминалов АРМ системы, наносящих ущерб клиенту или системе;

Попытка корректировки (искажения) информации, хранящейся в файлах терминала или передаваемой по каналам связи;

Попытка выдачи себя за другого клиента путем похищения и использования его карты с целью использования его ресурса;

Попытка выдачи себя за другого оператора для снятия с себя ответственности или использования чужих, превосходящих полномочий.Попытка изменения своих полномочий или других операторов, в том числе попытка внесения «незаконных» операторов;

Повторная передача ранее сформированного штатным образом текста, приводящая к ущербу для клиента или системы (попытка навязывания);

Попытка отказа от факта передачи или получения информации, которая на самом деле была получена, ложные сведения о времени её получения. Ложное утверждение о передаче информации, которая на самом деле не передавалась;

Попытка подделки SMART-card с целью одновременного доступа в систему нескольких клиентов и незаконного получения ресурсов (дублёрами законного клиента);

Попытка несанкционированного получения конфиденциальных или служебных данных (криптографических ключей или паролей) методами анализа паразитных электромагнитных излучений;

Попытка несанкционированного получения конфиденциальных или служебных данных путем установки специальных программно-аппаратных устройств в средства системы.

Предполагается, что возможный нарушитель является специалистом высшей квалификации, т.е. знает все об информационной системе, о системе и средствах защиты и обладает всем объемом возможностей лиц, осуществляющих проектирование, эксплуатацию и ремонт технических средств, вплоть до включения в состав вычислительных средств собственных программных технических средств с новыми функциями по обработке информации.

Реализуемые функции: В абонентском режиме:

блокирование управления ЭВМ с клавиатуры до успешного завершения аутентификации пользователя;

аутентификация пользователя и разграничение доступа к ресурсам прибора всех категорий пользователей с использованием интеллектуальной карты и пароля;

шифрование, имитозащита информации с использованием криптоалгоритмов ГОСТ28147-89;

формирование/ проверка цифровой подписи данных, обрабатываемых и хранящихся в ПЭВМ, с использованием алгоритмов ГОСТ Р34.10-94, ГОСТ Р34.11-94, ГОСТ Р34.10-2000;

управление авторизованными заданиями из ЭВМ, вводом шифрограмм ключей на интеллектуальные карты пользователя.

В канальном режиме:

шифрование в режиме гаммирования (с обратной связью) по ГОСТ 28147-89 информации, передаваемой по коммутируемому или выделенному каналам;

прозрачность для взаимодействия ПЭВМ и модема и отсутствие ограничений на использование коммуникационного программного обеспечения.

Криптографический сервер:

шифрование в режиме гаммирования (с обратной связью) по ГОСТ 28147-89 информации, передаваемой по коммутируемому или выделенному каналам;

СКЗИ «ФОРТ» (ПКЗИ КС) прошла сертификационные испытания ФАПСИ. Заключение № 2/5/1-800 от 26.11.1999 г.

Основные технические характеристики

скорость работы в абонентском режиме шифрования	до 40 Кбит/с
скорость работы в канальном режиме шифрования	до 115,2 Кбит/с
время формирования/проверки цифровой подписи (массива длиной 1 Кбайт)	0,16 / 0,43 с
режим работы	полудуплекс
метод распределения ключей	иерархический
способ ввода ключей	с помощью российской интеллектуальной карты (РИК)
совместимость	коммутируемые и выделенные телефонные линии, каналы в сетях Х25/Frame Relay/IP
подключение	к компьютеру, HAYES-модему и внешнему Card Reader по асинхронному интерфейсу RS-232C
аппаратная реализация	синхронная спарка цифровых сигнальных процессоров TMS320C50 фирмы Texas Instruments и ПЛИС XC5206 фирмы XILINX
жидкокристаллический индикатор	4х20 символов
скорость работы в абонентском режиме шифрования	до 40 Кбит/с
встроенный Card Reader для чтения / записи РИК
электропитание	от однофазной сети переменного тока напряжением 220В(+10% — -15%) и частотой 50 Гц (2%)
исполнение	в прямоугольном настольном корпусе 200х200х60 мм
гарантийный срок эксплуатации	2 года

Варианты поставки приборов СКЗИ «ФОРТ»:

Основные функции	Модификация прибора
	ПКЗИ-МС	ПКЗИ-КМ	ПКЗИ-К	ПКЗИ-КС
Степень конфиденциальности информации, класс стойкости	«конфиденциально» класс «С»	«совершенно секретно» класс «КДС-2.03»	«конфиденциально» класс «С»	«секретно» класс «КДС-2.03»
Режим работы	абонентский канальный	канальный	канальный	канальный
Режим аутентификации	+	+	+	+
Формирование цифровой подписи	ГОСТ Р34.10-94, ГОСТ Р34.10-2000	—	—	—

Защита информации, передаваемой по спутниковым каналам связи

Санкт-Петербургским Региональным Центром Защиты информации (СПбРЦЗИ), специализирующимся на создании систем криптографической защиты информации, в феврале 2003 года были проведены комплексные испытания приборов М-484 (сертификат ФАПСИ регистрационный номер СФ20-0321 от 06.03.2000, по проверке возможности их применения для криптографической защиты информации при ее передаче по спутниковым каналам связи с использованием оборудования, предоставленного «ГлобалТел».

Особенностью построения приборов М-484 является их независимость работы от выбранных заказчиком средств передачи данных, что требовалось подтвердить для космических каналов, образуемых оборудованием «ГлобалТел».

Приборы М-484 подключаются по стандартному асинхронному интерфейсу RS-232c в разрыв между компьютером (или другими средствами обработки информации) и HAYES-модемом, обеспечивая криптографическую защиту информации на скоростях до 115 Кбитс.

При использовании данных приборов в каналах связи может передаваться информация с грифом секретности «конфиденциально», «секретно», «сов. секретно».Схемы испытаний приведены на рисунках:

Рис.1. Подключение двух объектов через космический канал

Рис.2. Подключение двух объектов через космический канал и телефонную сеть общего пользования

В качестве программного средства доведения на испытаниях использовалась стандартная телекоммуникационная программа NetMeeting.

В результате проведенных испытаний подтверждена полная совместимость оборудования, предоставленного компанией «ГлобалТел» (спутниковый модем Qualcomm GSP1620, автокомплект Qualcomm GCK1410 на базе мобильного терминала Qualcomm GSP1600), с приборами М-484.

Скорость и качество передачи данных в каналах связи определяется скоростью передачи спутникового канала и не изменяется при подключении приборов М-484. На испытаниях зафиксированы скорости передачи данных между абонентами от 2.0 до 8.4 Кбитс.