Продолжается подписка на наши издания! Вы не забыли подписаться?

Фирма “ЛАН Крипто”

СОВРЕМЕННЫЕ ОФИСНЫЕ ТЕХНОЛОГИИ И
ЗАЩИТА ИНФОРМАЦИИ


В настоящее время нет необходимости объяснять преимущества внедрения безбумажного документооборота и современных технологий управления предприятием. Информационные технологии сегодня обеспечивают оперативность принятия решений, наглядность предоставления отчетов, повышение эффективности проведения в жизнь принятых решений и многое другое. Наиболее часто встречающимся аргументом против перехода к безбумажному документообороту является потенциальная незащищенность компьютерной информационной системы от постороннего воздействия.

Фирма “ЛАН Крипто” единственная в России, которая занимается не только производством средств зашиты информации, но и разработкой самих алгоритмов защиты. Фирма получила высокую оценку со стороны специалистов по защите информации, сотрудники фирмы приглашены в качестве экспертов по оценке работ, представленных на конкурс, по разработке перспективного стандарта защиты информации США. Вот как видят использование современных средств защиты информации в офисных системах сотрудники этой фирмы.

От кого защищают средства защиты информации

Рассматривая факторы, влияющие на целостность данных в компьютерной информационной системе, выделяют две группы угроз — отказ программного или аппаратного обеспечения и действия злоумышленников или обслуживающего персонала.

С воздействием первой группы факторов борются как путем использования отказоустойчивых решений, так и путем использования специальных технологий (резервирование, дублирование и так далее) эксплуатации.

Вторая группа факторов сопряжена с воздействием на информационную систему человека — злоумышленника или законного пользователя.

Как показывают исследования, наиболее опасным фактором, влияющим на сохранность информации в компьютерной системе, являются действия злоумышленника из числа пользователей данной системы, далее следуют ошибки пользователей и действия посторонних злоумышленников.

Для обеспечения защиты от несанкционированного доступа (НСД) к информации, а также ее случайного или преднамеренного искажения применяют специальные средства и технологии, называемые средствами защиты информации.

Цифровой конверт

Политика, проводимая руководством организации в отношении сохранения коммерческой тайны, определяет, с одной стороны, уровень осведомленности того или иного сотрудника, а также возможность его ознакомления с конкретными документами, а с другой — возможность ознакомления третьих лиц с деловой перепиской и делопроизводством фирмы.

Для решения подобной задачи обычно используются средства защиты информации от НСД или средства кодирования (цифровые конверты). Не погружаясь глубоко в технические подробности, опишем это средство и технологии его применения.

Вырабатывается уникальное число-ключ (подбор которого перебором в силу большого количества вариантов занял на самой производительной вычислительной технике более сотни лет). Помещение документа в цифровой конверт осуществляется путем обработки его специальной программой, на вход которой подаются как сам документ, так и число-ключ. Извлечь документ из конверта возможно только при знании числа-ключа. В дальнейшем технология использования цифрового конверта определяется технологией управления данными числами-ключами. Наиболее популярные способы управления ключами предлагает в своих решениях фирма “ЛАН Крипто”— это способ многоключевого доступа и способ открытого распределения ключей.

Первый заключается в том, что документы в цифровые конверты первоначально помещает администратор системы, он же генерирует числа ключи. Далее на основе промежуточных чисел-ключей, созданных пользователями системы, и чисел-ключей к конвертам формируются числа-ключи доступа для каждого пользователя. При этом с помощью своего числа-ключа доступа пользователь может извлечь из цифрового конверта те и только те документы, которые ему первоначально разрешил извлекать администратор, в дальнейшем, при создании новых документов, пользователь может сам разрешать или ограничивать к ним доступ других пользователей. В ходе эксплуатации системы может осуществляться полное ее администрирование — изменение полномочий пользователей, смена паролей, добавление и удаление пользователей и так далее, при этом полной перенастройки системы не требуется.

Открытое распределение ключей на сегодняшний день — это наиболее перспективный способ управления числами-ключами, по которому развиваются практически все системы защиты информации в мире. Он заключается в том, что два пользователя независимо генерируют личные числа-ключи, на их основе вырабатывают так называемые открытые ключи, которыми обмениваются. Далее каждый из абонентов сети на основе своего личного числа-ключа и открытого ключа партнера вырабатывает число-ключ, с помощью которого помещает подготовленный для отправки документ в цифровой конверт. Получатель на основе теперь уже своего личного числа-ключа и открытого ключа отправителя изготавливает число-ключ, с помощью которого извлекает из цифрового конверта документ. Таким образом, по каналу связи документ проходит в конверте и его содержание не доступно посторонним.

Технология цифрового конверта в совокупности с технологиями управления числами-ключами обеспечивает защиту информации как при ее хранении и обработке, так и при ее передаче.

При этом обратим внимание на следующее достоинство технологии цифрового конверта — при принудительном изъятии или при хищении носителей информации восстановить ее без знания числа-ключа невозможно. При этом можно организовать технологию эксплуатации информационной системы так, что удаление числа-ключа или его смена будет происходить автоматически при попытке извлечь данные из системы. В то же время законный владелец системы всегда имеет возможность получить к ней доступ, введя число-ключ с резервного носителя, которым может быть, например, простая дискета. Данный механизм реализован в популярной системе “Ортис” фирмы “ЛАН Крипто”, более того, в данной системе (в зависимости от конфигурации) возможно организовывать хранение защищенных данных на съемных жестких дисках.

Не менее широко используется технология цифрового конверта и при передаче данных. Она составляет основу системы “Криптобанк”, которую с 1991 года поставляет на рынок фирма “ЛАН Крипто”, пакет программ “Криптобанк” встроен в наиболее популярные системы “Клиент-Банк”, использование которых позволяет существенно ускорить и упростить процедуру осуществления платежей. Достоинства электронных платежей оценили как работники бухгалтерий — прекратилось стояние с платежками в очередях и бесконечные поездки в банк, так и банки, которые существенно сократили время на прием платежа и расходы на содержание сотрудников, принимающих платежи.

Цифровая подпись

Наряду с проблемой защиты информации очень остро стоит вопрос персональной ответственности за изготовление документа. Если в бумажном документообороте возможны процедуры визирования, согласования — иным словом, подписи, то же необходимо и для документа электронного. При этом процедура электронного подписывания должна быть аналогична процедуре проставления подписи на документе бумажном.

Подобная технология была создана в начале 80-х, но широкое распространение получила только в 90-х. Данная технология получила название электронной цифровой подписи (ЭЦП).

Суть электронной подписи заключается в использовании специального алгоритма генерации подписи и проверки подписи. Пользователь генерируют личное число-ключ, называемое ключом подписи, и число, с ним связанное и называемое ключом проверки. Личное число-ключ пользователь хранит в секрете, а ключ проверки рассылает всем своим корреспондентам. Для проставления подписи существует специальная программа, которая на основе поданного на вход документа и ключа подписи формирует еще одно число, называемое подписью. Специальная программа, называемая программой проверки, на вход которой подается ключ проверки, документ и число — подпись, определяет была ли подпись для данного документа сформирована с помощью ключа подписи, соответствующего ключу проверки. Тем самым выясняется, является ли владелец ключа подписи автором данного документа.

В настоящее время существует два основных направления коммерческого использования электронной подписи.

Первое направление связано с использованием ЭЦП во внутрикорпоративных системах. Второе — при заключении сделок или осуществление платежей между различными организациями или лицами.

Во внутрикорпоративных системах ЭЦП служит для установления автора документа, а также для визирования документа при его движении по инстанциям. При этом на конечном этапе электронная копия документа содержит все подписи, на нее поставленные, и в таком виде хранится в архиве. При этом по необходимости может быть сформирована бумажная копия, на которой уже стоит только то число подписей, которое необходимо. Использование ЭЦП в схеме электронного документооборота повышает личную ответственность сотрудника, подготовившего данный документ, так как документ заверен его подписью и отказаться от его авторства невозможно.

В случае использования ЭЦП при платежах, заключении договоров и так далее необходима, кроме всего прочего, юридическая поддержка технологии ЭЦП, а именно — установленное законом равноправие электронной подписи и подписи обычной.

Для успешного продвижения на рынок первой отечественной системы электронной подписи “Нотариус”, специалисты фирмы “ЛАН Крипто” в сотрудничестве с юристами компании “Межбанковский финансовый дом” в начале 90-х разработали пакет документов, который в рамках действующего тогда законодательства позволял использовать электронную подпись наравне с обычной. Сегодня, когда понятие электронной подписи закреплено в Гражданском Кодексе РФ, ситуация упростилась, хотя до сих пор для использования ЭЦП в отношениях между юридическими лицами следует заключать ряд дополнительных соглашений.

На сегодняшний день система “Нотариус” является наиболее популярной программой ЭЦП, проданной десятки тысяч экземпляров системы, она используется как самостоятельно, так и в составе системы “Криптобанк”.

При внутрикорпоративном использовании основную роль ЭЦП играет в технологиях автоматизации финансовой деятельности предприятия. Здесь используется возможность с помощью ЭЦП однозначно определять автора электронного документа и тем самым возлагать на него персональную ответственность за содержание документа.

При использовании в отношениях между предприятиями ЭЦП позволяет существенно ускорить процедуру подготовки финального документа при многоступенчатом процессе согласования, дает возможность осуществлять электронные платежи, заключать договоры без проведения личных встреч.

Выбор средств защиты

Естественным для пользователя является желание, чтобы автоматизированные офисные технологии были просты в использовании. Поэтому разумно основную часть усилий по внедрению средств защиты переложить либо на автора самой автоматизированной системы, либо на разработчика средств защиты.

При этом абсолютно естественным является желание в дальнейшем проводить администрирование и использовать средства защиты самостоятельно, без обращения в какие либо организации.

Эти желания клиента порождают требования, которые с необходимостью предъявляются к системам защиты информации.

Юридическая поддержка использования

Пользователь должен иметь возможность легально использовать систему защиты информации.

Технологичность

Средства защиты информации должны администрироваться и управляться так, как это удобно заказчику, и полностью находиться под его контролем. Недопустимо проведение контроля за использованием средств защиты информации со стороны каких-либо органов или организаций.

Переносимость

Средства защиты информации должны быть переносимы с одной операционной платформы на другую без дополнительных модификаций.

Модифицируемость и масштабируемость

Должна существовать возможность замены отдельных частей системы защиты информации (алгоритмы цифрового конверта и ЭЦП, особенности реализации и так далее) и расширение системы защиты на большее число пользователей.

Доступность для анализа

Надежность защиты должна обеспечиваться надежностью алгоритмов, а не их недоступностью для анализа.

Совместимость с аналогами

Если существуют популярные решения по защите информации, Ваша система должна их поддерживать.

Ниже описывается, как на сегодняшний день подобные проблемы решила фирма “ЛАН Крипто”.

Юридическая поддержка использования

Как уже упоминалось выше, в начале 90-х был разработан пакет юридических документов, делающих использование системы ЭЦП “Нотариус” легитимным. На сегодняшний день данный пакет, в переработанном виде, предоставляется всем заинтересованным лицам. Фирма имеет лицензию Гостехкомиссии РФ на ведение деятельности в области защиты информации и осуществляет полную юридическую поддержку технических решений.

Технологичность

Технология использования средств защиты “ЛАН Крипто” такова, что заказчик получает в свои руки все средства генерации и распределения ключей, а также удаления и подключения к системе новых пользователей. Системы, установленные в 1991 году, до сих пор эксплуатируются без вмешательства специалистов фирмы. Все системы поставляются как в виде готовых программ, так и в виде библиотек разработчиков. В отдельных случаях поставляются исходные тексты.

Переносимость

Сегодня для основных версия цифрового конверта и цифровой подписи создана универсальная библиотека разработчика под операционные системы DOS, Windows 3.11/98/98/NT, UNIX SCO, LINUX, SOLIARIS, OS/2, OS400 (for AS/400), VMS. Все программные продукты фирмы созданы с помощью этой библиотеки и совместимы между собой. Вариант для Windows 95/98/NT поддерживает технологию Microsoft cryptoprovider.

Модифицируемость и масштабируемость

На настоящий момент система практически не ограничена по числу рабочих мест, разработчик или пользователь имеет возможность использовать по желанию до 15 алгоритмов ццифрового конверта и 7 вариантов ЭЦП.

Доступность для анализа

Фирма “ЛАН Крипто” бесплатно предоставляет полное описание реализуемых алгоритмов и передает клиентам тестовые примеры.

Совместимость с аналогами

Алгоритмы, реализованные в разработках фирмы, совместимы с Американскими стандартами защиты информации, проектом стандарта Японии, Паневропейскими проектами стандартов, стандартами РФ.

Президент “ЛАН Крипто”
А. Н. Лебедев


Copyright © 1994-2016 ООО "К-Пресс"