Роль аутентификации в защите документооборота

Алексей Сабанов

Коммерческий директор ЗАО «Аладдин Р.Д.», кандидат технический наук

1. При создании систем корпоративного документооборота и особенно в случае систем, обеспечивающих обмен документами между организациями (как правило, по открытым каналам связи, чаще всего с использованием Интернет) вопрос об информационной безопасности становится особенно актуальным. При этом с точки зрения защиты информации, содержащейся в документе, выделяют следующие основные задачи:

●     Конфиденциальность (защита документа от несанкционированного доступа);

●     Целостность (защита от внесения изменений);

●     Доступность документа для определенных пользователей;

●     Аутентичность (подтверждение авторства) документа и неотказуемость внесения изменений.

Указанные задачи должны успешно и технологично решаться на всех этапах жизненного цикла документа, начиная от создания и работы с документом, передаче, приемки его заданными адресатами, обработке и хранении.

Задача сохранения конфиденциальности традиционно решается с помощью применения средств физической защиты, организационных мер и средств шифрования, как правило, с применением криптографических алгоритмов. При передаче документа из одной корпоративной сети в другую, как правило, применяют VPN (Virtual Private Network – виртуальная частная сеть) для передачи по открытым каналам связи. Для защиты рабочих мест, на которых документ может обрабатываться после его приема адресатом и расшифрования для обработки, применяются системы ограничения доступа к рабочим местам и рабочим каталогам и системы шифрования дисков на рабочих местах и серверах. Задачи сохранения целостности и аутентичности документа на современном уровне решают с помощью применения электронной цифровой подписи (ЭЦП).

2. Все вышеперечисленные задачи успешно решаются только при наличии систем управления доступом пользователей к системе документооборота и системам защиты, в том числе к каждой подсистеме защиты в отдельности. Системы управления доступам включают в себя аутентификацию пользователей, их авторизацию и безопасное администрирование (ААА) в качестве основных функциональных составляющих.

Что же такое аутентификация? Зачастую под этим понятием до сих пор понимают процесс распознавания присвоенных объектам (пользователям системы, ресурсам) уникальных меток (полученных, например, комбинацией нажатия кнопок клавиатуры) и внесенных на сервер в LDAP-совместимое хранилище в виде таблицы (зачастую называемого ACL – Access Check List) с задаваемыми при попытке доступа, хотя этот процесс называется идентификацией объекта. Под аутентификацией следует понимать процесс проверки подлинности предъявленных объектом идентификационных параметров, как правило, с применением криптографических методов. Если оба процесса проходят успешно, объект (пользователь) получает доступ в систему.

Различают простую (однофакторную) и строгую (по крайней мере двухфакторную) аутентификацию. К факторам аутентификации относят:

●     знание пользователем пароля или пин-кода,

●     предъявление пользователем персонального идентификатора (смарт-карты, USB-ключа eToken, таблетки Touch Memory, SIM –карты, дискеты, и т.д.),

●     предъявление пользователем уникальных биометрических данных (отпечатков пальцев, радужной оболочки глаза и т.п.).

Зрелость решений, относящихся к так называемой строгой аутентификации, с применением процессорных смарт-карт или USB-устройств eToken нагляднее всего представлены в отчете Gartner Group, вышедшем в 2003г. (рис.1).

Рис.1 Зрелость (Maturity) решений по защите информации в зависимости от степени «раскрученности» (популярности обсуждения среди специалистов) проблемы (Visibility).

По материалам Gartner Group, 2003. Видно, что:

●     известная технология SSL (Secure Socket Layer) уже вышла на плато промышленного применения;

●     проблема защищенного беспроводного доступа (Wi-Fi Protected Access Control) сейчас «на слуху» (пик популярности) у специалистов, а решение проблемы, по оценкам специалистов Gartner Group, ожидается в течение ближайших двух лет;

●     решение проблем управления доступом пользователей (Identity and Access Management), построения инфраструктуры открытых ключей (Public Key Infrastructure), применения технологий eToken и Smart Cards ожидается в течение ближайших пяти лет.

3. К сожалению, до сих пор у большинства заказчиков нет ясного понимания того, что наибольшие риски связаны не столько с внешними, сколько с внутренними угрозами.

Внешние угрозы обусловлены действиями субъектов, не входящих в состав пользователей и разработчиков АС, а также природными явлениями.

Внутренние угрозы исходят от пользователей, обслуживающего персонала и разработчиков АС, а также от лиц, имеющих непосредственный или косвенный контакт с объектами информационной системы.

Согласно исследованиям многих известных фирм, потери от реализации внутренних угроз составляют не менее половины общей суммы потерь. Наиболее часто встречаются оценки внутренних потерь в районе 60-80%. В России над этим всерьез задумались только те компании, которые уже ощутили потери. В таких компаниях руководством перед соответствующими подразделениями были поставлены задачи снижения рисков реализации угроз безопасности, и, в частности, снижения рисков реализации внутренних угроз.

Известно, что одним из основных направлений снижения рисков реализации внутренних угроз является построение корректной системы организации доступа пользователей.

4. В настоящее время существуют надежные системы, позволяющие строить многоуровневые схемы управления доступом. В частности, при этом очень важным моментом является все чаще встречающееся требование защищенности системы от действий пользователя с правами администратора. Это требование проистекает из того факта, что в 90% случаев системный администратор прикладных систем практически бесконтрольно наделяет правами пользователей. А с учетом того, что уровень дохода администратора относительно невысок, это является дополнительным каналом возможных утечек конфиденциальных сведений. Предлагаемый в данном докладе подход полностью решает поставленную задачу.

Подробнее остановимся на исходных данных задачи и современных подходах ее решения.

Известно, что наиболее надежным способом аутентификации на сегодня являются программно-аппаратные решения, или так называемые двухфакторные модели (пользователь должен иметь «нечто» и знать «нечто»). Другими словами, для проведения так называемой строгой аутентификации должны применяться технологии, например, смарт-карт- логона (СКЛ), основанного на использовании цифровых сертификатов. Такой подход обеспечивает проверку прав пользователя и истинность сервера (то, что сервер не подменен злоумышленником) с помощью криптографических методов. На сегодняшний день далеко не все пакеты системного программного обеспечения (СПО) готовы к проведению подобных операций. Из устанавливаемого СПО для корпоративного клиента на сегодняшний день в массовом порядке можно выделить корпоративные сети под управлением серверов Windows 2000/2003 и Novell Netware 6.x.

Одним из способов построения решения может служить следующая схема, которую можно упрощенно представить следующим образом:

1) Пользователь проходит полный цикл аутентификации по технологии СКЛ;

2) После авторизации пользователя по СКЛ он получает доступ к защищенному LDAP-совместимому хранилищу параметров доступа к прикладным программным пакетам и корпоративным ресурсам, где все параметры доступа пользователя хранятся в зашифрованном виде. Зашифровывать параметры доступа системный администратор прикладной системы имеет право только на открытом ключе (в терминах инфраструктуры открытых ключей PKI – Public Key Infrastructure) пользователя. При этом сами параметры доступа недоступны системному администратору, поскольку расшифровать их может только конкретный пользователь с помощью своего секретного ключа (Private Key). Корневой сертификат, на основе которого производятся все операции, может храниться в отдельном защищенном месте (например, в удаленном сейфе).

Такая схема позволяет построение прозрачной многоуровневой схемы управления доступом. Приведем пример минимальной конфигурации:

●     руководитель службы безопасности;

●     офицер безопасности, отслеживающий правильность назначения параметров доступа пользователей системным администратором;

●     системные администраторы различных систем;

●     пользователи с разноуровневыми правами доступа к корпоративным ресурсам, прикладным системам, документообороту, почте и т.д.

5. Использование цифровых сертификатов Х.509 для доступа пользователей к корпоративной сети и системе документооборота подразумевает, что корпоративный заказчик начинает постепенное строительство инфраструктуры открытых ключей. Одним из существенных преимуществ использования цифровых сертификатов, являются некоторые удобные возможности управления доступом пользователя. Например, в связи с увольнением или уходом в отпуск сотрудника, действие его цифрового сертификата «легким движением руки» можно:

●     приостановить;

●     отозвать;

●     признать недействительным.

При этом очень важно, чтобы закрытый (другими словами, секретный или приватный) ключ пользователя должен храниться в защищенном отчуждаемом личном носителе (персональном идентификаторе), имеющем вид смарт-карты или eToken’a, обеспечивающих полную сохранность данных, которые записываются в защищенную часть чипа.

Если пользователь забыл дома персональный идентификатор, предусматривается возможность восстановления параметров доступа путем выписывания временного цифрового сертификата, например, сроком действия на 8 рабочих часов.

6. Описанные выше некоторые преимущества организации доступа с применением цифровых сертификатов, безусловно, привлекательны для корпоративного использования. Однако в реальных условиях всегда приходится выбирать между «быстро» и «правильно».

Как правило, сразу перейти на применение цифровых сертификатов не готов ни один даже самый обеспеченный ресурсами заказчик. Всегда имеется набор устаревшей техники, многообразие унаследованных систем, в том числе и средств защиты информации. К быстрому переходу не готов и персонал. Поэтому, как и любой процесс, переход к новым технологиям аутентификации пользователей требует разбиения на этапы. Как правило, сначала это находит свое отражение в концепции защиты информации. Прежде чем начинать внедрение на выделенном сегменте сети, обычно проводятся научно-исследовательские работы по тестированию возможных решений для обоснованного выбора того или иного решения. Затем начинается поэтапное внедрение с увязкой со смежными системами. При этом каждый этап внедрения требует документирования и утверждения инструкций пользователям, администраторам прикладных систем, сотрудникам службы безопасности в соответствии с политиками безопасности.

В качестве решений для переходного этапа от парольной защиты к использованию цифровых сертификатов («быстро») имеется набор готовых и промежуточных решений, основанных на технологии password replacement и применению встроенных механизмов защиты, реализованных с СКЛ на серверах. Если корпорацией выбрана стратегия перехода к применению цифровых сертификатов, то для сотрудников подразделений информационных технологий и службы безопасности становится естественным обоснование проведения апгрейда техники и перехода на новые версии СПО, в которых производители предусматривают повышение безопасности с помощью применения цифровых сертификатов. Таким образом, идет постепенное движение к реализации подхода «правильно».

7. Существующие на сегодняшний день решения с применением технологий СКЛ покрывают значительную часть бизнес-задач корпорации. Для интеграции с унаследованными приложениями апробирована технология применения SDK (Software Developer Kit).

8. Предложенный подход к построению системы управления доступом является перспективным направлением развития систем организации доступа пользователей. Он позволяет на современном уровне решать такие необходимые задачи, как:

●     Защищенный вход в корпоративные сети;

●     Организация защиты корпоративных ресурсов;

●     Доступ к защищенному корпоративному порталу;

●     Применение ЭЦП;

●     Защищенный вход в бизнес-приложения;

●     Защита корпоративной почты и документооборота;

●     Организация работы мобильных пользователей.

Несмотря на возможности современных технологий в настоящее время в абсолютном большинстве корпораций не развита система доступа к системам документооборота, построенная на применении цифровых сертификатов. По-прежнему, подавляющее число политик безопасности использует многочисленные пары «логин - пароль». Это создает дополнительные трудности предоставления, мониторинга и отключения определенного уровня доступа пользователей к ресурсам корпорации как системным администраторам, так и сотрудникам внутренних служб безопасности. Предлагаемый подход поэтапного строительства системы защиты информации основан на разворачивании центров сертификации (СА) на базе инфраструктуры открытых ключей (PKI, Public Key Infrastructure) и интеграции полученных решений с разворачивающейся системой Удостоверяющих центров. При этом наиболее острая проблема хранения цифровых сертификатов доступа и приватного ключа, образующегося при формировании ключевой пары (открытого и приватного ключа), решается аппаратно: приватный ключ никогда не покидает чипа электронного USB- ключа eToken, который имеет соответствующие международные сертификаты как надежный и удобный контейнер.