Слайд 1
Москва, 2007
ОКБ САПР
Если Вам есть что скрывать.
ОКБ САПР
www.accord.ru
1@accord.ru
Слайд 2Почему так бывает —
а информация все равно
попадает в чужие
Слайд 3Для того, чтобы
обеспечить защищенность,
необходимо понимать, что является
ОБЪЕКТОМ ЗАЩИТЫ.
а
не только защищать,
Слайд 4Объекты защиты информации
средства вычислительной техники (СВТ);
данные, хранящиеся и
обрабатывающиеся СВТ;
технологии обработки данных;
каналы передачи данных.
определяются тем, на что могут быть направлены действия злоумышленника:
Слайд 5Задачи защиты информации
защита компьютера от несанкционированного доступа (НСД);
разграничение
прав доступа к данным;
обеспечение неизменности технологии обработки данных;
передача данных в защищенном виде.
определяются в соответствии с объектами:
Слайд 6Задачи защиты информации
Аккорд-АМДЗ
решаются
применением комплексов защиты информации на основе
Слайд 7пользователь именно тот, который имеет право работать на данном компьютере;
компьютер именно
тот, на котором имеет право работать данный пользователь.
достигается обеспечением режима доверенной загрузки ОС, при котором подтверждено, что:
Защищенность
компьютера от НСД
Слайд 8
Аккорд-АМДЗ:
Аппаратный модуль доверенной загрузки
Обеспечивает доверенную загрузку различных ОС для аутентифицированного
пользователя.
Слайд 9Что такое
доверенная загрузка?
блокировка загрузки ОС с внешних носителей информации;
идентификация/аутентификация пользователя;
проверка целостности технических и программных средств ПК с использованием алгоритма пошагового контроля целостности.
Загрузка ОС производится только после успешного завершения процедур:
Слайд 10Аккорд-АМДЗ —
защита от НСД
Аккорд-АМДЗ обеспечивает доверенную загрузку ОС, поддерживающих файловые системы:
FAT 12, FAT 16, FAT 32,
NTFS, HPFS,
EXT2FS, EXT3FS, FreeBSD, Sol86FS,
QNXFS, MINIX.
Слайд 11Аккорд-АМДЗ —
защита от НСД
В частности, режим доверенной загрузки обеспечивается для ОС
семейств:
MS DOS,
Windows,
OS/2,
UNIX,
LINUX,
BSD и др.
Слайд 12СЗИ НСД Аккорд-АМДЗ состоит
из аппаратных и программных средств:
Аппаратные средства:
Контроллер;
Контактное устройство;
Идентификатор;
Программные средства:
BIOS контроллера комплекса Аккорд-АМДЗ;
Firmware, в котором реализованы функции МДЗ.
Слайд 13Функциональная достаточность резидентного ПО
Функции МДЗ
Администрирование
комплекса
Идентификация/
аутентификация
Пошаговый механизм
контроля целостности
Возможность
блокировки внешних
устройств
Хранение
ключей и выработка
случайных
последовательностей
Блокировка загрузки
со сменных
носителей для всех
пользователей, кроме
администратора
Слайд 14Основные версии Аккорд-АМДЗ базируются на контроллерах:
для ПК с шинным
интерфейсом PCI и PCI-Х
Аккорд-5МХ,
Аккорд-5.5
с мощной криптографической подсистемой
Аккорд-6
с криптографической и коммуникационной подсистемой.
Слайд 15Аккорд-АМДЗ
на базе контроллера Аккорд-5МХ
Для ПЭВМ с шинным интерфейсом
PCI.
Класс защиты до 1Б включительно.
Регистрация пользователей – до 128.
Слайд 16Аккорд-АМДЗ
на базе контроллера Аккорд-5.5
Дополнительно к характеристикам Аккорд-5МХ имеет аппаратную
криптографическую подсистему:
Мощный криптографический вычислитель
Средство хранения и мониторинга ключевой информации
Слайд 17
Универсальное решение для защиты информации, сочетающее функции защиты от НСД с
функциями криптографической и сетевой защиты информации:
Аккорд-АМДЗ
на базе контроллера Аккорд-6
Слайд 18
это полноценный 32-битный высокопроизводительный микрокомпьютер, имеющий интерфейсы
PCI 32-bit 33 MHz
3.3/5V,
Ethernet 10/100,
RS-232,
USB-host,
USB-slave,
iButton (Touch Memory),
физически реализованный в виде стандартной низкопрофильной PCI-card, вставляемой в любой свободный PCI или PCI-X слот компьютера.
Аккорд-АМДЗ
на базе контроллера Аккорд-6
Слайд 19Также Аккорд-АМДЗ может базироваться на контроллерах:
Аккорд-5.5.е
для ПК с шинным
интерфейсом PCI-Express;
Аккорд-5.5 mini-PCI
для ноутбуков и других компьютеров с
шинным интерфейсом mini-PCI;
Аккорд-5МХ mini-PCIe
для ПК, ноутбуков и серверов с шинным интерфейсом
mini-PCI-express;
Слайд 20Аккорд-АМДЗ
на базе контроллера Аккорд-5.5.е
для компьютеров с современным шинным интерфейсом PCI-Express.
все характеристики аналогичны Аккорд-5.5
Слайд 21Аккорд-АМДЗ
на основе контроллера Аккорд-5.5 mini-PCI
для ноутбуков, низкопрофильных серверов и других
компьютеров с шинным интерфейсом mini-PCI
все характеристики аналогичны Аккорд-5.5
4,5 x 6 см
Слайд 22Аккорд-АМДЗ
на основе контроллера Аккорд-5.5 mini-PCIе
для ноутбуков, низкопрофильных серверов и других
компьютеров с шинным интерфейсом mini-PCI-express
все характеристики аналогичны Аккорд-5.5
3 x 5 см
Слайд 23Индивидуальная комплектация:
ТМ-идентификаторы (стандартная комплектация),
смарт-карты,
ПСКЗИ ШИПКА.
в соответствии с требованиями заказчика в Аккорд-АМДЗ
и в системах на его основе могут использоваться различные идентификаторы:
Слайд 24Все модификации Аккорд-АМДЗ:
могут использоваться на любом ПК 486+, имеющем
свободный PCI (ISA) слот;
используют для идентификации пользователей персональные ТМ-идентификаторы DS 1992 – DS 1996 с объемом памяти до 64 Кбит (или другие идентификаторы по запросу заказчика) и предусматривают регистрацию до 128 пользователей на ПК;
используют для аутентификации пользователей пароль до 12 символов, вводимый с клавиатуры;
Слайд 25Все модификации Аккорд-АМДЗ:
работают с файловыми системами следующих типов: FAT 12,
FAT 16, FAT 32, NTFS, HPFS, FreeBSD, Ext2FS, Sol86FS, QNXFS, MINIX;
обеспечивают контроль целостности аппаратных средств ПК до загрузки ОС;
обеспечивают контроль целостности программ и данных до загрузки ОС (для ОС семейства Windows возможен контроль целостности отдельных ветвей реестра);
Слайд 26
блокируют загрузку с отчуждаемых носителей (FDD, CD ROM, ZIP-drive);
осуществляют регистрацию действий
пользователей в системном журнале, размещенном в энергонезависимой памяти контроллера;
обеспечивают администрирование системы.
Все модификации Аккорд-АМДЗ:
Слайд 27
назначение общих установок системы;
регистрация пользователей;
назначение прав доступа пользователей и групп пользователей;
выбор
объектов, подлежащих контролю целостности:
файлов и каталогов,
ветвей и ключей реестров,
служебных областей жесткого диска,
аппаратных средств;
работа с журналом регистрации событий.
Администрирование системы:
Слайд 28пользователь
Особенности архитектуры
СЗИ НСД Аккорд-АМДЗ
ПО
микропроцессора
Базы данных
(пользователей,
аппаратуры,
контролируемых
объектов)
Журнал
регистрации
событий
Считыватель
идентификаторов
R only
R/W
Add only
контроллер
ПК
Системная шина
АБИ
АБИ
АБИ -
администратор
безопасности
информации
ПО АМДЗ
Энергонезависимая память
Оперативная память ПК
ПО АМДЗ
пользователь
Датчик
случайных
чисел
Микропроцессор
Слайд 29
Надежность в ненадежном мире:
невозможность внесения изменений в firmware;
невозможность сокрытия попытки
НСД от администратора безопасности информации;
возможность построения системы управления защитой информации (при установке специального ПО Аккорд-РАУ).
Архитектура Аккорд-АМДЗ обеспечивает
Слайд 30Разграничение прав доступа к данным
Аккорд-1.95 – для операционных систем MS DOS,
Windows 9x, Windows Millenium;
Аккорд-NT/2000 – для операционных систем Windows NT, Windows 2000, Windows XP, Windows 2003, Vista; в том числе для терминальных систем.
обеспечивают программно-аппаратные комплексы на базе Аккорд-АМДЗ и специального ПО
Слайд 31
Аппаратная защита
терминальных
решений
Аккорд.
Надежность в ненадежном мире.
ОКБ САПР
http://www.accord.ru
e-mail: 1@accord.ru
Слайд 32
Еще не забытое старое становится новым:
дешевле – как установка,
так и дальнейшее обслуживание;
удобнее – проще администрирование, ниже требования к производительности оборудования;
надежнее – дольше служат, реже ломаются, при инциденте с терминалом данные сохраняются на сервере.
терминальные решения снова востребованы, поскольку они
Слайд 33
Старое или новое?
Суть терминальной сессии осталась прежней:
на сервере
хранятся и обрабатываются данные;
на сервер от пользователя передаются нажатия клавиш и манипуляции с мышью;
на терминал к пользователю передаются изменения изображения на экране.
Слайд 34
Старое или новое?
было:
серверы – только «большие» ЭВМ;
«алфавитно-цифровые
терминалы» – только монитор, клавиатура и блок соединения с сервером.
Слайд 35
Старое или новое?
было:
Терминальный
сервер
Алфавитно-цифровой
терминал
последовательный побайтовый обмен
данные
Слайд 36
Старое или новое?
стало:
серверное ПО – может работать на
специализированных серверах, обычных персональных компьютерах и даже notebook’ах;
«тонкие клиенты» – имеют собственную ОС, загрузочный диск, периферию.
Слайд 37
Старое или новое?
стало:
Терминальный сервер
«Тонкий клиент»
сетевые пакеты (передаются)
данные
(хранятся и
обрабатываются)
данные
(хранятся
и
обрабатываются)
Слайд 38
Смена поколений
Защита терминальных сессий,
достаточно надежная в идеологии «длинных проводов»
- это защита терминального сервера и коммуникаций.
данные
Слайд 39
Смена поколений
Защита терминальных сессий,
достаточно надежная в идеологии «длинных проводов»,
- недостаточна для современных решений с «тонкими клиентами».
?
Слайд 40
Как обеспечить защищенность терминальных решений?
Использовать навесные средства защиты на каждом «тонком
клиенте»?
Превратить «тонкого клиента» в «алфавитно-цифровой терминал»?
Слайд 41
Как обеспечить защищенность терминальных решений?
Защищена ли сессия, если
защищен терминальный сервер
и
защищены «тонкие клиенты»?
Слайд 42 пользователь работает только с защищенным терминальным сервером;
с терминальным сервером
работает пользователь только с защищенного «тонкого клиента».
достигается обеспечением режима взаимодействия, при котором подтверждено, что
Защищенность терминальных решений
Слайд 43 со стороны сервера в момент создания терминальной сессии проверяется не
только пользователь, но и «тонкий клиент»;
со стороны «тонкого клиента» проверяется, что сервер именно тот, с которым должен работать данный пользователь.
достигается, если
Защищенность терминальных решений
Слайд 44 аппаратные – независимы от ОС;
активные – находятся во взаимодействии.
достигается,
если средства защиты
Защищенность терминальных решений
взаимодействие сервера и терминала
взаимодействие средств защиты
Слайд 45применением ПАК СЗИ НСД
Аккорд-NT/2000 V3.0,
сертифицированного ФСТЭК России (сертификат №
1161)
достигается
Защищенность терминальных решений
Слайд 46Аккорд-NT/2000 V3.0
проводит процедуры идентификации/аутентификации пользователей;
обеспечивает изолированную программную среду на
сервере (запуск только разрешенных данному пользователю программ);
в момент создания терминальной сессии проводится взаимная проверка подлинности «тонких клиентов» и терминальных серверов.
на терминальном сервере или на «тонком клиенте»
Слайд 47В Аккорд-NT/2000 V3.0
усиленная аутентификация терминальных станций с помощью контроллера Аккорд
или ПСКЗИ ШИПКА;
идентификация/аутентификация пользователей, подключающихся к терминальному серверу (с использованием ТМ-идентификатора или ПСКЗИ ШИПКА);
управление терминальными сессиями,
добавлены следующие специфические возможности:
Слайд 48В Аккорд-NT/2000 V3.0
опциональная автоматическая идентификация в системе Windows NT+ и
на терминальном сервере пользователей, аутентифицированных защитными механизмами контроллера АМДЗ,
контроль печати на принтерах, подключенных как к терминальным серверам, так и к пользовательским терминалам, который позволяет протоколировать вывод документов на печать и маркировать эти документы.
добавлены следующие специфические возможности:
Слайд 49Аккорд-NT/2000 V3.0
на всех версиях операционных систем (ОС) Microsoft NT+ ,
на терминальных серверах, построенных на базе ОС Windows 2000 Advanced Server и на базе серверов семейства Windows 2003,
на ПО Citrix Metaframe XP, работающем на этих ОС.
функционирует:
Слайд 50ПАК Аккорд-NT/2000 V3.0
RDP и
ICA,
что позволяет использовать для взаимодействия СЗИ
уже установленный канал, а не организовывать новый.
установленные на терминальных серверах и пользовательских терминалах взаимодействуют в рамках виртуальных каналов, построенных на протоколах:
Слайд 51 защищенность терминальных серверов;
защищенность «тонких клиентов»;
взаимодействие этих защитных механизмов.
достигается
применением ПАК СЗИ НСД Аккорд-NT/2000 V3.0, обеспечивающим
Защищенность терминальных решений
взаимодействие сервера и терминала
взаимодействие средств защиты
Слайд 52Управление защитой информации
Управление системой – эффективнее, чем управление разрозненными элементами.
Управление
защитой информации должно осуществляться на базе защищенного обмена данными, иначе уязвимость АС только увеличивается.
Управление защитой информации в системах разного уровня не может быть построено одинаково – необходима иерархия уровней управления.
будет эффективным, если руководствоваться тремя принципами:
Слайд 53Управление защитой информации
обеспечивается подсистемой Аккорд-РАУ, объединяющей автоматизированное рабочее место администратора безопасности
информации (АРМ АБИ) и рабочие станции, оснащенные ПАК Аккорд-1.95 или Аккорд-NT/2000.
на базе защищенного обмена данными по сети
Слайд 54Подсистема Аккорд-РАУ
оперативного наблюдения и управления
удаленного администрирования.
ПО АРМ АБИ позволяет
администратору безопасности информации, не вставая со своего рабочего места, осуществлять функции
Слайд 55Подсистема Аккорд-РАУ
получение информации о пользователе, о версии ОС, под управлением
которой идет работа, о списке выполняющихся задач;
просмотр всех событий подсистемы разграничения доступа со всех станций в одном окне;
получение всех событий одной станции в отдельное окно;
выбор для просмотра отдельных станций или отдельных событий;
оперативное изменение уровня детальности журнала на рабочих станциях;
просмотр экрана выбранной рабочей станции;
просмотр дисков рабочих станций (до уровня файлов).
оперативное наблюдение за работой пользователя:
Слайд 56Подсистема Аккорд-РАУ
отправка пользователю сообщений;
обмен с пользователем файлами;
блокировка экрана
и клавиатуры рабочей станции, которую можно снять только TM-идентификатором АБИ;
управление «мышью» и клавиатурой рабочих станций;
остановка любого запущенного на рабочей станции процесса;
перезагрузка рабочих станций.
оперативное управление работой пользователя:
Слайд 57Подсистема Аккорд-РАУ
Централизованный сбор журналов регистрации СЗИ НСД Аккорд (с выбранных
рабочих станций; систематизировано по соответствующим каталогам с делением по датам сбора)
- получение журналов подсистемы разграничения доступа с рабочих станций;
- получение журналов контроллеров АМДЗ с рабочих станций;
- осуществление очистки журналов регистрации.
Работа со списком зарегистрированных рабочих станциях:
- редактирование списка станций на АРМ;
- рассылка обновленного списка по рабочим станциям.
Работа с базами пользователей и файлами конфигурации на рабочих станциях.
удаленное администрирование - это:
Слайд 58Подсистема Аккорд-РАУ
получение файлов конфигурации с выбранной станции;
редактирование и замену
файлов конфигурации выбранной станции;
редактирование базы пользователей рабочих станций на АРМ:
удаление пользователей станции или изменение настроек их полномочий,
добавление новых пользователей станции и назначение им полномочий;
синхронизация баз пользователей на рабочих станциях (в том числе, находящиеся в контроллерах)
Работа с базами пользователей и файлами конфигурации на рабочих станциях включает:
сразу после изменения базы или
в момент начала работы рабочей станции.
Слайд 59Подсистема Аккорд-РАУ
За счет своей архитектуры Аккорд-AcXNet обеспечивает конфиденциальный и аутентифицированный обмен
данными между приложениями через сеть.
построена на основе специально разработанного комплекса для защищенного обмена данными по сети Аккорд-AcXNet.
Слайд 60Архитектура Аккорд-АcXNet
1. Ядро - предоставляет интерфейсы для обмена данными:
- интерфейсы для
приложений
основной (для обмена данными с рабочими станциями и приложениями пользователей),
служебный (для регистрации рабочих станций в системе и приложений пользователей на каждой станции);
- интерфейсы для подсистем взаимодействия с модулями.
2. Подсистемы взаимодействия с модулями:
1) Подсистема шифрования - обеспечивает взаимодействие с модулями шифрования данных (ГОСТ 28147-89).
2) Подсистема аутентификации - обеспечивает взаимодействие с модулями аутентификации данных (ЭЦП по ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001, ЗКА).
3) Подсистема транспорта - обеспечивает взаимосвязь с модулями передачи данных в сети (протоколы IPX, UDP, TCP/IP).
Слайд 61Архитектура Аккорд-АcXNet
база
зарегистри-
рованных
станций и
приложений
Служебное
ПО
Приложе-
ние 1
Приложе-
ние 2
Приложе-
ние N
модуль
шифрования
ГОСТ 28147-89
модуль
аутентификации
алгоритмы ЗКА
модуль
аутентификации
ЭЦП
по
ГОСТ Р 34.10-94
модуль
аутентификации
ЭЦП по
ГОСТ Р 34.10-2001
модуль
передачи
данных в сети
модуль
передачи
данных в сети
модуль
передачи
данных в сети
протокол IPX
протокол UDP
протокол
TCP/IP
Подсистема
взаимодействия
с модулями
передачи
данных
в сети
Подсистема
взаимодействия
с модулями
шифрования
данных
Подсистема
взаимодействия
с модулями
аутентификации
данных
диспетчер
AcXNet
интерфейсы для приложений
основной
служебный
интерфейсы для подсистем
взаимодействия с модулями
ЯДРО
Слайд 62Подсистема Аккорд-РАУ
В крупных системах, где количество сообщений может быть слишком велико
для конечного числа администраторов, необходима система обработки инцидентов, и реагирования на попытки НСД.
Такую функциональность Аккорд-РАУ получает за счет интеграции, например, с OpenView, при которой попытка НСД будет представлена как инцидент OpenView.
предназначена для управления защитой информации в локальной сети
Слайд 63Подсистема Аккорд-РАУ
по нашему неизменному правилу мы работаем с реальными условиями заказчика.
может интегрироваться не только с OpenView
Слайд 64Криптографические алгоритмы
реализованы в контроллерах Аккорд серий 5.5 и 6 и ПСКЗИ
ШИПКА, с использованием которых можно шифровать данные, подписывать их ЭЦП и защищать информационные технологии с помощью защитных кодов аутентификации (ЗКА).
для защиты информационных технологий и передачи данных в защищенном виде
Слайд 65Серия контроллеров Аккорд-5.5
Аппаратная реализация
всех российских криптографических алгоритмов:
шифрование по ГОСТ
28147-89 (до 12 Мбайт/с);
вычисление хэш-функций - ГОСТ Р 34.11-94 (6 Мбайт/с);
вычисление/проверка ЭЦП по ГОСТ Р 34.10-94 (3/3/7 мс - 512 бит, 11/11/24 мс - 1024 бит);
вычисление/проверка ЭЦП по ГОСТ Р 34.10-2001 (50/50/80 мс);
вычисление защитных кодов аутентификации ЗКА (3000 ЗКА/с).
Слайд 66
Аппаратная реализация
зарубежных криптографических алгоритмов:
шифрование RC2 (около 4 Мбайт/с), DES (24
Мбайт/с), DESX (22 Мбайт/с), TripleDES (8 Мбайт/с);
хэш-функции MD5 (15 Мбайт/с) и SHA-1 (12 Мбайт/с);
ЭЦП (RSA (2048 бит - 350/350 мс, 1024 бит - 45/45 мс, 512 бит - 6/6 мс, 256 бит - 1/1 мс), DSA (12/15/27 мс 1024-бит)).
Серия контроллеров Аккорд-5.5
Слайд 67ПЕРСОНАЛЬНОЕ СКЗИ
ШИПКА
ОКБ САПР
http://www.accord.ru
e-mail: 1@accord.ru
Слайд 68
Идеальное информационное взаимодействие:
Слайд 69
Реальная жизнь
ставит перед выбором:
Слайд 70
Реальная жизнь
ставит перед выбором:
Использование конфиденциальной
информации
Хранение паролей веб-сервисов
и ключей шифрования
/ ЭЦП
Управление банковским счётом
Слайд 73Для того чтобы иметь все необходимое, достаточно иметь с собой ПСКЗИ
ШИПКА
Слайд 74ПСКЗИ ШИПКА:
Мобильность: не требует инсталляции программных средств с дополнительных носителей,
может использоваться на любом ПК, имеющем USB-разъем.
Дружественность: не требует отдельной установки криптографических библиотек на ПК; обеспечивает безопасное хранение и применение персональных конфиденциальных данных, не требует специальных навыков при эксплуатации на ПК и в Интернет.
Защищённость: аппаратная реализация криптографических алгоритмов, ДСЧ, защищенная ЭНП, применение ключей без передачи их в ПК.
Слайд 75ШИПКА: hardware
USB-контроллер
(функциональный
Уровень)
(транспортный
Уровень)
память команд firmware:
криптографическая библиотека
функции файловой системы (ФС),
подобной
ISO 7816-4
память критичных данных
ядро
(ALU)
SPI
защищённый MCU
аппаратный датчик
случайных чисел
Память данных ФС
Data Flash
Слайд 76Firmware ШИПКА
криптографическая библиотека
поддержка файловой системы, подобной ISO/IEC 7816-4
возможность обновления без дополнительного
оборудования у пользователя
Слайд 77Firmware ШИПКА:
Криптографическая библиотека: российские алгоритмы
Российские криптографические алгоритмы:
Шифрование: ГОСТ 28147-89.
Вычисление хэш-функций: ГОСТ
Р 34.11-97.
Вычисление и проверка ЭЦП: ГОСТ Р 34.10-94, ГОСТ 34.10-2001.
Вычисление и проверка ЗКА (защитных кодов аутентификации).
Слайд 78Firmware ШИПКА:
Криптографическая библиотека: зарубежные алгоритмы
Зарубежные криптографические алгоритмы:
Шифрование: RC2, RC4, RC5, DES,
3DES, RSA.
Вычисление хэш-функций: MD5 и SHA-1.
ЭЦП: RSA, DSA.
Слайд 79Firmware ШИПКА:
Поддержка файловой системы, подобной ISO/IEC 7816-4
Позволяет структурировать и организовать обработку
в виде файлов разнородных данных - ключей, сертификатов, личных данных пользователя.
Поддержка файловой системы,
подобной ISO/IEC 7816-4
Слайд 80Firmware ШИПКА:
Возможность обновления без доп. оборудования у пользователя
Устройство является полностью программируемым,
поэтому, когда в ходе разработок у ПСКЗИ ШИПКА появятся новые возможности, не нужно будет покупать новый экземпляр, достаточно провести upgrade без использования дополнительного оборудования.
Возможность обновления (upgrade)
Слайд 81(уровень
ядра ОС)
ШИПКА: software
библиотека взаимодействия
с firmware ШИПКИ
виртуальный
считыватель смарт-карт
драйвер ШИПКИ
(уровень
приложений
ОС)
Слайд 82Software ШИПКА
драйвер устройства
динамическая библиотека
криптопровайдер ОКБ САПР для ПСКЗИ ШИПКА
библиотека API PKCS#11
драйвер
виртуального считывателя смарт-карт
Слайд 83Software ШИПКА:
Драйвер устройства и динамическая библиотека
Обеспечивают связь между прикладным ПО и
USB-устройством «ШИПКА».
Драйвер устройства и динамическая
библиотека
Слайд 84Software ШИПКА:
Криптопровайдер ОКБ САПР для ПСКЗИ ШИПКА
Обеспечивает интерфейс между криптографическими алгоритмами,
реализованными в ШИПКЕ и использующими их прикладными программами.
Подписан Microsoft.
Криптопровайдер ОКБ САПР для
ПСКЗИ ШИПКА
Слайд 85Software ШИПКА:
Библиотека PKCS#11
Обеспечивает интерфейс к приложениям, поддерживающим этот стандарт, в частности,
к криптосистеме PGP и др.
Библиотека API PKCS#11
Слайд 86Software ШИПКА:
Драйвер виртуального считывателя смарт-карт
Обеспечивает интерфейс к приложениям, требующим наличия считывателя
смарт-карт.
Драйвер виртуального считывателя
смарт-карт
Слайд 87
(уровень
ядра ОС)
ШИПКА: software & hardware
библиотека взаимодействия
с firmware ШИПКИ
виртуальный
считыватель смарт-карт
драйвер ШИПКИ
приложение
1
приложение 2
криптопровайдер
приложение 3
приложение N
библиотека API PKCS#11
(software)
(hardware)
память данных ФС
USB-контроллер
(функциональный
Уровень)
аппаратный ДСЧ
(транспортный
Уровень)
(уровень приложений ОС)
Слайд 88
ШИПКА-CardBus
ШИПКА-Express
ШИПКА-Compact Flash
ПСКЗИ ШИПКА не в формате USB
Слайд 89
ШИПКА-модуль
25x25x15 mm
интерфейсы I2C и UART
5 В
для питания ядра и 1.5…5 В для питания интерфейса ввода-вывода
ПСКЗИ ШИПКА не в формате USB
Слайд 90Задачи, решаемые ПСКЗИ ШИПКА
создание защищенной и одновременно мобильной персональной информационной среды
и защита информационного взаимодействия граждан и организаций,
создание корпоративных систем защищенного электронного документооборота разного уровня сложности, внедрения и использования ЭЦП и работа с Удостоверяющими центрами и пространством PKI,
разработка специализированных приборов и устройств, включающих криптографическую подсистему.
делятся на ТРИ большие группы:
Слайд 911 группа: решения ОКБ САПР
с использованием ШИПКА
для шифрования и/или подписи файлов;
ОКБ
САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 921 группа: решения ОКБ САПР
с использованием ШИПКА
для автоматического заполнения WEB-форм различных
WEB-сервисов и для хранения паролей и других необходимых для этого данных;
ОКБ САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 931 группа: решения ОКБ САПР
с использованием ШИПКА
для аппаратной идентификации и
аутентификации на ПК и ноутбуках при загрузке ОС Windows, а также в терминальных решениях;
ОКБ САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 941 группа: решения ОКБ САПР
с использованием ШИПКА
в качестве хранилища ключей
и аппаратного датчика случайных чисел для криптографических приложений;
ОКБ САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 951 группа: решения ОКБ САПР
с использованием ШИПКА
В качестве «смарт-карты» в
типовых решениях, например, авторизация при входе в домен Windows, шифрование и/или подпись сообщений в почтовых программах (Outlook Express и др.), для получения сертификатов Удостоверяющего Центра;
ОКБ САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 961 группа: решения ОКБ САПР
с использованием ШИПКА
для защиты информационных технологий
с помощью ЗКА.
ОКБ САПР предлагает использовать ПСКЗИ
ШИПКА:
Слайд 97организация с помощью ШИПКИ доступа к тем или иным приложениям и
прочая функциональность стандартных смарт-карт
2 группа: для корпоративных систем
обеспечение подтверждения авторства и целостности электронных сообщений и документов в ЛВС или при использовании технологий терминального доступа:
ключевая информация и криптографические библиотеки сосредоточены в одном устройстве, доступны на исполнение только авторизованному пользователю и технологически защищены от чтения и модификации;
собственные ресурсы устройства достаточны для организации защиты виртуальных каналов.
Слайд 98внутреннее ПО ПСКЗИ ШИПКА не нуждается
2 группа: для корпоративных систем
в
адаптации для терминального либо локального использования
в дополнительной настройке процедур взаимодействия для работы с ПО различных производителей (благодаря поддержке стандартных интерфейсов).
Слайд 99
ШИПКА-модуль
25x25x15 mm
двухплечевой датчик случайных чисел
интерфейсы I2C
и UART
5 В для питания ядра и 1.5…5 В для питания интерфейса ввода-вывода
шифрование
- примерно 150 кБит/с
вычисление хеш-функции
- примерно 300 кБит/с
ЭЦП по ГОСТ 34.10-2001
- выработка ключа – 30 мс;
- вычисление ЭЦП – 40 мс;
- проверка ЭЦП – 70 мс.
3 группа: для разработчиков СКЗИ
Слайд 100Преимущества использования
ШИПКА в качестве смарт-карты
Будучи USB-устройством (Vendor ID USB-ассоциации — 17e4),
ШИПКА не требует применения card-reader’ов.
Характеристики изделия ШИПКА ни в чём не уступают характеристикам смарт-карт.
Использование в качестве смарт-карты — не исчерпывает возможностей ПСКЗИ ШИПКА.
Слайд 101Количество аппаратно реализованных криптографических алгоритмов:
Скорость шифрования по ГОСТ 28147-89 у ШИПКА-1.5
в 10 раз выше, чем у eToken RIC и в 100-200 раз выше, чем у ruToken
Скорость обмена данным изделия ШИПКА-1.5 по USB-интерфейсу превышает показатели всех упомянутых ключей в 25 раз.
Преимущества ШИПКИ
перед другими USB-ключами
Сравнения показателей стандартных версий СЗИ
eToken, ruToken и ШИПКА-1.5 по наиболее важным
для пользователя характеристикам
из них российских —
в eToken PRO: 0
в eToken RIC: 1
в ruToken PRO: 1
в ШИПКА-1.5: 4
Слайд 103Сертификаты
ФАПСИ,
Гостехкомиссией России и ФСТЭК России,
Министерством обороны РФ,
Госстандартом России,
СЭС РФ.
Уровень защиты, обеспечиваемый
СЗИ семейств АККОРДТМ и ШИПКАТМ, подтвержден 30 сертификатами соответствия, выданными
Слайд 104
Москва, 2007
ОКБ САПР
Если Вам есть что скрывать.
ОКБ САПР
www.accord.ru
1@accord.ru