Сертификация представляет собой процедуру, при которой происходит подтверждение того, что определенная продукция соответствует всем требованиям. Однако сертификация средств защиты информации – это деятельность, которая связана с подтверждением того, что эти средства соответствуют национальным стандартам, а также требованиям, прописываемым в технических регламентах, и другим нормативным документам.
ФСТЭК РФ представляет систему сертификации, существование которой нацелено на достижение безопасности области информатизации. Система сертификации средств защиты информации занимается формированием политики в области информатизации, а также обеспечивает ее осуществление. Одновременно с этим в ее основные задачи входит содействие созданию рынка, в котором все информационные технологии, а также всевозможные средства обеспечения, являются совершено защищенными от воровства или других негативных воздействий.
Данная система дополнительно занимается регулированием и контролем различных разработок средств защиты информации, а при этом еще учитывает их последующее создание. В задачи системы входит помощь различным потребителям, которые не могут самостоятельно, ввиду отсутствия необходимых знаний, сделать правильный выбор средств защиты информации. К тому же именно с помощью системы обеспечивается надежная, постоянная и эффективная защиты всех потребителей от недобросовестных продавцов и создателей средств защиты информации. С помощью данной системы обеспечивается сертификация данных средств, поэтому все компании, которые специализируются на производстве или продаже средств защиты информацию должны проходить обязательную сертификацию в данном гос. органах.
Какие средства подлежат обязательной сертификации?
Все фирмы или предприниматели, деятельность которых связана со средствами защиты информации, должны знать о том, какие именно средства должны быть сертифицированы. К ним относятся в первую очередь технические и программные средства, а также программно-аппаратные. Сюда же включаются средства контроля надежности защиты и средства, в которых реализуются СЗИ.
Поэтому каждая компания или предприниматель должны осуществлять сертификацию данных средств.
Особенности получения сертификата
Действует сертификация всего три года, однако существуют ситуации, при которых срок ее действия увеличивается, однако он не может превышать пяти лет.
Фирмы или предприниматели имеют возможность продлить действие полученного три года назад сертификата, а при этом не нужно будет проходить повторную сертификацию, однако осуществить это можно только при соответствии определенным условиям. К ним относится то, что в компании количество изделий, которые подлежат сертификации, должно остаться прежним. Также не должны измениться требования, которые предъявляются к данным изделиям во время проведения процедуры сертификации. Одновременно с этим следует убедиться, что ТУ и конструкция этих изделий за три года никаким образом не изменились. Если все эти условия соблюдаются, то компания может продлить сертификат. Однако если даже одно условие не соответствует требованиям, то продукция организации должна вновь пройти через процедуру первичной сертификации.
Сертификация средств защиты информации – это значимая процедура, которая позволяет потребителям получать только качественные изделия, соответствующие всем необходимым стандартам и требованиям.
Автокредитование
Законодательство
Бизнес-идеи
Содержание Срочное изготовление печатей и штампов Кто будет выступать в качестве покупателей Где открывать бизнес Оборудование для ведения бизнеса Существует много разновидностей бизнеса, которые могут быть начаты людьми, обладающими предпринимательскими способностями. Причем каждый вариант обладает своими уникальными особенностями и параметрами. Срочное изготовление печатей и штампов Бизнес-идея изготовления печатей и штампов считается достаточно привлекательной в плане..
Содержание Бизнес-идея по изготовлению открыток Как открыть бизнес, основанный на создании открыток на заказ Сотрудники Помещение Как продавать созданные открытки Многие люди, обладающие определенными предпринимательскими способностями, задумываются об открытии собственного бизнеса, а при этом оценивают и рассматривают большое количество различных вариантов для открытия. Довольно интересной считается бизнес-идея изготовления открыток, поскольку открытки являются такие элементы, спрос..
Содержание Выбор помещения для тренажерного зала Что нужно для того, чтобы открыть тренажерный зал? Тренажерный зал становится все более популярным в современном мире, поскольку все больше людей задумываются о том, чтобы вести здоровый образ жизни, предполагающий правильное питание и занятия спортом. Поэтому открыть тренажерный зал может любой бизнесмен, однако для получения хороших доходов необходимо продумать..
Содержание Место расположения магазина Ассортимент товаров Продавцы Бижутерия является обязательным предметом гардероба каждой женщины, которая следит за собой и старается выглядеть привлекательно и ярко. Поэтому открыть свой магазин бижутерии хочет практически каждый предприниматель, который осознает возможность получения хороших прибылей. Для этого необходимо изучить все имеющиеся перспективы, составить бизнес-план и спрогнозировать возможный доход, чтобы решит, будет..
Это совокупность участников сертификации, осуществляющих ее по установленным правилам. Данные системы создаются Федеральной службой по техническому и экспортному контролю, Федеральной службой безопасности, Министерством обороны и Службой внешней разведки Российской Федерации, уполномоченными проводить работы по сертификации средств защиты информации в пределах компетенции, определенной для них законодательными и иными нормативными актами Российской Федерации (они именуются - федеральные органы по сертификации). Так, например, системы сертификации средств криптографической защиты информации (СКЗИ), в том числе электронной цифровой подписи и электронного ключа на основе криптоалгоритма, создаются ФСБ России , на которую также возложены функции :
Осуществлять регулирование в области разработки, производства, реализации, эксплуатации криптографических средств и защищенных с их использованием систем и комплексов телекоммуникаций, расположенных на территории Российской Федерации, а также в области предоставления услуг по шифрованию информации в Российской Федерации;
Осуществлять государственный контроль за организацией и функционированием криптографической безопасности информационно-телекоммуникационных систем, систем шифрованной, засекреченной и иных видов специальной связи в подразделениях государственных органов и организаций на территории России, а также в ее учреждениях, находящихся за границей.
Для решения этих и ряда других смежных задач в структуре ФСБ России создано единственное в стране профильное учебное заведение - Академия криптографии Российской Федерации .
Сертификация средств защиты информации осуществляется на основании требований государственных стандартов , нормативных документов, утверждаемых Правительством Российской Федерации и федеральными органами по сертификации в пределах их компетенции. В каждой системе сертификации разрабатываются положение о ней, а также перечень средств защиты информации, подлежащих сертификации, и требования, которым эти средства должны отвечать.
Сертификационные испытания СЗИ производят испытательные лаборатории федеральных органов по сертификации, которые несут ответственность за полноту испытаний и достоверность полученных результатов .
Изготовление и реализация СЗИ на территории России осуществляются исключительно при наличии сертификата. При этом изготовители (продавцы) должны иметь лицензию на соответствующий вид деятельности, связанный с оборотом СЗИ .
Лицензия является официальным документом, который разрешает выполнение на определенных условиях конкретного вида деятельности в течение установленного срока. Лицензия действительна на всей территории Российской Федерации, а также в учреждениях Российской Федерации, находящихся за границей. Например, постановлением Правительства Российской Федерации от 29.12.2007 г. № 957 были утверждены положения о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, а именно о лицензировании:
Деятельности по распространению шифровальных (криптографических) средств;
Деятельности по техническому обслуживанию шифровальных (криптографических) средств;
Предоставления услуг в области шифрования информации;
Разработки, производства шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем.
В соответствии с п. 2 названного постановления к шифровальным (криптографическим) средствам относятся:
а) средства шифрования - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или) для защиты информации от несанкционированного доступа при ее обработке и хранении;
б) средства имитозащиты - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;
в) средства электронной цифровой подписи - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;
г) средства кодирования - средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;
д) средства изготовления ключевых документов (независимо от вида носителя ключевой информации);
е) ключевые документы (независимо от вида носителя ключевой информации).
Вместе с тем требования данного Положения не распространяется на деятельность по распространению (п. 3):
Шифровальных (криптографических) средств, являющихся компонентами доступных для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т. д.) на которые является доступной, в том числе для проверки;
Персональных кредитных карточек со встроенной микроЭВМ, криптографические возможности которых не могут быть изменены пользователями;
Портативных или мобильных радиотелефонов гражданского назначения (типа радиотелефонов, предназначенных для использования в коммерческих гражданских системах сотовой радиосвязи), которые не имеют функции сквозного шифрования;
Приемной аппаратуры радиовещания, коммерческого телевидения или иной аппаратуры коммерческого типа для вещания на ограниченную аудиторию без шифрования цифрового сигнала, в которой шифрование ограничено функциями управления видео- или аудиоканалами;
Специально разработанных и применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;
Специально разработанных и применяемых только в составе контрольно-кассовых машин шифровальных (криптографических) средств защиты фискальной памяти;
Шифровальных (криптографических) средств независимо от их назначения, реализующих симметричные криптографические алгоритмы и обладающих максимальной длиной криптографического ключа менее 40 бит, а также реализующих асимметричные криптографические алгоритмы, основанные либо на разложении на множители целых чисел, либо на вычислении дискретных логарифмов в мультипликативной группе конечного поля, либо на дискретном логарифме в группе, отличной от названной, и обладающих максимальной длиной криптографического ключа 128 бит.
Анализ материалов следственной и судебной практики показал, что чаще всего при нарушении авторских и смежных прав в отношении программ для ЭВМ и баз данных преступниками подделывается такое их средство технической защиты, как электронноцифровой ключ (ЭЦК). Он используется исключительно для защиты электронного документа от неправомерного использования и ознакомления с его содержанием.
Электронно-цифровой ключ, также как и обычный - металлический, используется в совокупности с «запирающим устройством (замком)». Роль «замка» выполняет специальная служебная программа для ЭВМ - драйвер ЭЦК. При попытке запуска защищенной программы на исполнение или создания и запуска ее копии драйвер прерывает исполнение этого процесса, обращается к коммутационному порту ЭВМ, проверяет наличие в нем ЭЦК, сверяет его программный код со своим и в случае совпадения возобновляет прерванный ранее процесс (рис. 11).
Рис. 11. Принцип работы программы для ЭВМ, защищенной электронно-цифровым ключом
Таким образом, применительно к технической стороне вопроса электронно-цифровой ключ - это совокупность знаков, значение которой система использует для определения того, должен ли защищенный ресурс быть доступным процессу, выдавшему данное значение ключа . Указанная совокупность знаков находится в электронноцифровой форме на материальном носителе, в качестве которого выступает интегральная микросхема. Конструктивно она может быть оформлена в виде:
Обычного USB-накопителя данных (USB-ключ, подключаемый к стандартному USB-порту компьютера);
Специального переходного устройства в форме разъемной колодки, подключаемой к стандартному LPT- (COM) порту (LPT-ключ);
Металлической таблетки (ключ «iButton»);
Уникального проводного переходного устройства, подключаемого к клавиатурному порту ПЭВМ и разъему провода клавиатуры (клавиатурный ключ).
В настоящее время наибольшее распространение получили следующие виды электронно-цифровых ключей и основанные на них программно-аппаратные средства защиты электронных документов:
- «HASP» (Hardware Against Software Piracy - аппаратное средство для защиты программного обеспечения от пиратов);
- «HardLock» (аппаратный замок);
- «iButton» (Intellectual Button - интеллектуальная кнопка).
Средство защиты электронных документов «HASP» состоит из таких компонентов, как:
Электронный ключ;
Специальное программное обеспечение для адаптации защищаемого программного продукта к электронному ключу, инсталляции драйверов защиты в компьютерную систему пользователя (на машинный носитель), кодирования данных и управления режимами работы ключа (локально или по сети ЭВМ с использованием ЭЦП);
Электронная инструкция пользователя, в которой изложены правила эксплуатации «HASP», порядок работы с ключом, схемы и методы защиты программ для ЭВМ и других электронных документов, способы обнаружения признаков подделки ключа и алгоритм действий пользователя в нештатных ситуациях.
Рассматриваемое средство защиты бесконфликтно работает с большинством современных аппаратных платформ ЭВМ и операционных систем, в связи с чем ключами «HASP» в настоящее время защищается более 2/3 коммерческих программ для ЭВМ, производимых и продаваемых на территории стран СНГ и Балтии .
Каждый ключ «HASP» содержит прикладную уникальную интегральную микросхему (Application Specific Integrated Circuit - ASIC-чип) для работы в LPT- (СОМ-) порту системного блока ЭВМ или специализированный защищенный микроконтроллер для использования в USB-порту ПЭВМ. По своему строению эти микросхемы состоят из двух основных компонентов: крипто-процессора, используемого для кодирования и декодирования потоков данных, посылаемых защищенной программой ключу в процессе работы, и электрически стираемого программируемого постоянного запоминающего устройства (ЭСППЗУ) или «EEPROM-памяти» (Electrically Erasable Programmable Read-only memory - электрически стираемая программируемая только читаемая память), как его чаще всего называют . В ЭСППЗУ в электронно-цифровой форме записывается различная служебная информация, которая может быть многократно перезаписана и считана, а именно:
Серийный номер ключа;
Неизменяемый уникальный код пользователя ключа - комбинация из 5-7 букв и цифр (печатается также графическими знаками на этикетке и корпусе ключа);
Служебные программы - драйверы и приложения, обеспечивающие работу ключа (технологическую коммутацию, программноаппаратную адаптацию, шифрование/дешифрование данных и др.);
Информация пользователя ключа (режим доступа к защищенному электронному документу и др.).
Объем памяти ключа составляет 512 байт. Микросхема выдерживает до 100 тыс. циклов перезаписи каждой ячейки памяти и гарантированно хранит записанную компьютерную информацию в течение не менее 10 лет .
Рассматриваемая технология позволяет «привязать» каждую копию электронного документа к конкретному ключу «HASP», контролировать процесс их распространения и использования, в том числе в сети ЭВМ.
Доступ на использование защищенного электронного документа (его чтение, редактирование, копирование и т. д.) разрешается в случаях если:
К ЭВМ, системе ЭВМ или их сети, на машинных носителях которых он содержится, подключен оригинальный ключ «HASP», соответствующий данному электронному документу;
Количество пользователей электронного документа в компьютерной сети не превышает число, записанное в памяти ключа (устанавливается изготовителем документа с помощью вышеуказанных средств «HASP»).
Система защиты «HardLock» включает электронный ключ «HardLock», карту криптографического программирования ключей (Crypto-Programmer Card) и программное обеспечение, позволяющее за короткий промежуток времени профессионально и быстро создать защиту для файлов данных и других электронных документов.
По внешним признакам и внутреннему строению ключ «HardLock» напоминает «HASP». Он также базируется на микроэлектронном изделии - интегральной микросхеме ASlC, состоящей из микропроцессора, EEPROM-памяти и работающей под управлением уникального программного обеспечения.
ASIC имеет сложную внутреннюю организацию и нетривиальные алгоритмы работы, которые практически невозможно реализовать на аппаратном уровне с помощью стандартных наборов микросхем типа PAL, GAL или PEEL.
Ключ «HardLock» программируется с помощью вышеуказанной криптокарты, после чего позволяет зашифровывать и расшифровывать данные блоками по 64 бита. Количество комбинаций кода равно 248. Напряжение питания микросхемы ASIC составляет всего 1,5 V, поэтому он устойчиво работает во всех стандартных портах ЭВМ и в любых режимах (при соответствующем конструктивном исполнении коммутирующих разъемов). Малый ток потребления ASIC позволяет одновременно использовать практически любое количество ключей «HardLock» на одной ЭВМ, т. е. параллельно работать с несколькими защищенными электронными документами (в мультипрограммном режиме): при чтении они автоматически расшифровываются, а при записи (сохранении) - зашифровываются с использованием алгоритма своего электронного ключа .
Ключи «HardLock» могут использоваться для работы и на автономной ЭВМ, и в локальной компьютерной сети. В последнем случае необходим всего лишь один ключ - «HardLock-Server», подключенный к порту сервера этой сети. «HardLock-Server» может работать в любых компьютерных сетях, использующих такие наиболее распространенные протоколы приема-передачи данных, как TCP/IP, NetBIOS и IPX.
Программное обеспечение электронного ключа «HardLock» включает следующие программы для ЭВМ:
Мастер настройки параметров работы ключа;
Модуль программирования и тестирования работы ключа;
Интерактивное руководство пользователя ключа, содержащее детальное описание каждой функции ключа, правила ее использования и тестирования;
Систему диагностирования ключа, позволяющую быстро определить и устранить возникшие неполадки в работе ключа при его использовании в стандартных программных средах DOS, Win16, Win32 или в компьютерных сетях;
Систему защиты электронных документов сетевого использования - документов, размещенных на Web- и FTP-серверах глобальной компьютерной сети Интернет в виде сайтов и отдельных электронных страниц .
Ключ ««iButton» широко используется в различных автоматизированных системах безопасности, охраны объектов и имущества, требующих идентификации владельца или пользователя: в системах разграничения доступа к компьютерной информации, автоматизированных контрольно-пропускных пунктах (КПП), электронных замках и системах электронной цифровой подписи. Помимо охранных систем «iButton» может служить для идентификации пользователя в системах электронных расчетов, требующих наличия банковских карт.
Рассматриваемый ключ представляет собой миниатюрное электронное устройство, выполненное на базе интегральной микросхемы энергонезависимой памяти, в которой хранится личный идентификационный код пользователя. Герметичный металлический двух- сегментный корпус в виде таблетки диаметром 16 мм и толщиной 3 либо 5 мм предохраняет ее от вредных атмосферных воздействий, механических повреждений и влияния электромагнитных полей. Одновременно металлические сегменты являются электрическими контактами, с помощью которых микросхема подключается к считывающему устройству. Ключ не требует особых условий эксплуатации - температурный диапазон его полноценной работы колеблется от -40 до +80 о С. Для удобства использования таблетка своим основанием впаяна в пластмассовый корпус - держатель, имеющий форму брелока для обычных ключей, с одной стороны которого находится «таблетка», а с другой - сквозное отверстие для его крепления на связке обычных ключей.
Каждому ключу при его изготовлении присваивается уникальный идентификационный номер, количество комбинаций которого достигает 256 триллионов: это исключает возможность его случайного подбора. Время гарантированного хранения идентификационной информации в памяти микросхемы ключа составляет более 10 лет .
Для обеспечения идентификации при работе с компьютером достаточно одного прикосновения к контактному устройству, чтобы пользовательский код считался из памяти «iButton» специальным считывающим устройством - считывателем («замком»), поставляемым вместе с электронным ключом. Считыватель представляет собой контактное миниатюрное электронное устройство, конструктивно оформленное в пластмассовый корпус черного цвета круглой, квадратной или овальной формы. Он может быть настроен на кратковременное касание ключом либо на удержание (фиксацию) ключа. С помощью клеящейся подложки он крепится на корпус ЭВМ, автоматизированного КПП, входных (защитных) дверей охраняемых объектов, дверные косяки, стены, решетки ограждения либо механически встраивается в них. Через адаптер для порта RS-232 считыватель с помощью провода и набора стандартных разъемов подключается к соответствующему порту ЭВМ, системы ЭВМ или их сети.
По функциональному назначению ключи «iButton» подразделяются на три вида: электронный идентификатор (Touch Serial Number); электронный ключ с памятью (Touch Memory); электронный ключ с защищенной памятью (Touch MultiKey) .
Итак, с криминалистических позиций электронно-цифровой ключ можно определить как программируемое электронное техническое устройство, изготовленное на базе интегральной микросхемы, содержащей в своей энергонезависимой памяти уникальный код доступа к охраняемой законом компьютерной информации, и являющееся одним из основных элементов программно-технического средства защиты информации.
Анализ материалов следственной практики позволяет выделить типичные способы подделки программно-аппаратных средств защиты, функционирующих на основе электронно-цифровых ключей 279 280 . Приведем их с учетом степени распространенности:
1. Создание и (или) использование программной копии (эмулятора) ЭЦК.
2. Модификация (переработка) защищенной программы.
3. Комбинированный способ (комплексное использование способов первой и второй группы).
Создание и (или) использование эмулятора 280 - наиболее распространенный способ подделки ЭЦК. Он состоит в написании специальной программы для ЭВМ, которая полностью имитирует работу драйвера защиты и самого ЭЦК. Эмулятор осуществляет программную подмену драйвера ЭЦК, перехватывает обращения к нему защищенной программы и посылает ей правильные ответы по идентификации кода ключа, которого реально нет в порту ПЭВМ (рис. 12). Иными словами, это корректно созданная на программном уровне точная копия ЭЦК и его драйвера, которая вместе с защищенной программой записывается на один материальный носитель.
Рис. 12. Принцип работы программы - эмулятора ЭЦК
Здесь и далее используются материалы, которые были опубликованы нами ранее. См.: Вехов В. Б. К вопросу борьбы с преступлениями в сфере оборота документов, защищенных электронно-цифровыми ключами // Защита информации. Инсайд, 2006. - № 1. - С. 12-16.
Эмуляция - имитация функционирования всей или части одной системы средствами другой системы без потери функциональных возможностей или искажения получаемых результатов. См.: Першиков В. И., Савинков В. М. Толковый словарь по информатике. М.: Финансы и статистика. - 1991. - С. 445.
Этот способ позволяет преступникам использовать защищенную программу, в том числе неограниченное число раз копировать ее вместе с эмулятором на различные машинные носители.
Так, 19 июля 2004 г. Кировским районным судом г. Омска в открытом судебном заседании были рассмотрены материалы уголовного дела в отношении А., обвиняемого в совершении преступлений, предусмотренных ч. 2 ст. 146 и ч. 1 ст. 273 УК РФ. Судом установлено, что А. в период с 30 сентября 2002 г. по 15 марта 2004 г., находясь при исполнении обязанностей инженера автоматизированных систем управления в ЗАО «H-Продукт» и обладая специальными познаниями в сфере установки и распространения компьютерных программ, умышленно причинил ущерб в крупном размере правообладателю бухгалтерской программы ЗАО «1C», путем установки контрафактных экземпляров компьютерной программы «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка» на компьютеры нескольких филиалов своего предприятия.
Поскольку программа «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка» могла работать в локальной компьютерной сети ЗАО «H-Продукт» только с уникальным электронно-цифровым ключом «HardLock-Server», которого у А. не было, он, в целях обеспечения ее нормальной работы без электронного ключа правообладателя, незаконно установил на компьютеры филиалов ЗАО «H-Продукт» программу-эмулятор «Sable», которую скопировал с одного из хакерских сайтов глобальной компьютерной сети Интернет. По заключению судебной компьютерно-технической экспертизы «Sable» является вредоносной программой для ЭВМ. На программном уровне она эмулирует (подменяет) работу ЭЦК «HardLock-Server», настроенного на защиту компьютерной программы «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка», что позволяет использовать эту программу в нарушение режима охраны, установленного ее правообладателем ЗАО «1C», т. е. без подключения соответствующего ЭЦК.
Суд признал А. виновным в незаконном использовании объектов авторского права, совершенном в крупном размере (ч. 2 ст. 146 УК РФ), а также использовании и распространении программы для ЭВМ, заведомо приводящей к несанкционированному блокированию и модификации информации, нарушению работы ЭВМ, системы ЭВМ и их сети (ч. 1 ст. 273 УК РФ), и назначил наказание в виде одного года и шести месяцев лишения свободы условно с испытательным сроком один год, штрафа в размере пяти тысяч рублей и взыскания в пользу потерпевшего ЗАО «1C» денежной суммы 217,5 тысяч рублей. В последующем суд кассационной инстанции признал приговор законным, обоснованным и справедливым .
Алгоритм выявления признаков подделки ЭЦК
1. Установить наличие работающей защищенной программы.
2. Установить наличие или отсутствие в порту ЭВМ (системы ЭВМ) ЭЦК.
3. Попытаться запустить защищенную программу без ЭЦК.
Алгоритм установления местонахождения эмулятора ЭЦК
1. На машинном носителе, на котором находится защищенная программа, произвести поиск программы-эмулятора.
2. По всем реквизитам (названию, объему, дате и логическому расположению на носителе) сравнить исполняемые файлы «взломанной» программы с аналогичными файлами защищенной программы - образцом.
3. По всем реквизитам сравнить драйвер ЭЦК «взломанной» программы с драйвером - образцом. Например, для ЭЦК «HASP» запустить оригинальный драйвер «hinstall-info» (образец) и узнать версию драйвера ЭЦК «взломанной» программы; файлы «haspnt.sys» (для ЭЦК «HASP»), «aksusb.sys», «hardlock.sys» и «hardlock.vxd» (для ЭЦК «HardLock) пореквизитно сравнить с оригинальными.
4. По ключевым словам «emulator», «emu» и другим параметрам произвести поиск папки, в которой может находиться программа- эмулятор.
5. Путем сканирования реестра операционной системы ЭВМ произвести поиск адресов местонахождения программы-эмулятора.
Модификация является вторым по степени распространенности в криминальной практике способом подделки ЭЦК. Он заключается в декомпилировании защищенной программы для ЭВМ , определении логики ее подключения к драйверу ЭЦК, отключении связей с ним и компилировании новых логических построений для корректной работы программы. Этот процесс крайне трудоемкий, поскольку фактически приходится произвести реинжениринг всей защищенной программы, а в некоторых случаях еще и драйвера ЭЦК. При этом нет гарантии того, что после выполнения таких операций «взломанная» программа будет работать.
Подчеркнем, что совершить указанные действия может лишь субъект, обладающий специальными знаниями в области программирования.
Понятие, юридическая сила и криминалистически значимые сведения об электронной цифровой подписи
В настоящее время существует много способов, с помощью которых можно установить подлинность электронного документа и идентифицировать его автора. В рамках криминалистики и судебной экспертизы наиболее перспективными из них являются исследование статичной электронной цифровой подписи и исследование динамичной электронной цифровой подписи.
В отличие от электронно-цифрового ключа электронная цифровая подпись (ЭЦП) позволяет не только защитить электронный документ от подделки, но и установить лицо, его создавшее.
Анализ нормативно-справочной и специальной литературы показывает, что статичная ЭЦП активно используется для удостоверения и защиты документированной компьютерной информации уже более 20 лет. Технология ЭЦП была разработана для нужд Министерства обороны и органов государственной безопасности. До конца 80-х гг. прошлого века данная ЭЦП в основном использовалась в закрытых автоматизированных системах управления и документальной электросвязи для защиты циркулирующих в них сведений.
В 1987 г. технология ЭЦП была рассекречена и передана для использования в народнохозяйственном комплексе страны. Нормативно- правовым актом, закрепившим это решение, стал Государственный стандарт СССР - ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования». В связи с тем, что данная сфера специальных знаний является новой для отечественной юридической науки и практики, подробнее рассмотрим некоторые базовые дефиниции.
«Криптография» в переводе с греческого языка означает тайнопись («криптос» - скрытый и «графи» - пишу), что отражает ее первоначальное предназначение: она исторически зародилась из потребности передачи секретной информации. Длительное время криптография была связана только с разработкой специальных методов преобразования информации с целью ее предоставления в форме, не доступной для потенциального противника. Примитивные (с позиций сегодняшнего дня) криптографические методы письма использовались с древнейших времен и рассматривались скорее как некоторое ухищрение, чем строгая научная дисциплина. Таким образом, классическая задача криптографии - обратимое преобразование некоторого понятного исходного текста (открытого письма) в кажущуюся случайной последовательность некоторых знаков письма, называемую шифртекстом, или криптограммой. При этом криптограмма может содержать как новые, так и имеющиеся в открытом сообщении знаки письма. Количество знаков в криптограмме и в исходном тексте может различаться. Однако непременным требованием является то, что, используя некоторые логические замены символов в криптограмме, можно однозначно и в полном объеме восстановить исходный текст знак в знак. Надежность сохранения информации в тайне обусловливалась в далекие времена тем, что в секрете держался сам метод - алгоритм ее преобразования (шифрования) .
Известно, что секретность алгоритма шифрования принципиально не может обеспечить безусловной невозможности чтения криптограммы потенциальным противником. Поскольку секретные алгоритмы не могут быть проверены широкомасштабными криптоаналитическими исследованиями, то имеется значительно более высокая вероятность (по сравнению с открытыми алгоритмами шифрования) того, что будут найдены эффективные способы доступа к зашифрованной информации. В связи с этими обстоятельствами в настоящее время наиболее широко распространены открытые алгоритмы шифрования, прошедшие длительное тестирование и обсуждение в открытой криптографической литературе. Стойкость современных криптосистем основывается на секретности не алгоритма, а некоторой информации сравнительно малого размера, называемой ключом. Ключ используется для управления процессом криптографического преобразования (шифрования) и является легкосменяемым элементом криптосистемы. Он также может быть заменен самим пользователем в произвольный момент, тогда как алгоритм шифрования является долговременным элементом криптосистемы, на разработку и тестирование которого иногда уходят десятилетия.
С началом применения электронно-цифровых способов обработки информации круг задач криптографии начал расширяться. На данном этапе, когда компьютерные технологии нашли массовое применение, проблематика криптографии включает многочисленные задачи, не связанные непосредственно с засекречиванием информации. Современные проблемы этой науки предполагают разработку систем ЭЦП и тайного электронного голосования, протоколов электронной жеребьевки и идентификации удаленных пользователей компьютерных систем и сетей, методов защиты от навязывания ложных
сообщений и несанкционированного доступа к информационным ресурсам, а также защиты документов и ценных бумаг от подделки .
Теоретической базой для решения задачи построения систем ЭЦП явилось открытие американскими исследователями Диффи и Хеллманом в середине 70-х гг. прошлого века двухключевой криптографии . Высказанные ими революционные идеи построения криптосистем с двумя ключами - закрытым (секретным) и открытым (известным всем пользователям криптосистемы, включая потенциального противника) - привели к резкому увеличению числа научных исследований в области криптографии, обозначили новые пути развития этой отрасли специальных знаний и показали уникальность методов криптографии в условиях массового применения компьютерных технологий.
По мнению специалистов, двухключевые криптоалгоритмы позволяют обеспечить строгую доказательность факта составления того или иного сообщения конкретным пользователем (абонентом) криптосистемы. Это основано на том, что только отправитель сообщения, который держит в тайне свой секретный ключ, может составить сообщение со специфической внутренней структурой. То, что сообщение имеет структуру, сформированную с помощью секретного ключа, проверяется с помощью открытого ключа. Эта процедура называется проверкой электронной цифровой подписи. Вероятность того, что документальное сообщение, составленное нарушителем, может быть принято за сообщение, подписанное каким-либо санкционированным пользователем (абонентом) криптосистемы ЭЦП, чрезвычайно низкая -равная 10 -30 степени. Таким образом, процедура проверки ЭЦП с помощью открытого ключа позволяет с высокой степенью гарантии удостовериться в том, что полученное документальное сообщение было составлено истинным владельцем секретного ключа. Открытый ключ формируется из секретного ключа либо секретный и открытый ключи генерируются одновременно с помощью алгоритма криптографического преобразования, определяемого соответствующим стандартом. Причем определение секретного ключа по открытому является вычислительно сложной задачей .
Все существующие на сегодняшний день системы ЭЦП базируются на трех стандартизированных открытых алгоритмах шифрования данных. Кратко рассмотрим их.
Одним из первых алгоритмов так называемого «блочного» или «двухключевого шифрования» информации стал «Data Encryption Standard» - DES. В 1977 г. он был рекомендован Национальным бюро стандартов и Агентством национальной безопасности (АНБ) США в качестве основного средства криптографической защиты информации и в государственных, и в коммерческих структурах. Однако уже в 1988 г. его использование было ограничено АНБ рамками одних лишь систем электронного перевода денежных средств, где он используется и по настоящее время. Необходимость такого шага была продиктована как ошибками, обнаруженными в ходе эксплуатации алгоритма, так и бурным развитием средств электронновычислительной техники, с помощью которых стало возможно расшифровывание сообщений, зашифрованных с его помощью. С учетом выявленных недостатков в DES стали вноситься изменения, что привело к появлению новых алгоритмов шифрования - NewDES («Новый DES»), TripleDES («Тройной DES») и других. Разработка этих алгоритмов была обусловлена большим количеством атак, которым подвергся DES за многие годы своего существования, а также тем, что 56-битного ключа, используемого в прототипе, стало недостаточно для поддержания требуемого уровня защиты документированной компьютерной информации .
Отечественным аналогом DES является ранее указанный алгоритм блочного шифрования, специфицированный в ГОСТ 28147-89. По мнению специалистов-криптографов, разработчики сумели органично соединить в нем две важные, трудно сочетающиеся друг с другом и не реализованные в DES характеристики: высокую криптографическую стойкость к атакам и возможность эффективного программного исполнения (за счет использования узлов, легко реализуемых на базе современных средств электронно-вычислительной техники и электросвязи). Этот алгоритм использует длинные 256-битные ключи шифрования информации, которые практически невозможно подобрать даже с использованием наисовременнейших компьютерных технологий .
В 1991 г. Национальный институт стандартизации и технологий (NIST) США опубликовал стандарт электронной цифровой подписи («Digital Signature Standard» - DSS), в основу которого был положен криптоалгоритм DSA - видоизмененный аналог алгоритма шифрования данных, ранее предложенный изобретателем Эль-Гамалем и основанный также на принципе формирования открытых и закрытых (секретных) ключей. В данном стандарте ЭЦП представляет собой два больших целых числа (одно - открытый ключ, другое - закрытый ключ), полученных в результате использования хэш-функции и асимметричного алгоритма шифрования (DSA) .
Вместе с тем в электронном документообороте зарубежных стран самым распространенным в настоящее время является алгоритм RSA, названный по первым буквам имен его американских создателей (Rivest, Shamir, Adleman). В начале 90-х гг. прошлого века он был обнародован в открытой печати и принят в качестве стандарта, получившего название «PKCS # 1: RSA Encryption Standard». По мнению специалистов, этот алгоритм более надежен, чем DSA за счет усложнения вычислительных операций над большими целыми числами, определяемых односторонними функциями с секретом. В этом случае открытый и секретный ключ состоит из пары простых целых чисел (в DSA - только из одного). Наряду с указанным преимуществом алгоритм RSA имеет и существенный недостаток - по сравнению с DSA он в 1 000 раз медленнее зашифровывает и расшифровывает данные. Это обстоятельство не позволяет эффективно использовать RSA для защиты объемных сообщений, но не мешает применять его для защиты данных малого объема, например, содержащихся на магнитной полосе или в
памяти интегральной микросхемы пластиковой карты.
В отличие от зарубежных алгоритмов DSA и RSA, обеспечивающих технологии ЭЦП, отечественная система удостоверения и защиты электронных документов свободна от их недостатков. Она определяется государственным стандартом нового поколения - ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи», который содержит описание процедур формирования и проверки схемы электронной цифровой подписи, реализуемой с использованием операций группы точек эллиптической кривой, определенной над конечным простым полем. Данный нормативный документ разработан взамен ранее действовавшего ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Система электронной цифровой подписи на базе асимметричного криптографического алгоритма». Необходимость его разработки вызвана потребностью в повышении стойкости ЭЦП к несанкционированным изменениям. Стойкость ЭЦП по этому стандарту основывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой, а также на стойкости используемой хэш-функции по действующему ГОСТ Р 34.11-94 «Информационная технология. Криптографическая защита информации. Функция хэширования».
Рассматриваемый ГОСТ Р 34.10-2001 терминологически и концептуально увязан с международными стандартами ИСО 2382-2-76 «Обработка данных. Словарь. Часть 2. Арифметические и логические операции», ИСО/МЭК 9796-91 «Информационная технология. Методы защиты. Схема цифровой подписи с восстановлением сообщения», серии ИСО/МЭК 14888 «Информационная технология. Методы защиты. Цифровые подписи с приложением» и серии ИСО/МЭК 10118 «Информационная технология. Методы защиты. Хэш-функции».
В настоящее время, помимо систем ЭЦП, на базе этих стандартов разработаны и активно внедряются в практику такие средства криптографической защиты информации, как: «Аккорд», «Верба», «Застава», «Криптон», «Крона», «ФОРТ», «ФПСУ-IP», «Шип» и другие. Их производителями являются ООО «Амикон», фирма «Анкей», МО ПНИЭИ и ОАО «Элвис-плюс».
Вместе с тем, поскольку крупнейшими мировыми производителями программного обеспечения и оборудования для технологий банковских карт международных платежных систем объективно являются зарубежные компании, они, естественно, реализуют в этих продуктах свои национальные стандарты, ставшие международными, - семейств DES, DSA и RSA. Анализ материалов конкретных уголовных дел показывает, что средства ЭЦП, которые создаются на базе этих алгоритмов и интегрируются в электронные платежные системы, довольно легко взламываются либо обходятся преступниками, имеющими высокий образовательный уровень и соответствующие специальные знания.
Так, Главным следственным управлением МВД Республики Казахстан было расследовано уголовное дело по факту незаконного перечисления 6 млн 795 тыс. тенге, сопряженного с использованием системы ЭЦП, построенной на базе одного из указанных стандартов.
Следствием было установлено, что некто О. работал в Алатаус- ком филиале КРАМДС-Банка ведущим специалистом по вычислительной технике. Перед увольнением он в рабочее время переписал на свою дискету программу с секретным ключом ЭЦП, которой удостоверялись электронные платежные документы, отправляемые филиалом КРАМДС-Банка в вычислительный центр (ВЦ) Национального Банка Республики Казахстан. Периодическая смена ключей шифрования обычным (ручным) способом не производилась. Данным стандартом ЭЦП также не была предусмотрена возможность динамического изменения ключей в автоматическом режиме по прошествии определенного времени. Эти обстоятельства и позволили
О. через четыре месяца после увольнения совершить покушение на хищение денежных средств следующим способом.
В своей квартире с помощью компьютера и стандартного программного обеспечения он создал фиктивные электронные документы о зачислении на расчетный счет собственного МП «Анжелика» 6 млн 795 тыс. тенге и перечислении этих средств из Алатауского филиала КРАМДС-Банка, обслуживающего данный счет, в АКБ «Казкоммерцбанк» на счет ТОО «Хасар». Далее О. подписал документы имевшейся у него ЭЦП. Зашифрованные таким образом файлы с бухгалтерскими проводками он скопировал на дискету.
На следующий день О. позвонил оператору ВЦ Нацбанка Республики Казахстан Ч. и, представившись сотрудником филиала КРАМДС-Банка, сообщил, что в филиале якобы произошел устойчивый технический сбой в работе средств электросвязи, вследствие чего они передадут данные о бухгалтерских проводках не по электронной почте (по компьютерной сети), а на дискете, которую привезет сотрудник банка. Ч., зная, что такой порядок передачи электронных документов допускается, не проверил сведения об отсутствии электросвязи с обслуживаемым филиалом КРАМДС-Банка, как того требует инструкция, принял дискету у постороннего лица, не удостоверившись в его личности, и проверил ЭЦП. Установив подлинность ЭЦП и сверив форматы файлов с образцами, Ч. скопировал их с дискеты в компьютерную систему ВЦ и отправил содержащиеся в них электронные бухгалтерские документы на конечную обработку.
В тот же день деньги в сумме 6 млн 795 тыс. тенге были незаконно зачислены на счет ТОО «Хасар», с которым О. заключил договор о покупке товаров народного потребления.
В результате непредвиденных обстоятельств в ТОО «Хасар» товара на указанную сумму, предназначенного для МП «Анжелика», не оказалось, и только по этой причине О. не смог его получить вовремя. Напротив, потерянного О. времени хватило сотрудникам службы безопасности банка, чтобы обнаружить факт незаконного зачисления на счет МП «Анжелика» указанных денежных средств, установить путь их движения по счетам и определить реквизиты счета, на котором они в конечном итоге осели 29 .
На базе двухключевых криптографических алгоритмов, помимо технологий ЭЦП, в настоящее время все более широкое распространение получают системы тайного электронного голосования и криптографическая защита документов и ценных бумаг от подделки.
Одним из обязательных условий получения лицензии на работу с государственной тайной является наличие в организации сертифицированных средств защиты информации.
Сертификация средств защиты информации, прежде всего, подразумевает проверку их качественных характеристик для реализации основной функции – защиты информации на основании государственных стандартов и требований по безопасности информации . Применительно к сведениям, составляющим государственную тайну, общие принципы организации сертификации средств защиты информации определены нормами статьи 28 Закона РФ "О государственной тайне" – средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. Организация сертификации средств защиты информации возлагается на Федеральное агентство контроля экспорта и технологий, Министерство обороны РФ в соответствии с функциями, возложенными на них законодательством РФ. Сертификация осуществляется на основании требований государственных стандартов РФ и иных нормативных документов, утверждаемых Правительством РФ. Одним из основных руководящих документов по сертификации защиты информации в настоящее время является Положение о сертификации средств защиты информации, утвержденное Постановлением Правительства РФ от 25.06.95 г. № 608, реализующим нормы Закона РФ "О сертификации продукции и услуг".
Порядок проведения сертификации основан на следующих принципах :
1. Обязанность сертификации изделий, обеспечивающих защиту государственной тайны.
2. Обязательность использования криптографических алгоритмов, являющихся стандартами.
3. Принятие на сертификацию только изделий от заявителей, имеющих лицензию.
Таким образом, в соответствии с вышеназванными документами разработаны и введены в действие перечни средств защиты информации, подлежащих обязательной сертификации; государственным организациям и предприятиям запрещено использование в информационных системах шифровальных средств (в т.ч. электронной подписи и защищенных технических средств хранения, обработки и передачи информации), не имеющих сертификата.
Осуществляется следующий порядок сертификации (рис. 4.2.):
1. В Центральный орган по сертификации (орган, аккредитованный ФСТЭК России) подается заявление и полный комплект технической документации.
2.Центральный орган назначает испытательный центр (лабораторию) для проведения испытания.
3. Испытания проводятся на основании хозяйственного договора между заявителем и испытательным центром.
4. Сертификация (экспертиза материалов и подготовка документов для выдачи) осуществляется Центральным органом. Сертификат выдается на срок до 5 лет.
Кроме указанных целей, сертификация средств защиты информации необходима также для решения вопросов экономической безопасности организации в связи с постоянным ростом компьютерных преступлений. Правовой основой предупреждения компьютерных преступлений является Указ Президента РФ "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставление услуг в области шифрования информации" № 334 от 03.04.95 г. Приведем некоторые выдержки из данного указа:
· государственным организациям и предприятиям запрещено использование шифровальных средств, технических средств хранения, обработки и передачи информации, не имеющих сертификата;
· запрещено размещение государственных заказов на предприятиях, в организациях, использующих указанные средства, не имеющие сертификата;
· запретить деятельность физических и юридических лиц в области шифровальных и защищенных средств без лицензии;
· запретить ввоз на территорию России не лицензированных шифровальных средств и защищенной техники иностранного производства.
После получения сертификата на право оказания услуг за организацией осуществляется государственный контроль (надзор) по соблюдению требований технических регламентов.
Система аттестации объектов информатизации по требованиям безопасности информации является составной частью единой системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном порядке. Деятельность системы аттестации организует федеральный орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации федеральный орган по сертификации и аттестации, которым является ФСТЭК России.
Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа - "Аттестата соответствия" подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утвержденных ФСТЭК России. Наличие на объекте информатизации действующего "Аттестата соответствия" дает право обработки информации с уровнем секретности (конфиденциальности) и на период времени, установленными в "Аттестате соответствия".
Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну и ведения секретных переговоров.
Аттестация предусматривает комплексную проверку защищаемого объекта информатизации в реальных условиях эксплуатации с целью оценки соответствия применяемого комплекса меp и средств защиты требуемому уровню безопасности информации. Аттестация по требованиям безопасности информации предшествует началу обработки подлежащей защите информации и вызвана необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информатизации мер и средств защиты информации. При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.
Литература
1. Аверченков, В.И. Аудит информационной безопасности: учеб. пособие/В.И. Аверченков. – Брянск: БГТУ, 2005 – 269 с.
2. Аверченков, В.И. Организационная защита информации: учеб. пособие/В.И. Аверченков, М.Ю. Рытов – Брянск: БГТУ, 2005 – 184с.
3. Аверченков, В.И., Служба защиты информации: организация и управление: учеб. пособие / В.И. Аверченков, М.Ю. Рытов – Брянск: БГТУ, 2005 – 186с.
4. Аверченков, В.И. Система обеспечения безопасности Российской Федерации: учеб. пособие / В.И. Аверченков, В.В. Ерохин. – Брянск: БГТУ, 2005. – 120 с.
5. Аверченков, В.И. Системы защиты информации в ведущих зарубежных странах: учеб. пособие для вузов / В.И. Аверченков, М.Ю. Рытов, Г.В. Кондрашин, М.В. Рудановский. – Брянск: БГТУ, 2007. – 225 с
6. Домарев, В.В. Безопасность информационных технологий. Системный подход / В.В. Домарев – Киев: ООО «ТиД», 2004. – 914с.
7. Медведовский, И.Д. Практическое применение международного стандарта безопасности информационных систем ISO 17799 www.dsec.ru/cd-courses/iso 17799 cd.php/
8. Петренко, С.А. Аудит безопасности Iuranrt / С.А. Петренко, А.А.Петренко – М: Академии АиТи: ДМК Пресс, 2002. – 438с.
9. Петренко, С.А. Управление информационными рисками. Экономически оправданная безопасность/ С.А. Петренко, С.В. Симонов – М: Академия АиТи: ДМК Пресс, 2004. – 384с.
10. Покровский, П. Оценка информационных рисков/ П. Покровский – 2004. – №10. Изд-во «Открытые системы» (www.osp.ru).
11. Семкин, С.И. Основы организационного обеспечения информационной безопасности объектов информатизации: учеб. пособие. / С.И. Семкин, Э.В. Беляков, С.В. Гребнев, В.И. Козичок – М: Гелиос АРВ, 2005 – 192 с.
13. www.rg.ru – Интернет-сайт «Российской Газеты».
14. www.fstek.ru - Официальный сайт ФСТЭК России.
15. www.fsb.ru - Официальный сайт ФСБ России.
16. www.egovernment.ru - Интернет - журнал “Информационная безопасность”.
17. www.gtk.lissi.ru - Официальные документы Гостехкомисссии России.
18. www.gdezakon.ru - Интернет - сайт “Полное собрание законов России”.
19. www.law.yarovoiy.com - - Интернет - сайт “Все законы России”.
20. Галатенко, А. Активный аудит/ А. Галатенко // Jet Info on line.– 1999.– №8(75). article 1.8. 1999……
21. Гузик, С. Зачем проводить аудит информационных систем? /С. Гузик // Jet Info on line. – 2000. – 10 (89). articlel.10.2000.
22. Кобзарев, М Методология оценки безопасности информационных технологий по общим критериям / М. Кобзарев, А. Сидак // Jet Info on line. – 2004. – 6 (133). article 1.6.2004.
23. Петренко, С Информационная безопасность: Экономические аспекты / С. Петренко, С. Симонов, Р. Кислов // Jet Info on line. – 2003 – №10 (125). article 1.10.2003.
©2015-2019 сайт
Все права принадлежать их авторам. Данный сайт не претендует на авторства, а предоставляет бесплатное использование.
Дата создания страницы: 2016-08-07
Под сертификацией продукции по требованиям защиты информации и информационной безопасности будем понимать комплекс организационно-технических мероприятий, в результате которых посредством специального документа-сертификата и знака соответствия с определенной степенью достоверности подтверждается, что продукция соответствует требованиям:
государственных стандартов или иных нормативных правовых актов, утвержденных Правительством РФ - для продукции, используемой при обработке информации, содержащей сведения, составляющие государственную тайну;
государственных или отраслевых стандартов, иных нормативных актов, утвержденных Правительством РФ или ФСБ РФ для продукции, используемой при обработке конфиденциальной информации, не содержащей сведений, составляющих ГТ.
При этом подлежат обязательной сертификации в рамках системы сертификации следующие средства защиты информации:
технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих ГТ;
средства, в которых реализованы перечисленные средства;
средства контроля эффективности защиты информации.
Правовой основой сертификации средств защиты информации по требованиям безопасности информации являются следующие нормативные правовые акты: 1)
Положение о сертификации средств защиты информации по требованиям безопасности информации, введенное в действие приказом Председателя Гостехкомиссии России № 199 от 2.7 октября 1995 г.; 2)
Закон Российской Федерации «О сертификации продукции и услуг» №5151-1 от 10 июня 1993 г. ; 3)
Закон Российской Федерации «О государственной тайне»; 4)
Постановление Правительства РФ № 608 «О сертификации средств защиты информации» от 26 июня 1995 г.; 5)
Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам; 6)
Положение о системе сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (система сертификации СЗИ-ГТ); 7)
Положение о «Системе сертификации ГОСТ Р»; 8)
Правила по проведению сертификации в Российской Федерации и др.
Структура системы сертификации средств защиты информации по требованиям ее безопасности включает аттестацию объектов информатизации по требованиям безопасности информации и государственную регистрацию в установленном Госстандартом порядке, который и организует деятельность системы сертификации в пределах ее компетенции, определенной законодательными и иными нормативными актами РФ.
Аттестации по требованиям безопасности информации подлежат следующие объекты информатизации: автоматизированные системы (АС) различного уровня и назначения; системы связи; системы отображения и размножения документов, предназначенные для обработки и передачи информации, подлежащей защите вместе с помещениями, в которых они установлены; помещения, предназначенные для ведения конфиденциаль- н ы х пер е го в op ов.
Цели создания системы сертификации: обеспечение реализации требований государственной системы защиты информации; создание условий для качественного и эффективного обеспечения потребителей сертифицированными средствами защиты информации; обеспечение национальной безопасности в сфере информатизации; содействие формированию рынка защищенных информационных технологий и средств их обеспечения; формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом современных требований по защите информации; поддержка проектов и программ информатизации.
Перечень средств защиты информации, подлежащих обязательной сертификации, разрабатывается ФСТЭК России, согласовывается с Межведомственной комиссией по защите ГТ и включает:
средства, в том числе иностранного производства, предназначенные для защиты информации, составляющей ГТ, и другой информации с ограниченным доступом;
средства, используемые в управлении экологически опасными объектами.
В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства защиты информации.
Система сертификации СЗИ-ГТ. Федеральная служба безопасности РФ создала систему обязательной сертификации средств защиты информации по требованиям безопасности для сведений, составляющих ГТ (система сертификации СЗИ-ГТ). Основными целями создания такой системы являются: обеспечение национальной безопасности в сфере информатизации; формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом требований системы защиты ГТ; регулирование и контроль разработки, а также последующего производства СЗИ-ГТ. Сертификация СЗИ-ГТ осуществляется аккредитованными органами по сертификации, а испытания проводятся в аккредитованных испытательных центрах (лабораториях).
Основными схемами сертификации СЗИ-ГТ (в соответствии с Порядком проведения сертификации продукции в Российской Федерации, утвержденным постановлением Госстандарта России № 15 от 21 сентября 1994 г.) являются:
для серийного производства СЗИ-ГТ - проведение испытаний типа продукции на соответствие нормативным документам и требованиям, предъявляемым для защиты сведений, составляющих ГТ, и последующий инспекционный контроль стабильности характеристик сертифицированной продукции, обеспечивающих (определяющих) выполнение этих требований. Кроме того, по решению органа по сертификации может проводиться предварительная проверка производства;
для единичных образцов СЗИ-ГТ - проведение испытаний образца на соответствие нормативным документам и требованиям, предъявляемым для защиты сведений, составляющих государственную тайну.
Сертификация СЗИ-ГТ" осуществляется аккредитованными органами по сертификации, а испытания проводятся аккредитованными испытательными центрами (лабораториями) па их материально-технической базе. В отдельных случаях по согласованию с органом по сертификации и при согласии разработчика (изготовителя, продавца) допускается проведение испытаний на испытательной базе разработчика данного СЗИ-ГТ в присутствии представителя органа по сертификации.
Организационную структуру системы сертификации образуют:
ФСБ России (федеральный орган исполнительной власти, уполномоченный проводить работу по обязательной сертификации средств защиты информации);
центральный орган системы сертификации (создастся при необходимости);
органы по сертификации СЗИ-ГТ;
испытательные центры (лаборатории);
учебно-методический центр;
заявители (разработчики, изготовители, продавцы, потребители
Порядок проведения сертификации включает следующие действия: подача и рассмотрение заявки на сертификацию СЗИ-ГТ; испытания сертифицируемых СЗИ-ГТ и анализ состояния их производства; экспертиза результатов испытаний, оформление, регистрация и выдача сертификата соответствия и лицензии на право применения знака соответствия; осу- ществление инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными СЗИ-ГТ, информирование о результатах сертификации СЗИ-ГТ; рассмотрение апелляций.
Сертификация средств защиты информации, не относящейся
к ГТ, осуществляется ФСТЭК России и аккредитованными органами по сертификации. Испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материально-технической базе. В отдельных случаях по согласованию с ФСТЭК России или органом по сертификации допускается проведение испытаний на испытательной базе разработчика (изготовителя, поставщика, потребителя) данного средства защиты информации. Правила аккредитации определяются действующим в системе «Положением об аккредитации испытательных центров (лабораторий) и органов по сертификации средств защиты информации».
Порядок оплаты работ по сертификации конкретных средств защиты информации производится заявителем на основании договоров между участниками сертификации. Сумма средств, израсходованных заявителем на проведение сертификации средства защиты информации, относится на ее себестоимость.
Органы по сертификации и испытательные центры (лаборатории) несут ответственность: за выполнение возложенных на них функций; обеспечение сохранности ГТ, других конфиденциальных сведений, материальных ценностей, предоставленных заявителем; соблюдение авторских прав заявителя при испытаниях его средств защиты информации.
Организационную структуру системы сертификации средств защиты информации по требованиям безопасности составляют:
ФСТЭК России (федеральный орган по сертификации средств защиты информации);
центральный орган системы сертификации средств защиты информации (ЦО);
органы по сертификации средств защиты информации (ОС);
испытательные центры (лаборатории) (ИЦ);
заявители (разработчики) средств защиты информации;
изготовители;
поставщики;
потребители.
Для организации и ведения соответствующего вида деятельности заявители (разработчики, изготовители, поставщики) должны иметь лицензию ФСТЭК России.
Органы по сертификации и испытательные центры (лаборатории) аккредитуются ФСТЭК России. Они должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям конкретных средств защиты информации в своей области аккредитации.
Аккредитация производится только при наличии лицензии ФСТЭК России на соответствующие виды деятельности. Аккредитация предприятий, подведомственных федеральным органам исполнительной власти, в качестве органов по сертификации и испытательных центров (лабораторий) осуществляется по представлению этих органов власти.
Порядок проведения сертификации и контроля. Его можно представить следующим алгоритмом (рис. 10.2): 1)
подача и рассмотрение заявки на сертификацию средств защиты информации; 2)
испытание сертифицируемых средств защиты информации и аттестация их производства; 3)
экспертиза результатов испытаний; 4)
оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия; 5)
осуществление государственного контроля и надзора, инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации; 6)
информирование о результатах сертификации средств защиты информации; 7)
рассмотрение апелляций.
Рассмотрим подробнее составляющие алгоритма сертификации средств защиты информации.
1. Подача и рассмотрение заявки на сертификацию средств защиты информации. Заявитель для получения сертификата направляет в ФСТЭК России заявку на проведение испытаний с указанием схемы проведения сертификации, стандартов и иных нормативных документов, на соответствие требо в а ниям кото р ы х до л ж и а п р о в о д ит ь с я се рт и ф и к ац и я.
ФСТЭК в месячный срок после получения заявки направляет заявителю решение на проведение сертификации в назначенных для проведения сертификат!и органе по сертификации и испытательном центре (лаборатории). По желанию заявителя орган по сертификации и испытательный центр (лаборатория) могут быть изменены. После получения решения заявитель обязан представить в орган по сертификации и испытательный центр (лабораторию) средства защиты информации, технические условия на это средство, а также комплект технической и эксплуатационной документации согласно нормативным документам по единой системе документации - конструкторской (ЕСКД) и проектной (ЕСПД) - на сертифицируемое средство защиты информации. ?МШ Подача и рассмотрение заявки
Испытание средств и аттестация их производства
Экспертиза результатов испытаний
\ Оформление, регистрация и выдача сертификата
Информирование о результатах сертификации
Рассмотрение апелляций
Рис, 10.2. Алгоритм сертификации средств защиты информации
2. Испытания сертифицируемых средств защиты информации в испытательных центрах (лабораториях). Испытания проводятся на образцах и конструкциях по программам и методикам испытаний, согласованным с заявителем и утвержденным органом по сертификации. Состав и технология изготовления испытуемых образцов должны быть такими же, как и у образцов, поставляемых потребителю, заказчику.
Техническая и эксплуатационная документация на серийные средства защиты информации должна иметь литеру не ниже «01» (по ЕСКД).
Количество образцов, порядок их отбора и идентификации должны соответствовать требованиям нормативных и методических документов на данный вид средства защиты информации. В случае если на момент сертификации испытательный центр (лаборатория) отсутствует, орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов. Сроки проведения испытаний устанавливаются договором между заявителем и испытательным центром (лабораторией). По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов средств защиты информации в испытательном центре (лаборатории).
Результаты испытаний оформляются протоколами и заключением, оригиналы которых испытательный центр (лаборатория) направляет органу по сертификации, а копии - заявителю.
При внесении изменений в конструкцию (состав) средств защиты информации или технологию их производства, которые могут повлиять на характеристики этих средств защиты информации, заявитель извещает об этом орган по сертификации, который принимает решение о необходимости проведения новых испытаний этих средств.
Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных. 3.
Экспертиза результатов испытаний. Экспертизу результатов испытаний, оформление экспертного заключения и проекта сертификата, при соответствии результатов испытаний требованиям нормативных документов по защите информации, проводит орган по сертификации. Далее он направляет эти документы и технические условия на средство защиты информации в ФСТЭК России. 4.
Оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия. После утверждения экспертного заключения, согласования технических условий на средство защиты информации и присвоения сертификату регистрационного номера ФСТЭК России оформляет сертификат. Затем все документы выдаются заявителю.
Срок действия сертификата устанавливается не более чем на пять лет.
В случае несоответствия результатов испытаний требованиям стандартов или иных нормативных документов по защите информации ФСТЭК России принимает решение об отказе в выдаче сертификата и направляет заявителю мотивированное заключение. При несогласии с отказом заявитель имеет право обратиться в апелляционный совет ФСТЭК России для дополнительного рассмотрения материалов сертификации.
Получение сертификата дает изготовителю право получить у ФСТЭК России сертификационную лицензию на маркировку этих средств знаком соответствия. Форма знака соответствия устанавливается ФСТЭК России. Владелец лицензии на применение знака соответствия несет ответственность за поставку маркированных средств защиты информации, не отвечающих требованиям нормативной и методической документации, указанной в сертификате.
Для признания зарубежного сертификата заявитель направляет его копию и заявку на признание сертификата в ФСТЭК России, которая не поз- днее двух месяцев после их получения уведомляет заявителя о признании или необходимости проведения сертификационных испытаний. В случае признания заявителю выдается сертификат установленного образца. 5.
Государственный контроль и надзор, инспекционный контроль соблюдения правил обязательной сертификации и сертифицированных средств защиты информагрш. Рассматриваемые виды контроля осуществляет ФСТЭК России, а их объем, содержание, порядок, периодичность и правила организации и проведения контроля за конкретными видами сертифицированных средств защиты устанавливаются нормативной и методической документацией, действующей в системе сертификации средств защиты информации.
Инспекционный контроль сертифицированных средств защиты информации осуществляет орган по сертификации, проводивший сертификацию этих средств защиты информации. По результатам контроля ФСТЭК России может приостановить или отменить действие сертификата и аттестата аккредитации, а орган по сертификации - ходатайствовать об этом.
Решение об отмене действия сертификата принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие средств защиты информации установленным требованиям в силу следующих причин:
изменение нормативных и методических документов на средст ва защиты информации или методов испытаний и контроля;
изменение конструкции (состава) и комплектности средств защиты информации, системы контроля их качества;
невыполнение требований технологии изготовления, контроля, испытаний средств защиты информации;
отказ заявителя в допуске (приеме) лиц, уполномоченных осуществлять государственный контроль и надзор, инспекционный контроль за сертификацией и за сертифицированными средствами защиты информации.
Информация о приостановлении (отмене) действия сертификата или аттестата аккредитации немедленно доводится до сведения изготовителей, потребителей средств защиты информации, органов по сертификации и испытательных центров (лабораторий). 6.
Информирование о сертификации средств защиты информации. Этот процесс является одной из важных функций ФСТЭК России. Она обеспечивает участников сертификации необходимой информацией о деятельности системы сертификации, в числе которой:
перечень средств защиты информации (их сертифицированных параметров), на которые выданы сертификаты; в перечень средств защиты информации (их сертифицированных параметров), на которые действие сертификатов отменено;
перечень органов по сертификации конкретных видов средств защиты информации;
перечень испытательных центров (лабораторий);
перечень нормативных документов, на соответствие требованиям которых проводится сертификация средств защиты информации, и методических документов по проведению сертификационных испытаний.
7. Рассмотрение апелляций. Апелляция подается в орган по сертификации, центральный орган системы сертификации или в апелляционный совет ФСТЭК России по вопросам, связанным с деятельностью испытательных центров (лабораторий), органов по сертификации и рассматривается в месячный срок с привлечением заинтересованных сторон. О принятом решении извещается податель апелляции.
