SDS NG на защите информации

Защита хранимой и обрабатываемой информации — одна из наиболее актуальных сегодня задач для российских компаний. Для ее эффективного решения требуется комплексный подход, включающий технические, программно-аппаратные и административные средства. Для надежной защиты критически важной конфиденциальной информации компания Aladdin (http://www.aladdin.ru) разработала Secret Disk Server New Generation 3.0 (SDS NG) — программно-аппаратный комплекс защиты корпоративной информации (баз данных, файловых архивов, бизнес-приложений и их данных), хранящейся на серверах, работающих под управлением Microsoft Windows 2000/XP/Server 2003.

В продукте используется проверенная технология защиты данных методом их "прозрачного" шифрования. Иными словами, криптографическое преобразование данных выполняется в фоновом режиме при чтении и записи на диск, одновременно с работой пользователя или приложения и абсолютно незаметно для него без снижения производительности. При прямом просмотре содержимое отключенного защищенного диска выглядит как случайная последовательность битов ("белый шум"). С помощью SDS NG на сервере можно зашифровать основные разделы, динамические тома, RAID-массивы, а также съемные диски.

Для преобразования обычного диска в защищенный (зашифрования) необходимо иметь смарт-карту или USB-ключ eToken с электронной лицензией администратора. Кроме того, в памяти eToken должен находиться сертификат открытого ключа администратора SDS NG и соответствующий ему закрытый ключ. Можно использовать уже имеющиеся сертификаты (например, сертификат для входа в сеть или ЭЦП и шифрования почты). Если у администратора нет цифрового сертификата, SDS NG сгенерирует закрытый ключ и сертификат.

SDS NG не имеет встроенных средств шифрования, а для выполнения криптографических операций используются внешние модули, прошедшие тестирование и сертификацию в независимых лабораториях.

В SDS NG реализована возможность мгновенного блокирования доступа к информации при подаче серверу сигнала "Тревога". Такой сигнал может подать как внешнее устройство (например, "красная кнопка", радиобрелок или охранная сигнализация), так и пользователь с помощью обычного интерфейса. Для каждого защищенного диска могут быть определены индивидуальные сценарии реакции на этот сигнал.

Для шифрования дисков и защиты мастер-ключей защищенных дисков SDS NG может использовать российские сертифицированные криптопровайдеры. При работе с «КриптоПро CSP 2.0» и Signal-COM CSP используются сертификаты открытого ключа, совместимые с этими поставщиками службы криптографии. В остальных случаях в SDS NG 3.0 применяются сертификаты на основе ключей RSA.

Как правило, если в организации используются сертифицированные российские средства шифрования, то администратору достаточно иметь сертификат с закрытым ключом, созданный с помощью Signal-COM CSP или «КриптоПро CSP 2.0». Диски при этом шифруются только по алгоритму, соответствующему ГОСТ-28147-89. Если же использование именно российских криптографических средств необязательно, то применяется сертификат, связанный с ключевой парой RSA, а диски шифруются по алгоритмам AES, DES, Triple DES или Twofish. Таким образом, на практике в большинстве случаев администратор использует единственный сертификат.

При обращении к инструментам управления SDS NG 3.0 используется двухфакторная аутентификация — администратор должен подключить к компьютеру свой eToken, указать свой сертификат и ввести PIN-код.

В начале процесса создания защищенного диска администратор выбирает алгоритм шифрования диска. Алгоритмы, реализуемые криптографическим драйвером режима ядра, входящим в состав Windows (DES и Triple DES), доступны всегда. Алгоритм, соответствующий ГОСТ-28147-89, можно использовать при наличии на сервере и рабочей станции администратора поставщика службы криптографии «КриптоПро CSP 2.0» или Signal-COM CSP.

После выбора алгоритма шифрования генерируется уникальный ключ шифрования диска. Для каждого администратора SDS NG сгенерированный ключ зашифровывается с применением открытого ключа соответствующего сертификата и сохраняется в зашифрованном виде на системном диске сервера в защищенном хранилище. Содержимое диска шифруется посекторно с использованием выбранного алгоритма шифрования и сгенерированного ключа шифрования.

Чтобы открыть доступ к данным на защищенном диске, администратор SDS NG должен подключить диск. Для этого хранящийся в памяти eToken закрытый ключ (доступ к которому возможен только после ввода PIN-кода) будет использован для расшифрования ключа шифрования диска. На сервере может быть зарегистрировано произвольное число администраторов SDS NG 3.0 с разграничением доступа.

Пользователи обращаются к защищенным дискам по сети в зависимости от полномочий, определяемых ОС и файловыми системами. В качестве альтернативы многопользовательского доступа к данным на защищенном диске можно использовать запрет сетевого доступа, например, для дисков, на которых хранятся корпоративные базы данных. Непосредственно обращаться к данным на таком диске будут только соответствующие приложения, установленные на сервере. Доступ по сети к содержимому такого подключенного защищенного диска не сможет получить никто, даже администратор домена Windows через административные сетевые ресурсы.

В зависимости от типа и характера использования данных, которые требуется защищать на сервере, возможны три варианта поставки SDS NG: для файл-серверов, для серверов приложений и для файл-сервера и сервера приложений. В базовую поставку входят программный CD-ROM, 2 USB-ключа eToken PRO, удлинительный USB-кабель, эксплуатационная документация, устройство "Красная кнопка" для подачи серверу сигнала "Тревога", серверная лицензия, лицензия на одно рабочее место администратора.