Altell Trust - Schutz vor unbefugtem Zugriff. Altell Trust - Schutz vor unbefugtem Zugangsmodul Trusted Loading
Grundlagen-Konzept
- Steuerung des Geräts, aus dem das BIOS die Betriebssystemlast startet (häufiger eine Festplatte des Computers, aber es kann auch ein Wechselmedienleser sein, der über das Netzwerk usw. lädt);
- Überwachung der Integrität und Genauigkeit des Bootsektors des Geräts und der Systemdateien des Startbetriebssystems;
- Verschlüsselung / Entschlüsselung des Bootsektors, Systemsystemdateien oder Verschlüsselung aller Gerätedaten (optional).
- Die Authentifizierung, Verschlüsselung und Speicherung von geheimen Daten, z. B. Tasten, Prüfsummen und Hash-Summen, werden auf der Grundlage von Hardware durchgeführt.
Authentifizierung
Die Benutzerauthentifizierung kann auf verschiedene Arten und in verschiedenen Stufen des Computers geladen werden.
Um die Identität des Startcomputers zu bestätigen, sind möglicherweise verschiedene Faktoren erforderlich:
- Geheimes Login und Benutzerpasswort;
- Diskette, Kompaktscheibe, Flash-Karte mit geheimen Authentifizierungsinformationen;
- Hardwareschlüssel mit einem Computer über USB, serielle oder parallele Anschlüsse verbunden;
- Hardwareschlüssel oder biometrische Informationen, die mit einem einzigen Hardwaremodul in einen Computer gelesen werden.
Die Authentifizierung kann Multifactor sein. Auch die Authentifizierung kann Multiplayer mit der Trennung von Zugriffsrechten an den Computer sein. Ein Benutzer kann also nur das Betriebssystem von der Festplatte ausführen, während ein anderes verfügbar ist, um die CMOS-Konfiguration zu ändern und das Startgerät auszuwählen.
Die Authentifizierung kann auftreten:
- Während der BIOS-Firmware-Ausführung;
- Vor dem Herunterladen des Hauptstartsatzes (MBR) oder des Bootsektors des Betriebssystems;
- Während der Ausführung des Programms des Bootsektors.
Die Authentifizierung in verschiedenen Download-Stadien hat seine Vorteile.
Stadien des vertrauenswürdigen Ladens
In verschiedenen Stufen des Computerladens kann die vertrauenswürdige Belastung von verschiedenen Mitteln durchgeführt werden, und wird daher unterschiedliche Funktionalität aufweisen.
- BIOS Firmware-Ausführung. Zu diesem Zeitpunkt kann es implementiert werden: Überprüfen der Integrität der BIOS-Firmware, Überprüfung der Integrität und Authentizität der CMOS-Einstellungen, der Authentifizierung (Schutz von dem Computer, der als Ganzes ausgeführt wird, oder nur daraus Ändern der CMOS-Konfiguration oder der Auswahl des Startgeräts), Steuerung die Auswahl des Startgeräts. Diese Download-Phase muss vollständig im BIOS-Firmware-Hersteller von Motherboard hergestellt werden.
- Übertragen Sie die Steuerung des Startgeräts. In dieser Phase kann das BIOS, anstatt den Download fortzusetzen, die Steuerung des Hardwaremoduls der vertrauenswürdigen Last übertragen. Das Hardwaremodul kann sich authentifizieren, das Startgerät auswählen, die Integrität und Genauigkeit der Startsektoren und Systemdateien des Betriebssystems entschlüsseln und überprüfen. In diesem Fall kann die Entschlüsselung des Bootsektors des Betriebssystems nur in dieser Phase durchgeführt werden. Die BIOS-Firmware sollte die Steuerung des Hardwaremoduls unterstützen, oder das Hardwaremodul muss ein separates Bootgerät emulieren, das in Form einer Festplatte, einem wechselbaren Medium oder einer Netzwerklastvorrichtung hergestellt wurde, absenden;
- Ausführung des Bootsektors des Betriebssystems. Zu diesem Zeitpunkt kann auch die Integrität, die Genauigkeit des Laders, Systemdateien des Betriebssystems und der Authentifizierung durchgeführt werden. Der ausführbare Code des Bootsektors ist jedoch in der Funktionalität begrenzt, da sie die Größe und Platzierung des Codes einschränken kann, und läuft auch, bis die Treiber des Betriebssystems gestartet werden.
Verwendung von Hardware
Trusted Boot-Hardwaremodule verfügen über erhebliche Vorteile gegenüber Rein- und Software. Die Sicherstellung des vertrauenswürdigen Bootes kann jedoch nicht reine Hardware ausgeführt werden. Die Hauptvorteile der Hardware:
- Ein hohes Maß an geheimen Informationen zu Kennwörtern, Schlüssel und Prüfsumme von Systemdateien. Bei den Bedingungen des stabilen Betriebs eines solchen Moduls ist es nicht für das Verfahren zum Extrahieren solcher Informationen bereitgestellt. (Allerdings sind einige Angriffe vorhandene Module bekannt, die ihre Leistung verletzen);
- Mögliche Klassifizierung von Verschlüsselungsalgorithmen, die von Hardware ausgeführt wird;
- Die Unfähigkeit, einen Computer zu starten, ohne den Inhalt zu öffnen;
- Im Falle der Verschlüsselung des Bootsektors ist es nicht möglich, das Betriebssystem des Benutzers auch nach dem Entfernen des Hardwaremoduls nicht zu starten.
- Bei vollständiger Datenverschlüsselung kann die Unfähigkeit, Daten nach dem Entfernen des Hardwaremoduls zu erhalten.
Beispiele für vorhandene Hardware
Intel Trusted Exection Technology
Die Technologie der vertrauenswürdigen Ausführung von Intel.
Es ist eher kein Mittel zum vertrauenswürdigen Laden, sondern um die Ressourcen aller einzelnen Anwendungen auf dem gesamten Hardware-Niveau zu schützen.
Txt ist ein absolut neues Computersicherheitskonzept auf Hardwareebene, einschließlich der Arbeit mit virtuellen PCs.
Die TXT-Technologie besteht aus sequentiell geschützten Phasen der Informationsverarbeitung und basiert auf einem verbesserten TPM-Modul. Das System basiert auf einer sicheren Ausführung des Programmcodes. Jede Anwendung, die im Secure-Modus ausgeführt wird, hat einen exklusiven Zugriff auf die Computerressourcen, und es wird keine andere Anwendung in seine isolierte Umgebung eingreifen. Ressourcen für das Arbeiten im sicheren Modus werden vom Prozessor und einem Satz von Systemlogik physikalisch hervorgehoben. Sicherer Datenspeicher bedeutet ihre Verschlüsselung mit demselben TPM. Alle verschlüsselten TPM-Daten können nur mit demselben Modul, das verschlüsselt wurde, aus den Medien extrahiert werden.
Intel entwickelte auch ein System der sicheren Dateneingabe. Das Schadprogramm kann den Datenfluss nicht an der Computereingabe nachverfolgen, und der Keylogger erhält nur einen sinnlosen Zeichensatz, da alle Eingabestriche (einschließlich USB-Datenübertragung und sogar Mausklicks) verschlüsselt werden. Mit dem geschützten Anwendungsmodus können Sie alle grafischen Daten nur in verschlüsselter Form in den Rahmenpuffer der Grafikkarte übertragen, sodass der schädliche Code keinen Screenshot erstellen kann, und senden Sie es an Hacker.
Das Hardwaremodul der vertrauenswürdigen Last "Accord-Amdz"
Es ist ein Hardware-Controller, der in einem ISA-Slot (Modifikation 4.5) oder PCI (Modifikation 5.0) installiert ist. Die ACKORD-AMPZ-Module bieten ein vertrauenswürdiges Laden von Betriebssystemen (OS) eines beliebigen Typs mit FAT12-Dateistruktur, FAT 16, FAT32, NTFS, HPFS, UFS, UFS2, EXT2FS, EXT3FS, EXT4Fs, QNX 4-Dateisystem, VMFS-Version 3.
Der gesamte Softwareteil der Module (einschließlich Verwaltungswerkzeuge), Ereignisprotokoll und die Liste der Benutzer werden in den nichtflüchtigen Controller-Speicher gelegt. Somit werden Benutzeridentifikations- / Authentifizierungsfunktionen, Hardwareüberwachungs- und Software-Überwachung, Verwaltung und Prüfung von der Steuerung selbst durchgeführt, bevor Sie das Betriebssystem laden.
Haupteigenschaften:
- identifikation und Benutzerauthentifizierung mit TM-Kennung und Kennwort bis zu 12 Zeichen lang;
- sperren der Belastung von PEVM aus externen Medien;
- begrenzung der Benutzerarbeitszeit;
- Überwachung der Integrität von Dateien, Geräten und Registern;
- registrierung der Benutzeranmeldung im Registrierungsprotokoll;
- verwaltung des Schutzsystems (Benutzerregistrierung, Überwachung der Integrität der Software und der Hardware PEVM).
Zusatzfunktionen:
- kontrolle und Blockierung physischer Linien;
- die RS-232-Schnittstelle für die Verwendung von Plastikkarten als Kennung;
- gewinnsensor Zufallszahlen für kryptographische Anwendungen;
- zusätzliches nichtflüchtiges Auditgerät.
Trusted Loading-Modul "Crypton Castle / PCI"
Entwickelt, um den Zugriff auf den Benutzer auf Hardwareressourcen von autonomen Arbeitsplätzen, Workstations und lokalen Computernetzwerkservern zu unterscheiden und zu überwachen. Es ist möglich, die Integrität der Software-Umgebung in Betriebssystem mit FAT12-, FAT16-, FAT32- und NTFS-Dateisystemen zu überwachen.
Eigenschaften:
- identifizierung und Authentifizierung von Benutzern, bevor das BIOS mit den Erinnerungskennungen ausgeführt wird;
- entsorgung von Computerressourcen, erzwungenen Laden des Betriebssystems (OS) vom ausgewählten Gerät gemäß den einzelnen Einstellungen für jeden Benutzer;
- blockieren eines Computers bei NSD, wobei ein E-Log-Protokoll in seinem eigenen nichtflüchtigen Speicher aufrechterhalten wird;
- zählen Sie die Referenzwerte von Objekten von Objekten und Überprüfen der aktuellen Prüfsummenwerte, exportieren / importieren Sie eine Liste von verifizierten Objekten auf einer flexiblen Magnetplatte;
- die Fähigkeit, in andere Sicherheitssysteme zu integrieren (Alarmsystem, Brandschutz usw.).
Grundlagen-Konzept
- Steuerung des Geräts, aus dem das BIOS den OS-Start startet (öfter eine Festplatte des Computers, kann jedoch auch ein Wechselrechnungsmedienleser sein, der über das Netzwerk usw. wird usw.
- Überwachung der Integrität und Genauigkeit des Bootsektors des Geräts und der Systemdateien des Startbetriebssystems;
- Verschlüsselung / Entschlüsselung des Bootsektors, Systemsystemdateien oder Verschlüsselung aller Gerätedaten (optional).
- Die Authentifizierung, Verschlüsselung und Speicherung von geheimen Daten, z. B. Tasten, Prüfsummen und Hash-Summen, werden auf der Grundlage von Hardware durchgeführt.
Authentifizierung
Die Benutzerauthentifizierung kann auf verschiedene Arten und in verschiedenen Stufen des Computers geladen werden.
Um die Identität des Startcomputers zu bestätigen, sind möglicherweise verschiedene Faktoren erforderlich:
- Geheimes Login und Benutzerpasswort;
- Diskette, Kompaktscheibe, Flash-Karte mit geheimen Authentifizierungsinformationen;
- Hardwareschlüssel mit einem Computer über USB, serielle oder parallele Anschlüsse verbunden;
- Hardwareschlüssel oder biometrische Informationen, die mit einem einzigen Hardwaremodul in einen Computer gelesen werden.
Die Authentifizierung kann Multifactor sein. Auch die Authentifizierung kann Multiplayer mit der Trennung von Zugriffsrechten an den Computer sein. Ein Benutzer kann also nur das Betriebssystem von der Festplatte ausführen, während ein anderes verfügbar ist, um die CMOS-Konfiguration zu ändern und das Startgerät auszuwählen.
Die Authentifizierung kann auftreten:
- Während der BIOS-Firmware-Ausführung;
- Vor dem Herunterladen des Hauptstartsatzes (MBR) oder des Bootsektors des Betriebssystems;
- Während der Ausführung des Programms des Bootsektors.
Die Authentifizierung in verschiedenen Download-Stadien hat seine Vorteile.
Stadien des vertrauenswürdigen Ladens
In verschiedenen Stufen des Computerladens kann die vertrauenswürdige Belastung von verschiedenen Mitteln durchgeführt werden, und wird daher unterschiedliche Funktionalität aufweisen.
- BIOS Firmware-Ausführung. Zu diesem Zeitpunkt kann es implementiert werden: Überprüfen der Integrität der BIOS-Firmware, Überprüfung der Integrität und Authentizität der CMOS-Einstellungen, der Authentifizierung (Schutz von dem Computer, der als Ganzes ausgeführt wird, oder nur daraus Ändern der CMOS-Konfiguration oder der Auswahl des Startgeräts), Steuerung die Auswahl des Startgeräts. Diese Download-Phase muss vollständig im BIOS-Firmware-Hersteller von Motherboard hergestellt werden.
- Übertragen Sie die Steuerung des Startgeräts. In dieser Phase kann das BIOS, anstatt den Download fortzusetzen, die Steuerung des Hardwaremoduls der vertrauenswürdigen Last übertragen. Das Hardwaremodul kann sich authentifizieren, das Startgerät auswählen, die Integrität und Genauigkeit der Startsektoren und Systemdateien des Betriebssystems entschlüsseln und überprüfen. In diesem Fall kann die Entschlüsselung des Bootsektors des Betriebssystems nur in dieser Phase durchgeführt werden. Die BIOS-Firmware sollte die Steuerung des Hardwaremoduls unterstützen, oder das Hardwaremodul muss ein separates Bootgerät emulieren, das in Form einer Festplatte, einem wechselbaren Medium oder einer Netzwerklastvorrichtung hergestellt wurde, absenden;
- Ausführung des Bootsektors des Betriebssystems. Zu diesem Zeitpunkt kann auch die Integrität, die Genauigkeit des Laders, Systemdateien des Betriebssystems und der Authentifizierung durchgeführt werden. Der ausführbare Code des Bootsektors ist jedoch in der Funktionalität begrenzt, da sie die Größe und Platzierung des Codes einschränken kann, und läuft auch, bis die Treiber des Betriebssystems gestartet werden.
Verwendung von Hardware
Trusted Boot-Hardwaremodule verfügen über erhebliche Vorteile gegenüber Rein- und Software. Die Sicherstellung des vertrauenswürdigen Bootes kann jedoch nicht reine Hardware ausgeführt werden. Die Hauptvorteile der Hardware:
- Ein hohes Maß an geheimen Informationen zu Kennwörtern, Schlüssel und Prüfsumme von Systemdateien. Bei den Bedingungen des stabilen Betriebs eines solchen Moduls ist es nicht für das Verfahren zum Extrahieren solcher Informationen bereitgestellt. (Allerdings sind einige Angriffe vorhandene Module bekannt, die ihre Leistung verletzen);
- Mögliche Klassifizierung von Verschlüsselungsalgorithmen, die von Hardware ausgeführt wird;
- Die Unfähigkeit, einen Computer zu starten, ohne den Inhalt zu öffnen;
- Im Falle der Verschlüsselung des Bootsektors ist es nicht möglich, das Betriebssystem des Benutzers auch nach dem Entfernen des Hardwaremoduls nicht zu starten.
- Bei vollständiger Datenverschlüsselung kann die Unfähigkeit, Daten nach dem Entfernen des Hardwaremoduls zu erhalten.
Beispiele für vorhandene Hardware
AMD SVM.
Für ein Jahr früher auf den Markt veröffentlicht Intel TXT
Intel Trusted Exection Technology
Die Technologie der vertrauenswürdigen Ausführung von Intel.
Es ist eher kein Mittel zum vertrauenswürdigen Laden, sondern um die Ressourcen aller einzelnen Anwendungen auf dem gesamten Hardware-Niveau zu schützen.
Txt ist ein absolut neues Computersicherheitskonzept auf Hardwareebene, einschließlich der Arbeit mit virtuellen PCs.
Die TXT-Technologie besteht aus sequentiell geschützten Stadien der Informationsverarbeitung und basiert auf einem verbesserten vertrauenswürdigen Plattformmodulmodul. Das System basiert auf einer sicheren Ausführung des Programmcodes. Jede Anwendung, die im Secure-Modus ausgeführt wird, hat einen exklusiven Zugriff auf die Computerressourcen, und es wird keine andere Anwendung in seine isolierte Umgebung eingreifen. Ressourcen für das Arbeiten im sicheren Modus werden vom Prozessor und einem Satz von Systemlogik physikalisch hervorgehoben. Sicherer Datenspeicher bedeutet ihre Verschlüsselung mit demselben TPM. Alle verschlüsselten TPM-Daten können nur mit demselben Modul, das verschlüsselt wurde, aus den Medien extrahiert werden.
Intel entwickelte auch ein System der sicheren Dateneingabe. Das Schadprogramm kann den Datenfluss nicht an der Computereingabe nachverfolgen, und der Keylogger erhält nur einen sinnlosen Zeichensatz, da alle Eingabestriche (einschließlich USB-Datenübertragung und sogar Mausklicks) verschlüsselt werden. Mit dem geschützten Anwendungsmodus können Sie alle grafischen Daten nur in verschlüsselter Form in den Rahmenpuffer der Grafikkarte übertragen, sodass der schädliche Code keinen Screenshot erstellen kann, und senden Sie es an Hacker.
Hardware-Modul der vertrauenswürdigen Last "Accord-Amdz"
Es ist ein Hardware-Controller, der zum Installieren von PCI / PCI-X / PCI-Express / Mini-PCI / Mini-PCI-Express gestaltet ist. Module "Accord-AMPZ" sorgen für ein vertrauenswürdiges Laden von Betriebssystemen (OS) eines beliebigen Typs mit FAT12-Dateistruktur, FAT 16, FAT32, NTFS, HPFS, UFS, FreeBSD UFS / UFS2, EXT2FS, EXT3FS, EXT4FS, QNX 4-Dateisystem, Solaris UFS, Minix, Reiserfs.
Der gesamte Softwareteil der Module (einschließlich Verwaltungswerkzeuge), Registrierungsprotokoll und die Liste der Benutzer werden in den nichtflüchtigen Speicher des Controllers platziert. Dies bietet die Möglichkeit, Benutzer zu identifizieren oder zu authentifizieren, die Integrität der technischen und Software-TEVM (PC), der Administration und des Audits auf der Hardware-Ebene auf den Controller an die Betriebssystemlast zu überwachen.
Haupteigenschaften:
- identifizierung und Authentifizierung des Benutzers mit dem physischen elektronischen Produkt - Persönliche Kennung - und Kennwort bis zu 12 Zeichen lang;
- sperren der Belastung von PEVM aus externen Medien;
- blockieren der Interrupt-Steuerungsverfahren von der Tastatur;
- temporäre Einschränkungen auf den Benutzerzugriff auf PEVM (PC) gemäß dem für sie festgelegten Betriebsart auf PEVM (PC) einstellen;
- Überwachung der Integrität der Zusammensetzung der Computergeräte, Systembereiche, Dateien, der Windows-Registrierung;
- automatische Protokollierung registrierter Ereignisse auf der Bühne der vertrauenswürdigen Ladebetriebe (im nichtflüchtigen Flash-Speicher des Controllers);
- watchdog-Timer;
- verwaltung des Schutzsystems (Benutzerregistrierung, Überwachung der Integrität der Software und der Hardware PEVM).
Zusatzfunktionen:
- kontrolle und Blockierung physischer Linien;
- die RS-232-Schnittstelle für die Verwendung von Plastikkarten als Kennung;
- gewinnsensor Zufallszahlen für kryptographische Anwendungen;
- zusätzliches nichtflüchtiges Auditgerät.
Der Komplex ist anwendbar, dass Informationsschutzsysteme von der NSD in Übereinstimmung mit den Lenkdokumenten (Statuszooms) Russlands für 2 Kontrollstufen auf das Fehlen von nicht deklarierten Funktionen aufzubauen, können in automatisierten Systemen bis zur 1D-Sicherheitsklasse inklusiv eingesetzt und verwendet werden Als Identifikations- / Benutzerauthentifizierung, Programmüberwachungs- und Hardwareumgebung (PC) beim Erstellen von automatisierten Systemen an der Klasse 1B inklusive.
Das vertrauenswürdige Lastmodul sei zum Berechnen von Technologie, die geheime und vertrauliche Informationen (einschließlich der Ebenen "vollständig geheim" und KA1) verarbeitet.
Dank der Arbeit mit Multiplayer-Gruppen mit gleichem und verschiedenem Behörde und Unterstützung der Verwaltungsregelungen als zentralisierte und so dezentrale Verwaltung ist Maxim-M1 eine universelle Lösung für die Verwendung in geschützten Systemen.
Hauptfunktionen
steuert den Zugriff auf den ersten Start des PCs, bevor Sie auf das Betriebssystem wechseln. Identifiziert und authentifiziert den Benutzer mit einem Zweifaktor-Verfahren;
importierte Protokolle: Benutzerauthentifizierung, Integritätskontrolle. Datensicherheit ist aufgrund des nichtflüchtigen Speichers garantiert.
Überprüft Echtzeit-Benutzerdatengültigkeit (Schlüssel, Serviceinformationen);
steuert die Hardware und die Software des geschützten Systems (RAM, Festplatten, Dateisysteme und FS-Protokolle, Windows-Registry);
schützt vor der Auswahl des Passworts.
Vorteile von APM "Maxim-1"
Geeignet zum Installieren von Informationssicherheits-Administrator-Informationssystemen, arbeiten mit kommerziellen Geheimnis, personenbezogenen Daten, staatlichem Geheimnis.
Sie können sich auf eine discless-Workstation anwenden, um mit geheimen und vertraulichen Informationen auf einem Remote-Server zu arbeiten.
Das Modul ist mit den wichtigsten Clientversionen von Windows (2000 / XP / Vista / 7) und dem Server (2003/2008) sowie mit Systemen auf dem Linux 2.6.x und 3.x.x Kernel und CH Astra Linux kompatibel.
Anforderungen und Einschränkungen bei der Verwendung von APMDZ MAXIM-M1
So installieren und ordnungsgemäß das Betrieb des Moduls, Hardware und Software müssen die Anforderungen an die Anforderungen für Architektur, Förderspannung, Platinekonfiguration, BIOS-Versionen, installierte Updates, Stromverbindungen erfüllen. Während des Betriebs des Moduls werden Einschränkungen für Geräte und Software im System angezeigt. Eine vollständige Liste der Anforderungen wird in der Dokumentation für den APMDZ angezeigt.
Anforderungen an das Personal.
Der Benutzer des DZ-Moduls (Administrator) sollte in der Lage sein, in den Hauptbetriebssystemen arbeiten zu können, verfügen über Erfahrung, die PC und externe Geräte einrichten und automatische Systeme auf lokalen Computern, Servern, Workstations und Thin Clients verwalten.
ViPnet SafeBoot. - Zertifiziertes High-Tech Trusted Loading Module (MDZ), installiert in UEFI BIOS verschiedener Hersteller. Entwickelt zum Schutz von PCs, mobilen Geräten, Servern (einschließlich Virtualisierungsservern) aus verschiedenen Bedrohungen für den unbefugten Zugang (NSD) an der Startphase und von Angriffen auf das BIOS.
Der Schutz von Computern und Servern sollte sich seit ihrer Aufnahme handeln. Die Zeit ab dem Moment der Aufnahme, bevor der Betriebssystem des Betriebssystems zum Systemvertrauen in das gesamte System ist. In den frühesten Downloadstufen besteht ein Risiko:
- Übertragen Sie die Steuerung eines ungläubigen Laders;
- Laden schädlicher Code in UEFI;
- Abfangen von Daten und trennen die grundlegenden Schutzmechanismen.
Zweck:
ViPnet SafeBoot. Benutzer konzipiert, um Benutzer zu identifizieren und zu authentifizieren, Zugriff auf Rollen sowie der Organisation des vertrauenswürdigen Betriebssystems. ViPnet SafeBoot. Verbessert das Sicherheitsniveau von Geräten und Computern, wegen:
- Genehmigung auf dem BIOS-Level, bevor Sie die Hauptkomponenten des Betriebssystems herunterladen;
- BIOS-Integritätssteuerungen, geschützte Komponenten des Betriebssystems und der Hardware;
- Sperrenbeladung einer Nicht-Standard-Kopie des Betriebssystems.
Szenarien der Nutzung.
Produkt ViPnet SafeBoot. Es kann sowohl in Verbindung mit anderen ViPnet-Produkten und separat genutzt werden. Die Hauptaufgaben, die gelöst werden können:- Anforderungen an Bestellungen FSTEC *:
- №17 zum Schutz der staatlichen Informationssysteme (GIS);
- №21 zum Schutz von Informationssystemen personenbezogener Daten (CDN);
- №31 zum Schutz automatisierter technologischer Steuerungssysteme (ACS TP);
- Schutz gegen NSDs in den frühesten Schritten des Herunterladens von Computern oder Geräten mit UEFI BIOS.
Leistungen
- Programm MPZ mit der Möglichkeit, in UEFI BIOS verschiedener Hersteller zu installieren.
- Eine andere Vernachlässigung, im Gegensatz zu den Hardwareversionen des MPZ.
- Vereinfachte MDZ-Setup-Methoden aufgrund von Verwaltungsvorlagen.
- Vollständige Kontrolle der Integrität von UEFI durch Überprüfung der Integrität aller seiner Module.
- Russisches Produkt.
Zertifizierung in FSTEC von Russland
ViPnet SafeBoot. Entspricht den Anforderungen an Leitlinienunterlagen mit dem Vertrauensabgabebelastung des Niveaus des grundlegenden E / A-Systems von Klasse 2, wodurch die Verwendung eines Produkts zum Aufbau ermöglicht wird:- An UZ1 inklusive erwischt;
- GIS in Grad 1 ist inklusive;
- ACS TP auf Grad 1 ist inklusive.
Was ist neu in ViPnet SafeBoot 1.4 Version
- Inaktivitätsmodus ist ein wichtiges Merkmal, das auf den Komfort von SafeBoot-OEM-Lieferungen in Arbeitsstationen und Servern, Hardwarehersteller abzielt. Detaillierte Beschreibung im beigefügten Dokument.
- Implementierung des Lizenzsystems - Das Produkt wird jetzt an der Seriennummer lizenziert.
- Unterstützung der Ermächtigung auf westlichen Zertifikaten - Verbesserung der Bequemlichkeit der Arbeit mit dem Produkt. Es gibt Kunden, die Token-Autorisierung und Zertifikat verwenden, die von Microsoft CA, einschließlich über LDAP, verwendet werden. Aus diesem Grund haben wir uns entschieden, eine solche Authentifizierungsmethode zu unterstützen.
- Unterstützen Sie JacArta-2 Gost - Erweiterung der Liste der unterstützten Tastenträger für die Authentifizierung.
Infotex behält sich das Recht vor, Änderungen an den mitgelieferten Produkten (Merkmale, Erscheinungsbild, Vollständigkeit) vorzunehmen, ohne ihre Verbrauchereigenschaften zu verschlimmern.
Strenge Zwei-Faktor-Authentifizierung - Benutzerauthentifizierung mit einem Token mit einem Zertifikat von X.509-Format (Zweifaktor), Kennwörter oder deren Kombinationen. Unterstützte Kennungen:
- Jacarta Pki.
- Rutoken EDV.
- Rutoken EDS 2.0.
- Rutoken Lite.
- Wächter-ID.
Rollenspiel
- Benutzer.
- Administrator.
- Abschlussprüfer.
Integritätskontrolle. Damit die Plattform vertrauenswürdig ist, benötigen Sie eine Garantie, dass alle wichtigen Module, die zu Beginn des Systems geladen wurden, unverändert bleiben. deshalb ViPnet SafeBoot.Überprüft die Integrität:
- alle wichtigen UEFI-BIOS-Module;
- bootsektoren der Festplatte;
- aCPI-Tische, SMBIOS, Speicherverteilerkarten;
- dateien auf Festplatten mit FAT32, NTFS, EXT2, EXT3, EXT4-Systemen (ViPNet SafeBoot spielt keine Rolle, welches Betriebssystem installiert ist);
- windows-Registry;
- pCI / PCE-Konfigurationsraumressourcen;
- CMOS (Inhalt nicht volatiler Speicher);
- transaktionsabschluss - NTFS, EXT3, EXT4.
Für Benutzerkomfort können Steuerlisten für Windows automatisch erstellt werden.
Sicherheitsereignissprotokoll. Zur Bequemlichkeit gibt es mehrere Protokollierungsmodi mit unterschiedlichen Detailstufen.
Die Architektur
Altell Trust hat eine modulare Architektur. Das vertrauenswürdige Lademodul selbst ist auf den geschützten Geräten installiert, wodurch das Standard-Motherboard-BIOS im EEPROM-Chip ersetzt wird, und bietet einen vertrauenswürdigen BIOS-Boot, eine multifaktorielle Authentifizierung vor dem OS-Boot und die Einhaltung der Rollenspieler-Zugriffsrichtlinien. Das Fernbedienungsmodul entfaltet sich auf dem Steuerungsserver und ermöglicht Ihnen, ein zentrales Implementierungs- und Softwareupdate durchzuführen, Sicherheitsaudit durchzuführen und alle vertrauenswürdigen Lademodule aus einem einzigen Zentrum zu verwalten.
Fähigkeiten
- Überwachung der Integrität der BIOS-, Hardware- und Softwareumgebung, Dateisystemobjekte;
- Multifaktuelle Benutzerauthentifizierung vor dem Betrieb des Betriebssystems;
- Remote-Benutzerverwaltung, Konfigurationen, Gerätegruppen, Herunterladen von Software-Updates, ein- / ausschalten geschützte Geräte;
- Verwenden Sie als einziger Thin Client (Null-Client);
Leistungen
- Die Verwendung des in Russland erstellten BIOS;
- Proaktiver Ansatz zum Schutz vor neuen Bedrohungen;
- Authentifizierung auf Remote-LDAP / AD-Servern;
- Begrenzung von Führungsfunktionen;
- Fernbedienung;
- Die Fähigkeit, sich an jede Art von Geräten anzupassen;
- Eingebauter Stapel von Netzwerkprotokollen;
- Zentrale Sammlung von Sicherheitsveranstaltungen;
- Glaubfähigkeit von der geschützten Vorrichtung;
- Support SSO-Technologie;
- Unterstützung der PKI-Infrastruktur;
- Eingebauter vertrauenswürdiger Hypervisor;
- FSTEC-Zertifikat auf dem BIOS 2-Klasse-BIOS-Ebene.
Skriptanwendung.
Altell Trust kann verwendet werden, um den vertrauenswürdigen Betrieb von Betriebssystemen, Multifactor-Benutzerauthentifizierung auf Remote-Anzeigen- / LDAP-Servern, der Fernbedienung von geschützten Geräten, der Fernbedienung der Fernbedienung sowie als einzige subtile Kunden (Null-Client-Konzept) zu gewährleisten. Eine detaillierte Beschreibung von Altell Trust Application-Skripts ist in der entsprechenden Abschnitt angegeben.
Vergleich mit Wettbewerbern.
Traditionelle Hardware-Software-Module des vertrauenswürdigen Loadings (APMDZ), die auf dem russischen Markt präsentiert wurden, haben nicht die in der vorliegenden Anlage der Entwicklung von Informationssystemen erforderlichen Funktionen. Beispielsweise gibt es im APMDZ keine Funktionen der Überwachung und Fernbedienung des PC-Parks, die multifaktorielle Authentifizierung auf Remote-Servern wird nicht unterstützt, das Rollenspielmodell des Zugriffs und der obligatorische Zugriff auf Informationen ist nicht garantiert, dass es nicht garantiert funktioniert in virtuellen Umgebungen. Altell Trust, im Gegenteil, wurde ursprünglich entwickelt, um diese Aufgaben zu lösen. Gleichzeitig nähert sich moderne Ansätze, um den vertrauenswürdigen Kofferraum zu gewährleisten, basierend auf der Verwendung von UEFI Trusted Boot-Technologien mit raffinierten und erweiterten Funktionen sowie NIST- und Trusted Computing Group-Konzepten. Infolgedessen wird das Altell Trust leistungsfähiger als die der traditionellen APMDs, Schutzmechanismen umgesetzt, während die Kosten der Verwaltung der Infoauf Kosten der Zentralisierung des Managements und der Sammlung von Statistiken reduziert werden.
Unterstützte Geräte
Aufgrund der Umsetzung des Altell-Trusts auf der UEFI-BIOS-Ebene muss es an bestimmte Modelle von geschützten Geräten angepasst werden. Dank der Zusammenarbeit mit den wichtigsten Anbietern (Intel, AMD, Lenovo, Panasonic) ist der Prozess der Raffination Altell Trust in der Zeit standardisiert und komprimiert. Da das vertrauenswürdige Lademodul selbst zertifiziert ist, und kein BIOS-Ganzes, die Änderungen vornehmen betrifft nicht Für Zertifikate.
Derzeit unterstützt Altell Trust:
- dFI-Motherboards. (Unterstützung für Core I5-Prozessoren, 1 ×XEON E3);
- monoblocks Lenovo Thinkcentre M72Z und M73Z;
- panasonic Toughbook CF-53 Laptops;
- desktops Lenovo Thinkcentre M92P und M93P, Altell Fort DT 5/7.
Zertifizierung
Altell Trust ist für FSTEC Russlands als ein Vertrauensbelastung des Niveaus des Basis-E / A-Systems gemäß der zweiten Schutzklasse zertifiziert. Da das vertrauenswürdige Lademodul zertifiziert ist, und nicht ein UEFI-BIOS vollständig, wird die ALTELL-Vertrauensanpassung an neue Geräte die Aktion der erhaltenen Zertifikate nicht stornieren. Derzeit ist die Arbeit im Gange, um ein FSB-Zertifikat zu erhalten.
Informationsmaterialien.
Testen
Wenn Sie an den Fähigkeiten von Altell Trust interessiert sind, können unsere Spezialisten ihre kostenlose Demonstration verbringen.