Контакты
Подписка
МЕНЮ
Контакты
Подписка

Безопасность Web-ресурса. Иллюзии с последующим разоблачением

Безопасность Web-ресурса. Иллюзии с последующим разоблачением

В рубрику "Оборудование и технологии" | К списку рубрик  |  К списку авторов  |  К списку публикаций

Безопасность Web-ресурса
Иллюзии с последующим разоблачением

Что является средством сетевой защиты? Антивирус или VPN? Или, может быть, USB-токен? Поставщик каждого из перечисленных средств уверенно назовет свой продукт - и будет прав. Эксперт скажет, что будет результативным лишь применение всех средств сразу (причем, не только вышеперечисленных). И тоже, наверное, будет по-своему прав.

Светлана Конявская
заместитель генерального директора "ОКБ САПР"

Мы – "ОКБ САПР" – не любим защищать абстракции, предпочитая защищать интересы собственников – это выгоднее. Собственников, чьи интересы могут быть ущемлены атаками на (или через) Web-ресурсы, можно разделить на две группы: владельцы ресурса, предоставляющие сервис, и пользователи. Пользователей больше.

Но при прочих равных владелец Web-ресурса может снабдить средствами защиты информации как свои, так и пользовательские технические средства (если, конечно, тот согласится на это ради пользования сервисом), а вот пользователь снабдить средствами защиты Web-портал, с которым он хочет работать, не может.

"Каждый сам за себя" здесь звучит соблазнительно, но неприемлемо. Если забор стоит с одной стороны периметра, вход на который с другой стороны свободен, то он выполняет только чисто декоративную функцию. Доверенную вычислительную среду нужно создавать либо на всех элементах системы, либо не создавать вовсе. Но для создания данной среды необходимо осуществить контроль всех элементов.

Из этого некоторые делают вывод, что можно отказаться от требования доверенности среды, ведь установить резидентный компонент безопасности (РКБ) на каждый домашний компьютер невозможно. Мол, это неизбежные риски, которые должны нести владельцы систем и пользователи сервисов.

Мы категорически против того, чтобы на основании сложности решения утверждать, что решение необязательно.

Выход есть. Он основывается на простой логике – если во взаимодействии с удаленным информационным ресурсом пользователю необходимо решать строго определенную задачу (а Web-ресурс – тот самый случай), можно снизить накал борьбы и, вместо того чтобы обеспечивать доверенную вычислительную среду навсегда, попытаться обеспечить доверенную среду выполнения задачи. То есть организовать доверенный сеанс связи (ДСС).

У нас, безопасников, есть очень удобная "пристройка", как сказали бы актеры. Мы любим использовать словосочетания, ставшие идиоматическими, в предельно широком контексте. Например, "контроль доступа", "сетевая защита", "защита персональных данных" – без конкретизации, с оттенком смысла "ну, вы меня понимаете". Практически любое средство защиты информации мы умеем представить как предназначенное для контроля доступа, обеспечения сетевой безопасности или защиты персональных данных (а многие и сразу для всего этого вместе).

Возьмем "сетевую защиту", причем сознательно сузим ее до защиты Web-ресурсов.

В качестве средств сетевой защиты можно использовать практически все: антивирусы, межсетевые экраны, VPN, средства аутентификации, средства разграничения доступа, средства ЭЦП и т.д. Для обоснования необходимости любого из этих средств легко привести угрозу, реализация которой в условиях работы через Интернет более чем вероятна.

Закончится сеанс – пользователь перезагружается и получает доступ ко всем, даже непроверенным на безопасность ресурсам и работает так, как он привык, довольствуясь антивирусом. При необходимости вновь поработать с сервисом информационной системы он снова загрузится с помощью создания средств ДСС и на протяжении сеанса будет работать безопасно и для себя, и для системы. Вряд ли ограничения на время работы с клиент-банком или получения государственной услуги серьезно нарушат комфорт даже самого придирчивого пользователя – сделать перерыв в переписке по ICQ на время осуществления денежного перевода – вполне разумное поведение: меньше вероятность ошибки по невнимательности.

Практической реализацией концепции доверенного сеанса связи является программно-аппаратный комплекс – средство обеспечения доверенного сеанса (СОДС) "МАРШ!".

"МАРШ!"

Комплекс СОДС "МАРШ!" состоит из клиентской и серверной части – клиент ДСС и сервер ДСС.

Клиент ДСС – загрузочное персональное USB-устройство "МАРШ!" с собственным микропроцессором, управляющим доступом к нескольким аппаратно разделенным областям памяти на основании назначенных для них атрибутов, содержащее загрузочную ОС, набор функционального ПО, СЗИ НСД и СКЗИ.

Сервер ДСС – доверенный сервер, обеспечивающий создание и работу защищенного сетевого соединения с пользователями, имеющими персональные устройства (клиенты ДСС), с целью предоставления им защищенного доступа к сервисам ИС.

Итак:

  1. Удаленный пользователь недоверенного компьютера выполняет доверенную загрузку ОС с клиента ДСС и устанавливает ДСС с сервером ДСС.
  2. Сервер ДСС выполняет авторизацию пользователя на доступ к сервисам ИС с помощью сервера авторизации ИС.
  3. Сервер ДСС соединяет пользователя с требуемым сервисом ИС.

Самое главное

  • пользователю предоставляется уровень защиты, близкий к уровню доверенного компьютера с набором сертифицированных ОС, СЗИ НСД и СКЗИ;
  • стоимость решения для владельца ИС несопоставимо ниже стоимости оборудования каждого рабочего места соответствующим набором стационарных СЗИ;
  • "МАРШ!" не накладывает ограничений на работу пользователя с компьютером вне ДСС.

Значит, возможна самая настоящая безопасность Web-ресурсов, безо всяких иллюзий и преувеличений.

ОКБ САПР, ЗАО
115114 Москва,
2-й Кожевнический пер., 8
Тел.: (499) 235-6265, 235-2814
Факс: (495) 234-0310
E-mail: okbsapr@okbsapr.ru
www.okbsapr.ru

Опубликовано: Журнал "Information Security/ Информационная безопасность" #2, 2011
Посещений: 8149

Приобрести этот номер или подписаться
  Автор

Светлана

Светлана  Конявская

кандидат филологических наук, ЗАО "ОКБ САПР"

Всего статей:  45

В рубрику "Оборудование и технологии" | К списку рубрик  |  К списку авторов  |  К списку публикаций