Использование аппаратных идентификаторов - Форум по вопросам информационной безопасности

Всем привет. Вопрос, наверное более к аттестационным центрам. Нужна ли по требованиям ФСТЭК аппаратная идентификация при использовании таких СЗИ как DL, Secret Net, Страж NT(в нем как я помню без аппаратного идентификатора вообще нельзя настроить) для аттестации ГТ 2,3 категории для классов 1в,1б,2а, или же достаточна идентификация по логину и паролю? В РД АС написано расплывчато как-то: ..."должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю..." т.е. что здесь подразумевать под кодом, это ведь может быть и просто кодовое слово или по простому Логин...Что вы думаете по этому поводу?
Где то краем уха слышал что на сайте ФСТЭК есть какой то документ, в котором говорится, что аппаратная идентификация не обязательна, но вот самого документа не нашел, к сожалению. Есть ли более конкретный пункт документа, на который можно сослаться при аттестации, что нужен или не нужен аппаратный идентификатор?
Спасибо за внимание.

В РД АС ничего не сказано про обязательное использование именно аппаратных идентификаторов. В разных СЗИ НСД свой подход. В Страже и SN без аппаратных идентификаторов не обойтись, а вот в DL можно и без них по логину и паролю. Это прописано в эксплуатационной документации на DL

Т.е. использовать/ не использовать аппаратный идентификатор решает сам заказчик аттестации?

SN старше 6 версии тоже может работать как чисто программное средство. Нам аттестовывали без плат и аппаратных идентификаторов.

Интересно кто аттестовал SN 6 без аппаратных плат? (Уже на объекте нарушение имеется, оформленное документально, если это объект ГТ)
Да, в сертификате указано, что программное СЗИ, но есть также Технические условия на СЗИ, которые любой лицензиат ФСТЭК должен выполнить при установке СЗИ на объекте.


В соответствии с ними на SN 7 не требуется аппаратное СЗИ
На Страж и на SN 6 и ниже требуется обязательно для объектов 3 категории.

Получить ТУ на СЗИ можно у производителя по запросу.

"и SN без аппаратных идентификаторов не обойтись"
с версии 7 обойтись

Всеми любимое РД гласит:
должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю ..........
Читаем термины и определения:
Идентификация-Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
Идентификатор доступа-Уникальный признак субъекта или объекта доступа.
Пароль-Идентификатор субъекта доступа, который является его (субъекта) секретом.
Аутентификация-Проверка принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности
Выходит, субъект доступа (логин)+идентификатор (пароль).
Что мы здесь нарушаем?
И лишь для 1А прописано: должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по биометрическим характеристикам или специальным устройствам (жетонам, картам, электронным ключам) и паролю ...........

Что мы здесь нарушаем?

ТУ НА СЗИ где они в обяз в рамках выданного на них сертификата.

Спасибо всем за ответы, исходя из них, прошу меня поправить если неправ:
1.Обязательного требования использования аппаратных идентификаторов для ГТ в соответствии с требованиями ФСТЭК нет.
2. Обязательность/ не обязательность использования аппаратных идентификаторов прописывается в формуляре на СЗИ.
Все верно?

"в соответствии с требованиями ФСТЭК нет"
пока нет.