Глава 9. Защита информации 227

В ЭЛЕКТРОННЫХ ПЛАТЕЖНЫХ СИСТЕМАХ 227

9.1. Принципы функционирования электронных платежных систем 228

9.2. Электронные пластиковые карты 234

9.3. Персональный идентификационный номер 240

9.4. Обеспечение безопасности систем POS 243

9.5. Обеспечение безопасности банкоматов 247

9.6. Универсальная электронная платежная система UEPS 253

9.7. Обеспечение безопасности электронных платежей через сеть Internet 263

Основные методы защиты информации 264

Особенности функционирования протокола SET 265

Технологические решения для электронной торговли 272

Полностью контролируемые компьютерные системы 274

Частично контролируемые компьютерные системы 278

10.2. Основные элементы и средства защиты от несанкционированного доступа 279

Устройства криптографической защиты данных 281

серии КРИПТОН 281

Устройства для работы со смарт-картами 282

Программные эмуляторы функций шифрования устройств КРИПТОН 284

10.3. Системы защиты информации от несанкционированного доступа 287

Система криптографической защиты информации от НСД КРИПТОН-ВЕТО 287

4- 288

Комплекс КРИПТОН-ЗАМОК для ограничения доступа к компьютеру 292

Система защиты конфиденциальной информации 295

Secret Disk 295

Система защиты данных Crypton Sigma 296

11.1. Абонентское шифрование и электронная цифровая подпись 303

Программы АШ и ЭЦП для MS-DOS 303

пароль; 303

Программа электронной цифровой подписи Crypton Sign. 305

11.2. Пакетное шифрование 322

11.3. Защита компонентов ЛВС от НСД Защита абонентских пунктов 327

11.4. Технология работы с ключами 334

11.5. Программные продукты ЗАСТАВА фирмы "ЭЛВИС+" для защиты корпоративной сети 336

12.2. Основные принципы обеспечения безопасности платежной системы 346

ЭЛЕМЕНТЫ ТЕОРИИ ЧИСЕЛ Модулярная арифметика 358

Алгоритм Евклида для нахождения наибольшего общего делителя 361

Вычисление обратных величин 363

Расширенный алгоритм Евклида 369

(щ, и₂, и₃), 369

Китайская теорема об остатках 370

Квадратичные вычеты 372

Вычисления в конечных полях 373

^ Р = q . 373

Список литературы 379

Оглавление 386

Рис.11.9. Структура средств защиты АП под управлением Winaows 95/98/NT и UNIX

327

Рис. 11.10. Структура криптомаршрутизатора

Пункт состоит из:

• системы защиты от несанкционированного доступа КРИПТОН- ЗАМОК (обеспечивает ограничение доступа к ПК и проверку це­лостности программного обеспечения перед загрузкой операци­онной системы);

• коммуникационного модуля с аутентификацией, абонентским шифрованием или с шифрованием пакетов.

Для выхода во внешний сегмент или при хранении и обработ­ке важной информации возможна реализация шифрующего моду­ля в виде криптомаршрутизатора (рис. 11.10), который реализуется как полностью контролируемая система. Такой криптомаршрутиза- тор может выполнять также функции контроля за программным обеспечением абонентских пунктов с частично контролируемым ПО.

Защита терминалов. Терминальные устройства должны под­ключаться к хост-компьютерам, которые защищаются так же, как абонентский пункт, описанный выше.

Поскольку канал связи между хост-компьютером и термина­лом не шифруется, последние должны находиться в одной комнате.

Защита маршрутизаторов. Криптомаршрутизатор

Подобная защита реализуется только под управлением сер­тифицированной DOS. Схема защиты похожа на расширенный абонентский пункт, дополненный сетевыми платами и программ­ным обеспечением для выполнения функций маршрутизации паке­тов. Такой защищенный компьютер рассматривается как барьер между открытой и закрытой средой. 328

Структурная схема криптографического IP-маршрутизатора |СРИПТОН-1Р показана на рис.11.10.

Криптомаршрутизатор КРИПТОН-1Р предназначен для приме­нения в качестве маршрутизатора пакетов данных (с IP-форматом) между глобальной и локальными компьютерными сетями с обес­печением защиты от несанкционированного доступа к данным па­кета. Как в комплексе КРИПТОН-1Р, так и в пакетах данных при об­мене или в открытой сети осуществляется криптографическая за­щита данных (их шифрование происходит согласно ГОСТ 28147-89). шля контроля целостности и истинности файлов данных введено ^формирование (при необходимости) их электронной цифровой подписи согласно ГОСТ Р 34.10-94.

Для защиты от НСД подключенных к комплексу локальных компьютерных сетей используются также методы фильтрации IP-пакетов по определенным правилам с аутентификацией их ис­точников.

Кроме криптографической защиты данных, в комплексе КРИПТОН-1Р реализовано разграничение доступа к размещенным в его памяти программным средствам и данным с регистрацией в электронном журнале процесса доступа к ресурсам комплекса.

В комплексе применено сертифицированное аппаратно-про­граммное средство криптографической защиты информации Crypton ArcMail, имеющее сертификат ФАПСИ (регистрационный номер СФ/120-0278 от 30.06.99 г.), в состав которого входят следующие аппаратные и программные средства.

• Устройство криптографической защиты данных КРИПТОН- 4К/16, имеющее свой локальный программный BIOS УКЗД, кото­рый выполняет:

загрузку ключей шифрования данных до загрузки операционной среды компьютера;

контроль целостности операционной среды компьютера до за­грузки MS DOS под управлением программного обеспечения комплекса;

шифрование данных под управлением программного обеспече­ния комплекса.

• Адаптер смарт-карт SA-10H, обеспечивающий ввод ключевой информации в УКЗД со смарт-карт с открытой памятью, минуя шину данных компьютера.

• Программы системы криптографической защиты информации от несанкционированного доступа (СКЗИ НСД) КРИПТОН- ВЕТО 2.0, которые управляют:

процессом контроля целостности операционной среды компьютера; шифрованием данных;

контролем разграничения доступа к ресурсам компьютера ком­плекса;

регистрацией в электронном журнале процесса работы комплекса.

• Программы комплекса Crypton Router v.2.0, реализующие мето­ды криптографической защиты и автоматическую маршрутиза­цию пакетов при приеме/передаче по сети обмена данными.

Любой абонент защищенной сети, подсоединенной к крипто- маршрутизатору, может обмениваться данными с любым другим абонентом сети, причем шифрование передаваемых данных для абонентов является прозрачным. Кроме того, применение крипто­маршрутизатора позволяет скрыть трафик между абонентами за­щищенных локальных сетей. Это определяется тем, что обмен данными происходит между криптомаршрутизаторами, имеющими собственные сетевые адреса, а адреса абонентов передаются по каналам связи только в зашифрованном виде.

Для систем с конфиденциальной информацией можно исполь­зовать маршрутизатор под управлением UNIX Crypton Fort Е+ Branch, отдавая себе отчет, что это все-таки частично контроли­руемая система.

Для контроля абонентского пункта локальной сети, не выхо­дящей в глобальную вычислительную сеть (ГВС), можно использо­вать облегченный вариант устройства контроля сети, представ­ляющего собой урезанный криптомаршрутизатор-без второй се­тевой платы и ПО маршрутизации.

Защита центра генерации ключей. Центр генерации ключей располагается на отдельном компьютере (по структуре аналогичен абонентскому пункту под управлением DOS), доступ к которому имеет только администратор сети. В состав центра включаются:

• система защиты от несанкционированного доступа КРИПТОН- ВЕТО;

• программа CryptonSoft;

• коммуникационный модуль с аутентификацией и шифрованием пакетов. '

Защита локальных серверов, серверов приложений и корпоративного сервера. Защита баз данных и файл-серверов может производиться так же, как защита абонентского места (см. рис.11.9). Однако доступ к серверам с секретной информацией должен ограничиваться с помощью устройств защиты от НСД с разграничением доступа, представляющих собой расширенный функциями проверки полномочий и обеспечения доступа к разре­шенным приложениям и документам криптомаршрутизатор (см. рис.11.10).

Защита сегментов сетей. Защита осуществляется на основе перечисленных выше компонентов. Внутри сегмента сети исполь­зуются программные коммуникационные модули на абонентских пунктах АП1-АП„ (рис.11.11). В частично контролируемой среде есть вероятность их подмены. Поэтому для выхода в сеть из сег- ззо