Учебное пособие 800434

Основные параметры:

-тип применяемого алгоритма шифрования (RSA, DES,

ГОСТ 28147-89); -длина ключа шифрования (128-2048 бит);

-скорость шифрования (33 Кбит/с – 100Мбит/с).

Типовой состав: криптопроцессор, ОЗУ, ПЗУ BIOS, генератор случайных чисел, внешний интерфейс.

Варианты исполнения:

-отдельное устройство, присоединяемое к порту ПК

(например THALES (Racal) DataСryptor 2000);

-плата расширения ПК (Криптон); -Шифрующий модем в исполнении PCMCIA; -криптопроцессор, встроенный в сетевую карту; -модуль расширения к маршрутизатору.

Обеспечение физической защищенности: Выполнение в закрытом взломоустойчивом корпусе: криптографический модуль внутри корпуса помещѐн в конверт тонкой плѐнки на эпоксидной смоле для контроля взлома. Также в конверте имеются датчики на движение, температуру и химическое воздействие. Батарея, поддерживающая работу электроники, расположена внутри корпуса, но вне конверта, что позволяет проводить обслуживание в сервис-центрах. Повреждение защитного конверта вызывает состояние "критической

криптографической защиты (шифрования) информации, обрабатываемой на компьютерах IBM PC.

Основные технические характеристики: -скорость обработки информации - до 300 Кбайт/с; -длина ключа - 256 бит;

-носителем ключевой информации служит магнитная дискета или смарт-карта;

-программное обеспечение позволяет осуществлять: шифрование файлов, групп файлов и разделов дисков; защиту

147

информации, передаваемой по открытым каналам связи, разграничение и контроль доступа к компьютеру; электронную подпись юридических и финансовых документов.

Аппаратная часть

"Криптон" представляет собой плату размером 150х105 мм, на которой размещены:

-Узел шифрования, спроектированный па базе

функционирования узел шифрования содержит две такие параллельно работающие СБИС. Кроме того, узел шифрования содержит ОЗУ, предназначенное для хранения трех ключей.

-Микросхема ПЗУ, содержащая BIOS платы КРИПТОН, программу начальной тестовой проверки работоспособности платы и программу загрузки в СБИС шифрования ключа.

-Схема генерации случайной бинарной последовательности (датчик случайных чисел - ДСЧ, выполненный на основе специальных диодов, генерирующих высококачественный "физический" шум).

-Контроллер интерфейса с шиной ISA.

-Переключатели, определяющие режим работы платы и адресацию ПЗУ.

Максимальная длина пароля в системе КРИПТОН-3 — 37 символов. Длина пароля определяет стойкость системы. Поэтому рекомендуется использовать длинные пароли с

Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе ассиметричного криптографического алгоритма.

Алгоритм шифрования реализован аппаратно на основе специализированной БИС "Блюминг-1".

Аппаратная реализация позволяет гарантировать целостность алгоритма криптографического преобразования. Использование СБИС также позволяет загружать ключи шифрования до загрузки операционной системы в регистры шифропроцессора и хранить их там в процессе обработки файлов без выгрузки в ОЗУ, что гарантирует сохранность ключей от несанкционированного доступа. СКЗД "Криптон-4" сертифицирован ФАПСИ в составе ряда автоматизированных рабочих мест.

11. СЗИ ОТ ПОБОЧНЫХ ЭЛЕКТРОМАГНИТНЫХ ИЗЛУЧЕНИЙ И НАВОДОК (ПЭМИН)

11.1. Система защиты от ПЭМИН

Как и большинство проблем в сфере информационной безопасности, проблема защиты от утечки информации за счет ПЭМИН носит комплексный характер. Для ее успешного решения необходимо организовать систему защиты, включающую комплекс организационных и технических мероприятий. В целом данная система объединяет три основных направления (см. рис. 12.1):

-―профилактическое‖, включающее меры по снижению вероятности возникновения угрозы утечки информации за счет ПЭМИН;

-‖диагностическое‖, предназначенное для получения реальной картины ПЭМИН на объекте;

-‖лечебное‖, включающее меры по недопущению утечки информации по данному каналу.

149

Рис.12.1

Мероприятия по снижению вероятности возникновения угрозы утечки информации за счет ПЭМИН включают:

-грамотное проектирование зданий и коммуникаций (инженерные методы защиты от ПЭМИН);

-использование сертифицированных ТС обработки информации.

Мониторинг реальных уровней и спектра ПЭМИН на объекте информатизации предполагает осуществление периодического технического контроля уровней ПЭМИН на границе контролируемой зоны и (или) непосредственно вблизи проверяемого ТС (с последующим расчетом радиуса опасной зоны).

Блокирование возможности утечки информации за счет ПЭМИН включает:

-меры по поиску источников ПЭМИН и минимизации их уровней;

-меры по недопущению съема ПЭМИН за пределами контролируемой зоны (применение методов экранирования, зашумления и фильтрации).

11.2. Методы снижения вероятности возникновения угрозы утечки информации за счет ПЭМИН

Как было отмечено ранее, данные методы используются для ―профилактики‖ объекта информатизации, т.е. для

оповещения, датчиков сигнализации и т.п.) за пределами зоны,

излучениями основных технических средств (ОТС) наводок информативного сигнала на ВТС;

-размещение телефонных линий, сетей электропитания, сигнализации и других ―распределенных антенн‖, имеющих выход за границы контролируемой зоны, в местах, где не создаются наводки электромагнитных излучений ОТС;

-недопущение совместного пробега кабельных линий ВТС и кабелей локальных сетей ближе установленного расстояния;

-сосредоточение ОТС, обрабатывающих защищаемую информацию, как можно более компактно;

-оборудование помещений, в которых эксплуатируются ОТС, системой заземления, осуществляемой по схеме ―ветвящегося‖ дерева, не имеющей замкнутых контуров;

-использование заземлителей с сопротивлением не более 4 Ом, расположенных в пределах контролируемой зоны на расстоянии не менее 10 м от ее границы и от подземных коммуникаций (водопровода, кабелей и т.п.), имеющих выход за пределы контролируемой зоны;

-применение экранированных сигнальных кабелей (для наиболее ответственных сегментов сетей – оптоволоконных);

-обеспечение электропитания ОТС от автономного источника питания, расположенного в пределах контролируемой зоны, (трансформаторной подстанции с заземленной нулевой точкой, системы ―двигатель-генератор‖).

Для того чтобы обеспечить установку на объекте информатизации ОТС с заведомо низким уровнем ПЭМИН, следует выбирать:

-ОТС, прошедшие специальную проверку и имеющие соответствующий сертификат;

-ОТС в защищенном исполнении; -компоненты ОТС, произведенные по технологиям, не

допускающим появления ПЭМИН с опасным уровнем (например, ЖК-мониторы, устройства с оптоволоконными каналами).

В качестве примера ОТС в защищенном исполнении

151

организованных на основе оптоволоконных линий, в качестве сервера приложений, коммуникационного, терминального или файлового сервера под управлением различных операционных систем. В состав ПЭВМ входят: металлический корпус, системная плата Intel STL2, поддерживающая два процессора Intel Pentium III, оптический сетевой адаптер со скоростью обмена 100Мбит/с, встроенный видеомонитор на основе 15" ЖКИ панели.

11.3. Методы и средства оценки уровня ПЭМИН

Данное ―диагностическое‖ направление является составной частью комплекса мероприятий по аттестации объектов, помещений, технических средств на их соответствие требованиям безопасности. Существует несколько категорий объектов, различающихся уровнями секретности обрабатываемой информации и условиями размещения. Для каждой категории установлены предельные уровни ПЭМИН, при которых признается возможной эксплуатация ОТС.

Контроль уровней ПЭМИН может быть осуществлен как инструментальным способом, заключающимся в физической проверке невозможности перехвата ПЭМИ за пределами контролируемой территории, так и инструментальнорасчетным, когда ПЭМИН измеряются вблизи проверяемого ТС (примерно в метре), а затем рассчитывается радиуса зоны их возможного перехвата.

Инструментальный метод:

1). Приемно-измерительная аппаратура устанавливается

за пределами контролируемой территории в местах возможного расположения технических средств разведки.

2). В приемном устройстве отключается система

длительность импульса в пачке тестового сигнала.

3). Задается тестовый режим работы ОТС на объекте. В тестовом режиме формируется сигнал, легко идентифицируемый при приеме и переводящий ОТС в состояние, при котором уровень ПЭМИН максимален. Для СВТ тестовый сигнал – это пачки импульсов с длительностью

τ (τ = 0,6 мкс - для проверки процессора; τ = 0,25 мкс – для НГМД; τ = 0,05 мкс - для НЖМД; τ = 0,06 мкс - для

видеосистемы; τ = 4 мкс - для матричного принтера).

4). Осуществляется поиск излучения, модулированного тестовым сигналом, в диапазоне частот от 0,01 до 1000 МГц. При его обнаружении принимается решение о необходимости проведения дополнительных защитных мероприятий.

Недостатком данного способа являются относительно высокие требования к пороговой чувствительности приемных устройств (не хуже 1 мкВ) и наличию специальных комбинированных магнитных и электрических антенн.

Инструментально-расчетный метод:

1). Аппаратура контроля устанавливается на расстояния

1м от проверяемого устройства.

2). Выставляются необходимые режимы приемноизмерительной аппаратуры.

3). Задается тестовый режим работы проверяемых ОТС.

4). Осуществляется поиск ПЭМИН, модулированных тестовым сигналом и измерение их уровней Uc+ш в присутствии шума.

5). Для всех частот, на которых были обнаружены ПЭМИН, результаты измерений заносятся в табл. 9.

153

Таблица 9.

Результаты измериний ПЭМИН

На всех частотах, где был обнаружен тестовый сигнал, измеряются уровни шума Uш, и их значения также заносятся в таблицу 9. Если чувствительность РПУ ниже 10 мкВ, то для определения уровня шума можно воспользоваться соотношением

Uш = Еш * h,

где h - действующая высота антенны, а Еш - шумовая напряженность электрического поля, ориентировочные значения которой для крупного промышленного города приведены в табл. 10.

Таблица 10. Значения шумовой составляющей ПЭМИН для крупного

города

контролируемой зоны, необходимо учесть ослабление напряженности электромагнитного поля искусственными (или естественными) преградами. В случае, когда величина Rп все же превышает радиус контролируемой зоны, необходимо предпринять дополнительные меры по защите информации от перехвата.

Используемая для измерения ПЭМИН приемноизмерительная аппаратура приведена в таблице 11.

Таблица 11. Аппаратура для измерения ПЭМИН

155

Антенны для сканирующих приемников:

-DA 3000 16-ти элементная VHF-UHF дискоконусная антенна для диапазона частот 25-2000 МГц.

-LA 320 рамочная антенна для диапазона 1,6-15 МГц с дополнительными элементами для работы в диапазонах 0,2 -

0,54 МГц и 0,54 - 1,6 МГц.

-G-710 активная антенна для диапазона частот 55-1100

156