Разработанная сотрудниками кафедры защиты информации МФТИ флеш-карта оснащена блоком аутентификации, с помощью которого устройство распознает не только легальных пользователей, но и круг компьютеров, на которых его можно использовать. Также переносной носитель оснащен системой автоматического маскирования данных, что делает невозможным их считывание напрямую с микросхемы.
По словам одного из разработчиков, заведующего кафедры защиты информации МФТИ Валерия Конявского, легальный доступ к информации, которая хранится на защищенной флешке, есть только у пользователя и администратора. При этом, пользователь может задавать и редактировать перечень «разрешенных» компьютеров и выполнять другие действия, связанные с предоставлением доступа. Сценарий использования носителя администратором предполагает только чтение и запись данных.
«Первичная установка статусов „пользователь“ и „админ“ происходит с помощью специального ПО, которое запускается прямо с флешки. Софт хранится в памяти устройства, удалить или перезаписать его нельзя. У программной части две специальные консоли — для администратора и для пользователя. Тут возникает вопрос о том, а сколько у флешки может быть администраторов и пользователей? Один администратор и один пользователь. При личном использовании устройства один человек может объединить эти две роли, при корпоративном использовании — эти статусы лучше разделить», — уточняет заведующий кафедрой защиты информации МФТИ Валерий Конявский.
Разработанные в МФТИ флешки можно использовать в защищенной системе компьютеров, из которой нельзя внести/вынести посторонние данные. К примеру, в рамках локальной сети предприятия. Интеграция флеш‑карт с блоком аутентификации в информационную систему не снижает ее защищенности, поскольку внешние носители не смогут быть использованы за ее пределами.
«Если злоумышленник решит обойти установленные ограничения и выпаять микросхему памяти из флешки, чтобы считать данные напрямую с нее, он не сможет это сделать, поскольку увидит данные в зашифрованном виде. При этом легальный пользователь, который откроет флешку на разрешенном компьютере, увидит обычный файл», — продолжает Валерий Конявский.
В ближайших планах разработчиков — выйти на мелкосерийное производство защищенных флешек исключительно. Предполагается, что готовый продукт будет импортонезависимым, т. е. будет выполнен исключительно из отечественных комплектующих.
Комментарии (16)
REPISOT
31.10.2024 11:25При этом, пользователь может задавать и редактировать перечень “разрешенных” компьютеров и выполнять другие действия, связанные с предоставлением доступа. Сценарий использования носителя администратором предполагает только чтение и запись данных.
Логично было бы наоборот
будет выполнен исключительно из отечественных комплектующих
А что, в России научились производить флеш-память?
Heggi
31.10.2024 11:25А что, в России научились производить флеш-память?
Вопрос некорректный. Флеш-память у нас производят давно. Но емкость микросхем не та (до 2Мбайт из того что смог нагуглить).
А вот про чипы большой ёмкости (хотя бы на гигабайт) ничего сходу не нагуглилось. Но в новостях год-полтора назад мелькало, что в Калининграде строят (или построили) завод по производству флеш-памяти. Но производится ли там сейчас что - неизвестно.
moiseeva Автор
31.10.2024 11:25Да, нет уверенности, что микросхемы флеш-памяти большой емкости будут в скором времени производиться в России. Ждем этого уже 30 лет, и придется ждать еще. Но архитектура «Секрета» такова, что использование импортных схем памяти не влияет на безопасность. Главное, что есть доступный отечественный микроконтроллер, и контролируемый софт для него.
salnicoff
31.10.2024 11:25Очередная «Bolgen OS», на этот раз из «VeraCrypt»?
moiseeva Автор
31.10.2024 11:25В «Секрете» так называемое «шифрование» (маскирование, вообще говоря) является дополнительной функцией, на случай признания идеи «украдут и выпаяют микросхему памяти» актуальной угрозой.
Основная функция «Секрета» заключается в то, что он не примонтируется ни на каком компьютере, кроме явно разрешенных.Да, именно администратор «Секрета» (а не администратор компьютера!) может (и должен) определять, какие компьютеры он разрешает. Администратор компьютера не может на это повлиять.
salnicoff
31.10.2024 11:25И давно это USB стал умнее компьютера? Компьютер вообще-то спрашивает у того, кто в USB порту: «Кто ты?», а не наоборот. Чтобы было наоборот, надо драйвер ставить. Нет драйвера — читай, как угодно.
rus-spb
31.10.2024 11:25флешки можно использовать в защищенной системе компьютеров, из которой нельзя внести/вынести посторонние данные. К примеру, в рамках локальной сети предприятия.
Так в рамках локальной сети предприятия документооборот обеспечивается сотрудниками Спецсвязи. Неужели защищаемые распечатки документооборота планируется переносить на защищённые флэшки?
moiseeva Автор
31.10.2024 11:25Локальная сеть – это про взаимодействие на цифровом уровне, сотрудники Спецсвязи и распечатки – на аналоговом. Невозможно представить себе, как сотрудники Спецсвязи носят распечатки «в рамках» локальной сети.
По существу же – «Секрет» предназначен для решения тех задач, которые в организациях есть, а не тех, которых нет. То, что передается в распечатках, а не на флешках, никак не пострадает при краже, потере, отъеме или покупке флешки у мотивированного инсайдера. «Секрет» предназначен заменить не сотрудников Спецсвязи, а незащищенные флешки, на которых в организацию приносятся вирусы, а из организации выносятся полезные для конкурентов файлы.
outlingo
USB уже научился достоверной аутентификации, а не только Vendor ID / Class / Serial? Если нет - то это тривиально эмулируется.
Угу, наш софт настолько идеален что совершенен и не никогда не будет обновляться. Trusted computing - не, не слышали, только защита через write-once, никаких полумер
moiseeva Автор
Спасибо за проявленный интерес. Конечно, из краткого информационного сообщения не все можно было понять, так что источник вопросов ясен.
На них мы постарались ответить, отдельно на каждую ветку, так что есть повторы, так как многие вопросы повторялись.
Даем более подробное описание, и ответим на новые вопросы.
Изделие уже купили более 100 компаний. Сертифицировано по требованиям безопасности регулятором.
Пишите, если есть желание поближе познакомиться с решениями по технической защите информации, а, возможно, и поработать над ними.
moiseeva Автор
«Секрет» определяет, разрешенный ли компьютер, а не компьютер определяет, разрешенный ли «Секрет». Компьютер характеризуется совершенно другими параметрами. «Секрет Особого Назначения» аутентифицирует компьютер по совокупности 5 признаков: серийный номер СДЗ («Аккорд», «Соболь»); серийный номер материнской платы компьютера; серийный номер дистрибутива ОС; идентификатор домена Active Directory; идентификатор РС в домене (имя компьютера).
Эмулировать всю совокупность теоретически возможно, хоть и не просто, однако, для этого злоумышленнику нужно знать искомые параметры, а взять их неоткуда – параметры разрешенных компьютеров никому, кроме администратора «Секрета» не демонстрируются. Доступа к ним нет в том числе и у легального пользователя.
outlingo
Ясно. По сути USB-хаб с одним устройством по умолчанию (возможно представляющимся USB-Serial), автоматический запуск и передача идентифицирующих данных "драйвером" (а по сути любым в общем то софтом) через эту линию, и при совпадении с ожидаемым там же на хабе появляется второе устройство (USB mass storage)? В такой схеме выглядит достаточно работоспособным.
А вот это звучит намного хуже. Получить эти параметры может любой пользователь "разрешенного компьютера". Использование сертификатов и связки открытого/закрытого ключа в сочетании с аппаратным токеном выглядит более сильным решением, но это ваш выбор.
moiseeva Автор
Будет обновляться (и обновляется) по защищенной процедуре, все в порядке.
outlingo
Ок. Только в следующий раз статьи следует лучше вычитывать :-)