CC BY
35
УДК: 065.33 ББК: У65
Губанова С.Е.
АТРИБУТНЫЙ ПОДХОД К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ ПРИ
ОРГАНИЗАЦИИ ЭКОНОМИЧЕСКИ БЕЗОПАСНОЙ ПОЛИТИКИ ПРЕДПРИЯТИЯ
Gubanova S.E.
ATTRIBUTE APPROACH TO DATA PROTECTION TO THE ECONOMIC SECURITY
POLICY OF THE ENTERPRISE
Ключевые слова: электронные взаимодействия, Инфраструктура открытых ключей, Инфраструктура управления полномочиями, сертификаты открытого ключа, атрибутные сертификаты.
Keywords: electronic interactions, Public Key Infrastructure, Privilege Management Infrastructure, public key certificates, attribute certificates.
Аннотация: в статье описана специфика, применение, преимущества, экономическая целесообразность использования технологии инфраструктуры управления полномочиями и атрибутных сертификатов в рамках развития и внедрения экономически безопасной политики современного предприятия.
Annotation: the article describes the specifics, use, benefits, the economic feasibility of the use of Privilege Management Infrastructure technology and attribute certificates in the development and implementation of economic security policy of the modern enterprise.
В указе Президента Российской Федерации от 31 декабря 2015 года «О Стратегии национальной безопасности Российской Федерации» особо подчёркнута необходимость развития экономики страны, обеспечения экономической безопасности, перехода экономики на новый, инновационный уровень технологического развития [1]. Инноваций требуют все сферы и отрасли народного хозяйства. Одно из важнейших направлений - развитие информационно-коммуникационных технологий и связанная с этим кардинальная модернизация взаимоотношений бизнеса, государства и населения.
В последние годы мы видим, как государство жёстко заставляет коммерческие и бюджетные организации переходить на безбумажные технологии взаимодействия. Внедряется электронный документооборот, в том числе межведомственный. Бухгалтерская, налоговая, страховая отчётность перед государственными органами принудительно переводится в электронный вид. Это касается Налоговой службы, Пенсионного фонда, Фонда социального страхования и других контролирующих учреждений. Такая важнейшая сфера деятельности, как закупки товаров и услуг для государственных и муниципальных нужд, сегодня полностью переведена на электронный документооборот и проводится удалённо с использованием механизма электронной подписи [2].
Но удалённое взаимодействие посредством сети Интернет, помимо очевидных преимуществ - скорость, удобство, простота и де-
шевизна использования, - влечёт за собой определённые риски и угрозы, которых не было ранее. А именно: контроль целостности, конфиденциальности, аутентификации и неотказуемо-сти от авторства передаваемой по сети информации требует особых мер и усилий.
Лучшим решением данных проблем на сегодняшний день признаётся использование цифровых сертификатов на базе Инфраструктуры открытых ключей (PKI - Public Key Infrastructure). Центральным элементом инфраструктуры является Удостоверяющий центр, который выступает в качестве Доверенной третьей стороны. Он идентифицирует пользователей системы, генерирует криптографические ключи (в данном случае ключ - это средство создания и проверки электронной подписи, а также шифрования и дешифрования информации), создаёт, заверяет, отзывает при необходимости сертификаты ключей, ведёт реестр выданных и отозванных сертификатов, управляет жизненным циклом сертификатов и т.д. Сомнений в использовании Инфраструктуры открытых ключей на сегодня нет. Но вот по поводу Удостоверяющих центров - возможны варианты. Организация может воспользоваться услугами сторонних центров, либо создать свой собственный Удостоверяющий центр. Выбор непростой, каждый вариант имеет свои преимущества и недостатки [3]. Но эксперты высказывают мнение, что при численности пользователей в организации от 500 человек наиболее оптимальным выглядит второй вариант, то есть
собственный корпоративный Удостоверяющий центр. Это требует усилий, наличия высококвалифицированного персонала, организационных мероприятий, особых программно-аппаратных средств, но все затраты искупаются большей гибкостью, производительностью, масштабируемостью системы, и в конечном счёте это ощутимо дешевле для компании.
Но после введения в действие федеральных законов об обязательном использовании электронных подписей при взаимоотношениях с определёнными государственными органами даже тем крупным организациям, которые имели собственные Удостоверяющие центры, пришлось дополнительно получать средства электронной подписи во внешних, аккредитованных Удостоверяющих центрах Дело в том, что по закону [4] мы имеем три вида электронных подписей - простая, усиленная неквалифицированная и усиленная квалифицированная. Последняя считается наиболее надёжной и выдаётся только аккредитованным центром. И только её можно использовать при сдаче налоговой отчётности, например, и некоторых прочих законодательно закреплённых взаимодействиях. Тогда как для внутрикорпоративных контактов можно применять любой вид подписи, и то же самое для межкорпоративных контактов при условии тщательно прописанных юридических договоров с указанием вида и формата подписи. Но, как правило, число сотрудников, которым по служебным обязанностям необходима усиленная квалифицированная подпись, невелико, и потому их приобретение не слишком обременительно для бюджета.
То есть с некоторых пор оптимальным вариантом для крупных компаний является использование и внутреннего (для основного числа поль-
зователей), и внешнего (для ограниченного количества сертификатов) Удостоверяющего центра.
Но теперь появилась ещё одна перспективная технология, которая, возможно, поменяет установившийся расклад. Речь идёт об Инфраструктуре управления полномочиями (PMI -Privilege Management Infrastructure). Это технология, которая устанавливает связь сертификатов открытых ключей (полученных на базе PKI, о чём говорилось выше) и дополнительной информации, применяемой для предоставления прав, полномочий и привилегий. Центральными элементами Инфраструктуры управления полномочиями являются Атрибутные сертификаты и Атрибутные центры. Атрибутный сертификат
- сертификат особого вида, содержащий ссылку на сертификат открытых ключей (один или несколько) какого-либо субъекта. Атрибутный центр выпускает и заверяет своей электронной подписью атрибутный сертификат. Механизмы PKI и PMI во многом схожи, но это разные технологии, работающие в единой связке на одну цель - надёжную аутентификацию и авторизацию пользователя. За аутентификацию отвечает сертификат открытых ключей, за авторизацию
- атрибутный сертификат. Напомним, что аутентификация - это доказательство подлинности личности пользователя, а авторизация - это предоставление определённых прав и полномочий. Авторизованный клиент - это клиент, имеющий право доступа куда-либо. Эти понятия часто путают, как путают и сами эти технологии - PKI и PMI, и их сертификаты. Это можно понять, потому что формат их во многом совпадает. Сведём в таблицу основные элементы технологий (таблица 1).
Понятие PKI PMI
Сертификат Сертификат открытого ключа Атрибутный сертификат
Издатель Удостоверяющий центр Атрибутный центр
Пользователь сертификата Физическое лицо, описанное как Subject Физическое лицо либо роль, либо электронный документ, описанный как Holder
Сертификат содержит Открытый ключ пользователя Ссылка на сертификат открытого ключа либо хэш электронного документа
Сущность связи Идентификационные данные пользователя и открытый ключ Пользователь и его привилегии
Удостоверяет Электронная подпись Удостоверяющего центра Электронная подпись Атрибутного центра
Дополнительные данные Любые Любые
Отзыв Список аннулированных сертификатов Удостоверяющего центра Список аннулированных сертификатов Атрибутного центра
Срок действия В соответствии с регламентом Удостоверяющего центра В соответствии со сроком действия привилегий, но не дольше чем соответствующий сертификат открытого ключа
Целевой функционал Аутентификация Авторизация
Таблица 1 - Основные понятия технологий PKI и PMI, сравнение
Заметим, что когда мы говорим «пользователь», мы не обязательно имеем в вицу человека. Это может быть и человек, и предмет, и процесс. Поскольку существует масса реальных ситуаций, когда и предмету, и процессу необходима аутентификация и регламентированный доступ к каким-либо ресурсам. Например, в книге [5] описана структура нефтеперегонного комплекса, который имеет разветвлённую структуру аппаратов, труб, снабженных сотнями датчиков, передающих такие показания, как температура, давление и т.д. Очень важно, чтобы диспетчер, получающий эти сведения, был уверен, что не произошло подмены или искажения ни на каком этапе ни по самим датчикам, ни по передаваемой ими информации. Поскольку это может привести к выходу из строя всего комплекса и даже колоссальным взрывам. То есть датчики должны корректным образом ау-тентифицироваться, их показания должны сохранять целостность и достоверность. А это как раз зона ответственности Инфраструктуры открытых ключей.
Каковы же преимущества применения технологии Инфраструктуры управления привилегиями? Сертификаты открытого ключа, которые сегодня уже получили достаточно широкое применение, содержат идентификационные данные владельца, его открытый ключ и электронную подпись Удостоверяющего центра, которая заверяет эти данные и принадлежность ключа конкретному пользователю. Но кроме этого формат сертификата подразумевает определённое количество дополнительных полей, и их можно заполнять данными, необходимыми для тех информационных систем, в которых данный сертификат будет применяться. В эти поля можно поместить информацию о должности, месте работы, особых условиях доступа и даже о специфике транзакций, которые разрешены пользователю. Например, можно поставить условие, что денежный перевод до десяти тысяч рублей разрешён, а свыше этой суммы -запрещён. Это очень удобный и надёжный способ контроля и регламентации транзакций. Но проблема в том, что эти условия и дополнительные специфические данные могут изменяться достаточно часто. А сертификат открытого ключа выдаётся на срок от года до трёх, и при любом изменении его содержимого требует отзыва и переиздания. Это непростая процедура, она финансово и организационно затратная. Гораздо выгоднее было бы поместить наиболее изменчивую информацию в отдельный документ, и там же поставить ссылку на исходный сертификат открытого ключа. Тогда и получается атрибутный сертификат. А в сертификате открытого ключа остаётся только долговременная,
редко меняющаяся информация. И основная функция этого ключа - идентификация и аутентификация пользователя. Атрибутному же сертификату идентификационные данные ни к чему, для него не надо генерировать ключевую пару. То есть создание и поддержка этого сертификата гораздо проще и дешевле. Этим может заниматься корпоративный Атрибутный центр, который обслуживает функциональность конкретного предприятия и, соответственно, использует те дополнительные данные о пользователе и его правах доступа, которые ему нужны. Атрибутный центр, как и Удостоверяющий, заверяет данные своей электронной подписью [6]. В этом есть логика - компания отвечает за те сведения о своём сотруднике, которые находятся в зоне её ответственности. Если же внешний Удостоверяющий центр вынужден заверять, например, профессиональную информацию о пользователе, то нужно особо тщательно организовывать процедуру получения дополнительных сведений и ответственности за их достоверность и актуальность. Кроме того, сертификаты открытого ключа по закону должны находиться в публичном доступе, и в случае наличия в них специфических сведений возникает противоречие с законом о персональных данных, который запрещает их выставлять в открытый доступ. А атрибутные сертификаты могут храниться внутри компании со всеми необходимыми предосторожностями, открывать их совершенно необязательно. При любом изменении прав пользователя или его статуса эти сертификаты могут быть легко и быстро переизданы, и это никак не повлияет на сертификат открытого ключа. Получается гибкая, удобная и эффективная система, с помощью которой менеджмент организации может управлять правами и привилегиями своих сотрудников относительно доступа к информационным ресурсам. На такой основе могут выстраиваться на предприятии информационно-аналитические системы по обеспечению экономической безопасности [7].
Кроме того, можно выпускать атрибутный сертификат не для человека, а для роли (role specification certificate), и помещать туда необходимые для роли атрибуты. Это очень практичный вариант. Недаром во многих продвинутых системах управления базами данных, например, Oracle, используется тот же самый механизм делегирования прав (грантов) именно роли, а уже человеку назначается готовая роль (роли).
Атрибутный центр, как и Удостоверяющий, может выдавать, отзывать, приостанавливать действие своих сертификатов, вести их реестр. Конечно, срок действия атрибутного сертификата не может перекрывать срок действия
исходного сертификата открытого ключа, на который ссылается атрибутный сертификат. В этом он зависит от сертификата открытого ключа. Но сертификат открытого ключа от атрибутного сертификата не зависит никак.
Кроме того, есть ещё одно замечательное качество атрибутного сертификата, которое может быть крайне полезно для работы с электронными документами в организации. Оно состоит в том, что атрибутный сертификат можно назначать не пользователю, а документу [8]. Это может быть электронный реестр, или выписка, или лицензия, и т.д. - любой документ, имеющий ограниченный срок действия с возможным в любой момент отзывом. Однозначная связь атрибутного сертификата с документом обеспечивается через указание хэша документа в сертификате. В этом случае актуальность документа определяется статусом сертификата: если сертификат не отозван - документ действителен, если отозван - недействителен Достаточно логичный и удобный механизм. Кроме того, атрибутные сертификаты обеспечивают защищённую передачу данных между информационными системами.
Концепция Атрибутного центра и Атрибутного сертификата известна уже несколько лет, она изложена в международных рекомендациях RFC 3281 [9]. Но относительно применения на практике этой концепции известно очень мало. Это, конечно, объяснимо: Инфраструктура открытых ключей (PKI) и сама по себе довольно сложна, а связка с Инфраструктурой управления полномочиями (PMI) на первый взгляд дополнительно усложняет данную тематику. Но только на первый взгляд. Поскольку здесь есть прямая аналогия с реалиями повседневной жизни: сертификат открытого ключа можно представить как паспорт, идентифицирующий субъекта, а атрибутный сертификат -пропуск, полученный на основе паспорта, или виза, или любой другой подчинённый документ. Но любая технология работает тогда, когда для
неё есть инфраструктура - техническая, организационная, правовая. На сегодняшний день дела с этим обстоят неудовлетворительно. Но работа по развитию, популяризации, внедрению этого механизма идёт. Специалисты однозначно признают полезность и перспективность Инфраструктуры управления полномочиями. Есть основания считать, что ожидается внесение изменений в Федеральный закон № 63 «Об электронной подписи», где будут определяться и описываться понятия Атрибутного центра, Атрибутного сертификата, их особенностях и связи с Инфраструктурой открытых ключей. Это, безусловно, даст толчок развитию и внедрению в массовую практику этой концепции. Заметим, что в Республике Беларусь с 1 сентября 2014 г. уже введен государственный стандарт СТБ 34.101.67 "Информационные технологии и безопасность. Инфраструктура атрибутных сертификатов" [10]. Нашим компаниям надо внимательно изучать опыт белорусских коллег с целью использовать лучшие наработки для себя.
Таким образом, на сегодняшний день мы видим набор возможностей по организации на предприятии систем защиты информации, использующих сертификаты открытого ключа и атрибутные сертификаты. Каждый из них имеет свои преимущества и недостатки, коротко изложенные в таблице 2. Плюс к этому надо учитывать специфику предприятия, масштаб, задачи, риски, объём информационных потоков, критичность обрабатываемых данных и др. факторы. Возможность, перспективность, экономическая целесообразность принятых решений зависит от качества и заинтересованности управляющего менеджмента компании. От адекватности и правильности решений зависит качество защиты информационных ресурсов, и в целом повышения информационной культуры, безопасности, эффективности функционирования корпоративных механизмов управления, и в конечном счёте конкурентоспособность предприятия.
Таблица 2 - Применение Удостоверяющего и Атрибутного центров для организации
Вариант Преимущества Недостатки
1 2 3
Корпоративный Удостоверяющий центр Гибкость, дешевизна, полный контроль за информацией и персональными данными Невозможность взаимодействия с госорганами. Сложность взаимодействия с внешними партнёрами
Внешний аккредитованный Удостоверяющий центр Нет необходимости содержать в штате подразделение и специалистов с криптографической подготовкой. Возможность взаимодействия с госорганами Высокая стоимость. Сложность внесения дополнительной информации, необходимой собственным информационным системам
Аккредитованный Удостоверяющий центр Корпоративный Удостоверяющий центр Приемлемая стоимость при широком охвате персонала системами электронной подписи для внутренних и внешних коммуникаций Сложность администрирования и сведения в один комплекс сертификатов с разным форматом и содержимым. Необходимость отдельно описывать в своих информационных системах взаимодействие с внутренними и внешними сертификатами
Продолжение таблицы 2
1 2 3
Аккредитованный Удостоверяющий центр Корпоративный Атрибутный центр Гибкость во внедрении и использовании любой необходимой информации по привилегиям и транзакциям своих пользователей Высокая стоимость приобретения сертификатов открытого ключа для большого количества пользователей
Аккредитованный Удостоверяющий центр Корпоративный Удостоверяющий центр Корпоративный Атрибутный центр Гибкость во внедрении и использовании любой необходимой информации по привилегиям и транзакциям своих пользователей. Приемлемая стоимость при широком охвате персонала системами электронной подписи Дополнительная сложность администрирования как внешних, так и внутренних сертификатов открытого ключа
Что касается сравнительной стоимости использования внешнего Удостоверяющего центра, внутреннего корпоративного Удостоверяющего центра и Атрибутного центра, то оно в большой степени зависит от количества пользователей. При числе пользователей от 500 человек, безусловно, развёртывание внутреннего Удостоверяющего центра экономически оправдано. Относительно Атрибутного центра можно сказать, что практика его применения пока слишком мала, чтобы можно было делать обоснованные выводы. Предварительные расчёты показывают очень обнадёживающие оценки стоимости его функционирования, но надо дождаться реальных результатов.
Электронные взаимодействия не только технологически являются шагом вперёд по сравнению с бумажными, поскольку многократно упрощают информационный обмен, существенно повышают качество работы организаций, конкурентоспособность и прибыль коммерческих компаний, но и являются крайне эффективным средством по борьбе с коррупцией. Суть в том, что движение документов становится столь прозрачным, быстрым и наглядным, что любые задержки, неправомерные изменения, потеря документов, персональная ответственность сотрудников на каждом шаге становятся очевидны и легко доказуемы.
Таким образом, коррупциогенность в нашей стране несомненно снизится, а это само по себе является импульсом для оздоровления общества, развития экономики, повышения экономической безопасности как отдельных предприятий и организаций, так всего государства в целом. Но для этого необходимо использовать наиболее передовые методы и средства, предоставляемые современной наукой и технологией.
В чём новизна данного подхода, использующего атрибутные сертификаты и Инфраструктуру управления привилегиями? Если рассматривать сертификаты открытого ключа, уже
широко распространённые в нашей стране и в коммерческих, и в бюджетных организациях, то наиболее сложная, трудоёмкая и ответственная часть их создания - это надёжная идентификация пользователя (через личную встречу, с изучением и сличением паспорта либо других документов) и генерация криптографических ключей соответствующего уровня защиты, с проверкой их уникальности. Здесь требуется как серьёзная технологическая инфраструктура, так и организационные мероприятия. И как раз этого совершенно не требуется при создании атрибутных сертификатов. При том, что возможности и преимущества атрибутных сертификатов в смысле гибкости, лёгкой замены и регламентированности доступа и транзакций исключительно высоки. К тому же решается проблема интеграции различных сертификатов открытого ключа, выданных разными Удостоверяющими центрами, в единую информационную инфраструктуру предприятия, унифицированную для своих потребностей и использующую сходные алгоритмы. Этим достигается не только повышение эффективности, но и снижение затрат на приобретение и техническую поддержку систем электронной подписи, дифференцированного доступа, аутентификации и авторизации пользователей.
Разработка и развитие механизмов, использующих сертификаты, на сегодняшний день далеко не закончена. Это сложные механизмы, и их внедрение в широкую практику идёт достаточно тяжело. Есть разные варианты, и какой из них «выстрелит», то есть получит широкое применение и признание не только среди специалистов, но и среди населения, пока не совсем ясно.
Один из вариантов предложен в данной статье. Описана его специфика, его практическая пригодность и экономическая выгода от применения для современного, технологически продвинутого и конкурентоспособного пред-
приятия.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Указ Президента РФ от 31.12.2015 № 683 "О Стратегии национальной безопасности Российской Федерации" [Электронный ресурс]. - Режим доступа: http://www.rg.ru/2015/12/31/nac-bezopasnost-site-dok.html
2. Федеральный закон от 05.04.2013 № 44- ФЗ (ред. от 30.12.2015) "О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд" [Электронный ресурс]. - Режим доступа: https://www.consultant.ru/document/cons_doc_LAW_144624/
3. Губанова, С.Е. Особенности работы корпоративного Удостоверяющего центра крупного промышленного предприятия // Информационные системы и технологии: управление и безопасность. Сборник статей II Международной заочной научно-практической конференции / Поволжский гос. ун-т сервиса. - Тольятти-Русе: Изд-во ПВГУС, 2013. - № 2. - С. 185-191.
4. Федеральный закон Российской Федерации от 6 апреля 2011 г. №63-ФЗ «Об электронной подписи» [Электронный ресурс]. - Режим доступа: http://www.rg.ru/2011/04/08/podpis-dok.html
5. Фергюсон, Н., Шнайер Б. Практическая криптография / Нильс Фергюсон, Брюс Шнайер; пер. с англ. - М: Вильямс, 2004. - С. 339.
6. Глухова, Л.В. Губанова С.Е. Некоторые аспекты менеджмента информационной безопасности промышленных комплексов // Вестник Волжского университета им. В.Н. Татищева. - 2015. - № 3 (34). - С. 135-144.
7. Глухова, Л.В. Информационно-аналитическая деятельность по обеспечению экономической безопасности // Наука - промышленности и сервису. - Тольятти, 2013. - № 8-1. - С. 154-157.
8. Муругов, С.М. Применение атрибутных сертификатов (АС) в системах защищенного ЭДО [Электронный ресурс]. - Режим доступа: www.gdm.ru/upload/iblock/4d2/murugov_vlast%202010.ppt
9. «An Internet Attribute Certificate Profile for Authorization» [Электронный ресурс]. - Режим доступа: https ://www. ietf. org/rfc/rfc3281.txt
10. Информационные технологии и безопасность. Инфраструктура атрибутных сертификатов СТБ 34.101.67 [Электронный ресурс]. - Режим доступа: http://pki.gov.by/docs/Formats.pdf
