CC BY
136
Модернизация системы защиты информации в Единой системе почтовых переводов ФГУП "Почта России"
Скворцов Д.А.,
руководитель ИРЦ-ОСП ФГУП “Почта России",
Педяш В.А.,
руководитель проекта, ИРЦ-ОСП, ФГУП “Почта России"
Все почты мира развиваются в направлении расширения спектра финансовых услуг, и "Почта России" — в авангарде этого развития. Пересылку электронных почтовых переводов (проект "КиберДеньги") российская почта начала осуществлять в 1997 г. При создании системы был взят верный курс
— использование сертифицированных средств защиты информации и обеспечение требуемого уровня информационной безопасности персональных данных пользователей услуги и обрабатываемых конфиденциальных сведений о почтовом переводе денежных средств. На том этапе спектр доступных решений был значительно беднее современного, и почтовые специалисты остановили выбор на применении в информационной системе средств криптографической защиты информации (СКЗИ) серии "Верба". Интегрированная информационная система объединила в единый сбалансированный комплекс подсистемы защиты информации, передачи данных и технологической обработки почтовых переводов.
Первоначально планировалось, что новый вид услуг станет дополнением к обычным "бумажным" почтовым переводам. Однако, успех начинания привел к скорому принятию решения о повсеместной замене "бумажных" почтовых переводов на электронную технологию и запуске ЕСПП — Единой системы почтовых переводов. Программа широкомасштабного внедрения была утверждена Минсвязи России в 2002 г. и успешно реализована. Сегодня услуга "КиберДеньги", в основе которой и лежит ЕСПП, охватила всю территорию страны и продолжает распространяться на ближнее зарубежье. На базе основной технологии развиваются "смежные" проекты по широкому спектру финансовых услуг и сервису: доставка социальных пособий и пенсий, прием платежей в пользу третьих лиц, пога-
шение и выдача кредитов, прием/выдача вкладов и др. На момент запуска системы среднемесячный объем приема электронных почтовых переводов составлял всего 25 тыс. штук, тогда как обычных, "бумажных", около 5 млн. Результатом 2008 г. является более 180 млн. обработанных в ЕСПП переводов сетью из 16,3 тыс. терминалов пунктов обслуживания (ТПО), т.е. около 15 млн. переводов в месяц и практическое отсутствие их “бумажных" предшественников.
Особое место в системе электронных почтовых переводов денежных средств занимают вопросы информационной безопасности. Применение средств криптографической защиты информации несет двойную нагрузку. Во-первых, в соответствии с законом "О почтовой связи" обеспечивается тайна связи, во-вторых, экономическая безопасность и клиента, и предприятия (значимость передаваемой информации исключительно велика: размер одного перевода до 500 тыс. руб., среднемесячные объемы переводов превышают 30 млрд. руб.).
Система защиты информации ЕСПП построена на принципе абонентского взаимодействия. На рисунке изображены ее действующий и модернизированный контуры. Основным элементом действующего контура системы защиты является центр управления ключевой системой (ЦУКС), состоящий из двух автоматизированных рабочих мест: администратора безопасности (АРМ АБ) и центра управления ключевой системой (АРМ ЦУКС) "Верба". В рамках действия сертификата соответствия АРМ АБ была обеспечена централизованная генерация всех личных ключевых дисков пользователей (ЛКД) СКЗИ "Верба", содержащих ключи электронной цифровой подписи (ЭЦП) и шифрования. Передачу пользователям регистрационных файлов открытых ключей ЭЦП и их оперативное оповещение об из-
менениях, происходящих в сети (компрометация ключей, восстановление конфиденциальной связи, а также включение новых пользователей), обеспечивает АРМ ЦУКС, который позволяет организовать управление системой структуры звезда. Множественные горизонтальные связи между пользователями практически не осуществимы с использованием АРМ ЦУКС, что является реальным ограничением для организации больших структур конфиденциального взаимодействия.
СКЗИ "Верба" отработала в составе интегрированной информационной системы почтовых переводов уже более 10 лет. Изменение нормативной базы, рост требований и потребительских запросов по информационному взаимодействию, научно-технический прогресс в области инфокоммуни-кационных технологий потребовали от собственников информационных систем проведения своевременных изменений в их функционировании, обеспечивая развитие и соответствие новым реалиям и угрозам.
Требования нового государственного стандарта и развитие технологии СКЗИ "Верба" привели к созданию продукта нового поколения — СКЗИ "Верба-ОМ"' версии 6.1.2. Это средство мало отличается от своей предшественницы по интерфейсам, что обеспечивает относительно легкий переход с ранней версии и не приводит к необходимости переобучения всего персонала, эксплуатирующего данное СКЗИ. Однако, СКЗИ "Верба-ОМ"' версии 6.1.2. включает ряд существенных изменений, позволяющих в полной мере использовать преимущества новых стандартов и технологий. Основное, практическое отличие заключается в поддержке работы с цифровыми сертификатами открытых ключей, и как следствие — децентрализованное изготовление ключей шифрования и ЭЦП. Для этих целей используется аппаратно-программный комплекс (АПК) "Верба-Сертификат МВ", который служит основой для реализации корпоративного удостоверяющего центра (УЦ).
Использование в полном объеме преимуществ, предоставляемых технологией цифровых сертификатов открытых ключей, предполагает организацию соответствующего контура системы защиты информации и установки на действующих терминалах пунктов обслуживания модернизированных
версий программного обеспечения СКЗИ. Контур защиты информации на инфраструктуре открытых ключей (ИОК) включает следующие компоненты:
• Центр Сертификации с функциями выпуска сертификатов, списков отозванных (выведенных из действия) сертификатов и их хранения в течение установленного срока;
• Центр Регистрации — подсистема, которой центр сертификации делегирует ряд административных функций, в частности, регистрацию пользователей;
• Сетевой справочник сертификатов — подсистема, обеспечивающая хранение и доступность для пользователей сертификатов и списков отзыва.
Существенным преимуществом выбранного решения модернизации системы защиты информации ЕСПП является возможность использования уже созданной технологической структуры и накопленного персоналом предприятия опыта эксплуатации СКЗИ. В технологической структуре ЕСПП можно выделить три основных элемента: Главный
пункт (ГП) информационной системы, сеть ТПО различных типов и телекоммуникационная сеть доступа ТПО к ГП — каналы связи. На ТПО производятся операции прием/выплата почтовых переводов, установка/проверка ЭЦП и шифрование/дешифрование информации. ГП осуществляет взаимодействие между терминалами, производит обработку и учет информации о почтовых переводах, управление системой и мониторинг состояния ее элементов, выполняет функции взаимодействия с иностранными почтовыми администрациями и обслуживание корпоративных клиентов.
В ЕСПП различаются два типа терминалов пунктов обслуживания.
Первый располагается в отделениях почтовой связи. На нем осуществляется непосредственное обслуживание клиентов. Аппаратная часть этих ТПО представляет собой почтово-кассовые терминалы (ПКТ)
— рабочие места почтовых операторов, оборудованные программным комплексом, включающим СКЗИ, который называется защищенным пунктом терминальной обработки (ЗПТО).
Второй тип ТПО — это промежуточные пункты, организованные на технологических объектах почтовой связи (как правило, почтамтах). С их помощью обеспечивается так называемая "гибридная технология" на участке "последней мили" и осуществляются операции по безналичным расчетам с юридическими лицами. Сутью "гибридной технологии" является преобразование "бумажного" почтового перевода в защищенный электронный файл и передачу его по телекоммуникационной сети на терминал пункта оплаты через ГП, а также обратное преобразование входящей защищенной информации в форму бумажного документа для отделений почтовой связи своей зоны обслуживания, не имеющих инфокоммуни-кационного оборудования. Эти операции производятся на защищенных пунктах бумажной технологии (ЗПБТ), аппаратно-программный комплекс которого включает также и СКЗИ.
Взаимодействие терминалов пунктов обслуживания с ГП происходит в соответствии со сценариями, которые предусматривают использование всех доступных теле-
коммуникационных возможностей: коммутируемых и выделенных линий связи на базе протоколов TCP/IP (Интернет), помехоустойчивого протокола LAPS, создаваемой корпоративной сети передачи данных. Обмен информацией ТПО с ГП выполняется после процедуры аутентификации на криптографическом сервере (КС). Для повышения надежности и балансировки нагрузки в составе ГП одновременно работают два КС, а вычислительный комплекс электронного почтамта (ЭП) стандарта Х.400 функционирует на кластере из двух Unix-серверов. ТПО адресуют информацию об электронных почтовых переводах через ЭП на выделенные АРМы — защищенные абонентские пункты (ЗАП). Общее количество ЗАП определяется нормативом скорости обработки сообщений. Один ЗАП обслуживает от 500 до 1000 ТПО. Вся передаваемая информация заверяется электронной цифровой подписью и шифруется.
Использование цифровых сертификатов открывает новые возможности для информационной системы. Прежде всего это коренные изменения в механизме управления ключевой системой. Если централизованная регистрация нового абонента в системе с АРМ АБ требует личной явки в ЦУКС для формирования ЛКД с последующим формированием нового справочника открытых ключей и обеспечением его доверенного распространения, многократного повторения этой процедуры, то компоненты АПК "Верба-Сертификат МВ" реализуют генерацию ключей непосредственно на рабочем месте абонента. В необходимых случаях для этих целей создаются выделенные автоматизированные рабочие места администратора информационной безопасности филиала (АРМ АИБ). Это сокращает непроизводительные затраты времени и уменьшает вероятность компрометации закрытых ключей — открытый ключ передается на сертификацию, в то время как закрытый ключ не покидает своего владельца. В качестве носителей ключевой информации стало возможным использование широкого ряда современных электронных устройств. Распространение открытых ключей выполняется путем публикации новых сертификатов открытых ключей в общедоступном сетевом
справочнике, при этом достоверность сертификатов обеспечивается ЭЦП Центра Сертификации. Вывод из действия скомпрометированных ключей не требует повторного распространения справочников открытых ключей. Достаточно выпустить очередной список отозванных сертификатов. При плановой смене ключей пользователей, преимущества ИОК наиболее очевидны, т.к. технология позволяет осуществить этот процесс с минимальными затратами ресурсов и времени.
В настоящее время завершены все основные работы по переходу системы защиты информации ЕСПП в инфраструктуру открытых ключей:
1. Разработана архитектура защищенной инфокоммуникационной сети финансовых услуг почты на базе ИОК.
2. Организован и введен в действие корпоративный УЦ.
3. Доработано терминальное прикладное программное обеспечение.
4. Закуплено и разослано терминальное программное обеспечение СКЗИ в филиалы.
5. Разработана вся нормативно-методическая документация по функционированию системы в ИОК.
6. Подготовлен план перехода на ИОК.
На специалистов филиалов ложится ответственность выполнения широкомасштабного внедрения модернизированного терминального прикладного программного обеспечения и СКЗИ в сжатые сроки в соответствии с документами.
Выполняемая модернизация системы защиты информации ЕСПП, ее основополагающего инфраструктурного элемента поднимает информационную безопасность на уровень современных требований и открывает дополнительные возможности взаимодействия информационных систем ФГУП “Почта России" с системами защищенного электронного документооборота организа-ций-партнеров. Это позволит ФГУП “Почта России" предложить обществу и рынку новые услуги, что в свете последних обсуждений на самом высоком государственном уровне состояния дел по электронному документообороту в стране весьма актуально и перспективно.
