CC BY
9A.C. Корсунский
кандидат технических наук
Федеральный научно-производственный центр ОАО «НПО «Марс»
Т.Н. Масленникова
кандидат технических наук
Федеральный научно-производственный центр ОАО «НПО «Марс»
ЗАЩИЩЕННЫЙ ОБМЕН МЕЖДУ АВТОМАТИЗИРОВАННЫМИ
РАБОЧИМИ МЕСТАМИ НА БАЗЕ ПЛАНШЕТНЫХ КОМПЬЮТЕРОВ В
АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
В статье рассмотрен подход к обеспечению защищенного обмена по беспроводному интерфейсу между автоматизированными рабочими местами (АРМ) на базе планшетных персональных компьютеров в автоматизированных системах (АС) различного назначения. Данный подход исключает наличие в планшетном персональном компьютере аппаратных средств защиты информационного обмена.
Введение
Бурное развитие информационно-телекоммуникационных технологий, рост производительности и миниатюризация микропроцессорной техники предопределяют внедрение в состав АС различного назначения новых устройств, таких как планшетные персональные электр он-но-вычислительные машины (ПЭВМ), смартфоны и т.д. [1]. Взаимодействие данных устройств осуществляется по беспроводному интерфейсу (например, по технологии 802.11а/Ь/ %/п и др.). Ни для кого не секрет, что ряд АС может обрабатывать конфиденциальную информацию или информацию, составляющую коммерческую тайну. Поэтому актуальной является задача обеспечения защищенного обмена меж-дуАРМ таких АС.
Подход к защищенному обмену между АРМ на базе планшетных компьютеров
Предлагаемая к рассмотрению система обеспечения безопасности информации состоит из станции управления ключевой информацией, модуля управления беспроводным соединением и клиентской частью, представляющей собой планшетный компьютер с установленным спе-
циализированным программным обеспечением (рис.1).
Клиентское оборудование представляет собой планшетный компьютер, функционирующий под управлением доверенной операционной системы. В выключенном состоянии основные модули операционной системы и данные находятся в зашифрованном состоянии. При включении после удачного прохождения процедуры аутентификации и получения ключей загрузчик клиентского устройства осуществляет расшифрование модулей операционной системы и данных и загрузку операционной системы. Ключевая информация, расшифрованные модули операционной системы и данные хранятся в оперативной памяти клиентского оборудования и после выключения питания теряются. Благодаря этому клиентское оборудование в выключенном состоянии не содержит в себе сведений конфиденциального характера.
Станция управления ключевой информацией выполняет следующие задачи:
хранение ключей парной связи для всех комплектов клиентского оборудования в базе данных устройства в зашифрованном виде;
поэкземплярный учет ключей, сроков их действия;
МБЛН 01? СОММиШСЛТКЖ Б((ШРМБШ: Iss. 1 (141). 2018
Рис. 1. Обобщенная схема системы обеспечения безопасности
информации
стирания;
создание и хранение логина и кодового слова (пароля) для аутентификации пользователей клиентского оборудования;
генерацию и хранение и удаление открытого и закрытого ключей для передачи клиентской части ключей парной связи;
управление сеансом идентификации и аутентификации, передачу ключей парной связи клиентскому оборудованию;
добавление, удаление ключей парной связи из базы данных устройств;
ведение в зашифрованном виде журнала регистрации событий на устройстве для ведения аудита безопасности;
ввод информации для проверки целостности программного обеспечения с отображением результатов проверки на подключаемом мониторе.
Модуль управления беспроводным соединением должен обеспечивать взаимодействие клиентских устройств по беспроводному интерфейсу с аутентификацией каждого из устройств и взаимодействие со станцией управления ключевой информацией.
Процедура аутентификации и получения ключевой информации с использованием концепции открытого распределения ключей показана на рис.2.
В рассматриваемом случае клиентское оборудование в выключенном состоянии не хранит ключевой информации. При включении клиентского оборудования и установлении сетевого соединения загрузчик клиентского оборудо-
вания посылает станции управления ключевой информацией аутентифицирующую информацию (полученная ранее оператором клиентского оборудования кодовая фраза, которую необходимо ввести при аутентификации, электронный ключ, содержащийся, например, на флеш-носителе, либо что-то еще) и запрос на получение ключа для расшифровки программного обеспечения и данных. После успешного прохождения аутентификации станция управления ключами передает в зашифрованном виде закрытый ключ для расшифрования ключа шифрования модулей операционной системы и данных. После успешного получения закрытого ключа клиентское оборудование осуществляет его расшифрование (ключем для расшифрования является кодовая фраза, получаемая оператором от администратора станции управления ключами). После успешного расшифрования ключа для расшифрования модулей операционной системы и данных клиентское о борудование осуществляет расшифрование модулей операционной системы и данных, после чего осуществляется загрузка операционной системы. По окончании загрузки операционной системы клиентское оборудование передает станции управления ключами сообщение о завершении расшифрования модулей операционной системы и данных. После получения этого сообщения станция управления ключами отправляет запрос на получение кодовой последовательности, которая была расшифрована вместе с данными. Клиентское оборудование передает кодовую по-
Клнгнтская часть (п.иншстаый компьютер) Модуль управления Гкспроииныч сопкме-ннгн Стаапга уирмлнтя или>чеиой
Рис. 2. Процедура аутентификации и получения ключевой информации с использованием концепции открытого распределения ключей
следовательность станции управления ключами, после чего ожидает сообщения об успешном прохождении аутентификации. После сообщения об успешном прохождении аутентификации клиентское оборудование создает открытый и закрытый ключи для шифрования ключей парной связи и отправляет открытый ключ. Станция управления ключами при помощи открытого ключа зашифровывает ключи парной связи и отправляет клиентскому оборудованию. Приняв зашифрованные ключи парной связи, клиент-
ское оборудование расшифровывает их при помощи закрытого ключа.
В дальшейшем взаимодействие с комплектами клиентского оборудования осуществляется с использованием ключей парной связи. Перед завершением работы клиентское оборудование отправляет станции управления ключами запрос на получение ключа для зашифрования модулей операционной системы и данных, а так же новой кодовой последовательности. Станция управления ключами шифрует новые
MEANS OF COMMUNICATION EQUIPMENT. Iss. 1 (141). 2018
ключ для зашифрования операционной системы и данных и кодовую последовательность на полученном при начале сеанса работы от клиентского оборудования открытом ключе и передает зашифрованные данные клиентскому оборудованию. Клиентское оборудование осуществляет расшифрование полученных от станции управления ключами ключа и кодовой последовательности, а так же сохранение кодовой последовательности. После этого клиентское оборудование на полученном ключе зашифровывает модули операционной системы и данные и завершает сеанс работы. В начале следующего сеанса работы станция управления ключами на запрос клиентского оборудования передает тот ключ шифрования модулей операционной системы и данных, на котором осуществлялось зашифрование модулей операционной системы и данных при завершении предыдущего сеансаработы [2-5].
В данном случае возможны два варианта исполнения станции управления ключами: на базе промышленной ПЭВМ, с возможностью под-
ключения по мере необходимости монитора, клавиатуры и мыши, с разработкой доверенной операционной системы, либо разработка специализированной аппаратуры.
Заключение
Необходимо отметить, что существуют еще ряд подходов к обеспечению защищенного обмена между ПЭВМ на базе планшетных компьютеров. Так, например, это может быть реализовано путем физического распределения ключей расшифрования модулей операционной системы, данных и ключей парной связи, либо размещением модулей операционной системы и данных на АавЬ-накопителе. Представленный выше подход к обеспечению защищенного обмена между АРМ на базе планшетных компьютеров направлен в первую очередь на исключение из их состава аппаратной компоненты системы шифрования, что значительно облегчает работу службе эксплуатации и службе экономической безопасности организации.
СПИСОК ЛИТЕРАТУРЫ
1. Оков И.Н. Аутентификация речевых сообщений и изображений в каналах связи / под ред. В.Ф. Комаровича. —СПб.: Изд-во Политехи, ун-та, 2006.
2. Комарович В.Ф., Оков И.Н., Корсунский A.C. Защита подлинности информации в ССПО. Сборник материалов НТК «Проблемы совершенствования и развития специальной связи и информации, предоставляемых государственным органам», Орел, Академия ФСО, 2007.
3. Корсунский A.C. Анализ методов обеспечения подлинности и доступности информации и услуг в сетях подвижной радиосвязи//Научно-технические ведомости СПбГПУ—2008,—№ 2-С.55-59.
4. Корсунский A.C., Маттис A.B., Масленникова Т.Н. Подход креализации защищенного обмена между АРМ на базе планшетных ПЭВМ в АСУ различного назначения. - Материалы межотраслевой НПК, «ВОКОР-2012» , НИИ К и В ВУНЦ ВМФ «BMA», С.-Петербург, 2012.
5. Корсунский A.C., Масленникова Т.Н., Лучков Н.В. Обеспечение защищенного обмена между АРМ на базе планшетных ПЭВМ в АСУ различного назначения. - Сборник материалов НТК «Состояние, проблемы и перспективы создания корабельных информационно-управляющих комплексов», ОАО «Концерн «Моринформсистема-Агат», Москва, 2013.
