ЗАЩИТА ДАННЫХ

Благодаря стремительному развитию компьютерных сетей человечество уже на пороге эпохи электронной коммерции, которая позволит компаниям перейти от строительства информационных порталов в Интернете к качественно новой фазе, позволяющей передавать по Сети конфиденциальную информацию и осуществлять электронные бизнес-транзакции между клиентами, подрядчиками и партнерами.

Однако для того, чтобы все это стало реальностью в России, необходимо добиться такого же уровня доверия и безопасности при совершении электронных транзакций, какого удалось достичь при подписании контрактов и платежных документов в бумажном виде.

Интернет существенно расширил способы ведения бизнеса. Предприятия, как крупные, так и небольшие, получили возможность работать в тесном контакте с поставщиками и более гибко реагировать на потребности клиентов. Спектр услуг, предоставляемых через современные сети, варьируется от электронной почты до электронной коммерции и домашнего банкинга.

По мере расширения основанных на Интернете сфер деятельности потребность в корпоративной безопасности и защищенности ресурсов компаний, размещенных в Сети, становится все более насущной.

При этом необходимо обеспечивать защиту различных элементов Сети, и в первую очередь рабочих станций пользователей, способных работать как в сети, так и автономно и накапливать большие объемы информации. Сделавшись мобильными, компьютеры оказались подвержены таким опасностям, как кражи, утеря и несанкционированный доступ, что зачастую приводит к утрате или разглашению конфиденциальной корпоративной или пользовательской информации.

Успех электронного бизнеса и эффективность использования корпоративных онлайновых ресурсов будут во многом зависеть от способности предприятия создать безопасную сетевую среду. А это в первую очередь будет зависеть от того, насколько эффективно удастся осуществить внедрение в сетевую инфраструктуру предприятия инфраструктуры открытых ключей PKI (Public Key Infrastructure) и криптоалгоритмов с такими ключами.

Пароли - уязвимое средство идентификации

Поскольку для защиты большинства видов сетей, включая Интернет, используются одни и те же технологии, все эти сети в той или иной мере подвержены одинаковым опасностям. Транзакции розничных электронных продаж с небольшими суммами и персональная электронная почта не представляют собой распространенных объектов для атак. Существенно более привлекательными для нападений являются приложения B2B и крупные финансовые операции, особенно если они осуществляются через публичные сети и при этом требуют подтверждения подлинности, целостности и конфиденциальности. Риски при таких электронных транзакциях значительно возрастают, и в результате многие компании уже теряют деньги, интеллектуальную собственность и клиентов.

На сегодняшний день наиболее распространенным способом удостоверения личности в сети служит имя и пароль. И несмотря на то что пароли остаются распространенным средством идентификации пользователей, они уже не могут служить надежным средством идентификации личности пользователя для многих приложений. Часто пароли передаются в сеть в открытом виде, что делает их крайне привлекательными для перехвата и компрометации.

Обычно пользователям приходится запоминать множество паролей, и, упрощая себе жизнь, они останавливаются на одном, применяемом везде и всюду, используя при этом легко запоминаемую (и легко подбираемую) комбинацию.

В операционной системе пароли часто хранятся в специальном файле, как правило, зашифрованном. Однако уже нередки случаи похищения файлов с паролями и их дешифрования. Такие файлы сложно хранить и обслуживать - прежде всего это связано с тем, что пользователи часто забывают свои пароли. И наконец, самое худшее: никакой пароль не дает гарантии, что подключившийся пользователь - именно то лицо, которому принадлежит пароль.

Цифровые сертификаты приходят на помощь

Для удовлетворения все возрастающих потребностей в безопасности передачи информации в открытых сетях (и в первую очередь в Интернете) и преодоления анонимности разработаны различные системы и методы защиты, в основном базирующиеся на инфраструктуре открытых ключей PKI. Любой криптоалгоритм в PKI использует два больших числа, называемых ключами, и набор сложных математических функций для шифрования и дешифрования данных. Все, что шифруется с помощью одного ключа, может быть дешифровано с помощью другого. Чем длиннее ключ (количество разрядов в ключе), тем сложнее подобрать его для восстановления зашифрованных данных.

На практике открытый ключ является общедоступным, а секретный должен оставаться доступным лишь его владельцу. Если вам надо послать письмо, которое должно быть прочитано только тем лицом, кому оно адресовано, необходимо зашифровать свое сообщение открытым ключом адресата. В этом случае никто другой не сможет его расшифровать и прочитать. Отправитель письма может также “подписать” это письмо цифровой подписью, используя для этого свой секретный ключ. При этом получатель сможет воспользоваться открытым ключом отправителя, чтобы проверить, действительно ли письмо принадлежит последнему и не было ли оно подделано.

Криптография с открытым ключом прекрасно обеспечивает безопасность передаваемых сообщений. Однако сама по себе она не может гарантированно идентифицировать пользователя или организацию, которой принадлежит конкретный открытый ключ. Цифровые сертификаты предлагают надежный и заслуживающий доверия метод идентификации владельца ключа и по аналогии с паспортами решают эту проблему, связывая открытый ключ с регистрационной записью о владельце - частном лице или компании. Цифровые сертификаты могут использоваться Web-браузерами, программами электронной почты и другими приложениями, обеспечивая при этом необходимый потенциал безопасности электронных транзакций.

По сути, цифровой сертификат - это файл данных, содержащий открытый ключ владельца вместе с идентифицирующей его информацией, включая имя владельца, серийный номер и срок действия сертификата, а также дополнительную информацию - домашний адрес, место работы, адрес электронной почты владельца сертификата. Кроме этого в сертификат включена электронная подпись и название организации, выдавшей сертификат. В качестве центра сертификации (Cerificate Authority) может выступать любая третья сторона, пользующаяся доверием, - например, банк, государственное агентство или компания, специализирующаяся на обслуживании сертификатов и подтверждающая личность их владельцев.

Аналогично международному паспорту большинство цифровых сертификатов отвечает международным требованиям - стандарту ITU X.509 и являются универсальным средством идентификации во всем мире. Международный стандарт определяет перечень полей и формат данных цифровых сертификатов, обеспечивая их совместимость.

Цифровые сертификаты представляют собой важную часть инфраструктуры PKI, включающей в себя центры сертификации, функции отзыва и восстановления сертификатов, а также функции управления ключами. Компании создают PKI-инфраструктуру в своих сетях для обеспечения безопасности и целостности корпоративной информации, что достигается за счет использования криптографии и цифровых сертификатов.

Существует ряд стандартных протоколов для обеспечения безопасности передачи информации в компьютерных сетях и транзакций электронной коммерции на основе цифровых сертификатов. Наибольшее распространение получили протоколы SSL (Secure Sockets Layer) и универсальное расширение безопасности почтовой службы Интернета - S/MIME (Secure Multipurpose Internet Mail Extensions). Протокол SSL, реализованный в браузерах Netscape, Microsoft, а также во многих сетевых клиентских и серверных приложениях, обеспечивает аутентификацию и безопасную передачу данных. S/MIME гарантирует, что сообщения электронной почты остаются конфиденциальными и не подвергаются изменениям в пути, и подтверждает факт составления сообщения отправителем.

Недостатки цифровых сертификатов

Цифровой сертификат предполагает, что любой, кто имеет доступ к секретному ключу, является правомочным обладателем сертификата. Следовательно, защита секретного ключа - это наиболее важный аспект использования цифровых сертификатов. Если секретный ключ становится известен посторонним, это может повлечь за собой несанкционированное использование сертификата.

В большинстве случаев цифровые сертификаты и соответствующие им секретные ключи хранятся на жестком диске компьютера в зашифрованном виде. Для шифрования применяется обычный пароль пользователя, что делает секретные ключи потенциально уязвимыми для взлома и сетевых атак.

В результате цифровые сертификаты все же остаются небезопасными в использовании. Без строгой аутентификации пользователя цифровые сертификаты не лучше паспорта без фотографии его владельца.

Решения на основе смарт-карт

Меры, принимаемые для защиты секретного ключа, должны быть адекватными степени защиты передаваемой информации. Защита секретного ключа паролем выглядит весьма ненадежной.

Смарт-карты позволяют хранить цифровые сертификаты на безопасном съемном носителе и обеспечивают более высокий уровень защиты ключей, делая их недоступными ни для кого, кроме законного владельца. Не владея картой, ни хакеры, ни воры не смогут использовать полномочия пользователя для доступа к конфиденциальной информации и выполнения финансовых транзакций в Сети от его имени. Новый качественный уровень защиты секретных ключей в смарт-карте обеспечивается не только блокируемым паролем (ПИН-кодом), но и необходимостью физического обладания картой, без чего невозможно воспользоваться секретным ключом.

Аутентификация с двумя составляющими (логической и физической) во много раз повышает надежность. Используя смарт-карту, можно быть уверенным, что секретный ключ не покинет карту и останется абсолютно недоступным для внешнего мира. Все криптографические алгоритмы, требующие применения секретного ключа для поддержки функций безопасности Web-браузера или клиента электронной почты (цифровые подписи и дешифрование ключей сессий), выполняются внутри смарт-карты с использованием ее микропроцессора, и только результат операций возвращается в компьютер.

Смарт-карты удобны в использовании, мобильны, уникальны и не могут быть скопированы. Они защищены ПИН-кодом и полностью блокируются в случае нескольких неверных попыток его представления. Пользователю приходится запоминать меньше паролей, а у отделов автоматизации компаний уменьшается поток проблем с забытыми и похищенными паролями.

Решение GemSAFE

Платформа GemSAFE Enterprise, созданная компанией Gemplus (www.gemplus.com) для приложений, обращающихся к PKI и цифровым сертификатам, использует смарт-карты GemSAFE. В дополнение к более безопасной аутентификации при входе в сеть, использовании электронной почты и доступе в Web пользователям GemSAFE становятся доступны многие приложения, использующие криптографию публичных ключей - шифрование файлов, авторизованную загрузку операционной системы, удаленный доступ к серверам. В число приложений для карт GemSAFE входит и “электронный кошелек”, которым могут пользоваться сотрудники как для осуществления транзакций электронной коммерции в Интернете, так и для оплаты напитков и еды в автоматах и в корпоративной столовой. Карта может безопасно дебетоваться и кредитоваться через сеть.

Банки и другие финансовые институты могут использовать карты GemSAFE для обеспечения еще большей безопасности и удобств своим клиентам, предоставляя им доступ к целому ряду персональных финансовых услуг через Интернет, начиная с информации о текущем балансе на счетах, денежных переводов, оплаты счетов и заканчивая полноценными услугами домашнего банкинга, торговлей акциями и оплатой товаров и услуг через сеть. Вместо того чтобы помнить и корректно вводить пароль и номера счетов, клиентам надо будет лишь вставить смарт-карту в считыватель, подключенный к компьютеру, и войти на Web-сайт провайдера услуг. При этом Web-сервер провайдера услуг и Web-браузер клиента автоматически выполнят взаимное опознание, используя стандартные для Интернета процедуры аутентификации.

Смарт-карта обеспечит качественно новый уровень безопасности по сравнению с традиционно применяемыми пользовательскими именами и паролями - никто, кроме владельца карты, не сможет воспользоваться учетной записью клиента, не имея смарт-карты и не зная ее ПИН-кода.

Карты GemSAFE поддерживаются в Microsoft Internet Explorer 4.x, Outlook 98 и Outlook Express (через библиотеку Microsoft Crypto API). Они также совместимы с Netscape Navigator 4.x и Messenger (функции криптозащиты реализованы в библиотеке RSA PKCS#11). При использовании этих приложений GemSAFE обеспечивает аутентификацию клиента по протоколу SSLv3 для обращения к Web-серверам и безопасный обмен сообщениями электронной почты по стандарту S/MIME с помощью цифровых сертификатов пользователя и секретных ключей, хранящихся на смарт-карте. Секретный ключ пользователя не покидает смарт-карту и остается недоступным извне. Все криптографические функции, требующие применения секретного ключа, выполняются внутри смарт-карты - с помощью встроенного микропроцессора.

Решение GemSAFE поддерживает работу с любыми центрами сертификации, независимо от того, собирается ли компания установить свой собственный центр или пользуется услугами третьей стороны, например фирм VeriSign или GTE Cybertrust. Компании могут сами персонализировать смарт-карты GemSAFE, используя систему управления смарт-картами Gemplus для эмиссии и управления картами идентификации сотрудников фирмы. Все это облегчает задачи отделов безопасности компаний по генерации, управлению и восстановлению цифровых сертификатов и секретных ключей, хранящихся на смарт-картах. В качестве альтернативы компании могут воспользоваться широким спектром услуг по промышленной персонализации карт Gemplus, предлагаемых во многих странах мира.

Кроме того, по умолчанию GemSAFE поддерживает аутентификацию Microsoft Windows 2000 и полностью удовлетворяет стандарту PC/SC. При работе в среде Windows 2000 для работы с GemSAFE не нужно устанавливать дополнительные драйверы. Смарт-карты GemSAFE совместимы с любым считывателем, удовлетворяющим требованиям PC/SC, в том числе с устройствами для чтения смарт-карт производства Gemplus. Последние уже давно стали популярным периферийным устройством для настольных и мобильных компьютеров, а в недалеком будущем превратятся в их неотъемлемую часть.

Те, кто озабочен безопасностью своих компьютерных сетей и доступа к сетевым ресурсам или нуждается в простом и надежно защищенном осуществлении транзакций электронного бизнеса через Интернет, должны обратить внимание на возможности смарт-карт GemSAFE.

С автором статьи можно связаться по адресу: juli.kuznetsov@gemplus.com.