SDS NG на защите информации
Защита хранимой и обрабатываемой информации является сегодня одной из наиболее актуальных задач для российских компаний. Для её эффективного решения необходимо использовать комплексный подход, включающий технические, программно-аппаратные средства и административные средства защиты информации. Для надёжной защиты критически важной конфиденциальной информации, компанией Aladdin разработан Secret Disk Server New Generation 3.0 (SDS NG) - программно-аппаратный комплекс защиты корпоративной информации (баз данных, файловых архивов, бизнес-приложений и их данных), хранящейся на серверах, работающих под управлением операционных систем Microsoft Windows 2000/XP/2003.
В продукте используется проверенная и надежная технология защиты данных методом их «прозрачного» шифрования. Иными словами, криптографическое преобразование данных выполняется в фоновом режиме при чтении и записи на диск, одновременно с работой пользователя или приложения и абсолютно незаметно для него (с подключенным защищённым диском работа ведется точно так же, как с обычным диском) без снижения производительности. При прямом просмотре содержимое отключенного защищённого диска выглядит как случайная последовательность битов («белый шум»), поскольку все данные зашифрованы. С помощью SDS NG на сервере могут быть зашифрованы основные разделы, динамические тома, RAID-массивы, а также съемные диск.
Для преобразования обычного диска в защищённый диск (зашифрования) необходимо иметь смарт-карту или USB-ключ eToken с электронной лицензией администратора. Кроме того, в памяти eToken должен находиться сертификат открытого ключа администратора SDS NG и соответствующий ему закрытый ключ. Можно использовать уже имеющиеся сертификаты (например, сертификат для входа в сеть или ЭЦП и шифрования почты). Если у администратора нет цифрового сертификата, Secret Disk Server NG сгенерирует закрытый ключ и сертификат.
SDS NG не имеет встроенных средств шифрования, а для выполнения криптографических операций используются внешние модули, прошедшие тщательное тестирование и сертификацию в независимых лабораториях.
В SDS NG реализована возможность мгновенного блокирования доступа к информации при подаче серверу сигнала «Тревога», который может быть подан как внешним устройством (например, «красной кнопкой», радио-брелоком или охранной сигнализацией), так и с помощью обычного интерфейса. Для каждого защищенного диска могут быть определены индивидуальные сценарии реакции на этот сигнал.
Для шифрования дисков и защиты мастер-ключей защищённых дисков SDS NG может использовать российские сертифицированные криптопровайдеры. При работе с КриптоПро CSP 2.0 и Signal-COM CSP используются сертификаты открытого ключа, совместимые с этими поставщиками службы криптографии. В остальных случаях в Secret Disk Server NG 3.0 применяются сертификаты на основе ключей RSA.
Как правило, если в организации используются сертифицированные российские средства шифрования, то администратору достаточно иметь сертификат с закрытым ключом, созданный с помощью Signal-COM CSP или КриптоПро CSP 2.0. Диски при этом шифруются только по алгоритму, соответствующему ГОСТ-28147-89. Если же использование именно российских криптографических средств является необязательным, то применяется сертификат, связанный с ключевой парой RSA, а диски шифруются по алгоритмам AES, DES, Triple DES или Twofish. Таким образом, в большинстве практических случаев администратор использует единственный сертификат.
При обращении к инструментам управления Secret Disk Server NG 3.0 администратор должен подключить к компьютеру свой eToken, указать свой сертификат и ввести PIN-код.
В начале процесса создания защищённого диска администратор выбирает алгоритм шифрования диска. Алгоритмы, реализуемые криптографическим драйвером режима ядра, входящим в состав Windows (DES и Triple DES), всегда доступны для использования. Алгоритм, соответствующий ГОСТ-28147-89, можно использовать при наличии на сервере и рабочей станции администратора поставщика службы криптографии КриптоПро CSP 2.0 или Signal-COM CSP.
После выбора алгоритма шифрования выполняется генерация уникального ключа шифрования диска. Для каждого администратора Secret Disk Server NG сгенерированный ключ шифрования диска зашифровывается с применением открытого ключа соответствующего сертификата и сохраняется в зашифрованном виде на системном диске сервера в защищённом хранилище. Содержимое диска шифруется посекторно с использованием выбранного алгоритма шифрования и сгенерированного ключа шифрования.
Чтобы открыть доступ к данным на защищённом диске, администратор Secret Disk Server NG должен подключить диск. Для этого хранящийся в памяти eToken закрытый ключ (доступ к которому возможен только после ввода PIN-кода) будет использован для расшифрования ключа шифрования диска. На сервере может быть зарегистрировано произвольное число администраторов Secret Disk Server NG 3.0 с разграничением доступа.
Пользователи обращаются к защищённым дискам по сети в зависимости от полномочий, определяемых операционной и файловыми системами. В качестве альтернативы многопользовательского доступа к данным на защищённом диске можно использовать запрет сетевого доступа, например, для дисков, на которых хранятся корпоративные базы данных. Непосредственно обращаться к данным на таком диске будут только соответствующие приложения, установленные на сервере. Доступ по сети к содержимому такого подключенного защищённого диска не сможет получить никто, даже администратору домена Windows через административные сетевые ресурсы.
В зависимости от типа и характера использования данных, которые необходимо защитить на сервере, возможны три варианта поставки Secret Disk Server NG: для файл-серверов, для серверов приложений и для файл-сервера и сервера приложений. В базовую поставку входят: программный CD-ROM, 2 USB-ключа eToken PRO, удлинительный USB-кабель, эксплуатационная документация, устройство «Красная кнопка» для подачи серверу сигнала «Тревога», серверная лицензия, лицензия на одно рабочее место администратора.