Информационная безопасность. Корнюшин П.Н - 125 стр.

        Пятую группу средств, обеспечивающих повышенный уровень защиты, образуют средства
управления ключевой информацией, под которой понимается совокупность всех используемых в
компьютерной системе или сети криптографических ключей. Безопасность любого
криптографического алгоритма определяется используемыми криптографическими ключами. В
случае ненадежного управления ключами злоумышленник может завладеть ключевой
информацией и получить полный доступ ко всей информации в КС.
        Основным классификационным признаком средств управления ключевой информацией
является вид функции управления ключами. Различают следующие основные виды функций
управления ключами: генерация ключей, хранение ключей и распределение ключей.
        Способы генерации ключей различаются для симметричных и асимметричных
криптосистем. Для генерации ключей симметричных криптосистем используются аппаратные и
программные средства генерации случайных чисел, в частности схемы с применением блочного
симметричного алгоритма шифрования. Генерация ключей для асимметричных криптосистем
представляет существенно более сложную задачу в связи с необходимостью получения ключей с
определенными математическими свойствами.
        Функция хранения ключей предполагает организацию безопасного хранения, учета и
удаления ключей. Для обеспечения безопасного хранения и передачи ключей применяют их
шифрование с помощью других ключей. Такой подход приводит к концепции иерархии ключей. В
иерархию ключей обычно входят главный ключ (мастер-ключ), ключ шифрования ключей и ключ
шифрования данных. Следует отметить, что генерация и хранение мастер-ключей являются
критическими вопросами криптографической защиты.
        Распределение ключей является самым ответственным процессом в управлении ключами.
Этот процесс должен гарантировать скрытность распределяемых ключей, а также оперативность и
точность их распределения. Различают два основных способа распределения ключей между
пользователями компьютерной сети:
• применение одного или нескольких центров распределения ключей;
• прямой обмен сеансовыми ключами между пользователями.
        Существуют различные программно-аппаратные комплексы (АПК) защиты компьютерной
информации от НСД. Они имеют много общего. Рассмотрим сертифицированный
Гостехкомиссией РФ АПК Secret Net, разработанный "Инормзацитой", одной из ведущих
организаций России в области информационной безопасности. АПК Secret Net реализован как в
автономном, так и в сетевом (локальные сети) вариантах. Автономный вариант системы защиты
информации Secret Net предназначен для защиты ресурсов рабочей станции локальной сети или
неподключенного к сети компьютера. АПК Secret Net функционирует во взаимодействии с
разными операционными системами. Рассмотрим для определенности вариант системы Secret Net
NT, функционирующий в среде ОС Windows NT. Система Secret Net дополняет стандартные
защитные механизмы ОС Windows NT функциями, обеспечивающими:
• идентификацию пользователей при помощи специальных аппаратных средств (Touch Memory,
    Smart Card, Smarty, eToken);
• дополнительно к избирательному (дискреционному) управлению доступом, реализованному в
    ОС Windows NT, полномочное (мандатное) управление доступом пользователей к
    конфиденциальной информации на локальных и подключенных сетевых дисках;
• оперативный контроль над работой пользователей компьютера путем регистрации событий,
    связанных с безопасностью ИС. Удобные средства просмотра и представления
    зарегистрированной информации;
• контроль целостности программ, используемых пользователями и операционной системой;
• возможность создания для любого пользователя замкнутой программной среды (списка
    разрешенных и запрещенных для запуска программ);
• простоту управления объектами благодаря использованию механизма шаблонов настроек.
        Комплекс включает в себя следующие компоненты и подсистемы:
• ядро системы защиты;
• подсистема управления;
• подсистема криптографической защиты информации;
• база данных системы защиты;
• подсистема избирательного управления доступом;
• подсистема разграничения доступа к дискам;

                                            126