Аутентификация пользователя может производиться различными способами и на разных этапах загрузки компьютера.
Для подтверждения личности запускающего компьютер могут требоваться различные факторы:
Аутентификация может быть многофакторной. Также аутентификация может быть многопользовательской с разделением прав доступа к компьютеру. Так, один пользователь сможет только запустить операционную систему с жёсткого диска, в то время как другому будет доступно изменение конфигурации CMOS и выбор загрузочного устройства.
Аутентификация может происходить:
Выполнение аутентификации на разных стадиях загрузки имеет свои преимущества.
На различных этапах загрузки компьютера доверенная загрузка может быть выполнена различными средствами, и, следовательно, будет обладать различной функциональностью.
Аппаратные модули доверенной загрузки имеют значительные преимущества перед чисто-программными средствами. Но обеспечение доверенной загрузки не может быть выполнено чисто аппаратно. Главные преимущества аппаратных средств:
Технология доверенного выполнения от Intel .
Представляет собой скорее не средство доверенной загрузки, а защиту ресурсов любых отдельных приложений на аппаратном уровне в целом.
TXT является абсолютно новой концепцией безопасности компьютера на аппаратном уровне, включая работу с виртуальными ПК.
Технология TXT состоит из последовательно защищённых этапов обработки информации и основана на улучшенном модуле TPM. В основе системы лежит безопасное исполнение программного кода. Каждое приложение, работающее в защищённом режиме, имеет эксклюзивный доступ к ресурсам компьютера, и в его изолированную среду не сможет вмешаться никакое другое приложение. Ресурсы для работы в защищённом режиме физически выделяются процессором и набором системной логики. Безопасное хранение данных означает их шифрование при помощи всё того же TPM. Любые зашифрованные TPM данные могут быть извлечены с носителя только при помощи того же модуля, что осуществлял шифрование.
Intel также разработала систему безопасного ввода данных. У вредоносной программы не будет возможности отследить поток данных на входе компьютера, а кейлоггер получит только бессмысленный набор символов, поскольку все процедуры ввода (включая передачу данных по USB и даже мышиные клики) будут зашифрованы. Защищённый режим приложения позволяет передавать любые графические данные в кадровый буфер видеокарты только в зашифрованном виде, таким образом, вредоносный код не сможет сделать скриншот и послать его хакеру.
Представляет собой аппаратный контроллер, предназначенный для установки в слот ISA (модификация 4.5) или PCI (модификация 5.0). Модули «Аккорд-АМДЗ» обеспечивают доверенную загрузку операционных систем (ОС) любого типа с файловой структурой FAT12, FAT 16, FAT32, NTFS , HPFS , UFS , UFS2, EXT2FS , EXT3FS, EXT4FS, QNX 4 filesystem, VMFS Version 3.
Вся программная часть модулей (включая средства администрирования), журнал событий и список пользователей размещены в энергонезависимой памяти контроллера. Таким образом, функции идентификации/аутентификации пользователей, контроля целостности аппаратной и программной среды, администрирования и аудита выполняются самим контроллером до загрузки ОС.
Основные возможности:
Дополнительные возможности:
Предназначен для разграничения и контроля доступа пользователей к аппаратным ресурсам автономных рабочих мест, рабочих станций и серверов локальной вычислительной сети. Позволяют проводить контроль целостности программной среды в ОС, использующих файловые системы FAT12, FAT16, FAT32 и NTFS.
Особенности:
Модуль доверенной загрузки предназначен для вычислительной техники, обрабатывающей секретную и конфиденциальную информацию (включая уровни «совершенно секретно» и КА1).
Благодаря работе с многопользовательскими группам с равными и разными уровнями полномочий и поддержке схем администрирования как с централизованным и так децентрализованным управлением, Максим-М1 является универсальным решением для использования в защищенных системах.
контролирует доступ при первоначальном запуске ПЭВМ, до перехода к ОС. Идентифицирует и аутентифицирует пользователя двухфакторным методом;
ведёт нестираемые журналы: проверки подлинности пользователей, контроля целостности. Сохранность данных гарантируется за счет энергонезависимой памяти;
проверяет в реальном времени срок действия пользовательских данных (ключи, служебная информация);
контролирует аппаратные и программные средства защищаемой системы (оперативную память, жёсткие диски, файловую систему и журналы ФС, реестр Windows);
защищает от подбора пароля.
Подходит для установки на АРМ администратора безопасности информации в информационные системы, работающие с коммерческой тайной, персональными данными, государственной тайной.
Можно применять на бездисковой рабочей станции для работы с секретной и конфиденциальной информацией на удалённом сервере.
Модуль совместим с основными клиентскими версиями Windows (2000/XP/Vista/7) и серверными (2003/2008), а также с системами на ядре Linux 2.6.x и 3.x.x и ОС СН Astra Linux.
Для установки и правильной работы модуля, аппаратное и программное обеспечение должно отвечать уровню требований по архитектуре, питающему напряжению, конфигурации платы, версии BIOS, установленным обновлениям, разъёмам питания. В процессе работы модуля в системе выставляются ограничения для оборудования и ПО. Полный список требований представлен в документации на АПМДЗ.
Пользователь модуля ДЗ (администратор) должен уметь работать в основных операционных системах, иметь опыт настройки ПЭВМ и внешнего оборудования, и администрирования автоматических систем на локальных компьютерах, серверах, рабочих станциях и тонких клиентах.
Архитектура
ALTELL TRUST имеет модульную архитектуру. Сам модуль доверенной загрузки устанавливается на защищаемые устройства, заменяя стандартный BIOS материнской платы, расположенный в чипе EEPROM, и обеспечивает доверенную загрузку BIOS, многофакторную аутентификацию до загрузки ОС и соблюдение ролевых политик доступа. Модуль удаленного управления разворачивается на сервере управления и позволяет осуществлять централизованное развертывание и обновление ПО, проводить аудит безопасности и управлять всеми модулями доверенной загрузки из единого центра.
Возможности
Преимущества
Сценарии применения
ALTELL TRUST может применяться для обеспечение доверенной загрузки операционных систем, многофакторной аутентификации пользователей на удаленных AD/LDAP-серверах, удаленного централизованного управления парком защищаемых устройств, удаленного централизованного сбора событий безопасности, а также выступать в качестве единственного ПО тонких клиентов (концепция zero client). Подробное описание сценариев применения ALTELL TRUST приведено в соответствующем разделе.
Сравнение с конкурентами
Традиционные аппаратно-программные модули доверенной загрузки (АПМДЗ), представленные на российском рынке, не обладают возможностями, необходимыми на современном этапе развития информационных систем. Например, в АПМДЗ отсутствуют функции мониторинга и удаленного управления парком ПК, не поддерживается многофакторная аутентификация на удаленных серверах, не применяются ролевая модель доступа и мандатный контроль доступа к информации, не гарантируется безопасность работы в виртуальных средах. ALTELL TRUST, напротив, изначально разрабатывался для решения этих задач. При этом использовались современные подходы к обеспечению доверенной загрузки, основанные на использовании технологий UEFI Trusted Boot с применением доработанных и расширенных функций, а также концепций NIST и Trusted Computing Group. В результате в ALTELL TRUST реализованы более мощные, чем у традиционных АПМДЗ, защитные механизмы, при одновременном снижении издержек на администрирование инфраструктуры информационной безопасности за счет централизации управления и сбора статистики.
Поддерживаемые устройства
Из-за реализации ALTELL TRUST на уровне UEFI BIOS собственной разработки его необходимо адаптировать к конкретным моделям защищаемых устройств. Благодаря сотрудничеству с ключевыми вендорами (Intel, AMD, Lenovo, Panasonic) процесс доработки ALTELL TRUST максимально стандартизирован и сжат по времени. Так как сертифицируется сам модуль доверенной загрузки, а не BIOS целиком, внесение изменений не влияет на наличие сертификатов.
В настоящее ALTELL TRUST поддерживает:
Сертификация
ALTELL TRUST сертифицирован во ФСТЭК России как средство доверенной загрузки уровня базовой системы ввода-вывода по второму классу защиты. Так как сертифицирован модуль доверенной загрузки, а не UEFI BIOS целиком, адаптация ALTELL TRUST к новым устройствам не будет отменять действие полученных сертификатов. В настоящее время ведутся работы по получению сертификата ФСБ.
Информационные материалы
Тестирование
Если вы заинтересовались возможностями ALTELL TRUST, наши специалисты могут провести его бесплатную демонстрацию.
- это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и аппаратной идентификации / аутентификации пользователя .Аутентификация пользователя может производиться различными способами и на разных этапах загрузки компьютера.
Для подтверждения личности запускающего компьютер могут требоваться различные факторы:
Аутентификация может быть многофакторной. Также аутентификация может быть многопользовательской с разделением прав доступа к компьютеру. Так, один пользователь сможет только запустить операционную систему с жёсткого диска, в то время как другому будет доступно изменение конфигурации CMOS и выбор загрузочного устройства.
Аутентификация может происходить:
Выполнение аутентификации на разных стадиях загрузки имеет свои преимущества.
На различных этапах загрузки компьютера доверенная загрузка может быть выполнена различными средствами, и, следовательно, будет обладать различной функциональностью.
Аппаратные модули доверенной загрузки имеют значительные преимущества перед чисто-программными средствами. Но обеспечение доверенной загрузки не может быть выполнено чисто аппаратно. Главные преимущества аппаратных средств:
Выпущена на рынок на год раньше Intel TXT
Технология доверенного выполнения от Intel .
Представляет собой скорее не средство доверенной загрузки, а защиту ресурсов любых отдельных приложений на аппаратном уровне в целом.
TXT является абсолютно новой концепцией безопасности компьютера на аппаратном уровне, включая работу с виртуальными ПК.
Технология TXT состоит из последовательно защищённых этапов обработки информации и основана на улучшенном модуле Trusted Platform Module . В основе системы лежит безопасное исполнение программного кода. Каждое приложение, работающее в защищённом режиме, имеет эксклюзивный доступ к ресурсам компьютера, и в его изолированную среду не сможет вмешаться никакое другое приложение. Ресурсы для работы в защищённом режиме физически выделяются процессором и набором системной логики. Безопасное хранение данных означает их шифрование при помощи всё того же TPM. Любые зашифрованные TPM данные могут быть извлечены с носителя только при помощи того же модуля, что осуществлял шифрование.
Intel также разработала систему безопасного ввода данных. У вредоносной программы не будет возможности отследить поток данных на входе компьютера, а кейлоггер получит только бессмысленный набор символов, поскольку все процедуры ввода (включая передачу данных по USB и даже мышиные клики) будут зашифрованы. Защищённый режим приложения позволяет передавать любые графические данные в кадровый буфер видеокарты только в зашифрованном виде, таким образом, вредоносный код не сможет сделать скриншот и послать его хакеру.
Представляет собой аппаратный контроллер, предназначенный для установки в слот PCI/ PCI-X/ PCI-express/ mini PCI/ mini PCI-express. Модули «Аккорд-АМДЗ» обеспечивают доверенную загрузку операционных систем (ОС) любого типа с файловой структурой FAT12, FAT 16, FAT32 , NTFS , HPFS , UFS , FreeBSD UFS/UFS2, EXT2FS , EXT3FS, EXT4FS, QNX 4 filesystem, Solaris UFS, MINIX, ReiserFS.
Вся программная часть модулей (включая средства администрирования), журнал регистрации и список пользователей размещены в энергонезависимой памяти контроллера. Этим обеспечивается возможность проведения идентификации/аутентификации пользователей, контроля целостности технических и программных средств ПЭВМ (РС), администрирования и аудита на аппаратном уровне, средствами контроллера до загрузки ОС.
Основные возможности:
Дополнительные возможности:
Комплекс применим для построения систем защиты информации от НСД в соответствии с руководящими документами (Гостехкомиссии) России по 2 уровню контроля на отсутствие недекларированных возможностей, может использоваться в автоматизированных системах до класса защищенности 1Д включительно и использоваться в качестве средства идентификации/аутентификации пользователей, контроля целостности программной и аппаратной среды (РС) при создании автоматизированных систем до класса 1Б включительно.