Методика оценивания защищенности системы распределенных удостоверяющих центров тема диссертации и автореферата по ВАК РФ 05.13.19, кандидат наук Сопов, Максим Алексеевич

• Сопов, Максим Алексеевич
• кандидат наук
• 2014

Оглавление диссертации кандидат наук Сопов, Максим Алексеевич

Содержание

Введение

ГЛАВА 1. МОДЕЛИ ФУНКЦИОНИРОВАНИЯ УДОСТОВЕРЯЮЩЕГО ЦЕНТРА

1.1 Структура и функции удостоверяющего центра

1.2 Исследование и описание основных функций УЦ

1.2.1 Алгоритм создания ключей

1.2.2 Алгоритм выдачи средств ЭП

1.2.3 Алгоритм создания сертификатов ключей проверки ЭП

1.2.4 Алгоритм отзыва сертификата

1.2.5 Алгоритм проверки ЭП

1.3 Модели функционирования распределенных удостоверяющих центров

1.4 Обоснование используемых показателей функционирования системы распределенных удостоверяющих центров

1.4.1 Определение влияния «оборудования и техники» на функционирование СРУЦ

1.4.2 Определение влияния «программного обеспечения» на функционирование СРУЦ

1.4.3 Определение влияния территориальный расположенности на функционирование СРУЦ

1.4.4 Определение влияния форс-мажорных обстоятельств на функционирование СРУЦ

1.4.5 Определение влияния человеческого фактора на функционирование СРУЦ

1.4.6 Определение влияния использования коммерческих проектов на функционирование СРУЦ

Выводы по главе

ГЛАВА 2. ОРГАНИЗАЦИОННОЕ И ТЕХНИЧЕСКОЕ ОБЕСПЕЧЕНИЕ УЦ

2.1 Формирование политики обеспечения информационной безопасности

организационной системы УЦ

2.1.1 Выявление и описание организационно-структурной схемы УЦ

2.1.2 Функциональная схема работы УЦ

2.1.3 Характеристики описания организационной составляющей УЦ

2.2 Анализ технического обеспечение удостоверяющего центра

2.2.1 Определение основного и резервного оборудования УЦ

2.2.2 Анализ технических средств удостоверяющего центра

2.3 Методика оценивания защищенности системы распределенных УЦ

2.3.1 Обоснование выбора показателей надежности

2.3.2 Определение дестабилизирующих функций УЦ и СРУЦ

2.3.3 Схема расчета надежности

2.3.4 Методика оценивания надежности системы УЦ

2.4 Решение по формированию структуры функционирования СРУЦ

Выводы по главе

ГЛАВА 3. ПРИМЕНЕНИЕ МЕТОДИКИ НА ПРИМЕРЕ СИСТЕМЫ УЦ

3.1 Определение и описание СРУЦ

3.2 Составление схем УЦ и определение перечня технических средств

3.3 Определение численных значений показателей надежности комплектующих технических средств УЦ

3.3.1 Значения комплектующих технических средств УЦ ИСБ

3.3.2 Значения комплектующих технических средств УЦ Сибири

3.4 Определение надежности компонентов СРУЦ

3.5 Определение надежности УЦ СРУЦ

3.6 Определение надежности СРУЦ и оценивание изменения уровня

защищенности

3.7 Анализ эффективности внедрения по результатам аудита СРУЦ

Выводы по главе

Список литературы

ПРИЛОЖЕНИЕ А

ПРИЛОЖЕНИЕ Б

ПРИЛОЖЕНИЕ В

ПРИЛОЖЕНИЕ Г

ПРИЛОЖЕНИЕ Д

ПРИЛОЖЕНИЕ Е

Введение диссертации (часть автореферата) на тему «Методика оценивания защищенности системы распределенных удостоверяющих центров»

Введение

Развитие информационного общества, сетевых коммуникаций и электронного документооборота, привело к необходимости внедрения новых и совершенствования существующих методов защиты информации, представленной в электронном виде. В данном случае проблемы защиты информации - это обеспечение конфиденциальности, целостности и доступности информации в электронном виде, гарантированная доставка информации, исключение несанкционированного доступа и т.д. [80,81,93,94].

Целостность - состояние информации (ресурсов автоматизированной информационной системы), при котором ее (их) изменение осуществляется только преднамеренно субъектами, имеющими на него право.

Конфиденциальность - состояние информации (ресурсов автоматизированной информационной системы), при котором доступ к ней (к ним) осуществляют только субъекты, имеющие на него право.

Доступность - состояние информации (ресурсов автоматизированной информационной системы), при котором субъекты, имеющие право доступа, могут реализовать их беспрепятственно. [11, 13]

Решением изложенных проблем является применение криптографических алгоритмов, реализующих функции шифрования и электронной подписи (ЭП). Разработанные на основе инфраструктуры открытых ключей (ИОК) или Primary Key Infrastructure (PKI) методы защиты информации доказали на практике свою жизнеспособность и эффективность. [100, 102]

Развитие PKI в России имеет небольшую историю. В 2000г. первой организацией, которая начала использовать защищенный электронный документооборот, как услугу, был Пенсионный Фонд Российской Федерации, положивший начало приему отчетности в электронной форме. За Пенсионным Фондом РФ последовали Министерство Налогов и Сборов РФ, Федеральная служба государственной статистики, Департамент Записи актов гражданского состояния и т.д. Электронная отчётность стала основой

развития электронных сервисов государственных и муниципальных услуг в России. [55, 60, 73] В 2004 году В.Г. Матюхин руководитель Росинформтехнологии анонсировал создание Федерального Удостоверяющего Центра, а в 2005г. на ежегодном международном научно-практическом форуме «PKI-FORUM Russia 2005» представители ФГУП «НИИ Восход» представили программно-техническую реализацию данной системы [25]. В последующие 2 года велась работа по реализации проекта «Уполномоченный Федеральный Орган», который выполнял функции головного удостоверяющего центра (УЦ) для органов государственной власти. В 2006-2007 началась работа по реализации проекта трансграничной передачи информации с использованием ЭЦП, результаты работы над этими проектами представлялись в совместных докладах Росинформтехнологии, компании ЗАО «АНК», Министерство связи Польши и компании «Unizeto Technologies SA» [47]. 2008 год ознаменовался созданием Общероссийского Государственного Информационного Центра, который фактически стал заменой УФО. В 2009 году создана Ассоциация Электронных Торговых Площадок, которая объединила вокруг себя большинство площадок электронных торгов России. В 2010 и 2011гг. особое внимание в сфере применения PKI вызвали 3 вопроса: новый федеральный закон «Об электронной подписи», способы и методы защиты «Универсальной электронной карты» и «Облачных технологий» [45, 82].

В России ЭЦП применяется в различных отраслевых сферах. По статистике, на конец 2007г, собранной и представленной директором ЗАО «АНК» Карповым А.Г., основными направлениями являются: различная электронная отчетность, электронные торги, корпоративный электронный документооборот и сервисы исполнительных органов государственной власти (Рисунок 1) [52, 85, 88, 89].

60

50

40

20

2004

-Электронные торги --Корпоративный ЭДО• »Здравоохранение -

2005 •Образование • GSM-тлф ■Органы статисгик

2006 -Отчетность -ИОГВ

-Регистрация прав

2007

Рисунок 1 - Развитие направлений применения PKI в России. На ежегодном международном научно-практическом форуме «PKI-FORUM Russia 2009» Карпов А.Г. представил динамику развития PKI в России (рисунок №2) [53].

250

224

200

150

100

50

63

48

12 17 m 25 ■ kl 1

янв.02 янв.ОЗ янв.04 ahb.OS янв.Об янв.07 янв.08 янв.09 янв.10

Рисунок 2 - Динамика создания Удостоверяющих Центров в России УЦ, как программное обеспечение, является реализацией PKI технологии. УЦ, как организация (предприятие), является субъектом реализации методик и технологий PKI. Несмотря на такую динамику появления и развития УЦ, ни одна коммерческая организация, ни один научный институт не занялись вопросами обеспечения достаточного уровня информационной безопасности УЦ.

Основными направлениями развития УЦ за последние 10 лет является развитие различных проектов, направленных на удовлетворение потребностей органов государственной власти и коммерческих проектов. Со стороны обеспечения информационной безопасности в основном развивалось направление - определение рисков. Данное направление, конечно, является важным, но развитие только его является не достаточным для корректной работы локальных УЦ и тем более для систем распределенных УЦ. Данный факт подтверждается материалами 3 крупнейших научно-практических конференций по PKI технологиям: PKI-Russia, Asia PKI Consortium, EFPE (European Forum on Electronic Signature) [57].

Международный опыт развития и использования ЭП богаче российского. Международное сообщество уже давно определилось с алгоритмами шифрования и ЭП и методами и способами их использования в различных коммерческих и государственных проектах [104, 105]. Поэтому, основные задачи, которые решает международное сообщество в рамках применения ЭП - это регламентные взаимодействия при трансграничном обмене [59, 79, 98, 99]. Также приоритетными направлениями развития европейской ЭП - это предоставление услуг муниципальными и государственными органами физическим лицам, своим гражданам, тогда как в России такие направления только проекты на будущее [48, 49, 86].

УЦ - организация, работающая с различными видами конфиденциальной информации: профессиональные тайны (медицина, адвокатура и юриспруденция и т.д.), служебная тайна (работа с органами государственной власти и местного самоуправления), коммерческая тайна (сведения о деятельности клиентов и реализация своих технологий), персональные данные (является оператором персональных данных, т.к. выдает сертификаты физическим лицам) [24, 97].

Наличие в работе перечисленных выше тайн обязывает УЦ выполнять требования регуляторов по обеспечению их защиты в своей деятельности, но эти требования в основном направлены на организационные составляющие

обеспечения информационной безопасности, не учитывая обязательного комплексного подхода. [1-3, 34, 62]

В настоящее время происходит переход на новое законодательство в области применения ЭП. Федеральная служба безопасности подготовила и утвердила проект приказа «Об утверждении Требований к средствам ЭП и Требований к средствам удостоверяющего центра», в данном приказе отражены требования по надежности и устойчивости функционирования средств УЦ для разных классов автоматизированных систем, но не предоставлена методика анализа и расчета критериев [21, 22]. При этом определение данных критериев не гарантирует надежной работы самого УЦ, а тем более систем распределенных УЦ (СРУЦ).

Цель работы

Повышение надежности системы распределенных УЦ для обеспечения доступности легальных пользователей к ресурсам всей системы, за счет методики оценивания защищенности системы распределенных УЦ и предложенных технических решений.

Задачи исследования

Для достижения поставленной цели необходимо решить следующие задачи:

1. Провести анализ научно-методического обеспечения инфраструктуры открытых ключей и функционирования существующих структур Удостоверяющего центра.

2. Определить предельную нагрузку на персонал по обслуживанию средств СКЗИ и ключевой информации, а также схему оптимизации штатного персонала в соответствии с квалификацией и выполняемыми задачами.

3. Разработать методику оценивания защищенности системы распределенных УЦ, основываясь на разработанных показателях надежности функционирования средств УЦ.

4. Предложить решение по совершенствованию функционирования системы распределенных УЦ, для обеспечения информационной безопасности.

Объект и предмет исследования

Объектом исследования являются процессы функционирования УЦ и СРУЦ. Предметом исследования является методика оценивания надежности СРУЦ и способы повышения защищенности СРУЦ.

Методы исследования

В диссертационной работе использовались методы системного анализа, теории надежности, моделирования, теории вероятностей и математической статистки, теории множеств и теории защиты информации.

Достоверность результатов

Достоверность полученных результатов подтверждается положительным эффектом от внедрения исследований в практику действующих УЦ и результатами сравнения расчетных данных с данными, полученными при моделировании.

Научная новизна

1. Предложен оригинальный комплекс мероприятий по формированию политики обеспечения информационной безопасности организационной системы управления УЦ, основанный на его функционале.

2. Разработана новая методика оценивания защищенности системы распределенных УЦ, включающая предложенные показатели надежности функционирования элементов компонент удостоверяющего центра и учитывающая структуру распределенного удостоверяющего центра.

3. Предложено новое организационно-техническое решение по совершенствованию функционирования системы распределенных УЦ, на базе модификации схемы работы системы распределенных УЦ, с применением резервирования УЦ.

Практическая ценность

Использование предложенного подхода к формированию политики обеспечения информационной безопасности организационного управления УЦ позволяет перераспределять обязанности сотрудников УЦ с учетом их квалификации и интенсивности работы УЦ в пиковые периоды. Данный подход позволяет определять достаточное количество операторов УЦ и специалистов технической поддержки, основываясь на количестве сертификатов ЭП и среднем времени обслуживания одного сертификата сотрудником УЦ.

Реализована методика, позволяющая проводить оценивание защищенности СРУЦ, включающая анализ функционирования и расчет показателей надежности СРУЦ. На основе полученных результатов показано о необходимости изменения структуры функционирования СРУЦ для получения результатов, удовлетворяющих требованиям информационной безопасности.

Внедрение результатов

Результаты диссертационной работы были внедрены в деятельность НПФ «Удостоверяющий Центр Сибири», НПФ «Информационные системы безопасности», а также в учебный процесс ТУСУР по дисциплинам «Организационно-правовое обеспечение информационной безопасности», «Прикладная криптография», «Комплексное обеспечение информационной безопасности автоматизированных систем».

Личный вклад

В диссертационной работе использованы результаты, в которых автору принадлежит определяющая роль. Часть опубликованных работ написана в соавторстве с сотрудниками научной группы. Диссертант принимал непосредственное участие в разработке мероприятий по формированию политики обеспечения информационной безопасности организационного управления УЦ и методики оценивания защищенности СРУЦ. Также, диссертантом были предложены модели по повышению уровня

защищенности СРУЦ. Постановка задачи исследования осуществлялась научным руководителем д.т.н., профессором А.А. Шелупановым.

Апробация результатов.

Основные научные и практические результаты диссертационной работы докладывались и обсуждались на международных научно-технических конференциях:

1. Всероссийские научно-технические конференции студентов, аспирантов и молодых ученых «Научная сессия ТУСУР», г. Томск (2007, 2011-2013 гг.).

2. Томские - IEEE семинары «Интеллектуальные системы моделирования, проектирования и управления», г. Томск (2005-2006, 20102014 гг.).

3. Международная конференция по проблематике инфраструктуры открытых ключей и электронной цифровой подписи «PKI-Forum Россия», г. Санкт-Петербург (2005-2006).

4. Всероссийской научно-практической конференции «Проблемы информационной безопасности государства, общества и личности», г. Новосибирск, г. Иркутск (2012, 2014г.г.)

5. Всероссийская научно-техническая интернет-конференция с международным участием «Надежность функционирования и информационная безопасность телекоммуникационных систем железнодорожного транспорта», г. Омск (2013)

Основные защищаемые положения.

1. Методика оценивания защищенности СРУЦ, позволяет оценить доступность системы, используя численные показатели надежности элементов компонентов УЦ и учесть возможные структурные особенности каждого отдельного УЦ в СРУЦ.

2. Подход к формированию политики обеспечения информационной безопасности организационной системы управления УЦ позволяет

перераспределять обязанности сотрудников УЦ с учетом их квалификации и интенсивности работы УЦ в пиковые периоды функционирования.

3. Предложенное решение по формированию структуры функционирования СРУЦ, на базе схем резервирования УЦ, позволяет значительно от 4 до 13 раз повысить значения показателей надежности функционирования и защищенности системы в целом.

Публикации.

По результатам выполненных исследований опубликовано 15 работ, в том числе 5 в журналах, рекомендованных ВАК.

Структура и объем работы.

Диссертационная работа состоит из введения, трех глав, списка литературы из 108 наименований и шести приложений. Основная часть работы содержит 112 страниц, в том числе 42 рисунка и 21 таблицу.

ГЛАВА 1. МОДЕЛИ ФУНКЦИОНИРОВАНИЯ УДОСТОВЕРЯЮЩЕГО

ЦЕНТРА

1.1 Структура и функции удостоверяющего центра

Федеральный закон № 63 от 10 июля 2012 «Об электронной подписи» определяет УЦ как юридическое лицо или индивидуальный предприниматель, осуществляющие функции по созданию и выдаче сертификатов ключей проверки ЭП [26]. УЦ представляет собой комплекс технических средств и организационно-технических мероприятий, предназначенных для выполнения функций УЦ как организации. УЦ предназначен для обеспечения участников информационных систем средствами и спецификациями для использования сертификатов ключей ЭП в целях обеспечения:

- применения ЭП;

- контроля целостности информации;

- аутентификации участников информационных отношений;

- конфиденциальности информации, представленной в электронном виде. [56, 58, 78, 84]

УЦ является сложной организационно-технической структурой, пример которой изображен на рисунке 3. [37, 54, 87, 107]

Репозиторий АРМ

Рисунок 3 - Схематическое представление УЦ

Структура УЦ может видоизменяться от условий и возможностей реализующей стороны, но существует ряд блоков структуры и их взаимодействий не зависящих от реализации.

Функции УЦ, определенные федеральным законодательством:

- создание и выдача сертификатов ключей проверки ЭП;

- определения сроков действия сертификатов;

- аннулирование выданных этим УЦ сертификатов;

- выдача средств ЭП, содержащих ключ ЭП и ключ проверки ЭП или обеспечивающих возможность создания этих ключей;

- ведение реестра выданных и аннулированных сертификатов, включающего в себя информацию, содержащуюся в этих сертификатах, и информацию о датах и основаниях прекращения их действия или аннулирования;

- создание ключей ЭП и ключей проверки ЭП;

- проверка уникальности ключей проверки ЭП в реестре сертификатов;

- осуществление проверки ЭП.

Помимо функций, УЦ обязан предоставлять доступ к реестру сертификатов. В соответствии с установленным порядком доступа любому лицу, на безвозмездной основе, предоставляется информация о содержащихся в реестре сертификатах, в том числе информацию об аннулированных сертификатах ключей проверки ЭП. Что делает формирование и публикацию списка отозванных сертификатов (СОС) обязательным условием функционирования УЦ.

Выполнение указанных выше функций УЦ, реализуются различными компонентами УЦ в зависимости от конкретной организационно-технической структуры.

1.2 Исследование и описание основных функций УЦ

Результаты анализа функционирования УЦ можно представить в виде функциональных схем в методологии ШЕБО, с целью наглядного представления и анализа процессов, протекающих в УЦ. [65, 96]

На рисунке 4 приведена контекстная диаграмма, которая представляет систему в виде черного ящика, описывает функцию верхнего уровня и показывает связь системы с внешним миром. В качестве этой функции рассмотрено «функционирование УЦ», направленное на выполнение требований, указанных в ФЗ «Об электронной подписи».

Средства ЭП

Данные пользователя

Документы с ЭП

Нормативная документация

Функционирование УЦ

Сотрудник УЦ

Ключевой контейнер

Выданные средства ЭП

Выданный сертификат проверки ЭП

Запись в реестре

Отчет о проверке ЭП

Программные н

программно-аппаратные

средства

Рисунок 4 - Функционирование УЦ

Входными параметрами для «функционирования УЦ» являются:

- средства ЭП - криптографические средства, используемые для реализации хотя бы одной из следующих функций: создание ЭП, проверка ЭП, создание ключа ЭП и/или ключа проверки ЭП, а также носители ключевой информации;

- данные пользователя - идентификационные данные владельца сертификата в формате согласно стандарту Х.509;

- документы с ЭП - электронный документ с ЭП, для подтверждения подлинности подписи.

Выполнение всех функций выполняется согласно процедурам и правилам, определенными законодательством РФ.

Механизмами, выполняющие действия, связанные с реализацией функций УЦ, являются:

- сотрудник УЦ;

- программные и программно-аппаратные средства УЦ.

Результатами функционирования УЦ является:

- ключевой контейнер - это контейнер, содержащий пару ключ ЭП и ключ проверки ЭП;

- выданные средства ЭП - это средства ЭП, содержащие ключ ЭП и ключ проверки ЭП или обеспечивающие возможность создания ключа ЭП и ключа проверки ЭП заявителем;

- выданный сертификат проверки ЭП - это электронный документ или документ на бумажном носителе, выданный УЦ или доверенным лицом УЦ и подтверждающий принадлежность ключа проверки ЭП владельцу сертификата ключа проверки ЭП;

- запись в реестре: под записью в реестре подразумевается ведение реестра выданных и отозванных УЦ сертификатов, в том числе включающего в себя информацию;

- отчет о проверке ЭП - это результат проверки ЭП, в виде детального документального отчета.

На рисунке 5 представлена диаграмма декомпозиции «Функционирование УЦ». На полученном первом уровне декомпозиции, работа УЦ представляется шестью активностями, это:

- создание ключей;

- выдача средств ЭП;

- создание сертификатов;

- отзыв сертификата;

- запись в реестр;

- проверка ЭП.

Норма гнвная документация

Сотрудник УЦ Программные и программно-аппаратные средства

Рисунок 5 - Диаграмма декомпозиции функционирования УЦ

1.2.1 Алгоритм создания ключей

Создание ключей включает в себя 4 активности (рисунок 6):

- создание запроса на формирование ключей;

- реализация запросов;

- формирование ключевого контейнера;

- выдача ключевого контейнера.

Создание запроса на формирование ключей - процесс выполнения пользователем необходимых действий, согласно инструкции, для создания ключей ЭП и ключей проверки ЭП. В результате, получается последовательность команд, необходимых для реализации этих действий по запросу на формирование ключей. В процессе реализации данного запроса создаются ключ ЭП и ключ проверки ЭП. Далее происходит формирование ключевого контейнера.

Программные и программно-аппаратные средства Сотрудник УЦ

Рисунок 6 - Диаграмма декомпозиции создания ключей Возможно два варианта формирования ключевого контейнера:

- Контейнер формирует сам пользователь на своем рабочем месте.

- Контейнер формирует сотрудник УЦ по согласованию с пользователем данного контейнера.

1.2.2 Алгоритм выдачи средств ЭП

Выдача средств ЭП включает в себя 4 активности (рисунок 7):

- регистрация программного средства;

- регистрация программно-аппаратного средства;

- запись контейнера на средство ЭП;

- передача средств ЭП пользователю.

В случае с программно-аппаратными средствами, после их регистрации, происходит запись ключевого контейнера на средство ЭП.

Сотрудник УЦ Программные и программно-аппаратные средства

Рисунок 7 - Диаграмма декомпозиции выдачи средств ЭП

При передаче средств ЭП пользователю происходит подписание акта приема-сдачи приобретенных пользователем средств.

1.2.3 Алгоритм создания сертификатов ключей проверки ЭП

Создание сертификатов ключей проверки ЭП включает в себя 4 активности (рисунок 8):

- формирование запроса на сертификат;

- проверка уникальности ключа проверки ЭП;

- реализация запроса на сертификат;

- выдача сертификата проверки ЭП.

Процесс формирования запроса на сертификат в УЦ может осуществляться только сотрудником УЦ.

В ходе создания сертификата происходит автоматическая, либо под управлением сотрудника УЦ, проверка на уникальность ключа проверки ЭП, находящегося в запросе на сертификат. Результат проверки оказывает влияние на реализацию запроса на сертификат.

Сотрудник УЦ Программные и программно-аппаратные средства

Рисунок 8 - Диаграмма декомпозиции создания сертификатов В итоге реализации запроса на сертификат создается сертификат проверки ЭП, который в последствии выдается пользователю УЦ. А также, копия сертификата заносится в реестр сертификатов.

1.2.4 Алгоритм отзыва сертификата

Отзыв сертификатов включает в себя 3 активности (рисунок 9):

- создание запроса на отзыв сертификата;

- смена статуса сертификата;

- формирование СОС.

Сотрудник УЦ Программные и программно-анпаратные средства

Рисунок 9 - Диаграмма декомпозиции отзыва сертификата

Создание запроса на отзыв сертификата - это процесс выполнения сотрудником УЦ необходимых действий, согласно инструкции, для отзыва сертификата проверки ЭП. В результате получается последовательность команд, необходимых для реализации этих действий программным обеспечением - запрос на отзыв сертификата. Процесс реализации данного запроса заключается в смене статуса сертификата проверки ЭП и получении данных, необходимых для занесения их в реестр, а также для формирования СОС. Таким образом, данные по сертификату содержат в себе: серийный номер сертификата, дату отзыва сертификата и причину отзыва сертификата.

1.2.5 Алгоритм проверки ЭП

Проверка ЭП включает в себя 3 активности (рисунок 10):

- создание запроса на проверку ЭП;

- реализация запроса на проверку ЭП;

- формирование отчета о проверке ЭП.

средства Сотрудник УЦ

Рисунок 10 - Диаграмма декомпозиции проверки ЭП

Создание запроса на проверку ЭП - процесс выполнения сотрудником УЦ необходимых действий, согласно инструкции, для подтверждения подлинности ЭП УЦ в сертификате пользователя или подлинности ЭП в электронном документе. В результате получается последовательность команд, необходимых для реализации этих действий программным обеспечением - это запрос на проверку ЭП. Помимо необходимой последовательности, запрос на проверку ЭП включает в себя:

- сертификат пользователя для подтверждения его действительности;

- сертификат УЦ, подписавшего сертификат пользователя;

- список отозванных сертификатов.

По результату проверки сотрудником УЦ формируется детальный отчет по выполненной проверке.

1.3 Модели функционирования распределенных удостоверяющих

центров.

Развитие защищенного электронного документооборота выявило тенденцию развития комплексов УЦ, т.е. их объединение в распределенные

системы. Такие распределенные системы строятся на основе моделей доверия. Понятие «доверия» вводится рекомендациями ITU-T Х.509. Модель доверия определяет отношение между пользователями и центрами сертификации. Модель предполагает особую линию выстраивания цепочки доверия в границах домена доверия [101, 108]. Домен доверия - это множество PKI-систем, которые объединены единым управлением или являются субъектами некоторого общего набора политик безопасности [75].

Каждая модель доверия предполагает свои особенности при обработке путей построения цепочек сертификатов, которая проводится в два этапа:

- построение пути (агрегирование всех сертификатов, формирующих полный путь);

- валидация пути (последовательная проверка каждого сертификата в построенном пути).[106]

В общем случае это может быть довольно трудоемкой задачей в зависимости от количества обрабатываемых сертификатов и реализуемой модели доверия.

Полянская О.Ю. выделяет следующие модели доверия:

- строгая иерархия УЦ;

- нестрогая иерархия УЦ;

- иерархия на базе политик;

- модель распределенного доверия;

- четырехсторонняя модель доверия;

- Web-модель доверия;

- модель доверия, сконцентрированного вокруг пользователя [68].

На практике не все модели доверия являются основой для создания распределенных УЦ. Большая часть моделей доверия представляет собой организацию работы пользователя с несколькими УЦ, не предполагая взаимосвязи между ними в принципе.

Исходя из опыта работы НПФ «Удостоверяющий центр Сибири» ТУ СУР и докладов ведущей конференции в области PKI технологий в России

«PKI-FORUM Россия», можно сделать вывод, что для организации распределенных систем УЦ в основном используются 3 модели:

- иерархическая;

- мостовая;

- сетевая.

Иерархическая модель - одна из самых распространенных моделей, в которой построение пути сертификации однозначно определено, что существенно упрощает процедуру обработки этого пути. Иерархия удостоверяющих центров графически изображается в виде древовидной структуры, где корень представляет определенный УЦ, который обычно называется корневым (или головным) и действует как главный пункт доверия для целого домена подчиненных ему субъектов PKI. Под корнем располагаются промежуточные удостоверяющие центры, от которых отходят следующие ветви. Листья, или конечные вершины дерева, соответствуют субъектам PKI, не являющихся удостоверяющими центрами, их называют конечными субъектами или просто конечными пользователями. Иерархическая модель реализует отношение «родитель-потомок», древовидная структура которой изображена на рисунке 11.

Список литературы диссертационного исследования кандидат наук Сопов, Максим Алексеевич, 2014 год

Список литературы

1. ГОСТ Р ИСО/МЭК 15408-1-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

2. ГОСТ Р ИСО/МЭК 15408-2-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

3. ГОСТ Р ИСО/МЭК 15408-3-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

4. ГОСТ Р ИСО/МЭК 17799 «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением — КОЛЕС 17799:2005.

5. ГОСТ Р ИСО/МЭК 27001 «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — КОЛЕС 27001:2005

6. ГОСТ 27.002-89 Надежность в технике. Основные понятия. Термины и определения. - Введ. 01.07.1990. - Москва: Изд-во стандартов, 1990-20 с.

7. ГОСТ 27.301-95 Надежность в технике. Расчет надежности. Основные положения. - Взамен ГОСТ 27.410-87; введ. 01.01.1997. - Москва: Изд-во стандартов, 1995 - 12 с.

8. ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования. - Введен 01.07.1990 - М.: ИПК Изд-во стандартов, 1996 — 28с.

9. ГОСТ Р 34.10-2012 Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи

10. ГОСТ Р 34.11-2012. Информационная технология. Криптографическая защита информации. Функция хэширования.

11. ГОСТ Р 50922-2006 Защита информации. Основные термины и определения. - Введен 01.02.2008 взамен ГОСТ Р 50922-96. - М.: Изд-во ФГУП «СТАНДАРТИНФОРМ», 2008 — 12с.

12. ГОСТ Р 51901.14-2007 (МЭК 61078:2006) Менеджмент риска. Структурная схема надежности и булевы методы. Введен 01.09.2008г. взамен ГОСТ 51901.14-2005 (МЭК 61078:1991). - Москва: Изд-во ФГУП «СТАНДАРТИНФОРМ», 2008 - 28 с.

13. ГОСТ Р 50.1.053 - 2005. Информационные технологии, основные термины и определения в области технической защиты информации. [Текст]. - Введ. 2005 - 06 - 04 - Москва: Стандартинформ.

14. Должностная инструкция системного администратора [Электронный ресурс] - Режим доступа: http://www.it-rabota.ru/sysadmin_l.phtml - Загл. с экрана - Яз. Рус.

15. Инструкция Администратора безопасности Удостоверяющего центра Федеральной миграционной службы. Москва 2007 [Электронный ресурс] - Режим доступа: http://www.fms.gov.rU/upload/iblock/2df/6.pdf - Загл. с экрана - Яз. Рус.

16. Инструкция Администратора Удостоверяющего центра Федеральной миграционной службы. Москва 2007 [Электронный ресурс] -Режим доступа: http://www.fms.gov.rU/upload/iblock/413/7.pdf - Загл. с экрана -Яз. Рус.

17. Инструкция Оператора Центра регистрации Удостоверяющего центра Федеральной миграционной службы. Москва 2007 [Электронный ресурс] - Режим доступа: http://www.fms.gov.ru/upload/iblock/f59/ll.pdf -Загл. с экрана - Яз. Рус.

18. Инструкция Руководителя Удостоверяющего центра Федеральной миграционной службы. Москва 2007 [Электронный ресурс] -Режим доступа: http://www.fms.gov.rU/upload/iblock/8b4/8.pdf - Загл. с экрана -Яз. Рус.

19. Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя): Постановление правительства РФ от 16 апреля 2012 г. № 313г. Москва.

20. Об электронной подписи, используемой органами исполнительной власти и органами местного самоуправления при организации электронного взаимодействия между собой, о порядке ее использования, а также об установлении требований к обеспечению совместимости средств электронной подписи: постановление Правительства РФ №111 от 9 февраля 2012 г.

21. Приказ ФСБ РФ от 27 декабря 2011 г. № 795 «Об утверждении Требований к форме квалифицированного сертификата ключа проверки электронной подписи»

22. Приказ ФСБ России от 27 декабря 2011г. №796 «Об утверждении требований к средствам электронной подписи и требований к средствам удостоверяющего центра».

23. Приказ ФСБ Российской Федерации от 9 февраля 2005 года № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)»

24. Указ Президента РФ от 6 марта 1997г. №188 «Перечень сведений конфиденциального характера».

25. Федеральный закон от 10 января 2002 г. N 1-ФЗ "Об электронной цифровой подписи".

26. Федеральный закон РФ от 6 апреля 2011г. №63-Ф3 «Об электронной подписи».

27. Формуляр ИТВБ.425790.021 на программно-аппаратный комплекс «КУЦ Автограф» / Центр информационных технологий и систем органов исполнительной власти. - Москва, 2012.

28. Формуляр на программно-аппаратный комплекс «КогагуРЯО 2.6» ШКНР.00033-01 30 01 / Сигнал-КОМ. - Москва, 2013.

29. Формуляр на программно-аппаратный комплекс «ЛИССИ УЦ» ЛУЦ.501540.58169198-10-01 30 01 / Лаборатория испытаний средств и систем информатизации. - Москва, 2012.

30. Формуляр на программно-аппаратный комплекс «КриптоПро УЦ VI.5» ЖТЯИ.00067-02 30 01 / КриптоПРО. - Москва, 2012.

31. Формуляр на программно-аппаратный комплекс «УЦКУ \Пр№Ъ> ФРКЕ.00022-05 30 01 / Инфотэкс. - Москва, 2013.

32. Акимов C.JI. Принципы безопасного использования СКЗИ в автоматизированных системах / МЕЖБАНКОВСКАЯ КОНФЕРЕНЦИЯ, Москва, 2009.

33. Аксельрод A.B. Актуальные вопросы применения ЭЦП в системах электронного документооборота / PKI FORUM, Санкт-Петербург, 2010.

34. Андрианов В.В. Обеспечение информационной безопасности бизнеса / Андрианов В.В., Зефиров С.Л., Голованов В.Б., Голдуев H.A. -Альпина Паблишерз, 2011. - 338с.

35. Баклюк С.И., Мальцев М.Г., Смагин В.А., Филимонихин Г.В. Надежность функционирования программного обеспечения.- С.Пб.:- 1991.-78с.

36. Баранов Н.В. Проблема унификации требований к сертификатам ключей подписи / PKI FORUM, Санкт-Петербург, 2010.

37. Беленький Н.И. Архив удостоверяющего центра: мало внимания, но много проблем. / PKI FORUM , Санкт-Петербург, 2009.

38. Бортащенок Т.М. Риски в PKI, единое пространство доверия и ответственность удостоверяющих центров / PKI FORUM, Санкт-Петербург, 2011.

39. Бронштейн И. Н. Справочник по математике для инженеров и учащихся вузов / И. Н. Бронштейн, К. А. Семендяев. - М.: Наука, 1980. - 976 с

40. Вентцель Е. С. Теория вероятностей. — 10-е изд., стер.. — М.: «Академия», 2005. — 576 с. — ISBN 5-7695-2311-5.

41. Гмурман В.Е. Теория вероятностей и математическая статистика: Учеб. пособие для вузов/ В.Е. Гмурман. - 9-е издание, стер. - Москва: Высшая школа, 2003. - 479 е.: ил.

42. Гмурман, В. Е. «Руководство к решению задач по теории вероятностей и математической статистике»: Учеб. пособие— 11-е изд., перераб. — М.: Высшее образование, 2006.-404 с.

44. Горбатов В.А. Фундаментальные основы дискретной математики. Информационная математика. - М.: Наука. Физматлит, 2000. - 544с.

45. Грибунин В.Г., Чудовский В.В. Комплексная система защиты информации на предприятии - М.: Академия, 2009. - 416с

46. Гусев Д.М. Практические аспекты применения СКЗИ в сервисах PKI / PKI FORUM, Санкт-Петербург, 2010.

47. Домрачев A.A. Трансграничное пространство доверия как составная часть инфраструктуры международной электронной коммерции / PKI FORUM, Санкт-Петербург, 2011.

48. Ермаков Н.Е. Сравнительный анализ использования ЭЦП в Европе / PKI FORUM, Санкт-Петербург, 2010.

49. Загорский И.И. Международные аспекты развития и прикладного применения PKI / PKI FORUM, Санкт-Петербург, 2010.

50. Зверев, Г.Я. Оценка надежности изделия в процессе эксплуатации / Г.Я. Зверев. М.: КомКнига, 2006. 96 с

51.Калявин, В.П. Основы теории надежности и диагностики: учебник для вузов / В.П. Калявин. СПб.: Элмор, 1998. 172 с

52. Карпов А.Г. Удостоверяющие центры и сервисы на основе в PKI в России: статистика и тенденции. Международная конференция по проблематике инфраструктуры открытых ключей и электронной цифровой подписи «PKI-Forum Россия».: Санкт-Петербург 2007г.

53. Карпов А.Г. Удостоверяющие центры и сервисы на основе в PKI в России: статистика и тенденции. Международная конференция по проблематике инфраструктуры открытых ключей и электронной цифровой подписи «PKI-Forum Россия».: Санкт-Петербург 2009г.

54. Каторин Ю. Защита информации техническими средствами / Каторин Ю., Разумовский А., Спивак А. - СПб.: НИУ ИТМО, 2012. - 416с.

55. Карпушин A.B. Инфраструктура открытых ключей как платформа сервисов безопасности массовых информационно-телекоммуникационных услуг. / PKI FORUM, Санкт-Петербург, 2009.

56. Компаниец Р.И. PKI как комплексная платформа для защищенных информационных систем / PKI FORUM, Санкт-Петербург, 2010.

57. Котенко A.B., Нурдавлетова Д.Р. История развития удостоверяющих центров и электронной подписи в Российской Федерации. // Научная сессия ТУСУР-2013: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 15-17 мая 2013 г. - Томск: В-Спектр, 2013: В 5 частях. - Ч. 4. - 266 с. С. 160162.

58. Кулябов Д.С., Королева A.B. Инфраструктура открытых ключей. Разработка программного обеспечения и системное администрирование. -Вестник РУДН. Серия: Прикладная и компьютерная математика. Т.2, №2. 2003. е.-151.

59. Курбатов В.А., Петренко С.А, Политики безопасности компании при работе в интернет. - М.: ДМК Пресс, 2011. - 396с.

60. Кустов В.Н. Проблемные вопросы применения сервисов PKI для электронных торговых площадок и других корпоративных систем / PKI FORUM, Санкт-Петербург, 2010.

61.Майерс Г. Надежность программного обеспечения. М.:Мир.-1980-360с.

62. Мещеряков Р.В., Шелупанов A.A., Белов Е.Б., Лось В.П. Основы информационной безопасности. - М.: Горячая линия - Телеком, 2006.- 544 с. ISBN 593517-292—5. (Гриф Минобрнауки)

63. Новиков Ф.А. Дискретная математика для программистов. Учебник для вузов. 3-е изд. - СПб.: Питер, 2009. - 384с. ил.

64. Острейковский В. Теория надежности. Учебник для вузов. - М.: Высшая школа, 2003.

65. Перегудов Ф.И., Тарасенко Ф.П.. Основы системного анализа.-Томск: Изд. ТГУ.- 1997.

66. Перфильев А.Е. Модели и алгоритмы расчета эксплуатационной надежности и отказоустойчивости телекоммуникационных систем, дис. ... канд. техн. наук. М., 2012. 134 с.

67. Половко A.M. Основы теории надежности / A.M. Половко, C.B. Гуров. - СпБ.: БХВ-Петербург, 2006. - 704с.

68. Полянская О.Ю. Инфраструктура открытых ключей: Учебное пособие / О.Ю. Полянская, B.C. Горбатов. - М: Интернет-Университет Информационных Технологий; БИНОМ. Лаборатория знаний, 2007. - 368 с. ISBN 978-5-94774-602-0 (БИНОМ. ЛЗ), ISBN 978-5-9556-0081-9 (ИНТУИТ.РУ).

69. Реестр аккредитованных удостоверяющих центров [Электронный ресурс] - Режим доступа: http://e-trust.gosuslugi.ru/CA - свободный. - Яз. рус.

70. Рошкован К.С. Оценка надежности системы удостоверяющих центров. // Научная сессия ТУСУР-2013: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 15-17 мая 2013 г. - Томск: В-Спектр, 2013: В 5 частях. - Ч. 4. - 266 с. С. 212215.

71.Рябинин, И.А. Логико-вероятностные методы исследования надежности структурно-сложных систем / И.А. Рябинин, Г.Н. Черкесов. М.: Радио и связь, 1981.264 с.

72.. Рябинин И.А. Надежность и безопасность структурно-сложных систем. - СПб.: С.-Петерб. ун-та, 2007. - 276с

73. Сабанов А.Г. Использование внутрикорпоративных сервисов PKI для решений по обеспечению безопасности ИСПДн / PKI FORUM, Санкт-Петербург, 2010.

74. Савельев И.А. Метод повышения надежности и совершенствование архитектуры информационно-телекоммуникационных систем, дис.... канд. техн. наук. М., 2010. 172 с.

75. Сопов M.А. Модели функционирования распределенного удостоверяющего центра / М.А. Сопов, C.B. Тимченко // Научный вестник Новосибирского государственного технического университета. — 2012. — № 2 — С. 69-72.

76. Сопов М.А. Защищенная информационно-технологическая платформа виртуальных серверов удостоверяющих центров / М.А. Сопов, C.B. Тимченко, В.В. Кручинин, М.В. Чуркин, A.A. Шелупанов // Доклады ТУСУРа. — 2011. — № 2-3 — С. 217-227.

77. Сопов М.А. Модели повышения уровня информационной безопасности удостоверяющего центра / М.А. Сопов, А.Ю. Крайнов, A.A. Шелупанов // Доклады ТУСУРа. — 2011. — № 2-3 — С. 211-216.

78. Сопов М.А. Сети Петри-Маркова как инструмент создания аналитических моделей для основных видов несанкционированного доступа в информационной системе / В.Г. Миронова, М.А. Сопов, A.A. Шелупанов // Доклады ТУСУРа. — 2011. — № 2-3 — С. 217-227.

79. Сопов М.А. Проблемы информационного трансграничного обмена. Понятие "информационное пространство" в российском и международном законодательстве / М.А. Сопов, Г.А. Праскурин, H.A. Новгородава // Безопасность информационных технологий . - 2007. - №4 - С. 6-9.

80. Сопов М.А. Требования к системам защищенного электронного документооборота / М.А. Сопов, В.Д. Зыков, П.А. Мельниченко // Научная сессия ТУСУР-2007: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 3-7 мая 2007 года, Томск: Томск: В-Спектр, 2012. — Ч. 3. — С. 209-212.

81. Сопов М.А. Организация защищенного электронного документооборотам основе свободно распростроняемого программного обеспечения / М.А. Сопов, И.М. Гавриленко // Научная сессия ТУСУР-2011: Материалы Всероссийской научно-технической конференции студентов,

аспирантов и молодых ученых, Томск, 4-6 мая 2011 года, Томск: Томск: В-Спектр, 2012. — Ч. 3. — С. 157-160.

82. Сопов М.А. Универсальная электронная карта / М.А. Сопов, С.Е. Журавлев // Научная сессия ТУСУР-2011: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 4-6 мая 2011 года, Томск: Томск: В-Спектр, 2012. — Ч. 3. — С. 306307.

83. Сопов М.А. Сравнительный анализ программных среств для отображения процессов в информационной безопасности / М.А. Сопов, С.Ю. Наумов // Научная сессия ТУСУР-2011: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 4-6 мая 2011 года, Томск: Томск: В-Спектр, 2012. — Ч. 3. — С. 224-227.

84. Сопов М.А. Организационно-функциональная структура информационной безопасности аутентификационной системы / М.А. Сопов, М.В. Савчук, Р.В. Мещеряков // Электронные средства и системы управления: Материалы докладов Международной научно-практической конференции (10-11 ноября 2011 г.). — Томск: В-Спектр, 2011.— С. 213215.

85. Сопов М.А. Шаблоны сертификатов открытых ключей / М.А. Сопов, К.С. Рошкован // Научная сессия ТУСУР-2012: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 16-18 мая 2012 г. — Томск: В-Спектр, 2012. — Ч. 3.

— С. 218-220.

86. Сопов М.А. Безопасность платежей VISA, MASTERCARD / М.А. Сопов, Т.В. Остапчук // Научная сессия ТУСУР-2012: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 16-18 мая 2012 г. — Томск: В-Спектр, 2012. — Ч. 3.

— С. 204-206.

87. Сопов М.А. Организационно-техническое функционирование Удостоверяющего центра / М.А. Сопов, А.О. Корсюк // Научная сессия

ТУСУР-2012: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 16-18 мая 2012 г. — Томск: В-Спектр, 2012. — Ч. 3. — С. 178-179.

88. Сопов М.А. Шаблоны сертификатов открытых ключей электронной подписи / М.А. Сопов, М.А. Ананев, Е.В. Цыбань, C.B. Штыгайло, А.Ю. Якимук // Научная сессия ТУСУР-2012: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 16-18 мая 2012 г. — Томск: В-Спектр, 2012. — Ч. 3.

— С. 139-142.

89. Сопов М.А. Ключевой контейнер / М.А. Сопов, Е.В. Цыбань, C.B. Штыгайло, А.Ю. Якимук // Научная сессия ТУСУР-2013: Материалы Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 16-18 мая 2012 г. — Томск: В-Спектр, 2012. — Ч. 4.

— С. 255-258.

90. Статья по проблематике Единого пространства доверия электронным подписям [Электронный ресурс] - Режим доступа: http://smev.gosuslugi.ru/portal/api/flles/get/1080, свободный. - Яз. рус.

91. Ушаков И.А. - Курс теории надежности систем. - Показатели надежности - Москва 2008. - 150 с.

92. Ушаков И.А. - Курс теории надежности систем: учебное пособие для вузов/ И.А. Ушаков. - М.:Дрофа, 2008. - 239 с.

93. Шаньгин В.Ф. Комплексная защита информации в корпоративных системах. - М.: Форум, Инфра-М, 2010. - 594с.

94. Шаньгин В.Ф. Информационная безопасность компьютерных систем и сетей. - М.: Форум, Инфра-М, 2008. - 416с.

95. Шелупанов A.A., Обеспечение надежности функционирования удостоверяющих центров: НИР / Шелупанов A.A., Мещеряков Р.В., Давыдова Е.М., Конев А.А, Сопов М.А., Костюченко Е.Ю и др. - Томск: Томский университет систем управления и радиоэлектроники, 2006. - 65 с.

96. Шумский A.A., Шелупанов А.А. Системный анализ в защите информации. М.: Гелеос АРВ, 2005.- 224 с. ISBN 5-85438-128-1 (Гриф УМО)

97. Введение в Криптографию / Под общ. ред. В.В.Ященко - 3-е изд., доп. - М.: МЦНМО, 2000. - 288с

98. Rucinski Andrzej. ЭЦП в информационном сообществе в Европейском Союзе и Польше / PKI FORUM , Санкт-Петербург, 2009.

99. Stienen John. Электронная подпись, электронная личность и проверка подлинности (валидация) - последние разработки Европейского Союза / PKI FORUM, Санкт-Петербург, 2010.

100. Adams С., Simple and Effective Key Scheduling for Symmetric Ciphers, Workshop Record of the Workshop on Selected Areas in Cryptography (SAC '94), 1994, pp. 129-133.

101. ITU-T Recommendation X.509, "Information Technology -Open Systems Interconnection - The Directory: Public Key and Attribute Certificate Frameworks". June 2000

102. Harris S. and Adams C., Key-Dependent S-Box Manipulations, Selected Areas in Cryptography (SAC '98) Proceedings, LNCS 1556, Springer, 1999, pp. 15-26.

103. Kord Davis, Ethics of Big Data: Balancing Risk and Innovation / Published by O'Reilly Media; 2012.- 82 pages.

104. Nali D., Adams C., and Miri AHierarchical Identity-Based Signcryption with Public Ciphertext Authenticity and Forward Security, Presented at the Western European Workshop on Research in Cryptology (WEWoRC), Leuven-Heverlee, Belgium, July 5-7, 2005.

105. Nali D., Adams C., and Miri A, Using Mediated Identity-Based Cryptography to Support Role-Based Access Control, Proceedings of the 7th Information Security Conference (ISC '04), Palo Alto, CA, USA, Springer, LNCS 3225, September 27-29, 2004, pp. 245-256.

106. PKI: Implementing & Managing E-Security // A. Nash, B. Duane, D. Brink, C. Joseph. - McGraw-Hill Osborne Media, 2001

107. Public Key Infrastructure. Implementation and Design / Suranjan Choudhury, Kartik Bhatnagar, and Wasim Haque / Published by M&T Books. An imprint of Hungry Minds, Inc. New York, NY. 2002.-316p.

108. Understanding PKI: concepts, standards, and deployment considerations / Carlisle Adams, Steve Lloyd. — 2nd ed. / Published by Pearson Education, Inc. Boston, MA, 2002. - 351 p.

Эксплуатационная документация на ПАК «КУЦ Автограф», сертифицированный ФСБ РФ по классу КСЗ, описана в формуляре ИТВБ.425790.021. В комплексе реализовано ролевое разграничение на базе персональных криптоустройств, при этом оказывается удачным выделение ролей уполномоченных лиц, которые осуществляют функции по созданию сертификатов пользователей УЦ, и главного уполномоченного лица, закрытый ключ которого используется только для запуска сервера ЦС на этапе инициализации, издания и отзыва сертификатов уполномоченных лиц.

Подобная организация двухуровневой структуры уполномоченных лиц позволяет избежать переиздания всех клиентских сертификатов в случае компрометации закрытого ключа уполномоченного лица. Перечень компонент ПАК «КУЦ Автограф» и их состав указаны в таблице А.1.

Таблица А.1 - Состав компонент ПАК «КУЦ Автограф»

Компонент Состав

Центр сертификации Сервер ЦС (СЦС)

АРМ администратора ЦС (АРМ АЦС)

АРМ уполномоченного лица (АРМ УЛ)

АРМ аудитора

Центр регистрации Сервер ЦР (СЦР)

АРМ администратора ЦР (АРМ АЦР)

АРМ оператора

АРМ аудитора

Сетевой справочник (СС)

АРМ разбора конфликтны ситуаций

АРМ клиента АРМ Клиента

СКЗИ ПСКЗИ «Шипка 1.6»

СЗИ НСД ПАК «Аккорд-У»

Однонаправленный шлюз Криптошлюз

Схема размещения описанных компонентов ПАК «КУЦ Автограф» на

технических средствах представлена на рисунке А.1.

---------------------------------------л

|^ПАК «КУЦ Автограф» |

^ч/ Комм

АРМ АЦС ЛРМ аудитора

АРМАЦР АРМ аудитора

Межсетевой »кран

Рисунок А.1 - Схема ПАК «КУЦ Автограф» В указанной выше схеме стрелками обозначены соединения серверов ЦС и ЦР через устройства однонаправленной передачи данных, так как Сетевой справочник, выполняя функции репозитория, является общедоступным ресурсом. ПАК «Аккорд-У» устанавливается на сервер ЦС и

ЦР.

Издание СКП ЭП, изменение статуса действующих сертификатов, формирование и публикация СОС осуществляются с использованием АРМ УЛ. На АРМ оператора выполняются функции по регистрации клиентов УЦ, формированию запросов на создание СКП ЭП. АРМ аудитора предназначен для осуществления проверки выполнения регламента УЦ и политики выпуска сертификатов, АРМ администраторов ЦС и ЦР предназначены для регистрации пользователей УЦ (оператор, аудитор, уполномоченное лицо,

администратор и т.д.), а также для настройки и обслуживания соответствующих серверов. Эти функции осуществляются единовременно с некоторой периодичностью, определенной регламентом УЦ. Однако, в случае необходимости АРМ АЦР и АРМ АЦС способны выполнять функции АРМ оператора и АРМ УЛ соответственно. Исходя из описанных функциональных задач компонентов ПАК «КУЦ Автограф» составляется схема расчета надежности УЦ, которая представлена на рисунке А.2.

Рисунок А.2 - Схема расчета надежности ПАК «КУЦ Автограф»

Документация формуляра ШКНР.00033-01 30 01 описывает схему взаимодействия элементов PKI, реализованной на базе ПАК УЦ «Notary PRO». Удостоверяющий центр имеет модульную структуру, ядро которой составляют ЦС серверная служба и база данных УЦ, которую в том числе использует ЦР, не имеющий собственной БД. Компоненты, их состав и функциональное назначение представлено в таблице Б.1.

Таблица Б.1 - Компоненты ПАК УЦ «Notary PRO»

Компонент Состав Функции

Удостоверяющий центр (Центр сертификации) Notary PRO Регистрация запросов на сертификацию, выпуск сертификатов, формирование СОС

Notary СА Server Автоматизированный выпуск сертификатов и СОС

База данных Хранение информации о регистрационных данных пользователей и их сертификатах

Цент регистрации Notary RA Server Обеспечение доступа операторов ЦР к базе данных УЦ

Notary RA Удаленная регистрация пользователей, регистрация запросов на сертификацию и заявок на изменение статуса сертификата

Справочник сертификатов Notary-DIR Функции БД

Notary-TM Взаимодействие Справочника сертификатов с базой данных УЦ

(транспортный модуль)

Notary-DIR Web Доступ пользователей к Notary-DIR

АРМ РКС Arbiter-PKI Разбор конфликтных ситуаций

Web-интерфейс Notary-PRO Web Pages Взаимодействие пользователей с Notary PRO

Notary-PRO Web Pages является логическим компонентом комплекса, которые предоставляет сервис взаимодействия пользователей с УЦ посредством сети Интернет. Схема УЦ, построенного на описанных выше компонентах ПАК УЦ «Notary PRO» представлена на рисунке Б. 1.

Notary PRO Межсетевой экран Notary PRO Notary СА Server , Web-pages

Рисунок Б. 1 - Схема ПАК УЦ «Notary PRO» В случае необходимости удаленной регистрации пользователей, на средствах УЦ организуется Notary RA Server, а на удаленной стороне - АРМ операторов Notary RA, которых может быть несколько. Так как Web-интерфейс является опциональным компонентом, который лишь повышает качество предоставления услуг УЦ, то в оценке надежности УЦ он, как и АРМ РКС, не учитывается. Схема расчета надежности УЦ, построенного на ПАК «Notary PRO» представлена на рисунке Б.2.

Рисунок Б.2 - Схема расчета надежности «Notary PRO»

В простейшей реализации УЦ может не иметь отдельного машинного комплекса, на котором будут размещаться компоненты, выполняющие функции ЦР. В этом случае, из схемы расчета надежности исключаются сервер ЦР и АРМ операторов ЦР.

Схема размещения компонентов ПАК «ЛИССИ-УЦ» на технических средствах довольно проста. Согласно документации формуляра ЛУЦ.501540.58169198-10-01 30 01 ПАК «ЛИССИ-УЦ» функционирует на двухмашинном комплексе, все технические средства которого должны быть размещены в пределах контролируемой зоны. На первом сервере расположен только ЦС, на втором сервере реализованы:

- центр регистрации;

- веб-интерфейс;

- репозиторий (сервер LDAP);

- сервер штампов времени (сервер TSP).

Для защиты компонентов УЦ используются:

- межсетевые экраны (не ниже 4 класса защиты по требованиям ФСБ);

- антивирусные средства (сертифицированные по классу А2);

- системы обнаружения атак (по необходимости).

Структурная схема компонентов УЦ, построенного на ПАК «ЛИССИ-УЦ», показана на рисунке В.1.

ПАК «ЛИССИ-УЦ» I I-----------1

<3

АРМ Администратора

Сервер ЦС

Сервер ЦР Репозиторий Веб-интерфейс

Межсетевой экран (не ниже 4 класса)

Рисунок В.1 - Схема ПАК «ЛИССИ УЦ» С помощью схемы размещения компонентов УЦ на технических средствах составим схему расчета надежности, показанную на рисунке В.2.

АРМ Сервер ЦС Сервер ЦР и Коммуникационное

Администратора репозитория оборудование

Рисунок В.2 - Схема расчета надежности «ЛИССИ УЦ»

Программно-аппаратный комплекс «Удостоверяющий центр КриптоПро УЦ» предназначен для автоматизации деятельности УЦ при выполнении им своих целевых функций. ПАК «КриптоПро УЦ» сертифицирован ФСБ РФ. Данные сертификаты указывают на то, что безопасность информации обеспечивается при использовании комплекса в соответствии с требованиями нормативных документов формуляра ЖТЯИ.00067-02 30 01. Документ ЖТЯИ.00067-02 90 01 «КриптоПро УЦ. Общее описание» раскрывает состав программных компонентов, указанный в таблице Г.1.

Таблица Г.1 - Состав компонентов «КриптоПро УЦ»

Компонент Состав

Центр сертификации ПО Центра сертификации

Утилиты Центра сертификации

СКЗИ КриптоПро С8Р

Средство сетевой аутентификации

Центр регистрации ПО Центра регистрации

Утилиты Центра регистрации

ПО АРМ регистрации пользователя

ПО АРМ зарегистрированного пользователя с маркерным/ключевым доступом

СКЗИ КритоПро С8Р

Средство сетевой аутентификаци

АРМ администратора ЦР ПО АРМ администратора ЦР

СКЗИ КритоПро СБР

Компонент Состав

АРМ разбора конфликтных ситуаций ПО АРМ РКС

СКЗИ КритоПро CSP

Центр сертификации имеет соединение исключительно с Центром регистрации, причем он всегда остается пассивным элементом, т.е. никогда не является инициатором электронного взаимодействия. Помимо своих основных функций ЦС отвечает за хранение и поддержание эталонной базы сертификатов. Реестр, содержащий информацию о регистрационных данных пользователей и их сертификатах, располагается на ЦР. Взаимодействие ЦС и ЦР осуществляется по отдельному сегменту локальной сети по защищенному каналу связи, исключение - возможность передачи СОС по запросу от ЦР с помощью протокола HTTP. С использованием АРМ администратора ЦР осуществляется взаимодействие с одним или несколькими ЦР, регистрация пользователей УЦ, формирование ключей и сертификатов пользователей, управление ЦР. АРМ РКС предназначен для проведения мероприятий, связанных с подтверждением подлинности ЭП пользователей, подлинности ЭП уполномоченного лица УЦ, определения статуса сертификатов пользователей. АРМ РКС является обособленным компонентом УЦ и не имеет связи ни с одним другим. Эксплуатационная документация формуляра ЖТЯИ.00067-02 30 01 описывает типовые схемы взаимодействия и размещения компонентов ПАК «КриптоПро УЦ» на технических средствах. Данные схемы представлены на рисунках Г. 1 и Г.2.

Центр Регистрации

[к-

Центр Сертификации

п

ПАК «КриптоПро УЦ»

Межсетевой экран

Г

АРМ РКС

АРМ администратора ЦР

Рисунок Г.1 - Типовая схема размещения компонентов УЦ Пунктирными линиями показаны возможные варианты связи ЦС с ЦР - либо напрямую к ЦР, либо через маршрутизатор с соответствующими

настройками межсетевого экрана.

Статья 15 ФЗ №63 «Об ЭП» обязывает УЦ обеспечивать любому лицу в любое время доступ к выданным квалифицированным СКП ЭП и актуальным СОС. Возможная схема публикации СОС, при которой репозиторий реализован не на средствах УЦ, представлена на рисунке Г.З.

Рисунок Г.З - Схема публикации СОС и изданных сертификатов при размещении репозитория не на средствах УЦ Функции репозитория выполняет «Сетевой справочник», представляющий собой сервер публикации СОС и изданных сертификатов. Публикация при этом осуществляется с использованием устройств односторонней передачи данных, прошедших проверку на соответствие требованиям ФСБ РФ. В целях защиты информационных ресурсов УЦ при сетевом взаимодействии должны использоваться межсетевые экраны, сертифицированные ФСБ РФ по 4 классу. В качестве межсетевого экрана документ ЖТЯИ.00067-02 90 11 «КриптоПро УЦ. Руководство по безопасности» рекомендует использовать ЦУС «Континент» и «Континент АП» как персональный МЭ. Для защиты компьютера от несанкционированного входа совместно с КриптоПро СБР применяются электронные замки, в качестве таких средств рекомендуется использовать ПАК «Соболь» или «Аккорд-АМДЗ». Исходя из описанных выше требований по структуре, способам взаимодействия и функциональному назначению компонентов, составляется схема расчета надежности для УЦ,

Рисунок Г.4 - Схема расчета надежности «КриптоПро УЦ»

Удостоверяющий центр корпоративного уровня (УЦКУ) У1р№1 поставляется в двух комплектациях, описанных в формулярах ФРКЕ.00022-05 30 01 (класс КС2) и ФРКЕ.00050-02 30 014 (класс КСЗ). Состав УЦКУ описан в таблице Е.1.

Таблица Е.1 - Состав УЦКУ ЛЯр^

Компонент Функции

Криптосервис Выполнение криптографических операций

Администратор Центр управления сетью (ЦУС) Прием и передача запросов на создание СКП ЭП, прием от УКЦ СОС и изданных сертификатов с последующей передачей в Сервис публикации

Уф№1 Администратор Удостоверяющий и ключевой центр (УКЦ) Обслуживание запросов от ЦУС и ЦР, формирование ключей подписи, создание сертификатов, изменение статуса выданных сертификатов, формирование СОС и передача их в ЦУС

Сервис публикации Публикация сертификатов пользователей и СОС

Уф№1 Пункт регистрации Регистрация пользователей, создание ключей подписи, формирование запросов на регистрацию и выдачу сертификата в УКЦ (через ЦУС)

Для защиты локальной сети УЦ и передаваемой по ней информации от НСД применяется средство У1р№1 Координатор, который выполняет функции туннелирующего сервера (криптошлюза) и межсетевого экрана для

защиты открытых, защищенных и туннелируемых ресурсов УЦ. В случае подключения компонентов к сетям общего пользования, все сервера УЦ оснащаются средством защиты У1р№1 Клиент, который настраивается в соответствии с регламентом безопасности.

Эксплуатационная документация описывает схему размещения и взаимодействия компонентов УЦ, построенного на технологиях У1р№1. Первая схема предполагает совмещение ЦУС и УКЦ на одном компьютере. Вторая схема, при которой ЦУС и УКЦ размещены на разных компьютерах, описывает два возможных варианта взаимодействия этих компонент:

- изолированный режим работы УКЦ, при котором обмен информацией с ЦУС осуществляется с использованием внешних носителей;

- режим, при котором взаимодействие УКЦ и ЦУС осуществляется через общие сетевые папки либо через режим автопроцессинга, реализуемый УфИе! Клиентом.

Структурная схема УЦ, построенного на технологиях изображена на рисунке Е. 1.

4

о

Центр управления сетью Сервис публикации

Сервер публикации

Удостоверяющий и ключевой центр

У1рЫе1

ттятт

)

^бг

VipNet

У1рЫе1 Координатор VipNet Клиент

Рисунок Е. 1 - Схема У1рЫе1 УЦ Схема расчета надежности для указанной структуры представлена на рисунке Е.2.

Рисунок Е.2 - Схема расчета надежности УЦ У1р№1

В случае распределенного УЦ при его подключении к сетям общего пользования, необходимо либо организовать изолированный режим работы УКЦ, либо оградить локальную сеть УЦ от внешней с помощью аппаратного 1Р-шифратора, обеспечивающего криптографическую защиту информации по классу КВ2, а взаимодействие УКЦ и ЦУС реализовать в отдельном сегменте локальной сети УЦ. Данная схема, изображенная на рисунке Е.З, существенно сложнее в плане структурной организации, однако она позволяет обеспечить доступ к серверу публикации из общедоступных сетей. В качестве 1Р-шифратора эксплуатационная документация рекомендует

У1рНе1 I ------1

Центр управж ния сетью удостоверяющий и Сервис пуб.

Сервер

У1рЫе1 Координатор

/ 1 """ " '

..и

Сервер публикации

Аппаратный У1р№1 Координатор 1Р-шифратор

I I I

Интернет

У1'рЫе1 У1р№1 Клиент

Пункт регистрации

Рисунок Е.З - Схема УЦ при наличии подключения к сетям общего

пользования

Стоит отметить, что в случае выхода из строя одного из устройств \/ф№1 Координатор, можно оперативно восстановить работоспособность УЦ. Для этого, в качестве временной решения, необходимо организовать изолированный режим работы УКЦ, переконфигурировав сеть с помощью ЦУС. Поэтому средства У1рЫе1 Координатор в схему расчета надежности, представленную на рисунке Е.4, включены параллельно.

Рисунок Е.4- Схема расчета надежности «УЦКУ УфЫеЪ)

Акты внедрения

/ТГГ^л, Научно производственная фирма

ИНФОРМАЦИОННЫЕ ТшЦЗЯЛ СИСТЕМЫ БЕЗОПАСНОСТИ

ООО «Научно производственная фирма СОПОВУ

«Информационные Системы безопасности» Юридический адрес: 634050, Томск, пр-т Ленина д 28 Максиму Алексеевичу

Фактический адрес: 634009, г. Томск, пр-т Ленина 151/1 стр. 1 Тел./факс [phone], 70-50-77, e-mail: [e-mail], сайт: исб.рф ОКПО: 71732416, ОГРН: 1047000106614 ИНН 7017091200, КПП: 701701001

18 марта 2014 года № б/н

О внедрении результатов диссертационной работы

АКТ

Комиссия в составе: председатель Холодков В.А., члены комиссии Алексеев A.C., Праскурин Г.А., Сеченов А.Г. составила настоящий акт о том, что результаты диссертационной работы Сопова М.А. на тему «Методика оценивания защищенности распределенной системы удостоверяющих центров» внедрены в ООО «НПФ «ИСБ» при выполнении мероприятий по организации защищенного документооборота и функционирования удостоверяющего центра:

1. Применены мероприятия по формированию организационной системы управления удостоверяющим центром.

2. Реализована система аудита технических средств удостоверяющего центра на основании методики оценивания защищенности распределенной системы удостоверяющих центров.

3. Организовано взаимодействие с партнерскими удостоверяющими центрами по предложенной схеме резервирования с ненагруженным резервом.

Использование указанных результатов позволило получить следующий эффект:

1) использование организационных мероприятий позволило систематизировать работу специалистов удостоверяющего центра, таким образом, что время обслуживания клиента сократилось на 20%;

2) реализация системы аудита позволила обоснованно модернизировать технические (аппаратные) средства обеспечения функционирования удостоверяющего центра, сокращая время на обслуживание техники и подбор аналогов модернизируемого оборудования, за счет возможности оперативного представления в численном виде состояния аппаратных средств удостоверяющего центра;

3) использование системы ненагружениым резервом, позволило восстановления работы системы с 60 до

распределенных удостоверяющих центров с в случае сбоев сократить регламентное время 20 минут.

комиссии: /Холодков В. А./

Члены комиссии:

¡ексеев А.С./

/Праскурин Г. А./

/Сеченов А.Г./

Министерство образования и науки Российской Федерации

ТУСУР

ОКНО 02069326, ОГРН 1027000867068. ИНН 7021000043, КПП 701701001

пр. Ленина. 40. г. Томск, 634050

тел: [phone]

тел:

факс: [phone]-365 e-mail: officeiäitusur ru http:// am ttistjr i»_

№

AKT

О внедрении результатов диссертационной работы Сопова Максима Алексеевича в учебный процесс

Комиссия в составе: Председателя:

Давыдова Е.М, к.т.н., зам. зав. каф. КИБЭВС ТУСУР по УР. Членов комиссии:

Конев A.A., к.т.н., доцент каф. КИБЭВС ТУСУР. Костюченко Е.Ю., к.т.н., доцент каф. КИБЭВС ТУСУР. Евсютин О.О., к.т.н., доцент каф. КИБЭВС ТУСУР. составили настоящий акт о нижеследующем:

Результаты диссертационной работы М.А. Сопова используются в учебном процессе на факультете безопасности ТУСУРа при чтении курса лекций по дисциплинам «Комплексное обеспечение информационной безопасности автоматизированных систем», «Прикладная криптография» и «Организационно-правовое обеспечение информационной безопасности» для подготовки специалистов по защите информации, обучающихся по

специальности «090303,65 - Информационная безопасность

автоматизированных систем» и «09305.65 - Информационно-аналитические

системы безопасности».

Кроме того, результаты диссертационной работы используются в

практических работах по оценки защищенности удостоверяющих центров и

анализе нагрузки на штатную единицу при проектировании системы УЦ, а

также прогнозирования развития мощностей УЦ. при выполнении групповых

проектов, дипломных и научно-исследовательских работ студентами

кафедры комплексной информационной безопасности электронно-

вычислительных систем Томского государственного университета систем

управления и радиоэлектроники (КИБЭВС ТУСУР).

Разработанная Соповым МА. методика оценки защищенности системы

распределенных удостоверяющих центров, позволяет на практике применять

знания и навыки полученные при изучении таких дисциплин, как теория

вероятностей и математическая статистика, теория надежности, теория

массового обслуживания. Также данная методика позволяет рассмотреть

защиту объекта с организационной и технической стороны наглядно

демонстрируя студентам необходимость комплексного подхода при защите

информации.

К.т.н., зам. зав. ка<{ КИБЭВС ТУСУРа Давыдова Е.М.

К.т.н, доцент каф. КИБЭВС ТУСУРа Конев A.A.

К.т.н, доцент каф. КИБЭВС ТУСУРа Костюченко Е.Ю.

К.т.н, доцент каф. КИБЭВС ТУСУРа Евсютин О.О.

« 29» лммХ 201 Аг.

« 2.9 у> juu^x 20 l4r.

«¿9» juuc^ 20\Uv.

«<gg» ^uux+a_201 ¿fr.

УТВЕРЖДАЮ

Директор ООО «Удостоверяющий

Akt

/A.B. Перфильев/ Ш 201 ^г.

О внедрении результатов диссертационной работы Сопова Максим Алексеевича

Комиссия в составе:

Председателя:

Перфильев A.B., Директор ООО «Удостоверяющий центр Сибири».

Члены комиссии:

Михайлов Н.С., Исполнительный директор ООО «Удостоверяющий центр Сибири».

Черных Д.В., Технический специалист ООО «Удостоверяющий центр Сибири»;

составили настоящий акт о нижеследующем:

Компания ООО «Удостоверяющий центр Сибири» проводила работы по анализу и оценке защищенности распределенной системы удостоверяющих центров, в ходе которых была пересмотрена структурная схема, произведено оценивание надежности и модифицирована схема работы системы распределенных удостоверяющих центров.

При проведении анализа структуры Удостоверяющего центра Сибири, была использована организационно-структурная схема УЦ предложенная автором работы, поскольку в диссертационной работе полно описаны внутренние взаимодействия возникающие при реализации функций удостоверяющего центра и представлено их соотношение со штатными единицами УЦ.

Применение методики оценивания защищенности системы распределенных удостоверяющих центров позволило численно оценить

уровень защищенности, используя предложенный показатель, используя порядок расчета надежности определить элементы УЦ, негативно влияющие на работу как самого УЦ, так и всей построенной системы, а также используя предложенное автором диссертационной работы техническое решение модификации структуры системы распределенных УЦ, удалось обеспечить большую защищенность и доступность в частности для клиентов Удостоверяющего Центра Сибири.

Результаты работы Сопова М.А. внедрены в деятельность ООО «Удостоверяющий центр Сибири» в результате чего достигнуты следующие показатели:

проведена реорганизация структуры и штатного расписания УЦ, позволившая сократить трудозатраты в месяц на 7%, а в пиковые периоды на 16%;

- оценка технической составляющей элементов УЦ позволила квалифицированно и обоснованно модернизировать программно-аппаратные средства функционирования УЦ;

показатели надежности после комплекса проведенных мероприятий за годовой оценочный период увеличились в 6 до 8 раз для локальных УЦ и для распределенной системы в 11 раз;

201 Яг.

« /6» ¿и^^ 201 ^г. «Ж» а^ /*^ 201^.

Директор ООО «Удостоверяющий центр Сибири» Перфильев A.B.

Исполнительный директор ООО «Удостоверяющий центр Сибири» Михайлов Н.С.

Технический специалист ООО «Удостоверяющий центр Сибири» Черных Д.В.