Кафедра  информационной безопасности

Лаборатория  IT – технологий

Система обеспечения безопасной работы в сети Интернет,c защитой конфиденциальной информации и средств авторизации от интернет–угроз для любого ПК или ноутбука/планшета.

Разработанная аппаратно-программная система Ort.Box дает возможность безопасно использовать Интернет для работы с Web-ресурсом с любого, даже небезопасного (завирусованного) компьютера или ноутбука/планшета. На компьютере возможна установка ОС, т.к. -WindowsXP/Vista/7/8 (32 и 64 bit) и iOS, Linux,Android.

Данный проект разрабатывался как альтернатива существующим системам программного и программно - аппаратного формирования доверенной среды на компьютере online-пользователя для обеспечения безопасной работы в облачных (корпоративных) сервисах, в online–банкинге или торговых площадках, предусматривающих работу с конфиденциальной информацией, в т.ч. с ЭЦП.

Внешне Ort.Box напоминает флэш-какопитель (габариты 100x38x10 мм, вес 50 г). На устройстве устанавливается эталонная (не изменяемая) операционная система (ОС) Linux, браузер и/или иное ПО (в т.ч. VPN, СКЗИ) по требованию заказчика, которые в отличие от других разработок, функционируют не на основном компьютере, а внутри самого устройства. 

View the embedded image gallery online at:
http://abrb.org/nashi-razrabotki#sigProId22abb7542c

Архитектура Ort.Box на физическом уровне изолирует браузер (все ПО)от основной ОС, а следовательно и от любых действий вредоносного кода в основной ОС. Изолированный браузер и иное ПО установленное по требованию заказчика позволяет работать с конфиденциальной информацией не опасаясь за ее сохранность и не оставляя следов, а так же самой конфиденциальной информации, в основной ОС.

Структурно, формирование доверенной среды и защита браузера и иного ПО не вносит каких либо изменений в схему их взаимодействия с сервером. Для сервера не имеет значения из какого браузера осуществляется работа с ним, из обычного или защищенного. Эта особенность позволяет организовывать защиту информации без участия серверной части и без ее изменений. Кроме того обеспечивается безопасность не только online-пользователей, но и самой серверной части Интернетресурса,от возможных угроз со стороны «скомпрометированных» пользователей.

Формируемая устройством доверенная среда обеспечивает защиту не только обработку информациии SSL(VPN)-соединение, но и безопасную работу c СКЗИ (ЭЦП/криптопровайдерами), а также подключенных к устройству средств авторизации и хранения ЭЦП т.к. е-Токен/SmartCard.

Кроме того, устройство предотвращает фишинг, SSL и DNSатаки, автоматически верифицируя сайт и его SSL-сертификаты (проверяя их подлинность) с которым предполагается работа пользователя.

Для начала работы в защищенном режиме достаточно в основной ОС запустить соответствующее приложение и подключить устройство к компьютеру через USB или Bluetooth, после чего доверенная среда готова к работе (без дополнительных настроек). Инсталляция приложения выполняется без перезагрузки компьютера. При подключении устройства по USB-интерфейсу, он же обеспечивает его питание, при Bluetooth – используется аккумулятор или внешнее питание.

На устройстве есть USB-разъемы для подключения e-токена и дополнительных (внешних) клавиатуры и мыши, а также HDMI-разъем для внешнего монитора. Так же на устройстве возможно размещать встроенный картридер (ISO-7816) для SmartCardEMV или с ЭЦП.

При подключении к устройству дополнительной клавиатуры, мышки и монитора обеспечивается полная аппаратная изоляция не только программной среды, обрабатывающей конфиденциальную информацию и средств аппаратной авторизации (USB-токен, SmartCard), но полная изоляция всей вводимой с клавиатуры и выводимой на внешний монитор информации.

На текущий момент полнофункционального аналога данного проекта нет ни в РФ, ни за рубежом.


«Информационная Система BOSS»

Компанией АНО ДПО «АКАДЕМИЯ БЕЗОПАСНОСТИ» разработана инновационная специализированная информационная система «BOSS» (далее Система) предназначенная для собственников бизнесов. Система предоставляет возможность дистанционно, в реальном времени, осуществлять мониторинг подразделений с активным управлением ими по определенной заказчиком индивидуальной бизнес – логике. Кроме того Система обеспечивает максимально возможный уровень защиты всей собираемой, хранимой и обрабатываемой информации на всех этапах работы с ней.

Система принципиально отличается от существующих (возможных) аналогов, так как обеспечивает сбор, хранение и обработку требуемой информации в сочетании с комплексом мер по защите и разграничению доступа к информации внутри аппаратно изолированных доверенных сред, формируемых внутри Ваших компьютеров или планшетов. Данный подход обеспечивает не только максимальный уровень изоляции информации от внешних Интернет угроз и разграничения дистанционного доступа к ней, но и обеспечивает максимальную защиту от внутренних угроз - от любых даже самых современных вирусов и троянов, предназначенных для хищения информации, что принципиально не может обеспечить ни один из существующих или «создаваемых» антивирусов.

Компания предлагает Вам ознакомиться с возможностями «Информационной системы BOSS» и рассмотреть возможность ее использования, при условии, что данная система будет настроена (учитывать) на всю специфику Вашего бизнеса.

Более подробная информация по возможностям системы приведена в приложении.

При наличии заинтересованности, готовы предоставить дополнительную информацию и провести презентацию проекта в удобное для Вас время

Вашему вниманию представляется взаимосвязанный и взаимодополняющий набор программно-аппаратных средств организации корпоративных систем внутреннего информационного взаимодействия (обмена информацией), которые обеспечивают эффективную защиту конфиденциальной информации:

  • за счет аппаратной авторизации пользователей,
  • за счет высокоэффективного разграничения доступа к конфиденциальной информации на всех этапах ее обработки, хранения и сетевого обмена с авторизованными пользователями.

Под конфиденциальной информацией подразумеваются: документы любой структуры или формата, а так же аудио и видео потоки, которые классифицированы как конфиденциальные и доступ, к которым, разграничен.

Для решении перечисленных задач, и, в зависимости от используемой в компании модели угроз, в «Информационной Системе BOSS» (далее ИС) выделяются три группы программно–аппаратных решений, обеспечивающих информационную безопасность конфиденциальной информации:

  1. Защита от несанкционированного доступа к конфиденциальной информации за счет эффективной процедуры аппаратной авторизации пользователя, а так же, за счет высокоэффективного разграничения доступа к конфиденциальной информации. В том числе и от возможных инсайдерских (внутрикорпоративных) угроз. Для решения данных задач используется миниатюрное программно-аппаратное устройство, физически подключаемое к аппаратным устройствам пользователя.

Структурно данная система состоит из программного модуля,  обрабатывающего конфиденциальную информацию, и, аппаратного «Ключа» пользователя, формирующего одноразовые аутентификационные последовательности (ОТР), а так же выполняющего автономную и автоматическую синхронизацию параметров данного «Ключа» с параметрами «Ключей» возможных получателей документа.

Более подробное описание данной аппаратной части и используемой в них математики выходит за рамки документа.

  1. Формирование доверенной среды для безопасной работы (обработки) с конфиденциальной информацией. Для формирования доверенной среды, предполагается совместное использование уже имеющихся у менеджмента аппаратных устройств (ПК, телефон или смартфон) с преднастроенными специализированными аппаратными устройствами (внешне аналогичными «типовым») но с сертифицированной ОС и преднастроенными средствами сетевой безопасности.
  2. Маскировка/сокрытие, как сетевой активности самого пользователя (факта информационного взаимодействия), так и его абонентов (информационных контрагентов) с которыми осуществлялось информационное взаимодействие. С этой целью на аппаратном устройстве пользователя (желательно в доверенной среде, через которую он выходит в Интернет), устанавливается специализированный ТОR-подобный клиент.

Возможные архитектуры предлагаемых решений.

Используя описанные выше программно–аппаратные средства, возможно, формировать системы хранения или обмена (взаимодействия) конфиденциальной информацией с требуемым параметром и функционалом. Возможно, предложить следующие системы:

  1. Однопользовательские системы работы с файлами. Система защищенного хранения конфиденциальных документов, доступ к которым осуществляется самим пользователем. В данном варианте, доступ к информации осуществляется по физическому подключению к устройству аппаратного «Ключа», при необходимости, на «Ключ» возможно, установить ввод PIN-кода.
  2. Многопользовательские системы работы с файлами, которые предполагают, что подготовленный одним пользователем документ будет прочитан другим заранее заданным пользователем после его авторизации. Данный вариант системы, базируются на той же системе авторизации и разграничения доступа, что и однопользовательские, но могут дополняться коммуникационными системами передачи файлов и системами маскировки/сокрытия сетевой активности.

При использовании встроенных в системы сетевых механизмов взаимодействия, реализовано два способа организации взаимодействия клиентов:

  • архитектура типа «звезда», все взаимодействуют через одну точку – сервер, при этом, доступ к документу получает только заданный получатель, сервер только синхронизирует работу пользователей.
  • архитектура типа «точка-точка» без использования сервера, при этом функции сетевой синхронизации пользователей выполняют сетевые клиенты, установленные у пользователей.

Кроме приведенных выше схем по организации информационного обмена пользователей, возможно, реализовать варианты, при которых сервер не только решает коммуникационные задачи синхронизации пользователей, но и получает, хранит и обрабатывает конфиденциальную информацию, при этом информация на сервере может храниться, как в закрытом, так и в открытом виде. Для открытия и дальнейшей обработки информации на сервере, так же необходимо устанавливать специализированную программно-аппаратную систему со своим аппаратным «Ключом».

  1. Коммуникационные системы, предназначенные для реализации защищенного обмена аудио и видео потоками, а так же обмена текстовыми сообщениями и документами. Данные возможности могут быть реализованы на базе следующих аппаратных устройств пользователя:
  • Телефон – для организации защищенного телефонного общения между авторизованными пользователями.

Специализированный телефон работает совместно с основным телефонным аппаратом пользователя и не требует отдельного телефонного номера и телефонных платежей. Данные телефонные аппараты автоматически синхронизируются между собой и не требуют от пользователя сложных процедур подключения или настройки.

Планшет – для организации защищенного видео и аудио общения между авторизованными пользователями, а так же для обмена текстовыми сообщениями и файлами.

Кроме того позволяет осуществлять конференцсвязь с несколькими авторизованными в системе абонентами.

  • Настольный компьютер (ПК) – для организации защищенного доступа к web-ресурсам (корпоративным системам), а так же видео и аудио общения, обмена текстовыми сообщениями и файлами между авторизованными пользователями.

В «обычной» работе пользователь работает с типовыми возможностями и настройками своего ПК. При необходимости работать с конфиденциальной информацией, осуществляется аппаратное и логическое подключение к основному ПК доверенной среды сформированной в мини-ПК. При завершении работы необходимо сохранить конфиденциальную информацию на носителях или в сети, так как после извлечения «Ключа» вся несохраненная информация, а так же все следы работы и возможные копии документов будут полностью уничтожены.

Описание структурных компонентов

Основу практически всех перечисленных выше систем составляют следующие модули и компоненты, из которых возможно формировать информационные системы с требуемым вам функционалом и возможностями:

  1. Информационный клиент.

Данная компонента является основным элементом любой формируемой ИС и представляет собой программно – аппаратную структуру, которая с минимальными изменениями (настройками) может встраиваться в формируемую ИС. Клиент выполняет две основные функции:

  • аппаратной авторизации пользователя,
  • разграничения доступа пользователей к конфиденциальным документам и к конфиденциальным потокам видео и аудио данных.

Исходная стоимость программно - аппаратной части – 15 000 euro на одного пользователя. В базовый комплект входит требуемое число идентичных (резервных) аппаратных «Ключей».

  1. Сетевой клиент, структурно и функционально аналогичен информационному клиенту, за исключением того, что он устанавливается на сервере, на котором предполагается обработка конфиденциально информации.

Исходная стоимость серверной программно - аппаратной части – 30 000 euro за один сервер. В базовый комплект входит требуемое число идентичных (резервных) аппаратных «Ключей» с usb-интерфейсом. При высоких нагрузках на сервер, возможна замена «Ключа» на устройство с ПЛИС - архитектурой и pciе-интерфейсом.

  1. Программно-аппаратные средства формирования доверенной среды. Данный компонент состоит из аппаратного устройства (т.к. смартфон, планшет или мини-ПК) и сертифицированной ОС с приложениями, необходимыми для обработки конфиденциальной информации. Основная особенность данной ОС в том, что в ней принципиально не могут существовать вирусы или иные угрозы, так как она при каждом старте «поднимается» из эталона, в котором гарантированно отсутствуют локальные угрозы и не декларированные функции.

Исходная стоимость программной составляющей доверенной среды и доработок аппаратной части – 2 000 euro для одного пользователя. Аппаратная часть предоставляется заказчиком в зависимости от его требований.

  1. Программы и приложения, обеспечивающие работу с конфиденциальной информацией. Данные программы не имеют непосредственного отношения к предлагаемой системе, но могут использоваться внутри ее как для формирования/редактирования документов, так и для осуществления информационного обмена между авторизованными пользователями. Состав данных программ и приложений определяется структурой и форматами конфиденциальной информации, которая формируется и циркулирует внутри системы.

Нами предлагается к внедрению (использованию) SKYPE-подобный клиент с открытым кодом (для верификации функционала) который может использоваться для организации коммуникационного общения между авторизованными пользователями.

Исходная стоимость – согласовывается в зависимости от заказа.

  1. ТОR-подобный клиент. Данное приложение устанавливается на устройство, с которого пользователь осуществляет выход в Интернет и выполняет функции маскировки/сокрытия, как сетевой активности самого пользователя (факта информационного взаимодействия), так и его абонентов (информационных контрагентов) с которыми осуществлялось информационное взаимодействие.

Данное приложение функционирует в автоматическом режиме и не требует от пользователя ни специальных знаний и навыков ни сложных настроек.

Исходная стоимость программного модуля – 1 000 euro для одного пользователя.

Приведенные выше функциональные модули и компоненты обладают открытой архитектурой и разработаны или доработаны сотрудниками компании. При необходимости данные компоненты также могут быть модифицированы до требуемого вам функционала или интегрированы с необходимыми системами.

При наличии заинтересованности готовы предоставить дополнительную информацию и провести презентацию работающих прототипов.

 


 

Система Корпоративной Связи «ФинЧат»

Система Корпоративной Связи «ФинЧат» (далее СКС или Система) является специализированным средством защищенного общения между корпоративными пользователями (абонентами) с использованием сети Интернет и предназначена для :

  • защищенного ведения телефонных и видео переговоров (базовая версия),
  • защищенного мгновенного обмена короткими сообщениями (базовая версия),
  • защищенной передачи/обмена документами, различного формата (базовая версия)
  • формирование защищенной Системы Электронного Документооборота (СЭДО), который кроме базовых функций обмена документами, позволяет организовать полный цикл работы с конфиденциальными корпоративными документами (расширенная версия).

Система обеспечивает безлимитное общение между пользователями из любой точки мира, как в режиме «Абонент-Абонент», так и в режиме общения Абонентов в групповых чатах.

СКС «ФинЧат» - программно-аппаратный комплекс, который состоит из:

  1. требуемого числа специально настроенных абонентских мобильных устройств (смартфон, планшет, ноутбук и/или ПК) предоставляемых корпоративным абонентам. Устройство состоит из типового смартфона на котором установлена специализированная ОС на базе Android, ПО самого СКС-месенджера и специализированное ПО обеспечивающее информационную безопасность и блокировку несанкционированной сетевой активности.
  2. специализированных программных серверов размещаемых на аппаратных серверах Заказчика (далее Сервера СКС). В состав Серверов входит комплекс из 6 типов ПО серверов, обеспечивающих синхронизацию работы абонентов (в т.ч. STUN и TURN сервера), а также сервера для хранения и разграничения доступа к зашифрованным сообщениям и документам. Данные сервера полностью разработаны нашей компанией и код, которых может быть представлен Заказчику для аудита на несанкционированные действия (НСД).

Принципиальным отличием СКС «ФинЧат» от широко распространенных интернет мессенджеров (т.к. WhatsApp/Telegram или аналогов) является фактическое обеспечение максимальной конфиденциальности передаваемой корпоративными сотрудниками информации в сочетании с обеспечением высокой мобильности данных сотрудников. А так же возможность хранения всей необходимой информации на своих аппаратных серверах.

Конфиденциальность передаваемой информации обеспечивается, как за счет шифрования/расшифровывания передаваемой информации непосредственно внутри абонентского устройства (без использования каких либо запросов «наружу» к сторонним сервисам) с использованием криптоустойчивых алгоритмов (ГОСТ, или DES, AES ... по выбору Заказчика), так и за счет организации связи, при которой передача конфиденциальной информации осуществляется в режиме «точка-точка», без пере-шифрования конфиденциальной информации на Серверах СКС.

Критически значимая для шифрования информация хранится на устройстве абонента в специализированном защищенном контейнере и никогда не покидает данное устройство. В особой версии реализации СКС «ФинЧат-2» данная информация уже хранится в специализированном крипточипе устанавливаемом в устройстве абонента.

СКС «ФинЧат» сертифицирована регуляторами рынка (РФ) и прошла ряд независимых обследований (в т.ч. в ФСО РФ) на предмет вскрытия возможных каналов утечки информации и наличия архитектурных уязвимостей в двух различных специализированных организациях. Разработчики данной СКС являются официальным вендором ФСО РФ.

По своим функциональным возможностям и организации интерфейсов СКС «ФинЧат» соответствует мировым тенденциям и не уступает системам WhatsApp / Telegram.

Расширенная версия системы «ФинЧат»

Также данная версия комплектации, предполагает расширение базового функционала СКС «ФинЧат» до полнофункциональной защищенной Системы Электронного Документооборота (СЭДО) по организации работы с конфиденциальными корпоративными документами.

Для получения потребителями расширенного функционала СКС, кроме базового варианта абонентских мобильных устройств, необходимо определенным образом подключить к нему устройство-расширения (планшет, ноутбук и/или ПК) см. рис. При этом принципиально (с точки зрения обеспечения требуемого уровня информационной безопасности) нельзя совмещать функционал базового устройства и устройства–расширения. Обоснование данного ограничения выходит за рамки данного документа.

View the embedded image gallery online at:
http://abrb.org/nashi-razrabotki#sigProId3b891336cc

Также данная версия комплектации, допускает, по желанию заказчика, установку в закрытый контур Системы Электронного Документооборота (СЭДО) специализированных приложений, направленных на конфиденциальную работу с документами (подготовка, просмотр, обмен, хранение и их обработка), а также на автоматизацию процедур подготовки и принятие решений, как на базе данных документов, так и результатов их обработки.

Организация работы оборудования в расширенном режиме позволяет формировать многоуровневые контура безопасности, но имеет ряд особенностей и ограничений, информация о которых предоставляется заказчикам в отдельном документе (регламенте).

View the embedded image gallery online at:
http://abrb.org/nashi-razrabotki#sigProId984e86dddc

Сертификат соответствия


Система широкополосной мобильной спутниковой связи

 

Существующие проблемы

При организации широкополосной (ШПС) мобильной спутниковой связи, возможно выделить следующие проблемы:

  • Дефицит спутниковой емкости. Во всем мире (в т.ч. и в РФ) не хватает спутникового ресурса. По данным аналитиков, спрос на 20-30% превышает его доступность на всех космических аппаратах и не снижается, несмотря на кризис.
  • Отставание РФ во внедрении инновационных решений в области систем спутниковой связи (ССС). Отмечается существенное отставание РФ в области разработки, производства и особенно внедрения российских инновационных решений в области организации широкополосной мобильной спутниковой связи.
  • Импортозамещение используемого оборудования в области ССС. В связи с санкционными ограничениями, особенно в области высокотехнологических решений и решений категории «двойного» назначения, отмечается существенный рост спроса на российские разработки ССС, соответствующие современным требованиям.

Предлагаемое решение

В рамках проекта, разработан и реализован инновационный программно -аппаратный комплекс (ПАК) являющийся функциональным аналогом широкополосной спутниковой системы ArcLight (компания ViaSat).

 Инновационность реализованного аналога в том, что на ряду с 

«Базовым» режимом связи, реализующим PCMA (Paired Carrier Multiple Access) уплотнение широкополосного спутникового сигнала (функциональный аналог ArcLight), разработан и реализован

«Скрытый» («маскированный») режим связи, который не только  реализует скрытную передачу сигналов (речевых сообщений и/или цифровых данных) через любые  (в т.ч. чужие) спутники-ретрансляторы , но и скрывает (маскирует) сам факт передачи данных сигналов между абонентами.

Топология предлагаемого решения

  • Топология типа «звезда», состоит из центральной станции (HUB) и многочисленных Мобильных Терминалов (Mobile Terminals/MT).

Данная топология применяется в «Базовом» режиме связи.

  • Топология типа «точка-точка», состоит из идентичных пар Мобильных Терминалов (MT).

Данная топология применяется в «Скрытом» («маскированном») режиме связи.

 

Архитектура предлагаемого решения

Функционал  реализованный в программно-аппаратном комплексе (ПАК) является аналогом (конструктивно это полностью независимая разработка) спутниковой системы связи ArcLight (компании ViaSat) и на практике реализует всю логику  прототипа по формированию и обработке  широкополосного сигнала (ШПС).

Функционал ПАК позволяет формировать и обрабатывать спутниковый сигнал на всех уровнях работы с ШПС, начиная с физического уровня получения сигнала на промежуточной частоте от DUDC и до выдачи IP-пакетов в сеть маршрутизатору, а также в обратную сторону от маршрутизатора до выдачи сигнала в DUDC  (Рис. 3).

Рис. 3. Структурная схема взаимодействия ПАК с инфраструктурой HUB.

В рамках проекта, разработано  две специализации ПАК.  ПАК реализующий функционал формирования и обработки ШПС в MT (ПАК-МТ) и ПАК реализующий функционал  формирования и обработки ШПС в HUB (ПАК-HUB).

Конструктивно, аппаратная часть ПАК формировалась на базе готовых компонентов (плат) российского или зарубежного производства и состоит из одной или нескольких базовых плат c  ПЛИС Virtex-6 (компании Xilinx) и модуля АЦП/ЦАП.

Программная часть ПАК реализует всю логику формирования и обработки  (деформирования) ШПС и в виде прошивки вносится  в ПЛИС аппаратной части.

Дальнейшее развитии Проекта, предполагает перенос всей логики обработки ШПС в ПАК-МТ из ПЛИС  в специализированную микросхему (chip), что позволит снизить стоимость МТ и отказаться от использования зарубежной элементной базы.

Особенности «Базового» режима связи

«Базовый» режим функционирует в топологии «звезда», в котором стандартное приемо-передающее оборудование HUB и МТ удачно сочетается с инновационными  технологиями повышающими эффективность работы CCC, к которым относятся:

  • технология расширения спектра, а также управления методом кодирования и схемой модуляции передаваемого по прямому каналу сигнала (Adaptive Coding, Spreading and Modulation – ACSM) – повышает эффективность работы прямого канала ;
  • технология одновременной передачи данных несколькими абонентами (МТ) на высоких скоростях (Code Reuse Multiple Access - CRMA) – сокращает время ping и задержек, улучшает эффективности работы обратных каналов, что уменьшает затраты на трафик;
  • технология совмещения несущих частот прямого и обратных каналов (Paired Carrier Multiple Access - PCMA).

      Рис. 5. Традиционный метод организации спутниковой связи

Технология PCMA позволяет HUB одновременно передавать ШПС прямого и обратных каналов в одной и той же полосе частот (Рис. 6.), в то время как традиционный метод организации ССС нерационально использует частотный ресурс – HUB и МТ независимо друг от друга используют свои частотны (Рис. 5.).

Используя указанные технологии, ПАК-HUB  позволяет значительно (до двух раз) экономить спутниковый ресурс, а также обеспечивать качественное обслуживание абонентов при большой скорости движения МТ (транспортного средства с МТ) и малом (от 20 см до 45 см) размере антенны МТ.

Используя указанные технологии, ПАК-HUB      обеспечивает передачу сигнала по прямому каналу с пропускной способностью  от 500 кбит/с до 90 Мбит/с  в МТ и прием от МТ по  обратным каналам в HUB с пропускной способностью от 32 кбит/с  до 1 Мбит/с.