Первая часть мероприятия была посвящена организационно-правовым основам и общим сведениям по организации технической защиты информации (ТЗИ). Во второй части основное внимание уделили технологиям шифрования, а также провели презентацию средств ТЗИ.
Криптографическая защита
История криптографии насчитывает около 4 тысяч лет. Первые шифры использовались еще в третьем тысячелетии до н. э. В основном тогда доминировали моноалфавитные шифры, в основе которых лежала замена букв алфавита исходного текста буквами или символами альтернативного алфавита. Примерно с начала второго тысячелетия в обиход были введены полиалфавитные шифры. А уже в середине ХХ века начался новый период — переход к математической криптографии. При этом важным требованием создания нового шифра стало исследование его уязвимости к различным известным атакам в соответствии с линейным и дифференциальным криптоанализом. Стоит отметить, что в ХХ веке появились первые шифровальные машины, например, шифровальная машина Enigma, которая использовалась в коммерческих и военных целях во многих странах мира, но наибольшее распространение получила в нацистской Германии.
До 1975 года в криптографии применялись только симметричные технологии шифрования — с секретным ключом. В последние 40 лет успешно развивается новое направление — криптография с открытым ключом. Её появление знаменуется не только новыми техническими возможностями, но и сравнительно широким распространением криптографии для использования частными лицами. Эра современной криптографии — это применение таких криптоалгоритмов, как Data Encrуption Standard (DES), взятого на вооружение в 1977 году, AES (1997), NESSIE (2000), CryptoRec, SHA-3 (2007) и криптографического алгоритма с открытым ключом RSA (1977). Стоит также отметить недавнюю отечественную разработку — блочный симметричный шифр «Калина», разработанный ЗАО «Институт информационных технологий» г. Харькова.
Даниил Мялковский, заместитель директора Департамента криптографической защиты информации (КЗИ) Администра-ции Госспецсвязи, в своем докладе подвел основные итоги на рынке криптозащиты. Во-первых, отмечается постоянное совершенствование математических механизмов осуществления практических атак, направленных на криптографические механизмы. Во-вторых, правительственные агентства разных стран совершенствуют кибероружие, основываясь на использовании закладок (то есть, незадекларированных функций) в уже созданных системах и перспективных стандартах. В-третьих, ведущие страны для защиты классифицированной информации применяют криптоалгоритмы ограниченного распространения. Таким образом, все криптографические приложения должны разрабатываться очень тщательно, а их исследования необходимо проводить с привлечением независимых высококвалифицированных аналитиков.
Государственная политика в сфере криптографической защиты, по словам спикера, реализуется по следующим направлениям:
• нормативно-правовое регулирование в сфере криптографической защиты информации;
• техническое регулирование в сфере криптографической защиты информации;
• поддержка функционирования и развития криптографической системы;
• координация деятельности органов государственной власти и органов местного самоуправления военных формирований, предприятий, учреждений и организаций в указанной сфере;
• координация деятельности субъектов национальной инфраструктуры открытых ключей электронно-цифровой подписи (ЭЦП);
• лицензирование хозяйственной деятельности в сфере криптографической защиты информации;
• экспортный контроль в сфере криптографической защиты информации;
• научное обеспечение развития криптографической защиты информации.
По инициативе Минюста и Госспецсвязи Министерство экономического развития и торговли Украины приняло европейские и международные нормативные документы в качестве национальных стандартов Украины. Это около 40 нормативных документов, определяющих криптографические механизмы и способы их применения, они вступят в силу с 2016 года. Кроме того, вступили в силу с апреля и июля 2015 новые национальные криптографические алгоритмы, разработанные по заказу Госспецсвязи: ДСТУ 7564:2014 «Информационные технологии. Криптографическая защита информации. Функция хеширования», а также ДСТУ 7624:2014 «Информационные технологии. Криптографическая защита информации. Алгоритм симметричного блочного преобразования» (с 1 июля 2015).
Среди новых задач в сфере технического регулирования и оценки соответствия Даниил Мялковский отметил необходимость совершенствования нормативно-правовых актов технического регулирования, описывающих применение в средствах КЗИ и ЕЦП соответствующих алгоритмов и протоколов, определенных новыми национальными стандартами. Важным является и нормативное определение способов и порядка защиты конфиденциальной информации, которая передается в государственные органы.
Деятельность ведомства по внедрению ЭЦП
Благодаря вышеупомянутым шифрам с открытым ключом стало возможно применение электронно-цифровой подписи. ЭЦП играет важнейшую роль при построении e-government, поскольку данная концепция предполагает предоставление различных услуг гражданам страны через сайт электронных государственных услуг. В этой сфере Госспецсвязь намерена выполнять такие задачи, как техническое регулирование (процесс создания средств КЗИ и их функционирования в составе информационно-телекоммуникационных систем), и координировать деятельность субъектов услуг ЭЦП по вопросам защиты информации. Также ведомство будет выполнять государственный контроль соблюдения субъектами услуг ЭЦП требований законодательства в данной сфере.
Что касается внедрения ЭЦП в деятельность государственного органа, то здесь Госспецсвязь планирует осуществить следующие основные шаги: определить ответственное подразделение для внедрения, администрирования и технической поддержки ЭЦП, утвердить порядок применения ЭЦП в государственном органе с учетом требований Кабмина, заключить договор с АЦСК (Авторизированным центром сертификации ключей) на получение услуг ЭЦП и обеспечить должностных лиц носителями ключевой информации и надежными средствами ЭЦП. Также Госспецсвязь собирается обеспечить выполнение должностными лицами требований по порядку применения ЭЦП.
Физические каналы утечки информации
В любом государстве есть ведомства, работающие с конфиденциальными документами, которые должны быть надежно защищены от посторонних ушей и глаз. В период же обострения политической обстановки или военного конфликта необходимость передачи информации по защищенным каналам приобретает особое значение.
В рамках тренинга Олег Ящук, заместитель директора Департамента госконтроля за состоянием криптографической и технической защиты информации Администрации Госпецсвязи, провел демонстрацию действующих макетов каналов утечки информации. Как известно, технологии «подслушивания» сегодня достигли настолько высокого уровня, что «разговаривать» могут не только стены, но и трубы от радиаторов отопления и водоснабжения, стекла в окнах и даже канцелярские аксессуары в кабинете государственного служащего. Дело в том, что под воздействием акустического сигнала (генерируемого во время разговора) на поверхности твердых тел возникают вибрации. Если их зарегистрировать с помощью сверхчувствительных устройств, то можно прослушать все разговоры внутри помещения. Например, спецслужбы сканируют акустический сигнал с помощью отраженного от стекла окна лазерного луча, или аналогичным образом снимают сигнал с перекидного календаря на столе у госслужащего. При этом шпион может находиться за полкилометра от прослушиваемого помещения.
Утечка информации также возможна по каналам ПЭМИН, эта аббревиатура означает — «побочные электромагнитные излучения и наводки». Любой компьютер или монитор во время работы излучает подобные электромагнитные сигналы. Современные методы разведки с использованием ПЭМИН позволяют перехватить информацию, которая обрабатывается в компьютере, и скрыто передать ее, не оставляя следов местонахождение разведчика.
Защита от «прослушки»
На сегодня в Государственной службе введена система организации и проведения научных исследований, которые осуществляются в основном в формате научно-исследовательских и опытно-конструкторских работ. Одним из ключевых исполнителей научных работ является Государственный научно-исследовательский институт специальной связи и защиты информации, созданный распоряжением Кабмина в 2006 году.
Работы, которые выполняет институт, в основном охватывают создание современных отечественных средств криптографической и технической защиты информации, а также специализированного коммутационного, заключительного и вспомогательного оборудования. Инженерно-технические решения, применяемые в служебном процессе, позволяют внедрять весь технологический цикл создания специальных разработок — «от эскизно-технического решения до опытного образца».
За последние годы специалисты института разработали ряд средств, которые перекрывают пути утечки информации как акустическим способом, так и посредством перехвата электромагнитных излучений. В большинстве случаев принцип их действия построен на создании избыточного «шума» в возможном канале утечки, который сможет полностью перекрыть полезный сигнал.
Так, мобильный комплекс «Гарант-КТЗИ» предназначен для защиты речевой информации от утечки по акустическим и виброакустическим каналам при использовании в помещениях, которые временно служат для конфиденциальных переговоров. Комплекс помещается в небольшом чемодане и содержит модули, генерирующие виброакустический и акустический шум. Все модули являются автономными, работают на батарейках и не требуют внешнего питания. Комплекс «Гарант-КТЗИ» блокирует утечку виброакустической информации через оконное стекло, трубы системы отопления или водоснабжения. Есть также модули, предназначенные для установки в вентиляционных трубах и у дверей, то есть, в любых местах, через которые возможно подслушивание. Принцип их действия основан на генерировании акустического шума в канале.
Для защиты от утечки информации по каналам ПЭМИН предназначен генератор пространственного электромагнитного зашумления «Гарант-ПГШ-У». Данное изделие устанавливается у незащищенного электронного оборудования и создает мощный электромагнитный шум, который блокирует возможную утечку полезной информации.
Другой способ надежной защиты от утечек информации по каналам ПЭМИН — это применение компьютеров в защищенном исполнении. Речь идет о специальных экранирующих футлярах для электронной техники, блокирующих любое электромагнитное излучение. При этом качество защиты должно быть проверено лабораторией, которая имеет соответствующий сертификат на право выполнения таких работ.
