Служба Intel IT недавно завершила анализ технологии по обеспечению сохранности данных (Intel Anti-Theft Technology, Intel AT), реализованной на ноутбуках с процессорами Intel Core vPro 2010 года.
Оригинальная англоязычная версия находится по адресу http://download.intel.com/it/pdf/Evaluatin..._Technology.pdf
• Реализовано на ноутбуках с процессором Intel Core vPro 2010 года.
• Аппаратное отключение с целью сохранения данных в случае, если компьютер утерян или похищен.
• Обеспечивается многоуровневая защита, включая обнаружение утери ноутбука и последующее простое восстановление системы и данных в первоначальное состояние.
Intel AT является аппаратно реализованной технологией, которая помогает обнаружить неисправность или утерю ноутбука, как показано на рисунке 1. Реализована защита ценных корпоративных данных, интеллектуальной собственности, а также самих аппаратных средств. Кроме того, Intel AT дополнительно шифрует жёсткий диск, защищая данные. Это делает хранимую информацию недоступной даже, когда шифровальные ключи скомпрометированы. При создании Intel AT мы тесно сотрудничали с нашим поставщиком средств шифрования, чтобы учесть специфические требования использования продукта в нашей корпорации.
Пояснения к рисунку 1:
Сообщение пользователя об утере
Пользователь сообщает службе техподдержки об утере ноутбука.
Ответ системы Intel AT
Техподдержка отправляет ноутбуку «ампулу с ядом», которая выводит его из строя.
Простое восстановление с помощью Intel AT
Локальный пароль. Если ноутбук удаётся вернуть, на экране появляется специальный интерфейс и пользователь водит пароль для разблокирования ноутбука.
Ключ восстановления. Специалист службы техподдержки генерирует одноразовый буквенно-цифрового ключ и отправляет его на ноутбук для восстановления системы и данных в исходное состояние.
Для анализа продукта мы также сотрудничали с группой разработки Intel AT и поставщиком средств шифрования, чтобы проверить работу технологии на нашей беспроводной ЛВС (WLAN), ЛВС и виртуальной частной сети (VPN). Мы моделировали различные ситуации, в которых специалист службы техподдержки должен суметь заблокировать утерянный сотрудником ноутбук.
Результаты нашего анализа показывают, что Intel AT улучшит защиту корпоративных ноутбуков, а также данных и интеллектуальной собственности. Мы планируем в ближайшем будущем те же функции протестировать в мобильных сетях 3G.
Корпоративная проблема
Каждый год в мире теряется около 2 миллионов ноутбуков, и 97% из них не возвращаются к хозяевам, это является серьёзным убытком для предприятий с точки зрения стоимости аппаратных средств и, что ещё более важно, злоумышленники могут завладеть данными и интеллектуальной собственностью, хранящимися на носителях утраченного ноутбука.
Intel IT анализирует, как отражается на деятельности предприятия потери и кражи ноутбуков, находящихся в собственности компании. Мы исследуем инструменты и методы, которые помогли бы избежать этих рисков. Нас интересует роль Intel AT в этом процессе.
Описание Intel AT, требования и особенности
В декабре 2008 года мы начали работать с продуктом Intel AT, чтобы оценить его. В 2009 году группа разработки предложила сотрудничать с нашим поставщиком шифрования с целью определения оптимальной архитектуры для использования Intel AT в корпоративной среде.
Мы очень тесно сотрудничали с поставщиками, проводили многочисленные совещания по вопросам планирования для выработки требований к продукту корпоративного уровня. Эти совещания были посвящены таким темам, как:
• Как и где управление Intel AT будет вписываться в сети предприятия.
• Требования к безопасности, связанные с доступом контроля и регистрации событий.
• Корпоративные требования, в том числе, к масштабируемости, чтобы Intel AT удовлетворяла потребности максимально большего числа клиентов.
• Иерархической интерфейс управления для установления политик и отчётности.
Объединенная команда также обсуждала, как компании, которые не находятся на аутсорсинге или используют технологию по сохранности данных через внешнего поставщика сервисов, использовали бы Intel AT.
Краткий обзор технологии Intel Anti-Theft
Intel AT может уменьшить потери, связанные с утерей ноутбука, обеспечивая многоуровневую защиту устройства и хранимых на нём данных.
ОБНАРУЖЕНИЕ КРАЖИ
Когда пользователи сообщают, что ноутбук был украден, персонал службы технической поддержки может послать специальную команду, по получении которой ноутбук полностью блокируется. Intel IT может также использовать программные анализаторы, позволяющие обнаружить подозрительное поведение и произвести «слабую» блокировку ноутбука. Intel AT в зависимости от ситуации действует тремя способами:
• Пользователь сообщает об утере ноутбука. Владелец ноутбука связывается со службой техподдержки, специалист отправляет «ампулу с ядом», чтобы привести ноутбук в нерабочее состояние. «Ампула с ядом», отправленная в форме зашифрованной SMS-ки, может быть передана ЛВС, WLAN, или мобильной сети 3G.
• Обнаружение несанкционированного вмешательства, используя средства анализа, установленные на ноутбуке. В случае подозрительной деятельности, такой как многочисленные неудачные попытки начать работу в сети или более длинному чем обычно количеству затраченного времени для аутентификации пользователя, ноутбук сам, без вмешательства службы техподдержки, приводит себя в неработоспособное состояние.
• Обнаружение необычного поведения, используя местный «таймер рандеву». Если ноутбук не начинает работу к сети в пределах промежутка времени, установленного политикой (например, не включался более суток), он также приводит себя в неработоспособное состояние.
Intel AT может заблокировать загрузку ОС даже если жёсткий диск заменён или переформатирован. Intel AT может также использоваться, чтобы закрыть доступ к шифровальным ключам данных и доступ к ценным данным на жёстком диске, даже если диск установлен на другой компьютер.
ПРОСТОЕ ВОССТАНОВЛЕНИЕ
Выведенный из строя ноутбук может вывести на монитор сообщение с контактной информацией, чтобы помочь возвратить аппарат его законному владельцу. Как только ноутбук вернулся в руки своего владельца, он может быть восстановлен без повреждения аппаратных средств или данных с использованием одного из двух методов:
• Локальная кодовая фраза. Пользователи устанавливают сложную кодовую фразу заранее, в начале работы с ноутбуком, чтобы использовать её в специальном интерфейсе перед входом в систему.
• Ключ восстановления. Специалист техподдержки генерит одноразовый алфавитно-цифровой ключ и предоставляет его пользователю.
ПРОТИВОДЕЙСТВИЕ НЕСАНКЦИОНИРОВАННОМУ ВМЕШАТЕЛЬСТВУ
Intel AT предоставляет несколько средств, которые мешают попыткам обойти его защиту. Как только Intel AT был активирован в BIOS, установил соответствующую «прошивку» (микрокод, firmware) и зарегистрировался на центральным пульте службы техподдержки, он будет продолжать выполнять свои функции, даже если BIOS будет обнулён или удалена питающая его батарейка. Такие особенности значительно усложняют злоумышленникам получение доступа к данным.
ТРЕБОВАНИЯ К СИСТЕМЕ
Intel AT доступен на ноутбуках с процессорами Intel Core vPro 2010 года.
Оценка технологии
Работая вместе с группой разработки продукта и нашим поставщиком шифрования, мы проверили различные особенности Intel AT на наших сетях WLAN, ЛВС, и VPN. Мы также проводили коллективное обсуждение других вариантов использования технологи, целесообразности инвестирования в исследования, и обсуждали потенциальную интеграцию Intel AT с другими системами безопасности предприятия.
Наша оценка была основана на моделируемой ситуации, в которой пользователь связывается со службой техподдержки и сообщает об украденном ноутбуке. В ответ специалист службы техподдержки со своей консоли отправляет на ноутбук «ампулу с ядом». «Ампула с ядом» отключает доступ к шифровальным ключам, удаляя критический шифровальный ключ, прописанный на чипсете. Мы также проверили восстановление выведенного из строя ноутбука, используя и локальную парольную фразу, и удалённый одноразовый ключ восстановления, чтобы восстановить доступ к шифровальным ключам.
ТЕСТОВАЯ СИСТЕМА И КОНФИГУРАЦИЯ
Мы успешно активизировали, сконфигурировали, и зарегистрировали Intel АT на большом количестве систем.
• Активация. Первым шагом была проверка того, чтобы у каждого тестируемого ноутбука был соответствующий уровень BIOS. При этом условии мы можем через BIOS настроить Intel AT.
• Конфигурация. Мы проверили, чтобы в каждом тестируемом ноутбуке были корректные прошивки соответствующих компонентов. Мы устанавливали Intel AT на ноутбуках нескольких производителей под разными операционными системами.
• Регистрация. Мы получили ключ лицензии для каждой инсталляции продукта при использовании консоли нашего поставщика шифрования и установили связь с центром лицензирования Intel. Это получилось легко; мы также проверили удаление регистрации и перерегистрацию ноутбука.
Это позволило нам определить уровень сложности, выпадающий на долю пользователей, приступающих к эксплуатации Intel АT. Мы также смогли формализовать действия, которые должны выполнять пользователи, получающие новые ноутбуки с Intel AT.
ПОДВЕДЕНИЕ ИТОГОВЫХ ОЦЕНОК
Мы успешно протестировали основные возможности Intel АT.
• «Ампула с ядом». Мы моделировали кражу ноутбука, чтобы вызвать различные реакции Intel AT. Мы отправляли зашифрованное сообщение SMS в «украденный» ноутбук, чтобы вывести его из строя.
• Локальная система анализа поведения. Мы моделировали ситуацию, когда пользователь затрачивал чрезмерное время на аутентификацию, после чего, как и ожидалось, ноутбук прекращал функционировать.
• Локальный «таймер рандеву». Мы моделировали ситуацию, когда пользователь не начинал работу в течение установленного периода времени, и также наблюдали выведение ноутбука из строя.
• Локальная кодовая фраза. Мы использовали локальную кодовую фразу для восстановления работоспособности ноутбука пользователем после его блокировки локальной системой анализа поведения и «таймером рандеву».
• Код восстановления. Мы моделировали обнаружение потерянного или украденного ноутбука и отправку службой техподдержки одноразового кода восстановления для возвращения ноутбука в первоначальное состояние.
Мы также проверили возможность настройки гибкой «противоугонной политики», изменяя параметры настройки системы анализа поведения и «таймеров рандеву», как показано на рисунке 2. После того, как ноутбук помечен как «украденный», возможны следующие реакции:
• Блокировка доступа к зашифрованным данным путём удаления критического шифровального ключа, записанного на чипсете;
• Блокировка ноутбука, включая процесс его загрузки;
• Блокировка ноутбука и доступа к данным.
Пояснения к рисунку 2:
Специалист службы техподдержки может применить гибкую политику на компьютере пользователя. Если ноутбук будет утерян или украден, он сможет самозаблокироваться.
Пользователь ноутбука. Программируемая реакция может включать:
• Отключение доступа к зашифрованным данным, отключение доступа к ключу шифрования установленному на чипсете.
• Блокировку процесса загрузки компьютера.
• Отключение как загрузки ноутбука, так и доступа к данным.
Локальные средства защиты позволяют ноутбуку самостоятельно отключить себя в случае подозрительной активности, такой, как многочисленные попытки подключения к сети или слишком большое время аутентификации пользователя.
Локальный «таймер рандеву» отключает ноутбук, если он не подключится к сети в течение определённого периода времени.
Мы планируем проверить эти возможности и параметры настройки политики по сети 3G в ближайшем будущем.
Заключение
Служба Intel IT активно сотрудничает с группой разработки продукта Intel AT и c поставщиком системы шифрования, что очень важно для развития Intel AT. Мы убедились, что этот продукт способен усилить защиту наших данных и нашей интеллектуальной собственности.
Шифрование жёсткого диска – это правильный подход к обеспечению безопасности данных. Способность Intel AT сделать недоступными шифровальные ключи улучшает защиту зашифрованных данных. При использовании Intel AT шифровальные ключи могут быть ликвидированы удалённо: как по команде службы техподдержки, так и автоматически. Без шифровальных ключей нет никакого способа, которым неправомочный пользователь может получить доступ к данным. Что ещё более важно, в отличие от программных «противоугонных» решениях, Intel AT использует аппаратные средства и позволяет восстанавливать шифровальные ключи.
Источник: Intel IT Galaxy
