Функции и особенности настройки компонента ViPNet Administrator

Воронежский институт МВД России Кафедра информационной безопасности УТВЕРЖДАЮ Заместитель начальника кафедры информационной безопасности полковник полиции А.В. Мельников «___» ___________ 2018 г. Тезисы лекции по программе повышения квалификации сотрудников подразделений территориальных органов МВД России по теме: «ПАК ViPNet Coordinator HW1000/2000, правила эксплуатации и обработки информации» (c использованием системы дистанционных образовательных технологий) Блок дистанционного обучения в системе MOODLE Тема №2. «Защита каналов связи ИМТС МВД России с помощью программно-аппаратной технологии ViPNet» Лекция №5. «Функции и особенности настройки компонента ViPNet Administrator» Подготовил: старший преподаватель кафедры информационной безопасности подполковник полиции С.В. Зарубин Обсуждены и одобрены на заседании методической секции кафедры информационной безопасности протокол № __ от _______ 2018 г. Обсуждены и одобрены на заседании кафедры информационной безопасности протокол № __ от _______ 2018 г. Воронеж 2018 1. Продуктовая линейка ViPNet. ViPNet - это продуктовая линейка, представляющая собой конструктор защищенных сетей, который предлагает решение полного спектра задач по организации VPN и PKI. Продукты, входящие в состав ViPNet, на регулярной основе проходят сертификацию по требованиям ФСБ и ФСТЭК России к средствам защиты информации ограниченного доступа (конфиденциальной информации), включая персональные данные. Это позволяет использовать данные продукты как в коммерческих, так и в государственных компаниях и организациях. ViPNet позволяет организовывать защиту информации в крупных сетях (от нескольких десятков до десятков тысяч сетевых узлов - рабочих станций, серверов и мобильных компьютеров) и нацелен на решение двух важных задач информационной безопасности: • создание защищенной, доверенной среды передачи информации ограниченного доступа с использованием публичных и выделенных каналов связи (Интернет, телефонные и беспроводные линии связи) путем организации виртуальной частной сети (VPN) с одним или несколькими центрами управления; • развертывание инфраструктуры открытых ключей (PKI) с организацией удостоверяющего центра с целью использования механизмов электронной подписи в прикладном программном обеспечении заказчика (системах документооборота и делопроизводства, электронной почте, банковском программном обеспечении, электронных торговых площадках и витринах), с поддержкой возможности взаимодействия с PKI-продуктами других отечественных производителей. С использованием ViPNet могут разрабатываться решения по защите информации, требующие разработки (доработки) функционала компонентов комплекса по требованиям заказчика. Продукты ViPNet рассчитаны на применение в самых разнообразных условиях современных мультисервисных сетей связи - от локальных сетей с несколькими десятками компьютеров до глобальных, географически распределенных сетей передачи данных, включающих в себя десятки тысяч сетевых узлов с применением Интернета в качестве транспортной среды. Все продукты ViPNet предназначены для работы в составе единого комплекса средств защиты информации ViPNet. Автономное применение данных продуктов не предусматривается. Все продукты можно разделить на: • ПО, предназначенное для реализации функций управления защищенной сетью. Это программы: • ViPNet Administrator, • ViPNet State Watcher, • ViPNet PolicyManager, • ViPNet Publication Service, • ViPNet Registration Point; • серверные продукты: • ViPNet Coordinator (Windows), • ViPNet Cluster (Windows), • ViPNet Coordinator (Linux), • ViPNet Failover (Linux) • ПАК ViPNet Coordinator HW100, • ПАК ViPNet Coordinator HW1000, • ПАК ViPNet Coordinator HW2000, • ПАК ViPNet Coordinator HW-VPNM, • ПАК NME-RVPN ViPNet; • клиентское ПО: • ViPNet Client, • ViPNet Terminal, • ViPNet SafeDisk-V, • ViPNet Client Android, • ViPNet Client iOS, • ViPNet CryptoService. Ниже схематично представлена совместимость программного обеспечения с операционными системами. Для решения задачи обеспечения защищенного взаимодействия непосредственно между компьютерами в большой распределенной сети в системе должны присутствовать как минимум 3 обязательных элемента: ПО ViPNet Administrator, ПО ViPNet Coordinator, ПО ViPNet Client. Сертификация. Сертификат соответствия ФСТЭК России N 1549/1 от 26.05.2010 г. на программный комплекс ViPNet 3.1 по требованиям РД Гостехкомиссии по 3-му классу защищенности для межсетевых экранов, 3- му уровню контроля отсутствия НДВ и оценочному уровню доверия ОУД4+, допускается применение в АС до класса 1В включительно и ИСПДн до 1-го класса включительно. Рис. 1. Совместимость ПО ViPNet и ряда операционных систем. 2. ViPNet Administrator 3.x. ViPNet Administrator - это базовый программный комплекс для настройки и управления защищенной сетью, входящий в состав ViPNet и включающий в себя: • ViPNet Центр управления сетью (ЦУС) - программное обеспечение, предназначенное для конфигурирования сети и управления виртуальной защищенной сетью ViPNet; • ViPNet Удостоверяющий и ключевой центр (УКЦ) - программное обеспечение, которое выполняет функции центра формирования ключей шифрования и персональных ключей пользователей - ключевого центра, а также функции удостоверяющего центра. Управляющее ПО ViPNet разделено на два компонента, отвечающие за разные аспекты его функционирования, в целях повышения безопасности. При этом ни тот, ни другой компоненты администрации по отдельности не могут оказать существенного влияния на функционирование сети, то есть возможности несанкционированного доступа к информации пользователей администратором сведены к минимуму. Сертификация. Сертификат ФСБ России № СФ/111-1922 от 20 августа 2012 г. на соответствие средства криптографической защиты информации (СКЗИ) «Домен-КМ» требованиям к СКЗИ класса КСЗ. Допускается применение программы для защиты ИСПДн до 1-го класса включительно. 2.1. ViPNet Центр управления сетью (ЦУС). Основные функциональные возможности. Программа ViPNet Центр управления сетью (ЦУС) предназначена для создания структуры сети ViPNet, мониторинга и управления объектами сети. Пользователя, отвечающего за конфигурирование и управление сетью ViPNet, будем называть администратором ЦУСа (далее администратор). Программа Центр управления сетью позволяет администратору исполнять следующие основные функции: • регистрацию сетевых узлов (СУ) и пользователей сети ViPNet; • регистрацию СУ в различных прикладных задачах ViPNet; • задание полномочий и связей; • задание IP-адресов и других сетевых параметров; • формирование справочников СУ; • взаимодействие с УКЦ; • взаимодействие с центрами регистрации (обработка запросов, сформированных в ViPNet Центр регистрации); • взаимодействие с ЦУСами других сетей ViPNet для организации межсетевого обмена; • экспорт межсетевой информации в доверенные сети и получение импорта из данных сетей; • централизованную рассылку на СУ обновлений справочников и новой ключевой информации; • централизованную рассылку на СУ обновлений программного обеспечения ViPNet; • управление конфигурацией сети ViPNet. Имена сетевых узлов и пользователей могут содержать только буквы русского или английского алфавита. Конфигурирование сети ViPNet в ЦУСе происходит в соответствии с имеющейся лицензией для данной сети (файл Infotecs.reg). В лицензии указаны различные параметры сети: название, номер сети, срок действия лицензии (при наличии ограничения на срок), ограничение на число СУ, пользователей, туннелируемых адресов и другие параметры структуры сети, которые разрешено задать в ЦУСе данной сети. Также в лицензии указаны ограничение на номер используемой версии ПО ViPNet, список лицензированных прикладных задач и число СУ, которое можно зарегистрировать в каждой из задач. Файлы лицензии Infotecs.reg (необходим только для ЦУС) и Infotecs.rе (необходим для ЦУС и остальных программ ViPNet) включены в комплект поставки ПО ViPNet или могут передаваться продавцом отдельно. Объединение Центров управления сетью разных сетей в иерархическую систем. Центры управления сетью нескольких сетей ViPNet могут быть объединены в иерархическую систему Центров управления сетью. Это означает, что ЦУС какой-либо сети ViPNet (назовем такую сеть и ЦУС головными) может управлять Центрами управления сетью других сетей ViPNet (назовем такие сети и ЦУС подчиненными). Необходимость в создании такой системы может потребоваться, например, в следующем случае. Организация (как правило, с большим количеством объектов, требующих сетевой защиты), имеющая основной офис и несколько удаленных филиалов, приобретает ПО ViPNet и планирует развернуть отдельные сети ViPNet для основного офиса и каждого филиала. Все сети ViPNet планируется связать между собой для осуществления межсетевого взаимодействия. При этом существует потребность из сети основного офиса управлять лицензиями на конфигурацию сетей ViPNet филиалов (в рамках лицензионных ограничений для всей организации) и контролировать текущую структуру сети филиалов. Для объединения Центров управления сетью в иерархическую систему необходим специальный общий файл лицензии. В этом файле указаны суммарные лицензионные ограничения на головную и подчиненные сети ViPNet, а также номера головной и подчиненных сетей. Файл помещается в папку установки ЦУС, который планируется сделать головным. Головной ЦУС в дополнение к основным функциям ЦУС обеспечивает следующие возможности: • централизованное управление лицензиями своей сети и подчиненных сетей в рамках выданной общей лицензии; • централизованный контроль количества используемых лицензий и структуры сети ViPNet в подчиненных сетях. Также существует возможность разделения уже существующей сети на отдельные сети, взаимодействующие на межсетевом уровне. Топология сети: основные понятия сетевого уровня. Сетевой узел - это отдельный абонентский пункт или сервер-маршрутизатор. Каждый абонентский пункт (АП) для почтовых приложений подключается к одному серверу-маршрутизатору (СМ), который обеспечивает маршрутизацию почтовых пакетов от пользователя-отправителя к пользователю-получателю. Серверы-маршрутизаторы для обмена информацией могут соединяться между собой логическими каналами по произвольной схеме. Такие каналы называются межсерверными. Почтовые и служебные сообщения будут проходить от сервера к серверу по кратчайшему маршруту. При построении VPN-сети взаимодействие абонентских пунктов с СМ, зарегистрированными в задачах «Защита IР-трафика», и серверов между собой определяется связями, установленными и ViPNet ЦУС. Несколько сетевых узлов могут быть объединены в сетевую группу. Сетевая группа - это совокупность сетевых узлов, которые должны иметь возможность связываться друг с другом. Сетевые объекты - это совокупность сетевых узлов и сетевых групп. Каждый сетевой объект (узел или группа) имеет уникальный сетевой адрес. Сетевой адрес имеет размер 8 байтов. В него входят (слева направо): • поле селекторов - 2 байта; • номер сети - 2 байта; • номер СМ - 2 байта; • номер АП в области данного СМ - 2 байта. Таким образом, структура сетевого адреса позволяет иметь до 65 535 сетей ViPNet, не пересекающихся по сетевым адресам. В каждой сети может быть размещено до 65 535 СМ, к каждому из которых может быть подключено до 65 535 АП. При продаже сетевого программного обеспечения сети ViPNet, включающего программу ViPNet Центр управления сетью, этой сети в лицензии присваивается уникальный номер. Различные сети ViPNet могут взаимодействовать между собой после взаимного обмена необходимой сетевой и криптографической информацией. Наряду с сетевым адресом каждый сетевой объект (узел или группа) имеет уникальный 9-символьный шестнадцатеричный сетевой идентификатор. Первые 4 символа - шестнадцатеричный номер сети, следующие 4 символа - шестнадцатеричный идентификатор объекта в рамках сети, последний символ = ‘0’ для сетевых узлов и ‘1’ для сетевых групп. В рамках одной сети сетевым объектам дается сквозная нумерация вне зависимости от принадлежности к конкретной области сервера. Рис 2. Построение сетевой структуры ViPNet-сети в ЦУСе Топология сети: основные понятия прикладного уровня Прикладная задача (ПЗ) - это совокупность программных средств, предназначенных для решения целевых и служебных задач сети. В настоящей версии поддерживаются следующие ПЗ: Деловая почта, Центр управления сетью, Ключевой центр, Защита трафика, Сервер IP-адресов, Центр регистрации, Секретный диск и др. Каждой ПЗ присвоен уникальный 4-символьный шестнадцатеричный идентификатор, который включается в транспортные конверты, формируемые в рамках этих задач. Один сетевой узел ViPNet может быть зарегистрирован в нескольких прикладных задачах. По идентификатору ПЗ в транспортном конверте прикладная программа ViPNet определяет, что конверт адресован именно ей. Регистрация АП в конкретных прикладных задачах является обязательной процедурой в процессе создания сети. Эта процедура определяет, какие прикладные программы могут быть установлены на том или ином сетевом узле. Если СМ должен выполнять другие функции (сервер IP-адресов и др.) или на нем должен быть установлен драйвер сетевой защиты, его также необходимо зарегистрировать в соответствующей задаче. Возможность регистрации нужного числа узлов в конкретных задачах определяется лицензионным файлом, предоставляемым ОАО «ИнфоТеКС» при поставке ЦУСа. Если какой-либо АП не будет зарегистрирован ни в одной прикладной задаче, то он не появится в адресных справочниках. Рис. 3. Окно «Групповая регистрация сетевых узлов в прикладных задачах» Для СУ, зарегистрированных в задачах Защита трафика, Деловая почта, КриптоСервис, можно произвести настройки полномочий пользователя. Полномочия пользователя ViPNet - это права пользователя сетевого узла (АП или СМ) по изменению настроек в различных приложениях ПО ViPNet (совокупность настроек определяет функциональность ПО). Допустимость действий пользователя определяется уровнем полномочий. Уровень полномочий для каждого узла ViPNet задается программой ЦУС. Существуют четыре уровня полномочий, три из которых определяются цифрой, а именно: уровень 0 - минимальные полномочия, уровень 1 - средние полномочия и уровень 2 - максимальные полномочия. Четвертый уровень называется уровнем специальных полномочий и имеет несколько значений, каждое из которых определяется специальным символом (цифра или буква). Полномочия максимального уровня не имеют ограничений по использованию функций ПО пользователем. Полномочия, определяемые другими уровнями, ограничивают работу пользователей с ПО. Все ограничения, накладываемые полномочиями среднего, минимального и специального уровней, снимаются при вводе пароля администратора сетевого узла ViPNet или пароля администратора сетевой группы «Вся сеть». Рис. 4. Настройки полномочий в ЦУС ЦУС задает полномочия пользователя, работающего на: • АП и СМ, зарегистрированных в прикладной задаче Защита трафика. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность ПО ViPNet Client или Coordinator [Монитор] и ViPNet [MFTP]; • АП, зарегистрированных в прикладной задаче Деловая почта. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность программы ViPNet Деловая почта, входящей в состав ПО ViPNet Client; • АП, зарегистрированные в прикладной задаче Криптосервис. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность ПО ViPNet CryptoService. Пользователем сети ViPNet называется владелец ключей пользователя для доступа в сеть. Пользователь несет всю полноту ответственности за действия, производимые в сети с использованием его ключей пользователя. Имя пользователя (56 символов) должно быть уникальным в сети. При необходимости это имя можно изменять. При регистрации пользователя автоматически создается уникальный 8 - символьный шестнадцатеричный идентификатор пользователя. Пользователь может регистрироваться в составе одного или нескольких коллективов на одном или нескольких сетевых узлах. Отправителями и получателями почтовых сообщений в сети являются коллективы, в состав которых входят пользователи, имеющие одинаковые права. Поэтому на каждом сетевом узле (в том числе СМ) обязательно должен быть зарегистрирован хотя бы один коллектив, а в нем - хотя бы один пользователь. На одном сетевом узле (АП) может быть создано несколько различных коллективов, имеющих свои ключи для шифрования конфиденциальной информации. Коллектив - это совокупность пользователей одного сетевого узла, имеющих одинаковые ключи для шифрования конфиденциальной информации. Каждый коллектив имеет уникальный 13-символьный шестнадцатеричный идентификатор, составленный из 4-символьного шестнадцатеричного идентификатора типа коллектива и 9-символьного шестнадцатеричного идентификатора сетевого узла. Включение пользователя в коллектив означает, что пользователь может расшифровать конфиденциальную информацию, отправленную этому коллективу или любому пользователю этого коллектива. Коллектив появляется в адресных справочниках АП, если в нем зарегистрирован хотя бы один пользователь. Если на нескольких сетевых узлах должны быть коллективы с одинаковым именем и имеющие возможность связываться друг с другом, то такие сетевые узлы объединяются в одну сетевую группу, а на этой группе можно зарегистрировать один тип коллектива. Если тип коллектива зарегистрирован на одном АП, то этот тип коллектива совпадает с коллективом данного АП. Тип коллектива (ТК) регистрируется на определенном одном сетевом объекте (узле или группе). Этот сетевой объект называется областью действия ТК. При регистрации ТК ему автоматически выделяется уникальный 4-символьный шестнадцатеричный идентификатор. Это означает, что в сети допускается регистрация 65 536 различных ТК. Регистрация ТК в сетевой группе означает автоматическую регистрацию коллективов этого типа на всех узлах и подгруппах этой сетевой группы. Это также означает, что коллектив определенного типа, действующий на одном сетевом объекте, имеет связь с любым коллективом этого же типа на любом другом сетевом объекте из области действия этого ТК. Связь между коллективами означает, что эти коллективы видят друг друга в адресных справочниках своих АП и могут связываться между собой с помощью шифрованной связи на уникальных парных ключах, то есть эту операцию могут осуществить любые пользователи, входящие в соответствующие коллективы. Связь между коллективами означает также, что в ключах узлов, на которых зарегистрированы данные коллективы, будут присутствовать ключи связи между АП данных коллективов. Для связи с СМ, на которых зарегистрированы данные АП, в ключи соответствующих узлов ключи транспортного уровня заносятся автоматически. Рис. 5. Понятия адресной и прикладной администрации В ключи узла АП с ЦУС автоматически, независимо от установленных связей, заносятся транспортные ключи для связи со нсеми объектами сети (АП и СМ). Связь между коллективами может появиться, только если они не пустые, то есть после регистрации в каждом из них хотя бы одного пользователя. Связь между коллективами типа G1 с областью действия N1 и коллективами типа G2 с областью действия N2 автоматически означает, что коллектив типа G1 на любом сетевом объекте N1i из области действия группы N1 имеет связь с любым коллективом типа G2 на любом сетевом объекте N2j из области действия N2. При регистрации ТК вводится имя длиной до 50 символов. Это имя должно быть уникальным в сети. По желанию это имя можно изменять. Удаление ТК означает удаление его из каталога типов коллективов. При создании каталога типов коллективов в него автоматически включается ТК с идентификатором «0000», именем «Пользователь Деловой почты» и областью действия «Вся сеть», имеющей идентификатор «0000». Ключи коллектива этого типа используются для шифрования сообщений, адресуемых АП в целом, то есть всем пользователям данного АП. Если пользователь входит в несколько коллективов, то среди них всегда выделяется один коллектив, называемый главным. Новые ключи пользователя отправляются только на тот АП, где зарегистрирован главный для данного пользователя коллектив. На другие АП ключи пользователя переносятся им самостоятельно. Рис. 6. Связи между пользователями и ТК Коллективы могут быть открытыми и скрытыми для данного пользователя. Если коллектив определен как открытый для пользователя, то другие пользователи могут видеть его в этом коллективе в адресном справочнике АП. Если коллектив определен как скрытый для пользователя, то другие пользователи не будут знать, что он входит в этот коллектив, хотя такому пользователю доступна вся информация, адресованная пользователям данного коллектива. Разграничение доступа к конфиденциальной информации. Регистрацией коллективов на АП и пользователей в них обеспечивается возможность разграничения доступа к шифрованной информации на различных АП. В программе Деловая почта можно обеспечить неограниченное количество уровней доступа к конфиденциальной зашифрованной информации, хранящейся на АП и передаваемой по каналам связи. С этой целью на каждом АП может быть зарегистрировано несколько разных коллективов, не имеющих доступа к конфиденциальной информации друг друга. В составе каждого коллектива регистрируются пользователи, имеющие одинаковый уровень доступа. Если есть необходимость запретить доступ к конфиденциальной информации некоторого пользователя, то он должен присутствовать в коллективе в единственном числе. Каждый пользователь может быть зарегистрирован в одном или нескольких коллективах на одном или нескольких АП. В соответствии с этим пользователь получает на этих АП доступ к поступившей зашифрованной информации, предназначенной пользователям коллективов, в которых зарегистрирован данный пользователь, и не имеет доступа к зашифрованной информации других коллективов. Этот пользователь имеет также доступ к поступившей зашифрованной информации, адресованной абонентским пунктам в целом, на которых он зарегистрирован. Пользователь может быть зарегистрирован в коллективе явно - и тогда он виден в справочнике соответствующего коллектива. Однако некоторые пользователи могут быть зарегистрированы в коллективе и быть при этом скрытыми для него, то есть такие пользователи не видны в справочнике этого коллектива, но имеют доступ к засекреченной информации, адресованной данному коллективу. Эта возможность удобна для обеспечения доступа руководителя организации ко всей конфиденциальной информации некоторых АП. Шифрование информации производится на ключах коллектива, в которые входит пользователь. Если пользователь зарегистрирован в нескольких коллективах, то шифрование информации производится на ключах одного коллектива, имеющего связь с выбранным адресатом. Выбор коллектива, на ключах которого будет производиться шифрование, осуществляется пользователем в окне Настройка параметров безопасности на вкладке Шифрование. Таким образом, зашифрованную информацию на АП, где шифровалось сообщение, смогут прочитать только пользователи этого коллектива. При рассылке новой ключевой информации для действующих пользователей ключи пользователей всегда высылаются на тот АП, где зарегистрирован главный для данного пользователя коллектив. Поэтому внимательно отнеситесь к регистрации главного коллектива для конкретного пользователя. Для работы на АП пользователя, для которого коллектив, зарегистрированный на этом АП, не является главным, пользователь должен приносить с собой ключи пользователя (папку Key_Disk) с АП, на котором зарегистрирован главный для него коллектив. Рис. 7. Многоуровневая адресация в программе ViPNet Деловая почта При отправке зашифрованных документов производится их перешифрование на ключах в соответствии с выбранным адресом. Регистрация пользователя в коллективах нескольких АП означает, что этот пользователь получает возможность войти в прикладную программу на данных АП и получить доступ к информации в соответствии с тем, как это указано выше. Справочники для СУ. По окончании первоначального формирования структуры сети ViPNet и настройки различных параметров, а также после любых изменений в конфигурации сети в ЦУС для всех новых узлов, а также узлов, которых коснулись изменения, должны быть сформированы специальные файлы - справочники сетевых узлов, справочники для УКЦ: • справочники АП и СМ - набор защищенных файлов для соответствующего узла, определяющих: • список пользователей, которым разрешена работа на данном узле; • список коллективов пользователей данного узла; • список других узлов, пользователей и коллективов пользователей, с которыми разрешено защищенное взаимодействие для данного узла; • ограничения режимов работы и прав пользователей данного узла по изменению настроек на нем; • список приложений ПО ViPNet, использование которых разрешено на данном узле; • настройки данного узла для его работы в конкретных условиях ТСР/IР-сети. В состав справочников СМ дополнительно входят маршрутные таблицы, которые определяют дальнейший путь почтовых конвертов, полученных данным СМ с других узлов. • справочники для УКЦ - набор файлов, созданных ЦУСом, на основании которых УКЦ формирует все ключи для узлов и конкретных пользователей сети ViPNet, обеспечивающие шифрование информации в соответствии с заданным адресным пространством для данного узла. Рис. 8. Информационное окно «Формирование всех справочников» в ЦУСе Справочники сетевых узлов, а также ключи для каждого узла и пользователя входят в состав защищенных дистрибутивов ключей пользователей, используемых для первоначального развертывания ПО ViPNet на СУ, и в дальнейшем после различных изменений обновляются дистанционно из ЦУСа. Организация межсетевого взаимодействия. Между двумя различными сетями ViPNet может быть организовано межсетевое взаимодействие. В этих целях в программе ЦУС предусмотрены специальные меры по формированию экспортных данных для ЦУС других сетей и импорта данных от других ЦУС. Обмен информацией между пользователями двух различных сетей производится через один из СМ каждой сети, называемых шлюзовыми. При формировании экспорта в программе ЦУС каждой сети указывается, какие коллективы, на каких АП должны взаимодействовать с пользователями другой сети. Указывается, какой из СМ данной сети является шлюзовым для другой сети. Эти данные оформляются в виде экспорта для другой сети. Одновременно в данные экспорта автоматически включаются все пользователи, зарегистрированные в экспортированных коллективах на выбранных АП. Данные экспорта другой сети импортируются в базу данных ЦУС. В результате в списке коллективов данного ЦУС появляются коллективы из другой сети, зарегистрированные на АП внешней сети. В списке СМ появляется СМ другой сети. После создания логического канала связи между импортированным СМ и своим СМ, переданным в качестве шлюзового в другую сеть, и установления связи между импортированными коллективами и коллективами своей сети, переданными в другую сеть, в каждом из ЦУС формируются справочники и таблицы маршрутизации для своих АП и СМ, в которых видны пользователи другой сети. Если сторона, установившая связи своих коллективов с коллективами другой сети, опять отправит экспорт в другую сеть, то эти связи также автоматически импортируются в ЦУС другой сети. Рис. 9. Межсетевое взаимодействие После первоначального обмена данными экспорта и импорта дальнейшее обновление этих данных в обоих ЦУСах производится автоматически по защищенным каналам связи при помощи транспортного модуля ViPNet MFTP. Для обеспечения независимого криптографического межсетевого взаимодействия между ЦУСами защищенных сетей организуется обмен специальными межсетевыми мастер-ключами. У каждой пары сетей могут быть как собственные мастер-ключи, так и общие межсетевые мастер-ключи для связи со всеми сетями. Внутренний обмен осуществляется на основе своих мастер-ключей, не зависимых от межсетевых. Возможны два способа формирования межсетевых мастер- ключей. • Если взаимодействие с доверенной сетью устанавливается на основе симметричных ключей шифрования, то межсетевой мастер-ключ создается только в одной сети (администратором, который выступает в роли инициатора). Выбор инициатора межсетевого взаимодействия осуществляется по взаимной договоренности. После создания ключ зашифровывается на пароле и передается администратору доверенной сети лично либо защищенным способом. • Если взаимодействие устанавливается с помощью ассимет- ричных ключей, то межсетевой мастер-ключ создается администратором каждой сети. После формирования мастер-ключей администраторы сетей, между которыми устанавливается взаимодействие, обмениваются между собой только их открытыми частями (сертификатами). На основе закрытой части своего ключа и полученной открытой части ключа из доверенной сети в каждой сети формируется согласованный ключ, который потом используется для создания ключей обмена между узлами данных сетей. После формирования межсетевых мастер-ключей в каждом из Ключевых центров формируется и рассылается на узлы своей сети ключевая информация только для своих пользователей. Сети, с которыми организовано межсетевое взаимодействие, называются доверенными сетями. Типовой порядок первичной конфигурации сети ViPNet. Типовой порядок первичной конфигурации сети выглядит следующим образом: 1. регистрация серверов-маршрутизаторов (СМ); 2. регистрация абонентских пунктов (АП); 3. задание каналов между СМ; 4. регистрация сетевых групп; 5. формирование таблиц маршрутизации; 6. задание адресов сетевых узлов сети ViPNet при работе через внешние сети; 7. регистрация АП и СМ в прикладных задачах; 8. регистрация типов коллективов (ТК) на АП, СМ, сетевых группах; 9. задание связей между коллективами; 10. регистрация пользователей; 11. задание атрибутов коллектива пользователя; 12. задание адресов рассылки копий; 13. первоначальное формирование экспорта и получение импорта межсетевой информации; 14. контроль правильности конфигурации системы; 15. формирование адресных справочников, маршрутных таблиц, справочников для УКЦ; 16. формирование ключевой информации в программе ViPNet Удостоверяющий и ключевой центр. Подсистема адресной администрации сети. Подсистема адресной администрации решает следующие задачи: 1. Регистрация нового СМ в сети: • задание мнемонического имени (50 символов); • формирование уникального номера СМ; • формирование уникального идентификатора СМ. 2. Регистрация нового АП в сети: • задание (уникального) мнемонического имени (50 символов); • подключение к определенному СМ (выделение индивидуального сетевого адреса); • выделение уникального идентификатора АП. Рис. 10. Список АП на СМ Координатор Офис 3. Регистрация новых сетевых групп (подгрупп) АП: • задание (уникального) мнемонического имени (50 символов); • выделение уникального номера группы (сетевого адреса группы); • выделение уникального идентификатора группы. 4. Изменение состава сетевой группы (подгруппы) АП: • включение АП в группу; • удаление АП из группы. 5. Удаление СМ, АП, групп АП. 6. Добавление или удаление межсерверного канала. 7. Добавление или удаление межсетевого канала. 8. Выдача справочной информации (количество АП, СМ, групп АП, каналов). 9. Формирование для серверов-маршрутизаторов таблиц маршрутизации. Рис. 11. Окно «Адресная администрация» программы ViPNet Центр управления сетью 10. Запись в текстовый файл содержимого БД подсистемы. 11. Контроль корректности БД подсистемы. Подсистема прикладной администрации сети. Прикладная администрация предусматривает следующие операции, которые необходимо выполнить для формирования прикладной структуры сети ViPNet: 1. регистрация типов коллективов на конкретных объектах сети (узлах и группах): • задание (уникального) мнемонического имени (50 символов); • выделение уникального идентификатора типа коллектива; 2. регистрация нового пользователя в конкретных типах коллективов на конкретных узлах (АП и СМ) сети: • задание (уникального) мнемонического имени (50 символов); • выделение уникального идентификатора пользователя; 3. установление связей между типами коллективов; 4. регистрация АП в конкретных прикладных задачах; 5. удаление пользователей и типов коллективов. Управление сетью. Подсистема управления работой сети решает следующие задачи: 1. обновление в заданное время на объектах сети: • адресных справочников на АП сети; • маршрутных таблиц на СМ сети; • ключей на АП и СМ сети; • дистрибутивов ключей пользователей; • программного обеспечения на АП и СМ сети. 2. отправка экспорта в другие сети ViPNet и прием импорта из этих сетей. 2.2. ViPNet Удостоверяющий и ключевой центр (УКЦ). Основные функции программы ViPNet Удостоверяющий и ключевой центр. ViPNet Удостоверяющий и ключевой центр - это административная программа, которая входит в состав программного обеспечения ViPNet Administrator и предназначена для управления ключами сети ViPNet, а также для издания и обслуживания различных видов сертификатов открытого ключа подписи. В соответствии с основными функциями УКЦ условно можно разделить на два компонента: Ключевой центр и Удостоверяющий центр. Данное деление схематично представлено на рис. 12. Основными функциями ключевого центра являются: • О формирование и хранение первичной ключевой информации (мастер-ключи шифрования и межсетевые мастер-ключи); • О формирование ключей шифрования для узлов защищенной сети и ключей шифрования между пользователями защищенной сети (двухуровневая схема); • О выполнение процедур смены мастер-ключей и компрометации ключей шифрования; Рис. 12. Условное деление УКЦ на компоненты • О выработка персональных ключей защиты пользователей и криптографически надежных парольных фраз (паролей); • О запись персональных ключей пользователей на внешние устройства - электронные идентификаторы (eToken, ruToken, Smartcard, Touch memory). Все ключи шифрования, формируемые Ключевым центром, - симметричные, длиной 256 бит, используются при шифровании прикладных данных и IP-трафика по ГОСТ 28147-89. Основными функциями удостоверяющего центра являются: • создание ключей подписи и издание сертификатов уполномоченных лиц УЦ, формирование запроса на издание сертификата уполномоченного лица к головному УЦ; • импорт сертификатов уполномоченных лиц У Ц смежных сетей и головного УЦ; • создание ключей подписи пользователей и издание соответствующих сертификатов, рассмотрение запросов на издание сертификатов от пользователей сети; • взаимодействие с центрами регистрации; • выполнение операций по отзыву, приостановлению и возобновлению сертификатов, рассылка списков отозванных сертификатов; • ведение журналов работы и хранение списков изданных сертификатов; • запись сертификатов и секретных ключей пользователей на аппаратные носители ключей; • кросс-сертификация с УЦ других производителей (УЦ «Крипто-Про», УЦ «Сигнал-КОМ», «Стандарт УЦ» и др.); О импорт корневых сертификатов и СОС из внешних удостоверяющих центров. УЦ обеспечивает возможность формирования ключей подписи и их сертификацию на основе алгоритма ГОСТ Р 34.10-2001. Сертификаты создаются в формате Х.509 v3 и могут быть сохранены по стандартам PKCS. Лицензионное ограничение. Работа программы ViPNet Удостоверяющий и ключевой центр как удостоверяющего центра осуществляется в соответствии с лицензией, содержащейся в файле infotecs.re, и ее функциональность может быть ограничена. Функциональность УКЦ в части ключевого центра лицензией не ограничивается. Лицензия в файле infotecs.re определяет максимальное число сертификатов, которое может быть издано в УКЦ для внутренних и внешних пользователей ViPNet. При необходимости это число может быть неограниченным. Файл infotecs.re также может не содержать лицензии на издание сертификатов подписи. В таком случае УКЦ будет выполнять только функции ключевого центра и не сможет работать в качестве удостоверяющего центра. Системные требования. Требования к компьютеру для установки программы ViPNet Удостоверяющий и ключевой центр: • процессор - Intel Core 2 Duo или другой схожий по производительности х86-совместимый процессор с количеством ядер 2 и более; • объем оперативной памяти - не менее 1 Гбайт (при использовании 64-разрядных ОС Windows - не менее 2 Гбайт); • свободное место на жестком диске - не менее 1 Гбайт; • операционная система - Microsoft Windows ХР (32-разрядная)/Server 2003 (32-разрядная)/Vista (32-разрядная); • при использовании Internet Explorer - версия 6.0 и выше. Требования к SQL-серверу для развертывания базы данных УКЦ. Программа ViPNet Удостоверяющий и ключевой центр имеет собственную базу данных, которую при необходимости можно развернуть на SQL-сервере. SQL-сервер в таком случае может быть размещен на одном компьютере вместе с УКЦ или на отдельном компьютере и должен быть одним из следующих версий: • Microsoft SQL Server 2005; • Microsoft SQL Server 2008; • Microsoft SQL Server 2008 R2. Варианты развертывания. Программа ViPNet Удостоверяющий и ключевой центр может быть развернута на одном компьютере вместе со вторым компонентом программного обеспечения ViPNet Administrator - программой ViPNet Центр управления сетью (далее - ЦУС) либо на отдельном компьютере, если этого требует политика безопасности организации. Рис. 13. Варианты развертывания УКЦ Первый вариант развертывания является типовым и достаточно распространенным. УКЦ и ЦУС совместно устанавливаются на компьютер, выделенный под рабочее место администратора сети ViPNet. Во втором варианте развертывания установка ЦУС и УКЦ производится на разные компьютеры. При использовании данной схемы развертывания требуются дополнительные настройки: • в ЦУС должны быть созданы два абонентских пункта (один непосредственно для ЦУС, второй - для УКЦ); • на компьютере, на котором установлен ЦУС, требуется задать папки обмена информацией между ЦУС и УКЦ; • для компьютера, на котором установлен УКЦ, требуется открыть сетевой доступ к заданным папкам обмена. Выбор необходимого дополнительного программного обеспечения ViPNet. На рабочее место администратора сети ViPNet в обязательном порядке устанавливается дополнительное программное обеспечение ViPNet Client либо ViPNet CryptoService. Причем если программы ViPNet Центр управления сетью и ViPNet Удостоверяющий и ключевой центр развернуты на разных компьютерах, то дополнительное программное обеспечение устанавливается на тот компьютер, на котором размещен ЦУС. На компьютер с УКЦ также можно установить дополнительное программное обеспечение, но в большинстве случаев этого не требуется. В целях безопасности рекомендуется этот компьютер вообще не подключать к сети, соединив его только с компьютером, на котором установлен ЦУС. Чаще всего в качестве дополнительного программного обеспечения выбирают ViPNet Client, поскольку он позволяет: • организовать защиту (шифрование) IP-трафика между рабочим местом администратора и другими узлами сети (см. схему ниже); • обеспечить защиту рабочего места администратора от несанкционированного доступа при работе в локальных и глобальных сетях с помощью встроенного межсетевого экрана. Рис. 14. Разделенное рабочее место администратора с установленным ПО ViPNet Client ViPNet CryptoService используется только в том случае, если защита трафика и дополнительная зашита рабочего места админист ратора не требуются. Рис. 15. Использование ViPNet CryptoService в качестве дополнительного программного обеспечения Ключевая структура ViPNet. В технологии ViPNet для шифрования применяется комбинация криптографических алгоритмов с симметричными и асимметричными ключами. Таблица 1. Применение криптографических алгоритмов в ПО ViPNet Криптографические алгоритмы С симметричными ключами С асимметричными ключами • шифрование IР-трафика; • шифрование сообщений программы «Деловая почта»; • шифрование прикладных и служебных конвертов • создание и проверка электронной подписи; • шифрование в сторонних приложениях с помощью криптопровайдера ViPNet Симметричные ключи в ПО ViPNet. В симметричных алгоритмах для зашифрования и расшифрования применяется один и тот же криптографический ключ. Для того чтобы и отправитель, и получатель могли прочитать исходный текст (или другие данные, не обязательно текстовые), обе стороны должны знать ключ алгоритма. На схеме ниже изображен процесс симметричного зашифрования и расшифрования. Рис. 16. Симметричное шифрование С помощью симметричного ключа исходный (открытый) текст преобразуется в шифрованный (закрытый) текст. Затем шифрованный текст отправляется получателю. Если получателю известен симметричный ключ, на котором зашифрован текст, получатель может преобразовать шифрованный текст в исходный вид. Симметричные алгоритмы шифрования способны обрабатывать большое количество данных за короткое время благодаря использованию для зашифрования и расшифрования одного и того же ключа, а также благодаря простоте симметричных алгоритмов по сравнению с асимметричными. В ПО ViPNet симметричные алгоритмы используются для шифрования информации и контроля ее целостности. Для каждой пары сетевых узлов ViPNet в программе ViPNet Удостоверяющий и ключевой центр создается симметричный ключ обмена, предназначенный для шифрования обмена данными между этими сетевыми узлами. Таким образом, формируется матрица симметричных ключей, содержащая данные обо всех созданных для сетевых узлов симметричных ключах обмена. Эта матрица зашифрована, поэтому доступ к ней имеет только программа ViPNet Удостоверяющий и ключевой центр. Симметричные ключи обмена следует передавать по защищенным каналам (для первоначальной инициализации ПО ViPNet дистрибутивы ключей передаются лично). Если злоумышленники завладеют симметричными ключами, вся система защиты сетевого узла будет с компрометирована. Симметричные ключи обмена используются для шифрования IP-трафика, почтовых сообщений, прикладных и транспортных конвертов. Рис. 17. Использование ключей обмена в ViPNet Для защиты ключей обмена применяются три уровня шифрования: • ключи обмена зашифрованы на ключах защиты; • ключи защиты зашифрованы на персональных ключах; • в свою очередь, персональные ключи зашифрованы на парольных ключах. В ПО ViPNet для шифрования используются следующие симметричные алгоритмы: • ГОСТ 28147-89 (длина ключа 256 бит) - российский стандарт симметричного шифрования; • AES (256 бит) - принятый в США стандарт симметричного шифрования на основе алгоритма Rijndael. По умолчанию используется алгоритм ГОСТ 28147-89. При необходимости можно выбрать алгоритм AES. Асимметричные ключи в ПО ViPNet. При использовании асимметричного алгоритма ключ, с помощью которого шифруется сообщение, является открытым (известен всем отправителям), а ключ, с помощью которого это сообщение расшифровывается, является закрытым (известен только получателю зашифрованного сообщения). Открытый и закрытый ключи связаны математически. Рис. 18. Уровни шифрования информации в ПО ViPNet Открытый ключ распространяется свободно. Закрытым ключом владеет только пользователь, который создает пару асимметричных ключей. Закрытый ключ следует хранить в секрете, чтобы исключить возможность его перехвата. Использование двух различных ключей для зашифрования и расшифрования, а также более сложный алгоритм делают процесс шифрования с помощью асимметричных ключей гораздо более медленным, чем шифрование с помощью симметричных ключей. Открытый ключ может быть использован любыми лицами для отправки зашифрованных данных владельцу закрытого ключа. При этом парой ключей владеет только получатель зашифрованных данных. Таким образом, только получатель может расшифровать эти данные с помощью имеющегося у него закрытого ключа. Рис. 19. Асимметричное шифрование Асимметричные ключи используются в технологии ViPNet для издания сертификатов и создания электронных подписей. Если на компьютере установлено ПО ViPNet, в состав которого входит криптопровайдер, асимметричные ключи можно использовать для шифрования. Одна и та же пара асимметричных ключей может использоваться как для шифрования, так и для подписи. Однако, в отличие от шифрования, для подписи используется закрытый ключ, а для проверки подписи - открытый ключ (сертификат ключа подписи). Сертификат содержит открытый ключ, удостоверенный (в том числе подписанный) уполномоченным лицом (например, администратором сети ViPNet), информацию о владельце сертификата, сроке его действия и прочее. Закрытый ключ следует хранить в тайне от других пользователей: рекомендуется использование съемных носителей или внешних устройств. На жестком диске закрытый ключ хранится в зашифрованном виде в файле, который называется контейнером ключей. Схема защиты закрытого ключа электронной подписи изображена на рис. 20. Рис. 20. Схема защиты закрытого ключа электронной подписи Если закрытый ключ подписи хранится на внешнем устройстве, ключом защиты для него является парольный ключ. Если закрытый ключ подписи хранится на жестком диске или в дистрибутиве ключей, ключом защиты для него является персональный ключ. Открытые ключи в сетях ViPNet передаются в составе подписанного сообщения программы ViPNet Деловая почта. Также открытые ключи могут храниться в составе сертификатов в общем хранилище сертификатов, например в службе каталогов Active Directory. Асимметричное шифрование подразумевает отправку зашифрованного сообщения владельцу выбранного при шифровании сертификата. Шифрование сообщений можно выполнять в таких приложениях, как Microsoft Outlook, Outlook Express и т. д. Для этого сертификат получателя должен содержать в соответствующем поле адрес электронной почты. Следует понимать, что технология асимметричного шифрования основана на стандартном использовании интерфейса Microsoft Crypto API. Следовательно, при использовании данной технологии пользователи ViPNet могут быть не связаны между собой в смысле топологии сети ViPNet (их сети могут не являться доверенными). Кроме того, получатель сообщения может вообще не являться пользователем программы ViPNet Client. Для расшифрования сообщения получателю достаточно закрытого ключа, сертификата и установленного на компьютере ПО, в состав которого входит криптопровайдер ViPNet. В ПО ViPNet используются следующие асимметричные алгоритмы шифрования и ЭП: • ГОСТ Р 34.10-2001 для создания ключей электронной подписи, вычисления и проверки ЭП; • ГОСТ Р 34.10-94 для проверки ЭП; • ГОСТ Р 34.11-94 для хеширования данных. Сочетание симметричного и асимметричного шифрования. В большинстве приложений симметричные и асимметричные алгоритмы применяются совместно, что позволяет использовать преимущества обоих алгоритмов. В случае совместного использования симметричного и асимметричного алгоритмов: • исходный текст преобразуется в шифрованный с помощью симметричного алгоритма шифрования. Преимущество этого алгоритма заключается в высокой скорости шифрования; • для передачи получателю симметричный ключ, на котором был зашифрован текст, зашифровывается с помощью асимметричного алгоритма. Преимущество асимметричного алгоритма заключается в том, что только владелец закрытого ключа сможет расшифровать симметричный ключ. Ниже изображен процесс шифрования с помощью комбинированного алгоритма: 1. Отправитель запрашивает открытый ключ получателя из доверенного хранилища. 2. Отправитель создает симметричный ключ и зашифровывает с его помощью исходный текст. 3. Симметричный ключ зашифровывается на открытом ключе получателя, чтобы предотвратить перехват ключа во время передачи. 4. Зашифрованный симметричный ключ и шифрованный текст передаются получателю. 5. С помощью своего закрытого ключа получатель расшифровывает симметричный ключ. 6. С помощью симметричного ключа получатель расшифровывает шифрованный текст, в результате он получает исходный текст. Рис. 21. Сочетание симметричного и асимметричного алгоритмов шифрования Сочетание хеш-функции и асимметричного алгоритма электронной подписи. Электронная подпись защищает данные следующим образом: • для подписания данных используется хеш-функция, с помощью которой определяется хеш-сумма исходных данных. По хеш-сумме можно определить, имеют ли место какие-либо изменения в этих данных; • полученная хеш-сумма подписывается электронной подписью, что позволяет подтвердить личность подписавшего. Кроме того, электронная подпись не позволяет подписавшему лицу отказаться от авторства, так, как только оно владеет закрытым ключом, использованным для подписания. Невозможность отказаться от авторства называется неотрекаемостью. Большинство приложений, осуществляющих электронную подпись, используют сочетание хеш-функции и асимметричного алгоритма подписи. Хеш-функция позволяет проверить целостность исходного сообщения, а электронная подпись защищает полученную хеш-функцию от изменения и позволяет определить личность автора сообщения. Приведенная ниже схема иллюстрирует применение хеш- функции и асимметричного алгоритма в электронной подписи. Рис. 22. Сочетание хеш-функции и асимметричного алгоритма электронной подписи 1. Отправитель создает файл с исходным сообщением. 2. Программное обеспечение отправителя вычисляет хеш- сумму исходного сообщения. 3. Полученная хеш-сумма зашифровывается с помощью закрытого ключа отправителя. 4. Исходное сообщение и зашифрованная хеш-функция передаются получателю. 5. Получатель расшифровывает хеш-сумму сообщения с помощью открытого ключа отправителя. Открытый ключ может быть передан вместе с сообщением или получен из доверенного хранилища. 6. Получатель использует ту же хеш-функцию, что и отправитель, чтобы вычислить хеш-сумму полученного сообщения. 7. Вычисленная хеш-сумма сравнивается с хеш-суммой, полученной от отправителя. Если эти хеш-суммы различаются между собой, то сообщение или хеш-сумма были изменены при передаче. Примечание. При использовании электронной подписи исходное сообщение не зашифровывается. Само сообщение может быть изменено, но любые изменения сделают хеш-сумму, передаваемую вместе с сообщением, недействительной. Использование симметричных и асимметричных ключей. ПО ViPNet позволяет защищать информацию с помощью симметричных ключей обмена и асимметричных ключей ЭЦП и шифрования. Рис. 23. Использование симметричных и асимметричных ключей Ключи обмена защищают данные при их передаче в рамках сети ViPNet. При этом система автоматически определяет, каким ключом обмена должна быть зашифрована информация, передаваемая конкретному пользователю ViPNet. Асимметричные ключи защищают данные при их передаче как в сети ViPNet, так и за ее пределами. При этом пользователь должен указать: • для ЭП - расположение контейнера со своим закрытым ключом; • для шифрования документа (сообщения) - сертификат получателя этого документа (сообщения). Для обмена данными, защищенными с помощью асимметричных ключей, необходимо установить на компьютерах участников обмена Криптопровайдер ViPNet (криптопровайдер входит в состав клиентского ПО ViPNet или поставляется отдельно). Формирование ключевой информации в ViPNet. Мастер-ключи. При первичной инициализации программы ViPNet Удостоверяющий и ключевой центр создаются мастер-ключи, которые впоследствии используются при формировании персональных ключей пользователей, а также входящих в состав ключей узлов ключей обмена и ключей защиты: • мастер-ключ персональных ключей; • мастер-ключ ключей обмена; • мастер-ключ ключей защиты. Мастер персональных ключей предназначен для генерации персональных ключей защиты пользователей. Мастер ключей защиты коллективов предназначен для генерации ключей защиты коллективов. Мастер ключей обмена предназначен для формирования ключей обмена коллективов. Мастер-ключи хранятся в программе в полной секретности, поскольку компрометация мастер-ключа приводит к компрометации всех ключей, сформированных на его основе. Рекомендуется раз в год проводить смену всех мастер-ключей. Рис. 24. Формирование симметричных ключей шифрования и идентификации Формирование ключей при первоначальном развертывании сети. Развертывание сети начинается с создания необходимой конфигурации в Центре управления сетью, который формирует набор различных справочников для УКЦ. После этого начинается процесс формирования ключей в УКЦ. При каждом запуске УКЦ осуществляется выбор источника генерации случайных чисел и инициализируется программный датчик случайных чисел. При первоначальном запуске УКЦ формируются три различных мастер-ключа этой сети, а также ключ защиты УКЦ. Мастер-ключи шифруются на ключе защиты УКЦ и в таком виде сохраняются на жестком диске. Ключ защиты УКЦ шифруется на пароле администратора УКЦ и в таком виде сохраняется на жестком диске или на внешнем носителе. Пароль в дальнейшем может изменяться. Пароль забывать нельзя, иначе администратор УКЦ не сможет войти в систему. Если к этому моменту он не успеет делегировать свои полномочия другому администратору УКЦ, то потребуется полная смена мастер-ключей, а значит, и всех ключей в сети. При формировании учетной записи администратора УКЦ также создаются его ключи подписи, которые входят в состав ключей администратора. ЭП будет использоваться для подписи (заверения издаваемых сертификатов подписи пользователей) открытых ключей ЭП других пользователей. Формируются индивидуальные ключи и пароли для каждого пользователя сети. Справочная и ключевая информация данного пользователя (закрытый ключ и сертификат открытого ключа, ключи защиты ключей обмена, ключи обмена, справочник сертификатов администраторов своей и доверенных сетей, списки отозванных сертификатов (СОС) своей и доверенных сетей) шифруется на действующем персональном ключе пользователя. Персональный ключ шифруется на парольном ключе. Вся сформированная справочная и ключевая информация передается в файле-дистрибутиве. Для каждого пользователя формируется некоторое количество резервных персональных ключей (с очередным вариантом), зашифрованных на первоначальном парольном ключе. Эти ключи сохраняются на внешние устройства для каждого пользователя, отличные от устройства с ключами пользователя, и не используются в процессе эксплуатации конкретной рабочей станции. Данные ключи в дальнейшем могут использоваться для дистанционного обновления ключей на внешнем устройстве аутентификации в случае компрометации действующих ключей пользователя. На этом первичное формирование ключевой информации в УКЦ можно считать завершенным. После инсталляции программного обеспечения узла с использованием дистрибутива производятся соединение с ViPNet-коор- динатором и загрузка всей необходимой информации для работы пользователя защищенной сети. Дистрибутив ключей. При создании структуры сети ViPNet администратор создает в программе ViPNet Administrator файл дистрибутива ключей (*.dst) для каждого пользователя сетевого узла ViPNet. Файлы дистрибутивов необходимы для первичной инициализации ПО ViPNet на сетевых узлах. Они содержат ключи пользователя (персональный ключ и ключи электронной подписи), набор ключей узла, предназначенные для шифрования трафика, служебной информации и писем программы ViPNet Деловая почта, адресные справочники, необходимые для связи с другими сетевыми узлами, и регистрационный файл infotecs.rе. Обновление ключевой информации для сетевых узлов производится по инициативе администратора сети ViPNet. Может возникнуть ситуация, при которой потребуется сформировать дистрибутив ключей для пользователя повторно, а именно: • если пользователь зарегистрирован на узле с установленным программным обеспечением ViPNet Coordinator Linux, который был скомпрометирован; • сбой или проблемы при обновлениях в сети ViPNet, если данному пользователю не поступила обновленная информация и нет возможности выполнить ее повторную отправку Состав дистрибутива ключей представлен на рис. 25. Рис. 25. Формирование дистрибутива справочно-ключевой информации для пользователя сети ViPNet Ключи пользователя и ключи узла. Ключи пользователя. Ключи пользователя - набор файлов, создаваемый в программе ViPNet Удостоверяющий и ключевой центр для каждого пользователя сети ViPNet. Основное содержание ключей пользователя - информация, идентифицирующая пользователя и позволяющая ему работать с программным обеспечением ViPNet. При наличии права подписи у пользователя в ключах пользователя также присутствуют ключи его электронной подписи (в контейнере ключей). В файл ключей пользователя еще входит резервный набор персональных ключей, если дистрибутив является первым дистрибутивом пользователя. Чтобы сформировать ключи пользователя, требуется наличие соответствующих справочников (файлов связей), полученных из программы ViPNet Центр управления сетью для данного пользователя. Ключи узла. Ключи узла ViPNet - набор файлов, создаваемый в программе ViPNet Удостоверяющий и ключевой центр для каждого узла сети ViPNet. Основное содержание ключей узла - ключи для шифрования передаваемого трафика и информации ViPNet-приложений (ViPNet SDK, ViPNet Деловая почта), которой обмениваются сетевые узлы, и другие служебные файлы. Новые ключи для узла нужно создавать в следующих случаях: • добавление или удаление связи с другим сетевым узлом своей сети ViPNet или доверенной сети; • смена мастер-ключа обмена или мастер-ключа защиты; • смена межсетевого мастер-ключа, в случае если текущий сетевой узел имеет связь с узлами доверенной сети; • компрометация текущего сетевого узла; • компрометация сетевого узла или пользователя, с которым установлена связь. Чтобы сформировать ключи узла, требуется наличие соответствующих справочников (файлов связей), полученных из программы ViPNet Центр управления сетью для данного узла. Обновление ключей узла. Основное содержание обновления ключей узла - справочники сертификатов администраторов УКЦ, сертификаты администраторов доверенных сетей, списки отозванных сертификатов своей и доверенных сетей, контрольные суммы паролей администраторов и другая служебная информация о пользователе узла. Фактически, обновление ключей узла является неполным вариантом ключей узла ViPNet. Рис. 26. Состав обновления ключей узла Обновления ключей узлов вам требуется создавать в следующих случаях: • смена пароля администратора сетевого узла или группы сетевых узлов. В этом случае требуется сформировать, соответ- • ственно, обновление ключей узла либо обновления ключей всех узлов, входящих в данную группу; • если из программы ViPNet Центр управления сетью поступила информация о том, что пользователи сети ViPNet получили или потеряли право подписи. В этом случае требуется сформировать обновления ключей узлов, на которых зарегистрированы данные пользователи; • регистрация новой учетной записи администратора УКЦ; • издание нового корневого сертификата администратора или получение нового сертификата администратора из вышестоящего удостоверяющего центра; • переиздание списка отозванных сертификатов (например, если истек срок его действия либо был приостановлен или отозван сертификат пользователя в вашей сети); • получение справочников сертификатов администраторов или списков отозванных сертификатов из доверенной сети ViPNet или сторонних удостоверяющих центров. Примечание. В нижеследующих случаях обновления ключей следует формировать для всех узлов сети Резервный набор персональных ключей. Резервный набор персональных ключей (РНПК) - набор из нескольких персональных ключей, создаваемый в программе ViPNet Удостоверяющий и ключевой центр для каждого пользователя сети ViPNet на основе одного и того же мастер-ключа. Основное назначение резервного набора персональных ключей заключается в том, что, будучи заранее создан и передан пользователю, он позволяет при компрометации пользователя (то есть утрате доверия к ключам пользователя) или смене мастер-ключа в сети дистанционно обновить ключи пользователя и ключи узла (без необходимости высылать пользователю новый персональный ключ по скомпрометированному каналу). Число персональных ключей в резервном наборе определяется настройками программы. По умолчанию резервный набор состоит из 20 персональных ключей. Кроме этого, для каждого набора задается минимальное число ключей, которые должны оставаться нескомпрометированными. По умолчанию 2 ключа в наборе не должны быть скомпрометированными. Рис. 27. Окно «Настройки» программы ViPNet УКЦ Как правило, создание резервного набора персональных ключей пользователя производится автоматически программой на основе параметров, указанных в настройках программы, в следующих случаях: • формирование самого первого дистрибутива ключей пользователя; • формирование ключей пользователя вместо первого дистрибутива ключей при добавлении пользователя на узел, на котором уже имеются другие пользователи; • смена мастер-ключа персональных ключей; • формирование ключей после компрометации пользователя в том случае, если в текущем резервном наборе пользователя были скомпрометированы все допустимые персональные ключи. Примечание. В последних двух случаях создается новый резервный набор, который зашифровывается на персональном ключе пользователя из старого набора. Может возникнуть ситуация, при которой вам потребуется сформировать резервный набор ключей пользователя вручную, а именно: • при повторном создании дистрибутива ключей для пользователя, поскольку в составе такого дистрибутива резервный набор ключей отсутствует; • если резервного набора ключей, выданного в составе первого дистрибутива ключей, по каким-то причинам нет у пользователя (например, если резервный набор ключей хранился у пользователя па компьютере и был случайно удален). Межсетевые мастер-ключи. Межсетевые мастер-ключи могут быть как симметричными, так и асимметричными. В УКЦ можно создать межсетевые мастер-ключи трех типов: • индивидуальный симметричный межсетевой мастер-ключ. Главным преимуществом межсетевого мастер-ключа такого типа является то, что взаимодействие, установленное на его основе, считается наиболее защищенным (при условии, что канал, по которому передавался мастер-ключ в доверенную сеть, является надежным). Хотя в некоторых случаях процесс организации взаимодействия с доверенными сетями с помощью таких ключей может быть достаточно трудоемким (особенно если требуется установить связь сразу с большим количеством сетей), поскольку на основе одного индивидуального мастер-ключа можно установить связь только между двумя сетями ViPNet; Рис. 28. Виды межсетевых мастер-ключей • универсальный симметричный межсетевой мастер-ключ. Универсальный межсетевой мастер-ключ удобно использовать в том случае, если требуется организовать связь с большим количеством доверенных сетей, поскольку при создании он не привязывается к номеру конкретной доверенной сети. Однако стоит учесть, что уровень безопасности взаимодействия будет не таким высоким, как в случае использования индивидуального мастер-ключа; • асимметричный межсетевой мастер-ключ. Состоит из двух частей: закрытого ключа и сертификата с открытым ключом. Асимметричный межсетевой мастер- ключ также может быть использован для организации связи с несколькими сетями ViPNet при условии, что его открытая часть (сертификат) была передана в данные сети и были получены открытые части асимметричных мастер-ключей (сертификаты) из данных сетей. Взаимодействие, основанное на асимметричных ключах, считается безопасным, поскольку закрытая часть каждого мастер-ключа остается известной только тому администратору, который создавал этот мастер- ключ. При этом установить его проще, поскольку открытые части данных ключей можно передавать по незащищенному каналу. Межсетевые мастер-ключи, так же как и обычные мастер-ключи, требуется регулярно обновлять. Ниже представлена схема формирования ключей при межсетевом взаимодействии (рис. 29). Внимание! Формировать и использовать данный ключ рекомендуется только в случае отсутствия других типов мастер-ключей для обеспечения бесперебойной генерации ключевой информации СУ или для организации временной защищенной связи в условиях отсутствия возможности обмена другими типами мастер-ключей. Обновление мастер-ключей в сети ViPNet. Смена мастер-ключей влечет за собой смену всех ключей в сети ViPNet. Она может быть, как плановой, так и внеплановой. Плановая смена мастер-ключей проводится с определенной периодичностью, обычно не реже одного раза в год. Внеплановая смена мастер-ключей производится при компрометации ключей. Рис. 29. Формирование ключей при межсетевом взаимодействии Перед сменой мастер-ключей необходимо: 1. Убедиться, что в промежуток времени, отведенный на смену мастер-ключей, все пользователи сети ViPNet смогут выполнить вход в программу ViPNet. Внимание! Рекомендуется планировать проведение обновления мастер-ключей не в один день, а в промежуток 5-10 дней. При этом следует учесть, что в течение этого времени проводить другие обновления в сети ViPNet нельзя. 2. Убедиться, что у каждого пользователя на узле имеется резервный набор персональных ключей. Если пользователь зарегистрирован на нескольких узлах, то его резервный набор ключей должен присутствовать на каждом из узлов. Если у пользователя не окажется резервного набора персональных ключей, необходимо передать ему соответствующий набор любым защищенным способом. Без резервных персональных ключей новые ключи на узлах не вступят в действие. 3. Проинформировать всех пользователей и администраторов сети ViPNet о планируемом обновлении и сроках его проведения. 4. Пользователям рекомендуется расшифровать все сообщения программы ViPNet Деловая почта, включая архивные сообщения. После того как будут созданы и приняты на узлах ключи на основе новых мастер-ключей, сообщения, зашифрованные на старых ключах, не смогут быть прочитаны. 5. Убедиться, что во вложенной папке \KC\P_KEYS папки установки программы ViPNet Удостоверяющий и ключевой центр нет файлов с резервными наборами персональных ключей (файлов с расширением *.рк). При наличии файлов *.рк в указанной папке требуется скопировать их в любое место на диске, после чего передать их соответствующим пользователям любым защищенным способом. Внимание! Эти файлы могут находиться в папке \KC\P_KEYS в том случае, если по каким-либо причинам они не были переданы пользователям в составе дистрибутивов ключей. Для проведения смены мастер-ключей необходимо выполнить следующие действия: 1. Создать архив структуры сети в программах ЦУС и УКЦ. 2. Разослать на все сетевые узлы уведомление (например, в программе ViPNet Client Деловая почта) о том, что, например, через 10 дней будет проведено обновление КП и КУ для всех пользователей и СУ в связи со сменой мастер-ключа персональных ключей, а также рекомендации о том, чтобы все пользователи на своих АП расшифровали все письма и архивы Деловой Почты, так как они зашифрованы на старых ключах и после проведения обновлений станут недоступны. 3. В УКЦ сгенерировать новый мастер-ключ персональных ключей пользователя. 4. Сформировать новые КП и КУ. 5. Провести обновления из ЦУС в строгой очередности (сначала обновляется ключевая информация обычных пользователей, затем - серверов-маршрутизаторов, далее - Администратора). 6. Проконтролировать процесс принятия новых ключей на узлах. Для того чтобы все обновления дошли на компьютеры всех СУ и прошли в автоматическом режиме, необходимо, чтобы за 10 дней (со дня уведомления) все Клиенты и Координаторы подключились к сети и чтобы все Клиенты имели связь со своим Координатором. Если это условие не будет выполнено, то для отключенных СУ обновления придется производить вручную! Примечание. При плановой смене мастер-ключей рекомендуется выполнять обновление всех трех мастер-ключей своей сети ViPNet. Это позволит рационально использовать время обновления и уменьшит вероятность возникновения проблем при обновлении.