ViPNet SafeBoot- certifikovaný high-tech softvérový modul pre dôveryhodné spustenie (MDZ) nainštalovaný v systéme UEFI BIOS rôzni výrobcovia... Navrhnuté na ochranu vášho počítača, mobilné zariadenia, servery (vrátane virtualizačných serverov) z rôznych hrozieb neoprávneného prístupu (neoprávneného prístupu) v štádiu zavádzania a z útokov na systém BIOS.

Ochrana počítačov a serverov musí byť účinná od ich zapnutia. Čas od okamihu zapnutia do štartu operačný systém je kľúčom k dôvere systému ako celku. Vo veľmi raných fázach načítania existuje riziko:

• Prenos kontroly na nedôveryhodný bootloader;
• Sťahovanie škodlivého kódu do UEFI;
• Zachytávanie údajov a deaktivácia základných ochranných mechanizmov.

To všetko môže viesť k obídeniu všetkých bezpečnostných nástrojov nainštalovaných v operačnom systéme a ku krádeži informácií. Integrácia dôveryhodného zavádzacieho modulu ViPNet SafeBoot chráni váš počítač pred týmito hrozbami a robí systém dôveryhodným.

Účel:

ViPNet SafeBoot navrhnuté na identifikáciu a autentifikáciu používateľov, riadenie prístupu na základe rolí a organizáciu načítania dôveryhodného operačného systému. ViPNet SafeBoot zvyšuje úroveň zabezpečenia zariadení a počítačov:

• Autorizácia na úrovni systému BIOS pred načítaním hlavných komponentov operačného systému;
• Riadenie integrity systému BIOS, chránených komponentov operačného systému a hardvér;
• Blokovanie zavedenia neštandardnej kópie operačného systému.

Scenáre použitia

Výrobok ViPNet SafeBoot môžu byť použité spoločne s inými produktmi ViPNet aj samostatne. Hlavné úlohy, ktoré je možné vyriešiť:

• Plnenie požiadaviek objednávok FSTEC *:
• Č. 17 o ochrane štátu informačné systémy(GIS);
• Č. 21 o ochrane informačných systémov o osobných údajoch (ISPDN);
• Č. 31 o ochrane automatizovaných systémov riadenia procesov (APCS);
• Ochrana pred falšovaním v najskorších fázach zavádzania počítačov alebo zariadení s UEFI BIOS.

Výhody

• Softvér MDZ s možnosťou inštalácie do systému UEFI BIOS rôznych výrobcov.
• Nedá sa odstrániť, na rozdiel od hardvérových verzií MDZ.
• Zjednodušené metódy konfigurácie MDZ prostredníctvom šablón správy.
• Plná kontrola integrity UEFI kontrolou integrity všetkých jej modulov.
• Ruský výrobok.

Certifikácia FSTEC Ruska

ViPNet SafeBoot spĺňa požiadavky pokynov pre dôveryhodné nakladacie zariadenia na úrovni základného systému I / O triedy 2, ktorý umožňuje použitie výrobku na stavbu:

• ISPDn až do UZ1 vrátane;
• GIS až do 1 triedy zabezpečenia vrátane;
• APCS až do 1 triedy zabezpečenia vrátane.

Čo je nové vo ViPNet SafeBoot 1.4

1. Režim neaktivity je kľúčovou funkciou, ktorá je zameraná na pohodlie dodávok SafeBoot OEM výrobcom pracovných staníc a serverov, výrobcov hardvérových platforiem. Detailný popis v priloženom dokumente.
2. Implementácia licenčného systému - produkt je teraz licencovaný podľa sériového čísla.
3. Podpora autorizácie západnými certifikátmi - zlepšenie použiteľnosti produktu. Existujú zákazníci, ktorí používajú autorizáciu pomocou tokenu a certifikát vydaný spoločnosťou Microsoft CA, a to aj prostredníctvom protokolu LDAP. Z tohto dôvodu sme sa rozhodli podporovať túto metódu autentifikácie.
4. Podpora JaCarta -2 GOST - rozšírenie zoznamu podporovaných nosičov kľúčov na autentifikáciu.

InfoTeKS si vyhradzuje právo vykonávať zmeny v dodávaných produktoch (charakteristiky, vzhľad, úplnosť), ktoré nezhoršujú jeho spotrebiteľské vlastnosti.

Silná dvojfaktorová autentifikácia- Autentifikácia používateľa pomocou tokenu s certifikátom formátu x.509 (dvojfaktorový), heslom alebo ich kombináciou. Podporované identifikátory:

• JaCarta PKI
• Rutoken EDS
• Rutoken EDS 2.0
• Rutoken Lite
• Guardian ID

Prístup na základe rolí

• Používateľ.
• Správca.
• Audítor.

Kontrola integrity. Aby ste mohli platforme dôverovať, potrebujete záruku, že všetky dôležité moduly načítané pri štarte systému zostanú nezmenené. Preto ViPNet SafeBoot kontroluje integritu:

• všetky kľúčové moduly UEFI BIOS;
• topánka sektory tvrdých disk;
• Tabuľky ACPI, SMBIOS, pamäťové mapy;
• súbory na diskoch so systémami FAT32, NTFS, EXT2, EXT3, EXT4 (ViPNet SafeBoot nezáleží na tom, aký operačný systém je nainštalovaný);
• register Windows;
• Zdroje priestoru konfigurácie PCI / PCe;
• CMOS (energeticky nezávislý obsah pamäte);
• úplnosť transakcií - NTFS, EXT3, EXT4.

Pre pohodlie používateľov sa objavila možnosť automatického vytvárania kontrolných zoznamov pre operačný systém Windows.

Protokol udalostí zabezpečenia. Pre pohodlie je k dispozícii niekoľko režimov protokolovania s rôznymi úrovňami podrobností.

-toto je načítanie rôznych operačných systémov iba z vopred určených trvalých médií (napríklad iba z pevného disku) po úspešnom dokončení špeciálnych procedúr: kontrola integrity hardvéru a softvéru počítača (pomocou mechanizmu kontroly integrity krok za krokom) ) a identifikácia / autentifikácia používateľa hardvéru.

Základy konceptu

• Ovládanie zariadenia, z ktorého BIOS začne načítavať OS (zvyčajne je to pevný disk počítača, ale môže to byť aj vymeniteľná čítačka médií, zavádzanie zo siete atď.);
• Kontrola integrity a spoľahlivosti zavádzacieho sektora zariadenia a systémových súborov spusteného operačného systému;
• Šifrovanie / dešifrovanie boot sektor, systémové súbory OS alebo šifrovanie všetkých údajov zariadenia (voliteľné).
• Autentifikácia, šifrovanie a ukladanie tajomstiev, ako sú kľúče, kontrolné súčty a hash, sa vykonáva v hardvéri.

Overenie

Je možné vykonať autentifikáciu používateľa rôzne cesty a v rôznych fázach zavádzania počítača.

Na potvrdenie identity spúšťajúceho počítača môžu byť potrebné rôzne faktory:

• Tajné používateľské meno a heslo;
• Disketa, CD, flash karta s tajnými autentifikačnými informáciami;
• Dongle pripojený k počítaču cez USB, sériové alebo paralelné porty;
• Hardvérový kľúč alebo biometrické informácie načítané do počítača pomocou samostatného hardvérového modulu.

Autentifikácia môže byť multifaktoriálna. Autentifikácia môže byť tiež viacnásobná s oddelením prístupových práv k počítaču. Jeden používateľ teda môže spustiť operačný systém iba s pevný disk, pričom druhý bude môcť zmeniť konfiguráciu CMOS a vybrať zavádzacie zariadenie.

K autentifikácii môže dôjsť:

• Počas vykonávania firmvéru systému BIOS;
• Pred načítaním hlavného zavádzacieho záznamu (MBR) alebo zavádzacieho sektora operačného systému;
• Počas vykonávania programu zavádzacieho sektora.

Vykonávanie autentifikácie v rôznych fázach sťahovania má svoje výhody.

Dôveryhodné kroky pri zavádzaní

V rôznych fázach zavádzania počítača je možné dôveryhodné spustenie vykonať rôznymi spôsobmi, a preto bude mať rôzne funkcie.

• Spustenie firmvéru systému BIOS. V tejto fáze je možné implementovať nasledovné: kontrola integrity firmvéru systému BIOS, kontrola integrity a autentickosti nastavení CMOS, autentifikácia (ochrana pred spustením počítača ako celku alebo iba pred zmenou konfigurácie CMOS alebo výberom zavádzacieho zariadenia) ), kontrola nad výberom zavádzacieho zariadenia. Tento krok zavedenia musí byť úplne vykonaný v systéme BIOS výrobcom základnej dosky;
• Prenos ovládania do zavádzacieho zariadenia. V tomto mieste môže systém BIOS namiesto toho, aby pokračoval v zavádzaní, preniesť riadenie do dôveryhodného zavádzacieho hardvérového modulu. Hardvérový modul môže vykonávať autentifikáciu, výber zavádzacieho zariadenia, dešifrovanie a integritu a overovanie zavádzacích sektorov operačného systému a systémových súborov. V tomto prípade je možné dešifrovanie zavádzacieho sektora operačného systému vykonať iba v tejto fáze. Firmvér systému BIOS musí podporovať prenos riadenia na hardvérový modul alebo hardvérový modul musí emulovať samostatné zavádzacie zariadenie vo forme pevného disku, vymeniteľného média alebo sieťového zavádzacieho zariadenia;
• Vykonanie zavádzacieho sektora operačného systému. V tejto fáze je možné vykonať aj integritu, zavádzač, súbory systému operačného systému a autentifikáciu. Spustiteľný kód zavádzacieho sektora má však obmedzenú funkčnosť, pretože má obmedzenie veľkosti a umiestnenia kódu, a je spustený aj pred spustením ovládačov operačného systému.

Použitie hardvéru

Dôveryhodné zavádzacie hardvérové ​​moduly majú významné výhody oproti čistému softvéru. Poskytnutie dôveryhodného spustenia však nemožno vykonať iba hardvérom. Medzi hlavné výhody hardvéru patria:

• Vysoká úroveň zabezpečenia tajných informácií o heslách, kľúčoch a kontrolných súčtoch systémových súborov. V podmienkach stabilnej prevádzky takého modulu neexistuje spôsob, ako tieto informácie extrahovať. (Existujú však známe útoky na existujúce moduly, ktoré narúšajú ich funkčnosť);
• Možné utajenie šifrovacích algoritmov vykonaných v hardvéri;
• Neschopnosť spustiť počítač bez otvorenia jeho obsahu;
• V prípade šifrovania zavádzacieho sektora nie je možné spustiť operačný systém používateľa ani po odstránení hardvérového modulu;
• V prípade úplného šifrovania údajov nie je možné po odstránení hardvérového modulu získať žiadne údaje.

Príklady existujúceho hardvéru

AMD SVM

Vydané o rok skôr ako Intel TXT

Technológia Intel Trusted Execution

Technológia dôveryhodného spustenia spoločnosti Intel.

Pravdepodobne to nie je spôsob dôveryhodného načítania, ale ochrana zdrojov všetkých jednotlivých aplikácií na úrovni hardvéru ako celku.

TXT je úplne nový koncept zabezpečenia počítača na hardvérovej úrovni vrátane práce s virtuálnymi počítačmi.

Technológia TXT pozostáva z dôsledne bezpečných krokov spracovania informácií a je založená na vylepšenom module Trusted Platform Module. Systém je založený na bezpečnom vykonaní programového kódu. Každá aplikácia spustená v chránenom režime má výhradný prístup k zdrojom počítača a žiadna iná aplikácia nemôže zasahovať do jej izolovaného prostredia. Prostriedky v chránenom režime sú fyzicky pridelené procesorom a sadou systémovej logiky. Bezpečné ukladanie údajov znamená ich šifrovanie pomocou rovnakého modulu TPM. Akékoľvek šifrované údaje TPM je možné získať iba z média pomocou rovnakého modulu, ktorý vykonával šifrovanie.

Spoločnosť Intel taktiež vyvinula bezpečný systém zadávania údajov. Mať malware nebude možné sledovať tok údajov na vstupe počítača a keylogger dostane iba nezmyselnú sadu znakov, pretože všetky vstupné postupy (vrátane prenosu údajov cez USB a dokonca aj kliknutí myšou) budú šifrované. Chránený režim aplikácie vám umožňuje prenášať akékoľvek grafické údaje do vyrovnávacej pamäte snímky grafickej karty iba v šifrovanej forme, takže škodlivý kód nemôže vytvoriť snímku obrazovky a odoslať ju hackerovi.

Hardvérový modul na dôveryhodné stiahnutie „Accord-AMDZ“

Jedná sa o hardvérový radič určený na inštaláciu do slotu PCI / PCI-X / PCI-express / mini PCI / mini PCI-Express. Moduly Accord-AMDZ poskytujú dôveryhodné načítanie operačných systémov (OS) akéhokoľvek typu so štruktúrou súborov FAT12, FAT 16, FAT32, NTFS, HPFS, UFS, FreeBSD UFS / UFS2, EXT2FS, EXT3FS, EXT4FS, QNX 4 súborový systém, Solaris UFS, MINIX, ReiserFS.

Celá softvérová časť modulov (vrátane administračných nástrojov), registračný protokol a zoznam užívateľov sú umiestnené v energeticky nezávislej pamäti ovládača. To poskytuje možnosť identifikovať / autentifikovať používateľov, kontrolovať integritu hardvéru a softvéru osobného počítača (PC), správu a audit na hardvérovej úrovni pomocou ovládača pred načítaním operačného systému.

Kľúčové vlastnosti:

• identifikácia a autentifikácia používateľa pomocou fyzického elektronického produktu - osobného identifikátora - a hesla s dĺžkou až 12 znakov;
• blokovanie načítania počítača z externých médií;
• blokovanie prerušenia ovládacích postupov z klávesnice;
• nastavenie časových obmedzení prístupu používateľov k osobnému počítaču (PC) v súlade s prevádzkovým režimom, ktorý je pre nich nastavený;
• kontrola integrity zloženia počítačového vybavenia, oblastí systému, súborov, registra Windows;
• automatické zaznamenávanie udalostí zaznamenaných vo fáze dôveryhodného zavedenia operačného systému (do energeticky nezávislej pamäte flash ovládača);
• časovač strážneho psa;
• správa bezpečnostného systému (registrácia používateľov, kontrola integrity softvéru a hardvéru počítača).

Pridané vlastnosti:

• kontrola a blokovanie fyzických liniek;
• Rozhranie RS-232 pre aplikáciu plastové karty ako identifikátor;
• hardvérový generátor náhodných čísel pre kryptografické aplikácie;
• voliteľné energeticky nezávislé zariadenie na audit.

Komplex je použiteľný pre stavebné systémy ochrany informácií pred neoprávnenou manipuláciou v súlade s pokynmi (Štátna technická komisia) Ruska na 2. stupni kontroly absencie nedeklarovaných spôsobilostí, môže byť použitý v automatizovaných systémoch až do bezpečnostnej triedy 1D vrátane a používaný ako prostriedok identifikácie / autentifikácie používateľa, riadenia integrity softvéru a hardvérového prostredia (PC) pri vytváraní automatizovaných systémov až do triedy 1B vrátane.

Architektúra

ALTELL TRUST má modulárnu architektúru. Samotný dôveryhodný zavádzací modul je nainštalovaný na chránených zariadeniach a nahrádza štandardný systém BIOS základnej dosky umiestnený v čipe EEPROM a poskytuje dôveryhodné spustenie systému BIOS, viacfaktorové overovanie pred zavedením operačného systému a súlad s politikami prístupu podľa rolí. Modul diaľkové ovládanie je nasadený na serveri pre správu a umožňuje centralizované nasadenie a aktualizácie softvéru, audity zabezpečenia a správu všetkých dôveryhodných zavádzacích modulov z jedného centra.

Možnosti

• Kontrola integrity systému BIOS, hardvérového a softvérového prostredia, objektov systému súborov;
• Viacfaktorová autentifikácia používateľa pred spustením operačného systému;
• Vzdialená správa používateľov, konfigurácie, skupiny zariadení, sťahovanie aktualizácií softvéru, zapínanie / vypínanie chránených zariadení;
• Používajte ako jediný softvér pre tenkých klientov (nulový klient);

Výhody

• Použitie systému BIOS vytvoreného v Rusku;
• Proaktívny prístup k ochrane pred novými hrozbami;
• Autentifikácia na vzdialených serveroch LDAP / AD;
• Vymedzenie funkcií riadenia;
• Vzdialená centralizovaná správa;
• Prispôsobiteľné akémukoľvek typu zariadenia;
• Vstavaný zásobník sieťových protokolov;
• Centralizovaná zbierka bezpečnostných udalostí;
• Nedá sa odstrániť z chráneného zariadenia;
• Podpora technológie SSO;
• Podpora infraštruktúry PKI;
• Vstavaný dôveryhodný hypervisor;
• Certifikát FSTEC pre MDZ triedy ochrany BIOS úrovne 2.

Scenáre aplikácie

ALTELL TRUST je možné použiť na zaistenie dôveryhodného načítania operačných systémov, viacfaktorové overovanie používateľov na vzdialených serveroch AD / LDAP, vzdialené centralizované riadenie park chránených zariadení, vzdialený centralizovaný zber udalostí zabezpečenia a tiež funguje ako jediný softvér tenkých klientov(koncept nulového klienta). Podrobný opis scenárov používania ALTELL TRUST je uvedený v zodpovedajúcej časti.

Porovnanie s konkurenciou

Tradičné hardvérové ​​a softvérové ​​moduly dôveryhodného načítania (APMDZ), uvedené na Ruský trh, nemajú schopnosti nevyhnutné v súčasnej fáze vývoja informačných systémov. APMDZ napríklad nemá funkcie monitorovania a diaľkového ovládania pre počítačový park, nepodporuje viacfaktorové overovanie na vzdialených serveroch, neuplatňuje prístupový model založený na rolách a povinné riadenie prístupu k informáciám a nezaručuje bezpečnosť práce. vo virtuálnych prostrediach. ALTELL TRUST, na druhej strane, bol pôvodne navrhnutý tak, aby tieto výzvy zvládol. Využívala moderné prístupy k poskytovaniu dôveryhodného zavádzania založeného na použití technológií UEFI Trusted Boot s využitím vylepšených a pokročilých funkcií, ako aj koncepcie spoločností NIST a Trusted Computing Group. Výsledkom je, že ALTELL TRUST implementuje výkonnejšie ochranné mechanizmy ako tradičné APMS a súčasne znižuje náklady na správu infraštruktúry informačnej bezpečnosti centralizáciou správy a zhromažďovaním štatistík.

Podporované zariadenia

Vzhľadom na implementáciu ALTELL TRUST na úrovni UEFI BIOS podľa vlastného návrhu, musí byť prispôsobená konkrétne modely chránené zariadenia. Vďaka spolupráci s kľúčovými dodávateľmi (Intel, AMD, Lenovo, Panasonic) je proces revízie ALTELL TRUST maximálne štandardizovaný a včas skomprimovaný. Pretože certifikovaný samotný dôveryhodný zavádzací modul vykonáva zmeny, a nie celý systém BIOS neovplyvňuje pre certifikáty.

ALTELL TRUST v súčasnej dobe podporuje:

• Základné dosky DFI (podpora pre procesory Core i5, 1 × Xeon E3);
• monobloky Lenovo ThinkCentre M72z a M73z;
• Notebooky Panasonic Toughbook CF-53;
• stolné počítače Lenovo ThinkCentre M92p a M93p, ALTELL FORT DT 5/7.

Certifikácia

ALTELL TRUST je certifikovaný FSTEC Ruska ako prostriedok dôveryhodného načítania úrovne základného vstupno-výstupného systému podľa druhej triedy ochrany. Pretože je certifikovaný dôveryhodný zavádzací modul, a nie celý systém UEFI BIOS, prispôsobenie ALTELL TRUST novým zariadeniam nespôsobí neplatnosť prijatých certifikátov. V súčasnej dobe prebiehajú práce na získaní certifikátu FSB.

Informačné materiály

Testovanie

Ak vás zaujímajú možnosti spoločnosti ALTELL TRUST, naši špecialisti ju môžu bezplatne predviesť.

Nástroje alebo moduly dôveryhodného načítania (MDZ, SDZ)- sú to softvér alebo softvérové ​​a hardvérové ​​nástroje, ktoré vám umožňujú spustiť operačný systém výlučne z dôveryhodných pamäťových médií (napríklad pevné disky). Takéto zariadenia môžu navyše monitorovať integritu softvér(systémové súbory a adresáre operačného systému) a technické parametre (porovnajte konfiguráciu počítača pri štarte s tými, ktoré boli preddefinované správcom počas inicializácie), a slúžia ako prostriedky identifikácie a autentifikácie (pomocou hesiel a tokenov).

Dôveryhodné zavádzacie nástroje môžu riešiť problémy, ako napríklad:

Spustenie operačného systému obídením pevného disku. Ak útočník nepozná poverenia legitímnych zamestnancov, ale má fyzický prístup k počítaču alebo serveru používateľa, môže načítať operačný systém z pripravenej jednotky flash a získať tak prístup k informáciám uloženým na pevnom disku. Jednou z možností dôveryhodného zavádzacieho zariadenia je však mechanizmus strážneho psa. Od spustenia operačného systému z externé médiá musíte prejsť do systému BIOS (alebo základného vstupno -výstupného systému) počítača a manuálne vybrať nástroj na zavedenie, môže to trvať veľa času. Ak nastavíte počítač tak, aby sa reštartoval, keď sa operačný systém spustí dlhšie ako obvykle, útočník nebude mať čas na zmenu Nastavenia systému BIOS a spustite systém zo svojho zariadenia.

Krádež prihlasovacích údajov. Aj keď útočník zistí používateľské meno a heslo zamestnanca na vstup do systému, bude obmedzený absenciou osobného identifikátora. Aby mohol používateľ načítať operačný systém, keď je v počítači nainštalovaný dôveryhodný zavádzací modul, musí používateľ použiť osobný identifikátor alebo token. Bez neho sťahovanie neprebehne.

Súlad s regulačnými požiadavkami. V prípade štátnych informačných systémov a systémov, v ktorých sa spracúvajú osobné údaje, sa vyžaduje, aby boli podrobené certifikácii zhody s požiadavkami. Požiadavky zahŕňajú povinnú ochranu informačných systémov prostredníctvom ochrany pred neoprávneným prístupom. V prípade potreby aj viac vysoký stupeň bezpečnosť dát uložených v systéme v bezpečnostných opatreniach predpisovala používanie hardvérového dôveryhodného sťahovania.

Dôveryhodné možnosti sťahovania môžu byť:

• Moduly dôveryhodného bootovacieho firmvéru na úrovni rozširovacej dosky. Takéto zariadenia sú integrované do skrinky počítača pripojením k základná doska cez slot PCI.
• Softvér. Sú kategorizované na dôveryhodné spustenie systému BIOS a úroveň bootovací záznam... Prvé sú vstavané do systému BIOS, ktorý im umožňuje vykonávať svoje funkcie pred spustením operačného systému. Iní nahradia bootovací záznam na pevnom disku a začnú konať skôr, ako operačný systém prevezme kontrolu.

Základy konceptu

• Ovládanie zariadenia, z ktorého BIOS začne načítavať OS (častejšie pevný disk počítača, ale môže to byť aj vymeniteľná čítačka médií, zavedenie siete atď.);
• Kontrola integrity a spoľahlivosti zavádzacieho sektora zariadenia a systémových súborov spusteného operačného systému;
• Šifrovanie / dešifrovanie zavádzacieho sektora, systémových súborov OS alebo šifrovanie všetkých údajov zariadenia (voliteľné).
• Autentifikácia, šifrovanie a ukladanie tajomstiev, ako sú kľúče, kontrolné súčty a hash, sa vykonáva v hardvéri.

Overenie

Autentifikáciu užívateľa je možné vykonávať rôznymi spôsobmi a v rôznych fázach bootovania počítača.

Na potvrdenie identity spúšťajúceho počítača môžu byť potrebné rôzne faktory:

• Tajné používateľské meno a heslo;
• Disketa, CD, flash karta s tajnými autentifikačnými informáciami;
• Dongle pripojený k počítaču cez USB, sériové alebo paralelné porty;
• Hardvérový kľúč alebo biometrické informácie načítané do počítača pomocou samostatného hardvérového modulu.

Autentifikácia môže byť multifaktoriálna. Autentifikácia môže byť tiež viacnásobná s oddelením prístupových práv k počítaču. Jeden používateľ teda môže spustiť operačný systém iba z pevného disku, zatiaľ čo iný bude môcť zmeniť konfiguráciu CMOS a vybrať zavádzacie zariadenie.

K autentifikácii môže dôjsť:

• Počas vykonávania firmvéru systému BIOS;
• Pred načítaním hlavného zavádzacieho záznamu (MBR) alebo zavádzacieho sektora operačného systému;
• Počas vykonávania programu zavádzacieho sektora.

Vykonávanie autentifikácie v rôznych fázach sťahovania má svoje výhody.

Dôveryhodné kroky pri zavádzaní

V rôznych fázach zavádzania počítača je možné dôveryhodné spustenie vykonať rôznymi spôsobmi, a preto bude mať rôzne funkcie.

• Spustenie firmvéru systému BIOS. V tejto fáze je možné implementovať nasledovné: kontrola integrity firmvéru systému BIOS, kontrola integrity a autentickosti nastavení CMOS, autentifikácia (ochrana pred spustením počítača ako celku alebo iba pred zmenou konfigurácie CMOS alebo výberom zavádzacieho zariadenia) ), kontrola nad výberom zavádzacieho zariadenia. Tento krok zavedenia musí byť úplne vykonaný v systéme BIOS výrobcom základnej dosky;
• Prenos ovládania do zavádzacieho zariadenia. V tomto mieste môže systém BIOS namiesto toho, aby pokračoval v zavádzaní, preniesť riadenie do dôveryhodného zavádzacieho hardvérového modulu. Hardvérový modul môže vykonávať autentifikáciu, výber zavádzacieho zariadenia, dešifrovanie a integritu a overovanie zavádzacích sektorov operačného systému a systémových súborov. V tomto prípade je možné dešifrovanie zavádzacieho sektora operačného systému vykonať iba v tejto fáze. Firmvér systému BIOS musí podporovať prenos riadenia na hardvérový modul alebo hardvérový modul musí emulovať samostatné zavádzacie zariadenie vo forme pevného disku, vymeniteľného média alebo sieťového zavádzacieho zariadenia;
• Vykonanie zavádzacieho sektora operačného systému. V tejto fáze je možné vykonať aj integritu, zavádzač, súbory systému operačného systému a autentifikáciu. Spustiteľný kód zavádzacieho sektora má však obmedzenú funkčnosť, pretože má obmedzenie veľkosti a umiestnenia kódu, a je spustený aj pred spustením ovládačov operačného systému.

Použitie hardvéru

Dôveryhodné zavádzacie hardvérové ​​moduly majú významné výhody oproti čistému softvéru. Poskytnutie dôveryhodného spustenia však nemožno vykonať iba hardvérom. Medzi hlavné výhody hardvéru patria:

• Vysoká úroveň zabezpečenia tajných informácií o heslách, kľúčoch a kontrolných súčtoch systémových súborov. V podmienkach stabilnej prevádzky takého modulu neexistuje spôsob, ako tieto informácie extrahovať. (Existujú však známe útoky na existujúce moduly, ktoré narúšajú ich funkčnosť);
• Možné utajenie šifrovacích algoritmov vykonaných v hardvéri;
• Neschopnosť spustiť počítač bez otvorenia jeho obsahu;
• V prípade šifrovania zavádzacieho sektora nie je možné spustiť operačný systém používateľa ani po odstránení hardvérového modulu;
• V prípade úplného šifrovania údajov nie je možné po odstránení hardvérového modulu získať žiadne údaje.

Príklady existujúceho hardvéru

Technológia Intel Trusted Execution

Technológia dôveryhodného spustenia spoločnosti Intel.

Pravdepodobne to nie je spôsob dôveryhodného načítania, ale ochrana zdrojov všetkých jednotlivých aplikácií na úrovni hardvéru ako celku.

TXT je úplne nový koncept zabezpečenia počítača na hardvérovej úrovni vrátane práce s virtuálnymi počítačmi.

Technológia TXT pozostáva z dôsledne bezpečných krokov spracovania a je založená na pokročilom TPM. Systém je založený na bezpečnom vykonaní programového kódu. Každá aplikácia spustená v chránenom režime má výhradný prístup k zdrojom počítača a žiadna iná aplikácia nemôže zasahovať do jej izolovaného prostredia. Prostriedky v chránenom režime sú fyzicky pridelené procesorom a sadou systémovej logiky. Bezpečné ukladanie údajov znamená ich šifrovanie pomocou rovnakého modulu TPM. Akékoľvek šifrované údaje TPM je možné získať iba z média pomocou rovnakého modulu, ktorý vykonával šifrovanie.

Spoločnosť Intel taktiež vyvinula bezpečný systém zadávania údajov. Škodlivý program nebude schopný sledovať tok údajov na vstupe počítača a keylogger dostane iba nezmyselnú sadu znakov, pretože všetky vstupné postupy (vrátane prenosu údajov cez USB a dokonca aj kliknutí myšou) budú šifrované. Chránený režim aplikácie vám umožňuje prenášať akékoľvek grafické údaje do vyrovnávacej pamäte snímky grafickej karty iba v šifrovanej forme, takže škodlivý kód nemôže vytvoriť snímku obrazovky a odoslať ju hackerovi.

Hardvérový modul na dôveryhodné stiahnutie „Accord-AMDZ“

Jedná sa o hardvérový radič určený na inštaláciu do slotu ISA (úprava 4.5) alebo PCI (úprava 5.0). Moduly Accord-AMDZ poskytujú dôveryhodné načítanie operačných systémov (OS) akéhokoľvek typu so štruktúrou súborov FAT12, FAT 16, FAT32, NTFS, HPFS, UFS, UFS2, EXT2FS, EXT3FS, EXT4FS, QNX 4, VMFS verzie 3.

Celá softvérová časť modulov (vrátane administračných nástrojov), protokol udalostí a zoznam užívateľov sú umiestnené v energeticky nezávislej pamäti ovládača. Funkcie identifikácie / autentifikácie používateľa, kontroly integrity hardvérového a softvérového prostredia, správy a auditu teda vykonáva samotný radič pred načítaním operačného systému.

Kľúčové vlastnosti:

• identifikácia a autentifikácia používateľa pomocou identifikátora TM a hesla do 12 znakov;
• blokovanie načítania počítača z externých médií;
• obmedzenie času práce používateľov;
• kontrola integrity súborov, hardvéru a registrov;
• registrácia prihlásení užívateľov do systému v registračnom protokole;
• správa bezpečnostného systému (registrácia používateľov, kontrola integrity softvéru a hardvéru počítača).

Pridané vlastnosti:

• kontrola a blokovanie fyzických liniek;
• Rozhranie RS-232 na používanie plastových kariet ako identifikátora;
• hardvérový generátor náhodných čísel pre kryptografické aplikácie;
• voliteľné energeticky nezávislé zariadenie na audit.

Dôveryhodný zavádzací modul „Krypton-lock / PCI“

Navrhnuté na vymedzenie a kontrolu prístupu používateľov k hardvérovým zdrojom samostatných pracovných staníc, pracovných staníc a serverov lokálnej siete. Umožňuje vám ovládať integritu softvérového prostredia v operačnom systéme pomocou súborové systémy FAT12, FAT16, FAT32 a NTFS.

Zvláštnosti:

• identifikácia a autentifikácia používateľov pred spustením systému BIOS pomocou identifikátorov dotykovej pamäte;
• diferenciácia počítačových zdrojov, nútené načítanie operačného systému (OS) z vybraného zariadenia v súlade s individuálnymi nastaveniami pre každého používateľa;
• blokovanie počítača v prípade neoprávneného zásahu, udržiavanie elektronického protokolu udalostí vo vlastnej energeticky nezávislej pamäti;
• výpočet referenčných hodnôt kontrolných súčtov objektov a overenie aktuálnych hodnôt kontrolných súčtov, export / import zoznamu naskenovaných objektov na disketu;
• schopnosť integrovať sa do iných bezpečnostných systémov (alarmy, požiarna ochrana atď.).