СРЕДСТВО ДОВЕРЕННОЙ ЗАГРУЗКИ СО ВСТРОЕННЫМ БИНАРНЫМ ТРАНСЛЯТОРОМ ОПЕРАЦИОННОЙ СИСТЕМЫ И БЕСПРОВОДНЫМ КАНАЛОМ УПРАВЛЕНИЯ Российский патент 2024 года по МПК G06F21/57 

Область техники

Изобретение относится к средствам защиты информации и может быть использовано в составе средств вычислительной техники, на которых производится обработка информации ограниченного доступа. Реализация изобретения обеспечивает возможность удаленного управления собственными параметрами и настройками, а также обеспечивает запуск операционных систем архитектуры, отличной от архитектуры применяемой вычислительной техники (нативной/native).

Уровень техники

В области информационной безопасности предъявляются требования по защите информации от несанкционированного доступа (далее - НСД), среди которых обязательное использование средств или механизмов доверенной загрузки (далее - СДЗ и МДЗ соответственно). Выполнение этих требований в первую очередь необходимо для тех организаций, которые в своей деятельности сталкиваются с обработкой информации ограниченного доступа и необходимостью защиты информации в автоматизированных или информационных системах.

Для установки и корректной работы СДЗ требуется свободный разъем на материнской плате, например, для многих оригинальных средств вычислительной техники (далее - СВТ) слот PCI Express, mini-PCI Express, тип М.2. Также требуется поданное питание для режима ожидания (standby) защищаемого СВТ и подключение разъема установки СДЗ на материнской плате к одному из интерфейсов защищаемого СВТ.

Присутствующие на российском рынке средства защиты информации типа СДЗ обеспечивают выполнение следующих основных функций:

- идентификация и аутентификация пользователей до загрузки ОС с помощью персональных электронных идентификаторов: USB-ключи, смарт-карты, идентификаторы iButton и др.;

- контроль целостности программного и аппаратного обеспечения СВТ до загрузки операционной системы (далее - ОС);

- блокировка несанкционированной загрузки ОС с внешних съемных носителей;

- функционирование сторожевого таймера, позволяющего блокировать работу СВТ при условии, что после его включения и по истечении определенного времени управление не было передано плате СДЗ;

- контроль работоспособности основных компонентов СДЗ: энергонезависимой памяти, идентификаторов, датчика случайных чисел и др.;

-регистрация действий пользователей и совместная работа с внешними приложениями: передача данных со встроенного датчика случайных чисел, подключение средств идентификации и аутентификации, вызов программных средств защиты информации и др.

Для развития «интернета вещей» (IoT) применяются телекоммуникационные решения на основе современных стандартов для глобальных сетей с низким энергопотреблением (LoRa, NB-IoT, SigFox и т.д.). Примером перспективного стандарта такой сети связи является ГОСТ Р 70036-2022 «Информационные технологии. Интернет вещей. Протокол беспроводной передачи данных на основе узкополосной модуляции радиосигнала (NB-Fi)». Особенностью реализации приемопередатчиков для устройств такой сети являются относительно низкая себестоимость при обеспечении должной защиты канала связи.

Для развития оригинальных аппаратных платформ применяются бинарные трансляторы (программные средства бинарной трансляции уровня системы, позволяющее запускать ОС гостевой (ненативной) архитектуры). Как правило, они используются для преобразования кодов популярной аппаратной платформы х86-64 в оптимизированные коды аппаратных платформ на основе архитектур ARM, Эльбрус или RISC V. Тем самым они позволяют применить порой необходимое, но несовместимое программное обеспечение (ПО), включая защищенные операционные системы, в составе программно-аппаратных комплексов с эффективной, но отличной от х86-64 аппаратной платформой. Известны такие бинарные трансляторы как «Rosetta» компании Apple, «ExaGear» от компании Huawei Technologies Co. Ltd. или «Система битовой компиляции (СБК)» от компании АО «МЦСТ» и т.д.

Среди СДЗ выделяются аппаратно-программные модули доверенной загрузки (АПМДЗ), которые обеспечивают контроль и разграничение доступа к ресурсам СВТ на основе строгой двухфакторной аутентификации, а также контроль целостности используемой программной среды. Их оснащение функциями учета данных обеспечивает надежное и безопасное управление различными событиями информационной безопасности серверов и автоматизированных рабочих мест.На сегодняшний день лидирующие позиции на отечественном рынке СДЗ занимают технические решения, такие как «Криптон-Замок», «Компьютерная система с удаленным управлением сервером и устройством создания доверенной среды».

Известно устройство защиты информации от несанкционированного доступа для компьютеров информационно-вычислительных систем (патент RU №2321055, опубликованный 27.03.2008 г. ), производимое в виде продукта «Криптон-Замок», представляющее собой АПМДЗ, который реализует функции системообразующего модуля, обеспечивающего взаимосвязь и взаимодействие между компонентами системыкомплексной защиты. Помимо выполнения наиболее критичных операций непосредственно в самом АПМДЗ, модуль взаимодействует с устройствами криптографической защиты информации (проводит загрузку в них алгоритмов шифрования и ключевой информации), системой разграничения доступа, устройствами блокировки, реализует надежные механизмы защиты от несанкционированного доступа в сеть при использовании технологии «тонкого клиента», поддерживая взаимодействие с серверами информационно-вычислительных систем по защищенному каналу связи.

К недостаткам данного устройства относится отсутствие удаленного управления, беспроводного защищенного канала управления для обеспечения среды с высокой степенью доверия, необходимой для обработки информации с высоким грифом секретности и отсутствие встроенного бинарного транслятора.

Наиболее близким к заявляемому СДЗ является техническое решение «Компьютерная система с удаленным управлением сервером и устройством создания доверенной среды» (патент RU №2690782, опубликованный 05.06.2019 г. ), предназначенное для создания защищенных компьютерных сетей с удаленным управлением и администрированием автоматизированных рабочих мест, серверов и другого компьютерного оборудования. Включающая сервер с интеллектуальным интерфейсом управления платформой и автоматизированное рабочее место администратора, связанные защищенным каналом передачи данных и снабженные устройствами создания доверенной среды, содержащее управляющий микроконтроллер, работающий независимо от центрального процессора сервера и включающий в свой состав аппаратно-программные функциональные модули, обеспечивающие идентификацию и аутентификацию пользователей, реализацию защитных функций устройства, управление питанием сервера и взаимодействие с внешними средствами защиты, а также модуль удаленной многофакторной взаимной аутентификации и модуль удаленного управления, и введенный дополнительный интерфейс взаимодействия с сетевым аппаратным шифратором, а в состав модуля удаленного управления устройства введен блок коммутации.

Недостатком аналога является отсутствие отдельного беспроводного канала внешнего управления, позволяющего в произвольное время оперативно изменить или проверить его настройки и параметры функционирования по закрытому каналу передачи данных. Беспроводный канал не отменяет доступ СДЗ к имеющимся проводным каналам защищаемого СВТ. Наличие множества каналов позволяет, например, по одному из них передавать ключевую информацию, необходимую для функционирования алгоритмов криптографического преобразования информации, а по второму обеспечивать передачу защищенных от потенциального нарушителя зашифрованных данных. Другим существенным ограничением применения известных СДЗ является то, что запуск отличнойот нативной ОС возможен только через перезагрузку СВТ. В результате чего нет гарантии успешной передачи управления внешнему бинарному транслятору, что приведет к увеличению поверхности реализации атак, направленных на уменьшение уровня безопасности обрабатываемой информации ограниченного доступа. Вероятность возникновения и число возможных отказов системы также увеличивается.

В качестве примера может рассматриваться случай, когда бинарному транслятору не передается идентификатор выбранной видеокарты, следовательно, загрузка может начаться на отсутствующем мониторе, когда видеосигнал может выводиться на опломбированный порт. Применение отличной от нативной ОС позволяет исключить или затруднить возможное применение потенциальным нарушителем компьютерных вирусов или аппаратно-программных уязвимостей.

Заявленное изобретение является реализацией СДЗ для защиты информации от НСД, обрабатываемой в СВТ, согласно существующим требованиям при устранении ограничений их применения, которые особенно существенны при применении в СВТ, устанавливаемых в крупных центрах обработки данных или центрах управления автоматизированных систем.

Раскрытие сущности изобретения

В основу изобретения положена техническая задача реализовать СДЗ для защиты СВТ от НСД согласно существующим требованиям по безопасности информации ограниченного доступа и при этом расширить функциональность за счет создания беспроводного канала управления СДЗ на основе одного из стандартов, применяемого в глобальных сетях с низким энергопотреблением, и обеспечения возможности запуска ОС архитектуры, отличной от нативной.

В предлагаемом устройстве представлено следующее сочетание отличительных признаков и свойств, благодаря которым достигается технический результат:

Во-первых, предлагаемое изобретение, помимо общепринятых для СДЗ компонентов и решений, содержит следующую оригинальную совокупность составляющих: приемопередатчик беспроводного канала, встроенный в печатную плату вывод антенны беспроводного канала, контактирующее устройство с антенной беспроводного канала, аккумуляторная батарея и два отдельных блока хранения в постоянном запоминающем устройстве.

Во-вторых, предлагаемое изобретение в составе программного обеспечения СДЗ имеет программный модуль загрузки бинарного транслятора (kexec/kexec-lintel) и операционной системы (нативной/ ненативной). Это позволяет запускать ОС для архитектуры, отличной от архитектуры защищаемого от несанкционированного доступа СВТ (отличной от нативной).

В-третьих, два отдельных блока хранения (блок хранения бинарного транслятора и блок хранения ПО модуля СДЗ) позволяют изолироватьбинарный транслятор от остальных программных компонентов СДЗ, что гарантирует его целостность путем отключения аппаратного доступа для его изменения через встроенное программное обеспечение СДЗ.

В-четвертых, наличие разъема для установки аккумуляторной батареи обеспечивает работу предлагаемого изобретения при выключенном питании СВТ с целью непрерывного контроля. При этом опциональное отсутствие батареи не исключает полноценную работу СДЗ при поданном на СВТ питании.

В-пятых, предлагаемое изобретение в составе программного обеспечения модуля СДЗ содержит программный модуль поддержки беспроводного канала, позволяющий реализовать работу беспроводного канала управления, что дает возможность администратору безопасности управление аналогичными СДЗ с любого устройства в сети.

Наличие и использование всех указанных признаков и свойств позволяет существенным образом расширить области применения СДЗ, не нарушая установленных требований по защите СВТ от НСД. Сочетание отличительных признаков и свойств предлагаемого изобретения, а именно, беспроводного канала сети управления и встроенного средства бинарной трансляции уровня системы ранее в образцах техники не известно, поэтому вышеуказанное соответствует критерию новизны.

На фигуре 1 приведена структурная схема СДЗ, где:

- ПО СД3-программное обеспечение средства доверенной загрузки;

- ПО модуля СД3-программное обеспечение модуля средства доверенной загрузки;

- ПЗУ - постоянное запоминающее устройство.

Осуществление изобретения

Заявляемое изобретение состоит из модуля СДЗ, контактирующего устройства с антенной беспроводного канала и программного обеспечения СДЗ.

Модуль СДЗ представляет из себя печатную плату со встроенным выводом антенны беспроводного канала и смонтированными на ней электронными компонентами:

- процессор идентификации и аутентификации пользователей;

- приемопередатчик беспроводного канала, связанный с процессором;

-разъем для установки аккумуляторной батареи, подключаемой параллельно основной системе питания и обеспечивающей работу даже при выключенном питании СВТ;

- постоянное запоминающее устройство, в котором помимо общепринятых блоков хранения (блок со списком контролируемых объектов, программного обеспечения проверки целостности устройства и т.п.) выделены отдельные блоки для хранения бинарного транслятора и для хранения программного обеспечения модуля СДЗ;

- программное обеспечение модуля СДЗ, включающее программный модуль поддержки беспроводного канала.

Кроме этого, модуль СДЗ содержит не указанные на фигуре 1 общепринятые для СДЗ компоненты, такие как:

- аппаратный датчик случайных чисел;

- оперативное запоминающее устройство;

- система контроля питания и т.д.

Реализация заявляемого изобретения осуществляет следующую последовательность запуска СВТ:

При включении СВТ с установленным образцом предлагаемого СДЗ со встроенными средствами бинарной трансляции уровня системы происходит запуск программы начального старта, передающей управление заявляемому изобретению.

В заявляемом изобретении запускается программное обеспечение СДЗ, позволяющее провести двухфакторную аутентификацию пользователя, и среди прочих функций включающее программный модуль начальной загрузки бинарного транслятора. Таким образом, управление получает бинарный транслятор с сообщением необходимых для обеспечения доверенной загрузки параметров таких, как загрузочный диск и активный видеоадаптер.

После авторизации пользователя ему предоставляется выбор ОС. После загрузки ОС работа СВТ продолжается в штатном режиме. В случае выбора нативной ОС происходит передача управления стандартными средствами ядра (механизм «кехес»). В случае выбора бинарного транслятора с ОС, отличной от нативной, передача управления этой ОС осуществляется с помощью программного средства «кехес-lintel».

Программное обеспечение бинарного транслятора является оригинальной разработкой в ядре «Linux», с реализацией системного вызова ядра и программы пользователя, служащей для загрузки файла бинарного транслятора и заполнения необходимой ему структуры с параметрами.

Результативность процесса защиты информации от НСД во многом обеспечивается отсутствием необходимости в дополнительной перезагрузке СВТ в процессе передачи управления бинарному транслятору. При этом время, проходящее между проверкой целостности гостевой ОС и ее актуальным запуском, в течение которого существует вероятность реализации угроз безопасности информации ограниченного доступа потенциальным злоумышленником, уменьшается. Кроме того, отсутствие работы загрузчика СВТ на этапе между завершением работы программного обеспечения СДЗ и запуском бинарного транслятора позволяет уменьшить вероятность реализации угроз безопасности информации ограниченного доступа.

Возможно осуществление заявляемого изобретения в виде компактной компьютерной карты расширения, выполненной в соответствии со спецификацией М.2 (NGFF) в варианте 22110.

Функционирование беспроводного канала реализовано с помощью программного модуля поддержки беспроводного канала. С помощью данного программного обеспечения происходит информационный обмен с помощью специализированного протокола, реализующего конфиденциальность и имитозащиту передаваемых сообщений, а также защиту от навязывания повторных сообщений. Беспроводной канал управления обеспечивает передачу информации о пользователях СДЗ от автоматизированного рабочего места администратора безопасности информации всем СВТ со встроенными СДЗ, находящимся в общей системе, и информации о событиях информационной безопасности, в обратном направлении.

В беспроводном канале обеспечена защита исходных сообщений путем их опционального шифрования, а также снабжения дополнительными данными, в частности, для обеспечения имитозащиты сообщений и защиты от навязывания повторных сообщений с использованием криптографических методов.

При использовании изобретения в индустриальных системах учтены ряд особенностей эксплуатации в промышленных сетях: каналы передачи данных, обладающие низкой стабильностью, работа в условиях разнообразных промышленных шумов. Указанные особенности не позволяют, в ряде случаев, использовать криптографические протоколы, разработанные для применения в сети общего пользования «Интернет», ввиду этого в изобретении использован специализированный криптографический протокол. В предлагаемом СДЗ реализован беспроводной канал с применением криптографических алгоритмов преобразования данных: блочный шифр «Магма», в соответствии с требованиями ГОСТ Р 34.12-2015, и режим гаммирования в соответствии с требованиями ГОСТ Р 34.13-2015. В качестве ключа используется ключ шифрования сообщения KENC. Значение входного параметра режима гаммирования s=64.

Изобретение относится к средствам защиты информации и может быть использовано в составе средств вычислительной техники, на которых производится обработка информации ограниченного доступа. Техническим результатом является расширение функциональности средства доверенной загрузки (СДЗ) за счет создания беспроводного канала управления СДЗ и обеспечение возможности запуска ОС архитектуры, отличной от нативной. Технический результат достигается тем, что на печатной плате СДЗ смонтирован приемопередатчик беспроводного канала; в печатную плату встроен вывод антенны беспроводного канала; контактирующее устройство содержит антенну беспроводного канала; на печатной плате смонтирован разъем для установки аккумуляторной батареи; на печатной плате смонтировано постоянное запоминающее устройство с двумя отдельными блоками хранения - блоком хранения бинарного транслятора и блоком хранения программного обеспечения модуля средства доверенной загрузки; программное обеспечение модуля средства доверенной загрузки содержит программный модуль поддержки беспроводного канала; программное обеспечение средства доверенной загрузки содержит программный модуль загрузки бинарного транслятора и операционной системы. 4 з.п. ф-лы, 1 ил.

1. Средство доверенной загрузки со встроенным бинарным транслятором операционной системы и беспроводным каналом управления, состоящее из отдельной платы с разъемом подключения к материнской плате средства вычислительной техники, содержащее датчик случайных чисел, постоянное запоминающее устройство с кодом программы микроконтроллера, батарейку встроенных часов, блок переключателей для выбора режимов работы защитных/защищаемых компонентов средства вычислительной техники, электронный ключ, управляемый со стороны средства доверенной загрузки и разграничивающий доступ к данным в запоминающих устройствах,

отличающееся тем, что на печатной плате смонтирован приемопередатчик беспроводного канала; в печатную плату встроен вывод антенны беспроводного канала; контактирующее устройство содержит антенну беспроводного канала; на печатной плате смонтирован разъем для установки аккумуляторной батареи; на печатной плате смонтировано постоянное запоминающее устройство с двумя отдельными блоками хранения - блоком хранения бинарного транслятора и блоком хранения программного обеспечения модуля средства доверенной загрузки; программное обеспечение модуля средства доверенной загрузки содержит программный модуль поддержки беспроводного канала; программное обеспечение средства доверенной загрузки содержит программный модуль загрузки бинарного транслятора и операционной системы.

2. Средство доверенной загрузки по п. 1, отличающееся тем, что программный модуль начальной загрузки бинарного транслятора и операционной системы реализует передачу управления бинарному транслятору и необходимых ему параметров для запуска доверенной операционной системы, отличной от нативной.

3. Средство доверенной загрузки по п. 1, отличающееся тем, что два отдельных блока хранения в постоянном запоминающем устройстве позволяют изолировать бинарный транслятор от остальных программных компонентов средства доверенной загрузки, что гарантирует его целостность путем отключения аппаратного доступа для его изменения.

4. Средство доверенной загрузки по п. 1, отличающееся тем, что аккумуляторная батарея обеспечивает работу устройства при выключенном питании средства вычислительной техники с целью непрерывного контроля, при этом опциональное отсутствие батареи не исключает полноценную работу средства доверенной загрузки при поданном на средство вычислительной техники питании.

5. Средство доверенной загрузки по п. 1, отличающееся тем, программный модуль поддержки беспроводного канала обеспечивает возможность реализации управления настройками и параметрами функционирования по беспроводным каналам в сети управления, что позволяет администратору безопасности управление аналогичными средствами доверенной загрузки с любого устройства в сети.