Криптографическая защита информации в ERP-системах компании SAP

Сергей Ненашев
разработчик продуктов и услуг компании ООО "ИНФОРИОН"

Технологическая платформа SAP NetWeaver 2004 Application Server сертифицирована по 4-му классу защищенности от несанкционированного доступа и по 3-му уровню контроля отсутствия недекларированных возможностей. Кроме того, важной особенностью систем защиты данных является необходимость использования криптографических средств защиты информации. Так, российское законодательство требует применения сертифицированных криптографических алгоритмов и средств, есть подобные законы и в других государствах. Для учета национальных, местных и различных частных решений в области криптографической защиты данных компания SAP AG предлагает использовать технологии интеграции средств защиты со своими программными продуктами и предоставляет специальные программные интерфейсы - SNC (Secure Network Communications) и SSF (Secure Store and Forward).

К настоящему времени системы планирования ресурсов предприятия (ERP-системы) стали жизненно необходимыми для крупных компаний. Их использование позволяет осуществить интеграцию и централизацию информации о финансах, поставках, заказах, персонале, а также стандартизировать и оптимизировать бизнес-процессы. Все это помогает компании получать конкурентные преимущества на рынке благодаря сокращению расходов и времени производства продукции. Централизация контроля над процессами обработки заказов и поставок позволяет повысить качество обслуживания клиентов. Разумеется, данные о сотрудниках компании, ее финансовом состоянии и об отношениях с клиентами должны быть защищены как от утечки, так и от фальсификации.

Компания SAP AG в России де-факто является лидером рынка решений для управления предприятиями, а ее ERP-системы применяются крупнейшими международными и российскими компаниями.

Архитектура систем SAP R/3

Архитектура SAP R/3 обеспечивает распределение вычислительных нагрузок между серверами, находящимися в сетевом взаимодействии. Работать совместно может большое количество различных приложений, расположенных удаленно на различных сетевых узлах.

В основе архитектуры R/3-систем лежит трехуровневая клиент-серверная модель обработки информации. Такая модель распределяет функции работы с данными между тремя слоями:

• слой базы данных;
• слой приложений;
• слой представления. Трехуровневая   клиент-серверная архитектура может расширяться  в  многоуровневую систему. При этом, например, добавляются  компоненты для работы с Интернетом, что в инфраструктуре  SAP обеспечивается с помощью Internet Transaction Server (ITS).

Различные программные компоненты в распределенной R/3-системе взаимодействуют по сети с использованием специальных протоколов посредством TCP/IP. Например, слой представления (приложение SAPgui) управляет работой приложений. Сервисы печати предоставляются приложением SAP Line Printer Daemon (SAPlpd). Для осуществления сетевого взаимодействия компонентов системы могут использоваться общедоступные каналы связи, а следовательно, может возникнуть необходимость в применении средств криптографической защиты информации.

Продукты INFORION в сфере безопасности SAP

В целях реализации механизмов обеспечения криптографической защиты данных в ERP-системах SAP компания ИНФОРИОН разработала продукты INFORION-SNC и INFORION-SSF. Данные продукты используют криптографические сервисы российского криптопровайдера "КриптоПро CSP" компании "Крипто-Про". Продукт "КриптоПро CSP" имеет сертификат соответствия ФСБ и может применяться для формирования ключей шифрования и ключей ЭЦП, шифрования и имитозащиты данных, обеспечения целостности и подлинности информации, не содержащей сведений, составляющих государственную тайну.

INFORION-SNC

Это продукт, предназначенный для защиты информации, передаваемой по каналам связи между различными компонентами систем SAP. Он обеспечивает:

• криптографическую защиту соединений  между компонентами;
• применение для аутентификации смарт-карт, электронных ключей и других средств;
• проверку статусов сертификатов посредством списков отзыва сертификатов.

Программный продукт INFORION-SNC представляет собой реализацию интерфейса SNC, программного слоя, который предоставляет интерфейс к внешнему продукту, выполняющему функции обеспечения ИБ. Системы SAP имеют базовые возможности в сфере безопасности, такие как, например, аутентификация пользователей на основе паролей. Слой SNC расширяет эти возможности.

INFORION-SNC работает с сертификатами и ключами в рамках инфраструктуры управления открытыми ключами (PKI). Это позволяет легко интегрировать его в уже развернутые информационные комплексы, использующие эту технологию на основе криптопровайдера "КриптоПро CSP".

В соответствии со спецификациями SAP продуктами семейства R/3 предоставляются три различных уровня защиты, выбор одного из которых обуславливается политикой безопасности компании и требованиями к скорости передачи данных по защищаемым каналам связи:

• только аутентификация - минимальный уровень защиты, обеспечивающий взаимную аутентификацию сторон, устанавливающих между собой соединение;
• обеспечение целостности -после успешной аутентификации производится контроль целостности  всего циркулирующего между узлами трафика;
• обеспечение конфиденциальности - максимальный уровень защиты, при котором после успешной аутентификации обеспечивается конфиденциальность и контроль целостности трафика.

В процессе аутентификации по каналам связи не передаются секретные ключи - аутентификация построена на применении алгоритмов криптографии с открытым ключом. Защита шифрованием выполняется на основе симметричного алгоритма, однако общий секретный ключ вырабатывается в процессе аутентификации и не передается по каналам связи. Благодаря этому даже прослушивание всего трафика на этапе аутентификации не позволяет злоумышленнику получить доступ к передаваемой информации.

Вариант применения SNC

С помощью SNC можно реализовывать различные сценарии защиты. Например, можно защищать канал связи между двумя SAProuter (см. рисунок), находящимися в двух разных филиалах компании и взаимодействующими через общедоступные каналы связи. Устанавливая между собой соединение, SAProuter пройдут процедуру взаимной аутентификации на основе электронных цифровых подписей и, если выбран повышенный режим защиты, будут обеспечивать контроль целостности информации, передаваемой по каналу связи, а также ее конфиденциальность.

INFORON-SSF

Это программный продукт компании ИНФОРИОН, позволяющий защищать данные и документы в системах SAP криптографическими средствами. Защищаемая с помощью INFORION-SSF информация хранится в виде отдельных блоков данных. При использовании INFORION-SSF электронные документы "оборачиваются" в безопасный формат и могут передаваться за пределы системы SAP.

Как и INFORION-SNC, INFORION-SSF использует криптопровайдер "КриптоПро CSP" и обеспечивает выполнение всех требований спецификаций SAP. Существует версия INFORION-SSF, предназначенная для работы с криптопровайдером ViPNet. В 2007 г. программный продукт INFORION-SSF успешно прошел сертификацию в SAP.

ПО INFORION-SSF применяет цифровые подписи и цифровые конверты для защиты электронных документов. Создание цифровой подписи и шифрование данных осуществляется в соответствии с российскими стандартами ГОСТ Р 34.10-94, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001. Цифровая подпись уникально идентифицирует подписчика, фиксирует время создания подписи, а также обеспечивает целостность данных. Кроме того, есть возможность добавлять подписчиков к уже сформированному подписанному сообщению. Цифровой конверт гарантирует, что содержимое будет доступно только тому получателю, для которого оно предназначено. Получателей может быть несколько. При использовании SSF может потребоваться передать подписанный или зашифрованный документ за пределы системы SAP абоненту, работающему с другим программным обеспечением. По этой причине формат сообщений SSF стандартен - это PKCS #7, описанный в RFC 2315, и может обрабатываться сторонними  продуктами, например программой "Крипто-АРМ"3.

Применение INFORION-SSF в системах SAP полезно во многих случаях. Его можно использовать для обеспечения:

• идентификации лиц или программных компонентов;
• неотказуемости или доказательства наличия обязательств (например,   для   электронной цифровой подписи договоров, выполненных в электронном виде);
• аутентичности и целостности данных (например, при хранении журналов аудита);
• передачи и хранения конфиденциальной информации.

В зависимости от архитектуры процессов взаимодействия пользователей в рамках применяемой системы электронного документооборота могут реализовываться различные сценарии использования SSF. Часть документов при взаимодействии может защищаться шифрованием, на определенном этапе может потребоваться защита документов электронными цифровыми подписями.

С лета 2009 г. программные продукты INFORION-SSF и INFORION-SNC будут предоставляться бесплатно после предварительной регистрации и получения программного ключа. О начале работы данного сервиса будет дополнительно объявлено на сайте компании по адресу www.inforion.ru.