Как не стать Джеймсом Бондом

Константин Беклемишев
, разработчик компании "Айдеко"

Зачастую специалисту по безопасности приходится покупать билет на самолет и отправляться в точку назначения. Там, не выходя за пределы аэропорта, он передает информацию из рук в руки и улетает обратно. Кейс отдан, операция завершена успешно. Но покупка авиабилета вместо шифрования данных и передачи их через Интернет – ненадежный и недешевый способ решения проблемы, которая перестает быть таковой при создании защищенной IT-инфраструктуры.

Роль криптографии в обеспечении безопасности бизнес-процессов возрастает с каждым годом. Если в начале 2000-х гг. была широко распространена практика выбора средств шифрования по критерию "криптографическая стойкость", то теперь специалисты по ИБ все чаще стали рассматривать сценарии использования сертифицированных средств криптографической защиты информации (СКЗИ). Эти изменения во многом простимулировал вступивший в силу в июле 2011 г. ФЗ № 152 "О персональных данных".

Без ФСБ нельзя

Проблема эксплуатации СКЗИ связана с большим количеством нормативных ограничений на их распространение и внедрение. Практически все такие операции требуют наличия лицензии ФСБ России.

Для построения безопасных каналов связи между филиалами компании пользователи интернет-шлюза Ideco ICS могут применять сертифицированный СКЗИ "МагПро КриптоПакет".

Продукт соответствует:

• ГОСТ 28147-89,ГОСТ Р 34.10 2001, ГОСТ Р 34.10-94;
• требованиям ФСБ России к СКЗИ класса КС1.

СКЗИ "МагПро КриптоПакет" не встраивается в Ideco ICS, а функционирует на уровне отдельного сетевого программно-аппаратного комплекса Ideco МагПро. Он работает под управлением ОС Debian (Linux).

Стоит подчеркнуть, что Ideco МагПро применим для криптографической защиты информации, которая не относится к гостайне.

Управление сервером Ideco МагПро ГОСТ-VPN происходит через Web-интерфейс интернет-шлюза Ideco ICS. Любой сервер Ideco МагПро может работать в двух режимах: сервер и клиент.

Этапы внедрения Ideco МагПро

На первом этапе внедрения сервер Ideco МагПро напрямую подключается кабелем к выделенному сетевому интерфейсу интернет-шлюза Ideco ICS. При этом в сервере Ideco должна присутствовать отдельная сетевая карта.

В головном офисе Ideco Маг-Про настраивается как сервер, а в дочерних подразделениях – как клиент. Между серверами Ideco МагПро устанавливается VPN-туннель, по которому передается зашифрованный с применением ГОСТ-алгоритмов трафик.

Если сотруднику одного офиса нужно подключиться к компьютеру, находящемуся в другом офисе, это соединение автоматически оказывается защищенным.

ГОСТ-VPN сервер Ideco Маг-Про – это еще и центр сертификации, он выпускает цифровые сертификаты и осуществляет их поддержку. В рамках выполнения базовых криптографических операций они являются открытой информацией и наряду с запросами на сертификаты могут передаваться любым незащищенным способом. Здесь же создаются и хранятся криптографические ключи. Это секретная информация, доступ к которой закрыт. Центр сертификации выпускает сертификат и в дальнейшем поддерживает его на протяжении всего времени жизни. В случае необходимости отзыв сертификатов также осуществляет сервер Ideco МагПро.

При настройке ГОСТ-VPN-клиента генерируется ключ клиента и запрос на сертификат. После создания сертификата клиента VPN-соединение устанавливается автоматически.