This article is devoted to research of basic standards used for cryptographic modules. Features and sections of standards are considered. At the end of the article provides a brief conclusion.
Keywords: Cryptographic module, Information Security, Common Criteria, Physical protection, Information technology, Cryptographic security standards.
Введение
В последнее время, остро стоит вопрос национальной безопасности и бизнеса в информационной среде. Поэтому все большую актуальность имеет проблема обеспечения защиты информации, хранящей сведения, составляющие государственную тайну, прочую информацию с закрытым доступом. Для этого нужно предотвратить утечку информации по техническим каналам, несанкционированный доступ к ней, специальное воздействие на информацию в целях её получения, уничтожения, искажения и блокирования доступа к ней.
Одним из способов защиты информации является применение специализированных аппаратных модулей защиты информации. С помощью данных модулей можно реализовать систему безопасности, которая будет противодействовать несанкционированному доступу как на программном уровне, так и на физическом.
Для эффективного анализа модулей защиты информации необходимы четкие требования, на соответствие которым модули будут проверяться. Рассмотрим основные стандарты, которые применяются при сертификации криптографических модулей.
Федеральный стандарт США FIPS140–2 «Требования безопасностидлякриптографических модулей»
Федеральный стандарт обработки информации (FIPS) 140–2 используется для аккредитования криптографических модулей. NIST (Национальный институт стандартов и технологий США) Опубликовал стандарт в 2001 году.
Данный стандарт предназначен для определения требований для криптографических модулей, которые включают в себя как аппаратные, так и программные компоненты.
Аспекты оценки охватывают 11 требуемых областей:
спецификация криптографического модуля (КМ);
порты и интерфейсы КМ;
роли, сервисы и аутентификация;
модель конечного состояния;
физическая защита;
операционная среда;
электромагнитная интерференция;
электромагнитная совместимость;
самотестирование;
обеспечение проектирования;
уменьшение других атак.
Стандарт FIPS 140–2 определяет четыре уровня безопасности криптографических модулей данные от Уровня 1 до Уровня 4.
Уровень 1 обеспечивает самый низкий уровень безопасности. Основные требования указаны для криптографического модуля (например, хотя бы один утвержденный алгоритм или подтвержденная функция безопасности должна использоваться). Никаких конкретных механизмов обеспечения физической безопасности не требуется. Примером криптографического модуля 1 уровня безопасности может быть плата шифрования для персонального компьютера.
Уровень 2 улучшает физические механизмы безопасности по сравнению с 1 уровнем, требуя функции, которые контролируют несанкционированное вскрытие корпуса и получение доступа к ключам от физической защиты.
Уровень 3 в дополнении к индикации вскрытия физической защиты, пытается предотвратить получение доступа к критическим параметрам безопасности нарушителем. Физические механизмы, требуемые в уровне 3, предназначены для высокой вероятности обнаружения и быстрого реагирования на попытки физического доступа или модификации КМ.
Уровень 4 обеспечивает наивысшую безопасность. На этом уровне, физические механизмы безопасности обеспечивают полный набор защиты КМ с целью обнаружения и реагирования на все попытки несанкционированного доступа на физическом уровне. Уровень 4 также защищает модуль от условий окружающие среды и работы за пределами разрешенных диапазонов напряжения и температуры. Стандарт требует тщательное тестирования на способность обеспечить работу модуля независимо от пределов нормального рабочего диапазона.
ГОСТ Р ИСО/МЭК 15408–2002 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий»
В 1993 году организации по стандартизации и обеспечению безопасности США, Канады совместно с Германией, Францией, Великобританией и Нидерландами объединили свои усилия в рамках создания единых критериев оценки безопасности информационных технологий, которым было дано название «Общие критерии» (CommonCriteria).
Международным институтом стандартов (ISO) в 1999 году был принят стандарт ISO/IEС 15408–99 «Общие критерии безопасности информационных технологий» (далее — Общие критерии или ОК).
Общие Критерии — это рамки, в которых пользователи компьютерной системы может указать свои функции безопасности и обеспечение требований безопасности, за счет использования профилей защиты. Другими словами, ОК дает гарантию, что процесс спецификации, реализации и оценки продукта была проведена в строгом и стандартизированном уровне, который соответствует с целевой средой использования.
В России стандарт был подготовлен Совместным техническим комитетом ИСО/МЭК СТК 1 «Информационные технологии», Подкомитет ПК 27 «Методы и средства обеспечения безопасности ИТ» и был принят ГОСТ Р ИСО/МЭК 15408–2002 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий», текст которого полностью соответствует стандарту ISO.
Данный стандарт направлен на защиту информации от несанкционированного раскрытия, модификации или потери возможности её использования. ИСО/МЭК 15408 предназначен для использования в качестве основы при оценке характеристик безопасности продуктов или систем информационных технологий.
Основные понятия:
Цель оценки — продукт или система, которая является предметом оценки.
Профиль защиты — это документ, который как правило задается пользователем или определенным классом устройств (например, смарт-карты, сетевые брандмауэры и т. д.), в который является сочетанием угроз, задач безопасности, функциональных требований безопасности.
Задание по безопасности — документ, который определяется свойства безопасности оценочного продукта.
Функциональные требования безопасности — указывается отдельные функции безопасности, которые могут быть реализованы продуктом. ОК представляет стандартный каталог таких функций.
ОК непосредственно не предоставляет список требований безопасности продукции или определенных классов продукции. Этот подход был продиктован ITSEC и был источником дебатов по сравнению к подходам других стандартов, таких как TCSEC и FIPS 140–2. Вместо этого он описывает инфраструктуру, в которой потребители могут описать требования, разработчики могут заявить о свойствах безопасности продуктов, а эксперты по безопасности определить, удовлетворяет ли продукт заявленным характеристикам.
CESG Assisted Products Service (CAPS)
Данный стандарт предназначен для разработки криптографических продуктов для использования в правительстве Великобритании, его агентств и коммерческих предприятий, работающих от имени правительства.
Согласно новой Классификации Правительственной Безопасности (Government Security Classifications) существует 3 уровня:
- Официальный — базовый уровень безопасности
- Секретный — повышенная степень безопасности
- Совершенно секретный — наивысшая степень безопасности.
Для уровня «Официальный» применяется стандарт CommercialProductAssurance (CPA)
Для уровней «Секретный» и «Совершенно секретный» — CESGAssistedProductsService (CAPS)
Во всех продуктах, прошедших сертификацию в CAPS, материал криптографических ключей генерируется органом CESG и безопасным образом передается конечному пользователю, иногда через доверенное третье лицо. Таким образом, все продукты, сертифицируемые по схеме CAPS, применяют криптографические ключи, явно контролируемые CESG. Этот порядок отличается от ситуации на коммерческом рынке, где в большинстве случаев фирма конечного пользователя генерирует свой собственный ключ и управляет им с помощью системы менеджмента, предоставленной продавцом.
Payment Card Industry Hardware Security Module (PCI HSM)
Данный документ предоставляет список логических и физических требований безопасности, по которым продукция будет оцениваться для получений сертификата Payment Card Industry (PCI).
Согласно PCI у модулей криптографической безопасности есть четкий набор предназначений — обработка широкого ряда платежных операций, выпуска карт и способов идентификации держателя карт.
Процессы, имеющие отношение к полным наборам требований, изложенных в настоящем документе:
Обработка PIN кодов
Безопасность 3-D
Проверка карт
Выпуск и персонализация карт
Обмен между банкоматами
Пополнение карточных счетов наличными
Целостность данных
Обработка транзакций на основе чип-карт [стандарт]
Основные разделы:
Требования физической безопасности
Требования логической безопасности
Требования безопасности во время изготовления устройства
Требования безопасности устройства между изготовителем и поставщиком начального ключа.
Следует заметить, что роль совета PCI SSC в плане модулей PCI HSM заключается в публикации и поддержке стандартов безопасности и в управлении схемой сертификации в сотрудничестве с независимыми лабораториями. Это позволяет сообществу представителей торговли ИТ представлять модули HSM на утверждение в результате оценки их соответствия стандартам, принятым для PCI HSM.
Вывод
В статье были рассмотрены основные стандарты в области информационной безопасности, в частности для криптографических модулей безопасности. Среди них необходимо выделить FIPS 140–2 для криптографических модулей и Общие Критерии для любых безопасных информационных технологий.
Компании во всем мире признают надежность сертификации по стандарту FIPS 140–2, используют его для шифрования своих данных и выбирают в качестве основного стандарта безопасности.
Общие критерии — международный «золотой стандарт» безопасности систем, который гарантирует высокий уровень защиты данных и соответствие всем запросом корпоративного сектора.
Литература:
- FIPS PUB 140–2, Security Requirements For Cryptographic Modules, National Institute of Standards and Technology, May 2001. http://csrc.nist.gov/publications/fips/fips140–2/fips1402.pdf
- Ахадова,З. М. Актуальные вопросы совершенствования стандарта FIPS 140–2, Вопросы защиты информации: сб. статей, апрель 2006, С. 6–11.
- Matt Keller, Corser Security, Inc., Common criteria for crypto?, ICCC 2012, September 2012.
- ГОСТ Р ИСО/МЭК 15408–2002. Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий, ИПК Издательство стандартов, 2002.
- Common Criteria for Information Technology Security Evaluation, International Standard, September 2012, https://www.commoncriteriaportal.org/files/ccfiles/CCPART1V3.1R4.pdf
- CESG Assisted Products Service (CAPS), The National Technical Authority for Information Assurance, 2015.
- PCI HSM Security Requirements, PCI Security Standards Council LLC April 2009, https://www.pcisecuritystandards.org/documents/PCI %20HSM %20Security %20Requirements %20v1.0 %20final.pdf
