Автор: Игорь СОБЕЦКИЙ, заместитель начальника управления безопасности АО «РТ Лабс»
Безопасность в командировке
Что плохо лежит – вору принадлежит. Пословица В настоящее время большинство российских компаний – в особенности крупных и средних – осознали ценность собственных информационных ресурсов и стали применять меры по их защите. Однако при построении системы информационной безопасности большинство специалистов исходит из некоей «презумпции физической защиты» - предполагается, что офис и серверное помещение компании надёжно защищены от несанкционированного физического доступа посторонних лиц. В применении к информационной безопасности эта парадигма подразумевает, что: • исключено изъятие компьютеров из офиса посторонними лицами; • исключено изъятие жёстких дисков серверов и рабочих станций и подключение их к какому-либо оборудованию; • исключено несанкционированное подключение в сеть компании какого-либо оборудования; • исключено несанкционированное пребывание в офисе посторонних лиц; • исключено принуждение работников компании к передаче реквизитов доступа в корпоративную информационную систему, а также носителей информации. В большинстве случаев при работе в офисе эти ограничения работают. Компания имеет систему информационной безопасности, зачастую слабо связанную с безопасностью физической, но при этом вполне надёжную. Однако всё меняется, когда возникает необходимость использования персоналом мобильных компьютеров. В этой ситуации стандартные меры защиты оказываются малоэффективными. Фактически при использовании портативного компьютера (ноутбука) вне офиса компании актуальными будут следующие угрозы: • прекращение автоматизированного обновления корпоративной антивирусной программы, что в свою очередь повлечёт заражение ноутбука вредоносной программой; • потеря контроля над ноутбуком вследствие утери или противоправных действий третьих лиц; • случайное ознакомление посторонних лиц с обрабатываемыми данными (попутчики в купе, соседи в гостинице и т.д.); • изъятие ноутбука государственными служащими1, с последующим ознакомлением с обрабатываемыми данными. В случае если служащий компании взял с собой в командировку какие-либо средства хранения информации – flash-накопители, внешние жесткие диски и т.д., - то перечисленные угрозы в полной мере распространяются и на такие носители. Давайте рассмотрим, как на практике можно обеспечить защиту ноутбука и носителей информации от перечисленных угроз. Современные модели ноутбуков оснащаются целой палитрой средств аутентификации – по паролю, USB-ключу, переменным кодам, RFID-меткам, таблеткам iButton, отпечаткам пальцев и другим биометрическим параметрам, да ещё с возможностью встраивания процедуры аутентификации в BIOS, чтобы злодей не смог загрузить на «защищённом» ноутбуке собственную операционную систему. Однако все эти средства рассчитаны на защиту «от хорошего человека» – любопытного соседа по купе или, в крайнем случае, особо аккуратного мошенника, оберегающего своё инкогнито. Проблема в том, что средства аутентификации любой степени надежности никак не препятствуют физическому изъятию устройства, на котором они установлены. Если на ноутбук командированного работника «положил глаз» обыкновенный воришка, он даже не попытается получить доступ к хранимой там информации. Как показывает опыт расследования таких краж2 похищенный компьютер немедленно перепродается владельцу ларька на ближайшем радиорынке3. В редких случаях, когда вору не нужны деньги немедленно, трофей некоторое время «отлеживается» в обшитом железом гараже, где не может подключиться ни к каким сетям, однако конечный результат один – ноутбук вторично меняет хозяина. Скупщик краденого располагает большим набором инженерных паролей и других средств взлома большинства систем аутентификации. Однако если его усилия в течение 1-2 часов не помогли достичь результата, ноутбук разбирается на запчасти. Жесткий диск или SSD-диск при этом просто форматируется и вместе с прочими деталями используется для ремонта других компьютеров. К сожалению, большинство компьютерных комплектующих не имеет надёжной привязки к материнской плате или каким-либо внешним идентификационным данным, поэтому такой каннибализм проходит достаточно легко. Информация на жестком диске таких скупщиков, как правило, не интересует.
Ситуация мало изменяется и в случае промышленного шпионажа или крупного мошенничества. Инициатор операции, завладев тем или иным способом ноутбуком, просто извлекает из него жёсткий диск и через специальный адаптер4 подключает к своему компьютеру или высокоскоростному дубликатору, после чего получает все хранящиеся на диске данные в обход любых средств аутентификации. При наличии достаточно квалифицированных специалистов по изъятию чужих вещей командированный работник может даже и не заметить, что с его ноутбуком кто-то поработал. Манипуляции государственных служащих с изымаемой техникой отличаются лишь большей отработанностью действий и патриотизмом исполнителей, оборудование используется практически то же самое. Например, в июле 2019 года китайские спецслужбы были уличены в тотальном скачивании информации с ноутбуков и смартфонов пересекающих границу иностранцев. При всём уважении автора к китайским специалистам, они, скорее всего, не являются монополистами в этой области. Таким образом, надежно защитить информацию на жестком диске компьютера можно лишь двумя способами – физически или криптографически. Физическая защита предусматривает использование специальных тросиков, обеспечивающих надёжное крепление ноутбука к какому-то неподвижному предмету – ножке стола, трубе отопления или даже к брючному ремню владельца. Сейчас практически все ноутбуки имеют прорезь для замка Kensington Lock, а сами тросики широко представлены в продаже. Конечно, такие замки не панацея, но их использование снижает вероятность кражи ноутбука как минимум на порядок. Современным аналогом такого тросика являются так называемые «атипотеряшки» – специальные противокражные бирки. Как правило, такая бирка размером с почтовую марку прикрепляется5 к ноутбуку (или иному ценному предмету) и взаимодействует со смартфоном его владельца через Bluetooth. Когда расстояние между биркой и смартфоном превысит заданную дистанцию, оба устройства начнут издавать резкий звук, привлекая внимание владельца и окружающих. Опытные воры при этом просто бросают украденное, а начинающие теряются и вскоре пополняют полицейскую отчётность. Как ни странно, неплохо защищает ноутбук от кражи или утери обыкновенная сумка. При использовании корпоративного ноутбука зачастую этот ноутбук передается работнику вместе со специальной сумкой. Такая сумка, во-первых, демонстрирует каждому наблюдательному вору, что тут есть чем поживиться. Во-вторых, работник не успевает привыкнуть к новой сумке и подсознательно не воспринимает её как свою. В результате резко возрастает риск случайно забыть ноутбук, например, в зале ожидания или на остановке. Автору известен случай, когда ноутбук в новой сумке был похищен практически на глазах его владельца. При этом сумка в руках вора не навела владельца ни на какие мысли, он обнаружил пропажу лишь после предупреждения сотрудников правоохранительных органов. Поэтому лучше всего не выдавать командированным сотрудникам специальные сумки для ноутбуков, а рекомендовать им перевозить выданные ноутбуки и носители информации в своём обычном багаже. Эта простая мера снижает риск кражи или утери в 3-4 раза. Использование средств физической защиты – компетенция командированного сотрудника, поэтому желательно прописать правила такого использование во внутренних нормативных документах. Сотрудники должны привыкнуть к тому, что вне офиса ноутбук может находиться только в одном из двух состояний – либо в руке, либо пристёгнут тросиком. Если используются противокражные бирки, то такая система должна быть активна в течение всего времени командировки. К сожалению, средства физической защиты не спасают от квалифицированных специалистов по промышленному шпионажу, а также от изъятия ноутбука государственными служащими. В этих случаях у владельца ноутбука не существует никакой возможности отстоять неприкосновенность своей собственности. Остаётся надежда только на средства криптографической защиты. В данной статье не рассматриваются правовые аспекты использования криптографии в РФ. Скажем только, что в нашем законодательстве до сих пор отсутствует юридический механизм признания какой- либо системы криптографической. Единственное основание для этого – личное признание пользователя, а без такого признания «средства сжатия трафика», «подсистемы повышения надёжности» и прочие «утилиты экономии дискового пространства» официально криптографией не считаются и соответствующих разрешений не требуют. Наиболее простой способ использования криптографических средств – шифрование отдельных файлов на жестком диске. Начиная работу с конфиденциальными данными, пользователь расшифровывает соответствующие файлы, а по окончании работы вновь зашифровывает их и удаляет открытые оригиналы. Вполне надёжное шифрование обеспечивается, например, архиватором WinRAR. Однако использование таких средств чрезмерно завязано на человеческий фактор – выбор надёжного пароля, постоянное выполнение соответствующих процедур, надёжное удаление файлов… При рутинной работе рано или поздно ошибка неизбежна. Обычно как раз после этого и происходит изъятие компьютера. Альтернативное решение – прозрачное для пользователя шифрование каталогов, целых разделов на жёстком диске или даже всего диска. Для этого могут быть использованы как стандартные средства типа встроенной в систему Windows BitLocker Drive Encryption, так и многочисленные специализированные программы. Конечно же, BitLocker наиболее проста в настройке, но не вполне надёжна. Современные средства компьютерной криминалистики могут вскрыть такую защиту за несколько часов. Гораздо надёжнее внешние средства шифрования. На рынке имеются несколько десятков соответствующих продуктов, из которых наиболее известны иностранные Cryptic Disk (прозрачное шифрование на уровне контейнеров, разделов и динамических томов), BestCrypt (шифрование на уровне контейнеров, разделов и системных дисков, DiskCryptor (шифрование на уровне разделов и системных дисков) и TrueCrypt (шифрование на уровне контейнеров (файлов-контейнеров, разделов и системных дисков). Российские разработки представлены Aladdin Secret Disk (прозрачное шифрование на уровне контейнеров, разделов и системных дисков), CyberSafe (скрытие файлов, скрытие папок, скрытие установленного ПО, шифрование файлов и подпись файлов различными алгоритмами, управление NTFS EFS восстановлением после сбоя), и VIPNet Safe Disk (шифрование на уровне разделов, с возможностью обеспечения безопасности при работе под контролем)6. Экономные пользователи могут установить себе бесплатные решения РFreeOTFE (шифрование на уровне контейнеров), GnuPG (шифрование на уровне контейнеров и разделов) или, для систем на базе Linux, EncFS (свободная криптографическая файловая система, основанная на FUSE, прозрачно шифрующая файлы, используя произвольный каталог в качестве места для хранения зашифрованных файлов). Лучшие продукты такого класса обеспечивают хранение ключей шифрования на внешнем носителе, который необязательно носить вместе с ноутбуком, а также загрузку ключей с соответствующего сервера компании. Криптография прекрасно работает и для защиты внешних носителей. Здесь традиционно выделяются два подхода. На рынке имеются flash-накопители типа Padlock, для доступа к которым следует ввести код на встроенной в носитель клавиатуре. Дальнейшим развитием этой линии являются внешние жесткие диски с собственной клавиатурой и криптографическим контроллером, которые обеспечивают прозрачное шифрование хранимых данных. При попытке получить хранимые на таких носителях данные средствами компьютерной криминалистики, например, извлечением микросхем памяти и подключением их к программатору, достоянием промышленного шпиона оказывается массив зашифрованных данных, раскодировать который за приемлемое время невозможно. Такое решение предлагают, например, компании Corsair и datAshur. Второй подход реализован в нашей стране. Можно использовать flash-накопители с прозрачным шифрованием, которые будут работать только на определенных доверенных компьютерах. Ключевой материал при этом загружается с сервера компании. На всех остальных компьютерах такие накопители не только не расшифровывают данные, но просто не открываются. Этот подход реализован, например, в палитре изделий «Секрет». Как замену внешним носителям можно использовать облачные хранилища данных. Здесь речь может идти либо о коммерческих сервисах, обеспечивающих прозрачное шифрование хранимых данных, либо о собственном сервере компании. Ключи шифрования при использовании таких сервисов обычно хранятся на внешних носителях или вводятся пользователем с клавиатуры при каждом сеансе. Не подойдут для надёжного хранения бесплатные общедоступные облачные сервисы, поскольку информация на них практически не защищена. Вводимые пароли пользователей кешируются на компьютере и легко обнаруживаются при криминалистическом исследовании жёсткого диска. Не очень надежна и многочисленная продукция noname-фирм – flash-накопители с программой, якобы обеспечивающей шифрование. При использовании такого решения шифрование / дешифрование данных производится не в накопителе, а в оперативной памяти компьютера. Там же без особых предосторожностей после ввода хранится и ключ шифрования, который может быть перехвачен шпионской программой или средствами компьютерной криминалистики. Наконец, в ряде случаев несанкционированный доступ к ноутбуку работника может быть использован не для копирования уже содержащейся на его жестком диске информации, а для установки программы-шпиона, перехватывающей новые данные. В такой ситуации бессильны практически любые замки. Однако защитить свои данные все-таки можно. На ноутбуке должна быть установлена антивирусная система, удовлетворяющая как минимум следующим требованиям: • возможность автономного функционирования, в том числе обновления антивирусных баз, при потере связи с корпоративным антивирусным сервером; • контроль целостности как минимум системного реестра и автоматически запускаемых файлов; • использования эвристического анализа для выявления ранее неизвестных вредоносных программ по их поведению. Кроме того, необходимо опечатать корпус ноутбука, а лучше и его жёсткий диск, уникальными (например, пронумерованными) одноразовыми наклейками. Такая наклейка может стать неприятным сюрпризом для промышленного шпиона, чьё время для несанкционированного доступа ограничено. Если компьютерная техника изымается государственными служащими7, которые настойчиво требуют сообщить им все пароли, то следует помнить, что ни в одной стране мира нет законов, обязывающих пользователя служебного компьютера хранить ключи и пароли при себе. Эти ключи могут храниться в офисе, а работнику предоставляться8, например, по телефонному звонку. В такой ситуации работник не подлежит какой бы то ни было ответственности. Помимо этого, некоторые средства криптографической защиты имеют специальный режим для работы под контролем. Действующий по принуждению пользователь вместо основного вводит специальный тревожный пароль, который система как будто принимает. Но после ввода такого пароля либо компьютер пользователя перестаёт функционировать, либо открывается доступ к специально подготовленному разделу, не содержащему важных данных. Конечно, криптографические методы не смогут защитить аппаратуру от обычной кражи. Но при правильно настроенной криптографической защите добычей вора станет лишь «железо», а конфиденциальная информация останется в распоряжении компании. 1 Например, на таможне – при въезде в некоторые государства от путешественника требуется предъявить для осмотра всё имеющееся у него электронное оборудование. 2Раскрываемость краж не слишком велика, но вполне достаточна, чтобы собрать статистику по преступлениям такого рода. 3В некоторых странах такие скупщики краденого не стесняются раздавать свои визитки в общественных местах. 4Например, какой-либо представитель многочисленного семейства Tableau. 5Желательно использовать особо прочный клей типа «жидких гвоздей».
Внимание! Копирование материалов, размещенных на данном сайте допускается только со ссылкой на ресурс http://www.tzmagazine.ru