Роль доверия при проектировании безопасной корпоративной инфраструктуры

Произошедшие изменения в сфере ИБ во многом связаны с потерей доверия к западным решениям, в первую очередь из-за поведения зарубежных вендоров, действующих под сильным прессингом со стороны своих правительств. Немногие могли поверить в отключение облачных сервисов и уход компаний с российского рынка, в запрет использования продуктов и решений, в то, что большое число вендоров полностью закрыли доступы к своим сайтам. Многое из того, что активно использовалось российскими заказчиками, стало небезопасным.

Почему доверие начинается с идентификации и аутентификации?

Для начала надо определиться, с чего начинается безопасность. Наверное, мало кто будет спорить с фактом, что любая безопасность основывается на доверии. В обществе доверие между людьми позволяет им безопасно взаимодействовать между собой, так как они уверены в порядочности и ответственности друг друга. Они знают, что другая сторона не имеет намерений нанести им вред.

В бизнесе доверие является фундаментом для взаимодействия миллионов компаний во всем мире. Доверие дает возможность осуществлять платежи после получения товара или услуги или проводить авансовые платежи с уверенностью, что контрагент поставит требуемый товар.

Так и в информационных системах их безопасность должна основываться на доверии между пользователями, сервисами (программным обеспечением) и устройствами. Мы должны быть уверены, что элементы являются теми, за кого себя выдают, их не подменили, доступ к информационным системам получили легальные пользователи и желательно с разрешенных устройств. Как театр начинается с вешалки, так и доверие начинается с двух взаимосвязанных вещей – идентификации и аутентификации всех элементов ИТ-инфраструктуры: объектов (устройств и программного обеспечения) и субъектов (пользователей систем).

Уровни доверия. Как правильно выбрать?

Учитывая, что общая безопасность всей системы не может быть больше безопасности самого слабого звена, можно сказать, что уровень защищенности системы зависит от того, сколько внимания уделено безопасности решения по аутентификации. С другой стороны, нельзя забывать о стоимости решений: чем более строгий уровень безопасности и доверия нужно обеспечить, тем дороже будет обходиться вся система. Поэтому необходимо находить разумный баланс. Как же понять, какой уровень доверия необходим для любой рассматриваемой информационной системы? Для ответа на этот вопрос необходимо определить две важные характеристики информационной системы:

1. Уровень значимости обрабатываемой или хранящейся информации;

2. Размер возможного ущерба при наступлении недопустимого события.

В качестве примеров недопустимых событий ИБ можно привести:

• подмену информации на медиаресурсах с целью дестабилизации общественно-политической обстановки в стране;

• утечку персональных данных, что может привести к выплате оборотных штрафов до 3% и не менее 15 млн рублей;

• полную или частичную утерю информации из федеральных реестров и ведомственных баз данных.

К системам с высоким и средним уровнем значимости и высоким и средним размером ущерба можно отнести информационные ресурсы:

• государственных организаций;

• федеральных структур;

• организаций КИИ (критической информационной инфраструктуры);

• крупного и среднего бизнеса;

• операторов ИСПДн.

Для достижения требуемого уровня доверия в информационной системе необходимо обеспечить соответствующий уровень доверия к результатам идентификации и аутентификации. Когда определен необходимый уровень доверия, встает вопрос: а как это доверие измерить?

Почему доверие бывает разное?

Применительно к информационным системам и технологиям доверие рассматривается в международном стандарте ISO/IEC 15408, широко известном как Common Criteria.Все термины, которые приводятся в «Общих критериях» и на русский язык переводятся как «доверие», отличаются по смыслу.

В настоящий момент при рассмотрении достигнутого уровня доверия в информационных системах можно говорить, что мы находимся на одном из двух: Confidence или Assurance. На этих уровнях мы предполагаем, что наши системы будут функционировать так, как предполагается, и получаем свидетельства, заверения/гарантии. Полное доверие (Trust) мы сможем получить только в случае использования доверенной электроники, построенной на своей элементной базе, по своему дизайну, на своем производстве и т. д. Можно сказать, что это идеал, к которому мы должны стремиться, но в настоящий момент он трудно достижим.

Идентификация и аутентификация – два неразрывных процесса

Как уже упоминалось выше, основа доверия – идентификация и аутентификация.

Идентификация – это ответ на вопрос: «Кто ты: способ или процесс определения личности пользователя или элемента информационной системы?»

Аутентификация – это доказательство того, что ты тот, за кого себя выдаешь, это определенная последовательная процедура установления подлинности.

Таким образом, из определений видно, что идентификация и аутентификация неразрывно связаны между собой. Эти понятия определены в национальных стандартах РФ:

• ГОСТ Р 58833-2020: «Идентификация и аутентификация. Общие положения»;

• ГОСТ Р 70262.1-2022: «Идентификация и аутентификация. Уровни доверия идентификации».

Для целей идентификации в организациях обычно разворачивается та или иная служба каталогов. Основной задачей идентификации является создание уникального идентификатора в системе. Идентификатор однозначно будет характеризовать пользователя – логин или учетная запись. Кроме логина, для пользователя приводится дополнительная информация, необходимая для работы информационных систем и позволяющая максимально полно описать пользователя. Регистрация пользователя в службе каталогов или информационной системе, если в организации не используется служба каталогов, является первичной идентификацией.

Дальнейшее предъявление идентификатора и распознавание по нему пользователя являются вторичной идентификацией и выполняются (по крайней мере, должны выполняться) быстро по сравнению с первичной.

Если первичная идентификация выполняется отдельно от процесса аутентификации, то вторичная идентификация является связанным с аутентификацией процессом.

Аутентификация является процедурой «установления подлинности» и преследует следующие цели:

• подтверждение идентификационной информации;

• установление доверительных отношений;

• односторонняя аутентификация – только источник данных;

• взаимная аутентификация – для всех участников взаимодействия;

• предоставление доступа в информационные системы;

• подтверждение идентификационной информации.

Прежде чем перейти к требованиям, предъявляемым к аутентификации на разных уровнях доверия к ИС, нужно напомнить об имеющихся факторах аутентификации.

Фактор аутентификации и всё о нем: виды, количество

Фактор аутентификации – это вид аутентификационной информации, предъявляемой субъектом в процессе аутентификации. Всего существует три и только три фактора (которые иногда путают с атрибутами, относящимися к одному или нескольким факторам):

• Фактор знания – обычный пароль, PIN-код, графический или одноразовый пароль.

• Фактор владения – обладание определенным устройством или предметом, с которым связана аутентификационная информация.

• Биометрический фактор – определенный, присущий конкретному человеку признак: отпечатки пальцев, геометрия руки, рисунок вен, изображение сетчатки глаза и т. д. Аутентификация с использованием биометрического фактора в России имеет ряд ограничений в соответствии с Постановлением Правительства Российской Федерации от 25.05.2023 №815.

После того как мы определились с факторами, можно описать, что является однофакторной, а что многофакторной аутентификацией.

Однофакторная – аутентификация только с использованием одного фактора, в большинстве случаев пароля – фактора знания.

Двухфакторная – также часто отображается как 2FA или 2ФА. В этой аутентификации используются фактор знания и фактор владения. Хорошими примерами двухфакторной аутентификации являются: USB-токен, смарт-карта (фактор владения), содержащие идентифицирующую пользователя информацию (профиль или сертификат), доступ к которым предоставляется только после ввода PIN-кода (фактор знания), OTP-токен, смартфон (фактор владения) с приложением для генерации одноразового пароля (фактор знания), вводимого в информационную систему.

Трехфакторная (3ФА или 3FA) – аутентификация, в которой к двухфакторной добавляется биометрический фактор. Здесь важно отметить, что биометрическая аутентификация в силу вероятностной природы должна использоваться как дополнительный фактор, обеспечивающий доказательство принадлежности данного устройства его владельцу и неотказуемости от факта проведения транзакции. В целях безопасности биометрические данные необходимо хранить и обрабатывать внутри устройства, обрабатывающего биометрию, без передачи и хранения в централизованных государственных и коммерческих информационных системах.

Соответствие уровня аутентификации уровню доверия – ключ к успеху

Достоверность результатов аутентификации зависит от многих причин:

• количества одновременно используемых факторов и атрибутов;

• протоколов аутентификации; • типов аутентификации;

• среды исполнения – доверенная или недоверенная;

• достоверности идентификации субъекта;

• организации обмена аутентификационной информацией – односторонняя или взаимная.

При организации доступа в информационные системы должен использоваться один из трех видов аутентификации, соответствующий или превышающий уровень доверия самой информационной системы.

Теперь осталось описать, что представляют собой различные виды аутентификации и где их рекомендуется использовать.

Простая аутентификация

Поскольку уровень доверия у такой аутентификации низкий, применяться она может в ИС с низким уровнем значимости информации и несущественным размером возможного ущерба. Требования к аутентификации – однофакторная и односторонняя.

Усиленная аутентификация

В данном случае уровень доверия – средний, и такая аутентификация может применяться для ИС со средним уровнем значимости информации и существенным размером возможного ущерба. Требования к аутентификации – двухфакторная (например, факторы знания и владения), может потребовать развертывания в инфраструктуре компании дополнительных компонентов (серверов аутентификации, систем управления жизненным циклом средств 2ФА, специализированного клиентского ПО) и выдачи устройств пользователям лично.

Строгая аутентификация

Такая аутентификация соответствует высокому уровню доверия и предназначена для ИС с высоким уровнем значимости обрабатываемой или хранимой информации и высоким размером возможного ущерба. Сюда попадают федеральные структуры, операторы ИСПДн, организации КИИ, государственные организации и большинство предприятий крупного и среднего бизнеса.

Строгая аутентификация с очень высокой уверенностью предполагает, что предъявленный идентификатор связан с конкретным субъектом или объектом и контролируется им. Такая связанность должна проверяться с помощью как минимум двух факторов или даже трех. Возможно использование нескольких атрибутов при 2ФА или 3ФА. Аутентификация должна быть взаимной и для этого требует участия третьей стороны, которая должна быть полномочной верифицирующей стороной.

Обязательным требованием к персональным электронным устройствам (фактору владения) является аппаратная реализация криптографии и неизвлекаемый закрытый ключ. Используемая криптография должна иметь известную или гарантированную стойкость. Длина ключа должна быть не менее 2048 бит для алгоритма RSA или 304 бит для ECDSA.

Для использования строгой аутентификации в организации обязательно использование инфраструктуры открытых ключей (PKI). Использование обычных USB-токенов или смарт-карт не исключает ситуации передачи пользователем своих устройств с раскрытием PIN-кодов своим коллегам для выполнения тех или иных операций. Для исключения такого риска рекомендуется интеграция устройств с технологией биометрии, когда, для того чтобы воспользоваться устройством, сотрудник должен предоставить свои биометрические данные. Чаще всего используются отпечатки пальцев и технология Match-on-Chip (Match-on-Device). Такой подход позволяет гарантировать, что устройством в целях аутентификации в информационных системах пользуется легитимный сотрудник, т. е. мы привязываем идентификатор к личности пользователя.

Построение правильной системы аутентификации обеспечивает необходимый фундамент всего здания корпоративной безопасности.

Вместо заключения

Представленная информация наглядно развеивает ошибочное утверждение, что большинство информационных систем, используемых в коммерческих организациях и госсекторе, даже после ухода западных вендоров остались полностью безопасными и доверенными. Убеждены, что после прочтения данного материала каждый ИТ- или ИБ-специалист по-новому посмотрит на роль и значение идентификации и аутентификации. Специалисты осознают тот факт, что построить безопасную корпоративную инфраструктуру невозможно без принятия мер по усилению доверия внутри информационных систем.