Комплекс КРИПТОН-ЗАМОК для ограничения доступа к компьютеру

Комплекс КРИПТОН-ЗАМОК предназначен для построения аппаратно-программных средств ограничения доступа к компьютеру с использованием УКЗД серии КРИПТОН. Комплекс позволяет организовать на базе персонального компьютера рабочее место с ограничением круга лиц, имеющих доступ к содержащейся в нем информации.

Для работы комплекса КРИПТОН-ЗАМОК необходим персональный компьютер IBM PC с процессором не ниже i386 и операционной системой-MS DOS, Windows 95/98/NT, UNIX и другими, для которых имеется соответствующий драйвер, позволяющий под управлением MS DOS понимать формат установленной на компьютере файловой системы.

Комплекс служит для защиты компьютеров с жесткими дисками, с файловыми системами в форматах FAT 12, FAT 16, FAT 32, NTFS, UNIX и т.д.

Работа с дисками с файловыми системами FAT 12, FAT 16 и FAT 32 обеспечивается средствами комплекса без дополнительных драйверов. Работа с

дисками с нестандартными файловыми системами NTFS, HTFS, UNIX и т.д., не поддерживаемыми операционной системой MS-DOS, может производиться только при наличии на компьютере соответствующих DOS-драйверов. Комплекс КРИПТОН-ЗАМОК выпускается в двух исполнениях:

• для жестких дисков объемом менее 8 Гбайт,

• для жестких дисков объемом более 8 Гбайт.

В базовый состав аппаратно-программных средств ограничения доступа к компьютеру входят:

• УКЗД серии КРИПТОН, поддерживающие режим работы ком-плекса ЗАМОК;

• комплект драйверов и библиотек УКЗД;

• комплекс ЗАМОК, включающий:

микросхему с программным обеспечением комплекса, устанавливаемую в УКЗД серии КРИПТОН;

инсталляционный дистрибутивный носитель с программным обеспечением, комплекса.

Установленный в персональный компьютер комплекс ограничения доступа КРИПТОН-ЗАМОК выполняет следующие функции:

• ограничивает доступ пользователей к компьютеру путем их идентификации и аутентификации;

• разделяет доступ пользователей к ресурсам компьютера в соот-ветствии с их полномочиями;

• контролирует целостность ядра комплекса, программ операционной среды, прикладных программ и областей памяти в момент включения компьютера до загрузки его операционной системы;

• регистрирует события в защищенном электронном журнале;

• передает управление и параметры пользователя программному обеспечению (RUN-файлам), указанному администратором (на-пример, ПО защиты от несанкционированного доступа).

В соответствии с выполняемыми функциями комплекс КРИПТОН-ЗАМОК содержит следующие основные подсистемы:

• подсистему управления доступом, состоящую из устройства КРИПТОН и программы обслуживания CRLOCK.EXE;

• подсистему регистрации и учета, включающую два журнала (ап-паратный-на устройстве КРИПТОН, фиксирующий попытки входа в компьютер до запуска его операционной системы, и полный-на жестком диске, в котором после удачного входа в комплекс отображаются все события, в том числе и содержимое аппаратного журнала), управление которыми осуществляется программой обслуживания комплекса CRLOCK.EXE;

• подсистему обеспечения целостности, состоящую из устройства КРИПТОН и программы CHECKOS.EXE, проверяющей целост-ность главной ОС при работе комплекса.

При этом комплекс КРИПТОН-ЗАМОК обеспечивает выполнение следующих задач:

• в компьютер может войти только санкционированный пользователь;

• загружается достоверное ядро комплекса;

• загружается достоверная операционная система;

• проверяется целостность прикладного ПО, указанного администратором;

• • производится запуск программ, указанных администратором. Рассмотрим штатную работу комплекса КРИПТОН-ЗАМОК. В начале

работы с комплексом устройство КРИПТОН при инициализации его ключами с ключевого носителя (дискеты, смарт-карты или Touch Memory) загружает три файла: UZ.DB3 (УЗ, он один для всех пользователей данного компьютера); GK.DB3 (ГК, он уникален для каждого и может быть зашифрован на пароле пользователя) и файл-паспорт пользователя INIT.NSD.

Первые два файла обеспечивают выполнение устройством КРИПТОН криптографических процедур в соответствии с ГОСТ 28147-89 и формируются при помощи любой из программ генерации криптографических ключей, выпускаемых фирмой АНКАД для средств серии КРИПТОН (например, Crypton Soft, Crypton Tools или Сr Мng). Файл INIT.NSD уникален для каждого пользователя и используется при входе в комплекс для загрузки и проверки его ядра, поиска пользователя в файле полномочий, его аутентификации и расшифровки его записи. Файл INIT.NSD формируется на ключевом носителе пользователя: для администратора - автоматически программой INSTAL.EXE при установке комплекса на компьютер, а для всех остальных пользователей-администратором при помощи программ CRLOCK.EXE.

Алгоритм работы комплекса КРИПТОН-ЗАМОК включает следующие

шаги:

• УКЗД КРИПТОН инициализируется файлами UZ.DB3 и GK.DB3.

• КРИПТОН загружает файл INIT.NSD и проверяет его целост-, ность по имитовставке. В случае нарушения целостности этого файла или при его отсутствии дальнейшая загрузка компьютера не производится.

• КРИПТОН производит поиск имени вошедшего пользователя в списке пользователей. В случае отсутствия пользователя в списке дальнейшая загрузка компьютера не производится.

• КРИПТОН производит аутентификацию пользователя-проверяет имитовставку его ключа. В случае несовпадения имитовставки пользователь считается несанкционированным и дальнейшая загрузка компьютера не производится.

• КРИПТОН производит загрузку ОС комплекса ЗАМОК с Flash-диска. При загрузке автоматически стартует программа проверки целостности защищаемой ОС компьютера (далее "главной ОС")-CHECKOS.EXE.

• CHECKOS.EXE получает параметры вошедшего пользователя от устройства КРИПТОН и:

− разблокирует клавиатуру;

− проверяет целостность файл-списка;

− проверяет целостность системных областей и файлов главной ОС;

− при наличии RUN-файлов проверяет их целостность и запускает на выполнение;

− по запросу пользователя меняет пароль ключей на его носителе; по запросу администратора запускает программу обслуживания комплекса CRLOCK.EXE;

− при успешном завершении всех проверок CHECKOS.EXE запус-

кает главную ОС.

После загрузки главной ОС компьютера комплекс ограничения доступа к компьютеру прекращает свою деятельность и не вмешивается в дальнейшую работу компьютера (до следующей загрузки).

Далее устройство КРИПТОН может использоваться как обычный шифратор.

Механизм RUN-файлов позволяет в процессе работы комплекса КРИПТОН-ЗАМОК запускать любые программы с предварительной проверкой их целостности. В частности, механизм RUN-файлов может быть использован при проверке файлов, находящихся на логических дисках с нестандартными файловыми системами (NTFS, HPFS, UNIX и т.д.). Другой вариант использования -запуск из под комплекса КРИПТОН-ЗАМОК любого другого программного обеспечения: системы ЗНСД, криптомаршрутизатора, операционной системы и т.д. На этой основе может быть построена система защиты персонального компьютера с требуемыми свойствами.