СИСТЕМЫ ОБЕСПЕЧЕНИЯ ОХРАНЫ И БЕЗОПАСНОСТИ Гибкая масштабируемая
система безопасности Мinotaur для персональных компьютеров
Разработанная фирмой Locheed Martin (США) новая система
безопасности для персональных компьютеров Мinotaur ("Минотавр")
выполняет широкий диапазон функиий - от защиты начальной загрузки
до высокой перепрограммируемой криптографической защиты с
использованием единой серии масштабируемых компонентов. Эти
компоненты могут включаться во многие иэ применяемых в настоящее
время компьютеров, в том числе и в миниатюрные портативные типа
laptop, без модификации применительно к действующим системным
протоколам. Система Minotaur может встраиваться как
дополнительное средство безопасности в автономные и объединенные
в сети информационные системы. Выполняемые этой системой функции
включают: генерацию записей в контрольном журнале; дискреционное
управление доступом; межконцевое (сквозное) шифрование;
генерирование и распределение криптографических ключей. Система
может также обеспечивать защищенную связь между большим
количеством компьютеров различных типов и в разных режимах
работы. Наиболее совершенная версия системы Minotaur оформлена в
виде одной микропроцессорной платы, выполняющей такие же функции,
как и криптографическое устройство массой 11 кг, занимающее объем
0,2 м куб. Система Minotaur прозрачная для выполнения нормальных
системных функций, может применяться с любыми платформами,
использующими компьютеры Intel или совместимые с ними и
работающими с операционными системами MS-DOS, MS-Windows,
МS-Windows NT, SCO UNIX, Sun Solaris X86 и IВМ OS/2 WARP.
Необходимость разработки такой системы безопасности вызвана
увеличением количества персональных компьютеров, подключаемых к
сети Internet, и возрастанием их уязвимости к действиям
злоумышленников. Она ориентирована на группы пользователей,
имеющих дело с финансовой и медицинсксй информацией и данными,
являющимися личной тайной, и может быть использована любой
организацией, обрабатывающей или использующей важную, но не
являющуюся государственной тайной информацию. Система Minotaur
выпускается в четырех версиях, две из которых разработаны на
основе лицензионных соглашений. Первая версия Minotaur-I
использует технологию компьютерной безопасности, полученную по
лицензии от фирмы ALC - Тhe Stealth Group (США). Версия Мinotaur
обеспечивает динамическое управление криптографическими ключами и
использует лицензию фирмы ТЕСSЕС (США). Третья версия
Мinotaur-III объединяет версии Мinotaur-I и Мinotaur-II в едином
пакете. Версия Minotaur-IV содержит модернизированные платы и
криптографический процессор. Версии Мinotaur-I, -II, -III не
предназначены для защиты секретной информации. Мinotaur-I и -II
могут защищать важную, но несекретную информацию и не
представляющую государственную тайну. Версия Мinotaur-IV с
криптографическим микропроцессором рассчитана и на
правительственные применения. диски данные по алгоритму DES.
Следовательно, эта версия рассчитана на обеспечение безопасности
отдельных персональных компьютеров с ограниченными возможностями
шифрования. Фирма считает, что эта версия будет продолжать
пользоваться спросом благодаря ее возможностям защищать записи на
жестких дисках при начальной загрузке. Система безопасности
Minotaur-I управляет начальной загрузкой посредством модификации
таблицы вектора прерывания. Она имеет свой код для генерирования
аппаратными и микропрограммными средствами изображения на дисплее
при регистрации входа в систему, а также возможность блокировки
доступа к накопителю на гибких дисках и клавиатуре. При входе в
систему польэователь должен предьявить пароль и свой персональный
идентификатор, воспроизводимые на экране дисплея. Основной
технологией Minotaur-I является концепция монитора обращений в
систему, одобренная Национальным центром компьютерной
безопьсности США. Предусмотрена также возможность формирования
однородных сетей из систем Minotaur-I. В плату Minotaur-I встроен
идентификатор конечного пользователя, который передается в
защищенном виде при каждом установлении соединения между двумя
компьютерами сети. Аутентификация осуществляется в мониторе
обращений в систему для высокой гарантии того, что запрашивающий
доступ компьютер имеет разрешение на доступ в запрашиваемый
компьютер. Программное обеспечение системы позволяет осуществлять
функциональный контроль вычислительной среды с генерированием и
использованием записей в контрольном журнале. Сервисные программы
дают возможность главному администратору безопасности
видоизменять параметры системы применительно к конкретным
условиям и инициировать назначение идентификаторов и паролей
пользователям. Для использования сервисных программ требуется
дополнительная аутентификация. Версия Minotaur совместима с
системами, использующими компьютеры фирмы Intel от 286 до
микрочипов Pentium. Используются операционные системы МS-DOS 3.3
или ее последующие версии либо МS-Windows для рабочих групп и 1-4
Мбайт памяти произвольной выборкой. Система Minotaur-II является
чисто программным продуктом, реализующим различные алгоритмы
шифрования в персональных компьютерах. К этим алгоритмам
относится алгоритм DЕS, используемый в четырех режимах работы, и
некоторые собственные алгоритмы пользователей. При этом действует
инфраструктура управления ключами. Обмен информацией может
осуществляться в локальных и региональных сетях и даже через сеть
Internet. Система работает на прикладном уровне семиуровневой
модели взаимодействия открытых систем и не требует изменения
конфигурации существующих сетей. Она прозрачна для протоколов и
стандартов связи и допускает применение до десяти различных
алгоритмов шифрования в любое время. Конструктивное управление
ключами является важным аспектом системы Minotaur-II.
Использование систем с открытым ключом оказывается непрактичным.
Например, если пользователю нужно передать циркулярное сообщение
100 адресатам, он должен зашифровать его на открытом ключе
каждого получачеля, т. е. выполнить 100 отдельных зашифрований.
Конструктивное управление ключами допускает выполнение только
одного шифрования для передачи циркулярного сообшения многим
адресатам. Minotaur-II требует применения однокристалльного
микропроцессора 386-го или более высокого уровня, операционных
систем MSWindows 3.1, МS-DOS 3.3 или более поздней версии
(рекомендуется версия 5) и 4 Мбайт памяти со случайной выборкой.
ной части версии Minotaur-IV такие же, как и к версиям
Minotaur-II и -III. Монитор обращений в систему версии Minotaur-I
оформлен с портами. В целом версия Minotaur-IV позволяет
пользователю иметь персональный компьютер с эффективной защитой
начальной эагрузки и криптостойким методом шифрования. Версия
имеет 16-разрядную промышленную стандартную архитектуру ISA, но
плата встраивается в персональный компьютер рабочей станции.
Архитектура системы безопасности отвечает требованиям классов
Сlass С2 и В1 национального центра компьютерной безопасности.
Ключевым элементом аппаратной части версии Minotaur-IV является
криптографический микропроцессор с сокращенным набором команд
СYBRIS. Этот микропроцессор был разработан фирмой Lochid Martin
для Агентства национальной безопасности США (АНБ) с разрешением
применять его в продуктах фирмы. Микропроцессор CYPRIS
предназначен для выполнения криптоалгоритмов типа 1 по
классификации АНБ. Хотя микропроцессор CYPRIS оптимизировьн для
выполнения криптоалгоритмов типа 1, он может исключительно хорошо
выполнять и коммерческие криптоалгоритмы. Процессор работает с
тактовой частотой 40 МГц. Во время испытаний он обрабатывал до 15
видеокадров в 1 с без сжатия данных со скоростью 8 Мбит/с.
Аудиоинформация обрабатывалась со скоростью около 500 000 бит/с.
Командир тактической части или подразделения, пользуясь
персональным компьютером с платой Minotaur-IV, может,
подключившись к военной системе обмена сообщениями, вести
переговоры с Министерством обороны США. Графический интерфейс
пользователя системы Minotaur-IV позволит выбрать режим связи.
Тот же командир, желающий связаться с другим тактическим
командиром по линии КG-84, должен воспользоваться графическим
интерфейсом для выбора соответствующего режима, ввести алгоритм
КG-84 в плату Minotaur-IV и установить соединение. Для
обеспечения безопасности проведения видеоконференции командующих
генералов необходимо выбрать режим работы КG-194 и ввести этот
алгоритм в плату CYBRIS. Эта концепция может быть распространена
и на коммерческие продукты. Например, финансовый отдел фирмы
может потребовать, чтобы режим связи для него отличался от режима
для технического отдела. Легкое изменение принятой внутренней
политики беэопасности может привести к нарушению нормального
делового функционирования фирмы, вызванного введением различных
режимов безопасности. Система Minotaur-IV легко решает эту
проблему и допускает использование каналов с различными уровнями
безопасности. Для эчого достаточно ввести соответствующие
алгоритмы в плату СYBRIS. Применяемый в настоящее время вариант
криптоплаты СYBRIS предстввляет собой полупроводниковый кристалл
(чип) с размерами элементов микросхем 1 мкм. Исследователи фирмы
уже уменьшили этот раэмер до 0,8 мкм и рассчитывают довести его
до О,б мкм. Уменьшение размеров элементов схем позволит применять
этот чип в различных приборах, например встраивать в карты
расширения памяти персональных компьютеров РСМСIА (новое название
Туре II РС). Необходимо только решить вопрос о том, будет ли
жизненный цикл чипа достаточно длительным, чтобы оправдать
требуемые инвестиции. Фирма Locheed Martin добавила также функции
ускорения выполнения операций процессором CYPRIS. Это
предусматривает повышение тактовой частоты до 80 МГц. Фирма
намерена передать выполнение некоторых криптоалгоритмов от
главного персонального компьютера крипточипу СYPRIS. Первым из
этих криптоалгоритмов будет DES. По сведениям фирмы, заказчики
проявляют большой интерес к шинному интерфейсу подключения
периферийных устройств, а также к шинной структуре ISA для более
производительных процессов Реntium. Другим возможным
усовершенствованием может быть применение гнезд (слотов) для карт
Туре II РС на плате Minotaur-IV. Это нововведение позволит
присоединяться практически к любой сети связи, такой, как
Еthernet, и использовать модемы различных типов. Пользователь
может зашифровывать информацию для передачи почти через любую
среду. Представитель фирмы Locheed Martin считает, что будущее
системы Minotaur зависит от ее способности поддерживать
традиционные криптографические приборы и алгоритмы, а также
продукты, разрабатываемые по программе многоуровневой
безопасности информационных систем MISSI. Фирма приступила к
интеграции программы MISSI в систему Minotaur. Первым шагом
явилось включение библиотеки программ, поставляемых АНБ, в
продукты версии Minotaur-II. Испольэование одобренных АНБ
карточек Fortezza даст возможность выбора, дополнительных меню
шифрования. В перспективе применения версий Minotaur будут
включать и защиту компьютеров, обрабатывающих секретную
информацию, например, в правительственных учреждениях, имеющих
дело с информацией о налогоплательщиках. Версии Minotaur-I, -II и
-III уже могут быть поставлены в настоящее время. Выпуск версии
Minotaur-IV намечен на начало 1996 г.
