Программная система EXCELLENCE пpедназначена для защиты информации, обрабатываемой, хранимой и передаваемой между IBM-совместимыми персональными компьютерами, с помощью криптографических функций шифрования, цифровой подписи и контроля подлинности.

В системе реализованы криптографические алгоритмы, соответствующие государственным стандартам: шифрования - ГОСТ 28147-89. Цифровая подпись построена на основе алгортима RSA.

Ключевая система со строгой аутентификацией и сертификацией ключей построена на протоколе X.509 и принципе открытого распределения ключей RSA.

Система содержит криптографические функции обработки информации на уровне файлов:

- шифрование/дешифрование;
- цифровая подпись;
- контроль целостности;

и криптографические функции работы с ключами:

- генерация (смены) личных ключей;
- установка парольной защиты;
- аутентификация открытых ключей.

Каждый абонент сети имеет свой секретный и открытый ключ. Секретный ключ каждого пользователя записан на его индивидуальную ключевую дискету или электронный идентификатор.

Секретный ключ обязан храниться в тайне, т.к. он обеспечивает защиту зашифрованной информации и невозможность подделки цифровой подписи.

Система поддерживает два типа носителей ключевой информации:

- стандартные гибкие диски формата 5,25 или 3,5 дюймов любой емкости;
- индивидуальные электронные идентификаторы с емкостью ОЗУ не менее 1024 бита.

Каждый абонент сети имеет защищенный от несанкционированного изменения файл-каталог открытых ключей всех абонентов системы вместе с их наименованиями.

Функционально система EXCELLENCE выполнена в виде программного модуля excell_s.exe и работает в операционной системе MS DOS 3.30 и выше. Параметры для выполнения функций передаются в виде командной строки DOS. Дополнительно поставляется интерфейсная графическая оболочка. Программа автоматически распознает и поддерживает 32-разрядные операции процессора Intel386/486/Pentium.

Для встраивания в другие программные системы реализован вариант системы EXCELLENCE, содержащий основные криптографические функции для работы с данными в оперативной памяти в режимах: память - память; память - файл; файл - память.

ОБЩИЕ ПОЛОЖЕНИЯ

Ключевая система

Для обеспечения работы сети при передаче конфиденциальной информации необходима реализация ключевого обмена между абонентами сети. Ключевой обмен в системе EXCELLENCE построен на основе алгоритма системы RSA.

Каждый абонент сети имеет свой секретный ключ, который хранится в файле и несекретный ключ, который рассылается в виде файла абонентам сети. Одновременно абонент имеет уникальный идентификатор и наименование, содержащее реквизиты абонента.

Открытый ключ вместе с наименованием хранится в каталогах других абонентов сети, с которыми осуществляется обмен конфиденциальной информацией.

Секретный ключ каждого абонента хранится на его индивидуальной ключевой дискете. Абонент также хранит каталог несекретных ключей всех зарегистрированных абонентов системы вместе с их наименованиями. Каталог защищен от несанкционированного изменения.

В системе реализованы функции смены абонентом личного секретного и открытого ключа. Открытый ключ вместе с наименованием записывается в файл и может быть разослан с использованием коммуникационных сетей.

Наряду с личным секретным ключом в системе используется главный (долговременный) ключ система криптозащиты данных, позволяющий модифицировать алгоритм шифрования информации и сделать его индивидуальным для различных сетей. Предусмотрен механизм смены главного ключа.

Работа с каталогом открытых ключей

В системе EXCELLENCE предусмотрена возможность работы, как с личным, так и с общим каталогом открытых ключей.

Общий каталог хранится в общедоступном месте и может быть одновременно использован несколькими зарегистрированными абонентами. Использование общих каталогов позволяет в некоторых случаях значительно упростить процедуры рассылки и регистрации ключей, освободив при этом большинство абонентов от указанных трудоемких процедур. Функции по модификации каталога и обеспечения достоверности открытых ключей зарегистрированных абонентов берет на себя сертификационный центр (СЦ) или ответственный абонент (ОА). При этом абоненты должны полностью доверять ОА. Для проверки подписи ОА абоненты в секретной директории хранят открытый ключ ОА.

В системе EXCELLENCE предусмотрены два режима модификации каталога: основной и неосновной. Основной режим применяется при наличии у включаемого в каталог ключа сертификата, неосновной режим - при наличии у включаемого ключа подписи зарегистрированного в каталоге абонента. Предусмотрена также возможность полной замены каталога.

Рекомендуется использовать только основной режим, в этом случае ответственность за достоверность открытых ключей в каталоге несет СЦ. При использовании общего каталога ответственность за достоверность каталога несет СЦ, если ОА включал в каталог ключи только в

основном режиме, в противном случае - ОА.

В системе EXCELLENCE предусмотрена защита от несанкционированной модификации каталога. Как для общего так и для личного каталога автоматически осуществляется контроль подлинности используемых каталогов.

При работе с личным каталогом модификацию каталога осуществляет только сам абонент.

Абонент получает новый открытый ключ другого абонента. Перед внесением в каталог нового ключа или заменой старого проверяет сертификат полученного ключа. При положительном результате проверки модифицирует каталог в основном режиме.

При отсутствии сертификата ключа, проверяет наличие подписи зарегистрированного абонента. При положительном результате проверки подписи принимает решение и модифицирует каталог в неосновном режиме.

При отсутствии подписи под ключом, удостоверяется доступными ему средствами в достоверности полученного ключа. При положительном результате проверки принимает решение о модификации каталога. Подписывает пришедший ключ своей подписью и модифицирует каталог в неосновном режиме.

При модификации каталога в неосновном режиме вся ответственность за достоверность ключа в каталоге лежит на абоненте.

В некоторых случаях, например, при компроментации ключа, абонент принимает самостоятельно решение и удаляет открытый ключ другого абонента из каталога.

После модификации каталога все включенные в него ключи автоматически попадают и в архив открытых ключей.

При работе с общим каталогом модификацию каталога осуществляет СЦ или ОА.

Абонент получает новый каталог. Проверяет (с использованием старого каталога) сертификат у каталога. При положительном результате проверки вместо старого каталога использует новый.

При отсутствии сертификата ключа, проверяет (с использованием старого каталога) наличие подписи зарегистрированного абонента. При положительном результате проверки подписи принимает решение и подписывает новый каталог своей подписью. Далее вместо старого каталога использует новый.

При отсутствии подписи под каталогом, удостоверяется доступными ему средствами в достоверности полученного каталога. При положительном результате проверки принимает решение и подписывает новый каталог своей подписью. Далее вместо старого каталога использует новый.

При замене каталога в неосновном режиме вся ответственность за достоверность каталога лежит на абоненте. При замене каталога старый каталог необходимо переписать в архив. Замена общего каталога осуществляется СЦ или ОА.

Контроль подлинности информации

Для контроля подлинности информации, хранящейся в компьютере, можно использовать функцию выработки контрольных сумм для файлов, реализованную в соответствии с ГОСТ 28147-89. Сформировав контрольные суммы для группы файлов в файл контрольных сумм (ФКС), Затем можно проверить целостность этих файлов. Если какой-либо файл из списка ФКС был изменен, это обнаруживается при проверке и с выдачей соответствующего сообщение. Выработка контрольной суммы осуществляется гораздо быстрее цифровой подписи, поэтому ее удобно использовать, если нет необходимости в удостоверении авторства сообщения.

В системе автоматически реализуется контроль подлинности зашифрованной информации (в соответствии с ГОСТ 28147-89). При расшифровании гарантируется обнаружение факта замены, удаления или добавления даже одного бита зашифрованной информации. Эта функция позволяет осуществить антивирусную защиту, поскольку, если произошло заражение файлов вирусом, то это будет обнаружено в ходе проверки контрольной комбинации.

Цифровая подпись

Для контроля подлинности и подтверждения авторства создаваемых, обрабатываемых, передаваемых и хранимых на компьютерах документов в системе EXCELLENCE используется электронная цифровая подпись. Цифровая подпись вычисляется на основе содержимого электронного документа, представленного в виде последовательности битов и секретного ключа абонента. ЭЦП представляет из себя некоторую последовательность битов, дописываемую в конец подписываемого файла.

Свойства цифровой подписи

ЭЦП однозначно связана с лицом ее проставляющим (вернее с его секретным ключом) и с подписываемой информацией. Любой абонент системы может проверить правильность ЭЦП другого абонента (с использованием открытого ключа). Никто не может подделать ЭЦП без знания секретного ключа абонента.

В системе EXCELLENCE цифровая подпись реализована на базе алгоритма RSA. Длина ключа - 512 бит - обеспечивает высокую степень защиты от подделки цифровой подписи.

Каждый абонент может поставить свою подпись и проверить правильность подписи абонента, открытый ключ которого содержится в каталоге, под любым текстовым или двоичным файлом. Предоставляется возможность проставления ЭЦП несколькими абонентами под одним файлом. Длина файла после каждой подписи увеличивается на 152 байта.

При проверке цифровой подписи гарантируется обнаружение факта замены, удаления или добавления даже одного бита подписанной информации. Подделка подписи абонента системы без знания его секретного ключа невозможна, что гарантируется разработчиками алгоритма RSA и анализировавшими его экспертами.

Шифрование информации

Шифрование информации осуществляется в соответствии с ГОСТ 28147-89, а ключевая система реализована на базе алгоритма RSA.

При использовании алгоритма шифрования СКЗД никакие существующие вычислительные средства не позволят прочитать зашифрованную информацию без знания секретного ключа, на котором осуществлялось шифрование.

Стойкость шифрования гарантируется использованием алгоритма СКЗД, прошедшего государственную экспертизу и рекомендованного для защиты информации в сетях ЭВМ.

Особенностью системы является возможность шифрования файла для выбранной группы абонентов. Расшифровать зашифрованный файл могут только те абоненты, для которых он был зашифрован. При шифровании/расшифровании предусмотрена возможность сохранения копии исходного файла.

Предусмотрен режим уничтожения исходного файла после шифрования: на его место на диске после шифрования записывается случайная информация, что делает физически невозможным восстановление открытой информации в файле.

| Главная страница | О предприятии | Услуги | Наш каталог | Прайслист | Библиотека | Ссылки |