Алгоритмы защиты информации / CAZGB6N0

11
зопасности. Например, можно	записать ключ шифрования			в
микроЭВМ,но не существует механизма		извлечения его	оттуда
в открытом виде. Новый ключ	шифрования может быть		записан
в процессор в любое время	и сохраняется в памяти микро-
ЭВМ до выключения питания или до		того момента,	пока	на

его место не будет записан новый ключ. Процессор имеет три области для хранения ключей шифрования, благодаря чему на его основе можно строить многоуровневые ключевые системы. Информация в криптопроцессоре обрабатывается блоками по 8 байт(64 бит), при этом активно используется механизм конвейерной обработки команд. Разрядность ключа шифрования составляет 256 бит. МикроЭВМ работает во всех ре-

жимах,	описанных	в ГОСТ 28147-89.
б) контроллер сопряжения с шиной компьютера;			осуще-
в) BIOS платы "Криптон", предназначенный для
ствления	интерфейса между компьютером и микроЭВМ и			вы-
полняющий самотестирование устройства и ввод ключевой ин-
формации в процессоры;				вы-
г) высококачественный датчик случайных чисел для
работки	ключей	шифрования,выполненный на основе	специа-

лизированных шумовых диодов.

Платы семейства "Криптон" работают с компьютерами типа PC AT х86 и имеют интерфейс с шиной ISA. "Криптон" имеет "открытый" интерфейс, и каждый пользователь получает возможность разрабатывать собственное программное обеспечение специального назначения.

Наиболее широко распространена плата "Криптон-3", сертифицированная Государственной экспертной организацией по вопросам шифрования и применяемая для защиты как государственной, так и коммерческой информации. "Криптон-

3" применяется		и в системе	"СНЕГ-ЛВС", предназначенной
для защиты информации в сети			Novell	NetWare. На	тактовой
частоте	5,5 МГц	скорость шифрования		составляет	250-300
Кбайт/с	"Криптон-3" сделан на п-МОП элементной базе.

"Криптон-3" реализует следующие функции:

•шифрование файлов, групп файлов и разделов диска;

•защита информации, передаваемой по каналам связи;

•электронная подпись юридических и финансовых документов;

•прозрачное шифрование жестких и гибких дисков.

В1994 г. на смену изделию "Криптон-3" - пришел "Криптон-4" с более высоким быстродействием и надежностью.

Проведены	аттестационные испытания устройства «Криптон-4"
в ФАПСИ.	"Криптон-4". по характеристикам аналогичен уст-

12

ройству "Криптон-3", но отличается большей степени инте-

грации(используются базовые матричные кристаллы), что						по-
зволило повысить	надежность	и сократить		габариты	устрой-
ства. "Криптон-4" реализован		по	КМОП-технологии		и	обес-
печивает скорость	шифрования	до	1,5 -	2 Мбайт/с.		платы
Имеется возможность выгрузки			содержимого BIOS
"Криптон-4" в ОЗУ компьютера, что позволяет шифровать						ин-

формацию на скоростях, близких к скорости шифрования

микроЭВМ,	т.е. порядка 250 Кбайт/с.		и	"Криптон-4"
Для	устройств	"Криптон-3"

носителем информации, необходимой для шифрования, служит ключевая дискета, т.е. ключ представляет собой файл на диске, с использованием которого будет происходить обработка информации.

Аппаратно-программный комплекс Криптон-ИК- многофункциональная система,предназначенная для работы с использованием стандартных Smart Card - интеллектуальных микро-

процесоорных карточек (ИК) - и обеспечивающая					криптогра-
фическую	защиту	информации в ПЭВМ типа IBM AT. Построе-
на на базе «Криптон 3»			программное	средство	шифрования
В 1995 г. появилось
"Криптон	LITE", программа		электронной	подписи	"Криптон
Sign",	соответствующая ГОСТ Р 34.10-94 и ГОСТ Р 34.10-94.
В 1996 году		начат	выпуск нового 32-х		разрядного
КМОП шифропроцессора "Блюминг-1К", реализующего					стандарт

шифрования ГОСТ 28147-89. Преимуществами "Блюминг-1К" яв-

ляются:	низкое энергопотребление и высокое быстродейст-
вие. На	тактовой частоте 12 МГц скорость шифрования	со-

ставляет около 1000 Кбайт /сек. Весной 1996 г. потребителям предложено изделие "Криптон-4К", использующее "Блю-

минг-1К",	а затем и устройство	"Криптон-5" с мультипро-
цессорной	архитектурой и шиной ISA.

Дополнительно к шифрованию "Криптон-5" позволит

•аппаратно осуществлять электронную подпись сообще-

ний по ГОСТ Р 34.10-94 и ГОСТ Р 34.10-94;

•вводить криптографические ключи с гибких дисков, Smart Card или Touch Memory, минуя ОЗУ компьютера;

•шифровать данные в собственном ОЗУ устройства, что "разгружает" основной процессор компьютера;

• хранить таблицы ключей шифрования в специальном

ОЗУ.

В 1997 году появится система разграничения и контроля доступа с прозрачным шифрованием дисков - "Криптон

13

Access", закончится переход программного обеспечения на платформу Windows.

2.5.1 Пакет "SCAN BIOS"
Пакет "SCAN BIOS" предназначен		для	облегчения ус-
тановки	"Криптона" в ПК. При работе	пакета проверяется
наличие	свободного пространства	в	области адресов

ПЗУ	(BIOS), портов ввода/вывода и адреса вектора прерыва-
ния	4Ch, используемых при работе устройства "Криптон". Ди-
апазон адресов, используемых платой, -		от C0000h до
DFFFFh.		через преры-
	Обращение к шифратору осуществляется

вание 4Ch, по этой причине использование вектора прерывания 4Ch другими программными или аппаратными средствами не допускается.

После запуска программы SCAN_BIO.COM, будет проведена тестовая проверка ПК, и на экране появится сообщение примерно следующего вида:

SCAN BIOS V1.1

MEMORY C0000-C5FFF RAM MEMORY C6000-CDFFF ROM KS=00

MEMORY CE000-DFFFF FREE FFFF FFFF FFFF FFFF FFFF FFFF FFFF FFFF FFFF FFFF FFFF

PORT 338=>FF FF FF FF

VECTOR 4Ch=F000:EAA6

Первая строка указывает на версию пакета "SCAN BIOS".

Строки, начинающиеся со слова MEMORY, содержат информацию о результатах тестов области адресов ПЗУ C0000-DFFFF

с шагом 2 Kbyte.

После служебного слова MEMORY указывается границы очередной однородного блока памяти, находящегося в данной области адресов и сведения о его характере. Слово RAM -

говорит	о	том, что данная область адресов занята под
ОЗУ, ROM -		под ПЗУ,	KS - контрольная сумма области па-
мяти.	FREE	- область	памяти с большой степенью вероятно-

сти свободной, содержимое первых 22 байт этой области приводится следом (FFFF FFFF FFFF FFFF FFFF FFFF FFFF

FFFFFFFF FFFF FFFF).

Чтобы область памяти можно было использовать под BIOS

платы "Криптон" необходимо, чтобы область была свободна, имела размер больше 8Кбайт, содержимое первых 22 байт было одинаково.

14

Cтроки, начинаюшиеся с ключевого слова PORT, содержат результаты теста области портов 338-33B. Указывается начальный номер порта и результаты чтения 4байтных портов, начиная с начального.(338,339,33A,33B). Если содержимое

портов одинаково,		то они свободны	и устройство "Крип-
тон"	не будет конфликтовать с		другой	аппаратурой ПК.
Если	значения не	одинаковы, то требуется		обнаружить уст-

ройство, использующее порты с 338 по 33В и перенастроить его.

В последней стороне выводится значение вектора преры-

	вания 4ch:	VECTOR 4Ch=F000:EAA6
	Значение		состоит	из	2-х вели-
		вектора прерывания
	чин XXXX:YYYY.	Если первая цифра в адресе		XXXX – F, т.е.
	(FXXX:YYYY), то это говорит о том,		что вектор		4ch свобо-
	ден и может быть использован платой "Криптон".

При получении положительных результатов тестовых проверок ПК, устройство "Криптон" может быть установлено в Ваш компьютер.

2.5.2 Система криптографической защиты "CRYPTO TOOLS"

Система криптографической				защиты данных		(СКЗД)
"CRYPTO	TOOLS" предназначена для защиты информации					поль-
зователя, хранящейся		на	магнитных носителях (гибких и
жестких	магнитных дисках)		персональных компьютеров(ПК),
совместимых с IBM PC AT, работающих под управлением опера-
ционной	системы MS DOS версии 3.0			и выше.	Защита	инфор-
мации	осуществляется	путем	ее шифрования		в соответствии

салгоритмом ГОСТ 28147-89 с использованием платы

"Криптон" производства фирмы "Анкад". Система позволяет осуществлять шифрование файлов и дисков в целом по выбору пользователя.

Имеется возможность работы			с системой нескольких по-
льзователей	с разграничением		доступа между		ними		к
хранящимся на магнитных запоминающих устройствах ПК						файлам
благодаря использованию ими различных ключей.						файлы:
Система	"CRYPTO	TOOLS"	включает	в себя
CRTOOLS.EXE, CRTOOLS.CFG, CRTOOLS.TXT.
Программа CRTOOLS.EXE реализует шифрование файлов ин-
формации и дисков по выбору пользователя.				Файл	CRTOOLS.-
CFG содержит информацию о конфигурации системы. Файл
конфигурации	создается	после сохранения		текущих		устано-

вок системы. Файл CRTOOLS.TXT содержит текст описания работы с программой.

15
Для установки системы создайте на жестком диске ди-
ректорию, например, C:\CRTOOLS) и перепишите	в нее	фай-
лы CRTOOLS.EXE и CRTOOLS.CFG. В случае	отсутствия	по-

следнего, он будет автоматически создан системой при пер-

вом

ее запуске. Для возможности вызова программы програм-

мы

CRTOOLS.EXE

из

любой

директории добавьте

в строку

PATH

файла AUTOEXEC.BAT

название

директории,

содержащей

файлы СRTOOLS.exe, crtools.cfg.

Система "CRYPTO TOOLS" позволяет использовать до 8

различных вариантов

ключевых

систем.

Выбор определяет-

ся

требуемым уровнем защиты

в

зависимости от режима

использования ПЭВМ

(индивидуальный либо

многопользова-

тельский).

выбор по

желанию пользователя ключе-

Обеспечивается

вых систем, приведенных в табл. 2.2.

Таблица 2.2.

Ключ.система

GK

UK

PW

NET

Вид системы

0

(GK+PW+UK)

+

+

+

главный ключ, пароль, ключи пользо-

вателей;

1

(GK+UK)

+

+

главный ключ, ключи пользователей

2

(GK+PW)

+

+

главный ключ, пароль

3

(GK)

+

главный ключ

4

(PW+UK)

+

+

пароль, ключи пользователей

5

(UK)

+

ключи пользователей

6

(PW)

+

пароль

7

(GK+NET)

+

+

главный ключ, сетевые ключи

ля;

В табл 2.2 GK - главный

ключ;

UK

- ключ

пользовате-

PW - пароль пользователя;

NET - набор ключей пользо-

вателя для работы в сети.

информацией

шифруется файловым

Сам файл

с защищаемой

ключом. Файловый ключ хранится в зашифрованном виде вместе с зашифрованным файлом.

0-й тип ключевой			системы	(GK+PW+UK)		предусматри-
вает, что файловый ключ будет зашифрован					на ключе пользо-
вателя,	который	в свою	очередь	закрыт	на	главном ключе
с использованием		пароля, вводимого с клавиатуры.
1-й	тип	(GK+UK)	предусматривает,			что	файловый
ключ будет зашифрован на ключе пользователя,							который в
свою очередь закрыт на главном ключе.

		16
2-й тип (GK+PW)	предусматривает,		что	файловый
ключ будет зашифрован	на	главном ключе с использованием
пароля, вводимого пользователем с клавиатуры.
3-й тип (GK) предусматривает, что			файловый ключ
будет зашифрован на главном ключе.			что файловый
4-й тип (PW+UK)		предусматривает,
ключ будет зашифрован	на	ключе пользователя,		который, в

свою очередь, закрыт на вводимом пользователем с клавиа-

туры пароле.	предусматривает, что файловый ключ
5-й тип (UK)
будет зашифрован на	ключе пользователя, который хра-
нится в открытом виде.
6-й тип (PW)	предусматривает, что файловый ключ
будет зашифрован на пароле, вводимом с клавиатуры.
7-й тип (GK+NET)	предусматривает для сети парно вы-

борочную связь, что сеансовый (файловый) ключ, используемый непосредственно для шифрования передаваемой между узлами связи информации, будет зашифрован на сетевом ключе узла связи, который в свою очередь закрыт на главном ключе узла.

Генерация и подготовка ключей для работы с системой "CRYPTO TOOLS" осуществляется пакетом "КРИПТОМЕНЕДЖЕР" (CRSMNG.EXE).

В случае, если устройство шифрования не было инициализировано при начальной загрузке ПК, при запуске программы CRTOOLS.EXE. системой выдается сообщение "Шифратор не найден", и программа завершает работу. Если программа при

хранении на диске была	искажена, либо в нее		были внесе-
ны несанкционированные	изменения,	выдается	сообщение

"Программа разрушена" и программа завершает работу.

В случае воздействия на систему программных закладок или вирусов, а также при работе пакета с программойэмулятором платы "Криптон" в нижнюю часть экрана выводится сообщение:

«Внимание! Работает программный драйвер шифратора». При этом пользователь системы должен принять реше-

ние о продлении работы с системой, если была запущена про- грамма-эмулятор, либо прекратить работу с системой (во избежании утечки секретной информации) и сообщить о случившемся администратору службы безопасности.

		После успешного		запуска программы CRTOOLS.EXE на
				имена файлов из текущей директории
экран		дисплея появятся
и два		рабочих окна:
		Тип Kл. - 3 (GK)		<----- окно с параметрами

			17
	Ключ
	F2	-	Выбрать диск	<----- Меню возможных
	F4	-	Редактировать Файл
	F5	-	Зашифровать Файл	исполняемых
	F6	-	Расшифровать Файл	функций системы
	F7	-	Работа с дисками
	F8	-	Удалить Файл
	F9	-	Установка
	F10	-	Выход из программы
	В окне с параметрами показывается тип используемой
ключевой			системы, и имя	файла ключа пользователя,
который		будет использоваться при шифровании.
	По		клавише F3 выполняется просмотр файла отмеченно-

го курсором в окне с файлами.

Установка параметров системы шифрования.

Прежде чем приступить к зашифрованию/расшифрованию файлов, задайте исходные данные для этого процесса (тип ключевой системы и имя файла с ключом), используя функцию "Установка". Нажмите функциональную клавишу F9. Меню исходных параметров имеет вид:

Установка параметров

1 - Тип ключевой системы

2 - Имя файла с ключом

3 - Раздел с ключами

4 - Ввод пароля

5 - Сортировка оглавления

6 - Удаление файлов

7 - Раскрывать информацию о файлах

8 - Редактор файлов

9 - Сохранить установки

0 - Выход

Функция 1 позволяет выбрать необходимый вариант ключевой системы.

Функция 2 обеспечивает задание имени файла с ключом пользователя. Вы набираете имя на клавиатуре либо сразу нажимаете клавишу ENTER и выбираете нужный файл в открывшейся панели файлов

Функция 3 позволяет определить полный путь к каталогу, где хранится ключевой файл

Указанная ключевая система должна соответствовать ключевой системе, заданной при генерации ключа. В против-

18

ном случае при проведении контроля ключа системой будет выдано сообщение "Неправильный ключ". Введенное имя файла с ключом отобразится в окне:

Тип Kл. - 5 (UK)

Ключ

ancud.key

При использовании ключевых систем 0 (GK + PW + UK), 2

(GK +PW), 4 (PW + UK), 6 (PW) требуется задать пароль, на

котором закрыты

соответствующие ключи (заданный

при

ге-

нерации

ключей),либо

на

котором

будут

зашифрованы

файловые

ключи

(ключевая

система

6).

Вводимый

пароль

должен иметь длину не более 37 символов.При выборе

после-

дующих ключей,

закрытых

с использованием пароля,

пароль

системой

не

перезапрашивается.

Для

установки

ключа,

за-

крытого

на другом пароле, необходимо

ввести

новый

па-

роль с помощью функции 4 и с помощью функции

2

выбрать

имя файла следующего ключа.

Сортировка файлов в выбранной директории, отобра-

жаемых в окне

на

экране

дисплея,

возможна

как по

их

именам, так и по расширениям. с помощью функции 5

Функция 6 позволяет сделать выбор между ручным и ав-

томатическим режимами. Удаления файлов после

зашифрова-

ния/расшифрования. Для

уничтожения

файла

в

ручном

ре-

жиме

в

окне

файлов

подведите

курсор

к

уничтожаемому

файлу

и

нажмите функциональную

клавишу

F8.

Для

уничто-

жения

одновременно нескольких

файлов

отметьте требуемые

файлы,

используя

клавишу

INS. При удалении

файла

про-

исходит полное затирание информации

на

диске без возмож-

ности ее восстановления

экране

дисплея

информации о

том,

Для

получения

на

в

соответствии

с

какой

из

имеющихся ключевых

сис-

тем

и

на

каком

конкретно

ключе

зашифрованы

файлы,

выберите

функцию

"7

-

Раскрывать

информацию

о

фай-

лах". В появившемся окне

с именем "Показать

имя

клю-

ча?"

задайте

опцию

"Y-Да".

Необходимая

информация будет

отображаться в графе "KEY" меню файлов. При этом в

меню

файлов

будут

показаны прежние

параметры

зашифрованного

файла (старое имя, прежняя длина), и запись о

файле будет

подсвечена другим цветом, отличающимся от цвета незашифрованных файлов.

Функция 8 позволяет указать путь к внешнему редактору для осуществления с его помощью редактирования файлов без выхода из пакета CRYPTO TOOLS Для редактирования любого файла, помеченного курсором, нажмите клавишу F4.

				19
пункт	Для	сохранения		сделанных	установок	используется
	9.	При этом		на диске	создается или	обновляется
файл	конфигурации		CRTOOLS.CFG,		где в первой	строке ука-

зывается вид ключевой системы по умолчанию и далее через пробелы номера вариантов ключевых систем, которые будут высвечиваться в меню ключевых систем. Изначально и по умолчанию системой устанавливается следующая конфигурация:

3 0 1 2 3 4 5 6 7

Для выхода из меню исходных параметров в меню файлов укажите функцию "0 - Выход".

После установки необходимых параметров вы можете переходить непосредственно к шифрованию и расшифрованию файлов.

Шифрование файлов.

Задайте имя диска (клавиша F2), на котором располагаются файлы с защищаемой информацией. Выберите необходимую директорию, перемещая в окне файлов курсор и нажимая клавишу ENTER для перехода в другую директорию.

Находясь в нужной директории выберите один или несколько ( c помощью клавиши Ins) файлов, которые требуется зашифровать и нажмите F5("Зашифровать Файл"). Зашифрованные файлы получают расширение .CRY.

При зашифровании файла, предназначенного для передачи некоторому абоненту сети связи, задается ключевая система 7 (GK+NET) и в качестве имени файла ключа указывается имя личного секретного сетевого ключа узла связи (имя соответствует номеру собственного узла в сети, расширение

.KEY). После нажатия клавиши F5 система выдаст запрос: "Зашифровать для узла (1-2000)"

Введите номер узла связи, которому предназначается информация. Соответствующий ключ парно выборочной связи будет выбран системой автоматически.

Для уничтожения на диске файла с открытой информацией, если не установлена опция "Автоматически", используйте функцию "F8Удалить Файл".

Расшифрование файла.

Для расшифрования файла задайте имя диска, на котором располагаются файлы с зашифрованной информацией, выберите необходимую директорию, установите параметры шифрования. При необходимости установите режим автоматического уничтожения файла с шифрованной информацией после его расшифрования, а также режим выдачи справочной информации о зашифрованных файлах. Если требуется, введите пароль.

20

Находясь в нужной директории, выберите файлы для рас-

шифровки	и	нажмите функциональную				клавишу	F6	("Расшиф-
ровать файл").								некоторого
При	расшифровании файла, полученного от
абонента	сети		связи,	задается		ключевая		система 7
(GK+NET) и в качестве имени файла ключа указывается									имя
секретного		сетевого		ключа	собственного узла		связи		(имя
соответствует			номеру	узла	в сети,	расширение	.KEY).		Со-

ответствующий ключ парно выборочной связи будет выбран системой автоматически.

Для уничтожения на диске файла с зашифрованной информацией после его расшифрования, если не установлена опция "Автоматически", используйте функцию "F8 - Удалить файл".

Работа с дисками.

Для шифрования всего логического диска или дискеты нажмите F7 ("Работа с дисками"). На экране дисплея высветится подменю:

Работа с дисками

1 - Перешифровать диск

2 - Зашифровать диск

3 - Расшифровать диск

4 - Работа с файлами

5 - Выход из программы

Для шифрования, расшифрования или перешифрования диска выберите соответсвующую функцию меню. При шифровании диска появится меню.

==Зашифровать диск===

1 - Диск -

2 - Имя файла с ключом

3 - Раздел с ключами

4 - Начать обработку

5 - Выход Определите

•имя шифруемого диска;

•имя файла ключа;