Обзор защищенных ключевых хранилищ

Россия, Москва, ОКБ САПР

Для безопасного хранения ключей сегодня принято применять различные технические средства, как относительно универсальные по своему назначению (то есть такие, для которых хранение ключей не является единственной, и даже основной функцией): смарт-карты, токены, обычные флэш-накопители, а также специализированные устройства: ШИПКА-лайт Slim и ПАК Секрет. Данные типы носителей различаются объемом памяти, они по-разному организуют защиту данных (pin-код, привязка к АРМ), естественно, у них различные цены. Рассмотрим каждый из этих типов, выделим соответствующие особенности и попробуем разобраться, какое из решений лучше.

Смарт-карты

Смарт-карты обычно обладают весьма скромным объемом памяти данных, десятки килобайт, однако этого достаточно для хранения ключей или сертификатов. Для доступа к данным необходим ввод PIN-кода. Устройство может быть заблокировано после некоторого количества неверных вводов PIN подряд, что делает затруднительным подбор PIN. Смарт-карты обладают хорошей совместимостью, так как используют стандартный протокол, но для их использования требуется кардридер. Одна из основных проблем смарт-карт — их возможный отказ, так как тонкий пластиковый корпус чипа не может обеспечить надежную защиту при физических воздействиях.

Если злоумышленник завладел и смарт-картой, и ее PIN-кодом, он сможет получить доступ к данным. Владелец смарт-карты технически может (хотя и не должен бы) использовать ее вне доверенной среды, при этом PIN-код может быть перехвачен с устройства ввода, ключи могут быть списаны из оперативной памяти или из памяти смарт-карты после разблокировки хозяином.

Разумеется, хранение ключей — это не единственная функция смарт-карты, но одна из основных.

Токены

Токены могут иметь более широкие возможности по сравнению со смарт-картами. Например, устройство может содержать свою собственную клавиатуру для ввода PIN-кода, что значительно усложняет перехват. Обычно для работы с токеном необходима установка драйверов.

Если злоумышленник завладел и токеном, и необходимым кодом доступа, он сможет получить доступ к данным. Владелец токена технически может (хотя и не должен) использовать его вне доверенной среды, при этом ключи могут быть списаны из оперативной памяти или прямо из устройства после его разблокировки хозяином.

Хранение ключей — это не единственная, и не основная функция токенов, их основное назначение — двухфакторная аутентификация.

Флэш-накопители

Обычные флэш-накопители не обладают никакой защитой. Могут быть украдены или утеряны, в этом случае любой человек сможет получить доступ к данным. Зато флэш-накопители обладают значительным объемом памяти, совместимы практически со всеми устройствами, имеющими USB порты. Флэш-накопитель может быть использован на любом АРМ в любых условиях.

Было бы нелепо даже рассматривать вопрос о том, является ли хранение ключей сколь-нибудь специальной функцией флэш-накопителей.

ШИПКА-лайт Slim

Использует такой же протокол обмена, как и кардридеры для смарт-карт, поэтому совместимы со всеми системами, которые могут работать с кардридерами. В отличие от смарт-карты, чип в данном хранилище надежно защищен корпусом. Кардридер для ШИПКи не требуется. При этом от токенов ШИПКу-лайт Slim отличает отсутствие избыточных для защищенного хранилища функций, следовательно, за них не нужно переплачивать. Для доступа к данным применяется PIN-код. Устройство может быть заблокировано после некоторого количества неверных вводов PIN подряд, что делает затруднительным подбор PIN. Однако, PIN может быть перехвачен с устройства ввода. Если злоумышленник завладел и ШИПКой, и ее PIN-кодом, он сможет получить доступ к данным.

ШИПКА-лайт Slim — это специализированное устройство, предназначенное именно для хранения ключей.

ПАК Секрет

Обладает значительным объемом памяти, при этом доступ к данным возможен только после ввода PIN-кода и только на тех АРМ, на которых Секрет был предварительно зарегистрирован. Требует установки драйверов и программного обеспечения.

Известно, что криптографические ключи допускается использовать только в доверенной среде, в среде функционирования криптографии. Однако ничто не мешает пользователю попытаться использовать их где-то еще, ни одно из перечисленных выше хранилищ никак не может препятствовать этому, слабо могут помешать неправомерному применению ключей легальными пользователями и организационный меры. ПАК Секрет же физически не будет функционировать на недоверенных АРМ (так как не зарегистрирован на них администратором). Таким образом, не только злоумышленник, даже если он завладел и Секретом, и его PIN-кодом, все равно не сможет получить доступ к данным, но и легальный пользователь, пожелай он воспользоваться собственными ключами в нарушение правил пользования СКЗИ.

Защищенное хранение данных — единственная функция ПАК Секрет, хотя такими данными могут быть и не только криптографические ключи.

Обобщение данных

Средство	Объем данных	PIN	Собственная клавиатура	Привязка к АРМ	Цена
Смарт-карта	Десятки килобайт	+	–	–	От 500 р.
Токен	Десятки килобайт	+	(+)	–	От 700 р.
Флэш-накопитель	Гигабайты	–	–	–	От 200 р.
ШИПКА-лайт Слим	Десятки килобайт	+	–	–	От 1200 р.
ПАК Секрет	Гигабайты	+	–	+	От 2100 р.

Таким образом, для защищенного хранения ключей рекомендуется использовать специализированные носители. К выбору же такого носителя может быть два подхода: ШИПКА-лайт Slim, если можно гарантировать применение пользователем ключей только и исключительно в доверенной среде, и ПАК Секрет, если нужно гарантировано технически исключить попытки их некорректного применения.

Автор: Батраков А. Ю.

Дата публикации: 01.01.2012

Библиографическая ссылка: Батраков А. Ю. Обзор защищенных ключевых хранилищ // Комплексная защита информации. Безопасность информационных технологий. Материалы XVII Международной конференции 15–18 мая 2012 года, Суздаль (Россия). М., 2012. С. 37–38.

---