ПСКЗИ ШИПКА: СИСТЕМА УПРАВЛЕНИЯ КЛЮЧАМИ

Т.М. БОРИСОВА, Д.Ю. СЧАСТНЫЙ
РОССИЯ, МОСКВА, ОКБ САПР

Распределение ключей в криптографических системах может быть организовано по-разному: можно построить систему так, чтобы пользователи сами создавали ключи, а можно использовать систему управления ключами, основанную на специальном программном обеспечении(ПО), которая будет создавать ключи и передавать их пользователям. Реализовать систему, в которой пользователи сами отвечают за свои ключи, можно используя ПО для ПСКЗИ ШИПКА, и это решение уже широко применяется. В настоящее же время в ОКБ САПР разработано новое решение, позволяющее реализовать систему распределения ключей с использованием специального ПО «Автоматизированное рабочее место генерации ключей ПСКЗИ ШИПКА» (СПО АРМ ГК).

СПО АРМ ГК предназначено для обеспечения безопасной генерации, управления и передачи ключевой информации между устройствами ПСКЗИ ШИПКА в рамках корпоративных систем связи.

СПО АРМ ГК предоставляет следующие функциональные возможности:

- генерация симметричных ключей шифрования (ГОСТ 28147-89);

- генерация ключевой пары для выработки и проверки электронной цифровой подписи (ГОСТ 34.10-2001);

- генерация ключевой пары для формирования ключа обмена по схеме Диффи-Хеллмана на основе алгоритма ГОСТ 34.10-2001;

- возможность доверенной записи ключевых данных в память абонентских устройств, с подтверждением записи;

- возможность передачи ключевых данных в рамках корпоративных систем связи защищенных криптографическими методами от раскрытия информации, навязывания ложной информации, нарушения целостности информации;

- возможность импорта ключевой информации извне.

СПО АРМ ГК состоит из двух частей: серверной и клиентской. Серверная часть АРМ ГК устанавливается на автономную ПЭВМ (не подключенную к сети) и предназначена для генерации ключевой информации и формирования служебных пакетов, позволяющих удаленно записывать и удалять ключевую информацию в абонентские устройства пользователей. Клиентская часть СПО АРМ ГК принимает служебные пакеты и передает их непосредственно в абонентские устройства пользователей. Для обеспечения работы серверной части СПО АРМ ГК назначается Администратор безопасности, который выбирает одно ПСКЗИ ШИПКА и инициализирует его как ШИПКА ГК. Остальные же устройства инициализируются Администратором безопасности как ПСКЗИ ШИПКА абонента.

В процессе работы серверная часть СПО АРМ ГК формирует на жестком диске ПЭВМ АРМ ГК два файла-списка:

- файл-список регистрации абонентов (ФА), который состоит из полей: дата и время выполняемой операции, идентификатор абонента (серийный номер ПСКЗИ ШИПКА абонента), открытый ключ абонента для защиты служебных пакетов, идентификатор ШИПКА ГК(серийный номер ШИПКА ГК), текущее состояние абонента(активен, скомпрометирован), и ЭЦП на все предыдущие поля;

- файл-список регистрации ключей абонентов (ФК), который состоит из полей: дата и время выполняемой операции, идентификатор ПСКЗИ ШИПКА 1-ого абонента, идентификатор ПСКЗИ ШИПКА 2-ого абонента, идентификатор ключа, тип ключа, идентификатор ШИПКА ГК, флаг записи 1-ому абоненту, флаг записи 2-ому абоненту, отозван ключ или нет, и ЭЦП на все предыдущие поля.

Последовательность работы с СПО АРМ ГК выглядит следующим образом:

1. Начало эксплуатации АРМ ГК.

Этот этап выполняется Администратором безопасности и состоит из следующих действий:

- инсталляция серверной части СПО АРМ ГК;

- инициализация ШИПКА ГК;

- генерация в ШИПКА ГК ключевой пары по алгоритму ГОСТ Р 34.10-2001, необходимой для защиты служебных пакетов. Созданная пара хранится в области памяти данных вычислителя.

2. Регистрация абонента на АРМ ГК.

Абонент приносит свое ПСКЗИ ШИПКА на ПЭВМ АРМ ГК. Предварительно оно должно быть инициализировано (Администратором безопасности) и ему должен быть присвоен PIN-код (абонентом).

Регистрация абонента происходит следующим образом:

- в ПСКЗИ ШИПКА абонента по команде от серверной части СПО АРМ ГК генерируется ключевая пара по алгоритму ГОСТ Р 34.10-2001 для защиты служебных пакетов. Созданная пара хранится в области памяти данных вычислителя

- серверная часть СПО АРМ ГК запрашивает созданный открытый ключ и уникальный идентификатор устройства абонента от ПСКЗИ ШИПКА абонента и передает эти данные в ШИПКА ГК. Полученные данные записываются в файл во внутренней памяти ШИПКА ГК и счетчик переданных управляющих пакетов (СУП) устанавливается в 0. СУП также хранится во внутренней памяти ШИПКА ГК вместе с другими данными абонента;

- серверная часть СПО АРМ ГК запрашивает открытый ключ защиты служебных пакетов и уникальный идентификатор устройства от ШИПКА ГК и передает эти данные в ПСКЗИ ШИПКА абонента. Полученные данные записываются в область памяти данных вычислителя и счетчик управляющих пакетов устанавливается в 0.

- серверная часть СПО АРМ ГК добавляет запись о регистрации абонента в ФА, подкрепляя ее ЭЦП.

В результате абонент и ШИПКА ГК обмениваются открытыми ключами для связи друг с другом. При этом нарушитель не сможет подменить ключ для связи с ШИПКА ГК, что дает возможность построения защищенной сети связи. При экспорте ключевой информации ШИПКА ГК сможет выработать ключ защиты ключей (на основании собственного закрытого ключа и открытого ключа получателя), зашифровать на нем экспортируемый ключ, инкрементировать соответствующий счетчик управляющих пакетов, добавить его в управляющий пакет и подписать полученный управляющий пакет. В ПСКЗИ ШИПКА абонента можно будет проверить ЭЦП под управляющим пакетом, удостовериться в актуальности управляющего пакета и расшифровать переданный ключ на ключе защиты ключей. Все это позволить защитить абонента от навязывания нарушителем ключевой информации.

3. Генерация ключей на АРМ ГК и запись их абонентам, удаление ключей.

Генерация (выполняется Администратором безопасности) и запись ключа связи между двумя абонентами в ПСКЗИ ШИПКА абонента (выполняется абонентом) происходит следующим образом:

- серверная часть СПО АРМ ГК дает команду в ШИПКУ ГК на генерацию ключа для двух абонентов. ШИПКА ГК создает ключ и экспортирует его в виде двух УП для каждого из абонентов;

- серверная часть СПО АРМ ГК добавляет запись о генерации ключа связи в ФК, подкрепляя ее ЭЦП. Если СПО АРМ ГК дает команду на формирование ключевой пары ЭЦП, то ШИПКА ГК передает только открытый ключ пары в серверную часть СПО АРМ ГК для записи в соответствующее поле строки ФК.

- для записи ключа абоненту соответствующий УП записывается в файл и передается клиентской части СПО АРМ ГК, которая передает этот пакет непосредственно в ПСКЗИ ШИПКА абонента.

- клиентская часть СПО АРМ ГК проверяет полученный пакет и выполняет расшифрование ключа в ПСКЗИ ШИПКА абонента. По результатам выполнения этой операции инкрементируется счетчик управляющих пакетов (только в случае, если СУП в пакете больше, чем СУП в ШИПКЕ);

- от клиентской части СПО АРМ ГК в серверную часть передается ответный служебный пакет, который содержит результат обработки УП. Этот результат фиксируется в ФК.

Для удаления ключей, загруженных на абонентские устройства с АРМ ГК, серверная часть СПО АРМ ГК формирует УП, который передается клиентской части СПО АРМ ГК и затем передается в ПСКЗИ ШИПКА абонента. Управляющий пакет обрабатывается и на серверную часть СПО АРМ ГК возвращается результат.

4. Регистрация ключа абонента, принесенного извне.

При необходимости зарегистрировать ключ, принесенный на АРМ ГК извне, Администратор безопасности должен действовать в соответствии с регламентом предприятия, и берет на себя ответственность за «содержание» данного ключа.

Регистрации ключа осуществляется следующим образом:

- серверная часть СПО АРМ ГК дает команду в ШИПКУ ГК на импорт ключа для двух абонентов. ШИПКА ГК импортирует ключ и экспортирует его в виде двух служебных пакетов для каждого из абонентов;

- серверная часть СПО АРМ ГК добавляет запись в ФК, подкрепляя ее ЭЦП.

- запись ключа абонентам происходит аналогично тому, как это делается после генерации ключей на АРМ ШИПКА.

Из описанного выше видно, что используя СПО АРМ ГК можно организовать достаточно надежную систему генерации, управления и передачи ключевой информации между устройствами ПСКЗИ ШИПКА в рамках любой корпоративной системы связи, если политика безопасности организации требует наличия такой системы.

Авторы: Каннер(Борисова) Т. М.; Счастный Д. Ю.

Дата публикации: 01.01.2009

Библиографическая ссылка: Каннер (Борисова) Т. М., Счастный Д. Ю. ПСКЗИ ШИПКА: система управления ключами // Комплексная защита информации. Материалы XIV международной конференции (19–22 мая 2009 года). Мн., 2009. С. 54–56.

---