В любой компании в обращении находится множество документов, связанных с ее деятельностью, с персональными данными сотрудников, с коммерческими вопросами, финансами. Эта информация, как правило, должна быть доступна только тем, кто должен с ней непосредственно работать, тем более не должна быть доступна для случайного доступа извне. Одним из способов разграничения доступа и защиты информации является хранение ее на специальных зашифрованных дисках или разделах диска, доступ к которым осуществляется по специальным логинам/паролям или сертификатам.

Существует большое количество решений этой задачи. Одно из них представила компания "Программные системы Атлансис". Называется решение – Atlansys Security Server. Программа обеспечивает хранение данных на защищенных с помощью криптографического шифрования сетевых дисках, размещенных на выделенном сервере. Также возможно создание контейнеров и шифрованных дисков на съемных носителях, подключаемых к серверу. Защита данных на дисках осуществляется с помощью сертификатов или паролей. Сервер управления защищенными дисками должен устанавливаться на серверную платформу Windows, а консоль управления может размещаться на любых платформах Windows, начиная с XP.

Если консолей управления необходимо установить несколько, то удобно воспользоваться заранее подготовленным конфигурационным файлом, содержащим перечень опций с их значениями. Файл должен быть написан в кодировке windows-1251. Каждая опция записывается в отдельной строке и не должна быть больше 512 байт. Продвинутые пользователи могут задавать те же параметры и в командной строке, но все же конфигурационный файл удобнее.

Максимальный размер защищаемых дисков и разделов ограничивается только файловой системой. Криптоконтейнеры и криптодиски шифруются с помощью алгоритмов AES, Blowfish, но в зависимости от поставки набор алгоритмов может быть изменен. Для удаления контейнеров и дисков используются специальные алгоритмы, предназначенные для надежного удаления информации.

Доступ к криптосерверу осуществляется через его консоль. Для подключения необходимо в окне запуска ввести логин и пароль пользователя, которому разрешено доступ к управлению криптосервером, и его сетевой адрес. После прохождения проверки откроется окно с элементами управления. Через это окно можно создавать и удалять криптоконтейнеры и криптодиски, подключать их к системе и отключать. Словом, это инструмент администратора. Пользователи, которые будут работать с защищенными областями, могут к панели управления доступа вообще не иметь – все права для доступа для них назначает администратор.

Создаем криптоконтейнер

Рассмотрим, как выполняется создание криптоконтейнера и криптодиска. Контейнер может быть создан на любом логическом диске в отличие от криптодиска, который не может создаваться на системном разделе. Создание криптоконтейнера выполняется с помощью специального мастера. Перед тем, как контейнер будет создан, желательно заполнить поля специальной формы. Здесь необходимо ввести полный путь к будущему контейнеру, его размер (допускается назначать размер в мегабайтах или гигабайтах), дать описание контейнера. Рекомендуется, но вовсе не обязательно задавать метку диска, которая будет отображаться в системе (с помощью меток ориентироваться среди множества криптоконтейнеров будет намного проще). Также необходимо выбрать букву диска из списка свободных, на которую будет подмонтирован создаваемый криптоконтейнер.

На втором шаге выполняется выбор способа защиты, среди которых допустимо несколько вариантов:

• с помощью пароля;
• с помощью одного сертификата или набора сертификатов;
• с помощью пароля и сертификатов одновременно, в этом случае, при отсутствии необходимого сертификата, для открытия криптоконтейнера можно будет использовать пароль.

Самый простой способ – доступ по паролю (на котором также будет и шифроваться диск). В программе есть ограничение – пароль не может быть короче восьми символов и состоять из букв в верхнем и нижнем регистре, минимум одной цифры и минимум одного спецсимвола. Только при такой комбинации будет доступна операция создания контейнера. При использовании организации доступа с помощью сертификатов необходимо добавить в список сертификаты пользователей, которым будет разрешен доступ. Как минимум один сертификат должен быть связан с закрытым ключом, на котором будет выполняться шифрование и расшифровывание контейнера. Без такого сертификата доступ к контейнеру будет невозможен.

На последнем этапе выполняется собственно создание криптоконтейнера и он добавляется в список подключенных к криптосерверу. Если у вас есть криптоконтейнер, созданный на другом криптосервере или рабочей станции, его можно добавить в этот же список с помощью специальной функции добавления. Если криптоконтейнер защищен сертификатом и его закрытый ключ имеется в системе, криптоконтейнер автоматически откроется. Если криптоконтейнер защищен паролем, то автоматически откроется новое окно "Открытие криптоконтейнера", в котором необходимо ввести пароль для доступа к криптоконтейнеру, который использовался при его создании. При необходимости можно изменить букву диска.

Создаем криптодиск

Создание криптодисков проходит по подобному сценарию, только вместо задания пути к файлу криптоконтейнера будет предложен выбор логического диска из числа доступных. Выбирая раздел следует быть особо внимательным, поскольку после создания криптодиска он не будет отображаться в системе как дисковое устройство до его подключения, что приведет к невозможности доступа к информации, размещенной на нем.

В процессе создания криптодиска имеется возможность сохранения на нем данных, имеющихся на нем. Если такой необходимости нет, необходимо отменить опцию "Сохранить существующие данные". В этом варианте процесс создания криптодиска пройдет намного быстрее. Несколько замечаний. В системе не поддерживается шифрация динамических дисков и невозможно преобразование файловой системы NTFS с зашифрованными файлами и каталогами. Диски, созданные на съемных носителях, должны перед окончанием работы закрываться средствами криптосервера, в противном случае можно потерять все данные.

Способы доступа к криптодиску аналогичны организации доступа к криптоконтейнеру – пароли, сертификаты или смешанные варианты. Так же, как и криптоконтейнеры, криптодиски, созданные на других криптосерверах или рабочих станциях можно подключать к вашему криптосерверу. Они будут добавлены в перечень доступных и ими можно будет управлять через панель сервера.

Работаем с защищенными объектами

После того, как были созданы криптодиски и/или криптоконтейнеры, они будут доступны в перечне, расположенном в окне панели управления. Открытие криптодиска выполняется средствами этой панели, там же есть инструменты для их отключения или удаления. После того, как диск или контейнер открыт, он подключается к системе в качестве нового логического диска, а доступ к нему определяется настройками системы (помимо доступа по паролю или сертификатам) – как к обычному логическому диску под управлением операционной системы Windows.

Удаление дисков и контейнеров выполняется через панель управления. Дело в том, что обычное форматирование не уничтожает всю служебную информацию, поэтому необходимо вначале удалить диск средствами программы и лишь затем отформатировать освободившееся пространство. Удаление поддерживает три различных варианта. Можно просто удалить криптодиск или криптоконтейнер из списка. Он остается на носителе и может быть подключен в общий список позднее. Можно удалить диск путем уничтожения ключевой информации и заголовка. Это самый быстрый способ, но удаленные таким образом диски могут быть восстановлены путем перебора ключей.

Наконец самый надежный способ – уничтожение криптодисков или криптоконтейнеров. В этом случае помимо удаления ключевой информации, все данные на криптодиске уничтожаются одним из алгоритмов уничтожения. На выбор предлагается три алгоритма уничтожения информации:

• Алгоритм по стандарту ГОСТ P 50739-95 имеет два цикла записи псевдослучайных значений.
• Алгоритм по стандарту DoD 5220.22M имеет два цикла записи псевдослучайных значений и один цикл записи фиксированных значений.
• Алгоритм по стандарту NAVSO P-5239-26 имеет два цикла записи фиксированных значений и один цикл записи псевдослучайных значений.

Все действия с криптодисками и криптоконтейнерами фиксируются в специальном журнале событий. Он служит для просмотра лог сообщений криптосервера. Журнал может быть настроен на фиксацию всех событий, совершаемых с дисками, но администратор может отсечь ненужные сообщения, оставляя только самые важные, которые фиксируют действия, приводящие к нарушению работы сервера или к его аварийному состоянию.

Выводы

В целом программа для использования не вызывает сложностей в освоении, научиться работать с ней можно быстро. Степень защиты данных, особенно в случае использования доступа по сертификатам, вполне достаточная. Реализация российских криптоалгоритмов выполняется с использованием сертифицированного СКЗИ. В настоящее время проводятся работы по получению заключения о корректности встраивания СКЗИ в программу, намечено и получение сертификатов ФСТЭК, что позволит в дальнейшем использовать Atlansys Security Server и в системах защиты персональных данных.

Купить программу Atlansys Security Server можно у партнеров 1Cофт.

Михаил Абрамзон

Все права защищены. По вопросам использования статьи обращайтесь к администраторам сайта