Руководство пользователя 19912012 оао ИнфоТеКС
 Скачать 7.18 Mb.
|
|
ViPNet Client Монитор 3.2. Руководство пользователя 275 Рисунок 127: Применение ключей обмена Для защиты ключей обмена применяется три уровня шифрования: ключи обмена зашифрованы на ключах защиты коллективов; ключи защиты коллективов зашифрованы на персональных ключах; в свою очередь, персональные ключи зашифрованы на парольных ключах. ViPNet Client Монитор 3.2. Руководство пользователя 276 Рисунок 128: Иерархия защиты ключей обмена на сетевом узле При создании структуры сети ViPNet администратор создает в программе ViPNet Administrator или ViPNet Manager файл дистрибутива ключей ( *.dst ) для каждого пользователя сетевого узла ViPNet. Файлы дистрибутивов необходимы для первичной инициализации ПО ViPNet на сетевых узлах. Они содержат ключи пользователя (персональный ключ и ключи электронной подписи), набор ключей обмена с другими сетевыми узлами, адресные справочники, необходимые для связи с другими сетевыми узлами, и регистрационный файл infotecs.re. Обновление ключевой информации для сетевых узлов производится по инициативе администратора сети ViPNet. ViPNet Client Монитор 3.2. Руководство пользователя 277 Примечание. По собственной инициативе пользователь может сделать запрос на обновление сертификата электронной подписи. Для этого в окне Настройка параметров безопасности на вкладке Подпись нужно нажать кнопку Обновить сертификат. В ПО ViPNet для шифрования используются следующие симметричные алгоритмы: ГОСТ 28147-89 (длина ключа 256 бит) — российский стандарт симметричного шифрования. AES (256 бит) — принятый в США стандарт симметричного шифрования на основе алгоритма Rijndael. По умолчанию используется алгоритм ГОСТ 28147-89. При необходимости можно выбрать алгоритм AES. Асимметричные ключи в ПО ViPNet При использовании симметричного алгоритма зашифрование и расшифрование выполняются с помощью одного и того же ключа. При использовании асимметричного алгоритма ключ, с помощью которого шифруется сообщение, является открытым (известен всем отправителям), а ключ, с помощью которого это сообщение расшифровывается, является закрытым (известен только получателю зашифрованного сообщения). Каждый пользователь имеет пару ключей шифрования — открытый ключ и закрытый ключ. Закрытый ключ необходимо держать в тайне, а открытый ключ можно свободно распространять. Между этими ключами существует математическая связь, однако на практике невозможно за конечное время получить закрытый ключ из открытого. Асимметричные ключи используются в технологии ViPNet для издания сертификатов и создания электронных подписей (см. « Сочетание хэш-функции и асимметричного алгоритма электронной подписи » на стр. 272). Если на компьютере установлено ПО ViPNet, в состав которого входит криптопровайдер, асимметричные ключи можно использовать для шифрования (см. « Асимметричное шифрование » на стр. 269). Одна и та же пара асимметричных ключей может использоваться как для шифрования, так и для подписи. Однако, в отличие от шифрования, для подписи используется закрытый ключ, а для проверки подписи — открытый ключ (сертификат ключа подписи). Сертификат содержит открытый ключ, удостоверенный (в том числе подписанный) уполномоченным лицом (например, администратором сети ViPNet), информацию о владельце сертификата, сроке его действия и прочее. ViPNet Client Монитор 3.2. Руководство пользователя 278 Пару асимметричных ключей можно независимо создать на сетевом узле ViPNet. Для этого в окне Настройка параметров безопасности на вкладке Подпись нужно сделать запрос на обновление сертификата, выбрав в качестве назначения ключа Подпись и шифрование. Примечание. Обновление сертификата требуется в том случае, если истекает срок действия текущего сертификата или закрытого ключа, а также если текущий сертификат не предназначен для шифрования. Закрытый ключ следует хранить в тайне от других пользователей: рекомендуется использование съемных носителей или внешних устройств (см. « Информация о внешних устройствах хранения данных » на стр. 46). На жестком диске закрытый ключ хранится в зашифрованном виде в файле, который называется контейнером ключей. Схема защиты закрытого ключа электронной подписи изображена на следующем рисунке. Рисунок 129: Схема защиты закрытого ключа подписи Если закрытый ключ подписи хранится на внешнем устройстве, ключом защиты (см. « Ключ защиты » на стр. 375) для него является парольный ключ. Если закрытый ключ подписи хранится на жестком диске или в дистрибутиве ключей, ключом защиты для него является персональный ключ. Открытые ключи в сетях ViPNet передаются в составе подписанного сообщения программы «Деловая почта». Также открытые ключи могут храниться в составе сертификатов в общем хранилище сертификатов, например в службе каталогов Active Directory. Асимметричное шифрование подразумевает отправку зашифрованного сообщения владельцу выбранного при зашифровании сертификата. Зашифрование сообщений можно выполнять в таких приложениях, как Microsoft Outlook, Outlook Express и так далее. Для этого сертификат получателя должен содержать в соответствующем поле адрес электронной почты. ViPNet Client Монитор 3.2. Руководство пользователя 279 Примечание. При издании сертификата в программе ViPNet Manager адрес электронной почты указать невозможно. Следует понимать, что технология асимметричного шифрования основана на стандартном использовании интерфейса Microsoft Crypto API. Следовательно, при использовании данной технологии пользователи ViPNet могут быть не связаны между собой в смысле топологии сети ViPNet (их сети могут не являться доверенными). Кроме того, получатель сообщения может вообще не являться пользователем программы ViPNet Client. Для расшифрования сообщения получателю достаточно закрытого ключа, сертификата и установленного на компьютере ПО, в состав которого входит криптопровайдер ViPNet. ViPNet Client Монитор 3.2. Руководство пользователя 280 Обновление справочников и ключей Общие сведения о справочниках и ключах Если администратор сети ViPNet вносит какие-либо изменения в структуру сети или настройки отдельных сетевых узлов, например, создает новые связи между сетевыми узлами, также изменяется справочники и ключи для сетевых узлов. Обновления справочников и ключей создаются администратором сети в программе ViPNet Administrator или ViPNet Manager и могут быть автоматически отправлены на сетевые узлы, которых коснулись изменения. Обновление справочников и ключей на сетевом узле происходит в автоматическом режиме, если не открыт сеанс обмена защищенными сообщениями. Если в окне Настройка в подразделе Предупреждения установлен флажок Выдавать предупреждения перед ViPNet-обновлениями, при поступлении обновления программа выдает соответствующее сообщение. В противном случае обновление принимается автоматически. Если по каким-либо причинам обновление справочников и ключей из ViPNet Administrator или ViPNet Manager не может быть принято по сети, существует возможность выполнить обновление вручную с помощью файла *.dst (см. « Обновление справочников и ключей с помощью файла *.dst » на стр. 280). Обновление справочников и ключей с помощью файла *.dst Обновление справочно-ключевой информации с помощью файла *.dst можно выполнить двумя способами: 1 Выполнить процедуру первичной инициализации (см. « Установка и удаление программы » на стр. 54), указав в мастере первичной инициализации путь к файлу *.dst с новой справочно-ключевой информацией. 2 Использовать мастер Установка ключей сети ViPNet, который запускается двойным щелчком по файлу *.dst Внимание! В сетях ViPNet CUSTOM не рекомендуется использовать мастер Установка ключей сети ViPNet на сетевых узлах, на которых зарегистрировано несколько пользователей ViPNet или установлено несколько программ, использующих ключи ViPNet. ViPNet Client Монитор 3.2. Руководство пользователя 281 Чтобы обновить справочно-ключевую информацию с помощью мастера Установка ключей сети ViPNet, выполните следующие действия: 1 Перед обновлением выгрузите из памяти компьютера все запущенные модули ПО ViPNet, воспользовавшись командой Выход в главном меню или в области уведомлений. 2 Дважды щелкните файл дистрибутива ключей *.dst с новой справочно-ключевой информацией, полученный от администратора сети ViPNet. Будет запущен мастер Установка ключей сети ViPNet. Если при запуске мастера будут обнаружены работающие приложения ViPNet, будет выведено сообщение о необходимости завершить их работу. Выйдите из указанных приложений и нажмите кнопку Повтор. 3 Убедитесь, что выбран дистрибутив ключей, предназначенный именно для текущего сетевого узла. Имя сетевого узла и имя пользователя отображаются ниже поля для указания пути к файлу дистрибутива. При необходимости нажмите кнопку Обзор, чтобы указать дистрибутив ключей. Рисунок 130: Обновление справочно-ключевой информации с помощью файла *.dst 4 Если выбран дистрибутив, который содержит новую версию справочников и ключей текущего узла, для установки ключей ViPNet в папки по умолчанию нажмите кнопку Установить ключи. ViPNet Client Монитор 3.2. Руководство пользователя 282 Примечание. Перед началом обновления ключей в папке установки программы ViPNet Монитор, в подпапке \ccc\backup создается резервная копия существующих ключей сетевого узла. При необходимости можно восстановить справочно-ключевую информацию из резервной копии (см. « Резервное копирование и восстановление ключей » на стр. 285). 5 Если пути к папке ключей узла или к папке ключей пользователя отличаются от путей по умолчанию, выполните следующие действия: o Установите флажок Расширенный режим (только для экспертов), затем нажмите кнопку Далее. Внимание! Использование расширенного режима мастера установки ключей рекомендуется только для администратора сети ViPNet. o С помощью кнопок Обзор укажите в соответствующих полях папку ключей сетевого узла и папку ключей пользователя. Рисунок 131: Указание папок для установки ключей узла и ключей пользователя o Для начала установки нажмите кнопку Установить ключи. ViPNet Client Монитор 3.2. Руководство пользователя 283 6 Если обнаружены какие-либо несоответствия между выбранным дистрибутивом ключей и текущими ключами на узле, кнопка Установить ключи будет недоступна. Для продолжения установки нажмите кнопку Далее: o Если выбранный дистрибутив содержит более старую версию ключей и справочников, чем имеющаяся на узле, будет выведено соответствующее сообщение. Рисунок 132: Дистрибутив содержит старые справочники Чтобы отказаться от установки ключей, нажмите кнопку Отмена, затем в окне подтверждения нажмите кнопку Да. Если вы хотите продолжить установку, рекомендуется установить только ключи, но не устанавливать справочники. Для этого убедитесь, что установлен флажок Не устанавливать справочники (рекомендуется), и нажмите кнопку Установить ключи. ViPNet Client Монитор 3.2. Руководство пользователя 284 o Если выбранный дистрибутив содержит ключи другого сетевого узла, был изменен мастер-ключ сетевого узла, формат дистрибутива отличается от формата текущих ключей или способ аутентификации, заданный в дистрибутиве, отличается от текущего, будет выведено предупреждение. Рисунок 133: Обнаружено несоответствие между дистрибутивом и текущими ключами на узле Чтобы отказаться от установки ключей, нажмите кнопку Отмена, затем в окне подтверждения нажмите кнопку Да. Внимание! Если вы хотите продолжить установку, ознакомьтесь с информацией о возможных последствиях. Перед продолжением установки рекомендуется завершить работу мастера, расшифровать письма программы «Деловая почта», затем повторно запустить мастер установки ключей. Для продолжения установите флажок Я ознакомился и согласен с последствиями установки, затем нажмите кнопку Далее. 7 Если обновление ключей прошло успешно, мастер установки выведет соответствующее сообщение. Для просмотра информации о выполненной установке ключей, щелкните ссылку Подробнее о произведенных действиях. Для завершения работы мастера нажмите кнопку Закрыть. ViPNet Client Монитор 3.2. Руководство пользователя 285 Если выполнить установку ключей не удалось, программа сообщит о возникших ошибках. Для устранения ошибок обратитесь к администратору сети ViPNet. 8 После успешной установки ключей можно запустить ПО ViPNet. Резервное копирование и восстановление ключей Резервная копия включает набор ключей пользователя и адресные справочники. Адресные справочники хранятся в транспортном каталоге (транспортный каталог можно выбрать во время первичной инициализации ключевой информации). Ключи пользователя хранятся в подпапке \key_disk или \user_AAAA\key_disk (где AAAA – шестнадцатеричный идентификатор пользователя сетевого узла). Перед обновлением ключей сетевого узла с помощью мастера Установка ключей сети ViPNet (см. « Обновление справочников и ключей с помощью файла *.dst » на стр. 280 ) резервная копия существующей ключевой информации сохраняется в подпапку \CCC\backup\[<год>,<число>,<время – ЧЧ.ММ.СС>] папки установки ПО ViPNet. При необходимости всегда можно восстановить ключевую информацию из резервной копии. Для этого: 1 Скопируйте файлы из папки резервной копии в транспортный каталог (по умолчанию транспортный каталог совпадает с папкой установки ПО ViPNet). 2 Если ключи пользователя хранятся на внешнем носителе, скопируйте папку \key_disk с содержимым ключевого диска на этот внешний носитель 3 На вопросы о замене файлов отвечайте утвердительно. Компрометация ключей Под компрометацией ключей подразумевается утрата доверия к тому, что используемые ключи обеспечивают безопасность информации (целостность, конфиденциальность, подтверждение авторства, невозможность отказа от авторства). Различают явную и неявную компрометацию ключей: Явной называют компрометацию, факт которой становится известным в течение срока действия данного ключа. Неявной называют компрометацию ключа, факт которой остается неизвестным для лиц, являющихся законными пользователями данного ключа. Неявная компрометация представляет наибольшую опасность. ViPNet Client Монитор 3.2. Руководство пользователя 286 Основные события, при которых ключи можно считать скомпрометированными, перечислены ниже: 1 Посторонним лицам мог стать доступным файл дистрибутива ключей. 2 Посторонним лицам мог стать доступным съемный носитель с ключами пользователя. 3 Посторонним лицам мог стать доступным пароль пользователя, и эти лица могли иметь доступ к компьютеру пользователя 4 Посторонние лица могли получить неконтролируемый физический доступ к ключевой информации, хранящейся на компьютере 5 На компьютере, подключенном к сети, не установлена программа ViPNet Монитор или программа работала в 4 или 5 режиме безопасности, при этом: o в локальной сети возможно присутствие посторонних лиц или o на границе локальной сети отсутствует (отключен) межсетевой экран. 6 Увольнение сотрудников, имевших доступ к ключевой информации 7 Входящий документ подписан сертификатом, находящимся в списке отозванных сертификатов. 8 Случаи, когда нельзя достоверно установить, что произошло с ключевыми носителями (например, ключевой носитель вышел из строя, и существует возможность того, что это произошло в результате несанкционированных действий злоумышленника). К событиям, требующим проведения расследования и принятия решения на предмет происшествия компрометации, относится возникновение подозрений, что произошла утечка информации или ее искажение в системе конфиденциальной связи. При наступлении любого из перечисленных выше событий: Немедленно прекратите работу на сетевом узле и сообщите о факте компрометации (или предполагаемом факте компрометации) администратору сети ViPNet. Если скомпрометированы только ключи подписи, прекратите использование этих ключей для подписи документов и сообщите администратору сети ViPNet. Если есть подозрение, что посторонние лица могут знать пароль пользователя ViPNet, но эти посторонние лица не имеют доступа к компьютеру, смените пароль и продолжайте работу. Если доступ посторонних лиц к компьютеру пользователя возможен, то следует считать ключи скомпрометированными. ViPNet Client Монитор 3.2. Руководство пользователя 287 В сети ViPNet CUSTOM на случай компрометации ключей пользователя предусмотрена возможность дистанционного обновления ключей с помощью резервного набора персональных ключей (РНПК). Файл РНПК (AAAA.pk, где AAAA — идентификатор пользователя в сети ViPNet) входит в состав первоначального дистрибутива ключей. Если текущий персональный ключ пользователя оказался скомпрометирован, администратор программы ViPNet Удостоверяющий и ключевой центр высылает пользователю новые ключи, защищенные с помощью очередного варианта персонального ключа, который не нужно передавать по сети, так как он уже содержится в РНПК. Если при обновлении файл РНПК не найден, требуется указать путь к этому файлу. Если резервный набор персональных ключей отсутствует или не подходит пароль, откажитесь от ввода данных и обратитесь к администратору программы ViPNet Удостоверяющий и ключевой центр за новым файлом РНПК. |