KRAFTWAY - технологии для людей

Программный комплекс
Встраиваемый модуль безопасности TSM

Общие сведения

Программный комплекс «Встраиваемый модуль безопасности TSM» (TSM, Trusted Security Module) предназначен для:

защиты от несанкционированного доступа (НСД) к компьютеру до загрузки операционной системы (ОС),
регистрации событий доступа (в том числе несанкционированного) к компьютеру,
контроля целостности программной среды компьютера.

TSM обеспечивает:

идентификацию и аутентификацию пользователей;
установку и изменение настроек TSM;
управление пользователями TSM:
- регистрацию (добавление новых) учетных записей пользователей,
- изменение информации о пользователях и настроек идентифицирующих устройств (ИУ),
- удаление учетных записей пользователей,
- блокирование/разблокирование доступа пользователей;
изменение пароля пользователя в ИУ;
контроль целостности (КЦ) программной среды компьютера;
регистрацию событий TSM в журнале;
просмотр журнала событий;
вывод сводной информации о версии, настройках, содержании хранилища TSM;
защиту данных TSM;
ограничение доступа к BIOS SETUP;
защиту остаточной информации.

TSM взаимодействует с идентифицирующими устройствами (ИУ), в качестве которых выступают ключи eToken или JaCarta в форм-факторе USB-ключа или смарт-карты.

TSM располагается в SPI Flash на материнской плате компьютера и вызывается на исполнение BIOS после прохождения процедуры Power On Self-Test (POST).

Обратная передача управления BIOS для дальнейшей загрузки компьютера осуществляется только после аутентификации пользователя TSM.

Благодаря тесной интеграции TSM с BIOS материнской платы обеспечивается максимальная безопасность и совместимость со всеми используемыми аппаратными средствами.

Включение/отключение TSM

Включение/отключение TSM производится из BIOS SETUP.
После включения TSM доступ к настройкам BIOS SETUP возможен только Администраторам TSM. Это позволяет Администратору установить необходимые настройки BIOS, в том числе порядок опроса загрузочных устройств, и заблокировать возможность их изменения для пользователей.

Так как доступ к BIOS SETUP ограничен, то отключить TSM так же может только Администратор TSM.

При отключении TSM в BIOS SETUP присутствует опция сброса содержимого памяти TSM, в случае выбора которой производится обнуление данных о зарегистрированных пользователях, подсистеме контроля целостности, журналах событий, и при повторном включении TSM переводится в режим инициализации.

Ролевая модель пользователей TSM

TSM обеспечивает разделение пользователей на следующие роли:

Администратор;
Пользователь.

Права Администратора TSM

Администратор TSM имеет право на выполнение следующих действий:

изменение настроек BIOS посредством BIOS SETUP;
включение/отключение TSM посредством BIOS SETUP;
дальнейшая загрузка компьютера;
изменение настроек TSM;
управление пользователями TSM;
изменение пароля пользователя подключенного ИУ (eToken, JaCarta);
просмотр журнала событий;
инициализация контроля целостности программной среды компьютера;
запрос сводной информации о версии, настройках, содержании хранилища TSM.

Права Пользователя TSM

Пользователь TSM имеет право на выполнение следующих действий:

загрузка операционной системы компьютера;
смена пароля пользователя ИУ (eToken, JaCarta).

Идентификация, аутентификация и авторизация в TSM

В качестве идентифицирующего устройства (ИУ) выступает одно из следующих устройств:

eToken PRO, USB-ключ/смарт-карта с Siemens CardOS 4.01, 4.2B;
eToken PRO (Java), USB-ключ/смарт-карта;
eToken NG-OTP;
JaCarta, USB-ключ/смарт-карта;
iButton.

В случае работы с устройствами в исполнении смарт-карты поддерживаются следующие считыватели смарт-карт:

Athena ASEDrive IIIe (USB, Keyboard);
CCID-совместимые считыватели смарт-карт.

Режимы идентификации и аутентификации

TSM поддерживает два режима идентификации и аутентификации:

обычный режим;
режим работы с корпоративными средствами идентификации и аутентификации;

Условия успешной аутентификации зависят от используемого режима. Условия аутентификации режима работы с корпоративными средствами идентификации и аутентификации проверяются дополнительно к условиям обычного режима.

Если условия успешной аутентификации не выполнены, дальнейшая загрузка компьютера невозможна. TSM предоставляет Администратору TSM возможность включения режима идентификации и аутентификации корпоративными средствами.

Обычный режим идентификации и аутентификации

Одному пользователю соответствует один идентификатор.

Аутентификация пользователей осуществляется посредством предъявления пароля к ИУ. Количество попыток аутентификации ограничивается в зависимости от политики безопасности организации в диапазоне от 1 до 15.

После проверки пароля к ИУ TSM проверяет наличие дополнительного фактора аутентификации на ИУ, который представляет собой случайную последовательность, сохраненную на ИУ и в профиле пользователя в TSM.

Авторизация Пользователя или Администратора выполняется в соответствии с ролевой моделью.

Режим работы с корпоративными средствами идентификации и аутентификации

В данном режиме условием успешной аутентификации является подтверждения факта наличия у пользователя ИУ, обладающего уникальным для корпоративной системы признаком.

При применении условий успешной аутентификации данного режима применяются следующие ограничения:

TSM производит авторизацию в соответствии с ролью Пользователя;
TSM фиксирует идентификатор ИУ, при помощи которого осуществляется доступ к ресурсам компьютера;
используется «жесткий» режим контроля целостности;
функции смены пароля ИУ недоступны.

Смена пароля к идентифицирующему устройству

В TSM предусмотрена возможность смены пароля к идентифицирующему устройству пользователя после прохождения процедуры авторизации.

Так же предусмотрена возможность принудительной смены пароля по умолчанию.

Режимы функционирования TSM

TSM имеет следующие режимы функционирования:

режим инициализации;
штатный режим работы.

В режиме инициализации TSM обеспечивает регистрацию первого Администратора TSM, после чего автоматически переводится в штатный режим работы.

В штатном режиме работы TSM обеспечивает выполнение функций и действий, соответствующих правам роли авторизованного пользователя.

Хранение информации о пользователях

TSM обеспечивает хранение информации максимум о 8 пользователях независимо от их роли (Пользователь или Администратор).

Информация о пользователе содержит:

Роль;
Имя;
Описание;
Идентификатор;
Дополнительный аутентификатор;
Дата и время регистрации;
Состояние блокировки (всегда отключено для Администратора);
Общее количество входов;
Количество последовательных неудачных попыток аутентификации;
Дата и время последнего входа;
Режим контроля целостности (Мягкий/Жесткий, для Администратора всегда Мягкий).

Регистрация событий TSM

Журнал TSM содержит информацию о событиях, вызванных действиями пользователей TSM, а так же о произошедших ошибках.

В случае выявления несанкционированной модификации записей журнала доступ к компьютеру блокируется для всех пользователей, кроме Администратора.

При переполнении журнала событий данные о новых событиях записываются поверх самых старых записей для исключения переполнения журнала.

Предусмотрен сценарий выгрузки Администратором журнала событий из TSM при помощи приложения для операционных систем Microsoft Windows XP/2003/Vista/2008/7/2008R2 (х86/х64), Linux.

Предусмотрен сценарий отправки записей журнала событий TSM на сервер аудита в автоматическом режиме после загрузки операционной системы.

Вывод сводной информации о TSM

TSM по запросу Администратора предоставляет в виде отчета следующую информацию:

серийный номер экземпляра TSM;
версия программного обеспечения TSM;
модель материнской платы;
версия BIOS материнской платы;
список пользователей TSM, отсортированный по дате и времени регистрации пользователя, включающий:
- роль,
- имя,
- описание,
- идентификатор,
- дата и время регистрации,
- состояние блокировки,
- общее количество входов,
- количество последовательных неуспешных попыток аутентификации,
- дата и время последнего входа,
- режим КЦ;
информацию о журнале регистрации событий, включающую:
- общее количество записей в журнале событий,
- количество записей, являющихся информацией об ошибках;
- количество записей, являющихся событиями изменения информации о пользователях;
информацию о КЦ, включающую:
- состояние активности,
- количество контролируемых объектов ФС;
возможность использования пароля ИУ по умолчанию.

Предусмотрен сценарий выгрузки данного отчета при помощи приложения для операционных систем Microsoft Windows XP/2003/Vista/2008/7/2008R2 (х86/х64), Linux.

Контроль целостности программной среды (КЦ)

Подсистема КЦ обеспечивает контроль целостности для следующих объектов:

Файлы на компьютере для файловых систем NTFS/FAT32/FAT16/Ext3;
Критичные секторы жестких дисков:
- Master Boot Record;
- 62 сектора после Master Boot Record;
- Volume (Partition) Boot Sector для каждого раздела жесткого диска;
- Extended Boot Record для каждого раздела жесткого диска.

Вычисление контрольных сумм объектов КЦ производится по алгоритму MD5.

Контроль целостности выполняется после аутентификации Пользователя или Администратора в TSM. До окончания проверки КЦ дальнейшая загрузка компьютера невозможна.

Предусмотрено два режима КЦ для пользователей TSM:

Жесткий (при использовании данного режима в случае нарушения КЦ дальнейшая загрузка компьютера невозможна);
Мягкий (при использовании данного режима в случае нарушения КЦ пользователю выводится предупреждение о нарушении КЦ, но дальнейшая загрузка компьютера возможна).

Для Администраторов всегда активен «Мягкий» режим КЦ.

Инициализация подсистемы КЦ

Процесс инициализации КЦ представляет собой процесс формирования и сохранения списка объектов, подлежащих контролю подсистемой КЦ.

За формирование списка объектов файловой системы (ФС) отвечает приложение для операционных систем Microsoft Windows XP/2003/Vista/2008/7/2008R2 (х86/х64), Linux выполняющее следующие функции:

Формирование списка файлов для КЦ;
Вычисление контрольных сумм для файлов и секторов HDD, подлежащих КЦ;
Формирование объекта (файла), содержащего список объектов контроля и контрольные суммы.

Приложение выполняется в виде мастера.