Информационные технологии
для бизнеса с 1989 года

ГлавнаяАппаратные модули безопасности

Аппаратные модули безопасности

Применение в информационных системах

  • Криптография и повышенная безопасность
  • Стратегия применения Аппаратных Модулей Безопасности
  • Семейство АМБ компании nCipher
  • Выделенные АМБ и АМБ коллективного доступа
  • Применение различных схем и развитие систем
  • Платформа Security World
  • Обеспечение безопасности приложений в информационных системах
  • Семейство Модулей Безопасности nCipher

Под воздействием Интернета, сделавшего информацию доступной как никогда прежде, бизнес перестраивается. Организации создают открытые системы, объединяя в едином информационном пространстве своих служащих, потребителей, поставщиков и партнеров. То, что раньше занимало дни и стоило десятки долларов, теперь делается за секунды и центы. В то же время, требование бизнеса сделать информацию доступной в любое время из любого места ведет к необходимости пересмотра представлений о методах защиты периметра.
Современные тенденции заключаются в усилении аутентификации пользователей и объектов, защите интеллектуальной собственности и конфиденциальной информации о клиентах вне зависимости от того, как она создана, где хранится и как передается.

Криптография и повышенная безопасность

Самый надежный способ, к которому все чаще прибегают разработчики программного обеспечения и архитекторы систем - это применение криптографии для идентификации объектов, защиты и обеспечения целостности данных. Опыт показывает, что правильно построенная система криптографической защиты практически неуязвима. В то же время криптография основана на использовании ключей, и компрометация ключей или системы управления ими приведет к разрушению всей системы безопасности. Было бы неправильно расчитывать на то, что ключи, размещенные на серверах общего назначения достаточно защищены. Там, где для защиты конфиденциальных данных используется криптография, наилучшим решением будет применение усиленных мер защиты ключей. Наиболее безопасным является хранение ключей в Аппаратных Модулях Безопасности (АМБ)- Hardware Security Module (HSM).

В Аппаратных Модулях производства nCipher применяется технология хранения ключей в специально выделенной защищенной области. Все АМБ nCipher соответствуют уровню FIPS 140-2 - принятому в отрасли стандарту безопасности для подобных устройств.

Стратегия применения Аппаратных Модулей Безопасности

Применение АМБ позволяет создать почти совершенную систему криптографической защиты. Вместе с тем, их функция значительно шире чем просто защита ключевого материала от посягательств.

При правильном внедрении, Модули Безопасности создадут масштабируемый и одновременно прочный фундамент криптографической защиты, который может быстро и адекватно адаптироваться к постоянно изменяющемуся информационному окружению.

Каждая организация использует свой собственный набор приложений с соответствующими требованиями к производительности и безопасности. Со временем эти приложения приходится приспосабливать к новым требованиям и новым технологиям, а также защищать от новых угроз. Для решения этих задач nCipher создал семейство Аппаратных Модулей Безопасности.

strategy_1

Семейство АМБ компании nCipher

В основе технологии АМБ лежит общая платформа управления ключами, получившая название nCipher’s Security World. Ее суть заключается в том, что все АМБ должны быть полностью совместимы между собой и, при необходимости, формировать систему, полностью отвечающую требованиям обеспечения безопасности и управляемости и соответствовать финансовым возможностям организации.

Гибкость в конфигурировании гарантирует защиту вложений в существующую инфраструктуру, а возможность оперативно перегруппировывать и перенастраивать Модули по мере развития инфраструктуры - ее постоянную и адекватную защиту.

nCipher постоянно работает над обеспечением совместимости Модулей Безопасности с Веб-серверами, серверами приложений , решениями PKI и другим программным обеспечением ведущих производителей. Кроме того, nCipher полностью поддерживает стандартные API - такие как PKCS#11 и MS CAPI.

Все АМБ снабжены специальными процессорами для криптографических преобразований, что прозволяет освободить ресурсы информационной системы для основных приложений.


Выделенные АМБ и АМБ коллективного доступа

Модули безопасности существуют в двух вариантах: выделенные - непосредственно подключаемые к индивидуальному серверу, и сетевые - коллективного доступа, способные обслуживать несколько серверов.

Выделенные АМБ, а это nShield, nForce и payShield, выполняют криптографические операции и используются в качестве криптографических ускорителей для одного сервера. Они предназначены в основном для серверов критических приложений, таких, как корневые Удостоверяющие Центры (здесь их основная функция - защита частного ключа УЦ), или для серверов, обрабатывающих большие объемы зашифрованных данных - как, например, SSL - веб-серверы с большим объемом трафика.

Сетевой АМБ - netHSM - представляет собой высоко защищенное сетевое устройство, способное обслуживать несколько серверов одновременно.

Доступ приложений к хранящимся на netHSM ключам осуществляется по защищенному соединению. Применение netHSM позволяет построить экономически эффективные (в том числе и с точки зрения администрирования) схемы обеспечения безопасности для сложных гетерогенных и/или территориально распределенных систем.

Применение различных схем и развитие систем

Как правило, в составе информационной системы организации присутствует несколько различных подсистем, требующих применение криптографии. Применение АМБ может начинаться с пилота, когда для каждой из подсистем используется выделенный Модуль. По мере объединения пилотов и перевода их в промышленную эксплуатацию, подсистемы могут подключаться к сетевым Модулям, что обеспечит централизованное управление и позволит охватить географически распределенные структуры. С ростом системы, высвобождающиеся Модули могут использоваться для резервирования и повышения ее устойчивости.

strategy_2

Платформа Security World

Концепция Security World предусматривает такую систему управления ключами, которая могла бы обеспечить масштабируемость, гибкость и надежность при эксплуатации. Этот подход дает возможность управлять неограниченным количеством ключей в течение всего жизненного цикла - начиная с их создания, резервирования, восстановления, и заканчивая уничтожением.

Наличие единой платформы обеспечивает выполнение всего спектра требований к функциональности Модулей nCipher а также их совместимости между собой:

logo_nchip

  • Безопасность
  • Конструкция всех Модулей Безопасности гарантирует отсутствие уязвимостей на всех стадиях обработки ключевой информации. Все криптографические операции производятся в защищенной области АМБ и соответствуют требованиям предъявляемым к устройствам уровня 3 FIPS 140-2. Для дополнительной аутентификации, разделения ролей и разграничения ответственности администраторов регламент может предусматривать применение специального комплекта смарт карт. На практике это означает, что для авторизации определенных криптографических или административных операций, администраторы должны предъявить 'k’ из общего числа ‘n' карт. Такой подход обеспечивает выполнение требований политики безопасности и гарантирует организацию от недобросовестных действий одного “суперпользователя”.

  • Масштабируемость
  • Один из способов хранения ключей приложений - хранение их в виде зашифрованных “блобов” вне АМБ. Таким образом снимается ограничение на количество ключей в системе. Кроме того, это упрощает загрузку ключей в новые АМБ и облегчает доступ к ним серверов приложений. В случае же netHSM, доступ к которому имеют сразу несколько приложений, возможность снять ограничение на количество ключей является критичной.

  • Разделение функций
  • Права доступа к каждому ключу хранящемуся в АМБ определяются отдельным списком контроля доступа - Access Control List (ACL). Регламентами может быть предусмотрена дополнительная аутентификация доступа с помощью набора операторских смарт карт. Это позволяет обеспечить выполнение требований безопасности, соответствующих важности данного ключа. Совокупность этих мер гарантирует индивидуальный контроль за выполнением установленных политик использования как отдельных ключей, так и их групп. Более того, определенный ключ может использоваться только для определенного сервера и только после проведения процедуры строгой аутентификации этого сервера.

  • Гибкость
  • Платформа Security World гарантирует отсутствие уязвимостей при любой конфигурации системы. Для обеспечения отказоустойчивости определенные Модули могут быть продублированы либо сетевыми, либо выделенными устройствами. В случае повреждения или кражи Модуля, ключи можно восстановить, установив на его место новый. Кроме того платформа управления Security World предусматривает применение набора средств для резервного копирования и восстановления.

    Кроме защиты ключей, АМБ nShield и netHSM могут применяться и для защиты приложений. Использование незащищенного программного обеспечения для обработки закрытой информации порождает значительные риски. По мере того, как все большее количество приложений становится доступно удаленно, их защита от злоумышленников становится так же важна, как и защита ключевого материала. Комплект разработчика CodeSafe™ позволяет обеспечить такую защиту, предоставляя набор инструментов для защиты исполняемого кода, аутентификации и авторизации доступа, ведения журналов, простановки меток времени и цифровой подписи.

  • Обеспечение безопасности приложений в информационных системах

    Продукты семейства АМБ nCipher предназначены для защиты критического ключевого материала используемого в информационных системах организации. Они представляют собой наилучшие промышленные решения класса FIPS 140-2, закрывая доступ к конфиденциальной информации на любой стадии ее создания, обработки, передачи и хранения:

  • Web - инфраструктура

    Защита SSL-ключей от компрометации - жизненно важный элемент функционированния веб-серверов и сетевых устройств. Аппаратные модули безопасности nCipher сочетают в себе функцию мощных устройств для производства криптографических операций с наилучшим в отрасли решением по управлению безопасностью, перенося хранение и обработку частных SSL-ключей из уязвимой для атак программной в аппаратно защищенную область.

  • Приложения
  • Серверы приложений, обрабатывающие конфиденциальную информацию и формирующие системы информационной безопасности, такие как например, PKI, являются основой информационной системы предприятия. Здесь Аппаратные модули безопасности применяются для защиты данных, ключей подписи и контроля целостности программного кода.

  • Платежные системы
  • Применение АМБ является обязательным в таких системах как Visa и MasterCard. Спецификации 3-D Secure и SecureCode определяют Модули Безопасности как необходимые элементы для защиты криптографических операций связанных с аутентификацией владельцев пластиковых карт.

  • Базы данных
  • Вместе со специальным программным обеспечением Модули безопасности позволяют обеспечить выполнение требований законодательства к сохранению конфиденциальности информации баз данных.

    datebase

Семейство Модулей Безопасности nCipher

    netHSM™

    Скачать описание (pdf, 1Мб).
    Сетевой АМБ коллективного пользования - netHSM соответствует уровню 3 по FIPS 140-2. С помощью netHSM, по защищенным каналам, приложения могут осуществлять весь набор криптографических операций (подпись, шифрование) в IP-сетях. netHSM поддерживает широкий спектр приложений, включая веб-серверы и программное обеспечение реализующее технологию PKI. Технология Secure Execution Engine (SEE) позволяет запускать пользовательские приложения в защищенной зоне Модуля.

    nShield™

    Скачать описание (pdf, 400кб).nshield
    Выделенный АМБ, предназначенный прежде всего для обеспечения безопасности всех видов приложений - начиная с выпуска сертификатов в системах PKI и шифрования баз данных, и заканчивая системами, использующими цифровые сертификаты и протокол SSL. nShield производит криптографические операции и хранит ключи в защищенной от несанкционированного доступа области и соответствует уровню 3 по FIPS 140-2. nShield выпускается в виде внутреннего (PCI) или внешнего SCSI устройства.

    nForce™

    Выделенный АМБ для обеспечения SSL-соединений с веб-серверами и серверами приложений. nForce сочетает в себе функции устройства для безопасного хранения и управления ключами по FIPS 140-2 Level 2 и криптографического ускорителя с производительностью до 1600 TPS. nForce выпускается в виде внутреннего (PCI) или внешнего SCSI устройства.

    payShield™

    pay_shield
    Это устройство уровня 3 по FIPS 140-2 удовлетворяет жестким требованиям предъявляемым к безопасности он-лайновых платежных систем - ePayments, EFTPOS и операций с банкоматами. payShield сочетает в себе функции устройства с наивысшим уровнем защиты ключевого материала со способностью выполнять большие объемы криптографических операций, связанных с аутентификацией и авторизацией владельцев пластиковых карт. payShield выпускается в виде сетевого устройства поддерживающего протокол Ethernet, сетевого устройства payShield net, либо в виде SCSI- устройства.

    Средства разработки

    Предназначены для создания собственных криптографически защищенных приложений. Средства разработки SafeBuilder™ позволяют создавать системы безопасности для приложений которые стандартно не поддерживают криптографию. Они включают SEE и позволяют организациям разработать собственный код который может быть загружен и выполнен в безопасной области АМБ.