Кибербезопасность в условиях электронного банкинга. Практическое пособие

11. Согласно п. А.1.3 Рекомендаций по стандартизации Р 1323565.1.0122017, СКЗИ классов KC2 и выше должны противостоять атакам в том числе на аппаратные средства и ПО, на которых реализованы среда функционирования СКЗИ (СФ СКЗИ) и СКЗИ.

12. Согласно п. 3.43 Рекомендаций по стандартизации Р 1323565.1.0122017, программное обеспечение, функционирующее в рамках одного аппаратного средства и предназначенное для решения узкоспециализированного круга задач, включая BIOS компьютера, входит в состав ПО СФ.

13. Следствие из п. 11 и 12: СДЗ уровня базовой системы ввода-вывода не может использоваться для защиты от несанкционированного доступа к защищаемой СКЗИ информации, поскольку является составным элементом BIOS СВТ, входит в состав СФ и, следовательно, само рассматривается в качестве объекта атаки и нуждается в применении к нему механизмов защиты.

Кроме того, существующие на сегодняшний день требования ФСБ России к модулям доверенной загрузки распространяются исключительно на аппаратно-программные средства, функционирующие на уровне платы расширения. Это означает, что условие п. 10 может быть выполнено только с помощью СДЗ уровня платы расширения соответствующего класса.

А именно:

– для защиты СВТ, в которых обрабатывается конфиденциальная информация, не содержащая сведений, составляющих государственную тайну, могут использоваться СДЗ уровня платы расширения классов защиты 1–3;

– для защиты СВТ, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, со степенью секретности «секретно», могут использоваться только СДЗ уровня платы расширения классов защиты 1 и 2;

– для защиты СВТ, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, со степенью секретности «совершенно секретно», могут использоваться только СДЗ уровня платы расширения класса защиты 1.

Выводы: СКЗИ, используемые в организациях банковской системы Российской Федерации, должны иметь класс КС2 и выше. Использование на СВТ СКЗИ класса КС2 возможно исключительно при совместном использовании с СДЗ уровня платы расширения (АПМДЗ[218]), сертифицированного ФСБ России. Использование СДЗ уровня базовой системы ввода-вывода (BIOS) в тех же целях неприемлемо.

Сегодня нет проблем с тем, чтобы выбрать АПМДЗ (в терминологии ФСБ России)/СДЗ (в терминологии ФСТЭК России) для создания СФК на большинстве моделей настольных компьютеров и серверов. Хуже обстоит дело с ноутбуками, но проблема решаема. Совсем сложно ее решить для планшетов. На то есть технические причины, которые сводятся к двум основным:

1. Мало на каких планшетах есть свободный разъем m.2 с ключами А-Е. Это означает m.2 с выходом на интерфейс PCI, который необходим для работы СДЗ уровня платы расширения (АПМДЗ) в форм-факторе m.2 (о том, чтобы поместить в планшет какой-то еще вариант, трудно даже вести речь). Обычно имеющийся в планшете разъем m.2 имеет ключи вывода на SSD, то есть предназначен для работы с диском. Если же «нужный» m.2 есть в наличии, он, как правило, занят Wi-Fi-модулем, а вынимать из планшета Wi-Fi-модуль, разумеется, неприемлемо в абсолютном большинстве случаев.

2. У планшетов совершенно иначе, чем у стационарных машин, реализовано управление питанием – в частности, режим «сна». И это делает неприменимыми на планшетах существующие в АПМДЗ механизмы реализации «сторожевого таймера» (тем более что в них вообще нет той цепи, разрыв которой осуществляет стандартная схема сторожевого таймера), требует изменения механизмов идентификации/аутентификации пользователя и т. д.

Как правило, задача решается тем, что используется СДЗ уровня BIOS. Однако такое СДЗ не подходит для создания СФК. Таким образом, для того чтобы на планшете можно было использовать криптографию приличного класса (КС2 и выше), необходимы и особенное СДЗ, и особенный планшет. Подобрать эту пару самостоятельно – задача непростая и нелогичная для эксплуатирующей организации, поэтому планшет «ПКЗ 2020», в котором реализована СФК на класс СКЗИ КС3 (установлен «Аккорд-АМДЗ», сертифицированный ФСБ России), поставляется ОКБ САПР[219] целиком, как единое решение.

Характеристики планшета соответствуют всем современным требованиям, извлечение Wi-Fi-модуля и отключение LTE не требуются.

Аналоги решения на сегодняшний день неизвестны – как целиком, так и АПМДЗ в формате m.2, соответствующий требованиям ФСБ России в части управления питанием для планшетов.

В то же время СДЗ уровня BIOS также имеют свою область применения и в линейке продуктов «Аккорд» представлены СДЗ «Аккорд-MKT».