개념 기초
- BIOS가 OS 로드를 시작하는 장치 제어(일반적으로 컴퓨터의 하드 드라이브이지만 이동식 미디어 리더기, 네트워크를 통한 부팅 등일 수도 있음)
- 실행 중인 OS의 장치 부팅 섹터 및 시스템 파일의 무결성과 신뢰성을 모니터링합니다.
- 부트 섹터, OS 시스템 파일의 암호화/복호화 또는 모든 장치 데이터의 암호화(선택 사항).
- 키, 체크섬, 해시와 같은 비밀 데이터의 인증, 암호화 및 저장은 하드웨어에서 수행됩니다.
입증
사용자 인증은 다양한 방법으로 컴퓨터 부팅의 여러 단계에서 수행될 수 있습니다.
컴퓨터 실행 프로그램의 신원을 확인하려면 다음과 같은 다양한 요소가 필요할 수 있습니다.
- 비밀 사용자 로그인 및 비밀번호
- 비밀 인증 정보가 담긴 플로피 디스크, CD, 플래시 카드;
- USB, 직렬 또는 병렬 포트를 통해 컴퓨터에 연결된 하드웨어 동글.
- 하드웨어 키, 즉 생체 정보는 별도로 제작된 하드웨어 모듈을 사용하여 컴퓨터로 읽어옵니다.
인증은 다중 요소일 수 있습니다. 인증은 컴퓨터에 대한 공유 액세스 권한을 가진 다중 사용자일 수도 있습니다. 따라서 한 사용자는 하드 드라이브에서만 운영 체제를 실행할 수 있고, 다른 사용자는 CMOS 구성을 변경하고 부팅 장치를 선택할 수 있습니다.
인증이 발생할 수 있습니다.
- BIOS 펌웨어 실행 중;
- MBR(마스터 부트 레코드) 또는 운영 체제 부트 섹터를 로드하기 전에
- 부트 섹터 프로그램 실행 중.
다양한 부팅 단계에서 인증을 수행하면 이점이 있습니다.
신뢰할 수 있는 부팅 단계
컴퓨터 부팅 프로세스의 다양한 단계에서 신뢰할 수 있는 부팅은 다양한 방법으로 수행될 수 있으므로 기능도 달라집니다.
- BIOS 펌웨어를 실행 중입니다. 이 단계에서는 BIOS 펌웨어의 무결성 확인, CMOS 설정의 무결성 및 신뢰성 확인, 인증(컴퓨터 전체 시작 또는 CMOS 구성 변경 또는 부팅 장치 선택 변경으로부터만 보호)을 구현할 수 있습니다. , 부팅 장치 선택 제어. 이 부팅 단계는 마더보드 제조업체의 BIOS 펌웨어에서 완전히 수행되어야 합니다.
- 제어권을 부팅 장치로 전송합니다. 이 시점에서 BIOS는 부팅을 계속하는 대신 신뢰할 수 있는 하드웨어 부팅 모듈로 제어권을 넘길 수 있습니다. 하드웨어 모듈은 인증, 부팅 장치 선택, 암호 해독, 부팅 섹터 및 운영 체제 시스템 파일의 무결성 및 유효성 확인을 수행할 수 있습니다. 이 경우 운영 체제 부트 섹터의 암호 해독은 이 단계에서만 수행될 수 있습니다. BIOS 펌웨어는 하드웨어 모듈로의 제어 전송을 지원해야 합니다. 또는 하드웨어 모듈은 하드 드라이브, 이동식 미디어 또는 네트워크 부팅 장치 형태로 만들어진 별도의 부팅 장치를 에뮬레이트해야 합니다.
- 운영 체제의 부트 섹터를 실행합니다. 이 단계에서는 무결성 검사, 부트로더 유효성, 운영 체제 파일 및 인증도 수행할 수 있습니다. 그러나 부트 섹터의 실행 코드는 코드의 크기와 배치에 제한이 있고 운영 체제 드라이버가 시작되기 전에 실행된다는 사실로 인해 기능이 제한됩니다.
하드웨어 사용량
하드웨어 신뢰할 수 있는 부팅 모듈은 순수 소프트웨어 도구에 비해 상당한 이점을 가지고 있습니다. 그러나 신뢰할 수 있는 부팅을 보장하는 것은 하드웨어만으로는 불가능합니다. 하드웨어의 주요 장점:
- 시스템 파일의 비밀번호, 키 및 체크섬에 대한 비밀 정보에 대한 높은 수준의 보안. 해당 모듈이 안정적으로 작동하는 경우 해당 정보를 검색할 수 있는 방법이 없습니다. (그러나 기존 모듈에 대한 일부 공격은 기능을 방해하는 것으로 알려져 있습니다.)
- 하드웨어에서 수행되는 암호화 알고리즘의 비밀 유지 가능성
- 내용을 열지 않고 컴퓨터를 시작할 수 없습니다.
- 부트 섹터가 암호화되면 하드웨어 모듈을 제거한 후에도 사용자 운영 체제를 시작할 수 없습니다.
- 전체 데이터 암호화의 경우 하드웨어 모듈을 제거한 후에는 데이터를 얻을 수 없습니다.
기존 하드웨어의 예
인텔 신뢰 실행 기술
Intel의 신뢰할 수 있는 실행 기술.
이는 신뢰할 수 있는 다운로드 수단이 아니라 하드웨어 수준 전체에서 개별 애플리케이션의 리소스를 보호하는 수단일 가능성이 높습니다.
TXT는 가상 PC 작업을 포함하여 하드웨어 수준의 컴퓨터 보안에 대한 완전히 새로운 개념입니다.
TXT 기술은 순차적으로 보호되는 정보 처리 단계로 구성되며 향상된 TPM 모듈을 기반으로 합니다. 이 시스템은 프로그램 코드의 안전한 실행을 기반으로 합니다. 보호 모드에서 실행되는 각 응용 프로그램은 컴퓨터 리소스에 독점적으로 액세스할 수 있으며 다른 응용 프로그램은 격리된 환경을 방해할 수 없습니다. 보호 모드에서 작업하기 위한 리소스는 프로세서와 시스템 로직 세트에 의해 물리적으로 할당됩니다. 안전한 데이터 저장이란 동일한 TPM을 사용하여 데이터를 암호화하는 것을 의미합니다. 모든 TPM 암호화 데이터는 암호화를 수행한 동일한 모듈을 사용하여 미디어에서만 검색할 수 있습니다.
인텔은 또한 보안 데이터 입력 시스템을 개발했습니다. 악성 프로그램은 컴퓨터 입력 시 데이터 흐름을 추적할 수 없으며 키로거는 의미 없는 문자 집합만 수신합니다. 모든 입력 절차(USB를 통한 데이터 전송 및 마우스 클릭 포함)가 암호화되기 때문입니다. 애플리케이션의 보호 모드를 사용하면 모든 그래픽 데이터를 암호화된 형식으로만 비디오 카드의 프레임 버퍼로 전송할 수 있으므로 악성 코드가 스크린샷을 찍어 해커에게 보낼 수 없습니다.
하드웨어 신뢰할 수 있는 부팅 모듈 "Accord-AMDZ"
ISA(수정 4.5) 또는 PCI(수정 5.0) 슬롯에 설치하도록 설계된 하드웨어 컨트롤러입니다. Accord-AMDZ 모듈은 파일 구조 FAT12, FAT 16, FAT32, NTFS, HPFS, UFS, UFS2, EXT2FS, EXT3FS, EXT4FS, QNX 4 파일 시스템, VMFS 버전 3을 사용하여 모든 유형의 운영 체제(OS)에 대한 신뢰할 수 있는 로딩을 제공합니다.
모듈의 전체 소프트웨어 부분(관리 도구 포함), 이벤트 로그 및 사용자 목록은 컨트롤러의 비휘발성 메모리에 있습니다. 따라서 사용자 식별/인증, 하드웨어 및 소프트웨어 환경의 무결성 모니터링, 관리 및 감사 기능은 OS를 로드하기 전에 컨트롤러 자체에서 수행됩니다.
주요 특징:
- TM 식별자와 최대 12자 길이의 비밀번호를 사용하여 사용자를 식별하고 인증합니다.
- 외부 미디어에서 PC 로딩을 차단합니다.
- 사용자 작업 시간 제한;
- 파일, 장비 및 레지스트리의 무결성 모니터링
- 로그북에 사용자 로그인을 기록합니다.
- 보안 시스템 관리(사용자 등록, PC 소프트웨어 및 하드웨어의 무결성 모니터링)
추가 기능:
- 물리적 회선의 제어 및 차단;
- 플라스틱 카드를 식별자로 사용하기 위한 RS-232 인터페이스;
- 암호화 애플리케이션용 하드웨어 난수 센서;
- 추가 비휘발성 감사 장치.
신뢰할 수 있는 부팅 모듈 "Krypton-lock/PCI"
자율 워크스테이션, 워크스테이션 및 LAN 서버의 하드웨어 리소스에 대한 사용자 액세스를 제한하고 제어하도록 설계되었습니다. FAT12, FAT16, FAT32 및 NTFS 파일 시스템을 사용하여 OS에서 소프트웨어 환경의 무결성을 모니터링할 수 있습니다.
특징:
- 터치 메모리 식별자를 사용하여 BIOS를 시작하기 전 사용자 식별 및 인증
- 컴퓨터 리소스 제한, 각 사용자의 개별 설정에 따라 선택한 장치에서 운영 체제(OS) 강제 로딩;
- 무단 액세스 중에 컴퓨터를 차단하고 자체 비휘발성 메모리에 전자 이벤트 로그를 유지합니다.
- 객체의 체크섬 기준값 계산 및 현재 체크섬 값 확인, 확인된 객체 목록을 플로피 자기 디스크로 내보내기/가져오기;
- 다른 보안 시스템(경보, 화재 예방 등)과의 통합 가능성.
신뢰할 수 있는 부팅 모듈은 비밀 및 기밀 정보("일급 비밀" 및 KA1 수준 포함)를 처리하는 컴퓨터 기술을 위한 것입니다.
동일하거나 다른 수준의 권한을 가진 다중 사용자 그룹과 작업하고 중앙 집중식 및 분산식 제어를 모두 갖춘 관리 체계를 지원하는 덕분에 Maxim-M1은 보안 시스템에서 사용하기 위한 범용 솔루션입니다.
주요 기능
OS로 전환하기 전에 PC를 처음 시작하는 동안 액세스를 제어합니다. 2단계 방법을 사용하여 사용자를 식별하고 인증합니다.
지워지지 않는 로그를 유지합니다: 사용자 인증, 무결성 제어. 비휘발성 메모리로 인해 데이터 안전성이 보장됩니다.
사용자 데이터(키, 서비스 정보)의 유효기간을 실시간으로 확인합니다.
보호되는 시스템의 하드웨어 및 소프트웨어(RAM, 하드 드라이브, 파일 시스템 및 FS 로그, Windows 레지스트리)를 제어합니다.
비밀번호 추측으로부터 보호합니다.
APM "Maxim-1"의 장점
영업 비밀, 개인 데이터, 국가 비밀을 다루는 정보 시스템의 정보 보안 관리자 워크스테이션에 설치하기에 적합합니다.
디스크가 없는 워크스테이션에서 원격 서버의 비밀 및 기밀 정보를 처리하는 데 사용할 수 있습니다.
이 모듈은 Windows(2000/XP/Vista/7) 및 서버 버전(2003/2008)의 기본 클라이언트 버전은 물론 Linux 커널 2.6.x 및 3.x.x 및 Astra Linux 운영 체제 기반 시스템과 호환됩니다. 체계.
APMDZ "MAXIM-M1" 사용 시 요구 사항 및 제한 사항
모듈을 설치하고 올바르게 작동하려면 하드웨어와 소프트웨어가 아키텍처, 공급 전압, 보드 구성, BIOS 버전, 설치된 업데이트 및 전원 커넥터에 대한 요구 사항 수준을 충족해야 합니다. 모듈이 작동하는 동안 시스템의 하드웨어 및 소프트웨어에 대한 제한이 설정됩니다. 전체 요구 사항 목록은 APMDZ 문서에 나와 있습니다.
인력 요구 사항
원격 제어 모듈 사용자(관리자)는 기본 운영 체제에서 작업할 수 있어야 하고 개인용 컴퓨터 및 외부 장비 설정 경험이 있어야 하며 로컬 컴퓨터, 서버, 워크스테이션 및 씬 클라이언트의 자동 시스템 관리 경험이 있어야 합니다.
ViPNet SafeBoot- 다양한 제조업체의 UEFI BIOS에 설치되는 인증된 첨단 기술 TBM(신뢰할 수 있는 부팅 소프트웨어 모듈)입니다. 부팅 단계의 다양한 ATT(무단 액세스 위협) 및 BIOS 공격으로부터 PC, 모바일 장치, 서버(가상화 서버 포함)를 보호하도록 설계되었습니다.
컴퓨터와 서버에 대한 보호는 전원을 켜는 순간부터 적용되어야 합니다. 운영 체제를 켜는 순간부터 운영 체제가 시작될 때까지의 시간은 시스템 전체에 대한 신뢰의 핵심입니다. 로딩 초기 단계에는 다음과 같은 위험이 있습니다.
- 신뢰할 수 없는 부트로더로 제어권을 이전합니다.
- UEFI에 악성 코드 로드
- 데이터를 가로채고 기본 보안 메커니즘을 비활성화합니다.
목적:
ViPNet SafeBoot사용자를 식별 및 인증하고, 역할에 따라 액세스를 차별화하고, 운영 체제의 신뢰할 수 있는 로딩을 구성하도록 설계되었습니다. ViPNet SafeBoot다음을 통해 장치 및 컴퓨터의 보안 수준을 높입니다.
- 운영 체제의 주요 구성 요소를 로드하기 전에 BIOS 수준에서 인증합니다.
- BIOS, 운영 체제 및 하드웨어의 보호 구성 요소의 무결성을 모니터링합니다.
- 비표준 운영 체제 사본의 로딩을 차단합니다.
사용 사례
제품 ViPNet SafeBoot다른 ViPNet 제품과 함께 사용하거나 별도로 사용할 수 있습니다. 해결 가능한 주요 문제:- FSTEC 주문 요구 사항 준수*:
- 정부정보시스템(GIS) 보호에 관한 제17호;
- 개인 데이터 정보 시스템(ISPDn) 보호에 관한 제21호;
- 자동화 공정 제어 시스템(APCS) 보호에 관한 제31호;
- UEFI BIOS를 사용하여 컴퓨터 또는 장치를 부팅하는 초기 단계에서 무단 액세스로부터 보호합니다.
장점
- 다양한 제조업체의 UEFI BIOS에 설치할 수 있는 소프트웨어 MDZ.
- MDZ의 하드웨어 버전과 달리 제거 불가능합니다.
- 관리 템플릿을 사용하여 MDZ를 설정하는 단순화된 방법입니다.
- 모든 모듈의 무결성을 검사하여 UEFI 무결성을 완벽하게 제어합니다.
- 러시아 제품.
러시아 FSTEC 인증
ViPNet SafeBoot클래스 2 기본 I/O 시스템 수준의 신뢰할 수 있는 로딩 도구에 대한 관리 문서의 요구 사항을 준수합니다. 이를 통해 제품을 사용하여 다음을 구축할 수 있습니다.- UZ1까지의 ISPDn;
- 보안 클래스 1까지의 GIS;
- 최대 1차 보안 등급까지의 프로세스 제어 시스템.
ViPNet SafeBoot 1.4의 새로운 기능
- 절전 모드는 하드웨어 플랫폼 제조업체가 워크스테이션과 서버에 SafeBoot를 OEM으로 편리하게 제공하기 위한 핵심 기능입니다. 첨부문서에 자세한 설명이 있습니다.
- 라이센스 시스템 구현 - 제품은 이제 일련 번호로 라이센스가 부여됩니다.
- 서양 인증서를 사용한 인증 지원 - 제품 작업 편의성을 높입니다. LDAP를 포함하여 Microsoft CA에서 발급한 토큰과 인증서를 사용하여 인증을 사용하는 고객이 있습니다. 이러한 이유로 우리는 이 인증 방법을 지원하기로 결정했습니다.
- JaCarta-2 GOST 지원 - 인증을 위해 지원되는 키 미디어 목록 확장.
InfoTecs는 소비자 재산을 손상시키지 않는 선에서 공급된 제품(특성, 외관, 완전성)을 사전 통지 없이 변경할 수 있는 권리를 보유합니다.
강력한 이중 인증- x.509 인증서(2단계), 비밀번호 또는 이 둘의 조합을 사용하는 토큰을 사용한 사용자 인증. 지원되는 ID:
- 자카르타 PKI
- 루토켄 EDS
- 루토큰 EDS 2.0
- 루토켄 라이트
- 경비원 ID
역할 기반 액세스
- 사용자.
- 관리자.
- 감사.
무결성 제어.플랫폼을 신뢰할 수 있으려면 시스템 시작 시 로드된 모든 중요한 모듈이 변경되지 않는다는 보장이 필요합니다. 그렇기 때문에 ViPNet SafeBoot무결성을 확인합니다.
- 모든 주요 UEFI BIOS 모듈;
- 하드 디스크의 부트 섹터;
- ACPI, SMBIOS 테이블, 메모리 분포 맵;
- FAT32, NTFS, EXT2, EXT3, EXT4 시스템이 있는 디스크의 파일(ViPNet SafeBoot는 설치된 운영 체제가 중요하지 않음)
- Windows 레지스트리;
- PCI/PCe 구성 공간 리소스
- CMOS(비휘발성 메모리의 내용);
- 트랜잭션 완전성 - NTFS, EXT3, EXT4.
사용자의 편의를 위해 Windows OS에 대한 제어 목록을 자동으로 구축하는 것이 가능해졌습니다.
보안 이벤트 로그.편의를 위해 다양한 세부 수준의 여러 로깅 모드가 제공됩니다.
건축학
ALTELL TRUST는 모듈식 아키텍처를 갖추고 있습니다. 신뢰할 수 있는 부팅 모듈 자체는 보호되는 장치에 설치되어 EEPROM 칩에 있는 표준 마더보드 BIOS를 대체하고 신뢰할 수 있는 BIOS 부팅, OS 부팅 전 다단계 인증 및 역할 기반 액세스 정책 준수를 제공합니다. 원격 관리 모듈은 관리 서버에 배포되어 소프트웨어의 중앙 집중식 배포 및 업데이트, 보안 감사 수행, 단일 센터에서 신뢰할 수 있는 모든 부팅 모듈 관리가 가능합니다.
가능성
- BIOS, 하드웨어 및 소프트웨어 환경, 파일 시스템 개체의 무결성 모니터링
- OS 부팅 전 다단계 사용자 인증;
- 사용자, 구성, 장치 그룹의 원격 관리, 소프트웨어 업데이트 다운로드, 보호된 장치 켜기/끄기
- 씬 클라이언트(제로 클라이언트)를 유일한 소프트웨어로 사용합니다.
장점
- 러시아에서 생성된 BIOS를 사용합니다.
- 새로운 위협으로부터 보호하기 위한 사전 예방적 접근 방식
- 원격 LDAP/AD 서버에 대한 인증;
- 관리 기능의 분리
- 원격 중앙 집중식 관리;
- 모든 유형의 장치에 적응하는 능력
- 내장 네트워크 프로토콜 스택;
- 보안 이벤트의 중앙 집중식 수집
- 보호된 장치에서 제거할 수 없습니다.
- SSO 기술 지원;
- PKI 인프라 지원;
- 내장된 신뢰할 수 있는 하이퍼바이저
- BIOS 레벨 MDZ 보호 클래스 2에 대한 FSTEC 인증서.
애플리케이션 시나리오
ALTELL TRUST는 운영 체제의 신뢰할 수 있는 로딩, 원격 AD/LDAP 서버의 사용자에 대한 다단계 인증, 보호된 장치 전체의 원격 중앙 집중식 관리, 보안 이벤트의 원격 중앙 집중식 수집을 제공하는 데 사용될 수 있습니다. 클라이언트 소프트웨어(제로 클라이언트 개념). ALTELL TRUST 적용 시나리오에 대한 자세한 설명은 해당 섹션에 나와 있습니다.
경쟁사와의 비교
러시아 시장에 출시된 전통적인 하드웨어-소프트웨어 신뢰 부팅 모듈(TPMDZ)은 현재 정보 시스템 개발 단계에 필요한 기능을 갖추고 있지 않습니다. 예를 들어, APMDZ에는 PC 제품군의 모니터링 및 원격 관리 기능이 부족하고, 원격 서버에 대한 다단계 인증을 지원하지 않으며, 역할 기반 액세스 모델 및 정보에 대한 필수 액세스 제어를 적용하지 않으며, 정보에 대한 보안을 보장하지 않습니다. 가상 환경에서 작업하세요. ALTELL TRUST는 원래 이러한 문제를 해결하기 위해 개발되었습니다. 동시에 NIST 및 Trusted Computing Group 개념뿐만 아니라 수정 및 확장된 기능을 사용하는 UEFI Trusted Boot 기술의 사용을 기반으로 신뢰할 수 있는 부팅을 보장하는 현대적인 접근 방식이 사용되었습니다. 결과적으로 ALTELL TRUST는 기존 APMS보다 더 강력한 보호 메커니즘을 구현하는 동시에 관리를 중앙 집중화하고 통계를 수집하여 정보 보안 인프라 관리 비용을 절감합니다.
지원되는 장치
자체 설계의 UEFI BIOS 수준에서 ALTELL TRUST를 구현하기 때문에 보호되는 장치의 특정 모델에 맞게 조정해야 합니다. 주요 공급업체(Intel, AMD, Lenovo, Panasonic)와의 협력 덕분에 ALTELL TRUST 개발 프로세스는 최대한 표준화되고 시간이 절약됩니다. 전체 BIOS가 아닌 Trusted Boot Module 자체가 인증되었기 때문에 변경 사항이 적용됩니다. 영향을 미치지 않습니다인증서용.
ALTELL TRUST는 현재 다음을 지원합니다.
- DFI 마더보드 (Core i5 프로세서 지원, 1×제온 E3);
- 올인원 Lenovo ThinkCentre M72z 및 M73z;
- Panasonic Toughbook CF-53 노트북;
- 데스크탑 Lenovo ThinkCentre M92p 및 M93p, ALTELL FORT DT 5/7.
인증
ALTELL TRUST는 두 번째 보호 등급의 기본 입출력 시스템 수준을 신뢰하는 로딩 수단으로 러시아 FSTEC의 인증을 받았습니다. 전체 UEFI BIOS가 아닌 신뢰할 수 있는 부팅 모듈이 인증되었으므로 ALTELL TRUST를 새 장치에 적용해도 수신된 인증서가 무효화되지 않습니다. 현재 FSB 인증서를 얻기 위한 작업이 진행 중입니다.
정보자료
테스트
ALTELL TRUST의 기능에 관심이 있으시면 당사 전문가가 무료로 시연해 드릴 수 있습니다.