Апаратне шифрування — процес шифрування, вироблений за допомогою спеціалізованих обчислювальних пристроїв.
Введення Сьогодні для шифрування даних найбільш широко застосовують три види шифраторів: апаратні, програмно-апаратні і програмні. Їх основна відмінність полягає не тільки в способі реалізації шифрування та ступеня надійності захисту даних, але й ціною, що часто стає для користувачів визначальним фактором. Найдешевші пристрою шифрування — програмні, потім йдуть програмно-апаратні засоби і, нарешті, найдорожчі — апаратні. Незважаючи на те, що ціна апаратних шифраторів істотно вища програмних, різниця в ціні не порівнянна із значним підвищенням якості захисту інформації .
Переваги апаратного шифрування Велика кількість засобів шифрування даних створюється у вигляді спеціалізованих фізичних пристроїв. Програмні шифратори, як правило, дешевші апаратних і в ряді випадків здатні забезпечити більшу швидкість обробки інформації. Перелік переваг апаратних шифраторів:
апаратний датчик випадкових чисел створює дійсно випадкові числа для формування надійних ключів шифрування та електронного цифрового підпису; апаратна реалізація криптоалгоритму гарантує його цілісність; шифрування і зберігання ключів здійснюються в самій платі шифратора, а не в оперативній пам'яті комп'ютера; завантаження ключів в шифрувальний пристрій з електронних ключів Touch Memory (i-Button) і смарт-карт проводиться безпосередньо, а не через системну шину комп'ютера і оперативної пам'яті, що виключає можливість перехоплення ключів; з допомогою апаратних шифраторів можна реалізувати системи розмежування доступу до комп'ютера і захисту інформації від несанкціонованого доступу; застосування спеціалізованого процесора для виконання обчислень розвантажує центральний процесор комп'ютера; також можна встановити декілька апаратних шифраторів на одному комп'ютері, що ще більш підвищує швидкість обробки інформації (це перевага притаманна шифраторам для шини PCI); застосування парафазних шин при створенні шифропроцесора виключає загрозу читання ключової інформації за коливаннями електромагнітного випромінювання, що виникають при шифруванні даних, в ланцюгах «земля — живлення» пристрою. шифрування даних проходить швидше, ніж у програмно-апаратно шифруванні
При установці на комп'ютер спеціалізованого шифрувального обладнання буде виникати менше проблем, ніж при додаванні в системне програмне забезпечення функцій шифрування даних. У найкращому випадку шифрування має проводитися так, щоб користувач не помічав його. Щоб зробити це за допомогою програмних засобів, вони повинні бути заховані глибоко в операційній системі. Виконати цю операцію безболісно з налагодженою операційною системою дуже непросто. Але під'єднати шифрувальний пристрій до персонального комп'ютера або до модема зможе будь-який непрофесіонал.
Види пристроїв апаратного шифрування Сучасний ринок пропонує 3 різновиди апаратних засобів шифрування інформації потенційним покупцям:
блоки шифрування в каналах зв'язку самодостатні шифрувальні модулі (вони самостійно виконують всю роботу з ключами) шифрувальні плати розширення для установки в персональні комп'ютери
Майже всі пристрої перших двох типів вузькоспеціалізовані. І тому потрібно досконально дослідити обмеження, які при установці ці пристрої накладають на відповідні пристрої, прикладне програмне забезпечення та операційні системи до того, як приймати кінцеве рішення про купівлю. В іншому випадку можна даремно витратити гроші, анітрохи не наблизившись до бажаної мети. Правда, існують компанії, які продають комунікаційне обладнання разом із заздалегідь встановленими пристроями апаратного шифрування, що іноді полегшує вибір.
Плати розширення для персональних комп'ютерів є більш універсальним засобом апаратного шифрування і, як правило, їх дуже легко налаштувати так, щоб вони шифрували всю інформацію, яка записується на жорсткий диск або пересилається в порти й дисководи. Зазвичай захист від електромагнітного випромінювання в платах розширення для апаратного шифрування відсутній, так як безглуздо захищати ці плати, якщо весь комп'ютер не захищається аналогічним чином.
Додаткові можливості апаратних шифраторів Використання цілої плати розширення тільки для апаратного шифрування занадто марнотратно. Крім функцій шифрування, виробники намагаються додати в свої пристрої різноманітні додаткові можливості, наприклад:
Генератор випадкових чисел. Він потрібен в основному для генерації криптографічних ключів. До того ж, велика кількість алгоритмів шифрування застосовується і для інших цілей. Наприклад, алгоритм електронного підпису ГОСТ Р 34.10 — 2001: При обчисленні підпису використовується кожен раз нове випадкове число. Довірене завантаження. Контроль входу на комп'ютер. Кожного разу, коли користувач вмикає комп'ютер, пристрій буде вимагати від нього введення персональної інформації (наприклад, вставити дискету з ключами). Тільки якщо пристрій розпізнає надані ключі і визнає їх «своїми», завантаження буде продовжено. Інакше користувач буде змушений розбирати комп'ютер і виймати звідти плату шифратора, щоб включити комп'ютер (тим не менш, як відомо, інформація на жорсткому диску також може бути зашифрована). Контроль цілісності операційної системи. Зловмисник не зможе у вашу відсутність що-небудь змінити в операційній системі. Шифратор зберігає у своїй пам'яті перелік всіх важливих файлів із заздалегідь порахованими для кожного контрольними сумами (або геш-значеннями), і комп'ютер буде заблоковано, якщо при черговому завантаженні не збігається контрольна сума хоча б одного з файлів
Пристроєм криптографічного захисту даних (ПКЗД) називається плата розширення із усіма перерахованими вище можливостями. Пристрій апаратного шифрування, контролює вхід на персональний комп'ютер і перевіряє цілісність всіх файлів операційної системи, називається також «електронним замком». Зрозуміло, що аналогія не зовсім повна — звичайні замки сильно поступаються цим інтелектуальним пристроям. Хоча ясно, що останнім необхідно програмне забезпечення — потрібна утиліта, яка генерує ключі для користувачів та зберігає їх список для впізнання «свій/чужий». Крім цього, необхідна програма для вибору важливих файлів і підрахунку їх контрольних сум. Доступ до цих додатків зазвичай є лише у адміністратора безпеки. Він повинен заздалегідь налаштувати всі пристрої для користувачів, а якщо з'являться проблеми, повинен розібратися в їх причинах.
Приклади існуючих апаратних шифраторів
USB-шифратор ruToken ruToken — російський засіб аутентифікації та захисту інформації, використовує сертифіковані алгоритми шифрування і аутентифікації та об'єднує в собі російські та міжнародні стандарти безпеки.
ruToken являє собою невелике електронний пристрій, що підключається до USB-порту комп'ютера (USB-брелок). Він є аналогом смарт-карти, а для роботи з ним не потрібно додаткове обладнання (сканер).
Аутентифікація
Заміна парольної захисту при доступі до БД, Web-серверів, VPN-мереж і security-орієнтованим програмам на програмно-апаратну аутентифікацію; Захищені з'єднання при доступі до поштових серверів, серверів баз даних, Web-серверів, файл-серверів аутентифікації при віддаленому доступі.
Захист інформації (шифрування ГОСТ 28147-89); Захист електронної пошти (ЕЦП, шифрування); Захист доступу до комп'ютера (авторизація користувача при вході в операційну систему).
Корпоративне використання
У прикладних програмах у системах електронної торгівлі для зберігання службової інформації, персональної інформації користувачів, паролів, ключів шифрування, цифрових сертифікатів та іншої конфіденційної інформації; ruToken може виступати як єдиний ідентифікаційний пристрій для доступу користувачів до різних елементів корпоративної системи і забезпечувати, наприклад, розмежування доступу, автоматичну постановку ЕЦП документів і т. д.
Основні характеристики ruToken:
Апаратне шифрування ГОСТ 28147-89; Файлова система ISO 7816; 8, 16, 32, 64 або 128 кбайт енергонезалежної пам'яті; Підтримка PC/SC, PKCS#11, MS CryptoAPI, X. 509.
Загальні технічні характеристики:
Базується на захищеному мікроконтролері; Інтерфейс USB (USB 1.1 / USB 2.0); EEPROM пам'ять 8, 16, 32, 64 або 128 Кб; 2-факторна аутентифікація (за фактом наявності ruToken і за фактом пред'явлення PIN-коду); 32-бітовий унікальний серійний номер; Підтримка ОС Windows 98/ME/2000/XP/2003/Vista/2008/7; Підтримка стандартів ISO/IEC 7816, PC/SC, ГОСТ 28147-89, MS CryptoAPI і MS SmartcardAPI, PKCS#11 (v.2.10+); Власні Crypto Service Provider і ICC Service Provider зі стандартними наборами інтерфейсів і функцій API; Можливість інтеграції в будь-smartcard-орієнтовані програмні продукти (e-mail, internet-, платіжні системи і т. п.).
ruToken володіє вбудованою файловою системою, що відповідає стандарту ISO/IEC 7816. Забезпечується прозоре шифрування файлової системи по ГОСТ 28147-89 на основі даних, унікальних для кожного екземпляра ruToken.
Вбудований алгоритм шифрування ГОСТ 28147-89 дозволяє шифрувати дані в режимі простої заміни, гамування та гамування із зворотним зв'язком. ruToken виробляє 32-бітову імітовставки за ГОСТ 28147-89 і генерацію 256-бітових випадкових чисел. Ключі шифрування зберігаються в ruToken в захищеному вигляді, без можливості їх експорту ruToken. Підтримується імпорт ключів шифрування ГОСТ 28147-89.
Додаткові можливості:
Підтримка стандарту X. 509 і алгоритмів RSA, DES (3DES), RC2, RC4, MD4, MD5, SHA-1; Захищене зберігання ключів асиметричного шифрування і цифрових сертифікатів та можливість використовувати ruToken для асиметричного шифрування даних і роботи з цифровими сертифікатами з будь-smartcard-додатків стандарту PC/SC; Протестована робота з E-mail-клієнтами: MS Outlook, MS Outlook Express і центрами сертифікації Microsoft і Verisign; Готове рішення — організація захищеного Logon в Windows 2000/XP/2003, в тому числі PKI Logon.
ПСКЗІ серії ШИПКА ПСКЗІ ШИПКА являє собою спеціалізований мобільний пристрій, що дозволяє надійно виконувати криптографічні перетворення та зберігати ключі.
Сімейство включає в себе серію USB-пристроїв (усвідомлюючи, що на ринку ЗКЗІ сьогодні досить широкий вибір лише дешевих засобів — аналогів смарт-карт, було розроблено модифікації зі значно розрізненими показниками): ШИПКА-1.5, ШИПКА-1.6 і ШИПКА-1.7, а також пристрої в конструктиві CF Type II, PC CARD Type II, ExpressCard 34 і пристрій ШИПКА-Модуль.
Криптографічна функціональність всіх цих пристроїв однакова — це шифрування, ЕЦП, геш-функція, генерація ключів, довготривале зберігання ключів і сертифікатів. Реалізація криптографічних операцій у всіх випадках апаратна (по відношенню до ПК). Для зберігання ключової інформації у всіх пристроях є енергонезалежна захищена пам'ять об'ємом 4 кбайт, розташована безпосередньо в процесорі. Всі пристрої забезпечені додатковою енергонезалежною пам'яттю типу DataFlash з файловою системою, подібною ISO/IEC 7816; мають у своєму складі апаратні ДСЧ. Всі модифікації ПСКЗІ ШИПКА працюють під ОС сімейства Win32, маючи для цього програмні інтерфейси — Криптопровайдер Microsoft CryptoAPI, бібліотека API PKCS#11.
У всіх пристроях сімейства ШИПКА реалізовані всі російські криптографічні алгоритми. У них також реалізована можливість підтримки зарубіжні криптографічні алгоритми. Набір зарубіжних алгоритмів для всіх пристроїв однаковий: Шифрування: RC2, DES, DESX, TripleDES; Гешування: MD5, SHA-1; ЕЦП: RSA (ШИПКА-1.5 — 512-біт, решта — 2048 біт), DSA (ШИПКА-1.5 — 1024-біт, решта — 2048 біт). Всі пристрої є повністю програмованими — firmware може оновлюватись безпосередньо користувачем. Це дає можливість розширення її функціональності та створення індивідуальних рішень для тих чи інших завдань замовника, оскільки в цілому ряді випадків ексклюзивне рішення істотно краще стандартного.
Персональне засіб криптографічного захисту даних ШИПКА-1.7 Характеристики:
тактова частота процесора: 16 МГц 1-2 такти на команду (більшість — 1) частота виконання команд: 14 МГц Пам'ять програм: 128 Кбайт Оперативна пам'ять: 4 кбайта