Главная
 Новости
 Регистрация
 Region Free Keys
 Телефония
 Железо
 Software
 Секреты Windows
 Безопасность
 Web-дизайн
 Web-мастерам
 Фото-приколы
 Хостинги
 Раскрутка сайта
 Анекдоты
 Игромания
 Фотогалерея
 Разное
 Знакомства
 Мир техники
 Флейм
 Голосования
 Музыка
 Спорт
 Кино
 Авто
 Зал суда
 Программа TB
 Форум
 Авторам статей
 Реклама на сайте

ОРГАНИЗАЦИЯ ЗАЩИЩЕННОГО ТЕЛЕКОММУНИКАЦИОННОГО ВЗАИМОДЕЙСТВИЯ МЕЖДУ СЛУЖБАМИ ПРЕДПРИЯТИЯ

Безмалый В.Ф.
vb@upc.ua
Главатый В.К.

Защищенная почта это в первую очередь средство телекоммуникационного взаимодействия служб предприятий в единой информационной среде, а не только средство общения людей посредством почтовых служб Internet.

Для обеспечения жизнедеятельности современных информационных технологий предприятий телекоммуникационные взаимодействия между их службами должны характеризоваться согласованными системами организационных и технологических взаимодействий. Развитие информационных служб требует тщательно разработанной программы развития и интеграции всех составляющих их инженерной инфраструктуры: информационных технологий, телекоммуникаций, средств защиты информации.

Как правило, основными особенностями информационных сетей (ИС) (рис.1) являются территориальная распределенность их компонентов, включая информационные ресурсы филиалов и партнеров в разных регионах и т.д., что затрудняет организацию телекоммуникационного взаимодействия служб.

Рисунок 1 Структура ИС

При выборе единых средств телекоммуникационного взаимодействия служб для неоднородных компонентов ИС, необходимо обеспечить взаимодействие разных операционных систем и прикладных программ, многочисленных приложений на рабочих станциях, работающих в различных операционных средах (WINDOWS, OS/2, терминалы, для файловых серверов могут применяться WINDOWS NT/2000/2003, LINUX).

Для создания эффективного взаимодействия служб необходимо обозначить основные информационные потоки между компонентами ИС. Учитывая организационную структуру предприятия, для сотрудников и служб необходимо регламентировать процессы их функционирования, использование информационных ресурсов, деятельность сотрудников, включая доступ к информационным ресурсам.

Чаще всего взаимодействие служб предприятия осуществляется на базе IP-протокола, используя сети компаний провайдеров телекоммуникационных услуг или через выделенные каналы связи. В качестве средств маршрутизации и коммутации чаще всего используются продукты CISCO, на стороне внешних компонентов предприятия могут быть применены любые средства маршрутизации (разных фирм производителей, даже сервера LINUX со свободно распространяемым ПО).

Для такой сети передачи данных без средств её централизованного управления и мониторинга, готовое решение для обеспечения телекоммуникационного взаимодействия всех служб выбрать сложно, в этой связи возникает необходимость разработки телекоммуникационных средств, обеспечивающих надежное защищенное взаимодействие служб предприятия.

Анализ существующих телекоммуникационных технологий и возможностей фирм разработчиков показал, что в целом на Украине при организации телекоммуникационного взаимодействия между службами предприятий используются не самые лучшие средства

Уровень автоматизации предприятий в настоящее время проходит достаточно трудно. Для многих служб основными средствами информационного взаимодействия между приложениями и должностными лицами служит файловый обмен.

Исторически сложилось так, что для этих целей применяются различные программы собственной разработки, которые обеспечивают перекладку файлов между подкаталогами. В случае программно-аппаратных сбоев, обрывов связи, файлы просто теряются, при этом установить причины сбоев практически невозможно. Программы часто изменяются, вводятся дополнительные функции, в результате может возникнуть ситуация (например, при увольнении сотрудника), когда весь процесс перекладки остановится и некому будет его восстановить.

Такие технологические решения имеют высокий уровень операционных рисков, низкую оперативность обнаружения сбойных ситуаций и не отвечают современным требованиям защиты информации.

В этой связи предлагается рассмотреть подходы и средства реализации телекоммуникационных технологий с учетом международных стандартов семиуровневой OSI/ISO «Модели взаимодействия открытых систем».

Шестой и седьмой уровень (уровень отображений и прикладной уровень, в соответствии со стандартом Х400) (согласно OSI/ISO «Модели взаимодействия открытых систем») определяют построение базовых телекоммуникационных услуг взаимодействия приложений (пользователей или прикладных программ) путем обмена сообщениями.

Для данного случая термин «электронная почта» описывает поддерживаемые вычислительными средствами телекоммуникационные услуги для обмена электронными документами методом промежуточного накопления. Телекоммуникационные службы нижних уровней обеспечивают услуги Connection-oriented Network Service, т.е. с установкой соединения между прикладными программами. На Украине с услугами такого рода почти никто не знаком.

Практически всегда для организации работы рабочих станций в локальной сети обеспечивается услуги Connectionless-mode Network Service, т.е., как правило, с использованием общих сетевых директорий (т.е. организации общего файлового ресурса).

С другой стороны для большинства людей электронная почта - это почтовые Internet услуги (данная почта выполнена не на базе стандарта Х400, Internet почта использует протокол SMTP), которые повсеместно внедряются быстрыми темпами, в основном как информационные службы и средства общения. Для большинства сотрудников предприятий электронная почта – это Internet e-mail. Только небольшое число банковских сотрудников знает об электронной почте НБУ, которая служит базовой службой автоматизации всей банковской деятельности Украины. К сожалению, такие примеры в других областях народного хозяйства найти сложно. В такой ситуации службы автоматизации предприятий всё больше ориентируются на Internet, а ведь в большинстве международных платежных систем используется почтовые службы на базе стандарта Х400 (почта стандарта Х400 – это не Internet).

Развитие Internet услуг, их качественное улучшение (включая почтовые службы SMTP) и доступность всё большему числу граждан Украины, естественно приведет к тому, что они будут всё шире использоваться как телекоммуникационные средства для выполнения разнообразных услуг (информационно-аналитических, безналичных платежей для населения и т.п.). Но использовать Internet для базовых служб (построение внутрибанковских платёжных или клиринговых систем) во многих случаях нецелесообразно.

Рассмотрим возможности протокола Simple Mail Transfer Protocol (SMTP, Network Working Group J. Klensin, Editor, Request for Comments: 2821 AT&T Laboratories, Obsoletes: 821, 974, 1869 April 2001, Updates: 1123, Category: Standards Track), которые описывает возможности почтовых служб Internet, в том числе в части безопасности почты и имитации (Spoofing) сообщений.

В SMTP почте существует угроза, что клиенты почтовых серверов могут формировать ложные сообщения, а затем принимать и передавать их через почтовый сервер. При этом получатель принимает на веру, что сообщение пришло именно от указанного отправителя. Имитация сообщения (spoofed) не может быть обнаружена штатными средствами. Строить нормативно-правовую базу (тем более законодательную) на основе данных услуг нельзя. Реальная безопасность почтовых служб может быть достигнута за счет применения дополнительных средств безопасности (криптографии), путем шифрования сообщений.

Гарантию доставки сообщений можно добиться, применив дополнительные средства на транспортном уровне (между клиентом и сервером), например, путем строгой аутентификации.

 Это не мнение авторов статьи, а выдержки из стандарта (SMTP стр. 64).

В самом протоколе заложены возможность удалять или перенаправлять сообщения другим узлам в случае невозможности их маршрутизации.

В почтовых службах Internet заложена возможность приема – передачи сообщений в любые точки мира, а также возможность пользователю самостоятельно вести адресные списки (т.е. заводить и имитировать почтовых клиентов).

Протокол доступа сообщения Internet, версия 4rev1 (IMAP4rev1 предоставляет клиенту доступ и управление электронными сообщениями на почтовом сервере)

INTERNET MESSAGE ACCESS PROTOCOL - VERSION 4rev1

Network Working Group M. Crispin

Request for Comments: 3501 University of Washington

Obsoletes: 2060 March 2003

Category: Standards Track

Протокол разрешает манипуляцию почтовыми ящиками (отдаленными папками сообщений) в процессе приёма-передачи сообщений, обеспечивает возможность клиенту синхронизировать их приём-передачу. IMAP4rev1 обеспечивает возможность создания, удаления почтовых ящиков, переименование и проверку сообщений.

Протокол - это набор команд по организации доступа (чтения-переименования, удаления имен сообщений и т.п.). Протокол практически не имеет штатных средств информационной безопасности.

Для того чтобы выполнить на базе таких служб требования по защите информации (например, для платежей) с учетом украинского законодательства, необходимы дополнительные средства. В целом обеспечить высокий уровень защиты информации для телекоммуникационного взаимодействия, построенного на базе Microsoft WINDOWS, включая Internet услуги, очень сложно, а главное нецелесообразно.

Неоднородность компонентов информационных сетей (ИС), включая используемые операционные системы и прикладные программы, не позволяет организовать On-Line взаимодействие между всеми службами и прикладными процессами (например, на базе клиент-серверной технологии). В большинстве случаев нет возможности, а главное необходимости, создания и администрирования базы, которая обеспечила бы маршрутизацию сообщений для всех служб и пользователей, ещё сложнее обеспечить достоверный ввод данных и их синхронизацию для работающих (в режиме реального времени) процессов.

При развитии информационных служб предприятий необходимо планировать единую технологию телекоммуникационного взаимодействия, которая реализует ряд требований:

1.      Улучшит оперативность формирования приема-передачи и обработки сообщений, а также обнаружения и ликвидации сбойных и критичных для телекоммуникационного взаимодействия служб событий.

2. Обеспечит безопасность и надежность телекоммуникационного взаимодействия, доверие со стороны клиентов, возможность обновления целостности и обеспечения разумного доступа к нужной информации с целью проверки и контроля.

3.      Будет удобной, то есть будет иметь универсальные средства визуального и функционального контроля.

4.      Обеспечит единый сервис по ведению журналов и протоколов с удобными средствами их анализа, будет учитывать организационную структуру, масштабироваться.

5.      Технология телекоммуникационного взаимодействия будет отвечать современным требованиям, то есть обеспечивать пользователям современные, высокопроизводительные удобные средства обмена сообщениями.

Важным аспектом работы предприятий является система защиты информации, первым шагом к созданию которой, как правило, служит защищенное взаимодействие с использованием средств криптографии.

Примером при выборе технологии телекоммуникационного взаимодействия может служить система электронных платежей (СЭП) Национального банка Украины. Защищенная почта, которой уже более десяти лет, надежно обеспечивает потребности банков. Целесообразно выбрать или разработать средства, на базе почтовых служб, которые была бы построены по тем же принципам, и обеспечили бы взаимодействие в общем информационном пространстве, желательно на базе международных стандартов (Х400).

 Необходимо обозначить основные информационные потоки между компонентами. Регламентировать для сотрудников и служб процессы функционирования информационных систем, использование информационных ресурсов, деятельность сотрудников, включая доступ к информационным ресурсам. 

Каждый нормативный документ должен иметь владельца (отправителя), ответственного за передаваемую информацию, подтвержденную его цифровой подписью, и механизмы, гарантирующие, что файл будет доставлен и принят указанным получателем.

Для предприятия, действующие телекоммуникационные услуги которого не обеспечивают всех требований информационных служб с учетом планов его дальнейшего развития, есть ряд возможностей.

Функции управления предприятием (персоналом, логистика, склад и т.д.) реализуются комплексными клиент-серверными ERP системами (SAP R3) (со встроенными On-Line телекоммуникационными службами).

Функции систем документооборота с возможностью жесткой регламентации путей электронных сообщений лучше решать путем внедрения систем электронного документооборота, например на базе Microsoft Exchange, Netscape Communication или LOTUS NOTES и т.д., информационных служб на базе WEB технологий.

В целом при выборе систем документооборота рекомендуется учесть ряд факторов.

На первом этапе необходимо рассмотреть целесообразность внедрения таких систем, так как они требуют значительных финансовых затрат, организационных мер по изменению структуры документооборота, а возможно и организационной структуры предприятия, изменений в привычном порядке обработке документов сотрудниками практически всех служб предприятия. Перед внедрением систем такого класса, необходимо оценить есть ли возможность в полном объёме обеспечить наиболее важные требования:

·        структура и функционирование;

·        количество и квалификация персонала;

·        надежность;

·        безопасность;

·        техническое обслуживание и ремонт;

·        защита информации;

·        сохранность информации при авариях;

·        патентная чистота;

·        стандартизация и унификация.

 Необходимость финансовых затрат, технологических и структурных изменений работы организации для выполнения всех этих требований во многих случаях не позволяет планировать быстрое внедрение таких систем электронного документооборота для всех служб (учитывая наличие внешних информационных ресурсов). Системы целесообразно применять поэтапно для четко организованных и управляемых служб и процессов, с развитой инфраструктурой (включая телекоммуникационные службы) по мере их готовности перейти к полностью автоматизированным управляемым технологиям (чаще всего внутри одной организации). Кроме того, крайне сложно использовать такие службы при взаимодействии с внешними организациями, не ясно также насколько при этом есть возможность выполнить требования Службы Безопасности Украины, касающиеся использования криптографических средств.

Для служб предприятия, у которых сложилась базовая устойчивая система взаимоотношений, порядок прохождения финансовых или других отчетов, нормативных и платежных документов и нет необходимости радикально менять существующий порядок, есть возможность применить программный комплекс «Защищенная электронная почта БРИЗ» (разработчик ООО «Институт компьютерных технологий»), который бы обеспечивал обмен защищенными сообщениями между сотрудниками и прикладными программами (рис.2).

Возможности ПО защищенной электронной почты «БРИЗ» разрабатывались с целью обеспечить потребность взаимодействия служб предприятия со службами внешних организаций, т.е. реализовать часть необходимых базовых услуг стандарта Х400 на базе опыта применения лучших свойств почты НБУ. Главные достоинства данного продукта – его относительно невысокая стоимость, возможность автоматизировать процессы взаимодействия прикладных программ, встроенные криптографические и телекоммуникационные средства, простота администрирования и установки почтовых серверов и клиентских мест.

Рисунок 2 Структура почтовых служб

Комплекс функционально можно разделить на три службы - доставки (телекоммуникационная), обработки ("перекладки") и защиты электронных сообщений.

  Служба доставки в качестве средств передачи сообщений ЭП может использовать, как любые внешние средства, обеспечивающие файловый обмен (скрипты с командами типа MOVE, или телекоммуникационные службы типа Procarry, ArgoCom, UNIX и т.п.), так и встроенные средства, обеспечивающие работу в распределенных сетях с протоколом TCP/IP по протоколу передачи файлов FTP;

Использование встроенных средств, обеспечивающих по протоколу FTP передачу файлов, позволит пользователям системы при обмене сообщений контролировать качество приема-передачи данных. В программных средствах клиента и администратора ЭП при невозможности клиентов связаться с сервером, или в случае обрывов связи при передаче файлов, выводится вся необходимая информативно-диагностическая информация. В комплексе с механизмами квитирования программные средства ЭП позволяют обеспечить полный контроль обмена файлами и сообщениями. При этом практически исключена возможность потери сообщений на всех стадиях работы комплекса. Имея развитые телекоммуникационные средства, комплекс «Защищенная электронная почта», позволит обеспечить обмен файлами, электронными сообщениями как между внутренними (общая локальная сеть) так и внешними (удаленными) службами или клиентами.

Основа комплекса - служба обработки ("перекладки") сообщений. Важным достоинством комплекса является возможность установки его в разных телекоммуникационных средах. Общий принцип обмена файлов между клиентами и почтовым сервером реализован (по стандартному принципу работы почтовых систем с промежуточным накоплением сообщений) на базе перекладки файлов через выделенные подкаталоги почтового сервера. Возможность использовать для этих целей разные файловые сервера локальных сетей (Windows NT, Novell, Unix), позволяют внедрить комплекс вне зависимости от сетевой архитектуры предприятия.

Служба защиты обеспечивает полный спектр услуг по криптозащите электронных сообщений, использует механизмы криптографической защиты (электронная цифровая подпись (ЭЦП), зашифрование/расшифрование) электронных сообщений (ЭС) в формате SMF-70 между пользователями электронной почты (ЭП) через узлы ЭП.
В целом комплекс “Защищенная электронная почта Бриз ” обладает следующими возможностями:

1. Маршрутизация сообщений (и квитанций о доставке), передаваемых между клиентами внутри узла ЭП;
2. Маршрутизация сообщений (и квитанций о доставке), передаваемых между клиентами узла ЭП и клиентами других узлов электронной почты;
3. Автоматическое формирование квитанций о доставке сообщений на узел ЭП получателя;
4. Ведение архивов обработанных сообщений;
5. Протоколирование выполненных операций.

Программные средства АРМ клиента ЭП реализуют следующие функции:

1. Подготовка и передача сообщений;
2. Прием и обработка принятых сообщений;
3. Автоматическое формирование квитанций о доставке сообщений на АРМ получателя;
4. Ведение справочников почтовых адресов клиентов-корреспондентов;
5. Автоматическая отправка (по заданным правилам) файлов из определенных каталогов;
6. Автоматический прием (по заданным правилам) файлов в определенные каталоги;
7. Ведение архивов обработанных сообщений;
8. Протоколирование выполненных операций;
9. Зашифрование/расшифрование передаваемых сообщений по алгоритму, установленному ГОСТ 28147-89;
10. Выработка/проверка ЭЦП сообщений по алгоритму, установленному ГОСТ 34.310-95, 34.311-95;
11. Выработка/проверка ЭЦП квитанций по алгоритму, установленному ГОСТ 34.310-95, 34.311-95;
12. Генерация секретного ключа (СК) и открытого ключа (ОК) пользователя и передача запроса на сертификацию ОК пользователя в АРМ управления криптографическими ключами пользователей ЭП для последующей сертификации;
13. Прием сертификатов ОК и баз данных (БД) сертификатов ОК от АРМ управления криптографическими ключами пользователей ЭП;
14. Другие операции.

Программные средства АРМ администратора ЭП реализуют все функции АРМ клиента и, дополнительно, следующие функции:

1. Ведение адресной базы узла ЭП (регистрация/ удаление пользователей узла ЭП);
2. Ведение индивидуальных адресных баз пользователей узла ЭП;
3. Ведение индивидуальных адресных списков пользователей узла ЭП;
4. Удаленное конфигурирование сервера узла ЭП;
5. Обработка и анализ архивов сообщений сервера узла ЭП;
6. Обработка и анализ протоколов сервера узла ЭП;
7. Рассылка БД сертификатов ОК пользователям узла ЭП;
8. Рассылка адресных баз пользователям узла ЭП;
9. Другие операции.

Программные средства АРМ управления ключами пользователей ЭП реализуют следующие функции:

1. Регистрация пользователей в БД АРМ управления ключами;
2. Генерация СК и ОК пользователей ЭП;
3. Формирование запросов на сертификацию ОК пользователей ЭП;
4. Передача запросов на сертификацию ОК пользователей ЭП в ЦСК;
5. Выработка сертификатов ОК пользователей узла ЭП;
6. Передача сертификатов ОК пользователей ЭП непосредственно корреспондентам;
7. Прием сертификатов ОК от корреспондентов непосредственно или от ЦСК;
8. Прием и сертификация ОК пользователей узла ЭП, сгенерированных в АРМ клиентов ЭП, сертификация ОК и передача сертификатов ОК пользователям узла ЭП;
9. Протоколирование работы с возможностью просмотра протокола;
10. Ведение архива БД АРМ и БД сертификатов ОК.

Программные средства АРМ ЦСК реализуют следующие функции:

1. Регистрация администраторов АРМ ЦСК;
2. Генерация СК и ОК ЦСК;
3. Выработка сертификатов ОК ЦСК;
4. Передача сертификатов ОК ЦСК в АРМ управления ключами пользователей ЭП;
5. Прием запросов на сертификацию ОК пользователей ЭП от АРМ управления ключами пользователей ЭП;
6. Выработка сертификатов ОК пользователей ЭП;
7. Передача сертификатов ОК пользователей в АРМ управления ключами клиентов ЭП;
8. Протоколирование работы с возможностью просмотра протокола;
9. Ведение архива БД АРМ и БД сертификатов ОК.

Технология управления открытыми ключами, реализованная в АРМ управления ключами пользователей ЭП и АРМ ЦСК, соответствует рекомендациям стандарта X.509.

Выбор и внедрение почтовых услуг зависит от организационной структуры предприятий и их компонентов. Каждому подразделению или должностному лицу присваивается почтовый индекс. Согласно введенной индексации, каждому пользователю ЗЭП предоставляется почтовый адрес и набор услуг, в соответствии со статусом пользователя. Комплекс позволяет организовать для каждого пользователя возможность приема-передачи сообщений в предоставленном ему адресном пространстве (уникальный адресный список, предоставленный администратором узла почты, согласно статуса, указанного в заявке на подключение).

Такой подход дает возможность быстро создать таблицы маршрутизации почтовых сообщений и установить конфигурацию средств защиты информации.

Внедрение комплекса требует проведения ряда организационно-правовых мероприятий. Для ввода в промышленную эксплуатацию системы требуется наличие нормативно-правовой базы, регламентирующей действия обслуживающего персонала и клиентов.

Рассмотрим структурную схему организационно-правовой подсистемы.

Положение о системе телекоммуникационного взаимодействия на базе файлового обмена определяет правовые основы функционирования сети обмена сообщений и файлов, организационную структуру и принципы управления сетью обмена сообщений и файлов, перечень требований, обязательных для выполнения при использовании системы, ответственность за их нарушения, порядок присоединения к сети новых клиентов и предоставление им соответствующего статуса и полномочий. Выбор, исходя из организационной структуры предприятия почтового пространства и средств маршрутизации.

Средства защиты информации это комплекс организационных и технических мер, который определяет принципы эксплуатации криптографических средств (электронная подпись и шифрование) и средства защиты от несанкционированного доступа.

Заключение

Приведенный в статье анализ возможности эффективного внедрения средств защищенного телекоммуникационного взаимодействия может быть полезен при выборе технологических решений автоматизации деятельности предприятий.Развитие инфраструктуры в целом по Украине, необходимость применения отечественных криптографических средств защиты информации позволяют планировать разработку и массовое внедрение почтовых служб полностью поддерживающих международные стандарты (Х400). В будущем внедрение разработанной украинскими программистами защищенной электронной почты на базе стандарта Х400, должно удовлетворить потребность предприятий в защищенном телекоммуникационном взаимодействии. Принятый закон о «Об электронной цифровой подписи» позволяет реализовать организационные и нормативно-правовые меры для применения криптографических средств защиты информации при защищенном телекоммуникационном взаимодействии.

Обсудить в форуме...>>>>