Электронный документооборот, электронная торговля, электронное правительство не может существовать без инфраструктуры открытых ключей (Public Key Infrastructure, PKI). Только она может обеспечить аутентификацию участников электронного обмена, неизменность самих распространяемых документов и автоматизированное распространение ключей шифрования для создания защищенных каналов связи. Использование криптографии с открытым ключом в России фактически регулируется законом "Об ЭЦП". Хотя он принят уже несколько лет назад, практика его использования до сих пор не сложилась. Своими наработками в этой области поделились представители компании "ДиалогНаука" на семинаре "Практические аспекты создания инфраструктуры открытых ключей на предприятии", который прошел 23 октября.

Следует отметить, что международные системы выдачи сертификатов, такие как Verisign, RSA, Wisekey, Thawte, Cyber Trust и другие не соответствуют российскому закону "Об ЭЦП" в части сертификации используемых алгоритмов. В то же время российская национальная система доверия, которая соответствует указанному выше закону, не может быть включена в международные системы опять же из-за использования национальных, а не международных алгоритмов. Иными словами, существует как минимум два "пространства доверия" - международное и российское, которые не могут быть совмещены друг с другом. Поэтому при построении корпоративной инфраструктуры открытых ключей компания должна решить, в какое пространство доверия она будет входить, и из какой системы ей нужно получать сертификат для корневого удостоверяющего центра.

Собственно, на сегодняшний день вариантов три: подключиться можно в международное пространство доверия, в российское, соответствующее закону "Об ЭЦП" или в собственное со своим корневым сертификатом. Какой же вариант выбрать? Исходить нужно из цели построения PKI. В случае построения юридически значимого документооборота действительно нужно соответствие российскому закону "Об ЭЦП" - для разбора конфликтных ситуаций. В то же время для установления каналов связи, особенно посредством SSL, или при использовании защищенной электронной почты лучше иметь сертификаты международных систем, чтобы не ограничивать поле действия сертификатов рамками организации. Корпоративная система управления "цифровыми правами" (Digital Right Management, DRM) и аутентификация не так критичны к используемым сертификатам, и для них пространство доверия можно выбирать в зависимости от других параметров проекта.

Для построения PKI нужно выбрать технологическую платформу, разработать архитектуру системы и регламент ее использования, разработать пакет документов для легализации сертификатов и провести процедуру генерирования сертификата для корневого удостоверяющего центра. При этом IETF в свое время даже выработала рекомендации для разработки регламента удостоверяющего центра - RFC 3647.

Российским стандартам сейчас удовлетворяют как минимум два удостоверяющих центра - Microsoft CA и RSA Keon, в которых интегрирована библиотека российского шифрования от компании "Крипто Про". Кроме этого можно использовать еще коммерческий продукт Baltimore UniCERT или открытый OpenCA. При этом Microsoft CA входит в состав операционной системы Windows Server 2003/2008, а OpenCA вообще распространяется бесплатно.

Архитектура PKI может состоять из следующих компонентов: корневого сервера, удостоверяющих центров для различных доменов и серверов регистрации, которые представляют собой Web-интерфейсы для работы пользователей с сертификатами. При этом корневой сервер, хранящий секретный ключ всей системы во избежание компрометации, вообще рекомендуется выключать из сети, - как компьютерной, так и силовой - и держать в специальном сейфе. Включать его достаточно раз в полгода для подписания списка отозванных сертификатов и добавления новых удостоверяющих центров, эти списки рекомендуется распространять на отчуждаемых носителях.

Впрочем, компании совсем не обязательно строить собственную корпоративную инфраструктуру PKI - можно покупать уже готовые сертификаты. Особенно это касается российского пространства доверия, сертификаты которого нужны только для общения с государственными органами, а их может быть немного. Небольшим компаниям, скорее всего, будет удобно разворачивать международную систему удостоверяющего центра для организации защищенной системы связи, аутентификации и DRM и покупать несколько российских сертификатов для общения с госорганами и участия в юридически значимом документообороте.

Компания Crossbeam уже около двух лет работает в России, однако только сейчас ее руководство приняло решение активизировать свою деятельность в нашей стране. У компании появился офис и два сотрудника. Есть уже и первые внедрения - их пока всего три, но достаточно крупных. За десять лет работы на международном рынке у Crossbeam насчитывается около 800 заказчиков, ее оборот в 2007 году - 100 млн долл., а ожидаемый в этом году рост продаж составляет 75%.

Основные продукты Crossbeam — модульные сетевые устройства, оптимизированные для работы с программным обеспечением, решающим те или другие задачи защиты информационных систем - межсетевые экраны, антивирусы, системы предупреждания вторжения и другие. Данные устройства реализуют для такого рода программного обеспечения базовую сетевую инфраструктуру с динамическим изменением конфигурации в соответствии с заранее определенной политикой. Эти устройства устанавливаются в ядре сети или как шлюз для крупного центра обработки данных. Они могут обработать поток передачи данных на скорости до 40 Гбит/с, проверяя его при помощи системы предотвращения вторжений.

При этом в самой Crossbeam не производят средств защиты, а устанавливают продукты компаний-партнеров. Приложения загружаются в специальные модули приложений (Application Processor Module, APM), которые работают под управлением операционной системой XOS — защищенной версии Red Hat Linux. Для этой ОС уже написаны программные продукты такими компаниями, как Check Point, TrendMicro, IBM ISS, Websense, Imperva и Sourcefire. Устройства Crossbeam обеспечивают для установленного на них программного обеспечения балансировку нагрузки между модулями, мониторинг работоспособности, резервирование каналов доступа и другие сервисы для обеспечения параллельной обработки IP-пакетов, отказоустойчивости и управляемости.

Компания Crossbeam поставляет в Россию две модели устройств, X80 и X45. В них могут быть установлены три типа модулей - сетевые, прикладные и контролирующие. Сетевые модули поддерживают инфраструктуру доступа, прикладные - работу приложений защиты, а контролирующие - управление системой и ее мониторинг. Младшая модель X45 позволяет установить по два сетевых и контролирующих модуля, а также три лезвия для приложений. X80 позволяет увеличить количество сетевых модулей до четырех, а прикладных - до десяти. Минимальная стоимость проектов с использованием оборудования Crossbeam - 200 тыс. долл.

Партнерская сеть компании в нашей стране состоит из двух дистрибьюторов — Mont и RRC, и четырех реселлеров - "Информзащита", ADV Consulting, AKON Technologies и BMS Consulting (последний работает на Украине). В перспективе число партнеров планируется увеличить. Ожидается, что некоторые из них возьмут на себя обязательства по технической поддержке и обучению пользователей.

Компания Symantec объявила о выпуске на российский рынок новых версий своих "персональных" продуктов - Norton Antivirus 2009 и Norton Internet Security 2009.

По словам Хомаюна Саркечика, старшего менеджера по потребительским продуктам Symantec EMEA, главной причиной отказа пользователей от антивирусных продуктов является их ресурсоемкость и невысокая скорость работы. Этим характеристикам в Symantec уделили особое внимание. В частности, дистрибутив Norton Antivirus 2009 устанавливается менее чем за минуту, объем занимаемой антивирусом оперативной памяти не превышает 7 Мбайт, время загрузки при старте операционной системы уменьшено на 26%, скорость сканирования антивируса увеличена в пять раз, уменьшен объем занимаемой памяти в восемь раз и на 28% увеличена производительность продукта при повседневном использовании.

Для увеличения производительности и снижения требования к ресурсам Symantec разработала технологию, которая называется Norton Insight. Суть ее в том, чтобы особо тщательно проверять только подозрительные приложения. Для этого антивирус при первом запуске не только обнаруживает все известные вирусы, но и классифицирует программы по степени их подозрительности. Для этого используются три метода: по белым спискам, по поведению и с помощью сообщества. Белый список "однозначно хороших" приложений составляется в самой Symantec. Анализ по поведению проверяет наличие или отсутствие некоторых признаков вредоносного кода. Социальный метод определения вредоносности основан на сообществе пользователей продуктов Norton, которые согласились передавать в Symantec информацию о запущенных на их компьютере приложениях. При установке оба продукта спрашивают пользователей, согласны ли они вступить в сообщество и отправлять на центральный сервер данные о своем компьютере. "Больше половины пользователей соглашаются на это предложение", - заверил Саркечик. Предполагается, что если программа установлена на большое число компьютеров и работает на них достаточно долго, то она не является вредоносной. Появление Norton Insight также сказалось и на интерфейсе антивируса - теперь можно посмотреть долю файлов, которые антивирус будет проверять каждый раз. Как правило, она не превышает 35%.

Существенным нововведение является так называемый "бесшумный режим", когда антивирус не выдает сообщений и вообще минимизирует свое присутствие в системе. Этот режим можно включить вручную из интерфейса антивируса, при этом продолжает работать лишь защита от внешнего вмешательства.

В версии 2009 снова появился спам-фильтр, который был убран в предыдущей версии, сокращено время между обновлениями до 15 минут. В результате антивирус может получить в день до 200 обновлений — меньшего, нежели ранее, размера.

Новый антивирус стоит 1150 руб., Internet Security - 1850 руб. Для обоих продуктов имеются варианты, которые стоят примерно на 20% дешевле - 850 и 1390 руб. Их можно установить, если на компьютере уже был соответствующий продукт, при переходе с OEM-версии, которые предустанавливаются на мобильные компьютеры ряда производителей, а также при переходе с конкурирующих продуктов. Для Internet Security 2009 существуют еще два варианта - с тремя лицензиями за 2650 руб. и с пятью - за 4450 руб. В пересчете на один компьютер это получается чуть дороже, чем коробка с обновлением для антивируса.

Счетная палата РФ - орган контролирующий, определяющий, насколько эффективно и правильно расходуются государственные средства. В ее информационную систему стекается огромное количество разнообразных данных - хранилище этого ведомства имеет емкость 5 Тбайт, и оно уже почти заполнено. Для исполнения своих обязанностей Палате мало знать финансовые показатели отраслей, ведомств и компаний, нужно еще строить прогнозы, вырабатывать стратегии и оценивать, насколько показатели конкретного проекта отличаются от смоделированных.

Для поддержания всех этих возложенных на ведомство функций в 1998 году было начато строительство информационно-телекоммуникационной системы Счетной палаты (ИТКС), которая обеспечивает не столько хранение информации, сколько финансовое моделирование и сопоставление данных из разных источников. О развитии этой государственной информационной системы было рассказано 16 октября на праздновании десятилетия сотрудничества Счетной палаты с компаниями i-Teco, Hewlett-Packard и Prognoz.

В качестве поставщика оборудования для ИТКС была выбрана HP, программное обеспечение сбора и анализа данных отдано на разработку пермской компании Prognoz, а системной интеграцией занималась компания i-Teco. Первая очередь базовой ИТ-инфраструктуры была закончена к 2002 году. После создания базовой сети ведомства началось строительство системы управления информационными ресурсами сети на основе продукта HP Operations. Примерно в то же время компания Prognoz приступила к внедрению комплекса экспертизы, анализа и контроля формирования и исполнения федерального бюджета — "Эксперт-СП".

В 2004 году потребовалась модернизация сетевого и серверного оборудования ИТКС, а также было проведено внедрение второй очереди системы "Эксперт-СП". Еще через год началось строительство ситуационного центра Счетной палаты, который позволял бы ведомству оперативно выполнять запросы других государственных структур, укладываясь при этом в отведенные законом сроки. В 2007 году было инициировано строительство государственной информационно-аналитической системы контрольно-счетных органов Российской Федерации, которая позволяет оценивать состояние российской экономики в целом. За все время развития системы i-Teco поставила ведомству 44 сервера и два дисковых массива производства HP.

Построенная система позволяет государству контролировать исполнение бюджета и эффективность расходования бюджетных средств, согласовывать бюджеты и государственные программы министерств и ведомств разных уровней, моделировать и прогнозировать социально-экономическое развитие как отдельных регионов, так и всей России в целом. "Сейчас наше государство захватила пандемия стратегирования, - посетовал на пресс-конференции Александр Пискунов, аудитор Счетной палаты. - Нам приходится согласовывать стратегии, подготовленные различными ведомствами". При этом Счетной палате приходится преодолевать "ведомственный сепаратизм" и координировать государственные программы и национальные проекты.

Дальнейшее развитие ИТКС связано с ее интеграцией в другие информационные системы. В частности, в первую очередь планируется подключиться к системе ГАС "Управление", которая создана для обеспечения работы по приоритетным национальным проектам. Кроме того, ведомство собирается интегрировать свою ИТКС с информационными системами региональных счетных палат и автоматизированной информационной системой Федерального казначейства. Наряду с наращиванием числа источников получения информации Счетная палата планирует осуществить переход к терминальным системам доступа и использованию новых аналитических методов, которые объединены термином "анализ текстов".

Надежность информационной системы – залог непрерывной работы предприятия. При этом ее обеспечение не должно ложиться слишком тяжелым грузом на бюджет. Проблеме оптимизации расходов на обслуживание информационной системы была посвящена конференция "Оптимизация ИТ-инфраструктуры как неотъемлемая часть эффективного управления бизнесом", которую компании CA и IDC провели 15 октября.

Основной критерий, по которому определяются проблемы с поддержкой ИТ, сформулировала Елена Семеновская, руководитель программ исследования программного обеспечения российского офиса IDC: "Если на оперативные нужды ИТ-отдел тратит больше 80% своего бюджета, то это говорит о неэффективной организации ИТ-сервисов". По мнению Семеновской, оптимальным соотношением является следующее: 70% бюджета ИТ компания тратит на оперативные нужды и 30% - на инновационное развитие инфраструктуры. При этом в состав оперативных расходов включены зарплата сотрудникам, амортизация оборудования и ПО, расходы на аутсорсинг и на телекоммуникационные сервисы. Самая большая часть оперативных затрат, как правило, идет на зарплату персоналу ИТ-отдела. Снизить же эти затраты можно, оптимизируя количество обслуживающего персонала и их квалификацию, но сохраняя качество обслуживания на приемлемом уровне.

Обе указанные цели можно достигнуть с помощью автоматизации работы ИТ-отдела и обслуживания компьютерного парка и сети. Для этого у CA есть несколько программных продуктов. В частности, для автоматизации управления сетевыми устройствами предназначен продукт CA Spectrum, для общего управления информационной системой компания предлагает решение CA Unicenter NSM, работу же сервисной службы можно автоматизировать с помощью CA Service Desk. Правда, все эти продукты были созданы различными группами разработчиков, купленных в свое время компанией CA, и клиентам приходилось их интегрировать самостоятельно.

Сейчас компания начала решать проблемы интеграции своих продуктов. В последней их версии, выпущенной в начале октября, есть штатные средства интеграции Spectrum и Service Desk. Такая интеграция предполагает, что Spectrum передает в Service Desk информацию об обнаруженных неполадках в оборудовании и даже в некоторых случаях может подсказать направление их устранения. Из Service Desk система мониторинга Spectrum получает информацию о возникающих у пользователя проблемах.

Подобное решение, в частности, работает в Минэкономразвития РФ (его интеграцией занималась компания "Тауэр-Сети"). Основным продуктом в системе министерства является Service Desk, интегрированный с Unicenter NSM и Spectrum, которые контролируют свои части информационной системы. В результате всей информационной системой управляют 37 человек плюс еще 15 "аутсорсинговых" специалистов. Это при том, что министерство имеет четыре здания в Москве, представительства во всех федеральных округах и еще несколько десятков зарубежных представительств. Сеть построена на оборудовании Cisco и объединяет порядка 200 серверов.

"Самое сложное - вовремя определить потребность в оборудовании, - считает Андрей Гриненко, референт отдела информационных технологий Минэкономразвития. - У нас очень длительный цикл закупки, и нужно заранее предсказать проблемы и доказать их в финансовом департаменте".

По заверениям Гриненко, после внедрения CA Service Desk и CA Spectrum служба техподдержки министерства заранее узнает о возникающих у пользователей проблемах, что позволяет оперативно их решать.

Компания Kerio была создана в 1997 году в чешском городе Пльзень. Ее основные продукты - почтовый сервер Kerio MailServer и межсетевой экран WinRoute Firewall. В апреле этого года компания открыла представительство в Москве и, как заверил Скотт Шрайман, президент и генеральный директор Kerio Technologies, собирается вкладывать все заработанные в нашей стране деньги в развитие локального бизнеса. На Россию, впрочем, и сейчас приходится около 20% оборота компании, составляющего "немногим более" 15 млн долл.

Kerio компания частная. Она принадлежит трем совладельцам - из Чехии, Великобритании и США, имеет офисы в пяти странах: Чехии, Великобритании, США, России и Германии. Любопытно, что только в России офис располагается в столице.

Что касается продуктов Kerio, то разработчики сделали ставку на надежность, устойчивость и безопасность базовых функций. Эти продукты рассчитаны на небольшие компании - от пяти до 500 рабочих мест. Тем не менее в продуктах есть все необходимое для защиты от вирусов и спама - антивирус McAfee и спам-фильтр на основе Spam Assasin. В дополнение к этому можно установить модуль проверки на вирусы еще шести производителей: Avast, AVG, eTrust, NOD32, Sophos, Symantec. К тому же MailServer поддерживает синхронизацию с мобильными устройствами, в том числе со смартфонами Symbian S60, BlackBerry и iPhone. Доступ к корпоративной почте можно также получить и через Web-интерфейс по протоколу HTTPS.

Межсетевой экран WinRoute Firewall предоставляет все необходимые инструменты для защиты небольших компаний или филиалов крупных компаний. В частности, он может работать в корпоративной VPN-системе, а также сам обеспечивает подключение к защищаемой сети по технологии SSL-VPN. Также WinRoute обеспечивает проверку трафика на наличие вирусов или передачи мультимедийной информации. С целью контроля посещения Web-сайтов компания предлагает дополнительный модуль для WinRoute Firewall, который называется Orange Web Filter. Этот модуль лицензирован у компании IBM ISS. В новой версии 6.5, которая вышла в начале сентября, реализована интеллектуальная балансировка нагрузки между несколькими линиями связи. Причем можно выделить одно подключение для критического трафика, такого как IP-телефония.

В России Kerio планирует заняться активным развитием партнерской сети - до недавнего времени компания в России развивалась, фактически не имея собственной инфраструктуры. 65% продаж приносит межсетевой экран, хотя во всем мире ключевым продуктом является почтовый сервер. Сейчас у компании шесть дистрибьюторов и около тысячи партнеров. Kerio собирается заняться их сертификаций, для чего в конце лета создала систему обучения специалистов. Сертифицированный партнер должен иметь по крайней мере одного сертифицированного специалиста. Предполагается еще и более высокий уровень партнерства, который будет связан с определенным обязательствами и оборотами, однако пока таких компаний в России нет.

"Возможно, к концу года у нас появится один или два крупных партнера", - отметил глава московского офиса компании Максим Акимов.

Компания "Актив", специализирующаяся на выпуске аппаратных средств защиты от копирования, перешла на использование в своих USB-ключах процессоров LPC2000 компании NXP Semiconductors. Об этом было объявлено 1 октября в рамках выставки SofТool 2008.

Новые процессоры являются 32-разрядными с системой команд ARM7, их производительность - 60 MIPS. Они станут основой для двух новых модификаций ключа Guardant Stealth III, которые получили название Sign и Time. Первый имеет встроенные механизмы работы с электронной подписью, второй - дополнительно встроенный таймер. Новая элементная база оказалась не намного дороже используемых в Stealth III 8-разрядных контроллеров. Так, модель Sign лишь на 30 руб. дороже - это при том, что контроллер LPC2000 имеет систему защиты от взлома без вскрытия микросхемы. Новые ключи поступят в продажу в конце октября.

Переход на другую аппаратную платформу позволил разработчикам значительно расширить функционал своей продукции. В частности, они встроили в новые ключи криптографическую хеш-функцию Hash64, алгоритмы шифрования AES и GSII64, а также асимметричный алгоритм на основе эллиптических кривых стандарта ECC160. (Последний набор примитивов, который позволяет организовать работу с электронными подписями, и дал название ключу.) В Stealth III Sign и Time также появился программный генератор случайных чисел на счетчиках и с использованием шифрования.

Реализовано шифрование трафика по USB-шине и прямая аутентификация ключа из приложения. Это позволило упростить драйвер ключа, а в некоторых случаях даже использовать стандартный драйвер USB, встроенный в операционную систему. Побочный эффект нововведений - возможность блокировки терминального доступа к приложению: защитное устройство сохраняет только один сеансовый ключ шифрования, и вторая копия приложения просто не подключится к устройству.

Ключ Time, кроме нового контроллера, имеет встроенный таймер с автономным питанием. Этот ключ предназначен для ограничения доступа к приложению по времени. Такой ключ будет полезен для организации аренды приложения или выдачи временных разрешений на использование определенных функций приложения. Впрочем, во всех версиях ключей есть счетчики, которые также позволяют ограничить количество запусков приложения, что можно использовать в том числе и для ограничения по времени. В частности, эти счетчики используются в генераторе автозащиты, если нужно ограничить время работы приложения с ключом без поддержки времени. В этом случае наложенная автозащита генерирует равномерные по времени обращения к ключу, а блокировка приложения выполняется по количеству таких обращений (однако это уже не календарное время, но время "чистой" работы приложения).

Одновременно с выпуском новых ключей в "Активе" обновили и Guardant API. В нем появилась поддержка новых функций, некоторые из них будут работать и со старыми версиями ключей - эмуляцию нового функционала будет выполнять драйвер ключа. Добавлена аутентификация приложений, шифрование трафика общения с ключом, поддержка симметричного и асимметричного алгоритмов шифрования и таймеры. Соответствующие изменения появились и в процедурах наложения автозащиты как для бинарного кода, так и для приложений .Net. Кроме того, полная поддержка ключей реализована для операционных систем Linux и Windows CE. Для платформы Linux обеспечивается работа ключа для приложений, работающих в среде виртуализации wine.

Руководители "Актив" рассказали также о планах по развитию продуктов Stealth на новой аппаратной платформе. Так, до конца года компания рассчитывает выпустить ключи Stealth III Code, которые позволят исполнять часть кода приложения на процессоре ключа. Код должен быть написан в системе команд ARM7, но будет загружен в ключ только при условии подписания сертификатом производителя программного продукта или самого "Актива". В дальнейшем планируется выпустить и сетевые версии ключей Stealth Net III Sign и Time, которые позволят защитить распределенные приложения.

В этом году компании "Рестек" и Reed Exhibitions проводят выставки InfoSecurity, Documation и Storage Expo с 7 по 9 октября. Организованы они при поддержке аппарата Совета безопасности РФ, Росинформтехнологий, ФСТЭК, ФСБ, Ассоциации защиты информации и ряда других структур. Во всех выставках примет участие около 140 компаний из восьми стран, которые разместятся на площади в 2,5 тыс. кв. метров. Центральной выставкой является InfoSecurity, поскольку и на Documation, и на Storage Expo в том или ином виде будут обсуждаться проблемы информационной безопасности.

Организаторы особое внимание уделяют конференциям, которые связаны с выставками. Так, в рамках InfoSecurity пройдет конференция под названием "Информационная безопасность: международный опыт плюс российская практика". "Мы старались сделать программу конференции такой, чтобы максимально учесть мнение потребителей", - объяснил принципы составления программы Михаил Емельянников, директор по развитию бизнеса компании "Информзащита" и председатель программного комитета InfoSecurity. В частности, в этом году будет продолжена работа секции конференции, которая называется "Информационная безопасность от А до Я. Тем, кто начинает", она предназначена для ИТ-директоров, которые только начали заниматься вопросами информационной безопасности. "Начинающих 'безопасников' с каждым годом все больше и больше, - отметил Емельянников, - и секция для них традиционно собирает все больше слушателей".

Из нововведений в этом году на конференции будет презентация "Львы и гладиаторы". Мероприятие, включающее в себя конкурс новых продуктов, было разработано на английской выставке InfoSecurity Europe, а в России пройдет в этом году впервые. В рамках этого шоу представитель компании производителя должен за четыре минуты убедить семь экспертов в области информационной безопасности купить его продукт. Эксперты оценивают выступление по принципу "куплю/не куплю". За рубежом подобные презентации являются довольно популярными.

Характерной особенностью современной ситуации является пробуждение интереса к безопасности, документообороту и системам хранения среднего бизнеса. Его проблемам будут посвящены выступления конференции "От делопроизводства и управления жизненным циклом документов до управления бизнес-процессами и социальными сетями", которая связана с выставкой Documation. Проблемы создания хранилищ документов будут обсуждаться и на выставке Storage Expo. Правда, там речь пойдет о технологических аспектах создания защищенных корпоративных хранилищ информации.