Компания «Аладдин Р.Д.» анонсировала новую разработку — USB-токен JaCarta U2F. Продукт создан на основе спецификаций альянса FIDO (Fast IDentity Online). Состав альянса весьма представительный — это и технологические компании (NXP, ARM, Infineon, Samsung, RSA, Blackberry, Google, Microsoft), и провайдеры интернет-сервисов (Google, AliExpress Group, Microsoft, Alibaba), и финансовые структуры (Bank of America, Goldman Sachs, MasterCard, Visa, PayPal, AliPay). Цель альянса — разработка стандартов строгой аутентификации для доступа к онлайн-ресурсам без использования паролей.

К настоящему времени альянс предложил два протокола. Первый, UAF (Universal Authentication Framework), предназначен для создания систем строгой аутентификации, в которых для доступа к устройству используются биометрические или иные данные пользователя, а для доступа к информационному ресурсу используются данные, сохраненные в этом устройстве. Второй протокол, U2F (Universal 2nd Factor), описывает усиление парольной аутентификации за счет использования физического устройства.

Представляя новую разработку своей компании, Сергей Груздев, генеральный директор «Аладдин Р.Д.», отметил, что у каждого из нас есть множество аккаунтов на веб-ресурсах, а потому необходимо или помнить большое количество паролей (с риском их забыть), или пользоваться одним и тем же для многих сайтов (что небезопасно). Заводить средства аппаратной идентификации для каждого ресурса тоже не выход, поскольку ходить со связкой токенов некомфортно, и, опять же, если ее потерять, то последствия будут крайне неприятными.

U2F-токен может использоваться с любыми устройствами, с которыми работают USB-носители Источник: «Аладдин Р.Д.»

Именно поэтому в FIDO, как сообщил Груздев, приняли естественное решение — создать открытый U2F-протокол, который позволит одним токеном «открывать» практически любое число интернет-ресурсов. При этом токен, что существенно, может быть куплен у любого производителя, главное, чтобы он поддерживал протокол U2F.

Для того чтобы самостоятельно зарегистрировать свой U2F-токен на сайте, поддерживающем протокол (все сервисы Google, сервис для разработчиков GitHub, платформа для создания веб-сайтов WordPress, сетевой диск Dropbox и ряд других ресурсов) пользователь, после регистрации по паролю, в личном кабинете должен, при вставленном в USB-порте токене, выставить «галочку» в соответствующем чекбоксе, а после запроса сервера – нажать кнопку на токене. Затем при входе на данный сайт, после ввода пароля (который становится вспомогательным средством и может быть сокращен до минимальной длины, разрешенной конкретным ресурсом), необходимо опять просто вставить токен и нажать кнопку на нем. Токен генерирует ключевую пару, связанную с данным сервисом, открытый ключ передается на сервер, закрытый — хранится в токене.

В дальнейшем при входе на данный сайт сервером формируется дополнительный запрос, содержащий идентификатор веб-ресурса и идентификатор ключевой пары на токене.

Браузер, в который встроена поддержка U2F (пока что это современные версии Google Chrome, но на подходе и продукты других производителей), посылает запрос на аутентификацию на токен. Последний выбирает нужную ключевую пару, подписывает запрос и отправляет его браузеру, а тот — ресурсу для проверки. Наконец сайт, проверив подпись под запросом, предоставляет доступ. Пользователь в ходе этого процесса подтверждает свое присутствие нажатием кнопки на корпусе токена.

В «Аладдин Р.Д.» много внимания уделили конструкции токена — оптимальности размеров, расположению кнопки подтверждения, обеспечению устойчивости к статическому электричеству Источник: «Аладдин Р.Д.»

Для пользователя вышеописанный процесс выглядит гораздо проще: вставил токен, по требованию — нажал на кнопку.

Важность физического действия, по словам Груздева, заключается в том, что удаленно его нажатие имитировать невозможно, а значит, сервер может быть уверен, что запрос на аутентификацию подает владелец токена, а не злоумышленник. Более того, с этой же целью время от времени сервер может просить подтвердить владельца токена его, владельца, присутствие, для чего необходимо опять-таки нажать на кнопку.

На один токен могут быть записаны сотни ключевых пар, поэтому пользователям теоретически не придется носить с собой множество устройств. На практике, конечно, банк вполне может отказаться принимать токен, выпущенный кем-то еще.

Для защиты токенов JaCarta от взлома и копирования используется чип, прошедший сертификацию EMVCo, в нем хранится счетчик аутентификаций, значение с него передается при аутентификации на сервер, при несовпадении количеств входа токен блокируется.

Стоить токен от «Аладдин Р.Д.» будет около тысячи рублей. К достоинствам разработки своей компании Груздев отнес, кроме защищенности от взлома, продуманность конструкции — отсутствие выступающих металлических деталей предотвращает пробой статическим электричеством, расположение кнопки таково, что при нажатии на нее не будет расшатываться USB-порт компьютера. К этому нужно прибавить российское происхождение продукта: популярные токены компании Yubico, по словам Груздева, в России исчезли после введения санкций.

Кроме собственно базовой модели JaCarta U2F планируется выпускать и более сложные варианты, например токены с генератором одноразовых паролей, для работы с электронной подписью или сочетающие все перечисленные технологии.

Всего в 2016 году, как надеются в «Аладдин Р.Д.», будет продан примерно миллион U2F-токенов компании.

В «старых» операционных системах, например Windows 7, как отметил Андрей Бешков, руководитель программ безопасности Microsoft в Центральной и Восточной Европе, странах СНГ, зловредный код мог внедриться в загрузчик операционной системы и, запустившись ранее самой ОС и средств безопасности, оставался недосягаем для этих средств. UEFI (Unified Extensible Firmware Interface — «унифицированный расширяемый интерфейс прошивки»), сменивший BIOS, допускает запуск только подписанных должным сертификатом загрузчиков ОС, загрузчик проверяет сигнатуры запускаемых компонентов и в случае нахождения каких-либо ошибок компоненты восстанавливаются. Аналогично, защищаются и другие этапы загрузки. Также в ходе этого процесса производится замер всех без исключения (а не некоторых, как ранее) компонентов, результаты передаются в специализированную микросхему TPM (Trusted Platform Module — «доверенный модуль»).

Во время работы компьютера критические процесы Windows будут защищаться средствами виртуализации в контейнере Hyper-V. Внедриться в них вредоносному коду будет практически невозможно.

Поведение программ будет контролировать DeviceGuard, позволяющий запускать только доверенные приложения, подписанное ключами выдаваемыми Microsoft.

Одна из самых уязвимых программ компьютера — браузер, через него приходит до половины всех «неприятностей». Microsoft предлагает вместо Internet Explorer использовать принципиально новую разработку — Edge, который будет быстро обновляться, развертываться из Windows Store, обеспечивать изоляцию выполняемых приложений. Internet Explorer пока останется для корпоративного применения, но в Microsoft надеются, что и в этой сфере Edge со временем восторжествует.

Большинство менеджеров старшего звена, согласно данным опроса Microsoft, пользуется личной электронной почтой для служебных нужд, а 58% из них случайно отправляли важную информацию не тому адресату, которому хотели. Для предотвращения утечек Microsoft предлагает технологию Enterprise Data Protection, которая защищает корпоративную информацию от ошибочных действий самого пользователя и несанкционированных операций с ней пользователей неавторизованных.

А наиболее впечатляющие новшества, пожалуй, обещаны для защиты самого слабого звена любой системы — пользователя, склонного терять и разглашать пароли, использовать один пароль на десятке сайтов, от корпоративных до развлекательных. Система аутентификации Windows Hello готова принять в качестве доказательства не только отпечаток пальца или глаз, но и лицо в целом. Система при этом будет фиксировать посредством специальных камер (которые, как надеются в Microsoft, станут неотъемлемой частью многих устройств) не только общий трехмерный вид лица по реперным точкам, но и его положение и даже температуру.

Александр Чигвинцев: «Существующие технологии неэффективны против APT, с опасностью может справиться RSA Security Analytics»

Год от года фокус технической политики специализирующейся на информационной безопасности компании RSA, входящей в корпорацию EMC, смещается. В 2011-м главное внимание было нацелено на обеспечение безопасности в облаках, в прошлом году — на мобильные устройства, в нынешнем — на целенаправленные устойчивые угрозы (Advanced Persistent Threat, APT) и средства анализа Больших Данных. В январе в США и в начале февраля в Москве RSA представила новый продукт — платформу RSA Security Analytics, которой предстоит стать фундаментом для следующего поколения систем, рассчитанных на отражение атак класса APT. Такого рода вредоносные программы создаются профессиональными специалистами, имеющими серьезное финансирование, их цель состоит в нанесении ощутимых материальных потерь коммерческим предприятиям и госструктурам. И пока действенных средств защиты от таких угроз почти нет. Представлявший новинку директор по работе с партнерами Александр Чигвинцев привел печальную статистику, свидетельствующую о чрезвычайно низкой эффективности существующих средств обороны от APT. Например, по данным IDC, антивирусное ПО обнаруживает только 1% такого рода атак, а крупный американский провайдер Verizon считает и эту цифру слишком оптимистичной. Инструментарий RSA Security Analytics призван исправить существующее положение.

Новый продукт создан на базе технологии NetWitness, приобретенной RSA в 2011 году вместе с одноименной компанией. В нем она сочетается с уже имевшимися у RSA собственными технологиями, а именно с системой управления информацией о безопасности и текущих событиях (Security Information and Event Management, SIEM), криминалистическими средствами Network Forensics и аналитикой Больших Данных.

Компания NetWitness, название которой буквально переводится как «сетевой свидетель», была создана Амитом Яраном, одним из самых известных сетевых контрразведчиков: помимо опыта работы в коммерческих предприятиях он еще одно время возглавлял венчурную компанию In-Q-Tel, работающую на ЦРУ. NetWitness получила широкую известность в 2010 году, когда ей удалось раскрыть ботнет Kneber. Решающую роль тогда сыграла технология Visualize, позволяющая аналитику увидеть особенности сетевого трафика и выявить его аномалии.

RSA NetWitness мониторит сеть и помогает извлекать из трафика существенную информацию. Продукт состоит из трех основных частей: специализированных устройств Decoder и Concentrator, а также интерактивного приложения для расследований Investigator. Функции между компонентами распределены следующим образом: Decoder собирает сырые данные (журналы) и пересылает их в хранилище, Concentrator собирает, индексирует и пересылает в хранилище метаданные о пакетах и журналах. Investigator поддерживает работу аналитиков. Плюс к перечисленному в продукте Security Analytics есть возможность передачи в хранилище результатов распределенных запросов из других приложений. Интеграцию обеспечивает подсистема RSA Archer eGRC (enterprise Governance, Risk management, and Compliance). Совокупность применяемых решений, объединение технологий обработки Больших Данных со средствами обеспечения безопасности позволяет аналитикам учитывать бизнес-контекст, с тем чтобы расставить приоритеты и перераспределить ресурсы в борьбе с угрозами, представляющими наибольшую опасность, существенно повысив общий уровень защиты информации.

В настоящее время на организацию атак APT у злоумышленников затрачивается немало труда и времени, поэтому такие атаки относительно немногочисленны и их целями становятся исключительно крупные предприятия. Обычно таковые имеют собственный штат специалистов по информационной безопасности и готовы на серьезные инвестиции, они способны использовать RSA Security Analytics в его нынешнем виде. Однако в предвидении скорой и неизбежной «демократизации» APT, когда объектами нападения могут стать предприятия среднего или даже малого бизнеса, RSA планирует доступ ресурсам RSA Security Analytics в виде сервисов, предоставляемых провайдерами.