Комментарии 16
круг компьютеров, на которых его можно использовать
USB уже научился достоверной аутентификации, а не только Vendor ID / Class / Serial? Если нет - то это тривиально эмулируется.
Софт хранится в памяти устройства, удалить или перезаписать его нельзя.
Угу, наш софт настолько идеален что совершенен и не никогда не будет обновляться. Trusted computing - не, не слышали, только защита через write-once, никаких полумер
Спасибо за проявленный интерес. Конечно, из краткого информационного сообщения не все можно было понять, так что источник вопросов ясен.
На них мы постарались ответить, отдельно на каждую ветку, так что есть повторы, так как многие вопросы повторялись.
Даем более подробное описание, и ответим на новые вопросы.
Изделие уже купили более 100 компаний. Сертифицировано по требованиям безопасности регулятором.
Пишите, если есть желание поближе познакомиться с решениями по технической защите информации, а, возможно, и поработать над ними.
«Секрет» определяет, разрешенный ли компьютер, а не компьютер определяет, разрешенный ли «Секрет». Компьютер характеризуется совершенно другими параметрами. «Секрет Особого Назначения» аутентифицирует компьютер по совокупности 5 признаков: серийный номер СДЗ («Аккорд», «Соболь»); серийный номер материнской платы компьютера; серийный номер дистрибутива ОС; идентификатор домена Active Directory; идентификатор РС в домене (имя компьютера).
Эмулировать всю совокупность теоретически возможно, хоть и не просто, однако, для этого злоумышленнику нужно знать искомые параметры, а взять их неоткуда – параметры разрешенных компьютеров никому, кроме администратора «Секрета» не демонстрируются. Доступа к ним нет в том числе и у легального пользователя.
Ясно. По сути USB-хаб с одним устройством по умолчанию (возможно представляющимся USB-Serial), автоматический запуск и передача идентифицирующих данных "драйвером" (а по сути любым в общем то софтом) через эту линию, и при совпадении с ожидаемым там же на хабе появляется второе устройство (USB mass storage)? В такой схеме выглядит достаточно работоспособным.
Эмулировать всю совокупность теоретически возможно, хоть и не просто, однако, для этого злоумышленнику нужно знать искомые параметры
А вот это звучит намного хуже. Получить эти параметры может любой пользователь "разрешенного компьютера". Использование сертификатов и связки открытого/закрытого ключа в сочетании с аппаратным токеном выглядит более сильным решением, но это ваш выбор.
Будет обновляться (и обновляется) по защищенной процедуре, все в порядке.
При этом, пользователь может задавать и редактировать перечень “разрешенных” компьютеров и выполнять другие действия, связанные с предоставлением доступа. Сценарий использования носителя администратором предполагает только чтение и запись данных.
Логично было бы наоборот
будет выполнен исключительно из отечественных комплектующих
А что, в России научились производить флеш-память?
А что, в России научились производить флеш-память?
Вопрос некорректный. Флеш-память у нас производят давно. Но емкость микросхем не та (до 2Мбайт из того что смог нагуглить).
А вот про чипы большой ёмкости (хотя бы на гигабайт) ничего сходу не нагуглилось. Но в новостях год-полтора назад мелькало, что в Калининграде строят (или построили) завод по производству флеш-памяти. Но производится ли там сейчас что - неизвестно.
Да, нет уверенности, что микросхемы флеш-памяти большой емкости будут в скором времени производиться в России. Ждем этого уже 30 лет, и придется ждать еще. Но архитектура «Секрета» такова, что использование импортных схем памяти не влияет на безопасность. Главное, что есть доступный отечественный микроконтроллер, и контролируемый софт для него.
Так и есть, допущена ошибка в описании.
Очередная «Bolgen OS», на этот раз из «VeraCrypt»?
В «Секрете» так называемое «шифрование» (маскирование, вообще говоря) является дополнительной функцией, на случай признания идеи «украдут и выпаяют микросхему памяти» актуальной угрозой.
Основная функция «Секрета» заключается в то, что он не примонтируется ни на каком компьютере, кроме явно разрешенных.
Да, именно администратор «Секрета» (а не администратор компьютера!) может (и должен) определять, какие компьютеры он разрешает. Администратор компьютера не может на это повлиять.
флешки можно использовать в защищенной системе компьютеров, из которой нельзя внести/вынести посторонние данные. К примеру, в рамках локальной сети предприятия.
Так в рамках локальной сети предприятия документооборот обеспечивается сотрудниками Спецсвязи. Неужели защищаемые распечатки документооборота планируется переносить на защищённые флэшки?
Локальная сеть – это про взаимодействие на цифровом уровне, сотрудники Спецсвязи и распечатки – на аналоговом. Невозможно представить себе, как сотрудники Спецсвязи носят распечатки «в рамках» локальной сети.
По существу же – «Секрет» предназначен для решения тех задач, которые в организациях есть, а не тех, которых нет. То, что передается в распечатках, а не на флешках, никак не пострадает при краже, потере, отъеме или покупке флешки у мотивированного инсайдера. «Секрет» предназначен заменить не сотрудников Спецсвязи, а незащищенные флешки, на которых в организацию приносятся вирусы, а из организации выносятся полезные для конкурентов файлы.
Цифровой страж: в МФТИ создали флешку с защитой нового поколения