|
Статья Article |
|
|
Разработка программно-аппаратных средств защиты информации в среде Windows
Онух Д.О.
Компьютеры, которые выполняют услуги CA, могут быть приоритеными целями для нападения злоумышленников, которые злонамеренно хотят нарушить сетевые услуги или поставить под угрозу защиту сети и информационных систем. Если злоумышленники могут получить несанкционированный доступ к CA серверу или воспользоваться слабым местом в защите сервера, они могут получить доступ к ценным сетевым ресурсам и поставить под угрозу защиту, воздействуя на части цепочки доверия выдачи сертификатов. Поэтому, вы должны обеспечить более высокую защиту для CA серверов, чем для обычных серверов. Риск нападений на ваш CAS зависит от многих факторов, в том числе, как безопасны ваши сети, от выгоды, которую приобретют в случае успешного нападения, и от затрат на попытки сломать сервер. Если CA внутри вашей системы сетевой защиты и использует внутреннюю сеть для стандартных деловых целей, риск нападения, возможно, может быть низкий. Однако, если CA за пределами вашей системы сетевой защиты и использует внешнюю сеть, риск нападения, возможно, может быть высоким. Если CA поставлен под угрозу, возможен значительный ущерб для вашей организации. Повреждения и стоимость поставленного под угрозу CA включают следующее:
Поставленный под угрозу корневой CA - стоит гораздо больше, чем поставленное под угрозу промежуточное звено CA или, выходной CA. Вы можете развертывать множественную CA иерархию, чтобы уменьшить потери от поставленного под угрозу CA вашей организации. Меры защиты CA для серверов могут включать следующее:
Выбор мер защиты CA приводит к оценке затрат на осуществление и поддержание мер защиты против рисков потенциального нападения на CA и потенциальные затраты CA от нападения. Обеспечьте наибольшую защиту для корневого CAS, и обеспечьте большую защиту для промежуточного CAS, чем для выходящего CAS. Например, ваша организация решает защитить большое количество чрезвычайно ценной и конфиденциального информации, используя общие решения ключевой защиты. Вы также решаете приобрести дорогие технические средства CA устройств для корневого CAS и размещаете корневой CAS, для максимальной защиты, в вашей штаб-квартире в специализированном сейфе. Вы уполномочиваете доступ к корневому CAS для доверенных администраторов таким образом, что они могут удостоверить промежуточный CAS для каждого из ваших деловых модулей. Промежуточные CAS - автономные CAS на Windows 2000, которые отсоединяются от сети и поддерживаются в закрытых центрах данных администратором для каждого делового модуля. Промежуточные CAS используются, чтобы удостоверить выходящий Windows 2000 CAS по мере необходимости, чтобы соответствовать потребностям свидетельств каждого делового модуля. Алгоритм защиты вашей организации распределения ресурсов включает строгие процедуры и контроль для запроса, авторизации, и реализации корневых CAS, промежуточных CAS, и выходящих CAS. Однако, если вы используете в организации общие решения ключевой защиты, чтобы защитить информацию с относительно низкой ценностью, вы, возможно, решили бы развертывать автономный Windows 2000 корневой CAS, который блокируется в центре данных, вместо дорогого основанного на технических средствах CAS, размещаемый в специализированном сейфе. Вы, возможно, позволили бы деловым модулям поддерживать промежуточный CAS и выходящий CAS за пределами центров данных. Вы также, возможно, разместили бы меньшие ограничения на запрос, авторизацию, и реализацию CAS.
Вы можете развертывать в Windows 2000 Сертификационные Службы, используя Microsoft Base CSPs,
для обеспечения защиты CA, которая соответствует широкому диапазону потребностей. Однако,
когда вам нужно обеспечить самую высокую защиту для CAS,
рассматривается использование аппаратных средств CAS.
Для более конкретной информации об основных аппаратных криптографических решениях, которые работают
на Windows 2000 серверах, контактируйте с соответствующими продавцами аппаратного
обеспечения.
|
|
|