Разнообразные средства защиты периметра сети, такие как брандмауэры и системы обнаружения вторжений, способны весьма надежно защитить корпоративные данные от посягательств извне, однако они бессильны против злого умысла или даже простой халатности сотрудников самой организации. Например, конфиденциальные данные могут попасть в чужие руки вместе с выброшенными на свалку старыми дисковыми накопителями, с которых их поленились или забыли стереть. Еще большую опасность могут представлять нелояльные ИТ-специалисты, обеспечить защиту от злонамеренных действий которых в силу их служебного положения и квалификации намного сложнее, чем от аналогичных действий обычных пользователей.
Одним из весьма эффективных способов защиты информации на самих носителях является ее шифрование: даже если данные и попадут в чужие руки, расшифровать их, не имея ключа, смогут разве что “самые компетентные органы”, имеющие в своем распоряжении огромные вычислительные ресурсы (и даже при этом условии время расшифровки вполне может выйти за все разумные пределы). Поэтому не вызывает удивления, что на рынке представлены разнообразные средства шифрования содержимого дисков.
К подобным системам относится и ПО Zserver 5.0 компании SecurIT, прошедшее ознакомительное тестирование в редакции PC Week/RE. Это решение шифрует на лету всю информацию, расположенную в разделах жестких дисков, причем его применение никак не сказывается на использовании других программных продуктов. Среди особенностей системы можно отметить следующие:
— хранение ключей доступа на различных носителях, включая обычные дисковые файлы (в том числе защищенные паролями), съемные носители (флэш-диски, дискеты и т. п.) и смарт-карты;
— возможность защиты информации с помощью составных ключей, части которых хранятся отдельно друг от друга; доступ к данным становится возможным после загрузки так называемого кворума ключей (например, можно создать четыре ключа с открытием доступа по любым двум из них);
— управление работой Zserver как с локального компьютера, так и в дистанционном режиме (связь осуществляется по сетям TCP/IP, в частности через Интернет, при этом весь трафик автоматически шифруется);
— возможность подачи сигнала тревоги, блокирующего доступ к информации, с помощью специальной кнопки или программы (как с локального, так и с удаленных компьютеров);
— поддержка MS Cluster Services;
— управление доступом к общим ресурсам, расположенным на зашифрованном разделе сервера;
— поддержка вызова сценариев при открытии и закрытии доступа к зашифрованным разделам, появлении сигнала тревоги и т. п.;
— использование различных алгоритмов шифрования, в том числе ГОСТ 28147--89;
— шифрование данных на различных устройствах архивного хранения — стримерах, CD- и DVD-приводах.
Системные требования Zserver по нынешним меркам чрезвычайно скромны: 128 Мб памяти и любой процессор начиная с Pentium. Серверная часть (сам модуль шифрования) работает с ОС Windows 2000 SP4 или Windows Server 2003 SP1, консоль управления и модуль тревожной сигнализации могут функционировать на Windows 2000 SP4 и любых более поздних версиях этой ОС. В комплект поставки помимо основного ПО входят лицензионный ключ защиты для USB-порта, устройство для работы со смарт-картами ACR ACS-30U, две смарт-карты ACOS1 и “красная кнопка” для подачи сигнала тревоги, подключаемая к COM-порту (последнее обстоятельство не позволяет использовать ее в некоторых современных компьютерах, лишенных таких портов), а также руководство администратора и краткая инструкция по установке модуля работы со смарт-картами. Следует отметить, что аппаратный лицензионный ключ служит не только для проверки легальности используемой системы, но и для хранения ее конфигурации.
Тестирование Zserver проводилось на весьма старой машине — двухпроцессорном сервере на базе системной платы TYAN Tiger i7505, на которой были установлены два процессора Intel Xeon с частотой 3,06 ГГц и оперативная память DDR 2100 объемом 2,5 Гб, работающая в двухканальном режиме. Операционная система и прочее ПО были установлены на жестком диске Samsung HD401LJ емкостью 400 Гб, подключенном по интерфейсу SATA (сам диск поддерживает SATA II, однако старая системная плата располагает лишь обычным контроллером SATA); зашифрован был подключенный к интерфейсу ATA (режим UDMA 133) жесткий диск Maxtor 6Y160P0 емкостью 160 Гб. Использование для тестирования второго накопителя объясняется в первую очередь тем, что Zserver не позволяет шифровать основной раздел, с которого производится загрузка ОС, что можно рассматривать и как достоинство, и как недостаток этого решения.
Установка основного ПО не вызвала никаких затруднений, не потребовались и какие-либо специальные знания, т. е. систему может подготовить к работе обычный квалифицированный пользователь (чему в немалой степени способствует руководство администратора, написанное довольно подробно и весьма грамотным русским языком — этими качествами, увы, может похвастаться не всякая документация). А вот с модулем смарт-карт поработать по-настоящему так и не удалось: хотя драйверы “железа” установились корректно, а входящая в комплект ПО утилита правильно идентифицировала смарт-карты, консоль управления Zserver почему-то упорно не хотела их “видеть”. Возможно, причина тут кроется в массе самых разнообразных программ, установленных в тестируемой системе: организовать проверку на абсолютно “чистой” машине не было технической возможности. Поэтому для дальнейшей работы пришлось ограничиться сохранением ключей доступа на внешних носителях (были сгенерированы четыре разных ключа при кворуме для доступа в два ключа; для их хранения использованы две “флэшки” и два гибких диска). При генерации ключей поддерживается несколько источников поступления случайной информации, в том числе перемещение мыши и время поступления пакетов из локальной сети; какие именно источники должны использоваться для генерации, выбирает пользователь, осуществляющий создание ключа.
Предварительное шифрование диска заняло почти 4,5 часа (к моменту начала операции он был заполнен на 80%), причем в это время компьютер весьма интенсивно использовался и для других целей: шифрованию больше всего мешали непрерывное проигрывание музыки (файлы располагались на зашифровываемом диске) и архивирование больших массивов информации (как на системном диске, так и на шифруемом). Как и обещали разработчики, процесс шифрования и последующего использования зашифрованного диска протекал совершенно прозрачно и не вызывал никаких ощутимых для пользователя задержек.
По окончании шифрования была проведена проверка скорости работы системы с зашифрованным диском, показавшая, что производительность уменьшилась незначительно. Так, копирование файла объемом более 26 Гб с незашифрованного диска на зашифрованный занимало от 585 до 588 секунд, а без шифрования — от 576 до 581 секунды. Однако разница в загрузке процессора оказалась очень значительной: если при копировании между незашифрованными дисками она колебалась от 3 до 18%, то перенос информации с незашифрованного диска на зашифрованный загружал процессоры не менее чем на 20%, типичная величина находилась в районе 35—40%, максимальная же доходила примерно до 60% (график нагрузки на ЦП приведен на рисунке; спад и пик нагрузки при копировании на зашифрованный диск приходятся на момент, когда закончилось первое копирование файла и началось повторное). Следует, однако, отметить, что такая высокая загрузка ЦП не отражалась на работе в текстовом редакторе и почти не ощущалась “на глаз” при компиляции крупного проекта.
Помимо основной функции — шифрования данных на лету — было проверено удаленное администрирование сервера (с ноутбука, подключенного по локальной сети), а также реакция компьютера на нажатие кнопки тревоги. Никаких проблем при этом не возникло. Так, при нажатии на “красную кнопку” сервер автоматически перезагрузился, и по окончании загрузки весь зашифрованный раздел оставался недоступным до тех пор, пока через консоль управления не были загружены два ключа. Иных способов загрузки ключей в системе не предусмотрено, что доставляет определенные неудобства: после каждой перезагрузки необходимо выполнять пусть и несложные, но все же ручные действия; однако этот механизм дает дополнительные гарантии безопасности, ведь после подачи сигнала тревоги злоумышленник гарантированно лишается доступа к информации, даже если физически сумеет завладеть сервером.
Расшифровка диска также не выявила каких-либо сложностей. Она заняла менее 3 ч 45 мин; меньшие затраты времени по сравнению с шифрованием объясняются тем, что на этот раз работали лишь проигрыватель музыки и “аська”, к которым периодически добавлялся текстовый редактор.
Подводя итог, можно сказать, что Zserver в тестовой эксплуатации показал себя простым и удобным средством, практически не снижающим производительность дисковой подсистемы. Тем не менее, предполагая его установку на реальный сервер, нужно принимать во внимание высокую нагрузку на процессор, которую это решение вполне способно создать. Для простого файл-сервера, не оборудованного большим количеством скоростных дисков и сетевых интерфейсов, это некритично, поскольку производительности любого более-менее современного кристалла вполне достаточно, чтобы не стать узким местом в такой системе, однако если машина должна выполнять какую-то дополнительную работу (например, если она выполняет роль сервера БД или приложений), этот фактор может стать существенным. И конечно же предварительно необходимо убедиться в работоспособности модуля поддержки смарт-карт; возможно, для этого потребуется консультация специалистов фирмы-разработчика.
