Человек, привыкший к удобству современных интерфейсов смартфонов и планшетов, желает пользоваться ими и на работе, что породило в корпоративном сегменте, с одной стороны, внешнюю тенденцию к BYOD (Bring Your Own Device), а с другой — внутреннюю мобилизацию, инициированную уже непосредственно самим бизнесом. В свою очередь это, наряду с другими сферами, вызвало и рост популярности мобильных приложений для удаленной работы с системами электронного документооборота (СЭД). Однако переход к мобильной работе требует решения ряда специфических проблем, особенно в области обеспечения безопасности.

По данным Cisco IBSG, уже в 2012 году 55% корпоративных сотрудников в России использовали различные мобильные приложения в своей работе, что сравнимо с европейским уровнем (58% в Великобритании, 52% во Франции и 50% в Германии), хотя и ниже уровня США (67%). По данным Центра корпоративной мобильности “АйТи”, основным побудительным мотивом мобилизации сотрудников является повышение продуктивности их работы (76% опрошенных), а также возможность создания новых бизнес-процессов для повышения конкурентоспособности организации в целом (45%). Так, по данным МТС, мобильный доступ к СЭД стал одной из наиболее важных сфер использования планшетов и смартфонов в корпоративной среде наряду с доступом к корпоративной почте, интранету и средствам для совместной работы. Из других характерных примеров использования мобильных приложений можно назвать просмотр на планшете карточки пациента в больнице, согласование инженерных отчетов на удаленных участках газовых и нефтяных месторождений, поддержку работы торговых представителей, согласование договоров между риелторами и т. д.

Интересно также, что по данным Центра корпоративной мобильности “АйТи”, примерно половину всех корпоративных планшетов и смартфонов сегодня покупают сами сотрудники и приносят с собой на работу (BYOD). Не удивительно, что Apple iPad благодаря удобству и богатству экосистемы занимает примерно половину нынешнего корпоративного рынка планшетов. В IDC прогнозируют, что такое положение дел сохранится и в 2017 году.

Популярность Apple iPad среди корпоративных пользователей имеет и еще одну, более вескую причину. Большинство ИТ-директоров подтверждает, что несмотря на более низкую стоимость планшетов и смартфонов на ОС Android, наименьший показатель ТCО (Total Cost of Ownership, совокупная стоимость владения) достигается именно при использовании устройств на iOS, прежде всего за счет более низких расходов на обеспечение безопасности. Не секрет, что более открытая и массово распространенная ОС Android сегодня является основной целью атак различных зловредов. Так, по данным Kaspersky Security Network 2013 года, на ОС Android приходилось 98% всех образцов вредоносного ПО, созданных для мобильных устройств. При этом, по данным Dr.Web, Россия являлась страной номер один в мире по количеству зафиксированного вредоносного ПО для Android.

Однако вирусные атаки — далеко не всё, с чем сталкиваются сегодня специалисты по информационной безопасности. Фактическое отсутствие вирусной угрозы при работе с устройствами на Apple iOS не избавляет “безопасников” от необходимости защищать информационный периметр организации, который сегодня все больше размывается. Одной из главных угроз при этом становится возможность компрометации и искажения данных при сетевом обмене с удаленными устройствами. В iOS отсутствует возможность использования российских СКЗИ (средств криптографической защиты информации) на уровне системных служб, а штатный VPN-клиент, как и другие, загружаемые из App Store и построенные на основе зарубежных алгоритмов, не отвечает российским стандартам. Выходом из такого положения является реализация коммуникационного слоя на уровне отдельных iOS-приложений, и на рынке уже имеются готовые библиотеки под iOS, сертифицированные ФСБ России.

Вторую ключевую угрозу представляет несанкционированный доступ к данным в памяти самого мобильного устройства. Часто корпоративные системы кэшируют данные последнего сеанса связи с сервером, которые сохраняются в памяти устройства и нуждаются в защите. Делается это криптографической “контейнеризацией” либо всего устройства (однако лишь с использованием штатного VPN-клиента Apple или из App Store, опять же с западной криптографией), либо на локальном уровне, когда шифруется контейнер с данными в пределах приложения, что больше соответствует нашим реалиям. Использование одного ключа шифрования для нескольких бизнес-приложений дает возможность обмена информацией между ними без риска утечек. Однако возникает вероятность компрометации самих ключей шифрования. Существуют два способа их размещения: либо в памяти самого устройства (удобно, но непрактично из-за риска потери устройства и склонности пользователей к подбору простых PIN-кодов), либо на внешнем носителе, что более надежно. Так, российские вендоры уже предлагают соответствующие считыватели для смарт-карт — к примеру, “Алладин Р.Д.”, чей продукт будет рассмотрен ниже.

Третьей угрозой безопасности при мобильном доступе является утечка информации по второстепенным или неочевидным каналам. Это могут быть скриншоты, копирование в буфер обмена, функция “открыть в” (Open In) или включенный режим автоматической подстановки слов. Во всех этих случаях либо изображение, либо весь файл покидает криптографический контур исходного приложения или появляется возможность быстрого подбора пароля. Подобные “дыры” в безопасности можно устранить, разрешив сотрудникам копирование и вставку лишь между защищенными бизнес-приложениями.

Четвертая возможная угроза — нарушение целостности данных и программного кода, как правило, вследствие так называемой операции jailbreak, или взлома ОС. Полный контроль за этим из самого приложения невозможен, но при обнаружении факта взлома можно автоматически удалять ключи шифрования и все накопленные защищенными приложениями данные.

Наконец, угрозы безопасности могут возникать на этапе интеграции мобильных устройств в корпоративную среду. Однако специализированные приложения корпоративного класса делают все возможное для бесшовной интеграции с сервисами и системами безопасности (доменная схема аутентификации, встраивание в PKI-среду и т. д.).

Но даже закрыв все вопросы на уровне приложений и инфраструктуры, специалисты сталкиваются с рядом специфических проблем, характерных для доступа мобильных приложений к корпоративным системам через Интернет. В этом случае соединение устанавливается через множество узлов, не являющихся доверенными и надёжными для обеих сторон обмена. На этих узлах помимо прочего может осуществляться: а) подмена клиента (собрав достаточную статистику трафика обмена, промежуточный узел может обратиться к серверу, выдав себя за доверенное клиентское устройство); б) подмена сервера (промежуточный узел выдает себя за доверенный сервер для доступа к данным аутентификации пользователя и его рабочим материалам или перенаправляет информацию на подставной сервер). Как правило, средством противодействия таким угрозам является скрытие содержимого трафика обмена от промежуточных узлов (шифрование, надёжная взаимная аутентификация обеих сторон).

Вместе с тем две следующие угрозы не направлены на компрометацию пользователя системы, его мобильного устройства и данных, но препятствуют выполнению его рабочей деятельности, что в условиях использования мобильных решений руководством также может быть весьма опасно. К такого рода угрозам относятся: в) злонамеренный или возникший вследствие технического сбоя отказ в обслуживании, когда владелец мобильного устройства не получает/не передает актуальную информацию (лечится использованием надёжных каналов, их дублированием, защитой от DDOS-атак); г) рассинхронизация времени мобильных устройств и корпоративного сервера вследствие территориальной удаленности (устраняется путём использования единого источника времени для всех компонентов корпоративной системы, в том числе удаленных).

На рынке уже начали появляться защищенные решения, максимально учитывающие все угрозы безопасности, обозначенные выше. Одним из них является внешний карт-ридер для Apple iPad/iPhone со смарт-картами, разработанный компанией “Алладин Р.Д.”. Роль СКЗИ здесь выполняют смарт-карты — в них вшита собственная операционная система, которую и сертифицирует ФСБ. Ридеры и смарт-карты “Алладина Р.Д.” для безопасной работы с Apple iPad/iPhone сегодня используются в банковской сфере и при работе с электронными госуслугами. Что же касается СЭД, то интеграцию такого аппаратного решения в свои продукты провела лишь компания “Электронные Офисные Системы” (ЭОС). В итоге сегодня приложение iEOS2, мобильное автоматизированное рабочее место (АРМ) для работы с СЭД на Apple iPad/iPhone, позволяет обеспечить безопасную работу сразу по всем направлениям: подписание документов усиленной квалифицированной электронной подписью (самым защищенным типом ЭП), проверка сертификатов, шифрование, аутентификация, защита канала в соответствии с ГОСТ.

В то же время помимо iEOS2 линейка мобильных решений ЭОС включает в себя также “АРМ Руководителя” для Windows 7 и “АРМ Руководителя” для Windows 8, где для обеспечения безопасности используется система криптографического обеспечения КАРМА собственной разработки, позволяющая работать практически с любыми отечественными и зарубежными криптопровайдерами.

СПЕЦПРОЕКТ КОМПАНИИ ЭОС