Установка апмдз на ноутбук

Обновлено: 15.01.2025

Аппаратно-программные модули доверенной загрузки обеспечивают контроль и разграничение доступа к ресурсам компьютера на основе строгой двухфакторной аутентификации, а также контроль целостности используемой программной среды. Их оснащение функциями управления серверами обеспечивает надежное и безопасное управление серверами в клиент-серверных архитектурах.

В настоящее время разработан ряд технологий, являющихся стандартами в области встроенных систем управления и обслуживания серверов, которые базируются на использовании интеллектуального интерфейса управления платформой (Intelligent Platform Management Interface, IPMI). Этот интерфейс предназначен для мониторинга и управления сервером. Спецификация IPMI была разработана в 1998 г. корпорацией Intel, и используется многими ведущими производителями компьютеров [1].

Интерфейс IPMI предназначен для автономного мониторинга и управления функциями, встроенными непосредственно в аппаратное и микропрограммное обеспечение серверных платформ. Этот интерфейс имеет, в частности, следующие возможности удаленного управления и контроля:

мониторинг ряда технических параметров сервера, включая температуру основных аппаратных блоков, напряжение и состояние источников питания, скорость вращения вентиляторов, наличие ошибок на системных шинах и т. д.;
включение/выключение и перезагрузка компьютера;
определение выходящих за пределы допустимых диапазонов и аномальных состояний и их фиксация для последующего исследования и предотвращения;
ряд других функций по управлению сервером.

Аппаратной составляющей IPMI является встроенный в платформу автономный контроллер управления материнской платой (Baseboard Management Controller, BMC), который работает независимо от центрального процессора, базовой системы ввода-вывода (BIOS) и операционной системы (ОС) компьютера, обеспечивая управление серверной платформой даже в тех случаях, когда сервер выключен (достаточно лишь подключения к источнику питания). Контроллер ВМС имеет собственный процессор, память и сетевой интерфейс.

Подробное описание структуры и принципа функционирования IPMI, а также функций контроллера ВМС на сервере, обеспечивающих контроль его состояния и управление, приведены, в частности, в [2]. Практика показывает, что использование для критичных информационных технологий зарубежной компьютерной техники, комплектующих и программного обеспечения (ПО), производители которых не дают полной информации о продукции, не гарантирует отсутствия в ней недекларируемых возможностей. Следовательно, не гарантируется требуемая степень защиты от несанкционированного доступа (НСД) к критичным компонентам информационно-вычислительных систем (ИВС) и их ресурсам.

Это может усугубляться недостаточно проработанными механизмами защиты. В частности, в IPMI-системах удаленного доступа проводится однофакторная аутентификация по паролю, в то время как при использовании отечественных устройств создания доверенной среды – аппаратно-программных модулей доверенной загрузки (АПМДЗ) при доступе к ИВС и ее компонентам применяется двухфакторная аутентификация, при которой помимо пароля требуется предъявить специальный аутентифицирующий носитель пользователя (АНП). Кроме того, в компьютерных системах на базе АПМДЗ создается доверенная среда за счет интеграции с данным модулем средств защиты информации, включая криптографические, в комплексную систему защиты ИВС.

Поскольку интерфейс IPMI, с одной стороны, предоставляет большие возможности по управлению сервером, а, с другой стороны, использует слабую однофакторную аутентификацию по паролю, можно утверждать, что этот интерфейс представляет потенциальную опасность атак на сервер (в т. ч. выключенный) через интернет, увеличивая вероятность несанкционированного доступа к его ресурсам.

Отметим также, что некоторые из экспертов по информационной безопасности обращают внимание на тот факт, что с помощью контроллера BMC через интерфейс IPMI можно удаленно полностью контролировать аппаратное и программное обеспечение серверов. Это дает злоумышленнику практически неограниченные возможности по несанкционированному воздействию на них в случае получения контроля над IPMI [3, 4, 5].

Этот факт подтверждает обоснованность требований отечественного регулятора по дополнительной защите серверов и автоматизированных рабочих мест (АРМ) ИВС с помощью АПМДЗ. АПМДЗ предназначены для контроля и разграничения доступа пользователей к компьютерам и его аппаратным ресурсам, контроля целостности установленной на компьютере программной среды, а также для выполнения ряда других защитных функций.

Примером АПМДЗ является разработанное ООО «Фирма «Анкад» семейство устройств «КРИПТОН-ЗАМОК». Эти устройства имеют следующие основные возможности:

идентификация и усиленная аутентификация пользователей до загрузки ОС компьютера;
аппаратная защита от загрузки ОС со сменных носителей;
контроль целостности программной среды;
разграничение доступа к ресурсам компьютера;
создание нескольких контуров защиты;
удаленное централизованное управление и администрирование;
работа с ключевыми носителями;
безопасное хранение собственного доверенного ПО на встроенной флэш-памяти;
возможность интеграции с аппаратными и программными средствами защиты информации.

АПМДЗ этого семейства выполнены не только в виде платы расширения, подключаемой к материнской плате компьютера [6], но и в виде набора микросхем, интегрированного непосредственно в материнскую плату [7]. Оснащение АПМДЗ семейства «КРИПТОН-ЗАМОК» рядом дополнительных аппаратных компонентов и программных модулей для удаленного управления серверами обеспечивает безопасное выполнение ряда функций, свойственных контроллеру BMC.

На основе такого варианта АПМДЗ можно разработать систему, в которую на верхнем уровне входят следующие два компонента (см. рис. 1):

управляемый сервер с устройством «КРИПТОН-ЗАМОК», включающим компоненты и модули удаленного управления серверами;
АРМ администратора, оснащенный классическим АПМДЗ семейства «КРИПТОН-ЗАМОК», но с установленными на уровне ОС программными модулями, взаимодействующими с модулями установленного на управляемый сервер устройства «КРИПТОН-ЗАМОК» и совместно с ними обеспечивающими строгую удаленную аутентификацию администраторов и удаленное управление сервером.

Опишем основные принципы функционирования предложенной системы удаленного управления сервером. На подготовительном этапе работы системы выполняются действия по ее установке и настройке, которые сводятся к следующим операциям:

На управляемый сервер устанавливается устройство АПМДЗ с функциями удаленного управления серверами (АПМДЗ-УС), включающее в себя (помимо обычного набора модулей базового АПМДЗ «КРИПТОН-ЗАМОК») следующие программные модули:
- модуль доверенного соединения (МДС);
- модуль удаленной многофакторной взаимной аутентификации (МУМВА);
- модуль удаленного управления (МУУ); модули МУМВА и МУУ выполняются в доверенной среде АПМДЗ-УС.
На АРМ администратора устанавливается классическое устройство АПМДЗ, в качестве которого, в частности, может использоваться одно из устройств семейства «КРИПТОН-ЗАМОК» [6–7].
На АРМ администратора загружаются программные модули, обеспечивающие взаимную аутентификацию управляемого сервера и АРМ, защищенный канал связи между ними и удаленное управление сервером: МУМВА, МДС и ПО администратора (ПОА). Устанавливаемый на АРМ администратора АПМДЗ осуществляет строгую аутентификацию пользователя на АРМ и его доверенную загрузку. Этот АПМДЗ также используется для контроля целостности программных компонентов АРМ, в частности, загружаемых на АРМ программных модулей МУМВА, МДС и ПОА.

Кроме того, АПМДЗ на АРМ администратора применяется для хранения перечисленных выше модулей МУМВС, МДС и ПОА в собственной энергонезависимой памяти и их загрузки в целевую операционную систему АРМ администратора. В штатном режиме работы система удаленного управления сервером обеспечивает выполнение следующей последовательности действий:

Выполняется двухфакторная взаимная аутентификация администратора на основе данных, считываемых с аутентифицирующего носителя администратора (АНА) на АРМ администратора, и данных, сохраненных на сервере во время регистрации администратора на предварительном этапе. Аутентификация осуществляется с помощью работающих на сервере и АРМ программных модулей МУМВА на основе данных, полученных в рамках предварительного выполнения локальной аутентификации администратора с использованием АПМДЗ АРМ администратора.
Модули доверенного соединения на стороне сервера и АРМ администратора формируют защищенный канал связи между сервером и АРМ администратора. Этот канал организуется на базе технологии виртуальных частных сетей (VPN), что позволяет инкапсулировать в защищенный канал трафик различных протоколов, включая используемые в рамках взаимодействия по интерфейсу IPMI.
С помощью модуля МУУ организуется передача управляющей информации между АРМ администратора и управляемым сервером.
Процесс администрирования сервера осуществляется с помощью ПОА, работающего в операционной системе АРМ администратора.

При необходимости управляемый сервер и АРМ администратора можно оснастить устройствами «КРИПТОН AncNet» [8]. Эти устройства представляют собой криптографические сетевые адаптеры, выполняющие проходное шифрование передаваемых данных. С помощью устройств «КРИПТОН AncNet» можно создать альтернативный криптографически защищенный канал для передачи данных между сервером и АРМ администратора.

Для выполнения целого ряда дополнительных функций, обеспечивающих удаленное управление серверами, устройство АПМДЗ-УС претерпело значительные изменения по сравнению с базовым АПМДЗ. Схема устройства АПМДЗ-УС приведена на рисунке 2.

Рис. 2. Схема устройства АПМДЗ-УС

Устройство состоит из двух основных функциональных блоков на общей плате:

блока АПМДЗ, логически объединяющего основные функции, которые присущи аппаратно-программным модулям доверенной загрузки;
блока управления ресурсами, включающего в себя дополнительные функции, включая функции удаленного управления серверами.

Блок АПМДЗ включает в себя следующие компоненты:

модуль контроля целостности;
модуль диагностики состояния компонентов устройства;
модуль контроля критичных интервалов времени при процедуре запуска и загрузки компьютера;
модуль настройки устройства;
модуль идентификации модели материнской платы компьютера;
датчик случайных чисел.

Для взаимодействия с внешними СЗИ применяются следующие модули:

модуль загрузки ключевой информации в средства криптографической защиты информации (СКЗИ), включая абонентские или проходные шифраторы (в т. ч. упомянутый выше криптографический сетевой адаптер «КРИПТОН AncNet», которым оснащается управляемый сервер);

модуль взаимодействия с установленной на компьютере системой разграничения доступа;
модуль обеспечения сквозной аутентификации в операционной системе компьютера;
модуль поддержки взаимодействия с серверами для проведения централизованного администрирования;
модуль настройки устройства АПМДЗ-УС для подключения к нему дополнительных устройств.

Все модули взаимодействия с внешними СЗИ являются опциональными. Их наличие необходимо только в случае подключения к устройству или установки в его операционной системе соответствующих СЗИ.

Программное обеспечение доверенной среды включает в себя следующие программные модули:

ПО проверки целостности программно-контролируемых объектов и диалога с оператором;
ПО удаленного управления устройством;
доверенную ОС.

Второй из основных блоков устройства АПМДЗ-УС – блок управления ресурсами – включает в себя следующие модули:

модуль доверенного соединения;
модуль удаленного управления;
модуль удаленной многофакторной взаимной аутентификации, предназначенный для удаленной аутентификации пользователя (администратора) на управляемом сервере;
модуль, реализующий сетевой интерфейс Ethernet.

МДС представляет собой VPN-сервер, участвующий в формировании защищенного канала связи наряду с МДС в составе АРМ администратора.

Как уже упоминалось, сервер и АРМ администратора могут оснащаться устройствами «КРИПТОН AncNet», формирующими альтернативный криптографически защищенный канал для передачи данных. В этом случае сервер и АРМ администратора связаны двумя защищенными каналами, используемыми следующим образом:

канал связи с программной защитой сетевого трафика, сформированный модулями МДС на основе VPN-соединений, используется в рамках удаленного управления сервером;
канал связи с аппаратным проходным шифрованием сетевого трафика, сформированный устройствами «КРИПТОН AncNet», используется для передачи информации (например, содержимого файлов, хранящихся на управляемом сервере) в рамках информационного обмена между сервером и АРМ администратора.

МУУ отвечает за обмен данными между сервером и АРМ администратора в рамках удаленного управления. Для выполнения основных функций АПМДЗ и функций удаленного управления серверами устройство АПМДЗ-УС имеет следующие внешние интерфейсы:

интерфейсы связи с компьютером – PCI, PCI Express (PCIe), USB и т. д.;
интерфейс управления питанием компьютера и его блокировки, в качестве которого может использоваться любой проводной интерфейс;
интерфейсы для удаленного управления сервером: serial-over-IP, KVMover-IP, эмуляции USB-устройств и передачи информации с датчиков состояний сервера через интернет;
сетевой интерфейс Ethernet, на основе которого строится канал взаимодействия с АРМ;
интерфейс связи с АНП (АНА), конкретный тип которого зависит от типа аутентифицирующего носителя;
межмодульный интерфейс взаимодействия с устройством «КРИПТОН AncNet» и другие интерфейсы для взаимодействия с внешними СЗИ, конкретные типы которых зависят от используемых СЗИ: например, межмодульный интерфейс (для загрузки ключей шифрования в аппаратные шифраторы), USB host (используемый также для подключения внешних устройств, в частности, считывателей смарт-карт или USB-идентификаторов), асинхронный последовательный интерфейс UART, например RS‑232 и т. д.

Разъемы этих интерфейсов могут быть выполнены не только на плате самого устройства АПМДЗ-УС, но и вынесены на материнскую плату компьютера с целью минимизации габаритов устройства.

В качестве АНП или АНА могут использоваться электронные таблетки типа Touch Memory, смарт-карты разных типов, USB-идентификаторы и носители, карты памяти и т. д. Теоретически возможно использование биометрических признаков пользователей в качестве дополнительных факторов аутентификации. Следовательно, применяемый считыватель должен соответствовать типу используемого носителя:

разъем для электронных таблеток типа Touch Memory;
интерфейс USB для USB-идентификаторов и носителей;
контактный или бесконтактный интерфейс для смарт-карт (в т. ч. интерфейс ближнего поля – NFC);
считыватель биометрических признаков и т. д.

Устройство АПМДЗ-УС может содержать подмножество из перечисленных выше блоков и программных модулей в зависимости от следующих факторов:

используемых в конкретной ИВС технологий;
реализуемых устройством функций защиты;
конкретного набора используемых внешних СЗИ.

Таким образом, выглядит возможным и перспективным использование созданного на базе устройства «КРИПТОН-ЗАМОК» устройства АПМДЗ-УС, сочетающего в себе функции, присущие аппаратно-программным модулям доверенной загрузки (защита от несанкционированного доступа, строгая аутентификация пользователей, контроль целостности программных модулей и формирование доверенной операционной среды), и функции по удаленному управлению серверами по защищенному каналу связи между управляемым сервером и АРМ администратора.

Основными особенностями функционирования компьютерной системы удаленного управления серверами на основе этого устройства являются:

обеспечение надежной защиты ИВС и ее компонентов (сервера, АРМ администратора) на основе отечественных доверенных криптографических средств;
проведение удаленной двухфакторной взаимной аутентификации;
реализация удаленного управления серверами по защищенному прозрачно шифруемому каналу, обеспечивающему прохождение трафика с любыми стандартными протоколами при использовании разных платформ, физических средств передачи и обработки информации.

Устройством «КРИПТОН-ЗАМОК» гарантируется доверенная среда, обеспечивающая повышение эффективности защиты компьютера от несанкционированных действий на всех этапах его работы, а также удаленное администрирование и удаленную аутентификацию в компьютерных сетях с разными протоколами передачи данных и платформами. Благодаря широкой функциональности, а также выполнению наиболее критичных операций непосредственно в устройстве создания доверенной среды и осуществлению удаленного управления устройство «КРИПТОН-ЗАМОК» с функциями удаленного управления серверами сохранило достоинства взятого за основу АПМДЗ, а именно: способность выполнять системообразующие функции, возможность построения комплексной системы для эффективной защиты компьютера и ИВС в целом. В то же время, это устройство обеспечивает удаленное администрирование и управление серверами при реализации надежной двухфакторной взаимной аутентификации, что повышает эффективность защиты и управления функционированием компьютерной сети.

Устройством «КРИПТОН-ЗАМОК» с функциями удаленного управления серверами целесообразно оснащать серверы для специальных применений, где предъявляются повышенные требования к обеспечению информационной безопасности ИВС.

Авторы считают, что в этой работе новыми являются следующие результаты:

Предложены принципы создания систем удаленного управления серверами по криптографически защищенному каналу с использованием механизмов строгой аутентификации пользователей, осуществляющих удаленное управление.
Разработана функциональная схема устройства АПМДЗ-УС, совмещающего в себе основные функции, которые присущи аппаратно-программным модулям доверенной загрузки (например, идентификация и аутентификация пользователей, организация доверенной среды исполнения, контроль целостности программных модулей, контроль доступа к ресурсам защищаемого компьютера), и возможности по удаленному управлению серверами по защищенному каналу связи.
Разработаны макетные образцы устройства АПМДЗ-УС и системы удаленного управления серверами.

В настоящий момент описанные выше технические решения (система удаленного управления серверами по криптографически защищенному каналу и устройство АПМДЗ-УС) находятся на этапе патентования [9–10].

В документе приведены основные функции и особенности настройки комплекса СЗИ НСД «Аккорд-АМДЗ», работающего на основе контроллеров:

– Аккорд-5МХ, Аккорд-5.5, Аккорд-5.5.е, Аккорд-5.5МР, Аккорд-5.5МЕ, Аккорд-LE, Аккорд-GX, Аккорд-GXM, Аккорд-GXMH, Аккорд-GXM2 (для СЗИ НСД «Аккорд-АМДЗ», выпускаемого по ТУ 4012-006-11443195-97);

– Аккорд-5.5, Аккорд-5.5е, Аккорд-5.5МР, Аккорд-5.5МЕ (для СЗИ НСД «Аккорд-АМДЗ» версии 3.2, выпускаемого по ТУ 4012-006-11443195-2005);

– Аккорд-GX, Аккорд-GXMH, Аккорд-GXM2 (для СЗИ НСД «Аккорд-АМДЗ», выпускаемого по ТУ 4012-054-11443195-2013);

– Аккорд-GX, Аккорд-GXMH, Аккорд-GXM, Аккорд-GXМ2 (для СЗИ НСД «Аккорд-АМДЗ», выпускаемых по ТУ 26.20.40.140-079-37222406-2019).

Перед установкой и эксплуатацией комплекса СЗИ НСД «Аккорд-АМДЗ» необходимо внимательно ознакомиться с комплектом эксплуатационной документации на комплекс, а также принять необходимые защитные организационные меры, рекомендуемые в документации.

Применение защитных средств комплекса должно дополняться общими мерами технической безопасности.

СОДЕРЖАНИЕ

1. ОБЩИЕ СВЕДЕНИЯ О КОМПЛЕКСЕ
1.1. Назначение СЗИ НСД «Аккорд-АМДЗ»
1.2. Состав комплекса
1.2.1. Общие сведения о составе комплекса
1.2.2. Контроллеры «Аккорд»
1.3. Поддерживаемые устройства
1.3.1. Идентификаторы
1.3.2. Съемники информации
2. УСТАНОВКА КОМПЛЕКСА «АККОРД-АМДЗ»
2.1. Порядок установки и настройки
2.2. Установка платы контроллера
2.3. Подсоединение контактного устройства (съемника информации)
2.4. Установка параметров учетной записи «Гл. Администратор»
3. ОБНОВЛЕНИЕ ВСТРОЕННОГО ПО КОНТРОЛЛЕРОВ
4. СНЯТИЕ СРЕДСТВ ЗАЩИТЫ КОМПЛЕКСА «АККОРД»
5. РАБОТА КОМПЛЕКСА «АККОРД-АМДЗ» В СОСТАВЕ ПАК СЗИ НСД «АККОРД»
5.1. Общие сведения
5.2. Установка драйвера для «Аккорд-АМДЗ»
5.3. Установка и настройка СПО
6. СНЯТИЕ СРЕДСТВ ЗАЩИТЫ КОМПЛЕКСА «АККОРД-АМДЗ»
7. ТЕХНИЧЕСКАЯ ПОДДЕРЖКА
ПРИЛОЖЕНИЕ А. Трудности при установке комплекса и методы их преодоления

Под доверенной загрузкой принято понимать реализацию загрузки операционной системы с определенного носителя (например, внутреннего жесткого диска защищаемого компьютера). Загрузка с других носителей должна блокироваться. Причем она происходит только после выполнения идентификации и аутентификации пользователя, а также проверки целостности программного и аппаратного обеспечения компьютера. Тем самым обеспечивается защита компьютера от НСД на важнейшей фазе его функционирования – этапе загрузки операционной системы.

Основные сведения о МДЗ

Модуль доверенной загрузки представляет собой комплекс аппаратно-программных средств (плата, аппаратные средства идентификации и аутентификации, программное обеспечение для поддерживаемых операционных систем), устанавливаемый на рабочее место вычислительной системы (персональный компьютер, сервер, ноутбук, специализированный компьютер и др.). Для примера на рисунке представлен базовый комплект поставки МДЗ "Программно-аппаратный комплекс "Соболь". Версия 3.0" для шины PCI Express.

Программно-аппаратный комплекс "Соболь" для шины PCI Express

Для установки МДЗ требуется свободный разъем материнской платы (для современных компьютеров – стандарты PCI, PCI-X, PCI Express, mini-PCI, mini-PCI Express) и незначительный объем памяти жесткого диска защищаемого компьютера.

Модули доверенной загрузки обеспечивают выполнение следующих основных функций. В первую очередь, это идентификация и аутентификация пользователей до загрузки операционной системы с помощью персональных электронных идентификаторов (USB-ключи, смарт-карты, идентификаторы iButton и др.), а также контроль целостности программного и аппаратного обеспечения компьютера до загрузки операционной системы. Затем - блокировка несанкционированной загрузки операционной системы с внешних съемных носителей, функционирование сторожевого таймера, позволяющего блокировать работу компьютера при условии, что после его включения и по истечении определенного времени управление не было передано плате МДЗ и контроль работоспособности основных компонентов МДЗ (энергонезависимой памяти, идентификаторов, датчика случайных чисел и др.). И наконец, регистрация действий пользователей и совместная работа с внешними приложениями (датчики случайных чисел, средства идентификации и аутентификации, программные средства защиты информации и др.).

При первичной настройке (инициализации) МДЗ осуществляется регистрация администратора модуля, которому в дальнейшем предоставляются права регистрировать и удалять учетные записи пользователей, управлять параметрами работы модуля, просматривать журнал событий и управлять списком объектов, целостность которых должна контролироваться до загрузки операционной системы. В случае появления нарушений при проверке целостности объектов возможность работы на компьютере для обычных пользователей блокируется. В некоторых МДЗ реализована поддержка возможности удаленного управления параметрами работы.

Российский рынок МДЗ и тенденции его развития

Родоначальником отечественных МДЗ является Особое конструкторское бюро систем автоматизированного проектирования (ОКБ САПР), разработавшее модуль доверенной загрузки "Аккорд-АМДЗ". Первый сертификат соответствия Гостехкомиссии России компания получила в декабре 1994 года. В 1999 году в стенах НИП "Информзащита" был создан первый МДЗ – "Электронный замок "Соболь", впоследствии получивший название "Программно-аппаратный комплекс "Соболь". В 2010 году было продано почти 25 тыс. МДЗ семейства "Соболь".

На российском рынке информационной безопасности можно встретить следующие изделия: программно-аппаратные комплексы (ПАК) семейства "Соболь" разработки "Код Безопасности", входящего в группу компаний "Информзащита"; ПАК средств защиты информации от несанкционированного доступа (СЗИ НСД) семейства "Аккорд-АМДЗ" – ОКБ САПР; АПМДЗ семейства "Криптон-Замок" – фирмы "Анкад"; АПМДЗ "Максим" – "НПО "РусБИТех"; АПМДЗ семейства "Цезарь" – Всероссийского НИИ автоматизации управления в непромышленной сфере им. В. В. Соломатина; аппаратный модуль Diamond ACS HW в составе средства контроля и разграничения доступа Diamond ACS – "ТСС".

Холдинг «Росэлектроника» госкорпорации «Ростех» поставил в Вооруженные силы РФ первую партию защищённых ноутбуков.

Ноутбуки выпускаются с диагональю экрана 15 или 17 дюймов и имеют время автономной работы не менее четырёх часов. Они работают на отечественной операционной системе МСВС (Мобильная Система Вооруженных Сил) на базе Astra Linux.

Как сказано в пресс-релизе, портативные компьютеры предназначены «для автоматизации сбора и обработки данных, решения расчётно-аналитических и оперативных задач в ходе войсковых операций». Специализированное программное обеспечение позволяет использовать их для «подготовки и проведения войсковых операций, повышения оперативности управления войсками и обеспечения устойчивой передачи голосовой и видеоинформации в полевых условиях».

Ноутбуки изготовлены в фрезерованном цельнометаллическом корпусе из дюраля. Для дополнительной защиты могут комплектоваться вибропоглощающей платформой и герметичным пластиковым кейсом.

Машины устойчивы к вибрации, ударам, атмосферным осадкам, погружению в воду, запылённости и сохраняют работоспособность при температуре от −40°С до +50°С. Клавиатура и мышь тоже защищённые.

Технические характеристики ноутбука не разглашаются. В корпоративной газете «Связист» (№ 3/2019, стр. 3) упоминалось, что серийное производство персональных ЭВМ ведётся на заводе «Луч» в городе Осташков (Тверская область). Завод входит в концерн «Созвездие» холдинга «Росэлектроника» госкорпорации «Ростех».

На сайте завода «Луч» есть описание ПЭВМ СТ-К17КС со следующими характеристиками:

Процессор	Intel Core i7-6820EQ
Чипсет	QM170
Видеокарта	Intel HD Graphics 530
Жёсткий диск	256 ГБ
АПМДЗ	Соболь
Ethernet	10/100/100 1xPPC5 [примечание: возможно, в документации имеется в виду 10/100/1000]
СОМ1, СОМ2	DB9
LPT	1xPPC5-19-1-1
Видеовыход	1xDVD [примечание: возможно, имеется в виду DVI]
Экран	17"
Разрешение экрана	1920x1080 px
Функционирование под управлением	MCBC 3.0 вариант 12 изменение 4, Astra Linux 1.4 1.5
Условия эксплуатации	Группы 1.3, 1.4.1, 1.10 ГОСТ РВ 20.39.304

Завод производит также ПЭВМ СТ-К17СП (HDD 480 ГБ) и ПЭВМ СТ-К15КС (дисплей 15,6") на тех же процессорах и той же версии ОС.

Отдельно стоит сказать об операционной системе МСВС (Мобильная Система Вооруженных Сил).

Это защищённая многопользовательская многозадачная ОС с разделением времени, разработанная ВНИИНС на основе дистрибутива Red Hat Linux и отвечающая требованиям международных стандартов POSIX.

Как сказано в описании МСВС 3.0 от 2001 года, операционная система обеспечивает многоуровневую систему приоритетов с вытесняющей многозадачностью, виртуальную организацию памяти и сетевую поддержку; работает с многопроцессорными (SMP – symmetrical multiprocessing) и кластерными конфигурациями на платформах Intel, MIPS и SPARC.

Для неё сделаны «значительные доработки по части интерфейса пользователя и администратора системы, а также по русификации системы». Это «универсальное инструментальное средство для управления техническими средствами и задачами. Многопользовательская многозадачная ОС может быть использована как в качестве базового ПО сервера, так и в качестве ОС графической рабочей станции». Область возможных приложений:

в автоматизированных системах управления производством;
в автоматизированных системах управления технологическим процессом;
в информационных системах;
в системах массового обслуживания;
в системах сбора и анализа информации;
в многопользовательских системах.

«Файловая система МСВС 3.0 поддерживает имена файлов длинной до 256 символов с возможностью создания русскоязычных имен файлов и каталогов, символьные ссылки, систему квот и списки прав доступа. В состав МСВС 3.0 входит графическая система на основе X Window. Для работы в графической среде поставляются два оконных менеджера: IceWM и KDE». Несколько лет назад вышла МСВС 5.0, но на ноутбуки для армии ставится именно старая версия МСВС 3.0 (см. технические характеристики).

Постороннему лицу легально получить экземпляр МСВС не так просто. На сайте ВНИИНС указан особый порядок закупки МСВС и запрещено нерегламентированное копирование БИЗКТ (Базовые Информационные Защищённые Компьютерные Технологии). С другой стороны, если не соблюдать регламент Вооружённых сил, то копию можно просто скачать с «Рутрекера»:

МСВС (Мобильная система Вооружённых Сил) 3.0r14 [i586] (1xCD) 3.x, 689,2 МБ; год выпуска: 2016; системные требования: i386 (x86), amd64 (x86-64), armel, armhf.

В комплект БИЗКС входит набор защищённых программ:

Судя по всему, все защищённые российские программы сделаны на основе свободного программного обеспечения: «Сегодня развитие и использование российских информационных технологий, построенных, в том числе, на базе свободного программного обеспечения, является одним из приоритетных направлений государственной политики, — сказано на сайте института. — Но ещё 15 лет назад специалисты ВНИИНС пришли к выводу о необходимости создания отечественной программной продукции с использованием СПО, что позволяет максимально использовать мировой опыт создания ПО при соблюдении российских стандартов и требований по защите и безопасности информации».

Кроме того, в концерне «Созвездие» ведутся и другие уникальные разработки. Например, в той же корпоративной газете «Связист» за март 2019 года описан «аппаратный ускоритель, способный увеличивать производительность сервера в 5-10 раз». Новое устройство позволит гибко и «на лету» модифицировать правила обработки сетевых данных и добавлять новые функции безопасности без замены оборудования. Разработка ведется совместно с бойцами научной роты военного технополиса «Эра». Опытный образец «будет создан в течение двух лет, после чего аппаратура пройдёт тестирование и испытания: «У данной разработки большой потенциал, поскольку в свободной продаже аналогичных устройств не представлено», — пишет газета.

Армейские ноутбуки оснащаются аппаратно-программным модулем доверенной загрузки «Соболь» (АПМДЗ «Соболь»).

Программно-аппаратный комплекс «Соболь» для шины PCI Express, источник

Модуль доверенной загрузки представляет собой комплекс аппаратно-программных средств (плата, аппаратные средства идентификации и аутентификации, программное обеспечение для поддерживаемых операционных систем), устанавливаемый на рабочее место вычислительной системы (персональный компьютер, сервер, ноутбук, специализированный компьютер и др.).

Модули доверенной загрузки обеспечивают выполнение следующих основных функций. В первую очередь, это идентификация и аутентификация пользователей до загрузки операционной системы с помощью персональных электронных идентификаторов (USB-ключи, смарт-карты, идентификаторы iButton и др.), а также контроль целостности программного и аппаратного обеспечения компьютера до загрузки операционной системы. Затем — блокировка несанкционированной загрузки операционной системы с внешних съёмных носителей, функционирование сторожевого таймера, позволяющего блокировать работу компьютера при условии, что после его включения и по истечении определённого времени управление не было передано плате МДЗ и контроль работоспособности основных компонентов МДЗ (энергонезависимой памяти, идентификаторов, датчика случайных чисел и др.). И наконец, регистрация действий пользователей и совместная работа с внешними приложениями (датчики случайных чисел, средства идентификации и аутентификации, программные средства защиты информации и др.).

По желанию заказчика ноутбуки могут оснащаться модулем GPS-ГЛОНАСС. При отсутствии необходимости обработки информации, содержащей сведения, составляющие гостайну, в ноутбук могут быть установлены модули Wi-Fi, Bluetooth и модем 3G-LTE.

«Первая партия защищённых портативных компьютеров была изготовлена для Министерства обороны в соответствии с тактико-техническими требованиями заказчика, — рассказал генеральный директор концерна «Созвездие» Алексей Бочаров. — Наши производственные мощности позволяют по запросу менять комплектацию выпускаемых ноутбуков, так что мы готовы предложить компьютеры и другим силовым структурам для применения в полевых условиях».

ПАК Соболь 3 — это электронный замок. Представляет собой плату, которая вставляется в сервер или рабочую станцию. Безопасность — нашё всё. Ставится сей продукт не по желанию админа, а если есть такие требования. Производитель: ООО "Код Безопасности".

Поставим на сервер HPE Proliant DL360 Gen10.

Ссылки

Зачем нужен

Защита информации от несанкционированного доступа.
Контроль целостности компонентов ИС.
Запрет загрузки ОС с внешних носителей.
Защита конфиденциальной информации и гостайны в соответствии с требованиями нормативных документов.
Повышение класса защиты СКЗИ.

Преимущества

Тут я списал с листовки, добавив свои комментарии.

Контроль целостности системного реестра Windows, аппаратной конфигурации компьютера и файлов до загрузки ОС.
Усиленная (чем усиленная? - масло масляное) двухфакторная аутентификация с помощью современных персональных электронных идентификаторов (если считать ключ от домофона современным электронным идентификатором).
Простота установки, настройки и администрирования.
Возможность программной инициализации без вскрытия системного блока.
Аппаратный датчик случайных чисел, соответствующий требованиям ФСБ.

Возможности

Принцип работы

Модельный ряд

PCI Express 57x80
Mini PCI Express
Mini PCI Express Half Size
M.2 A-E

Размышления админа

При получении злоумышленником полного доступа к удалённой консоли сервера данный электронный замок не поможет. Достаточно переключиться в режим загрузки UEFI и Соболь не пашет - двухфакторка превращается в тыкву. Вроде бы у Соболя 4-й версии появилась возможность работы в UEFI, не смотрел что там.

Обратил внимание на фразу "Простота администрирования". Просто? Да, не сложно. Удобно? Нифига не удобно. Перезагрузился сервер — езжай в ЦОД. Нет нормальных средств удалённой двухфакторной аутентификации.

Контроль целостности реестра — сомнительная штука. Да, контролирует. Винда обновилась — поездка в ЦОД. Винду вообще небезопасно оставлять без обновлений, а Соболь этим обновлениям мешает.

Случайная перезагрузка в результате сбоя ПО — поездка в ЦОД. Да, есть способы не ездить в ЦОД, но тогда смысл двухфакторки теряется. Ну, или сервер под столом держать.

Комплектация

Внешний вид

Одна сторона. На плате есть джамперы, они нам потом понадобятся. Джамперы в плоскости платы не влияют на работу, влияют только те, что стоят перпендикулярно плоскости платы. Один джампер J0 установлен - видимо, Соболь уже стоял где-то. По идее он должен определить, что изменилась аппаратная часть и не дать работать, проверим это при установке.

Читайте также: