Разбор на критична грешка в алгоритъма на работа на шифроването КИБ SEARCHINFORM

Контролът на цялата информация, циркулираща в организацията, е една от основните задачи при практическото реализиране на организационно-распорядителни документи (политика за информационна безопасност и други вътрешни документи на по-ниски нива) на организацията.
Системите за предотвратяване на изтичане на конфиденциална информация от информационната система (Data Leak Prevention, DLP) в значителна степен могат да решат този проблем.

На съвременния пазар съществуват множество разновидности на такива системи, като: SearchInform DLP, Infowatch Traffic Monitor DLP, Zecurion DLP, Symantec DLP и други. Но днес тази статия ще бъде за продукта на компанията ООО «СёрчИнформ».

Контурът на информационната безопасност SearchInform (КИБ Сёрчинформ) е сериозен и гъвкаво настраиваем софтуерен комплекс, който с функционалността и широкия си аналитичен инструментариум създава сериозна конкуренция на другите компании в тази сфера. Но както и при всички продукти, КИБ Сёрчинформ има един недостатък, за който сега ще говорим.

Рисунок 1 – Логотип КИБ Сёрчинформ

В КИБ Сёрчинформ един от източниците на събиране на информация е агент (Windows/Linux). Агентът за ОС Windows, както и за ОС Linux, има модулна система за събиране на информация, която при необходимост може да се включва или изключва. Ще разгледаме модула Device (контрол на външни устройства, мрежови устройства, процеси и т.н.). Демо-версия на този продукт може да бъде получена официално през сайта на разработчика (с пълен функционал). По-нататъшните действия ще се реализират с получения лицензионен ключ — версия на програмата EndPointController 5.51.0.9 (версия на агента 5.51.0.9).

Основният проблем в работата на този модул е алгоритъмът за шифроване на информацията на външни сменяеми устройства. Нека разгледаме принципа на работа на алгоритъма за шифроване в КИБ Сёрчинформ.

Инсталираме агента на работната станция и задаваме контрол на външните устройства (модул Device) в раздела «Сетевое окружение» на EndPointController 5.51.0.9.

Рисунок 2 – Установка и включение модула

Извършваме конфигурация на шифроване в настройките на модула Device в раздела «Шифрование»: генерираме ключ и включваме шифроване за всички носители (възможно е включване на шифроване само за определени носители на информация).

Рисунок 3 – Настройка белого списка

Рисунок 4 – Конфигурация на шифриране

Сега преминаваме към разглеждането на алгоритъма за шифриране на файлове с този продукт. Копираме файловете "Install.exe" и "Основи на правото.rtf" от контролираната работна станция "WINOC" на външно сменяемо устройство "Сменяем диск (Е:)". Както се вижда на рисунка 5, в скритата папка "System Volume Information" бяха създадени обектите "Install.exe" и "Основи на правото.rtf". Така можем да заключим, че папката "System Volume Information" съдържа списък на шифрираните обекти на сменяемото устройство.

Рисунок 5 – папка "System Volume Information"

Рисунок 6 – Коренна папка на сменяемото устройство

Както е известно, съществуват три аспекта, върху които се изгражда информационната безопасност – целостта, достъпността и конфиденциалността. Тези аспекти са изложени на риск при използването на този подход на шифриране, тъй като системната информация за това дали обектът е шифриран или не, трябва да се намира в самия заглавие на обекта.

При текущото построение на алгоритъма са възможни случайни модификации/изтривания на обектите в папката "System Volume Information" на сменяемото устройство с възможна загуба на оригиналните шифрирани обекти, както и модификация на самите обекти на неконтролирани станции (например: преименуване на обекта "Install.exe" с мрежов път "E:Install.exe" на компютър без агент, при което информационният файл на программния продукт КИБ Сърчинформ в папката "System Volume Information" "Install.exe" с мрежов път "E:System Volume InformationInstall.exe" остава непроменен, тъй като липсва агент, който да промени служебната информация, и отварянето на този файл става невъзможно).

Надяваме се, че разработчикът ще вземе под внимание този недостатък в работата на функцията за шифриране на сменяеми носители в продукта КИБ Сърчинформ и ще промени алгоритъма му.

Източник: habr.com