Разбор на критична грешка в алгоритъма за работа на криптирането на КИБ SEARCHINFORM

Контролирането на цялата информация, циркулираща в организацията, е една от основните задачи при практическото реализиране на организационно-распорядителните документи (политика за информационна сигурност и други вътрешни документи на по-ниските нива) на организацията.
Системите за предотвратяване на изтичане на конфиденциална информация от информационната система (Data Leak Prevention, DLP) в повечето случаи могат да разрешат този проблем.

На съвременния пазар съществуват достатъчно разновидности на тези системи, например: SearchInform DLP, Infowatch Traffic Monitor DLP, Zecurion DLP, Symantec DLP и други. Но днешната статия ще се фокусира на продукта на компанията SearchInform.

Контурът за информационна сигурност SearchInform (КИБ Сёрчинформ) е сериозен и гъвкаво настраиваем софтуерен комплекс, който чрез своя функционал и обширни аналитични инструменти създава сериозна конкуренция на другите компании в тази сфера. Но както при всички продукти, КИБ Сёрчинформ има един недостатък, за който сега ще говорим.

Рисунок 1 – Логотип на КИБ Сёрчинформ

В КИБ Сёрчинформ един от източниците на събиране на информация е агент (Windows/Linux). Агентът за ОС Windows, както и за ОС Linux, разполага с модулна система за събиране на информация, като при необходимост модулите могат да се включват или изключват. Ще разгледаме модула Device (контрол на външни устройства, мрежови устройства и процеси и т.н.). Демо-версия на този продукт можете да получите официално чрез сайта на разработчика (с пълен функционал). Следващите действия ще се реализират с помощта на получен ключ за лиценз — версия на програмата EndPointController 5.51.0.9 (версия на агента 5.51.0.9).

Основният проблем в работата на този модул е алгоритъмът за шифроване на информацията на външните преносими устройства. Нека разгледаме принципа на работа на алгоритъма за шифроване в КИБ Сёрчинформ.

Инсталираме агента на работната станция и задаваме контрол на външните устройства (модул Device) в раздела „Сетевото окружение“ EndPointController 5.51.0.9.

Рисунок 2 – Установка и включение на модула

Извършваме конфигурация на шифроване в настройките на модула Device под вкладката „Шифроване“: генерираме ключ и включваме шифроване за всички носители (максимално може да се включи шифроване само за определени носители на информация).

Рисунок 3 – Настройка на белия списък

Рисунка 4 – Конфигурация на шифроване

Сега пристъпваме към разглеждане на алгоритъма за шифроване на файлове с този продукт. Копираме файловете "Install.exe" и "Основи на правото.rtf" от контролираната работна станция "WINOC" на външно сменяем носител "Сменяем диск (Е:)". Както е показано на рисунка 5, в скритата папка "System Volume Information" са създадени обекти "Install.exe" и "Основи на правото.rtf". Така можем да заключим, че папката "System Volume Information" съдържа списък с криптирани обекти на сменяемия носител.

Рисунка 5 – папка "System Volume Information"

Рисунка 6 – Коренна папка на информацията от сменяемия носител

Както е известно, съществуват три аспекта, върху които се основава информационната безопасност – това са целостта, достъпността и конфиденциалността. Тези аспекти биват нарушавани с използването на този подход за шифроване, тъй като системната информация относно това дали обектът е шифрован или не, трябва да се съдържа в самия заглавен файл на обекта.

При текущото построение на алгоритъма са възможни случайни модификации/изтривания на обектите в папката "System Volume Information" на сменяемия носител с последваща загуба на оригиналните криптирани обекти, както и модификация на самите обекти на неконтролирани станции (например: преименуване на обект "Install.exe" с мрежов път "E:Install.exe" на компютър без агент, при което информационният файл на продуктите КИБ Сърчинформ в папката "System Volume Information" "Install.exe" с мрежов път "E:System Volume InformationInstall.exe" остава ненарушен, тъй като липсва агент, който да промени служебната информация, и отварянето на този файл става невъзможно).

Да се надяваме, че разработчикът ще вземе предвид този недостатък в работата на функцията за шифроване на сменяеми носители на информация в продукта КИБ Сърчинформ и ще промени алгоритъма му.

Източник: habr.com