रूसी कंपनियों में एन्क्रिप्शन का उपयोग करना

परिचय

दो दशक पहले, रूस में क्रिप्टोग्राफी हथियार उत्पादन तकनीक के समान गोपनीयता के स्तर पर थी - इसका व्यावहारिक अनुप्रयोग विशेष रूप से सैन्य और विशेष सेवाओं में था, अर्थात यह पूरी तरह से राज्य के नियंत्रण में था। सार्वजनिक डोमेन में इस विषय पर किसी भी प्रकाशन और वैज्ञानिक पत्रों को पूरा करना संभव नहीं था - क्रिप्टोग्राफी का विषय बंद कर दिया गया था।



स्थिति केवल 1990 में बदल गई, जब एन्क्रिप्शन मानक GOST 28147-89 पेश किया गया था। प्रारंभ में, एल्गोरिथ्म में एक चिपबोर्ड गर्दन थी और आधिकारिक तौर पर केवल 1994 में "पूरी तरह से खुला" बन गया था।



रूसी क्रिप्टोग्राफी में एक सूचना ब्रेकथ्रू होने पर वास्तव में यह कहना मुश्किल है। सबसे अधिक संभावना है, यह तब हुआ जब इंटरनेट आम जनता के लिए उपलब्ध हो गया, जिसके बाद क्रिप्टोग्राफ़िक एल्गोरिदम और प्रोटोकॉल के विवरण के साथ कई सामग्री, क्रिप्टोनालिसिस पर लेख और एन्क्रिप्शन से संबंधित अन्य जानकारी नेटवर्क पर प्रकाशित होनी शुरू हुई।



परिस्थितियों में, क्रिप्टोग्राफी अब अकेले राज्य का विशेषाधिकार नहीं रह सकता है। इसके अलावा, सूचना प्रौद्योगिकी और संचार के विकास ने वाणिज्यिक कंपनियों और संगठनों द्वारा क्रिप्टोग्राफिक संरक्षण के उपयोग की आवश्यकता की है।







आज, क्रिप्टोग्राफिक सूचना संरक्षण (CIP) के साधनों में शामिल हैं: एन्क्रिप्शन उपकरण, नकली सुरक्षा के साधन, इलेक्ट्रॉनिक डिजिटल हस्ताक्षर के साधन, एन्कोडिंग उपकरण, मुख्य दस्तावेजों के उत्पादन के साधन और मुख्य दस्तावेज़ स्वयं। [४, सी २-३]



बाकी लेख रूसी कंपनियों और संगठनों में एन्क्रिप्शन और क्रिप्टोग्राफिक सूचना संरक्षण के व्यावहारिक अनुप्रयोग पर ध्यान केंद्रित करेंगे। निम्नलिखित क्षेत्रों पर विचार किया जाएगा:

• व्यक्तिगत डेटा सूचना प्रणाली की सुरक्षा;
• कंपनी की गोपनीय जानकारी की सुरक्षा;
• कॉर्पोरेट ईमेल एन्क्रिप्शन;
• डिजिटल हस्ताक्षरों का निर्माण और सत्यापन।

रूसी कंपनियों में क्रिप्टोग्राफी और क्रिप्टोग्राफिक संरक्षण का उपयोग

1. व्यक्तिगत डेटा सुरक्षा प्रणालियों में क्रिप्टोकरेंसी की शुरूआत

आज लगभग किसी भी रूसी कंपनी की गतिविधि विभिन्न श्रेणियों के व्यक्तिगत डेटा (पीडी) के भंडारण और प्रसंस्करण से जुड़ी है, जिसके संरक्षण में रूसी संघ का कानून कई आवश्यकताओं को पूरा करता है [1]। उनके कार्यान्वयन के लिए, कंपनी के प्रबंधन, सबसे पहले, व्यक्तिगत डेटा के लिए खतरों का एक मॉडल बनाने और इसके आधार पर विकसित करने की आवश्यकता का सामना करना पड़ता है , जिसमें व्यक्तिगत डेटा सुरक्षा प्रणाली शामिल है , जिसमें क्रिप्टोग्राफ़िक सूचना सुरक्षा उपकरण शामिल होना चाहिए। [२, १ से।]



व्यक्तिगत डेटा सुरक्षा प्रणाली में लागू क्रिप्टोग्राफ़िक सूचना सुरक्षा प्रणाली की निम्नलिखित आवश्यकताएं हैं:

• क्रिप्टोग्राफ़िक टूल को हार्डवेयर और सॉफ़्टवेयर के साथ आसानी से कार्य करना चाहिए जो इसके लिए आवश्यकताओं की पूर्ति को प्रभावित कर सकता है। [३, पी। १५।]
• उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए, रूस के एफएसबी के प्रमाणन प्रणाली में प्रमाणित क्रिप्टोकरेंसी का उपयोग किया जाना चाहिए। [३, पी। १५।]

एक क्रिप्टोग्राफ़िक उपकरण, जो सुरक्षा प्रदान करता है के स्तर पर निर्भर करता है, उसे छह वर्गों (KC1, KC2, KS3, KV1, KV2, KA1) में से एक को सौंपा जा सकता है। संरक्षण प्रणाली के साथ एक वर्ग या किसी अन्य की एक क्रिप्टोक्यूरेंसी की शुरूआत घुसपैठिये (हमले के विषय) की श्रेणी से निर्धारित होती है, जो खतरे के मॉडल में ऑपरेटर द्वारा निर्धारित की जाती है।



इस प्रकार, क्रिप्टोग्राफिक सुरक्षा उपकरण अब प्रभावी रूप से रूसी नागरिकों के व्यक्तिगत डेटा की सुरक्षा के लिए कंपनियों और संगठनों द्वारा उपयोग किए जाते हैं और व्यक्तिगत डेटा सुरक्षा प्रणालियों में सबसे महत्वपूर्ण घटकों में से एक हैं।

2. कॉर्पोरेट सूचना का संरक्षण

यदि क्लॉज 1 में क्रिप्टोगार्फिचिशिख फंड का उपयोग मुख्य रूप से रूसी संघ के कानून की आवश्यकताओं के कारण होता है, तो इस मामले में, कंपनी का प्रबंधन स्वयं सीआईपीएफ के आवेदन में रुचि रखता है। एक एन्क्रिप्शन टूल का उपयोग करके, एक कंपनी को अपनी कॉर्पोरेट जानकारी की रक्षा करने का अवसर मिलता है - वाणिज्यिक रहस्य, बौद्धिक संपदा, परिचालन और तकनीकी जानकारी आदि का प्रतिनिधित्व करने वाली जानकारी।



आज, कॉर्पोरेट वातावरण में प्रभावी उपयोग के लिए, एक एन्क्रिप्शन प्रोग्राम प्रदान करना चाहिए:

• एक दूरस्थ सर्वर पर डेटा एन्क्रिप्शन;
• असममित क्रिप्टोग्राफी के लिए समर्थन;
• पारदर्शी एन्क्रिप्शन;
• नेटवर्क फ़ोल्डर्स का एन्क्रिप्शन;
• कंपनी के कर्मचारियों के बीच गोपनीय जानकारी तक पहुंच अधिकारों को अलग करने की क्षमता;
• बाहरी भंडारण मीडिया (टोकन) पर निजी कुंजी स्टोर करने की क्षमता।

तो, क्रिप्टोग्राफिक सूचना संरक्षण का दूसरा अनुप्रयोग कंपनी की गोपनीय जानकारी की सुरक्षा है। एक एन्क्रिप्शन उपकरण जो उपरोक्त सुविधाओं का समर्थन करता है, काफी विश्वसनीय सुरक्षा प्रदान कर सकता है, लेकिन इसे निश्चित रूप से सूचना सुरक्षा के लिए एक एकीकृत दृष्टिकोण के हिस्से के रूप में उपयोग किया जाना चाहिए। यह दृष्टिकोण अतिरिक्त रूप से फायरवॉल, एंटीवायरस और फायरवॉल का उपयोग करता है, और इसमें सूचना सुरक्षा खतरों के एक मॉडल का विकास, आवश्यक सूचना सुरक्षा नीतियों का विकास, सूचना सुरक्षा के लिए जिम्मेदार लोगों की नियुक्ति, इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन, कर्मचारियों की नियंत्रण और निगरानी आदि शामिल हैं।

3. इलेक्ट्रॉनिक हस्ताक्षर

इलेक्ट्रॉनिक हस्ताक्षर (EP) आज एक हस्तलिखित हस्ताक्षर का एक पूर्ण एनालॉग है और इसका उपयोग कानूनी संस्थाओं और व्यक्तियों द्वारा किया जा सकता है ताकि एक डिजिटल दस्तावेज़ को कानूनी बल प्रदान किया जा सके। इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन प्रणालियों में इलेक्ट्रॉनिक दस्तावेजों के उपयोग से वाणिज्यिक लेनदेन के समापन की गति काफी बढ़ जाती है, कागज लेखांकन दस्तावेजों की मात्रा कम हो जाती है, और कर्मचारियों के समय की बचत होती है। इसके अलावा, EP अनुबंधों के समापन के लिए उद्यम के खर्चों को कम करता है, भुगतान दस्तावेज तैयार करता है, सरकारी एजेंसियों से विभिन्न प्रमाणपत्र प्राप्त करता है, और बहुत कुछ।



क्रिप्टोग्राफिक सुरक्षा उपकरण, एक नियम के रूप में, इलेक्ट्रॉनिक हस्ताक्षर बनाने और सत्यापित करने के लिए कार्य शामिल हैं। निम्नलिखित आवश्यकताओं को रूसी कानून [5, पी 3.] द्वारा ऐसे कानून द्वारा आगे रखा जाता है:



ES बनाते समय, उन्हें निम्न करना चाहिए:

• इलेक्ट्रॉनिक दस्तावेज़ पर हस्ताक्षर करने वाले व्यक्ति को उस जानकारी की सामग्री दिखाएं जो वह संकेत करता है;
• इलेक्ट्रॉनिक हस्ताक्षर बनाने के लिए ऑपरेशन के इलेक्ट्रॉनिक दस्तावेज़ पर हस्ताक्षर करने वाले व्यक्ति द्वारा पुष्टि के बाद ही इलेक्ट्रॉनिक हस्ताक्षर बनाएं;
• स्पष्ट रूप से पता चलता है कि इलेक्ट्रॉनिक हस्ताक्षर बनाया गया है

ES की जाँच करते समय, उन्हें चाहिए:

• इलेक्ट्रॉनिक हस्ताक्षर द्वारा हस्ताक्षरित इलेक्ट्रॉनिक दस्तावेज़ की सामग्री दिखाएं;
• हस्ताक्षरित इलेक्ट्रॉनिक दस्तावेज़ में संशोधन के बारे में जानकारी दिखाएं;
• इलेक्ट्रॉनिक कुंजी का उपयोग करने वाले व्यक्ति को इलेक्ट्रॉनिक कुंजी पर हस्ताक्षर करने का संकेत दें।

4. ईमेल एन्क्रिप्शन

अधिकांश कंपनियों के लिए, ईमेल कर्मचारियों के बीच संचार का प्राथमिक साधन है। यह कोई रहस्य नहीं है कि कॉर्पोरेट ईमेल आज गोपनीय जानकारी की एक बड़ी राशि भेजता है: अनुबंध, चालान, कंपनी के उत्पादों और मूल्य निर्धारण नीतियों, वित्तीय संकेतक, आदि के बारे में जानकारी। यदि ऐसी जानकारी प्रतियोगियों को उपलब्ध है, तो इससे कंपनी को महत्वपूर्ण नुकसान हो सकता है। अपनी गतिविधियों की समाप्ति तक।



इसलिए, किसी कंपनी की सूचना सुरक्षा सुनिश्चित करने में कॉर्पोरेट मेल का संरक्षण एक अत्यंत महत्वपूर्ण घटक है, जिसका कार्यान्वयन क्रिप्टोग्राफी और एन्क्रिप्शन उपकरणों के उपयोग के लिए भी संभव है।



अधिकांश ईमेल क्लाइंट जैसे कि आउटलुक, थिंडरबर्ड, द बैट! आदि, आपको क्रिप्टोग्राफ़िक सुरक्षा का उपयोग करके बनाए गए सार्वजनिक और निजी कुंजी प्रमाणपत्रों (क्रमशः X.509 और PKCS # 12 प्रारूपों में प्रमाण पत्र) के आधार पर एन्क्रिप्टेड संदेशों के आदान-प्रदान को कॉन्फ़िगर करने की अनुमति देते हैं।



प्रमाणन केंद्रों (CA) के रूप में काम करने के लिए क्रिप्टोग्राफ़िक टूल की संभावना का उल्लेख करना भी लायक है। प्रमाणन केंद्र का मुख्य उद्देश्य एन्क्रिप्शन प्रमाणपत्र जारी करना और एन्क्रिप्शन कुंजी की प्रामाणिकता की पुष्टि करना है। रूसी कानून के अनुसार, सीए को वर्गों (केएस 1, केएस 2, केएस 3, केवी 1, केवी 2, केए 1) में विभाजित किया गया है, जिनमें से प्रत्येक की कई आवश्यकताएँ हैं [5]। इसी समय, सीए टूल्स में उपयोग किए जाने वाले क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों का वर्ग सीए [5, पी। 14.] के संबंधित वर्ग से कम नहीं होना चाहिए।

साइबर कैफे एंटरप्राइज का उपयोग करना

साइबर कैफे एंटरप्राइज प्रोग्राम को विकसित करते समय , हमने उपरोक्त सभी विशेषताओं को ध्यान में रखने की कोशिश की, जिसमें प्रोग्राम के कार्यात्मक सेट भी शामिल हैं। तो, यह इस लेख के खंड 2 में सूचीबद्ध कार्यों, ईमेल एन्क्रिप्शन, डिजिटल हस्ताक्षर के निर्माण और सत्यापन का समर्थन करता है, साथ ही एक प्रमाणन केंद्र के रूप में भी काम करता है।



साइबर कैफे में एक सार्वजनिक कुंजी सर्वर की उपस्थिति कंपनियों को अपने कर्मचारियों के बीच एक सुविधाजनक कुंजी विनिमय आयोजित करने की अनुमति देती है, जहां उनमें से प्रत्येक अपनी सार्वजनिक कुंजी प्रकाशित कर सकते हैं, साथ ही साथ अन्य उपयोगकर्ताओं की सार्वजनिक कुंजी डाउनलोड कर सकते हैं।



इसके अलावा, हम व्यक्तिगत डेटा सुरक्षा प्रणालियों में साइबर कैफे एंटरप्राइज शुरू करने की संभावना पर अधिक विस्तार से ध्यान देंगे। यह संभावना क्रिप्टो-प्रदाता कार्यक्रम क्रिप्टोप्रो सीएसपी के समर्थन के लिए धन्यवाद के साथ मौजूद है, रूसी संघ के एफएसबी द्वारा क्रिप्टोग्राफिक सूचना सुरक्षा वर्गों KS1, KS2 और KS3 (संस्करण पर निर्भर करता है) के रूप में प्रमाणित है और "क्रिप्टोकरेंसी का उपयोग करते हुए व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए पद्धति संबंधी सिफारिशों" के खंड 5.1 में निर्धारित है:

"क्लास केसी 1 और केसी 2 की एम्बेडिंग क्रिप्टोकरेंसी को रूस के एफएसबी द्वारा नियंत्रण के बिना किया जाता है (यदि यह नियंत्रण सूचना प्रणाली के विकास (आधुनिकीकरण) के लिए तकनीकी कार्य द्वारा प्रदान नहीं किया गया है)।"

इस प्रकार, एकीकृत CryptoPro CSP CIP को शामिल करते हुए, साइबर कैफे एंटरप्राइज प्रोग्राम का उपयोग KC1 और KC2 की व्यक्तिगत डेटा सुरक्षा प्रणाली में किया जा सकता है।



साइबर कैफे एंटरप्राइज में प्रमाण पत्र बनाते समय उपयोगकर्ता के कंप्यूटर पर क्रिप्टोकरेंसी सीएसपी स्थापित करने के बाद, क्रिप्टोप्रो सर्टिफिकेट बनाना संभव होगा:







अगला, आपको CryptoPro निजी कुंजी कंटेनर के लिए भंडारण स्थान चुनने और कंटेनर के लिए एक पासवर्ड सेट करने की आवश्यकता है। भंडारण के लिए, ऑपरेटिंग सिस्टम रजिस्ट्री या हटाने योग्य मीडिया (टोकन) का उपयोग किया जा सकता है:











साइबर कैफे का निर्माण पूरा होने के बाद, क्रिप्टोप्रो की कुंजी भी बनाई जाती है, आपके लिंक पर प्रदर्शित होती है और इसके लिए उपलब्ध हैं:







इस घटना में कि CryptoPro कुंजी को एक अलग फ़ाइल में निर्यात करने की आवश्यकता है, यह मानक CyberSafe वीडियो निर्यात समारोह के माध्यम से किया जा सकता है:







यदि आप अन्य उपयोगकर्ताओं को हस्तांतरण के लिए फ़ाइलों को एन्क्रिप्ट करना चाहते हैं (या उन्हें अपने डिजिटल हस्ताक्षर के साथ साइन इन करें) और इसके लिए CryptoPro कुंजियों का उपयोग करें, उपलब्ध क्रिप्टोग्राफ़िक प्रदाताओं की सूची से आपको CryptoPro का चयन करना होगा:







उस स्थिति में जब आप पारदर्शी फ़ाइल एन्क्रिप्शन के लिए CryptoPro कुंजी का उपयोग करना चाहते हैं, तो एक क्रिप्टोग्राफ़िक प्रदाता के रूप में प्रमाण पत्र चुनने के लिए, आपको CryptoPro को भी निर्दिष्ट करना चाहिए:







साइबर कैफे में, तार्किक डिस्क / विभाजन को एन्क्रिप्ट करने और वर्चुअल एन्क्रिप्टेड डिस्क बनाने के लिए CryptoPRO और GOST एल्गोरिथ्म का उपयोग करना संभव है:











इसके अलावा, CryptoPro प्रमाण पत्र के आधार पर, ईमेल एन्क्रिप्शन को कॉन्फ़िगर किया जा सकता है। क्रिप्टोप्रो सीएसपी में, ES के निर्माण और सत्यापन के लिए एल्गोरिदम मानक GOST R 34.10-2012 की आवश्यकताओं के अनुसार कार्यान्वित किए जाते हैं, डेटा एन्क्रिप्शन / डिक्रिप्शन एल्गोरिथ्म मानक GOST 28147-89 की आवश्यकताओं के अनुसार लागू किया जाता है।



आज साइबरसेफ़ एकमात्र कार्यक्रम है जो एन्क्रिप्शन फ़ाइलों GOST 28147-89 और GOST R 34.10-2012 के समर्थन के साथ प्रमाणन केंद्र के रूप में काम करने वाली फ़ाइलों, नेटवर्क फ़ोल्डरों, लॉजिकल ड्राइव्स, ईमेल और कार्य करने की क्षमता को जोड़ता है।

दस्तावेज:

1. संघीय कानून "ऑन पर्सनल डेटा" दिनांक 27 जुलाई, 2006 नंबर 152-एफजेड।

2. 17 नवंबर, 2007 नंबर 781 रूसी संघ की सरकार की डिक्री द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा पर विनियमन ।

3. 21 फरवरी, 2008 नंबर 149 / 54-144 पर रूस के एफएसबी के 8 वें केंद्र के प्रबंधन द्वारा अनुमोदित स्वचालन उपकरण का उपयोग करते हुए व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान क्रिप्टोकरेंसी का उपयोग करते हुए व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए पद्धति संबंधी सिफारिशें ।

4. 9 फरवरी, 2005 नंबर 66 पर रूसी संघ के संघीय सुरक्षा सेवा के आदेश द्वारा अनुमोदित सूचना सुरक्षा के विकास, उत्पादन, बिक्री और संचालन के विनियमन (सूचना) का विनियमन ।

5. 27 दिसंबर, 2011 नंबर 796 के रूसी संघ के संघीय सुरक्षा सेवा के आदेश द्वारा अनुमोदित प्रमाणीकरण केंद्र के साधनों के लिए आवश्यकताएं और प्रमाणीकरण केंद्र के लिए आवश्यकताएं ।