Александр Скакунов, генеральный директор, ВолгаБлоб
Алексей Комаров, директор по продуктам, NGS Distribution
Яблоко с логотипа компании Apple часто называют третьим яблоком, изменившим мир (после надкушенного Евой и упавшего на голову Ньютона). Действительно, отрицать определённую феноменальность успеха продуктов этой компании сегодня уже бессмысленно. Поэтому нет ничего сверхъестественного, например, и в данных Strategy Analytics , согласно которым во втором квартале 2012 году доля iPad на мировом рынке планшетных устройств выросла до 67%. «Стив Джобс победил» во всём мире и в нашей стране, в частности. Такое положение вещей становится тем более очевидно, когда на дорогах России видишь водителя полусгнившего автомобиля с iPad, прикрученным изолентой вместо навигатора, а предприниматели, звёзды шоу-бизнеса и чиновники всех мастей позируют фотокорреспондентам с устройствами Apple в руках.
Потребительские свойства iPad и iPhone действительно высоко оценены не только рядовыми пользователями, но и в бизнес-сфере, и среди государственных служащих. Что же касается администраторов, отвечающих за безопасность корпоративных систем, то зачастую они просто оказываются перед фактом использования этих устройств и вынуждены уже постфактум искать методы построения систем защиты, не мешающих самим пользователям, но соответствующих политикам информационной безопасности организации. В системах органов государственной власти дополнительно приходится учитывать необходимость соответствия требованиям российского законодательства, что для любых зарубежных разработок, в принципе, является не такой простой задачей.
Риски применения мобильных устройств
Говоря о применении мобильных устройств в корпоративной среде, чаще других наиболее актуальными признают следующие риски:
• несанкционированный доступ к информации в результате физического доступа посторонних лиц к устройству;
• несанкционированный доступ к информации вследствие кражи или потери устройства;
• несанкционированный доступ к информации, передаваемой между устройством и корпоративной сетью.
Функции самой операционной системы iOS данные риски частично нивелируют. Так, например, шифрование файлов операционной системы и возможность установки сложного PIN-кода для разблокировки устройства, а также функция полного удаления любой информации при превышении заданного числа неправильных попыток ввода, защищают от несанкционированного доступа в первом и втором упомянутых случаях.
Встроенная поддержка VPN решает и третью задачу для отдельного конкретно взятого устройства (удобство централизованного управления оставляем за скобками), но отсутствие в устройствах компании Apple встроенных отечественных криптографических алгоритмов делает iPad и iPhone практически непригодными для решения ряда задач, связанных с организацией юридически значимого документооборота, межведомственного взаимодействия и многих других. Установка дополнительных средств защиты информации для выполнения требований российского законодательства, особенно в силу отсутствия перспектив появления в iOS подобных штатных средств, таким образом, становится необходимостью.
Закрытость как конкурентное преимущество
Компания Apple позволяет пользователям наслаждаться продуманностью графических интерфейсов, безопасностью, стабильностью и удобством работы с их устройствами, но достигает это ценой лишения пользователей административных прав. Соответственно, прав администратора (root-привилегий) нет и у всего устанавливаемого пользователем прикладного программного обеспечения, в том числе средств защиты информации.
Для получения root-привилегий используется взлом iOS-устройств, (несанкционированная модификация iOS, получившая название Jailbreak), после которого программы могут работать на уровне ядра операционной системы. Данное решение имеет ряд явных недостатков, в которые входят: нарушение условий лицензионного соглашения Apple, прекращение возможностей сервисного обслуживания и обновления взломанного устройства, и, наконец, нестабильная работа. Сама компания Apple выражает ярко отрицательное отношение к данной процедуре .
Отсутствие административных прав у устанавливаемого приложения, таким образом, приводит к необходимости хранения и обработки всей конфиденциальной информации внутри самого приложения, внутри так называемого контейнера. Необходимо формировать изолированные прикладные приложения в защищенном исполнении, уже содержащие в себе необходимые механизмы обеспечения информационной безопасности.
Бизнес-потребности
В качестве решения для защиты мобильных устройств Apple часто рассматривают VPN-клиент для iOS, реализующий поддержку отечественных алгоритмов. Зададимся простым вопросом – действительно ли нужно шифровать весь трафик и ставить в компании дополнительный VPN-сервер (стандартные средства ведь просто не «поймут» трафика от VPN-клиента)?
В теории такой подход даёт защиту от вирусов, ведь работа даже штатных приложений будет осуществляться через сервер организации, что вроде бы позволит очистить его от вредоносного контента. На практике же взлом iOS несёт больше риска, чем обычный сёрфинг сети пусть даже не через проксирующий сервер организации. Много ли вредоносного программного обеспечения известно для невзломанной iOS? Хоть один шлюзовой антивирус способен реально защитить от специализированного вируса для этой платформы?
Опрос среди клиентов, проведённый отделом маркетинга компании «ВолгаБлоб» показал, что более 75% респондентов в качестве основного бизнес-приложения указали почтовый клиент. Электронная переписка является деловым сервисом, использующимся подавляющим большинством владельцев iPad и iPhone. И защищенная реализация данного сервиса для доступа к корпоративной или ведомственной почте организации, является одной из самых актуальных задач.
Если же говорить про администраторов, пытающихся «корпоратизировать» те 2-3 iPhone, которые принёс из дома топ-менеджмент, или «легализовать» с точки зрения требований законодательства десяток iPad, применяемых чиновниками, то их выбор однозначно должен пасть на то решение, которое не потребует изменений во всей инфраструктуре и уж тем более не вынудит приобретать дополнительные сервера для связи с несколькими устройствами. Дополнительная точка отказа сервиса – это совсем не то, что привлечёт человека, отвечающего за работоспособность инфраструктуры сколько-нибудь значительного размера.
Идеальное решение
Обобщив всё вышесказанное, можно назвать основные функции и особенности решения, которое обеспечит соответствие требованиям закона, сохранит потребительские свойства устройств Apple и повысит реальную безопасность корпоративных сетей.
Анализ бизнес-потребностей наглядно демонстрирует, что в настоящее время на рынке наиболее востребован защищенный почтовый клиент, в котором для шифрования и подписи электронных писем, а также для защиты канала связи с почтовым сервером используются российские криптографические алгоритмы.
Сформулируем основные требования к данному решению.
• Сохранение штатного режима работы устройства. Решение не должно предусматривать взлома (Jailbreak) устройства, установка и функционирование программы не должны изменять штатного режима работы iOS-устройства.
• Удобство для пользователя. Приложение должно быть выполнено строго по идеологии Apple – графический интерфейс и логика работы не должны требовать от пользователя специальных знаний в области информационной безопасности.
• Простота внедрения.
Защищенный почтовый клиент не должен требовать установки дополнительного серверного программного обеспечения, взаимодействовать с почтовым сервером по стандартным протоколам, а при шифровании и работе с электронной подписью формировать сообщения, которые воспринимается большинством почтовых клиентов (прежде всего — Microsoft Outlook).
• Работа в контейнере.
Почтовый клиент должен уметь работать со всеми типами вложений в электронные письма, которые можно открыть стандартными или дополнительно установленными в iOS-устройстве программами-обработчиками.
Именно такой подход и реализованный в соответствии с ним продукт позволяет решить вопрос защищённой работы с электронной почтой на iOS-устройствах и найти разумный компромисс между удобством использования и приемлемым уровнем информационной безопасности.
Что дальше?
Мы уже отметили, что вероятность реализации компании Apple в своих устройствах ГОСТ алгоритмов близка к нулю. К тому же самой по себе реализации недостаточно – необходимо получить подтверждение соответствующих органов о легитимности такой реализации. Именно по этой причине наиболее перспективным для разработчиков средств защиты информации представляется поддержка КриптоПро для iOS, сертификация которого в ФСБ по планам должна завершиться до конца текущего года.
Вариант собственной реализации СЗИ со взломом устройства малоперспективен, так как такое устройство автоматически перестанет быть управляемым любыми MDM-решением (Mobile Device Management – Управление Мобильными Устройствами).
На успех могут всерьёз рассчитывать только те продукты, которые не требуют изменения инфраструктуры компании и приобретения дополнительных серверных компонентов, а максимально прозрачно интегрируются с существующей корпоративной сетью.
