Компутеры и околокомпутерные разговоры
47,075 129
 

  ivan2 ( Слушатель )
05 дек 2008 21:48:04

Тред №68811

новая дискуссия Дискуссия  608

Цитата: _YUKLA_
...Терминалы, кстати, могут быть вообще бездисковыми - посмотрите вот на ThinStation.



Вот здесь Вы четко "за родину". И я про это. Не могу решить проблему гарантии целостности загружаемого по сети ядра. Идеи есть?
Прошу без глупостей. Считайте это предложением.

Прравка - ГТК не предлагать. Работаю на МО.
Отредактировано: ivan2 - 05 дек 2008 21:59:33
  • +0.00 / 0
  • АУ
ОТВЕТЫ (15)
 
 
  Petrushka ( Слушатель )
05 дек 2008 23:51:03
Что Вы имеете под ГТК? Бездисковая - принципиально? А если поставить DiskOnModule?
  • +0.00 / 0
  • АУ
 
 
  Мимохожий ( Слушатель )
06 дек 2008 01:34:05
GIMP Toolkit. Библиотека графпримитивов под иксами.

Судя по всему - да...Подмигивающий Станции для таких применений должны быть stateless по соображениям отказоустойчивости и не должны иметь собственной долговременной памяти - по соображениям секьюрности.
  • +0.00 / 0
  • АУ
 
 
 
  ivan2 ( Слушатель )
07 дек 2008 17:37:19


Не совсем так. Оч. трудно гарантировать целостность загружаемого ядра, а значит получить сертификат на изделие, как на средство защиты информации (т.н. СЗИ). Получить сертификат Гостехкомиссии (ГТК)- не вопрос, но и уважение к нему соответствующее. Силовики не признают.



Вобщем почти так. Бездисковые рабочие станции не нужно закрывать на электронные замки (всякие АПМДЗ). И носители информации не надо в случае чего уничтожать. Питание выключил и привет захватчикам.
  • +0.00 / 0
  • АУ
 
  KekcBanned ( Слушатель )
09 дек 2008 00:07:28


Как вариант. Каждая станция имеет прошитое в "БИОС" свое кодовое слово.
Образ ядра содержит в послених N-байт хешик от имиджа и кодового секретного слова.
TFTP клиент, вшитый в БИОС, умеет проверять и отбрасывать хешик после положительного результата проверки.

Хешики (считайте подписи) готовятся отдельно под каждую станцию. Можно в биосе предусмотреть контроль версии ПО, чтобы не загружали устаревшие(уязвимые образы)...воткнуть номер версии перед хешиком... учесть версию при  расчете хеша и выкинуть.
и тут Остапа понесло: можно два разных алгоритма и два, соответственно, хешика передавать, шоб не дай бог популярные ныне коллизии в хешах чего-то плохого ....

Если чето не так понял, извиняйте
  • +0.00 / 0
  • АУ
 
 
  ivan2 ( Слушатель )
09 дек 2008 10:36:58


Вы все правильно поняли, только грамотный фапсишник Вам под любой хешик сделает левый фай (есть даже web-ресурсы, которые предлагают подобного рода услуги), пользуясь тем, что алгоритм MD5 "дырявый". А дальше он говорит:"Если можно подсунуть случайный файл с нужным хешем, то докажи, что нельзя подсунуть закладку". Вот такой коленкорГрустный

Правка - Файлы (защищаемый и подсовываемый) должны быть достаточно длинными. Про короткие, частным случаем которых являются пароли, засады с MD5 никто пока не обнаружил.
  • +0.00 / 0
  • АУ
 
 
 
  Petrushka ( Слушатель )
09 дек 2008 12:01:38
Возьмите SHA
  • +0.00 / 0
  • АУ
 
 
 
 
  Senya ( Практикант )
12 дек 2008 12:50:14
Если Россия и ФАПСИ - только ГОСТ Р 34.11-94. Там уж точно ни коллизий, ни лишних вопросов.
  • +0.00 / 0
  • АУ
 
 
 
 
 
  ivan2 ( Слушатель )
12 дек 2008 15:37:41


Они же, редиски, и не позволяют грузить по сети и проверять целостность таким образом. С...ки.
  • +0.00 / 0
  • АУ
 
 
 
  Kekc2 ( Слушатель )
09 дек 2008 12:12:54


Тут не совсем коллизии, это я для красного словца. В отличие от общеизвестной схеме ЭЦП совместно с ассиметричными алгоритмами, тут часть документа просто не известна !!!
В открытом виде эта часть не идет, только после жуткой мясорубки в хеш-функции.
Неизвестно влияние закрытой части на конечный криптографический хеш - нельзя найти коллизии, так как нет закрытой.

Я не вижу в такой схеме проблем даже с учетом появление неких возможностей к преднамеренным коллизиям MD5.
Но если страшно - никто же не мешает иметь два хеша для двух КЛЮЧЕй  одного алгоритма, или  для двух хеш-алгоритмов.

Нечто подобное используется в протоколах OSPF, возможно в NTP ..
  • +0.00 / 0
  • АУ
 
 
 
 
  ivan2 ( Слушатель )
12 дек 2008 09:48:44


Ну, что, вариант рабочий, только с серийным производством замороки. Это самое секретное кодовое слово придется записать в формуляре на компьютер. Со всеми вытекающими последствиями...
Вобщем сейчас решили так. Компьютер оснащаем флеш-диском, защищенным от записи. На диске МСВС, загрузка которой заканчивается Х-терминалом на сервер. IP-назначается по DHCP. Если машина новая (например из ЗИПа), DHCP-сервер обучаем ее MAC-адресу.
Сеанс открывается на сервере. Сервер защищен достаточно (круглосуточное дежурство доверенных админов, охрана/оборона, ... все дела). Слабое место только одно - разъем сетевого кабеля. Придется пломбировать. В остальном все ОК. На машине секретов нет. Ставить можно хоть в коридоре. Пользоваться может любой, имеющий логин и пароль.

Правка - На клиентской машине нет USB, флопов, и прочих али-бобов (либо физически, либо логически).
  • +0.00 / 0
  • АУ
 
 
 
 
 
  agt21 ( Слушатель )
12 дек 2008 12:38:40


А какая защита от подмены MAC-адреса ? Или это не имеет никакого значения в вашем варианте ?
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
  ivan2 ( Слушатель )
12 дек 2008 15:35:21


Как подмените? При контролируемой структурной связности (читай, кабели отсоединять/подсоединять незаметно не получится) это работает.
Защита с помощью печати/пломбы слабовата, но формально проходит.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
  agt21 ( Слушатель )
12 дек 2008 16:13:06


В этом случае не надо морочиться и с безопасностью загрузки ядра по сети. Если же это решение небезопасно, то небезопасно и ваше решение с отсутствующей защитой от изменения MAC-адреса... Вспоминая уже упоминавшийся Мимохожим "arp cache poisoning"...Улыбающийся
  • +0.00 / 0
  • АУ
 
 
 
 
 
  Kekc2 ( Слушатель )
15 дек 2008 09:22:42


Секретное слово + МАК адрес можно загнать на формуляр в виде  некой символьной последовательности и ввести в систему раздачи адресов/образов. Если есть возможность - отделить роль ведения учета АРМ от других.

Если есть криптографическая защита сетевого обмена на публичных ключах , то сетевые угрозы уже минимальны.
Флуд: Можно выключить везде обучение по ARP и фиксировать таблицу MAC-адресов в свичах и контролировать порты. Зашивать в образы АРМ соответсующую ARP таблицу и настройки FireWall-а. Списки MAC адресов держать в тайне. FireWall-ы серверов тоже вести по списку зарегистрированных АРМов. Запретить возможность обмена трафиком между клиентскими АРМ на уровне свичей (что-то типа приватных виланов).  Держать порты свичей выключенными по умолчанию. Может полнять 802.1x на портах.  На default-маршруте за переделы сети анализировать трафик (может его вообще не должно быть). Собирать все события с сетевых устройств. При работе с TFTP удлинить имена файлов случайным мусором и не показывать полное имя при загрузке - усложнить кражу образов. ну итд итп....
  • +0.00 / 0
  • АУ
 
  VladNG ( Слушатель )
24 дек 2008 20:21:06

Идеи:

Тут вопрос - кто проверяет целостность: БИОС сетевой карты? В качестве линнии развития можно выбрать Линукс БИОС.

Еще, такую задачу пытались решить микрософты с помощью железной подсистемы называемой Palladium. Но это надо с паяльником, мамки собственные разрабатывать заказывать. В общем, если кому поезет, народ порадуется. Можно кстати на FPGA чонить менее замысловатое замутить. А то у них в паладиуме два уровня ключей, один из которых никогда не покидает пределы чипа!

Но вообщето защитку то вы слабоаааааааато сделали. Защита по МАК - это моветооооооон. По правильному надо ставить VPN и раздавать сертификаты. А все кроме него (VPN) рубить на сетевом фильтре. Флешка монтируется как дисОчек и с него грузится система, берется собственно сертификат. А после подключения дисочек отмонтировать, ещебы его из списка партиций исключить какнить.

В этом случае не надо опломбировать сетевой кабель - сертификат не МАК на коленке не сгенериш. Если будут пытатся химичить с проводами сессия разорвется по истечению времени - тоже звоночек: балуются. Ну можно еще смотреть пару сертификат - МАК. Типа сменился мак а сертификат остался - вызываем часового.

Еще, если будете ставить в "коридоре" проверьте, что нельзя перейти из Х в консоль, и чтобы не было Х-овых консольных клиентов.

Надеюсь, что физическую защиту флешки вы обеспечите. Это полезно с любой точки зрения - капсюль на крышечку чик и нету флешки.
  • +0.00 / 0
  • АУ
 
<< Тред №68810
Тред №68812 >>