Программно-аппаратный комплекс защищенного хранения информации «Секрет Особого Назначения»
(версия 1.0)
Руководство пользователя
11443195.4012.033-34
Листов 24
Москва
2012
АННОТАЦИЯ
Настоящий документ является руководством пользователя (оператора) программно-аппаратного комплекса «Секрет Особого Назначения» v.1.0 (далее по тексту – ПАК «Секрет Особого Назначения», либо «Секрет Особого Назначения»), предназначенного для защищенного хранения корпоративной или личной информации конфиденциального характера и обеспечивающего контролируемый доступ к защищаемой информации со стороны авторизованного пользователя в соответствии с политиками доступа, установленными администратором.
В документе приведено описание пользовательских функций ПАК «Секрет Особого Назначения».
В случае личного использования ПАК «Секрет Особого Назначения» и администратором, и пользователем (оператором) «Секрета» является его владелец. Порядок установки, настройки и управления комплексом приведены в документе «Руководство администратора» (11443195.4012.033-90).
Перед установкой и эксплуатацией ПАК «Секрет Особого Назначения» рекомендуется внимательно ознакомиться с настоящим руководством.
Применение ПАК «Секрет Особого Назначения» должно дополняться общими мерами предосторожности и физической безопасности ПЭВМ (РС).
содержание
1. Общие сведения 5
1.1. Состав и назначение ПАК «Секрет Особого Назначения» 5
1.2. Технические условия применения комплекса 5
1.3. Комплектность поставки ПАК «Секрет Особого Назначения» 6
2. Установка и настройка ПАК «Секрет Особого Назначения» 7
2.1. Подключение СН 7
2.2. Установка системного драйвера СН 7
2.3. Запуск ПО РС 7
2.4. Начало работы 8
3. Управление ПАК «Секрет Особого Назначения» 10
3.1. Регистрация пользователя 10
3.2. Авторизация пользователя 15
3.3. Разблокирование СН 16
3.4. Смена кода авторизации 18
3.5. Завершение работы 20
4. Применение ПАК «Секрет Особого Назначения» 21
5. Перечень принятых сокращений и обозначений 24
1.Общие сведения
1.1.Состав и назначение ПАК «Секрет Особого Назначения»
ПАК «Секрет Особого Назначения» включает:
специальный носитель «Секрет Особого Назначения» (СН);
программное обеспечение (ПО) рабочей станции (РС) «Секретный Агент», который хранится на открытом разделе флеш-диска СН:
драйвер USB-устройства для работы в составе операционной системы (ОС);
приложения для управления доступом к данным СН.
СН представляет собой аппаратный модуль, выполненный по технологии флеш-диска с интерфейсом USB, предназначенный для хранения пользовательской информации конфиденциального характера. Основными элементами данного аппаратного модуля являются:
микроконтроллер со внутренней памятью, используемой для хранения внутреннего ПО СН и служебной информации;
физический датчик случайных чисел (ДСЧ);
энергонезависимая флеш-память, используемая для хранения пользовательской информации, а также журнала событий и ПО РС.ПАК «Секрет Особого Назначения» может использоваться на рабочих станциях типа IBM PC, функционирующих под управлением ОС Microsoft Windows XP SP3/Vista/7 SP1 (x32 или x64).
ПАК «Секрет Особого Назначения» предназначен для защищенного хранения корпоративной или личной информации конфиденциального характера и обеспечивает контролируемый доступ к защищаемой информации со стороны авторизованного пользователя в соответствии с политиками доступа, установленными администратором. Основные особенности ПАК «Секрет Особого Назначения»:
ПО РС «Секрета Особого Назначения» размещается на открытом диске СН и исполняется без установки на жесткий диск РС;
предусмотрена возможность задания правил доступа к защищаемой информации посредством настройки политик;
ведется журнал работы СН, содержащийся на закрытом разделе флеш-диска СН.
1.2.Технические условия применения комплекса
Для работы с ПАК «Секрет Особого Назначения» необходим следующий минимальный набор технических и программных средств:
установленная ОС Microsoft Windows XP SP3/Vista/7 (x32 или x64);
свободный разъем USB.
ВНИМАНИЕ! Для подключения к ПЭВМ двух или более СН может использоваться USB -хаб. В этом случае USB -хаб должен быть оснащен внешним источником питания.
1.3.Комплектность поставки ПАК «Секрет Особого Назначения»
ПАК «Секрет Особого Назначения» поставляется в составе:
СН;
гарантийный талон;
комплект упаковки.
2.Установка и настройка ПАК «Секрет Особого Назначения»
2.1.Подключение СН
Подключение осуществляется установкой СН в свободный USB -разъем системного блока РС1. При этом допускается использование USB -хаба с внешним источником питания (см. 1.2).
2.2.Установка системного драйвера СН
В случае личного использования ПАК «Секрета Особого Назначения» пользователь осуществляет процедуру установки системного драйвера самостоятельно (см. подраздел 2.2 «Установка системного драйвера СН» «Руководства администратора» 11443195.4012.033-90).
2.3.Запуск ПО РС
ПО РС записывается на открытый диск СН при изготовлении. Для работы с ПО не требуется его установка на РС.
В состав ПО РС входят два приложения:
консоль администратора;
консоль пользователя.
При подключении СН к USB-разъему РС автоматически монтируется открытый диск СН (рисунок 1). После этого консоль пользователя может быть запущена пользователем на исполнение.
Рисунок 1 – Открытый диск СН
2.4.Начало работы
До начала использования ПАК «Секрет Особого Назначения» на РС должно быть выполнено подключение СН (допускается использование USB –хаба с внешним источником питания, см. подраздел 2.1), произведена установка системного драйвера СН (см. подраздел 2.2).
Следующий шаг – запуск ПО РС (консоли пользователя) (см. 2.3).
ВНИМАНИЕ! Консоль пользователя может быть запущена на исполнение в режиме терминальной сессии (по протоколу RDP).
Далее выполняется процедура регистрации пользователя СН (см. 3.1), в результате которой формируется код авторизации пользователя (КА). Эта процедура выполняется один раз, в рабочем режиме повторять ее не требуется.
ВНИМАНИЕ! Регистрация администратора не относится к числу обязательных процедур. Для получения доступа к пользовательским данным, хранящимся на флеш-диске СН, достаточно зарегистрировать пользователя и выполнять перед получением доступа процедуру авторизации.
ВНИМАНИЕ! Консоль пользователя и консоль администратора не могут быть запущены на исполнение одновременно!
При попытке запустить консоль администратора при работающей консоли пользователя на экране появляется следующее сообщение (рисунок 2):
Рисунок 2 - Сообщение о невозможности запуска консоли администратора при работающей консоли пользователя
Знание КА необходимо для выполнения следующих операций:
авторизация пользователя при доступе к данным, хранящимся на флеш-диске СН;
смена КА.
В случае нескольких последовательных неудачных попыток ввода КА при авторизации пользователя (максимально допустимое количество неудачных попыток определяется администратором см. «Руководство администратора» 11443195.4012.033-90) СН блокируется и на экран выводится соответствующее сообщение.
ВНИМАНИЕ! В случае блокирования СН пользователь может разблокировать СН с помощью PUK–кода. Если значение PUK–кода утеряно, разблокировать СН может только администратор с помощью функции «Аннулировать регистрацию пользователя…». Важно помнить, что после выполнения данной операции пользовательская информация, хранящаяся на закрытом разделе флеш-диска СН, стирается!
3.Управление ПАК «Секрет Особого Назначения»
3.1.Регистрация пользователя
Для регистрации пользователя СН необходимо запустить консоль пользователя (исполняемый файл startUserConsole.exe), хранящуюся на открытом разделе флеш-диска СН (см. подраздел 2.3). После этого в трее появляется значок консоли пользователя ПАК «Секрета Особого Назначения» (рисунок 3).
Рисунок 3 – Значок ПАК «Секрет Особого Назначения»в трее
По нажатии правой кнопкой мыши на значок СН в трее на экране появляется меню (рисунок 4), которое содержит следующие поля:
«О программе» выводит сведения о ПО ПАК «Секрет Особого Назначения»;
«Консоль пользователя» – позволяет открыть консоль пользователя;
«Выход» осуществляет выход из программы.
Рисунок 4 – Контекстное меню значка ПАК «Секрет Особого Назначения»в трее
Если процедура регистрации пользователя ранее не выполнялась, при запуске консоли пользователя активна только функция регистрации пользователя СН (рисунок 5). Если до регистрации пользователя на СН была выполнена регистрация администратора, то в консоли пользователя в графе «Состояние» будет отображаться статус «Администратор зарегистрирован», а в графе «Описание» имя СН.
Рисунок 5 - Консоль пользователя
После выбора этой функции посредством нажатия кнопки <�Регистрировать пользователя…> на экране отображается окно регистрации пользователя (рисунок 6).
Рисунок 6 - Регистрация пользователя
В появившемся диалоговом окне необходимо задать имя СН (в том случае, если имя СН не было задано ранее при регистрации администратора; пользователь не может изменить имя СН, заданное администратором) и установить код авторизации пользователя с подтверждением. Для завершения операции необходимо нажать <�ОК>, для отмены операции – кнопку <�Отмена>.
Регистрационные параметры пользователя СН:
имя «Секрета Особого Назначения». Представляет собой строку, длина которой ограничена 34 произвольными символами. В качестве имени целесообразно использовать одно или несколько слов, характеризующих принадлежность СН или его назначение (например, это удобно, если в наличии имеется несколько СН, используемых для различных целей. В этом случае их легко отличить друг от друга). Имя «Секрета Особого Назначения» не связано с защитными функциями и задается только для удобства пользователя, поэтому не нужно стремиться к тому, чтобы имя было сложным или чтобы о нем было трудно догадаться;
код авторизации. Представляет собой строку, длина которой варьируется в пределах от 6 до 16 произвольных символов;
В процессе авторизации пользователя формируется PUK -код (16 цифр), необходимый для восстановления возможности получения доступа к пользовательской информации при блокировании СН (в случае превышения порога неудачных попыток авторизации).
Кнопка окна регистрации недоступна, если:
имя СН не задано;
не заданы значения в полях «Код авторизации» или «Подтвердите код авторизации».
Если вводимое количество символов КА меньше минимального значения, установленного администратором, на экране появится следующее оповещение (рисунок 7).
Рисунок 7 – Оповещение о том, что КА должен содержать от 6 до 16 символов
В этом случае следует нажать кнопку и ввести корректный КА.
Если подтверждение КА пользователя не совпадает с исходным КА, на экране появляется сообщение об ошибке в процессе подтверждения КА (рисунок 8):
Рисунок 8 - Сообщение об ошибке в процессе подтверждения КА
В таком случае нужно в поле данного сообщения нажать кнопку и ввести корректный КА.
ВНИМАНИЕ! Во время выполнения операции регистрации не рекомендуется отключать СН от USB-порта компьютера, т. к. это может привести к нарушению его работоспособности.
После процесса регистрации пользователя СН на экране появляется сообщение об успешной регистрации (рисунок 9):
Рисунок 9 - Сообщение об успешном завершении процесса регистрации пользователя
После нажатия кнопки <�ОК> на экране отобразится сообщение с серийным номером, именем СН, кодом авторизации и PUK-кодом пользователя (рисунок 10). Имеется возможность вывода этой информации на печать посредством нажатия кнопки <�Печать…>.
ВНИМАНИЕ! Необходимо запомнить или надежно сохранить КА и PUK-код, знание которых позволяет получать доступ к пользовательской информации, записанной на закрытый раздел флеш-диска СН. Важно помнить о необходимости сохранения этих данных недоступными третьим лицам!
В случае утраты КА и PUK-кода СН необходимо выполнить процедуру аннулирования регистрации пользователя СН, которая приведет к стиранию пользовательской информации (см. «Руководство администратора» 11443195.4012.033-90).
Рисунок 10 - Информация о пользователе
По нажатии кнопки <�Печать…> на экране появляется окно печати документа (рисунок 11):
Рисунок 11 - Окно печати документа
В верхнем поле следует выбрать нужный принтер и вывести документ с информацией о пользователе на печать, нажав кнопку , или отменить текущую операцию, нажав кнопку <�Отмена>.
После регистрации пользователя становятся доступными другие операции консоли пользователя, в то время как функция регистрации становится недоступной (рисунок 12).
Рисунок 12 – Консоль пользователя с доступными опциями
Если в настройках политик использования СН в поле «Тип доступа к СН» администратором был выбран пункт «Доступ с ограничением по доменам и рабочим станциям» и РС, на которой планируется использовать СН, не добавлена в список разрешенных, то после регистрации пользователя все функции консоли пользователя блокируются, а в колонке «Состояние» отображается: «РС не является доверенной» (рисунок 13). На экране появляется соответствующее оповещение (рисунок 14).
Рисунок 13 – Консоль пользователя с заблокированными функциями администрирования
Рисунок 14 – Оповещение о том, что РС не является доверенной
Если в настройках политик использования СН в поле «Тип доступа к СН» администратором был выбран пункт «Доступ с ограничением по доменам и рабочим станциям» и РС, на которой планируется использовать СН, добавлена в список разрешенных, но во время процедуры взаимной аутентификации СН и рабочей станции ПО РС не удалось определить один из параметров РС (серийный номер материнской платы, серийный номер ОС, имя РС, имя домена (рабочей группы), серийный номер АМДЗ), то все функции консоли пользователя блокируются, а в колонке «Состояние» отображается: «РС не является доверенной» (рисунок 13). На экране появляется соответствующее оповещение (рисунок 14).
3.2.Авторизация пользователя
ВНИМАНИЕ! До выполнения операции авторизации пользователя доступ к информации, хранящейся на закрытом разделе диска СН, запрещен.
Для авторизации пользователя СН необходимо в консоли пользователя выбрать функцию «Авторизовать пользователя…». После этого на экране появляется окно запроса КА. В поле данного окна необходимо ввести КА и для завершения операции нажать кнопку <�Оk>. Для отмены текущей операции следует нажать кнопку <�Отмена> (рисунок 15).
ВНИМАНИЕ! В рамках сеанса работы с СН введение КА для авторизации пользователя устройства требуется только один раз. Однако если во время сеанса администратор СН получит доступ к журналу событий, то процедуру авторизации пользователя необходимо провести снова.
Рисунок 15 - Окно запроса кода авторизации пользователя
Если КА введен некорректно, то на экране отображается сообщение об ошибке при выполнении авторизации пользователя (рисунок 16).
Рисунок 16 - Сообщение об ошибке при авторизации пользователя
В таком случае необходимо нажать кнопку <�Оk> и повторить операцию авторизации пользователя еще раз.
Если КА введен корректно, на экране появляется сообщение об успешной авторизации пользователя (рисунок 17).
Рисунок 17 - Сообщение об успешной авторизации пользователя
ВНИМАНИЕ! После успешного завершения процедуры авторизации ПО РС монтирует закрытый раздел флеш-диска СН, который становится доступен операционной системе РС. Если пользователь не прошел процедуру авторизации, доступа к закрытому разделу флеш-диска СН не предоставляется.
После успешного выполнения процедуры авторизации пользователя все функции консоли пользователя блокируются, а в колонке «Состояние» отображается: «Пользователь авторизован» (рисунок 18).
Рисунок 18 – Вид консоли пользователя после выполнения пользователем процедуры авторизации
3.3.Разблокирование СН
В случае нескольких последовательных неудачных попыток ввода кода авторизации (максимально допустимое количество неудачных попыток определяется администратором см. «Руководство администратора») СН блокируется и на экран выводится соответствующее сообщение (рисунок 19).
Рисунок 19 - Сообщение о блокировании СН
При этом статус СН в главном окне консоли пользователя изменяется на <�Заблокирован> и единственной доступной функцией становится функция разблокирования СН (рисунок 19).
Чтобы разблокировать СН, в консоли пользователя необходимо нажать кнопку <�Разблокировать СН…>. После этого на экране появляется окно разблокирования СН (рисунок 20).
Рисунок 20 - Окно разблокирования СН
В верхнем поле данного окна нужно ввести PUK–код, в нижних полях – новый код авторизации пользователя с подтверждением. Для завершения операции следует нажать кнопку , для ее отмены – кнопку <�Отмена>.
Кнопка окна разблокирования СН недоступна, если:
не введен КА; не введено подтверждение КА;
не введен PUK-код.
Если вводимое количество символов КА меньше минимального значения, установленного администратором, на экране появится следующее оповещение (рисунок 21).
Рисунок 21 – Оповещение о том, что КА должен содержать от 6 до 16 символов
В этом случае следует нажать кнопку и ввести корректный КА.
Если подтверждение нового кода авторизации введено некорректно, то на экране отображается сообщение об ошибке при подтверждении КА (рисунок 22).
Рисунок 22 – Сообщение об ошибке при подтверждении кода авторизации
В этом случае нужно нажать кнопку и ввести корректный КА.
Если введен некорректный PUK-код, на экране появляется оповещение об ошибке в процессе ввода PUK-кода (рисунок 23):
Рисунок 23 - Оповещение об ошибке в процессе ввода PUK – кода
В этом случае необходимо нажать кнопку в поле данного окна и ввести корректный PUK-код.
ВНИМАНИЕ! Если значение PUK-кода утеряно, операцию разблокирования СН может провести только администратор, выполнив функцию аннулирования регистрации пользователя (см. «Руководство администратора» 11443195.4012.033-90).
Если операция разблокирования СН выполнена корректно, на экране появляется сообщение об успешно выполненном разблокировании СН (рисунок 24).
Рисунок 24 – Сообщение об успешном завершении процесса разблокирования СН
После нажатия кнопки в консоли пользователя вновь будут доступными функции авторизации и смены КА.
3.4.Смена кода авторизации
ВНИМАНИЕ! Необходимо регулярно (в соответствии с внутренней политикой безопасности) или экстренно (в случае подозрения о компрометации КА) производить смену КА.
Чтобы сменить КА, в консоли пользователя нужно выбрать функцию «Сменить код авторизации…». После выбора этой функции на экране появляется окно смены КА (рисунок 25).
Рисунок 25 - Окно смены КА
В верхнем поле данного окна нужно ввести старый код авторизации, в нижних полях – новый код авторизации с подтверждением. Нужно нажать кнопку для завершения текущей операции и кнопку <�Отмена> для ее отмены.
Кнопка является недоступной, если:
не введен старый код авторизации;
не введен новый код авторизации или его подтверждение.
Если вводимое количество символов нового КА меньше минимального значения, установленного администратором, на экране появится следующее оповещение (рисунок 26).
Рисунок 26 - Оповещение о том, что новый КА должен содержать количество символов, определяемое политикой использования КА
В этом случае следует нажать кнопку и ввести корректный КА.
Если подтверждение нового кода авторизации введено некорректно, на экране отображается сообщение о несовпадении кода авторизации с его подтверждением (рисунок 27).
Рисунок 27 - Сообщение несовпадении подтверждения кода авторизации
В таком случае нужно в данном сообщении нажать кнопку и ввести корректный КА.
Если в процессе смены кода авторизации введен некорректный старый КА, на экран выводится сообщение об ошибке при вводе кода авторизации (рисунок 28).
Рисунок 28 – Сообщение об ошибке в ходе смены кода авторизации
В этом случае необходимо нажать кнопку и ввести корректный КА.
Если процесс смены кода авторизации выполнен корректно, на экране появляется сообщение об успешной смене КА (рисунок 29).
Рисунок 29 – Сообщение об успешной смене кода авторизации
3.5.Завершение работы
ВНИМАНИЕ! Перед извлечением СН из USB–порта рекомендуется сначала завершить работу ПО РС. Извлечение СН из USB–порта во время работы ПО РС может привести к некорректному завершению работы консоли пользователя.
Чтобы завершить работу с ПАК «Секрет Особого Назначения», необходимо нажать правой кнопкой мыши на значок СН в трее (рисунок 3) и выбрать в появившемся окне пункт «Выход» (рисунок 4). После этого на экране появляется следующее сообщение (рисунок 30):
Рисунок 30 – Завершение работы СН
Для подтверждения текущей операции следует нажать кнопку <�Да>, для отмены операции – кнопку <�Нет>.
4. Применение ПАК «Секрет Особого Назначения»
«Секрет Особого Назначения» используется точно так же, как и обыкновенный USB-накопитель. Отличие состоит только в процедуре получения доступа к пользовательским данным, хранящимся на флеш-диске.
«Секрет Особого Назначения» возможно использовать для хранения конфиденциальной информации только если в СН зарегистрирован пользователь.
Для авторизации пользователь должен ввести верное значение КА. После успешного завершения процедуры авторизации ПО РС монтирует закрытый диск СН, который становится доступен из операционной системы РС. На этом диске пользователь может хранить необходимую конфиденциальную информацию.
Внимание! В случае если процедура получения доступа к данным СН производится впервые после регистрации, то после нажатия кнопки (рисунок 17) и попытки открыть диск СН (рисунок 31) на экран выводится запрос на проведение операции форматирования закрытого диска, которая является частью процесса первой авторизации (рисунок 32).
Рисунок 31 - Отображение диска СН в окне файлового менеджера
Рисунок 32 - Запрос на форматирование диска СН при первом получении доступа
Следует нажать кнопку <�Да> (). На экран выводится окно форматирования диска, в котором необходимо нажать кнопку <�Старт> () (рисунок 33).
Рисунок 33 - Окно форматирования диска
В появившемся далее окне с предупреждением о том, что после форматирования все записанные на диске данные будут потеряны, следует нажать кнопку (рисунок 34).
Рисунок 34 - Предупреждающее сообщение
Начнется процесс форматирования диска СН, после успешного завершения которого на экран выводится соответствующее сообщение (рисунок 35).
Рисунок 35 - Сообщение об успешном завершении процедуры форматирования диска
После успешного выполнения описанной последовательности действий доступ к диску СН может быть получен.
В случае неуспешного завершения процедуры авторизации монтирование закрытого диска не производится. В этом случае пользователь не может получить доступ к информации, хранящейся на СН.
В случае достижения порога неудачных попыток авторизации (определяется политикой КА) СН блокируется. Дальнейшее использование СН возможно только после успешного выполнения операции разблокирования СН.
5. Перечень принятых сокращений и обозначений
-
АМДЗ
|
–
|
аппаратный модуль доверенной загрузки;
|
ДСЧ
|
–
|
датчик случайных чисел;
|
СН
|
–
|
специальный носитель;
|
КА
|
–
|
код авторизации;
|
НСД
|
–
|
несанкционированный доступ;
|
ОС
|
–
|
операционная система;
|
ПАК
|
–
|
программно-аппаратный комплекс;
|
ПО
|
–
|
программное обеспечение;
|
ПСП
|
–
|
псевдослучайная последовательность;
|
РС
|
–
|
рабочая станция;
|
NAND
|
–
|
флэш-память типа И-НЕ (NOT AND);
|
PUK
|
–
|
Personal Unblocking Key;
|
USB
|
–
|
Universal Serial Bus.
|
|
