ИВК запатентовала способ управления идентификацией пользователей информационных ресурсов неоднородной вычислительной сети

Патент зарегистрирован в Государственном реестре изобретений Российской Федерации (№ 2415466).

Идентификация пользователей относится к наиболее важным подсистемам ИБ, ведь ее результаты определяют к каким сведениям и к каким функциям информационной или автоматизированной системы (ИС и АС, соответственно) пользователь должен получить доступ для выполнения своих должностных обязанностей, а к каким – нет. На идентификацию опирается и система, связывающая должностные обязанности сотрудника с его допустимыми ролями в информационной системе. На техническом же уровне подсистема идентификации влияет практически на все элементы инфраструктуры и прикладного ПО, т. к. на их использование организация всегда накладывает какие-либо ограничения. Задачу надежной идентификации резко усложняют как территориальная распределенность ИС, так и совместное использование в них различных вычислительных платформ и телекоммуникационных средств (неоднородность).

В основе разработанного компанией ИВК  способа управления идентификацией пользователей лежит применение в информационной системе системообразующего ПО класса middleware «ИВК Юпитер». В этом ПО, в частности, реализована высокоуровневая модель безопасности, чьи базовые понятия полностью соответствуют понятиям должностных инструкций и других нормативных документов, регулирующих различные аспекты ИБ на организационном уровне предприятия. Кроме того, система управления идентификацией пользователей опирается на встроенные средства аутентификации и другие гарантированные сервисы «ИВК Юпитер».

Средства управления идентификацией пользователей оформлены в виде специализированной подсистемы, получившей название «ИВК Юпитер. IdentityManager» (далее: «ИВК Юпитер.IM»). В ней реализован принцип однократной регистрации (SingleSign-On, или SSO) должностного лица в ИС и АС. Кроме того, подсистема обеспечивает централизованное безопасное хранение идентификационных параметров, необходимых для авторизации пользователей в различных прикладных подсистемах ИС и АС. В качестве таких параметров могут использоваться любые данные (пароли, ключи, сертификаты и т. п.), причем их передача  в подсистему, к которой пользователю необходимо получить доступ, производится автоматически. В «ИВК Юпитер.IM» в полном объеме реализована также возможность отслеживания состояния пользовательских сессий в прикладных программах и завершения таких сессий при выходе должностного лица из основной контролирующей системы – «ИВК Юпитер».

Подсистема «ИВК Юпитер.IM» имеет клиент-серверную архитектуру. Сервер обеспечивает хранение идентификационных параметров и выдачу их по запросу клиентов «ИВК Юпитер.IM». Как правило, сервер «ИВК Юпитер.IM» совмещается с сервером безопасности «ИВК Юпитер», работающем на главной машине объекта автоматизации АС. В свою очередь, клиентское ПО «ИВК Юпитер.IM» автоматически запускается после успешной авторизации должностного лица в информационной магистрали «ИВК Юпитер». Это оконное приложение предоставляет пользователю простой интерфейс для запуска и останова всех разрешенных приложений, а также получения дополнительной информации о них. Отметим,  что взаимодействие клиентов и сервера «ИВК Юпитер.IM» использует средства гарантированной защищённой передачи данных, предоставляемые средой «ИВК Юпитер».

«ИВК Юпитер.IM» – модульный продукт, предоставляющий возможность наращивания функционала с помощью встраиваемых функциональных блоков – плагинов (plugins). С помощью этого механизма базовые возможности «ИВК Юпитер.IM» – администрирование учётных записей пользователей «ИВК Юпитер», предоставление сервиса однократной регистрации (SSO) – могут быть расширены набором функций администрирования внешних систем: каталогов LDAP, MS Active Directory, подсистем безопасности некоторых СУБД. При этом «ИВК Юпитер.IM» позволяет устанавливать логические связи между различными учётными данными одного пользователя. Кроме того, «ИВК Юпитер.IM» предоставляет программный интерфейс (Application Programming Interface, API), который позволяет разработать специфические плагины для решения нестандартных задач.

Подчеркнем, что реализация системы управления идентификацией пользователей на базе полнофункционального ПО класса middleware чрезвычайно удобна для пользователя. С одной стороны, это гарантирует высокую защищенность, надежность и производительность подсистемы идентификации, а с другой, – сводит к минимуму работу по ее администрированию. Более того, в территориально-распределенных гетерогенных информационных системах ПО «ИВК Юпитер» предоставляет прикладным программам целый ряд общесистемных функций. Среди них отметим: гарантия доставки информации по любым, в том числе беспроводным каналам передачи данных, гарантия целостности и подлинности прикладного и системного ПО, предоставление унифицированного доступа к разнородным вычислительным ресурсам.  При этом «ИВК Юпитер» полностью изолирует приложения друг от друга и от операционной системы, образуя единую закрытую вычислительную среду. Наконец, подсистема безопасности ядра «ИВК Юпитер» «прозрачно» взаимодействует со всеми дополнительными средствами обеспечения ИБ, такими как средства шифрования данных, ЭЦП и др. Для ряда заказчиков принципиально важно, что сегодня ПО «ИВК Юпитер», являющееся полностью российской разработкой, – это единственный системообразующий комплекс, сертифицированный ФСТЭК РФ и МО РФ для применения в системах обработки информации, составляющей государственную тайну.

«Новый патент ИВК продолжает линию по защите оригинальных разработок нашей компании в области информационной безопасности. Ранее ИВК запатентовала концепцию и способ защиты информационных ресурсов в неоднородных вычислительных сетях. Теперь подтвержден приоритет изобретения в области идентификации пользователей таких ресурсов, – говорит Валерий Андреев, директор  по науке и развитию ИВК. – Эту линию мы будем продолжать и впредь, считая это важным не только для бизнеса ИВК, но и для утверждения престижа российских разработок в сфере высоких технологий».