ФСТЭК предложила стандартизировать платформу для доверенных ПАКов. Выполнение требований может стать вызовом для разработчиков

ФСТЭК в середине октября опубликовала для общественного обсуждения два проекта стандарта из серии «Доверенная среда исполнения» (ДСИ): «Общие положения»[1] и «Требования к аппаратно-программной платформе». В последнем из них упоминается и еще одна серия стандартов – «Доверенный компонент безопасности» (ДКБ), работа над которыми по планам ведомства должна начаться в 2027 году.

Следует отметить, что разработкой всех этих документов занимается технический комитет Росстандарта №362 «Защита информации», который курирует ФСТЭК. В то время как стандартизацией доверенных программно-аппаратных комплексов (ДПАК) занимается другой комитет – №167 «Программно-аппаратные комплексы для критической информационной инфраструктуры и программное обеспечение для них», созданный на базе «НПО КИС». Поэтому в тексте стандартов ФСТЭК используется альтернативное наименование аппаратно-программная платформа (АПП), которая может быть основой для доверенных программно-аппаратных комплексов.

Причем ТК-167 уже принял предварительный стандарт ПНСТ 905-2023 «Критическая информационная инфраструктура. Доверенные программно-аппаратные комплексы. Термины и определения», где и стандартизованы понятия для ДПАК. Он был утвержден в 2023 году и будет действовать до апреля 2027 года. Возможно, именно поэтому работа над стандартизацией ДКБ должна начаться в 2027 году.

«Новый проект стандарта задаёт понятные технические требования к безопасности ДПАК. Предварительный стандарт 905-2023 регламентирует ДПАК, как законченное изделие для эксплуатации в субъектах КИИ, где доверенность определяется как технологическая независимость и надёжность, тогда как проект ГОСТа регламентирует платформу доверенной среды исполнения, где доверенность определяется степенью защиты от злоумышленника.» – пояснил разницу между стандартами Роман Сафиуллин, руководитель отдела защиты информации InfoWatch ARMA.

Проект стандарта «ДСИ. Общие положения» был разработан совместно ФСТЭК России, «Открытой мобильной платформой», «ИСП РАН», «Аладдин Р.Д.», «Байкал Электроникс», «ПК Аквариус», «Ядро Микропроцессоры», «ИнфоТеКС», «Крипто-Про» и «ГНИИИ ПТЗИ ФСТЭК России».

В стандарте определены такие понятия как ДСИ, универсальная среда исполнения (УСИ), приложения для них и само понятие программно-аппаратного комплекса (ПАК). Далее сформулированы требования к функциям, особенностям функционирования ДСИ и к ПАК со встроенной ДСИ. В приложении приводятся примеры изоляции ДСИ и возможная архитектура программного обеспечения доверенной среды исполнения.

У стандарта «ДСИ. Требования к АПП» несколько иной набор авторов, из которых повторяются только три: ФСТЭК России, «Открытая мобильная платформа» и «Аладдин Р.Д.». К ним присоединились «Актив-софт», «КНС Групп», «Академия криптографии РФ», ассоциация «Доверенная платформа» и «Код Безопасности». В этом стандарте также указано, что при его разработке экспертную поддержку оказали компании «ИнфоТеКС», «Лаборатория Касперского», «Центр безопасности информации» и «Крафтвэй корпорэйшн ПЛС».

Фактически это означает, что в работе над этой серией стандартов принимали участие наиболее заметные разработчики средств защиты и производители аппаратного обеспечения российского рынка.

Стандарт определяет общие требования к АПП с использованием доверенных компонент и уровни доверия к ним. В частности, установлены особенности шести уровней доверия от самого низшего (шестого) до самого строгого (первого). При этом платформа должна состоять из ДСИ и ДКБ, который выступает корнем доверия для среды исполнения.

По словам Андрея Мишукова, операционного директора iTProtect, самое сложное для инженеров и архитекторов начинается на этапе практического внедрения документа, поскольку стандарт вводит шесть уровней доверия вплоть до защиты от препарирования чипов сфокусированными ионными пучками и лазерного глитчинга на первом уровне, рекомендуя иметь исполняемые модели процессорной подсистемы, верифицировать микроархитектуру на отсутствие скрытых каналов по времени и кэшированию, а также атомарно очищать кэш-линии при переключении контекстов.

«В реальности большинство российских производителей ПАК строят решения на зарубежной электронной компонентной базе, где у разработчика физически нет доступа к RTL-исходникам процессора или таблицам микрокода. Более того, документ требует, чтобы доверенные компоненты безопасности и механизмы обновления встроенного ПО, включая BIOS/UEFI, контроллеры управления, сетевые карты, СХД и даже графические процессоры работали строго на российской криптографии по ГОСТ.» – пояснил Андрей Мишуков сложность в реализации стандарта.

По его словам, стандартные механизмы зарубежных чипов вроде Intel Boot Guard или TPM 2.0 привязаны к западным алгоритмам. В итоге просто реализовать эти требования на доступном «железе» не получится: разработчикам ПАК придется либо создавать гибридные схемы с внешними аппаратными модулями доверия и изолирующими гипервизорами, как это показательно расписано в «Приложении Б» самого стандарта, либо закрывать беззащитность прошивок периферийных контроллеров компенсирующими мерами на уровне платформы в целом.

Если для шестого уровня АПП должна просто противостоять атакам нарушителя-любителя: самостоятельное исследование, действие на одном этапе жизненного цикла и проведение атаки только извне пространства контролируемой зоны, то на первом уровне доверия платформа должна сопротивляться в том числе и атакам государственных спецслужб.

В частности, первый уровень доверия АПП должен быть защищен от исследования с использованием измерительного и аналитического оборудования, включающим осциллограф, источники лазерного излучения, микрозондовую станцию, климатическую камеру, двулучевые электронно-ионные системы, средства жидкостного химического травления, установку химико-механического полирования и другие. Стандартные микропроцессорные компоненты для такого уровня защиты использовать не получится.

«Данный ГОСТ разрабатывается для формализации требований к АПП ДСИ, так как без их защиты невозможна безопасность доверенной среды в целом. ПНСТ 905-2023 фокусируется на требованиях к программному обеспечению, которое функционирует в составе доверенных ПАК для защиты КИИ. Разрабатываемый ГОСТ Р идет на уровень ниже и регулирует требования именно к АПП – аппаратные компоненты, микрокод, базовое встроенное ПО, аппаратная изоляция ресурсов и защита на уровне «железа». Эти документы не дублируют, а дополняют друг друга.» – пояснил читателям TAdviser Олег Дьяков, директор по инновационным проектам «Аладдин».

Юрий Дышлевой, руководитель направления «Аппаратные платформы» UserGate, считает, что у российских разработчиков при реализации требований стандарта главной сложностью станет неопределённость на первых этапах работы с ним. К части требований могут понадобиться сопутствующие методические и разъяснительные документы. Не исключено, что добавится нагрузка на процессы разработки и документирования, а у небольших команд — трудности с ресурсами.

«Регуляторная активность в целом стимулирует рынок, но ужесточение требований в свою очередь может привести к вытеснению отдельных игроков, если они не успеют адаптироваться под новые документы. Кроме того, с появлением таких стандартов увеличивается количество блоков на возможное возвращение на российский рынок иностранных вендоров – это можно рассматривать как защиту инвестиций российских разработчиков на перспективе в несколько лет.» – считает Сергей Коловангин, начальник ИТ-отдела компании «Газинформсервис».