Работа с мобильным приложением: как защитить информацию
Популярность использования планшетов и смартфонов в бизнесе растет с каждым годом. Все больше сотрудников предпочитают работать с документами и почтой со своего мобильного устройства. Однако не все знают, что это не так безопасно, как работа со стационарным компьютером. Можно столкнуться с большим количеством не только технических проблем, но и с утечкой информации.Человек, привыкший к удобству современных интерфейсов смартфонов и планшетов, желает пользоваться ими и на работе. Это породило в корпоративном сегменте, с одной стороны, внешнюю тенденцию к BYOD (Bring Your Own Device), а с другой – внутреннюю мобилизацию, инициированную уже непосредственно самим бизнесом. Такие процессы, наряду с другими факторами, вызвали рост популярности использования мобильных приложений для удаленной работы с системами электронного документооборота (СЭД). Однако переход к мобильной работе требует решения ряда специфических проблем, особенно в области обеспечения безопасности.
Личные гаджеты в рамках концепции BYOD
По данным Cisco IBSG, уже в 2012 г. 55% корпоративных сотрудников в России использовали различные мобильные приложения в своей работе. Это сравнимо с европейским уровнем (58% в Великобритании, 52% во Франции и 50% в Германии), хотя и ниже уровня США (67%). По данным Центра корпоративной мобильности «АйТи», основным побудительным мотивом мобилизации сотрудников является повышение продуктивности их работы (76% опрошенных), а также возможность создания новых бизнес-процессов для повышения конкурентоспособности организации в целом (45%). Так, по данным МТС, мобильный доступ к СЭД стал одной из наиболее важных сфер использования планшетов и смартфонов в корпоративной среде наряду с доступом к корпоративной почте, интранету и средствам для совместной работы. Другими примерами использования мобильных приложений можно назвать просмотр на планшете карточки пациента в больнице, согласование инженерных отчетов на удаленных участках газовых и нефтяных месторождений, поддержку работы торговых представителей, согласование договоров между риелторами и т.д.
Интересно также, что примерно половину всех корпоративных планшетов и смартфонов сегодня покупают сами сотрудники и приносят с собой на работу (данные Центра корпоративной мобильности «АйТи»). Не удивительно, что Apple iPad, благодаря удобству и богатству экосистемы, занимает примерно половину нынешнего корпоративного рынка планшетов. В IDC прогнозируют, что такое положение дел сохранится до 2017 г.
Популярность Apple iPad среди корпоративных пользователей имеет и еще одну, более вескую причину. Большинство ИТ-директоров подтверждает, что, несмотря на более низкую стоимость планшетов и смартфонов на ОС Android, наименьший показатель ТCО (Total Cost of Ownership – совокупная стоимость владения) достигается именно при использовании устройств на iOS. Причина – более низкие расходы на обеспечение безопасности. Не секрет, что более открытая и массово распространенная ОС Android сегодня является основной целью атак. Так, по данным Kaspersky Security Network 2013 г., на ОС Android приходилось 98% всех образцов вредоносного ПО, созданных для мобильных устройств. При этом, по данным Dr.Web, Россия являлась страной номер один в мире по количеству зафиксированного вредоносного ПО для Android.
Угрозы и методы обеспечения безопасности информации
Однако вирусные атаки – далеко не все, с чем сталкиваются сегодня специалисты по информационной безопасности. Фактическое отсутствие вирусной угрозы при работе с устройствами на Apple iOS не избавляет «безопасников» от необходимости защищать информационный периметр организации, который сегодня все больше размывается. Одной из главных угроз при этом становится возможность компрометации и искажения данных при сетевом обмене с удаленными устройствами. В iOS отсутствует возможность использования российских средств криптографической защиты информации на уровне системных служб. При этом штатный VPN-клиент, как и другие, загружаемые из App Store и построенные на основе зарубежных алгоритмов, не отвечает российским стандартам. Выходом из такого положения является реализация коммуникационного слоя на уровне отдельных iOS-приложений, и на рынке уже имеются готовые библиотеки под iOS, сертифицированные ФСБ России.
Вторую ключевую угрозу представляет несанкционированный доступ к данным в памяти самого мобильного устройства. Часто корпоративные системы кэшируют данные последнего сеанса связи с сервером, которые сохраняются в памяти устройства и нуждаются в защите. Делается это криптографической «контейнеризацией» либо всего устройства (однако лишь с использованием штатного VPN-клиента Apple или из App Store, опять же с западной криптографией), либо на локальном уровне, когда шифруется контейнер с данными в пределах приложения, что больше соответствует нашим реалиям. Использование одного ключа шифрования для нескольких бизнес-приложений дает возможность обмена информацией между ними без риска утечек. Однако возникает вероятность компрометации самих ключей шифрования. Существуют 2 способа их размещения: либо в памяти самого устройства (удобно, но непрактично из-за риска потери устройства и склонности пользователей к подбору простых PIN-кодов), либо на внешнем носителе, что более надежно. Так, российские вендоры уже предлагают соответствующие считыватели для смарт-карт – к примеру, «Алладин Р.Д.», чей продукт будет рассмотрен ниже.
Третьей угрозой безопасности при мобильном доступе является утечка информации по второстепенным или неочевидным каналам. Это могут быть скриншоты, копирование в буфер обмена, функция «открыть в» или включенный режим автоматической подстановки слов. Во всех этих случаях либо изображение, либо весь файл покидает криптографический контур исходного приложения или появляется возможность быстрого подбора пароля. Подобные «дыры» в безопасности можно устранить, разрешив сотрудникам копирование и вставку лишь между защищенными бизнес-приложениями.
Четвертая возможная угроза – нарушение целостности данных и программного кода, как правило, вследствие так называемой операции jailbreak – взлома ОС. Полный контроль за этим из самого приложения невозможен, но при обнаружении факта взлома можно автоматически удалять ключи шифрования и все накопленные защищенными приложениями данные с помощью EMM-систем (Enterprise Mobility Management).
Наконец, угрозы безопасности могут возникать на этапе интеграции мобильных устройств в корпоративную среду. Однако специализированные приложения корпоративного класса делают все возможное для бесшовной интеграции с сервисами и системами безопасности (доменная схема аутентификации, встраивание в PKI-среду и т. д.).
Однако, даже закрыв все вопросы безопасности на уровне приложений и инфраструктуры, специалисты сталкиваются с рядом специфических проблем, характерных для доступа мобильных приложений к корпоративным системам через Интернет. В этом случае соединение устанавливается через множество узлов, не являющихся доверенными и надежными для обеих сторон обмена. На этих узлах помимо прочего может осуществляться, во-первых, подмена клиента, когда собрав достаточную статистику трафика обмена, промежуточный узел может обратиться к серверу, выдав себя за доверенное клиентское устройство. Во-вторых, это может быть подмена сервера, при которой промежуточный узел выдает себя за доверенный сервер для доступа к данным аутентификации пользователя и его рабочим материалам или перенаправляет информацию на подставной сервер. Как правило, средством противодействия таким угрозам является скрытие содержимого трафика обмена от промежуточных узлов (шифрование, надежная взаимная аутентификация обеих сторон).
Две следующие угрозы не направлены на компрометацию пользователя системы, его мобильного устройства и данных, но препятствуют выполнению его рабочей деятельности, что в условиях использования мобильных решений руководством также может быть весьма опасно. К такого рода угрозам относится злонамеренный или возникший вследствие технического сбоя отказ в обслуживании, когда владелец мобильного устройства не получает или не передает актуальную информацию. Это лечится использованием надежных каналов, их дублированием, защитой от DDOS-атак. Также подобной угрозой является рассинхронизация времени мобильных устройств и корпоративного сервера вследствие территориальной удаленности. Она устраняется путем использования единого источника времени для всех компонентов корпоративной системы, в том числе удаленных.
Решения, обеспечивающие защиту информации
На рынке уже начали появляться защищенные решения, максимально учитывающие все угрозы безопасности, обозначенные выше. Одним из них является внешний карт-ридер для Apple iPad, iPhone со смарт-картами, разработанный компанией «Алладин Р.Д.». Роль средства криптографической защиты информации здесь выполняют смарт-карты. В них вшита собственная операционная система, которую и сертифицирует ФСБ. Ридеры и смарт-карты «Алладина Р.Д.» для безопасной работы с Apple iPad, iPhone сегодня используются в банковской сфере и при работе с электронными госуслугами. Что же касается СЭД, то интеграцию такого аппаратного решения в свои продукты провела лишь компания «Электронные Офисные Системы (ЭОС). В итоге сегодня приложение iEOS2, мобильное автоматизированное рабочее место для работы (АРМ) с СЭД на Apple iPad позволяет обеспечить безопасную работу сразу по всем направлениям: подписание документов усиленной квалифицированной электронной подписью (самым защищенным типом электронной подписи), проверка сертификатов, шифрование, аутентификация, защита канала в соответствии с ГОСТ.
В то же время помимо iEOS2 линейка мобильных решений ЭОС включает в себя также «АРМ Руководителя» для Windows 7 и «АРМ Руководителя» для Windows 8. Для обеспечения безопасности в них используется система криптографического обеспечения КАРМА собственной разработки, позволяющая работать практически с любыми отечественными и зарубежными криптопровайдерами.
Артем Андреев