Доверенная загрузка на ноутбуках объектов КИИ и ГИС (Приказ ФСТЭК № 239 / № 17): аппаратные ПАКМ «Соболь» / «Аккорд» M.2 против программных МДЗ UEFI
Классическая катастрофа неопытного интегратора при оснащении мобильных рабочих мест диспетчеров, инженеров АСУ ТП или государственных информационных систем (ГИС 1–2 класса): сначала закупают сотню тонких однослотовых ультрабуков, а через месяц при аттестации по требованиям ФСТЭК России (ИД.УПД.4 — доверенная загрузка) с ужасом обнаруживают, что единственный на материнской плате слот M.2 уже занят системным NVMe SSD с операционной системой, и физическую плату аппаратно-программного модуля доверенной загрузки (ПАКМ) просто НЕКУДА вставить!
Разбираем, какие два типа сертифицированных ФСТЭК России средств доверенной загрузки (СДЗ) применяются именно на современных ноутбуках и как выбрать архитектуру до закупки железа!
Два класса сертифицированных ФСТЭК СДЗ для корпоративных ноутбуков
По Требованиям ФСТЭК России к средствам доверенной загрузки (утв. приказом ФСТЭК России) существуют три вида исполнения СДЗ: СДЗ уровня базовой системы ввода-вывода (BIOS/UEFI), СДЗ уровня платы расширения и СДЗ уровня загрузочной записи (различаются по классам защиты 4–6 под разные категории значимости КИИ и классы ГИС):
| Архитектура СДЗ на ноутбуке | Примеры решений | Как физически устроено в ноутбуке | Когда выбирать |
|---|---|---|
| 1. Аппаратно-программный модуль уровня платы расширения форм-фактора M.2 (2242 / 2280 Key B+M / M или Mini PCIe) | ПАК «Соболь» (Код Безопасности, исполнение M.2), «Аккорд-МКТ / АМДЗ» (ОКБ САПР) | Независимая доверенная микроконтроллерная плата с собственной энергонезависимой памятью, аппаратными часами и сторожевым таймером (Watchdog) перехватывает управление до старта ОС, требует предъявления персонального идентификатора (Rutoken / JaCarta / iButton) и сверяет хеши ГОСТ всех файлов загрузчика и ядра! | Когда по модели угроз / категории объекта требуется строго аппаратный СДЗ с независимым контроллером и Watchdog-таймером — требует ноутбука МИНИМУМ С ДВУМЯ физическими слотами M.2 (один под системный SSD, второй PCIe — под плату СДЗ!)! |
| 2. Встроенный в прошивку UEFI отечественного ноутбука модуль доверенной загрузки (СДЗ уровня базовой системы ввода-вывода) или программно-аппаратный UEFI-загрузчик | Собственные сертифицированные ФСТЭК реализации СДЗ уровня BIOS / UEFI от ведущих российских производителей («Аквариус», «Гравитон» и др.), программные редакции ПАК «Соболь» UEFI с токеном | Исполняется непосредственно на самом раннем этапе инициализации платформы DXE UEFI до передачи управления загрузчику GRUB / Windows Boot Manager с двухфакторной аутентификацией по USB-токену! | Не занимает ни одного слота M.2 внутри тонкого 14-дюймового ноутбука, не снижает автономность батареи и штатно интегрирован в заводской цикл обновления BIOS! |
Критические нюансы внедрения СДЗ на парке ноутбуков, о которых молчат буклеты
- Проверка линии шины
PCIeво втором слотеM.2ноутбука! Даже если в характеристиках ноутбука написано «2 слота M.2» (см. также общие правила ревизии слотов M.2 и ОЗУ в ноутбуках), один слот может иметь разводкуPCIe NVMe, второй —SATA-onlyили короткий слотM.2 2230 Key Eпод Wi-Fi-адаптер! Аппаратная плата ПАК «Соболь» M.2 требует строго определённого ключа разъёма и линий шины — всегда запрашивайте официальный лист протестированных моделей ноутбуков у «Кода Безопасности» / «ОКБ САПР» или берите заводскую сборку с установленным и опечатанным на конвейере СДЗ! - Жёсткая связка «Обновление ядра ОС -> Пересчёт эталонных контрольных сумм СДЗ»! Главная причина массового «окирпичивания» загрузки у неопытных админов в пятницу вечером: администратор по сети обновил пакет ядра
/boot/vmlinuz-...иinitrd.imgна Astra Linux SE, перезагрузил ноутбук — и СДЗ совершенно справедливо заблокировал старт машины с сиреной «Нарушение целостности контролируемого объекта!»! В регламенте обновлений ИБ обязан быть прописан штатный перевод СДЗ в технологический режим администратора безопасности и автоматический пересчёт базы контрольных сумм после легитимного патча! - Запасной аварийный идентификатор администратора безопасности в сейфе ИБ! Если сотрудник в командировке потерял свой персональный
Рутокен / JaCartaдвухфакторного входа СДЗ, включить ноутбук невозможно — на этот случай каждый ноутбук инициализируется парой ключей (ключ пользователя + мастер-ключ администратора ИБ, хранящийся в опечатанном пенале по журналу поэкземплярного учёта СКЗИ/СЗИ!).
Чек-лист отдела ИБ перед закупкой и аттестацией мобильного АРМ с СДЗ
- [ ] Определены класс защищённости ГИС / уровень защищённости ИСПДн по 152-ФЗ / категория значимости объекта КИИ и проверен действующий сертификат соответствия ФСТЭК России на выбранное исполнение СДЗ (с датой окончания срока действия сертификата!).
- [ ] Нижняя сервисная крышка ноутбука опечатана номерной разрушаемой пломбой-наклейкой службы ИБ (включая запись номера пломбы и серийного номера СДЗ в формуляр АРМ) для защиты от физического извлечения SSD и аппаратного сброса перемычки CMOS!
- [ ] На самом накопителе дополнительно активировано прозрачное криптографическое шифрование раздела данных: помните, что СДЗ защищает загрузку именно этого ноутбука, но если злоумышленник выкрутит отвёрткой незашифрованный
NVMe SSDи вставит его через USB-переходник в свой собственный компьютер — от чтения сырых секторов на чужой машине защищает только шифрование диска!
Частые вопросы
Обязан ли обычный коммерческий интернет-магазин или строительная компания ставить аппаратный «Соболь» на ноутбуки менеджеров, если там есть персональные данные клиентов?
В подавляющем большинстве коммерческих компаний (ИСПДн 3-го и 4-го уровней защищённости по ПП РФ № 1119 и Приказу ФСТЭК № 21) покупка отдельных аппаратных плат ПАКМ в каждый ноутбук НЕ требуется — нейтрализация актуальных угроз на базовом уровне вполне закрывается штатными сертифицированными механизмами UEFI Secure Boot, паролями BIOS и сертифицированной ОС / средством защиты информации от НСД! Избыточное навешивание тяжёлых аппаратных СДЗ там, где модель угроз этого не требует, только сжигает бюджет и нервы бизнеса!