Подраздел Контроль безопасности жизненного цикла посвящен управлению разработкой систем и безопасностью среды. Управление разработкой систем включает безопасность среды разработки, безопасность персонала, занимающегося разработкой, безопасность управления конфигурацией во время технической поддержки продукта, практику инженерии и методологию разработки программного обеспечения, модульность, разбиение на слои, использование определенных методов реализации (оборонительное программирование), безопасность средств разработки. Управление безопасностью среды заключается в выполнении процедур, гарантирующих поддержание заданной безопасности операционных систем и сетей. Эти процедуры реализуют проверку программного, программно-аппаратного и аппаратного обеспечения безопасности.
Подраздел Контроль сетевой безопасности регулирует управление сетевой безопасностью среды.
Подраздел Управление прикладным криптографическим модулем описывает следующие аспекты разработки криптографического модуля: идентификацию границ криптографического модуля, ввод/вывод, функции и сервисы, конечный автомат, физическую безопасность, безопасность программного обеспечения и операционной системы, согласованность алгоритма. Требования могут быть выражены ссылкой на определенный стандарт.
В разделе Форматы сертификата и списка аннулированных сертификатов описываются номера поддерживаемых версий сертификатов и САС, профиль и пункт распространения САС, дополнения сертификата, идентификаторы объектов криптографического алгоритма и ППС, указываются типы имен конечных субъектов, удостоверяющих и регистрационных центров и ограничения на имена. Раздел раскрывает использование ограничителей политики, синтаксис и семантику спецификаторов политики, семантику обработки критичной для ведения бизнеса политики.
Раздел Администрирование спецификации регламентирует порядок описания конкретной политики или регламента и задает процедуры изменения спецификации, публикации и уведомления, а также утверждения регламента.
Подраздел Процедуры изменения спецификации содержит следующие элементы:
1 список компонентов, подкомпонентов спецификации и/или их элементов, которые можно изменять без уведомления об этом заинтересованных сторон, не меняя идентификатор объекта ППС ( Object Identifier ) или указатель регламента ;
2 список компонентов, подкомпонентов спецификации и/или их элементов, которые можно изменять после уведомления об этом заинтересованных сторон, не меняя идентификатор объекта ППС ( Object Identifier ) или указатель регламента ;
3 список компонентов, подкомпонентов спецификации и/или их элементов, для которых требуется внесение изменений в идентификатор объекта ППС ( Object Identifier ) или указатель регламента.
В подразделе Процедуры публикации и уведомления содержится список элементов ППС или регламента, не публикуемых открыто, а также раскрываются механизмы распространения и управления доступом к документам, описывающим ППС или регламент. Подраздел Процедуры утверждения регламента регулирует согласованность определенного регламента и политики.
Перечень набора положений может служить контрольным списком или стандартным образцом для разработчиков ППС или регламента. Такой перечень можно использовать при сравнении:
* двух регламентов ;
* двух политик применения сертификатов на предмет их соответствия во время кросс-сертификации;
* регламента и описания политики для подтверждения того, что регламентов полностью реализует политику.
Трудности разработки политики и регламента
Среди разработчиков политики PKI редко встречаются подлинные специалисты, обладающие необходимым опытом и уровнем знаний. Большинство привлекаемых к этой работе бизнес-менеджеров оказываются недостаточно технически образованными, чтобы участвовать в проектировании PKI, а многие менеджеры - специалисты по информационным технологиям не знают условий реального бизнеса или специфики деятельности организации.
В результате документы, описывающие политику PKI, создаются людьми, которые не представляют целостной картины функционирования PKI и опираются на свои предположения и допущения. Встречающиеся в тексте документов неточности и положения, которые можно толковать двояко, подвергают серьезному риску всех субъектов PKI. Например, недооценка важности правильного выбора предельных сумм транзакций может иметь радикальные последствия: если предел установлен слишком низким, необходимые для ведения бизнеса транзакции могут быть отвергнуты, если предел слишком высок, PKI подвергается риску. Лучшим решением при отсутствии специалистов необходимой квалификации является привлечение центра утверждения политики (Policy Approval Authority) - организации, интегрирующей все составляющие политики и руководства в процессе выработки политики PKI (в России такая организация пока не создана).
Среди разработчиков политики PKI широко распространено мнение, что полезность описывающих политику документов напрямую зависит от их объема и степени подробности содержания. Например, политика применения сертификатов, разработанная компанией VeriSign для PKI Trust Network, излагается на 115 страницах, а регламентов занимает 119 страниц [10]. Более того, эти документы изобилуют юридической лексикой. Совершенно ясно, что документы такого объема и сложности находятся за пределами возможностей понимания среднего человека (субъекта или доверяющей стороны) и затрудняют разбор конфликтных ситуаций в суде. Некоторые компании, предоставляющие услуги PKI, поняли это и ищут альтернативные пути разработки более жизнеспособных документов. Так, например, компания VeriSign для сопровождения больших документов предлагает CPS Quick Summary - краткое изложение регламента. Краткое изложение делает документ более понятным для среднего человека, что повышает шансы компании выиграть в суде в случае конфликта между сторонами - субъектами PKI.
Этапы разработки политики применения сертификатов
Разработка ППС организации требует учета в одном документе технических, правовых и деловых аспектов функционирования PKI, а также участия представителей ключевых подразделений организации: службы безопасности, юридического отдела, службы технической поддержки систем, групп пользователей важных корпоративных приложений.
Первый этап разработки ППС - анализ целей и требований бизнеса, создающих необходимость в развертывании PKI (см. рис. 14.4). На этом этапе важно обсудить концепцию деловых операций и предлагаемую архитектуру системы, все это в комплексе определяет сферу применения и другие важные параметры PKI. Источником информации на этом шаге должна выступать политика безопасности организации.
Затем выполняется анализ данных и приложений организации, которые нуждаются в защите, оценка угроз этим данным и рисков. Рассматриваются возможные последствия компрометации безопасности: компрометация секретных данных клиентов, разглашение информации, дающее преимущества конкурентам, ущерб в результате раскрытия информации о финансовых транзакциях. Разработка ППС невозможна без обсуждения этих моментов.
ППС должна соответствовать тем данным и приложениям, которые организация намеревается поддерживать. Если ППС не адекватна, то либо стоимость развертывания PKI будет слишком велика, либо критически важные данные и приложения будут подвергаться риску. Развертывание PKI требует определенных капиталовложений, и существует корреляция между стоимостью PKI и уровнем безопасности, который она обеспечивает. ППС, предоставляющая более высокий уровень безопасности, требует более сложных процедур и большего количества обслуживающего персонала. Если организации необходимо защитить приложения с низким уровнем риска, то ППС, предусматривающая низкий уровень защищенности, может обеспечить приемлемый уровень безопасности при меньших затратах. С другой стороны, ППС, ориентированная на низкий уровень безопасности, не может обеспечить адекватную защиту данных и приложений в условиях более серьезного риска.
Рис. 14.4. Этапы разработки политики применения сертификатов
