Как удалить vipnet safeboot из биоса
Перейти к содержимому

Как удалить vipnet safeboot из биоса

  • автор:

Работа с vipnet safeboot

Резервируем возможность загрузки (делать сразу перед вводом в эксплуатацию).

Ищем раздел UEFI где лежит загрузчик. Обычно это небольшой раздел, с файловой системой vfat
Используем команду lsblk без параметров для просмотра размеров

lsblk

И с параметром -f для вывода типов файловых систем

lsblk -f

Получаем вывод для последней команды, примерно такого вида

NAME FSTYPE LABEL UUID MOUNTPOINT sda ├─sda1 ext2 c577f84d-3adc-438d-b702-154d8b21e95b /boot ├─sda2 vfat BB77-2128 └─sda3 LVM2_member 1uETbd-l2ko-U3th-ci3w-oIuN-wqwb-VHmHRV ├─vg0-root ext4 ed2eb7e9-3a40-47e6-9dfb-0f71efaa2b83 / └─vg0-swap swap e59a91f4-517e-494e-9b45-16e8c3c6b2c3 [SWAP]

Искомый раздел у нас будет sda2, это vfat раздел с небольшим размером

Примонтируем его на время куда-нибудь, например к папке /mnt
(далее следует работать от root, поэтому аккуратно)

mount /dev/sda2 /mnt

Посмотрев содержимое /mnt видим, что там всего одна директория EFI, а внутри нее папка Infotecs Вот эту папочку со всем ее содержимым и нужно сохранить куда-нибудь. Можно и целиком EFI

mkdir /root/bakefi cp -R /mnt/EFI /root/bakefi

Затем отмонтируем раздел EFI

umount /mnt

Резервную копию сохраняем на наше усмотрение, любым удобным способом.

Инструкция №1, полученная из админского чата

Ребят, работаю в еще одной организации медицинской, тоже столкнулся с сейфбутом. Тех поддержка прислала следующую подробную инструкцию. Может быть её куда то в материалы беседы кинуть, или в закреп?

Добрый день.
В случае возникновения ошибки «Рабочая директория VipNet Safeboot не найдена или повреждена…» необходимо выполнить следующие действия:
Отключить ПМДЗ VipNet Safeboot с целью входа в ОС:
Перед включением ПК физически извлеките SSD;
Подключите ранее созданный диск восстановления к USB порту и перезапустите ПК;
Если диск восстановления для конкретного ПВЭМ ранее не был штатно подготовлен согласно руководству системного администратора ПМДЗ «ViPNet SafeBoot», то в качестве диска восстановления будет использоваться дистрибутив ПМДЗ, который содержит в составе файл itrecovery.bin, используемый по умолчанию для стандартных учетных данных: Подготовьте USB-накопитель, предварительно отформатировав его в файловую систему формата FAT32 и распакуйте содержимое установочного архива в корневой каталог USB-накопителя;

Для временной деактивации ПМДЗ нажмите RIGHT CTRL + X ;
Далее нажмите Q до появления командной строки;
Введите команду map и проверьте, определяется ли USB-накопитель;
Обращаем Ваше внимание, что для корректного завершения процедуры к устройству должен быть подключен только один USB-накопитель, который будет определяться как «fs0:»;

Последовательно введите следующие команды:

> «fs0:» > «cd itinstall» > «cd tools» > «productmanager.efi -m disabled»

Выключите ПК и подключите SSD.
После отключения ПМДЗ необходимо проверить, отображается ли системный диск на портах SATA.
Для этого проверьте информацию на вкладке меню BIOS:

Chipset > PCH-IO Configuration > SATA And RST Configuration

(желательно направить изображение данной вкладки нам).
Если диск отображается корректно, необходимо загрузить операционную систему и перезагрузить устройство.

Далее необходимо проверить не происходит ли дублирование файлов VipNet Safeboot:
Зайдите в терминал с правами администратора;
Запустите MC (Midnight Commander);
Если в папке /boot/efi/EFI/infotecs по пути /EFI/infotecs происходит дублирование папки, ее необходимо удалить;
Перезагрузите устройство и активируйте ViPNet SafeBoot с помощью команд:

> «fs0:» > «cd itinstall» > «cd tools» > «productmanager.efi -m main»

Если SSD корректно определяется, дублирование файлов не происходит, но проблема сохраняется, рекомендуем удалить ПМДЗ VipNet Safeboot и установить его заново, согласно руководству по установке. Обращаем Ваше внимание, что при выполнении данных рекомендаций, необходимо будет повторно активировать лицензию на ПМДЗ VipNet SafeBoot (информация об активации содержится в руководстве администратора на стр. 20)

Инструкция №2, полученная из админского чата

Упс…такого не было еще кажется. Попробуй вот:
«…его необходимо записать на флешке, отформатированную в формате Fat32. Подключите к компьютеру. Во время запуска АРМ необходимо несколько раз нажимать сочетание клавиш (правый CTRL)+X. При возникновении ошибки нажмите клавишу F1 или стрелка вверх, вместо нее откроется окно авторизации.
Логин/ пароль: Administrator/xxxxxxxx .
После этого надо зайти в параметры загрузки и выставить загрузку с диска.
Зайти в авторизацию и заменить пароль администратора на этот же — xxxxxxxx . Включить — пароль без ограничений и сохранить настройки.
Выставить — автоматический вход в систему и время ожидания поменять на 1 секунду. »
Необходимый архив во вложении. sb.7z

  • /var/www/dokuwiki/data/pages/shared/safeboot_man.txt
  • Последнее изменение: 2022/12/08 14:22
  • — alex

Как удалить vipnet safeboot из биоса

Здравствуйте. Имеется компьютер производителя Depo с вшитой защитой в биосе VipNet Safeboot. Нужен дамп без МДЗ(модуль доверенной защиты). Модель материнской платы DPH110S. Тут на форуме писали, что мамка имеет схожесть с Asrock.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 21 янв 2021, 15:58

Я тут случайно

Присоединяюсь к теме ,нужен чистый дамп без блокировки.
Пробовал dph110m ни завелся.
Прикрепил свой дамп, фото MB, и тот который пробовал нелоченый.

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 03 фев 2021, 13:18

Я тут случайно

Приветствую!
Для удаления МДЗ из биоса нужно утилитой UEFIToot удалить драйвер с слитого биоса и залить его обратно.
В поиске этой утилиты найти GUID 94CEF9D4-EE67-4594-B023-AB7F335DA366 или поиск по тексту amdz
Сливать биос и заливать нужно на каждой материнке иначе серийники послетают.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 08 апр 2021, 17:56

Интересующийся

попробуйте

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 12 апр 2021, 10:34

Я тут случайно

Доброго времени
Есть дамп с этой мп не залоченый, можно войти в биос без проблем, что бы сделать тут вложение надо сначала создать топик? или можно на внешний ресурс выложить и сюда ссылку?
правда не могу настроить эту мп что бы внешняя видеокарта на ней работала поэтому ищу биос с алтернативной мп

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 28 сен 2021, 17:08

Я тут случайно

Как с него снять дамп? Только программатором?

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 29 сен 2021, 13:58
Вполне может быть, что FPT с DOS флешки с небольшим танцем сможет.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 22 окт 2021, 15:29

Я тут случайно

anmay писал(а):
В поиске этой утилиты найти GUID 94CEF9D4-EE67-4594-B023-AB7F335DA366 или поиск по тексту amdz

Добрый день!
Такая же проблема как у ТС — требуется убрать модуль доверенной защиты с платы DEPO DPH110S. Дамп снял, но поиск UEFITool вышеуказанных данных не находит.
Дамп прикрепил

DEPO_DPH110S.zip

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 23 окт 2021, 13:23

rabber
Если нормально посмотреть, то увидится куча модулей и драйверов от Vipnet, вот надо их и выпиливать, можете по слову Vip найти. Плюс выше выкладывали файлы, в оригинале еще и Boot Guard стоит.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 24 окт 2021, 12:12

Я тут случайно

RsM , спасибо за ответ. Что выкладывали, не вижу пока — нет нужного количества сообщений.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 25 окт 2021, 15:54

Я тут случайно

Нет, VIP-а тоже нет. По мануалу модуль доверенной загрузки — NumaArce. В двух местах встречается (скрин приложен). Если вырезать эти GUID, то комп не запускается. Ну, или я неправильно вырезаю.

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 19 ноя 2021, 12:20

Начинающий

Программой UEFITool открыл слитый дамп с защитой. В поле поиска ввожу vipnet. Что-то программа находит.
———- Добавлено спустя 5 минут 54 секунды: ———-
Теперь вопрос какой пункт выбрать для удаления?
———- Добавлено спустя 8 минут 11 секунд: ———-
кроме секции ItPMDZ, «vipnet» найден в ItAuth, ItSettings. А если вместо «vipnet» в поиске ввести mdz, то находится запись в секции ItIntegrMgr. Нужно ли и их удалять все?

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 23 ноя 2021, 10:35

Я тут случайно

Abduldjalil , кроме как удалить, придется КС пересчитать, кмк.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 02 янв 2022, 22:16

Я тут случайно

Зачем прошивать bios. Vipnet легко сносится своим установщиком. Запуск «uninstall mode» вернёт вам биос в исходное состояние. Просто нужно понять , что и сам VipNet никак не модифицирует BIOS. Он просто загружается ещё до BIOS.

Профиль

Заголовок сообщения: Re: Нужен dump биоса для Depo dph110s
Добавлено: 24 фев 2022, 18:42

Интересующийся

SaveliyFirsov
размер биоса 16мб ты скинул 8мб
———- Добавлено спустя 6 минут 11 секунд: ———-
anmay
короче говоря в вк полазил и там нашел на форуме и его слова скопировал тут , для чего . ты сам хоть проверял это. зачем выкладывать то что ты не знаешь и то что реально не работает.
———- Добавлено спустя 31 минуту 37 секунд: ———-
посмотрел много форумов , вроде бы получилось , теперь пароли админы ничего не просят сразу можно зайти в биос. выкладываю дамп который лично сам урезал и слил со своей рабочей платы

У вас нет доступа для просмотра вложений:
1. Пожалуйста авторизуйтесь или зарегистрируйтесь.
2. Вы должны иметь 15 (ПЯТНАДЦАТЬ) или более сообщений.
3. У нас можно купить доступ к файлам.

ViPNet SafeBoot

ViPNet SafeBoot — высокотехнологичный программный модуль доверенной загрузки, устанавливаемый в UEFI BIOS различных производителей. Он предназначен для защиты ПК, мобильных устройств (х86-архитектуры) и серверов (в том числе серверов виртуализации) от атак на BIOS и различных угроз несанкционированного доступа на этапе загрузки. В отличие от большинства решений, представленных на рынке, ViPNet Safeboot является полностью программным модулем и может быть установлен в UEFI BIOS спецификации 2.4 и выше.

2023

Получение сертификата ФСБ России на ViPNet SafeBoot 3

Компания «ИнфоТеКС» 18 декабря 2023 года сообщила о получении сертификата ФСБ России на программный модуль доверенной загрузки (ПМДЗ) уровня UEFI BIOS ViPNet SafeBoot 3.

Сертификат № СФ/527-4669 от 06.12.2023 удостоверяет, что ViPNet SafeBoot 3 соответствует требованиям к механизмам доверенной загрузки ЭВМ (класс защиты 2, класс сервиса Б) и может использоваться для защиты от несанкционированного доступа к информации, не содержащей сведения, составляющие государственную тайну. Полученный сертификат подтверждает возможность применения ViPNet SafeBoot 3 в сценариях, где ранее было доступно только применение аппаратно-программных модулей доверенной загрузки.

ViPNet SafeBoot 3 – поколение высокотехнологичного программного модуля доверенной загрузки, за счет использования множества дополнительных механизмов защиты UEFI BIOS и платформы в целом, например, контроля программных SMI, защиты от записи в WPBT, защиты прямой записи из BIOS на диск и других механизмов защиты, обеспечивающее большой набор функций для МДЗ.

ViPNet SafeBoot 3 сертифицирован по требованиям ФСБ России и ФСТЭК России. Модуль предназначен для создания точки доверия к платформе и её компонентам, загрузке операционной системе. Ключевыми задачами ViPNet SafeBoot 3 являются разграничение доступа к платформе, защита UEFI BIOS, контроль неизменности и защита компонентов персонального компьютера, а также организация доверенной загрузки штатной операционной системы. Вручены награды TAdviser IT Prize в 16 номинациях

ViPNet SafeBoot 3 представлен в двух исполнениях:

  • Исполнение 1 сертифицировано по требованиям и ФСБ России, и ФСТЭК России. Функциональные возможности Исполнения 1 ViPNet SafeBoot 3 ограничены платформой, не содержат механизмов удаленного управления, интеграции с внешними системами (LDAP).
  • Исполнение 2 сертифицировано только по требованиям ФСТЭК России. Исполнение 2 ViPNet SafeBoot 3 поддерживает удаленное управление, взаимодействие с сетевыми каталогами и другими средствами ИБ направления защиты конечных узлов.

Исполнение 1 ViPNet SafeBoot 3 применимо для защиты информационных систем, требующих аттестации по требованиям ИСПДн, ГИС, АСУ ТП, КИИ, а также систем, создаваемых по требованиям ФСБ России.

Получение сертификата ФСТЭК России на ViPNet SafeBoot 3

Компания «ИнфоТеКС» 31 мая 2023 года сообщила о получении сертификата ФСТЭК России на программный модуль доверенной загрузки уровня UEFI BIOS ViPNet SafeBoot 3.

Сертификат ФСТЭК России от 10.05.2023 г. № 4673 подтверждает соответствие ViPNet SafeBoot 3 требованиям по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий по 2 уровню доверия, требованиям к средствам доверенной загрузки, требованиям к профилю защиты средства доверенной загрузки уровня базовой системы ввода-вывода второго класса защиты.

Программный модуль доверенной загрузки ViPNet SafeBoot устанавливается в UEFI BIOS. Он предназначен для защиты ПК, мобильных устройств, серверов (в том числе и серверов виртуализации) от различных угроз несанкционированного доступа на этапе загрузки и от атак на BIOS. ViPNet SafeBoot осуществляет идентификацию и аутентификацию пользователей, разграничивает доступ на основе ролей, гарантирует доверенную загрузку операционной системы.

ViPNet SafeBoot 3 представлен в двух исполнениях:

  • Исполнение 1. «Локальная» версия не поддерживает механизмы удаленного управления и подключения к LDAP. Версия проходит сертификацию в ФСБ России и ФСТЭК России.
  • Исполнение 2. «Сетевая» версия поддерживает удаленное управление. Получен сертификат ФСТЭК России.

Ключевой задачей при выпуске ViPNet SafeBoot 3 была реализация новых требований ФСБ России. Помимо этого, в «сетевой» версии продукта реализована доверенная загрузка ОС по сети, поддерживаются механизмы HTTP-Boot и PXE Boot, добавлена поддержка Astra ALD Pro (аутентификация по LDAP), также теперь доступно формирование отчета о настройках продукта. ViPNet SafeBoot 3 теперь поддерживает токен Guardant ID 2.0, который необходимо использовать при построении систем с высоким классом.

ViPNet SafeBoot может быть использован для защиты государственных информационных систем до класса защищенности К1 включительно, для обеспечения 1 и 2 уровня защищенности персональных данных и автоматизированных систем управления технологическим процессом до 1 класса защищенности.

На конец мая 2023 года продолжаются сертификационные испытания ViPNet SafeBoot 3 в ФСБ России. Ожидаемый срок получения сертификата – осень 2023 года.

2022

Совместимость с токенами и смарт-картами «Рутокен»

ИнфоТеКС и Компания «Актив» 22 декабря 2022 года сообщили о завершении тестирования и подтвердили корректность совместной работы ViPNet SafeBoot с токенами и смарт-картами Рутокен. Подробнее здесь.

Совместимость с ноутбуками и моноблоками ICL

31 марта 2022 года компании «ИнфоТеКС» сообщила, что совместно с «АйСиЭл Техно» завершили тестирования работы программного модуля доверенной загрузки уровня UEFI BIOS ViPNet SafeBoot 2.1 на ноутбуках RAYbook Si1512, RAYbook Si1512 v2 и моноблоке S131Mi.

ViPNet SafeBoot предназначен для защиты рабочих станций, серверов, в том числе и серверов виртуализации, от угроз несанкционированного доступа на этапе загрузки и от атак на BIOS. ViPNet SafeBoot соответствует требованиям ФСТЭК России к средствам доверенной загрузки уровня базовой системы ввода-вывода 2 класса и может применяться для защиты:

  • информационных систем персональных данных до УЗ1 включительно;
  • государственных информационных систем до 1 класса защищенности включительно;
  • автоматизированных систем управления технологическим процессом до 1 класса защищенности включительно;
  • информационных систем, отнесенных к значимым объектам критической информационной инфраструктуры до категории значимости К1.

Согласно заключению Министерства промышленности и торговли, ноутбуки RAYbook и моноблок SafeRAY от ICL Техно полностью соответствуют всем критериям, изложенным в приложении к постановлению Правительства N 719 и считаются изделиями, произведенными на территории РФ.

ViPNet SafeBoot версии 3.0

08 февраля 2022 года Компания «ИнфоТеКС» сообщила о том, что объявляет о выпуске версии программного модуля доверенной загрузки уровня UEFI BIOS ViPNet SafeBoot 3.0. Продукт предназначен для защиты рабочих станций, мобильных устройств, серверов (в том числе и серверов виртуализации) от различных угроз несанкционированного доступа на этапе загрузки и от атак на BIOS.

Одной из ключевых задач, решенных в рамках разработки ViPNet SafeBoot версии 3.0, была реализация требований ФСБ России к механизмам доверенной загрузки ЭВМ, что значительно расширяет возможности применения данного продукта на российском рынке. После завершения сертификации ViPNet SafeBoot можно будет применять на поддерживаемых аппаратных платформах в информационных системах, содержащих СКЗИ классов защиты КС2 или КС3, вместо аппаратно — программных модулей доверенной загрузки (АПМДЗ) других производителей.

При работе над релизом ViPNet SafeBoot 3.0 в рамках технологического партнерства с компанией Baikal Electronics была реализована поддержка работы продукта на системных платах с отечественным процессором Байкал-М (aarch64).

Возможности ViPNet SafeBoot 3.0:

  • Работа со считывателями HID Omnikey 5422.
  • К списку поддерживаемых идентификаторов добавились токены Guardant ID версии 2.
  • Реализована поддержка Single Sign-On для пользователей LDAP.

В версии ViPNet SafeBoot 3.0 добавлена возможность контроля целостности и загрузки операционной системы по сети (PXE и Http Boot). Таким образом, продукт можно использовать в терминалах, загружающих образ ОС на сервере виртуализации. ViPNet SafeBoot 3.0 передан на сертификацию по требованиям ФСБ России к механизмам доверенной загрузки ЭВМ по классу защиты II и классу сервиса Б. Также продукт передан на сертификацию во ФСТЭК России на соответствие «Требованиям по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (ФСТЭК России, 2020) — по 2 уровню доверия, и «Требованиям к средствам доверенной загрузки уровня базовой системы ввода-вывода» 2 класса, что позволит использовать ViPNet SafeBoot для построения информационных систем персональных данных до УЗ1 включительно, государственных информационных систем и АСУ ТП до 1 класса защищенности включительно.

2020

Продление предоставления лицензий на безвозмездной основе сроком на 6 месяцев на фоне эпидемии коронавируса

В связи с увеличением количества заявок с просьбой предоставить лицензии на ПО для организации удаленного защищенного доступа и непростой ситуацией с развитием коронавирусной инфекции компания «ИнфоТеКС» 6 окитября 2020 года объявила о своей готовности предоставить лицензии на ряд своих продуктов безвозмездно. В том числе на ViPNet SafeBoot. Подробнее здесь.

Предоставление лицензии на безвозмездной основе на фоне эпидемии коронавируса

19 марта 2020 года ИнфоТеКС сообщил, что предоставит на безвозмездной основе лицензии на свое ПО для организации защищенного удаленного доступа. Компания объявила о готовности предоставить необходимое число лицензий на ПО ViPNet Client, ViPNet Connect, ViPNet IDS HS и ViPNet SafeBoot. Подробнее здесь.

2019

ViPNet SafeBoot версии 1.4 с USB-токенами и смарт-картами JaCarta

24 декабря 2019 года компания «Аладдин Р.Д.» сообщила, что совместно с «ИнфоТеКС» завершили тестовые испытания на совместимость своих продуктов. Результаты тестирования показали, что электронные ключи JaCarta могут использоваться совместно с программным комплексом защиты рабочих мест ViPNet Client версий 4.5.1 и 4.5.2, СКЗИ версии 4.4 и модулем доверенной загрузки для UEFI BIOS ViPNet SafeBoot версии 1.4. Подробнее здесь.

Совместимость с планшетами Getac F110G3 и ноутбуками Getac S410

Компании Getac и ИнфоТеКС 26 августа 2019 года сообщили о том, что подтвердили совместимость своих продуктов на совместном тестовом стенде в лаборатории ИнфоТеКС в Москве. В результате испытаний подтверждена корректность работы ноутбуков/планшетов Getac F110G3 и Getac S410 с программным обеспечением ViPNet Client 4.5, ViPNet Connect 2.4 и ViPNet SafeBoot 1.4. Подробнее здесь.

Технический релиз ViPNet SafeBoot 1.4

19 июня 2019 года компания ИнфоТеКС, отечественный разработчик и производитель программных и программно-аппаратных средств защиты информации, являющаяся технологическим партнёром «Аладдин Р.Д.», объявила о выпуске технического релиза программного комплекса ViPNet SafeBoot 1.4.

Программный комплекс ViPNet SafeBoot предназначен для идентификации и аутентификации пользователей, разграничения доступа на основе ролей, а также организации доверенной загрузки операционной системы. Решение обеспечивает повышение уровня безопасности работы путём авторизации на уровне BIOS до загрузки основных компонентов операционной системы, контроля целостности на уровне BIOS защищаемых компонентов операционной системы и аппаратного обеспечения.

В обновлённой версии продукта реализованы следующие возможности:

  • режим неактивности – ключевая возможность, направленная на удобство OEM-поставки SafeBoot в рабочих станциях и серверах производителей аппаратных платформ;
  • поддержка авторизации по западным сертификатам – повышение удобства работы с продуктом;
  • поддержка JaCarta-2 ГОСТ – расширение списка поддерживаемых ключевых носителей для аутентификации.

Обновлённая версия продукта успешно прошла все испытания в соответствии с тестовыми сценариями. На июнь 2019 года ViPNet SafeBoot версии 1.4 передан на инспекционный контроль во ФСТЭК России для подтверждения соответствия ранее выданному сертификату № 3823 по требованиям к средствам доверенной загрузки уровня базовой системы ввода-вывода 2 класса.

2018: Технический релиз ViPNet SafeBoot 1.3

6 июня 2018 года компания ИнфоТеКС объявила о выпуске технического релиза программного комплекса ViPNet SafeBoot 1.3.

В обновленной версии продукта реализована возможность авторизации пользователей в Active Directory (AD) или LDAP-сервере, что позволяет упростить работу решения и использовать единую пользовательскую учётную запись при идентификации и аутентификации в МДЗ ViPNet SafeВoot и AD/LDAP. В рамках представленного релиза появилась возможность контроля целостности реестра Windows, а также была добавлена диагностическая утилита, которая собирает информацию об UEFI BIOS с целью оценки возможности установки программного модуля доверенной загрузки.

По данным на 6 июня 2018 года ViPNet SafeBoot версии 1.3 передан на инспекционный контроль во ФСТЭК России для подтверждения соответствия ранее выданному сертификату №3823 по требованиям к средствам доверенной загрузки уровня базовой системы ввода-вывода 2 класса.

2017

ViPNet SafeBoot сертифицирован ФСТЭК

5 декабря 2017 года компания ИнфоТеКС, производитель программных и программно-аппаратных средств защиты информации, сообщает о получении сертификата ФСТЭК России на программный комплекс ViPNet SafeBoot. Теперь модуль доверенной загрузки ViPNet SafeBoot можно использовать для построения государственных информационных систем, информационных систем персональных данных и автоматизированных систем управления технологическим процессом.

Сертификат ФСТЭК подтверждает соответствие продукта «ИнфоТеКС» требованиям документов «Требования к средствам доверенной загрузки» (ФСТЭК России, 2013) и «Профиль защиты средства доверенной загрузки уровня базовой системы ввода-вывода второго класса защиты» (ФСТЭК России, 2013). Сертификат соответствия №3823 выдан на основании сертификационных испытаний, проведенных испытательной лабораторией ООО «Центр безопасности информации».

ViPNet SafeBoot совместим с продуктами Aquarius

6 марта 2017 года компании ИнфоТеКС и «Аквариус» объявили о завершении тестовых испытаний на совместимость программного модуля доверенной загрузки ViPNet SafeBoot с персональными устройствами Aquarius.

Сертификат совместимости подтверждает функционал программного модуля ViPNet SafeBoot на платформах Aquarius Pro P30 S19ME (тонкий клиент), Aquarius TCC Uvl U30 S25 (устройство для обеспечения терминального доступа или для работы с виртуальными средами, VDI), Aquarius Pro P30 K15 (персональный компьютер) и Aquarius Cmp NS765 (ноутбук).

Что умеет и кому нужен программный модуль доверенной загрузки

Предлагаем заглянуть под капот программного модуля доверенной загрузки ViPNet SafeBoot. Сегодня мы расскажем о его архитектуре, технических возможностях, процессе установки.

Общая информация

Важной задачей при построении любой доверенной системы является необходимость передать управление на доверенную ОС, являющуюся ядром данной системы, убедившись в ее целостности — т.е. только на то верифицированное исполняемое окружение, в рамках которого будет выполняться целевое ПО доверенной системы. Не выполнив данной задачи нельзя с полной ответственностью говорить о том, что в процессе загрузки ОС не могут быть подменены компоненты ОС, а исполняемое окружение останется доверенным.

ViPNet SafeBoot предназначен для решения следующих основных задач:

  • доверенная загрузка ОС с контролем целостности программной и аппаратной исполняемой среды;
  • ранняя аутентификация пользователей (для ограничения доступа к конфигурации доверенной загрузки, в частности).

ViPNet SafeBoot — исключительно программное средство, которое функционирует в окружении UEFI, имеет модульную структуру и встраивается в UEFI BIOS платформ, закрепляясь для старта на достаточно ранней стадии загрузки системного кода платформы.

ViPNet SafeBoot — наложенное средство защиты, это означает, что для его работы не нужно иметь специализированное исполняемое окружение (свой UEFI BIOS), а достаточно оригинального UEFI BIOS платформы (в специализированных исполнениях может требоваться доверенный UEFI BIOS платформы, но это не касается напрямую самого ViPNet SafeBoot). Отметим, что установка ViPNet SafeBoot возможна не только на этапе производства платформы, но и на различных фазах работы с целевой платформой (например, администратором в удобном для него окружении) — это интересное и важное преимущество программного МДЗ опишем подробнее ниже.

Исполняемое окружение

Изначально ViPNet SafeBoot разрабатывался для архитектуры процессоров x64 (Intel, AMD), в дальнейшем мы поддержали архитектуру процессоров aarch64/arm64 (например, Байкал-М, которые мы поддержали на нескольких типах материнских плат). Отметим, что по нашему опыту, для платформ с firmware на базе UEFI, поддержка новых процессорных архитектур в ViPNet SafeBoot (сборка, подготовка инсталлятора и прочее) не является такой уж серьезной проблемой и занимает обозримое время.

ViPNet SafeBoot может функционировать в различных средах — на реальном оборудовании, в виртуальных средах (VMware, VirtualBox, QEMU), в эмуляторах (Nt32 из состава edk2).

В качестве реального оборудования могут выступать рабочие станции, сервера, тонкие клиенты, ноутбуки, планшеты, встраиваемое оборудование. Со списком официально поддерживаемых (и неподдерживаемых тоже) платформ можно ознакомиться по ссылке. На самом деле, в реальности, список поддерживаемых платформ с firmware на базе UEFI существенно шире, так как мы добавляем в список поддерживаемых платформ только то, что проверено нами.

Кроме систем на базе нативного UEFI-окружения нами исследуется возможность работы в системах на базе coreboot (в рамках UEFI payload) и U-Boot (в рамках его UEFI-окружения).

Механизм действия

Модули ViPNet SafeBoot встраиваются в UEFI BIOS, а именно в один из исполняемых Firmware Volume (BIOS region), что обеспечивает достаточно ранний старт первой фазы исполнения на стадии DXE dispatch (вызываемой средствами системного DXE-диспетчера). Часть модулей может располагаться на диске в рабочей директории ViPNet SafeBoot на системном разделе ESP в директории EFI\Infotecs — таким образом поддерживается сценарий установки в условиях недостаточного свободного места в UEFI BIOS, когда в UEFI BIOS встраивается только базовый набор модулей, загружающий в доверенном режиме основной набор модулей с диска. Доверенная загрузка модулей с диска происходит с верификацией подписи каждого модуля и проверкой на вхождение модуля в замкнутое исполняемое окружение.

ViPNet SafeBoot функционирует на следующих фазах работы системы:

Рисунок 1. Временная диаграмма загрузки UEFI-совместимых платформ

  • DXE dispatch — точка старта базового набора модулей, регистрация обработчиков основных фаз исполнения;
  • EndOfDxe — выполнение раннего функционала защиты (выставление защиты UEFI BIOS после S3, блокировка PCI Option ROM и т.д.);
  • ReadyToBoot — основная фаза исполнения;
  • ExitBootServices — завершающая фаза исполнения: включение защиты UEFI BIOS, включение эмуляции NVRAM, очистка памяти (модулей и динамической) и т.д.;
  • Runtime — эмуляция NVRAM;
  • SMM — функции самозащиты: фильтрация Software SMI, контроль целостности runtime-модулей.

ViPNet SafeBoot использует в своей основной работе стандартные программные интерфейсы, предоставляемые окружением UEFI: сервисы системных таблиц (EFI_BOOT_SERVICES, EFI_RUNTIME_SERVICES и EFI_MM_SYSTEM_TABLE) и стандартные UEFI/SMM-протоколы. Для выполнения специальных задач, например, по блокировке функционала встроенных средств обновления BIOS, используются вендор-специфичные UEFI-протоколы (в данном случае — их перехват/блокировка).

Установка ViPNet SafeBoot

Основными задачами при установке ViPNet SafeBoot на целевую платформу являются:

  • встраивание модулей в UEFI BIOS;
  • разворачивание рабочей директории на диске;
  • задание стартовой конфигурации.

Предполагаются следующие сценарии установки ViPNet SafeBoot (встраивания модулей в UEFI BIOS) на целевые платформы:

  • программная установка (инсталлятором) — своими средствами или при взаимодействии с производителем платформы;
  • установка на производстве (программатором) — своими средствами или при взаимодействии с производителем платформы.

Программная установка

Как основной сценарий, мы рассматриваем именно программную установку своими средствами: таким образом обеспечивается автономность от производителя платформы (часто данный процесс имеет свойство затягиваться по времени), упрощается инструментарий установки, повышается гибкость в выборе времени установки (при отсутствии специального инструментария установки на нужной фазе установки).

На данный момент программная установка производится из окружения EFI Shell — это не только объединяет сценарии по установке и обновлению, но и исключает влияние ПО уровня ОС на протяжении данного процесса.

Сценарий программной установки довольно прост и удобен:

  • подключение USB-диска с инсталлятором;
  • запуск EFI Shell с USB-диска из BIOS Setup;
  • автоматический запуск инсталлятора;
  • выполнение инсталлятором всех операций по установке.

Вместе с тем, при программной установке своими средствами могут возникать следующие типовые проблемы:

  • Включенная защита UEFI BIOS на уровне аппаратных средств типа регистров чипсета BIOS_CNTL и PRx — препятствие в виде блокировки записи UEFI BIOS программными средствами.
    Варианты решения:

o Отключение защиты через изменение системных NVRAM-переменных или некоторыми другими способами.

o Использование альтернативных программных средств установки.

o Взаимодействие с производителем платформы (разработчиком UEFI BIOS).

  • Включенная защита UEFI BIOS на уровне аппаратных средств типа Intel BootGuard (или как вариант — программного средства подобного направления) — препятствие в виде верификации UEFI BIOS при каждом старте системы.

o Поиск и встраивание модулей ViPNet SafeBoot в другой исполняемый Firmware Volume, не покрытый контролем Intel BootGuard (и аналогов).

o Взаимодействие с производителем платформы (разработчиком UEFI BIOS).

Безусловно сложнейшей задачей при установке ViPNet SafeBoot является встраивание модулей в UEFI BIOS — она включает в себя (в стандартном сценарии):

  • считывание образа UEFI BIOS из микросхемы SPI Flash платформы;
  • встраивание одного из набора модулей (в зависимости от настроек) в считанный образ UEFI BIOS;
  • запись модифицированного образа UEFI BIOS в микросхему SPI Flash платформы.

Для работы с микросхемами SPI Flash для платформ Intel мы используем стандартные средства, находящиеся в открытом доступе, а для платформ AMD предлагаем средства собственной разработки. Кроме того, доступна возможность использования специальных средств, специфичных для конкретных платформ (AMI AFU, flashrom и т.д.).

Для работы с образами UEFI BIOS мы используем средства собственной разработки — данные инструменты позволяют выполнять множество операций по модификации образов UEFI BIOS: добавление/удаление модулей в определенный Firmware Volume, замена секций существующих модулей, управление NVRAM-переменными и многое другое.

Для снятия риска возникновения необратимых (или трудозатратных) последствий, например, при записи поврежденного образа UEFI BIOS в микросхему SPI Flash, в инсталляторе ViPNet SafeBoot реализован специальный режим съема диагностической информации, анализ результатов которой мы готовы проводить по запросу, подтверждая возможность установки на данной платформе.

Диагностику необходимо запускать перед установкой, затем отправлять диагностическую информацию нам для анализа и ждать подтверждения возможности установки.

В инсталляторе ViPNet SafeBoot реализован механизм расширений (аналог плагинов), которые предполагается использовать при наличии каких-то специфических особенностей платформы — таким образом обеспечивается неизменность основной части инсталлятора, находящейся под контролем целостности, и упрощается (формализуется) процесс настройки инсталлятора под конкретную платформу.

Расширения инсталлятора позволяют выполнять специфические для данной платформы действия на разных фазах установки и решать следующие задачи:

  • управление средствами защиты UEFI BIOS перед установкой (сценарий снятия защиты UEFI BIOS);
  • задание образа UEFI BIOS, отличного от текущего (сценарий обновления версии UEFI BIOS);
  • управление встраиванием модулей в UEFI BIOS (сценарий недостаточного свободного места в UEFI BIOS);
  • задание сторонних средств работы с микросхемами SPI Flash (сценарий отсутствия поддержки работы с микросхемой SPI Flash стандартными средствами инсталлятора);
  • многое другое.

Например, при определенной комбинации стандартных расширений инсталлятора можно собрать расширение, которое позволит в автоматическом режиме (запускаемом из настроек ViPNet SafeBoot) обновить версию UEFI BIOS с сохранением установленного ViPNet SafeBoot и его данных.

Установка на производстве

При установке на производстве, конечно, не исключается и программный сценарий установки (описанный выше), но все же основным сценарием является установка либо с помощью аппаратного программатора, либо с помощью специальных программных средств — для обеспечения массового производства платформ со встроенным ViPNet SafeBoot в UEFI BIOS.

Взаимодействие с производителями платформ (разработчиком UEFI BIOS)

На данный момент налажено взаимодействие (включающее в себя встраивание модулей ViPNet SafeBoot и подпись полученного образа UEFI BIOS или установку ViPNet SafeBoot на этапе производства платформ) со следующими производителями платформ:

  • отечественные производители: Аквариус, Depo, iRU, ICL, РАМЕК-ВС;
  • зарубежные производители: Lenovo, ASUS

Режим неактивности

В ViPNet SafeBoot поддерживается сценарий установки в неактивном режиме. Это серьезное преимущество, и оно может быть интересно в случае, когда производитель платформ захочет выпускать или устанавливать единый образ UEFI BIOS на большую партию платформ, а включать ViPNet SafeBoot будет администратор на необходимом ему подмножестве платформ этой партии. Таким образом, процесс взаимодействия с производителями платформ может сильно упроститься, а объем их работ и издержки значительно уменьшатся.

Функции ViPNet SafeBoot

Проведем обзор с точечным, более детальным описанием основных функций и возможностей ViPNet SafeBoot.

Хранение журнала и БД

Важнейшей задачей при разработке ViPNet SafeBoot является обеспечение доверенного хранения его данных — в первую очередь, журнала событий и БД (настроек). По историческим причинам они хранятся в независимых и отдельных структурных единицах.

Поддерживаются 2 основных режима хранения:

  • внутренний – в NVRAM (в UEFI BIOS);
  • внешний – в файлах (в рабочей директории на диске).
Внутренний режим хранения

Внутреннее хранение данных позволяет уйти от зависимости от внешних хранилищ (дисков) — что обеспечивает, в частности, возможность поддерживать сценарий работы на бездисковых рабочих станциях, и в перспективе реализовать полноценный Zero Client на произвольном оборудовании.

При использовании внутреннего режима хранения данные сохраняются в индексированном списке NVRAM-переменных, оформленном в специальном формате для предотвращения проблем при разрыве списка в случае прерывания по сбросу питания и т.д.

Для предотвращения стороннего доступа к внутренним хранилищам данных используется целый ряд мер, подробнее описанных ниже — от эмуляции NVRAM, до защиты UEFI BIOS (на чтение и запись).

Основным минусом и ограничением внутреннего режима хранения данных является относительно небольшой объем свободного пространства в NVRAM — на современных системах это около 100 Кб, чего, например, явно недостаточно для хранения полных списков контроля целостности компонентов системы. Для закрытия этого ограничения мы ведем исследование по возможности организации автономного от NVRAM внутреннего хранилища и уже есть определенные практические результаты в этом направлении.

Внешний режим хранения

При использовании внешнего режима хранения все данные хранятся в виде файлов в рабочей директории, в формате, предотвращающем сторонний доступ к ним:

  • в зашифрованном виде (журнал, БД) — для предотвращения чтения данных;
  • в подписанном виде (журнал, БД, списки эталонов КЦ) — для предотвращения модификации данных (преднамеренной и непреднамеренной);
  • в привязанном к внутренней БД виде (журнал, БД, списки эталонов КЦ) — для предотвращения атак отката.

Во внутреннем хранилище в данном режиме хранится лишь базовая конфигурация — например, ключи контроля целостности внешних данных.

Доверенная загрузка ОС

Ключевой задачей ViPNet SafeBoot является организация доверенной загрузки ОС.

Поддерживаются следующие типы доверенной загрузки ОС:

  • legacy ОС;
  • UEFI ОС;
  • по сети (UEFI).

Для ViPNet SafeBoot нет явных ограничений по поддержке локально загружаемых ОС — единственным препятствием может служить только использование в ОС разделов с неподдерживаемыми типами ФС (для контроля целостности их содержимого).

Организация доверенной загрузки ОС в ViPNet SafeBoot серьезно отличается от стандарта де-факто Secure Boot и основывается на следующих принципах:

  • контроль целостности заданных файлов ОС (цепочки загрузки ОС);
  • явная передача управления на заданный загрузчик ОС (или загрузочное устройство в случае legacy ОС).
Контроль целостности заданных файлов ОС

Перед передачей управления на загрузчик ОС необходимо верифицировать его целостность и целостность цепочки загрузки ОС (т.е. других исполняемых и конфигурационных файлов ОС, следуемых и используемых в процессе загрузки за загрузчиком ОС).

Для этого необходимо поставить на контроль целостности всю цепочку загрузки ОС. Для распространенных дистрибутивов версий ОС Windows и Linux реализован автоматический режим, но есть и возможность ручной конфигурации в настройках контроля целостности ViPNet SafeBoot.

Передача управления на заданный загрузчик ОС

Для передачи управления на заданный загрузчик ОС (или загрузочное устройство в случае legacy ОС) необходимо указать его в настройках загрузки ViPNet SafeBoot, предварительно выбрав тип загрузки.

Передача управления на заданный загрузчик ОС происходит средствами самого ViPNet SafeBoot — с использованием сервисов LoadImage/StartImage системной таблицы EFI_BOOT_SERVICES, т.е. без передачи управления UEFI Boot Manager и манипуляции его параметрами (BootOrder и т.д.). Таким образом упрощается контроль за управлением загрузкой ОС.

Загрузка ОС по сети

Поддерживаются сценарии загрузки UEFI ОС по сети по протоколам PXE и HttpBoot.

При этом на данный момент есть возможность контроля адреса сервера PXE/HttpBoot и контроля целостности загрузчика ОС.

Контроль целостности

Контролируемые компоненты

Для обеспечения контроля исполняемой среды поддерживается контроль целостности следующих программных и аппаратных компонентов системы:

  • файлов на диске (на разделах с ФС FAT*, NTFS, ext2/3/4);
  • реестра Windows (на уровне ключей/значений);
  • CMOS (на уровне регистров);
  • конфигурационных пространств PCI;
  • таблиц ACPI;
  • структур SMBIOS (DMI);
  • карты распределения памяти;
  • модулей UEFI BIOS;
  • загрузочных секторов диска (загрузочного);
  • переменных NVRAM (с релиза 3.1);
  • системных таблиц UEFI (с релиза 3.1).

Для каждого компонента ведется свой список элементов (хранимый либо в файле на диске, либо во внутреннем хранилище NVRAM), контролируемых отдельно. Например, элементами компонента «Файлы» будут конкретные файлы (с указанием их путей), а элементами компонента «Модули UEFI BIOS» — как это ни странно 🙂 , модули UEFI BIOS (с указанием их в формате :).

Схема контроля целостности

Для каждого компонента применяется следующая схема контроля целостности («схема каталогов»):

  • по каждому контролируемому элементу компонента рассчитывается хэш — так называемый эталонный хэш;
  • формируется список в текстовом виде, каждая строка которого идентифицирует контролируемый элемент с его эталонными хэшем в виде: ;
  • список сохраняется в файле в рабочей директории или в БД;
  • при сохранении в файле — список подписывается на ключе защиты данных, подпись сохраняется в открепленном виде рядом с файлом списка;

o ключ защиты данных хранится в БД в защищенном виде и его можно изменить из настроек ViPNet SafeBoot;

  • при сохранении в файле — в БД фиксируется привязка к сохраняемому на диске файлу (на основе хэша) для предотвращения атак отката.

Данная схема обеспечивает целостность и аутентичность (т.е. невозможность модификации злоумышленником без знания закрытого ключа подписи) контролируемых данных, исключает необходимость в подписи каждого элемента отдельно (т.е. ускоряет процесс контроля целостности) и применяется при контроле целостности программных и аппаратных компонентов системы, запросов удаленного управления, а также пакетов обновлений.

Криптографический базис

В качестве криптографических алгоритмов используются алгоритмы семейства ГОСТ:

  • ГОСТ 34.10-2018 — для подписи и верификации подписи;
  • ГОСТ 34.11-2018 — для расчета хэша и HMAC;
  • ГОСТ 34.12-2018/ГОСТ 34.13-2018 — для шифрования и расчета имитовставки.

В качестве криптографической библиотеки в ViPNet SafeBoot используется криптографическое ядро, разрабатываемое в ИнфоТеКС, и являющееся криптографическим базисом многих других продуктов ИнфоТеКС. Кроме того, для поддержки работы с сертификатами и других подсистем применяется OpenSSL с нашим engine, использующим данное криптографическое ядро.

Аутентификация

Другой важной задачей ViPNet SafeBoot является аутентификация пользователей (разграничение доступа). Аутентификация позволяет заблокировать доступ сторонних пользователей к системе (в частности, к загрузке ОС), а также ограничить возможности по управлению настройками ViPNet SafeBoot со стороны низкопривилегированных пользователей.

В ViPNet SafeBoot используется следующая ролевая модель:

  • администратор — имеет все права на изменение настроек;
  • аудитор — имеет права на чтение и экспорт журнала и на изменение своего пароля (пролонгации его срока действия);
  • пользователь — имеет права только на изменение своего пароля (пролонгации его срока действия).

Одновременно может быть заведено до 32 пользователей всех типов (всего).

Кроме того, может быть задано расписание доступа (графика работы) пользователей — для более гибкого управления аутентификацией пользователей.

Поддерживаются следующие типы аутентификации:

  • по паролю — с верификацией введенного пароля по хэшу от пароля с солью, сохраненным в БД;
  • по сертификату на смарт-карте/токене — на основе протокола аутентификации, описанного ниже;
  • по паролю и по сертификату на смарт-карте/токене — комбинированный режим с последовательным запуском процедуры аутентификации по паролю, а затем по сертификату на смарт-карте/токене;
  • по паролю на смарт-карте/токене — с верификацией пароля, сохраненного в специальном закрытом файле смарт-карты/токена, по хэшу от пароля с солью, сохраненным в БД;
  • по LDAP — на основе bind на удаленный LDAP-сервер (Microsoft AD, Astra ALD Pro), с поддержкой ограничения списка разрешенных к аутентификации пользователей через задание белого списка пользователей.

Поддерживаются следующие смарт-карты/токены: Рутокен ЭЦП 2, Рутокен Lite, Рутокен S, JaCarta-2 ГОСТ, JaCarta PKI, JaCarta LT, Guardant ID (и некоторые другие). Драйвера смарт-карт/токенов разрабатываются самостоятельно.

Аутентификация по сертификату на смарт-карте/токене

Аутентификация по сертификату на смарт-карте/токене требует предварительной подготовки смарт-карты/токена со стороны администратора средствами либо ViPNet CSP, либо вендор-специфичного ПО, а именно:

  • генерации закрытого ключа (неизвлекаемого или в формате программного контейнера закрытого ключа ViPNet CSP) на смарт-карте/токене;
  • выпуска и сохранения на смарт-карте/токене сертификата пользователя.

Важным требованием при аутентификации по сертификату на смарт-карте/токене является обеспечение невозможности дупликации смарт-карты/токена — полноценно это доступно на смарт-картах/токенах с неизвлекаемыми ключами, на других смарт-картах/токенах это доступно частично (с ограничением знания PIN злоумышленником).

Протокол аутентификации на смарт-карте/токене с неизвлекаемым ключом выглядит следующим образом (см. рис.2):

  • запрашивается ввод PIN смарт-карты/токена (для доступа к ключу);
  • производится аутентификация на смарт-карте/токене по введенному PIN;
  • на ПДСЧ (программном датчике случайных чисел) генерируется вектор определенной длины;
  • вектор аппаратно подписывается на неизвлекаемом ключе смарт-карты/токена;
  • подпись вектора программно верифицируется на сертификате пользователя (сохраненном как на смарт-карте/токене, так и в БД);
  • при успешном результате верификации можно говорить о том, что смарт-карта/токен соответствует сертификату пользователя и является аутентичной/аутентичным;

o при этом за счет программной верификации подписи исключается возможность подмены/эмуляции аппаратной составляющей (смарт-карты/токена), которая могла бы фиктивно верифицировать подпись аппаратным способом;

Рисунок 2. Диаграмма аутентификации по сертификату на смарт-карте/токене

  • происходит верификация цепочки сертификатов (от сертификата пользователя до корневого сертификата) — этим самым проверяется существование всей цепочки сертификатов, сроков действия всех сертификатов в цепочке, а также отсутствие сертификата пользователя в списке отзыва (CRL).
Аутентификация в режиме Single Sign-On

Для удобства прохождения множественной аутентификации (в ViPNet SafeBoot, в ОС/СЗИ) реализована поддержка механизма Single Sign-On со сквозной аутентификацией пользователя в ОС/СЗИ. Для аутентификации в режиме Single Sign-On на стороне ОС требуется установка провайдера аутентификации, реализованного на данный момент для ОС Windows и Linux. Кроме того, поддержка аутентификации в режиме Single Sign-On реализована в СЗИ ViPNet SafePoint.

Аутентификационная информация пользователя передается в защищенном виде через эмулятор NVRAM (через память) и имеет минимальное время жизни.

Средства защиты и самозащиты

Средства защиты и самозащиты являются с некоторой точки зрения вспомогательными компонентами, но в то же время без которых о безопасности ViPNet SafeBoot говорить можно было бы лишь условно. Они позволяют противостоять атакам по подмене настроек (конфигурации доверенной загрузки ОС, в частности) и по удалению/отключению ViPNet SafeBoot — в первую очередь с уровня ОС, т.е. со стороны произвольного, даже высокоприоритетного, пользователя ОС.

Далее будут рассмотрены конкретные средства защиты и самозащиты, реализованные в ViPNet SafeBoot.

Защита UEFI BIOS

Для предотвращения возможности перезаписи UEFI BIOS (как в сценарии целенаправленной атаки, так и в сценарии легального обновления UEFI BIOS со стороны ОС, которое просто «удалит» установленный ViPNet SafeBoot) применяется следующий подход:

  • Intel: на весь BIOS region микросхемы SPI Flash устанавливается защита регионов SPI Flash на уровне регистров чипсета PRx (защита уровня PRx является предпочтительнее защиты уровня BIOS_CNTL, т.к. опирается только на аппаратную составляющую, т.е. имеет большую защищенность — например, в случае совершения атак на SMM);
  • AMD: блокируются SPI-команды записи и стирания микросхемы SPI Flash (с реализацией части кода на уровне SMM, ввиду специфики AMD);
  • Байкал-М: на уровне ARM TF (части firmware вне UEFI) реализуется перехват сервисов SMC записи в микросхему SPI Flash.

После включения данная защита обеспечивает невозможность ее отключения до последующей перезагрузки системы (аппаратными средствами для Intel и AMD), которая в свою очередь находится под контролем ViPNet SafeBoot — при последующей загрузке системы защита будет вновь активирована.

Нельзя не обратить внимание на восстановление параметров защиты после выхода из режима сна (S3) — ввиду специфики современных платформ Intel/AMD, на которых после S3 происходит «укороченная» переинициализация конфигурации системы (и регистров чипсета, в частности), ViPNet SafeBoot поддерживает задание параметров защиты в сценариях выхода из S3.

Поскольку со стороны ОС могут быть легальные запросы на чтение-запись NVRAM-переменных, а NVRAM находится в защищаемом регионе UEFI BIOS, при включенной защите UEFI BIOS предполагается дополнительно включать эмуляцию NVRAM (описана ниже).

Эмуляция NVRAM

Эмуляция NVRAM решает сразу несколько задач:

  • предотвращение доступа к NVRAM-переменным ViPNet SafeBoot;
  • поддержка легальных запросов на чтение-запись NVRAM-переменных со стороны ОС в случае включенной защиты UEFI BIOS на чтение-запись;
  • предотвращение атак на реализацию NVRAM со стороны ОС.

При включенной эмуляций NVRAM происходит дупликация содержимого NVRAM в эмулируемый пул памяти и перехватываются сервисы системной таблицы EFI_RUNTIME_SERVICES, отвечающие за работу с NVRAM-переменными, с перенаправлением на эмулятор NVRAM.

Следует отметить, что даже при отключенном режиме эмуляции NVRAM происходит блокировка (фильтрация) доступа к NVRAM-переменным ViPNet SafeBoot для стороннего кода (с уровня ОС).

Контроль (фильтрация) Software SMI

Для предотвращения обновления UEFI BIOS с помощью вендор-специфичных средств (например, AMI AFU), функционирующих по протоколу на уровне SMI (с взаимодействием с SMM-кодом) в отличие от прямой работы с SPI-контроллером, реализован контроль (фильтрация) Software SMI с реализацией своего фильтра на уровне SMM с блокировкой явно опасных SMI, используемых в протоколе взаимодействия. База правил, блокируемых SMI, может дополнительно расширяться/уточняться при установке/обновлении ViPNet SafeBoot.

Блокировка встроенных средств обновления UEFI BIOS

Для предотвращения обновления UEFI BIOS со стороны специальных вендор-специфичных режимов уровня UEFI реализована защита, основанная на перехвате сервисов UEFI-протоколов обновления с последующей блокировкой их выполнения.

Поддерживается блокировка UEFI-протоколов обновления UEFI BIOS от основных производителей платформ (OEM). Реализована формализованная система правил описания перехватываемых UEFI-протоколов для расширения и сопровождения списка.

Контроль runtime-кода

Для контроля неизменности runtime-кода ViPNet SafeBoot (и SMM включительно) реализована защита, функционирующая на уровне SMM, выполняющая периодическую верификацию целостности кода на основе эталонных хэшей модулей и блокирующая доступ к системе в случае нарушения их целостности.

Блокировка входа в специальные режимы настроек

Для предотвращения доступа в специальные режимы настроек, например, в BIOS Setup, реализована блокировка (фильтрация) явно опасных комбинаций клавиш на ранней стадии загрузки системы. База блокируемых комбинаций клавиш может дополнительно расширяться/уточняться администратором (при нашей поддержке) при установке/обновлении ViPNet SafeBoot.

Средства защиты от malware

В последнее время очень активно развиваются инструменты для атаки на системы со встраиванием компонентов malware в firmware на базе UEFI. Причем встраивание malware может проходить как на достаточно длительном цикле цепочки поставок, так и в процессе эксплуатации систем.

Большинство malware уровня UEFI BIOS позволяет автоматически заражать ОС даже после ее переустановки (либо в файловом, либо в бесфайловом режимах). Собственно, для этой цели, а также для обеспечения более раннего старта, malware и встраивается в UEFI BIOS. Основные вектора атак, используемые UEFI malware, указаны на рис.3.

Рисунок 3. Основные вектора атак UEFI malware

Средства защиты от malware в ViPNet SafeBoot отвечают в первую очередь за блокировку (полную изоляцию) основного функционала уже находящегося в UEFI BIOS вредоносного (или потенциально вредоносного) кода, например, в условиях, когда ViPNet SafeBoot устанавливается в уже зараженный (или потенциально зараженный) UEFI BIOS. В случае установленного ViPNet SafeBoot встраивание malware в UEFI BIOS будет блокироваться средствами защиты UEFI BIOS ViPNet SafeBoot.

Далее будут рассмотрены конкретные средства защиты от malware, реализованные в ViPNet SafeBoot.

Блокировка ACPI WPBT

Для предотвращения записи потенциально вредоносных исполняемых файлов в системные разделы ОС и их запуска со стороны ОС, реализована блокировка механизма специальных ACPI-таблиц WPBT.

Примеры блокируемых malware: Absolute Software Computrace/LoJack.

Защита дисков от записи

Для предотвращения записи потенциально вредоносных исполняемых и конфигурационных файлов в системные разделы ОС, реализован механизм блокировки записи на диск в файловом и блочном/секторном режимах. Механизм основан на перехвате системных UEFI-протоколов SimpleFileSystem, BlockIo, DiskIo с последующим контролем вызывающего кода.

При включении данного механизма возможность доступа к диску на запись будет только у компонентов ViPNet SafeBoot.

Примеры блокируемых malware: Hacking Team’s UEFI Rootkit, Absolute Software Computrace/LoJack, LoJax, MosaicRegressor.

Защита системных таблиц UEFI

Для предотвращения перехвата сервисов системных таблиц UEFI EFI_BOOT_SERVICES и EFI_RUNTIME_SERVICES реализован механизм виртуализации/локализации системных таблиц UEFI для каждого исполняемого модуля, что приводит при перехвате сервисов к модификации только локальной копии системной таблицы вредоносного (или потенциально вредоносного) модуля — при этом системные таблицы, используемые непосредственно в процессе загрузки ОС, остаются неизменными.

Примеры блокируемых malware: EfiGuard, CosmicStrand.

Блокировка загрузки PCI Option ROM

Для предотвращения запуска потенциально вредоносного кода с подключаемых PCI-устройств из исполняемых PCI Option ROM реализован механизм перехвата и блокировки старта исполняемого кода из PCI Option ROM посредством затирания его памяти.

Таким образом, вследствие достаточно раннего старта ViPNet SafeBoot имеется возможность блокировать даже функционал АПМДЗ (примеры приводить не станем J).

Удаленное управление

Для удобной эксплуатации ViPNet SafeBoot, реализован механизм удаленного управления.

В качестве ПО, реализующего функции удаленного управления на стороне ОС, может выступать ViPNet SafeBoot MC или ViPNet EPP. Данное ПО имеет клиент-серверную структуру с возможностью управления агентами (клиентами), функционирующими на ОС Windows и Linux основных версий и дистрибутивов.

Механизм удаленного управления позволяет считывать журналы событий, изменять настройки, а также обновлять версии ViPNet SafeBoot на всем парке управляемых машин.

Механизм удаленного управления функционирует следующим образом (см. рис. 4):

  • ViPNet SafeBoot передает журнал и БД в канал удаленного управления (на стороне UEFI);
  • после загрузки ОС ПО удаленного управления получает доступ к журналу и БД из канала удаленного управления (на стороне ОС);
  • при необходимости изменения настроек ViPNet SafeBoot (на стороне ОС):

o ПО удаленного управления вносит соответствующие изменения настроек в полученную БД;

o ПО удаленного управления формирует так называемый запрос удаленного управления на основе измененной БД и передает его в канал удаленного управления;

  • после перезагрузки ОС при наличии запроса удаленного управления в канале удаленного управления (на стороне UEFI):

o ViPNet SafeBoot верифицирует запрос удаленного управления;

o ViPNet SafeBoot вносит изменения в настройках в БД;

o при наличии в запросе удаленного управления обновления ViPNet SafeBoot — запускает процесс обновления.

Рисунок 4. Диаграмма сеанса удаленного управления (УУ)

Каналом удаленного управления является файловый механизм хранения данных в рабочей директории. Т.е. все исходные и измененные данные, а также служебные структуры, реализующие, в частности, их контроль целостности, представляются в виде файлов — все это вместе и называется запросом удаленного управления. Для ограничения доступа со стороны сторонних пользователей, журнал и БД в канале удаленного управления передаются в зашифрованном виде.

Для подтверждения (аутентификации) запросов удаленного управления применяется механизм подписи всех данных, входящих в запрос. Подпись производится на ключе, сертификат от которого задается в настройках ViPNet SafeBoot. Таким образом обеспечивается защита от формирования или модификации запросов удаленного управления со стороны злоумышленника. Кроме того, реализован механизм защиты от атак повтора, основанный на наличии привязки (генерируемого при каждой загрузке идентификатора сессии удаленного управления), сохраняемой в БД и в БД в канале удаленного управления, и проверяемой на этапе верификации запроса удаленного управления.

Обновление

В ViPNet SafeBoot поддерживается механизм обновления — из настроек (локально) и по запросу удаленного управления.

Обновление возможно на старшую или текущую версию (последнее бывает нужно в некоторых сценариях, например, при обновлении версии UEFI BIOS с сохранением текущей версии ViPNet SafeBoot и его данных).

Обновление представляет из себя набор файлов и директорий, включающий в себя модули новой версии ViPNet SafeBoot, а также служебные файлы и исполняемые модули, и разворачивается:

  • на USB-диске — при обновлении из настроек;
  • на разделе ESP — при обновлении по запросу удаленного управления.

Все файлы пакета обновления находятся под контролем целостности (по стандартной схеме, описанной выше), процесс верификации запускается непосредственно перед обновлением. Таким образом обеспечивается защита от преднамеренной и непреднамеренной модификации модулей обновляемой версии, а также сценариев их встраивания в UEFI BIOS.

Структурно пакет обновления совпадает с инсталлятором, единственным отличием может быть различная конфигурация пакета обновления и инсталлятора, например, при обновлении часто может требоваться сохранение БД и журнала от предыдущей версии, что в свою очередь требует задания специального параметра конфигурации инсталлятора/обновления.

Для обновления (как и для установки) позволяется задавать основную и расширенную конфигурацию:

  • основной конфигурацией является возможность управления сохранением БД, журнала, списков эталонов контроля целостности, модулей ViPNet SafeBoot;
  • расширенной конфигурацией является возможность управления более тонкими параметрами, такими как задание разрешения экрана для графического интерфейса, встраивание модулей ViPNet SafeBoot в нестандартный Firmware Volume, задание специального профиля установки и т.д.

Режимы восстановления

Для обеспечения возможности выхода из различных нештатных ситуаций, а также при неаккуратном управлении ViPNet SafeBoot со стороны администраторов, в ViPNet SafeBoot поддерживаются несколько режимов восстановления. Поскольку ViPNet SafeBoot работает на ранней стадии загрузки системы, при этом блокируя возможности по обходу своего функционала, вопрос о механизме штатного восстановления сложно недооценить.

Большая часть режимов восстановления построена на использовании диска восстановления. Диск восстановления представляет из себя USB-диск (с ФС FAT*) с наличием в корне файла со сгенерированным на ДСЧ ключом восстановления достаточно большой длины. Сгенерировать ключ восстановления возможно с помощью специального ПО уровня ОС или из настроек ViPNet SafeBoot.

Для того, чтобы обеспечить связывание конкретной платформы с ViPNet SafeBoot с конкретным диском восстановления (для целей безопасности – чтобы злоумышленник не мог воспользоваться единым диском восстановления на любой машине с ViPNet SafeBoot), проводится операция привязки диска восстановления. Привязка к диску восстановления возможна:

  • при установке — при этом хэш от ключа восстановления сохраняется в Firmware Volume рядом с модулями ViPNet SafeBoot (ключ восстановления располагается на диске установки);
  • при вызове из настройки — при этом хэш от ключа восстановления сохраняется в БД ViPNet SafeBoot (ключ восстановления располагается на произвольном USB-диске).

Привязка к диску восстановления на стадии установки является предпочтительной, так как позволяет пережить сброс настроек ViPNet SafeBoot (и NVRAM в целом).
Привязка же при вызове из настроек удобнее логистически, так как позволяет возложить ответственность по подготовке диска восстановления на администратора без необходимости хранения и передачи копий дисков восстановления с фазы производства (если применяется сценарий установки с централизованным производством).

Диск восстановления следует хранить в специальных условиях с ограничением доступа к нему посторонних лиц.

Следует отметить, что использование единого USB-диска для хранения данных установки/обновления и восстановления (диск установки и диск восстановления одновременно) возможно.

При запросе одного из режимов восстановления происходит:

  • поиск USB-диска с ключом восстановления;
  • верификация структуры и целостности ключа восстановления;
  • расчет хэша по ключу восстановления;
  • сопоставление рассчитанного хэша с привязанным хэшем (сохраненным в Firmware Volume или БД);
  • при совпадении — передается управление на конкретный режим восстановления.
Режим PassThrough

Режим PassThrough позволяет однократно отключить основной функционал ViPNet SafeBoot при возникновении каких-либо нештатных ситуаций. Активизируется с помощью комбинации клавиш Ctrl+x на ранней стадии загрузки ViPNet SafeBoot.

Режим PassThrough требует подключения диска восстановления.

Режим восстановления профиля администратора по умолчанию

Режим восстановления профиля администратора по умолчанию позволяет восстановить (выставить в значения по умолчанию) настройки профиля администратора по умолчанию при утере его пароля, истечении срока действия его пароля, утрате смарт-карты/токена, истечении срока действия сертификата на смарт-карте/токене и т.д. Активизируется с помощью комбинации клавиш Ctrl+r на ранней стадии загрузки ViPNet SafeBoot.

Режим восстановления профиля администратора по умолчанию требует подключения диска восстановления.

Режим восстановления рабочей директории

Режим восстановления рабочей директории может потребоваться при переустановке ОС с форматированием раздела ESP, ручном удалении содержимого на разделе ESP пользователями ОС и т.д.

Начиная с релиза 2.1.2 реализована возможность автоматического восстановления в двух сценариях:

  • без требования подключения USB-диска установки — в случае встраивания в UEFI BIOS полного набора модулей ViPNet SafeBoot;
  • с требованием подключения USB-диска установки — в случае встраивания в UEFI BIOS базового набора модулей ViPNet SafeBoot.

Режим восстановления рабочей директории не требует подключения диска восстановления (с соответствующей привязкой к текущим настройкам ViPNet SafeBoot) — достаточно подключения произвольного USB-диска установки с развернутым на нем инсталлятором текущей версии ViPNet SafeBoot. Это упрощает процесс восстановления, не прибегая к получению диска восстановления из специального хранилища.

Пользовательский интерфейс

Для эффективного и удобного управления настройками в различных сценариях в ViPNet SafeBoot реализовано два независимых типа пользовательских интерфейса — графический и псевдографический.

Графический пользовательский интерфейс

Графический интерфейс является основным и реализован на графической библиотеке собственной разработки — это позволяет более гибко подходить к требованиям окружения UEFI.

В графическом пользовательском интерфейсе кроме клавиатуры дополнительно доступно использование мыши, тачпэда и тачскрина для взаимодействия с ViPNet SafeBoot. Для поддержки сценария работы на бесклавиатурных платформах (планшетах) реализована возможность пользовательского ввода через виртуальную клавиатуру (с использованием тачскрина), являющуюся составной частью графического интерфейса ViPNet SafeBoot.

Псевдографический пользовательский интерфейс

Псевдографический интерфейс является вспомогательным режимом и может использоваться в сценарии, когда на платформе физически нет видеовыхода и предполагается взаимодействие через консоль по последовательному порту (Serial Port Console Redirection).

В псевдографическом пользовательском режиме необходимо подключение внешней клавиатуры для взаимодействия с ViPNet SafeBoot.

Выпуск релизов

Отдельно хотелось бы сказать о циклах выпуска релизов, т.к. именно с выходом очередного релиза добавляются новые возможности, улучшаются сценарии использования, исправляются ошибки и уязвимости продукта.

В основном при выпуске релизов мы стараемся придерживаться режима «один релиз в год» — исходя из специфики и накладных расходов по сертификации релизов по требованиям различных регуляторов (ФСТЭК, ФСБ). Обычно процесс сертификации после выпуска релиза занимает от полугода до года.

На данный момент ситуация по релизам следующая:

Релиз

Актуальность

Сертификация

Архитектура

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *