Защита внутреннего обмена оперативной информацией

Отдельным вопросом в поддержке безопасности ИТ-инфраструктуры коммерческой компании является защита переговоров и сервиса коротких сообщений. Неоднократно в прессе были озвучены факты предоставления государственным службам прямого доступа к приватной информации клиентов крупнейших мировых телекоммуникационных компаний, таких как Microsoft, Yahoo, Google, Facebook, PalTalk, AOL, Skype, YouTube, Apple.

Это главная предпосылка использовать собственные сервисы для общения и передачи информации внутри компании. Рассмотрим варианты защиты оперативных коммуникаций.

Для решения данной задачи существует несколько профессиональных продуктов, а также решения на базе свободного ПО.

Решение на базе свободного ПО

В качестве варианта с использованием свободного ПО рассмотрим сервер мгновенных сообщений Openfire в паре с сервером IP телефонии Asterisk.

Данный вариант представляет собой систему, основанную на бесплатных свободных решениях, что обеспечивает гибкость в настройках. А также отсутствие каких-либо «закладок» со стороны производителей, поскольку разработкой и аудитом данных продуктов занимается свободное сообщество и продукты имеют открытый код.

ПО Asterisk представляет возможность организации телефонии и видеозвонков. Являясь одной из основных систем для создания комплексных решений, имеет большой набор клиентов под различные операционные системы, как софтовые (Windows/MacOS/Andoid/iOS), так и аппаратные.

Поскольку для совершения звонка клиент и сервер предварительно обмениваются служебными данными для установления соединения, данную проблему можно разделить на две составляющих: защиту служебных данных IP-телефонии и защиту голосового трафика. В качестве средства защиты используется протокол TLS (Transport Layer Security) для защиты SIP сигналов и протокол SRTP (Secure Real Time Protocol) для защиты голосового трафика. Графически это выглядит так:

Для обмена сообщениями/документами возможно использовать ПО Openfire. Оно представляет собой Jabber-сервер на базе Java и MySQL. Jabber-сервер использует протокол XMPP, который имеет следующие преимущества: децентрализованность, открытость, безопасность и гибкость. Встраиваемая в ядро сервера модель позволяет не только авторизовать клиентов и сервер по сертификатам, а и шифровать всю передаваемую информацию с помощью PGP/GPG.

На рисунке, что представлен ниже, изображена схема работы такой модели. Клиенты с помощью программного обеспечения, например, бесплатной программы JITSI (программа, предназначенная для обмена текстовыми сообщениями, а также поддерживающая звонки и видео общение) по расширенному протоколу Jingle (Jingle – это расширение протокола Jabber, предназначенное для передачи бинарных данных) передают данные на XMPP-сервер, который в свою очередь по протоколу SIP передает данные на Asterisk. Таким образом осуществляется шифрованная коммутация и передача данных между клиентами.

С другой стороны, разговоры клиентов с помощью IP-телефонов происходят обычным способом.

Для клиента передача голоса и обмен мгновенными сообщениями представлены в одном приложении в виде окошка, в котором пользователь может, как вести переписку, так и перейти к голосовому общению.

Решение на базе коммерческого ПО

В качестве профессиональных известных продуктов можно использовать Microsoft Lync или IBM Sametime.

Данные продукты обеспечивают помимо обмена сообщениями, голосом и видео еще ряд других функций – например интегрируются c офисным пакетом компании Microsoft, что делает их использование более привычным. Одним словом, с точки зрения удобства использования и набора функций эти продукты однозначно лучше варианта с использованием свободного ПО, но у них есть два больших недостатка:

• Закрытый код. Нет уверенности в том, что производитель не заложил в код программы функции по сбору конфиденциальной информации.

• Цена внедрения. Внедрение данных продуктов стоит значительно дороже чем решения на базе свободного ПО, из-за высокой стоимости лицензий. Также внедрение данных продуктов обычно несет косвенные затраты: покупка офисных лицензий, лицензирование операционной системы и т.д.

В таблице указаны характеристики всех вышеописанных продуктов.

Как видим, варианты имеют одинаковый набор стандартных функций, но профессиональные решения включают в себя больше функционала – например способны поддерживать web-конференции и презентации. Таким образом, решение на базе свободного ПО целесообразно выбрать, если есть необходимость только в стандартных функциях, ну или же дополнительными функциями можно пожертвовать в обмен на сэкономленный бюджет.

Независимо от варианта реализации сервера данных, сервисы должны быть надежно защищены и отказоустойчивы. Поэтому настоятельно рекомендуется разместить их за пределами офиса на отказоустойчивой и высоко доступной площадке, а также обеспечить шифрование всей информации, хранящейся на дисках данных серверов. Всем вышеуказанным требованиям соответствует удаленный сервер 1С.