Головна › Шифр-VDR

Шифр-VDR

Загальна характеристика

Компанія Сайфер будує приватні системи VDR (Virtual Data Room) для установ різної форми власності на основі Open Source рішення NextCloud на платформі Linux OS з використанням допоміжних компонентів власної розробки, що дозволяє відповідати основним національним нормативним вимогам щодо захисту інформації.
  • Робочі станції:
    • Windows Desktop Client (OS Windows 7, 8.x, 10).
    • Linux Desktop Client (16.04, 17.04, 17.10).
    • macOS Desktop Client (OS MacOS 10, 10+).
    • Web-клієнт.
  • Мобільні пристрої:
    • Мобільний клієнт Android OS (4.0+).
    • Мобільний клієнт iOS (10.0+).
    • Web-клієнт.
Для забезпечення відповідності національним нормативним вимогам використовуються наступні компоненти власного виробництва:
Досвід компанії Сайфер з впровадження та підтримки складних інформаційних систем з компонентами криптографічного захисту дозволяє забезпечити високий рівень захищеності і надійності запропонованих технічних рішень.
Система "Шифр-VDR" має незначні вимоги до ресурсів та доволає обслуговувати більше 100 активних корисутвачів, за умови, якщо:
  • Оперативна пам'ять - 16Гб.
  • Процесорних ядер - 4.
  • Дані (SSD) - 100 Гб.
Для збільшення до 1000 активних корисутвачів, необхідно додатково збільшити об'єм оперативної пам'яті, ширину каналу до мережі Інтернет та об'єм дискового простору. 

Функціональні користувацькі можливості

Серед основних функціональних користувацьких можливостей NextCloud слід зазначити:
  • Інтернаціоналізація:
    • Підтримка великої кількості мов користувацького інтерфейсу (української, російської, англійської, німецької, французької та інших).
    • Персональні налаштування у кожного користувача.
  • Завантаження, вивантаження та гарантованого видалення великої кількості файлів (мільйони) та файлів великого об’єму (десятки ГБ). Використання desktop застосувань для відповідних ОС дозволяє збільшити розміри файлів до сотні ГБ.
  • Робота з форматами файлів:
    • Перегляд, створення і редагування файлів:
      • OpenDocument (*.odt)
      • Microsoft Word (*.docx).
      • Microsoft Excel (*.xlsx).
      • Microsoft Powerpoint (*.pptx).
      • Векторні зображення draw.io.
      • Текстові файли.
    • Перегляд файлів:
      • Зображень.
      • Відео.
    • Розмежування доступу до файлів та каталогів, і відповідно до версій файлів і коментарів до них:
      • Користувачам.
      • Групам.
    • Надання доступу та заборона доступу іншим користувачам до файлів та каталогів:
      • За типом доступу:
        • Перегляд.
        • Завантаження і модифікації.
        • Лише завантаження.
      • За обмеження:
        • За строком дії.
        • За паролем.
        • З обмеження завантаження.
      • За типом користувача:
        • Користувачам чи групам VDR.
        • Не користувачам (вказанням email, для відправлення посилання).
      • Організація роботи:
        • Організація файлів у каталоги (папки).
        • Відображення розміру як файлу, так і всього каталогу.
        • Додавання до обраних.
        • Додавання позначок до документів.
        • Ведення версій файлів.
        • Коментування файлів.
        • Видаленні файли переносяться до кошика, і лише видалені з кошика файли гарантовано знищуються.
      • Консолідація повідомлень:
        • За власними файлами і каталогами.
        • За файлами і каталогами, до яких надано доступ іншими користувачами.
        • За файлами і каталогами, до яких надано доступ.
        • За змінами.
      • Ведення власного списку контактів.
      • Робота з календарем.
        • Можливість вручну керувати власними подіями.
        • Синхронізація з іншими календарями.
      • Робота з нотатками.
      • Робота з задачами:
        • Керування задачами.
        • Створення дошок Kanban з задачами.
      • Управління користувачами і групами:
        • Додавання, видалення, блокування користувачів.
        • Допомога у відновленні доступу.
        • Організація користувачів у групи, видалення користувачів з груп та видалення самих груп.
      • Спілкування з іншими користувачами та цілими групами користувачів.
      • Нотифікації про зміни на email.
      • Ведення історії по роботі з файлами:
        • Хто і коли створив/завантажив.
        • Хто і коли надавав/змінював доступи і кому.
        • Хто і коли змінював.

Архітектура та склад системи

Рішення VDR пропонується розгортати у окремому приватному віртуальному середовищі, яке дозволяє оперативно маневрувати ресурсами для зберігання великої кількості даних та забезпечення доступу великої кількості користувачів, без зменшення якості обслуговування та економічного обґрунтування.
Рисунок 1. Загальна архітектура рішення

Адміністрування

Брендування
Для забезпечення унікального вигляду VDR можливе:
  • Встановлення вказаного домену (FQDN): надається замовником.
  • Встановлення логотипу на сторінку автентифікації та на кожній сторінці: надається замовником.
  • Поштовий сервер, для відправлення повідомлень користувачам: можливе окреме розгортання.
Конфіденційність і захист інформації
Для забезпечення конфіденційності даних у VDR, використовується:
  1. Шифрований розділ файлової системи, який не дозволяє просто скопіювати ВМ і у подальшому користуватися даними NextCloud. Для розшифровування необхідно ввести пароль, на основі якого породжується ключ симетричного шифрування. Пароль шифрування буде відомий лише відповідному співробітнику компанії, системним адміністраторам він не відомий. Вводиться лише під час запуску ОС.
  2. Шифроване з’єднання за протоколом HTTPS з використанням TLS v1.2, який базується лише на дозволених до використання криптографічних алгоритмах.
    1. Реалізація дозволених алгоритмів береться з модуля Шифр-SSL.
    2. Можливість використовувати безкоштовні сертифікати Let’s Encrypt з автооновленням.
    3. Можливість використання сертифікатів від довірених центрів сертифікації.
  3. Шифрування даних безпосередньо самим NextCloud з використанням дозволених криптографічних алгоритмів.
    1. Реалізація дозволених алгоритмів береться з модуля Шифр-SSL.
  4. Шифрування між користувачами (End-to-end encryption), які знаходяться Online, з використанням дозволених криптографічних алгоритмів:
    1. Реалізація дозволених алгоритмів береться з модуля Шифр-SSL.
    2. Детальний опис додається.
  5. Можливість відновлення зашифрованих даних між користувачами (End-to-end encryption), у випадках (взаємно виключних):
    1. Попереднього встановлення Recovery Key самим адміністратором для всіх користувачів.
    2. Попереднього встановлення Recovery Password самим користувачем.
  6. Для генерації всіх ключів (для шифрування даних на диску та шифрування даних між користувачами), з використанням дозволених криптографічних алгоритмів:
    1. Реалізація дозволених алгоритмів береться з модуля Шифр-SSL.
  7. Захист цілісності ПЗ NextCloud та файлів налаштування ОС RHEL:
    1. Цілісність забезпечується з використанням дозволених алгоритмів модулем Шифр-Integrity.
Розширення
Під час розгортання VDR можуть бути додані або видалені розширення для NextCloud, перелік яких наведено у Таблиця 1.
Таблиця 1. Перелік розширень до NextCloud, які можуть бути додані або видалені
Назва Опис
Contacts Ведення списку контактів для роботи з документами.
JavaScript XMPP Chat Ведення спілкування з обраними контактами за допомогою миттєвих повідомлень.
Talk Ведення спілкування з обраними контактами за допомогою мультимедіа (аудіо та відео дзвінки).
App Order Ведення реєстру доступних користувачам застосувань.
Calendar Календар з подіями користувачів.
Draw.io Робота з векторними діаграмами.
Deck Організація завдань у дошки за типом Kanban.
Announcement center Організація та розповсюдження повідомлень серед користувачів.
Notes Ведення нотаток користувачами.
Tasks Ведення завдань.
Activities for shared file downloads Можливість завантаження файлів, до яких надано спільний доступ.
Default encryption module Можливість шифрування даних засобами NextCloud за замовчанням, безпосередньо самі криптографічні перетворення виконуються бібліотеками "Шифр+" v 2.1.
End-to-End Encryption Можливість шифрування обміну даних між користувачами.
Quota warning Ведення квот на використання дискового простору користувачами.
 
Автентифікація
Для забезпечення автентифікації користувачів у VDR, використовуються:
  1. Автентифікація за логіном та паролем, з можливістю відновлення через email чи через адміністратора VDR.
  2. Захист від підбору паролю за рахунок обмеження спроб с однієї IP адреси та зменшенні швидкості відповіді.
  3. Обмеження швидкості звернень з однієї IP адреси чи одним користувачем.
Гарантоване знищення
Для забезпечення гарантованого видалення файлів користувачів у VDR, використовуються:
  1. Внутрішні засоби NextCloud для гарантованого знищення файлів, що не дозволяє його подальше відновлення програмними засобами.
  2. Використання віртуального сховища у хмарній інфраструктурі не дозволяє виконати відновлення даних на фізичному рівні.
Відповідність вимогам
VDR має відповідність наступним нормативним та індустріальним вимогам:
  1. Відповідність вимогам Держспецзв’язку щодо забезпечення криптографічного захисту інформації.
  2. Відповідність вимогам HIPAA та GDPR.
  3. Відповідність вимогам Content Security Policy 3.0. Функція, яка дозволяє серверу встановлювати відповідні обмеження на ресурс під час відкриття у web-браузере. Наприклад, дозволяє завантажувати зображення чи JavaScript тільки для визначеної мети.
  4. Відповідність вимогам Same-Site Cookies. Cookie-файли Same-Site – захід безпеки, що підтримується сучасними web-браузерами, яка попереджує вразливості CSRF і додатково захищає конфіденційність. NextCloud вимагає файли cookie одного і того ж сайту бути присутнім у кожному запиті, застосовуючи це для проміжному ПЗ.
NextCloud додає префікс __Host у файл cookie (якщо підтримується web-браузером і сервером), що унеможливлює вразливості, пов’язані з впровадженням файлів cookie, в інше проміжне ПЗ, що використовується.
Реагування на інциденти
Компанія Сайфер аналізує наявність оновлень безпеки всього переліку ПЗ, що використовуються для побудови VDR, та виконує відповідні оновлення інфраструктурного ПЗ.
Усунення дефектів та вразливостей інформаційної безпеки у ПЗ NextCloud:
  1. Команда компанії Сайфер здійснює розширену підтримку спільно з компандою NextCloud відслідковуючи відомі вразливості та оперативно публікує оновлення, де ці вразливості виправлені. Про що свідчить постійно діюча програма Security Bug Bounty.
  2. Самоконтроль на наявність відомих дефектів щодо налаштуваня та використання NextCloud.
  3. Наявність системи зовнішнього сканування інсталяції NextCloud.
Моніторинг та ведення журналів
Для забезпечення моніторингу та ведення журналів аудиту у VDR використовується:
  1. Агент Zabbix, який потребує додаткового розгортання у Zabbix серверу у межах vDC де розгортається VDR.
  2. Внутрішні засоби NextCloud для ведення журналу аудиту подій.
  3. Внутрішні засоби для моніторингу використання ресурсів.

Додатковий захист доступу до інфраструктури

За необхідністю можливе обмеження доступу до VDR з використанням VPN. Побудова VPN виконується за допомогою Шифр-VPN, що дозволить:
  • Обмежити доступ до VDR не авторизованих користувачів.
  • Забезпечити довірену взаємодію між користувачами і VDR за рахунок взаємної автентифікації з використанням ключів і сертифікатів.
  • Захистити канал доступу до VDR за допомогою додаткового шифрування з використанням TLS ключів не тільки серверу, але й користувача.
  • Програмний комплекс криптографічного захисту мережевих з'єднань Шифр-VPN має позитивний чинний експертний висновок Держспецзв’язку України.

Відповідність вимогам

Захищеність, надійність та безпека даних та документів, що розміщені в VDR забезпечується наступними засобами:
Вимоги Досягнення вимог
Ефективний захист від втрати даних та процес відновлення бази даних забезпечується подвійним збереженням даних індексації: в базі даних та в метафайлах XML-файлів документів
  • Виконання резервного копіювання БД та файлів VDR у зовнішнє сховище.
  • Виконання резервного копіювання віртуальної машини, кожну добу.
Гнучкий розподіл прав доступу користувачів до компонентів VDR з використанням унікального імені та паролю та можливістю двофакторної автентифікації
  • Формування для кожного користувача логіну та паролю, з можливістю самостійної зміни паролю користувачем.
  • Використання другого фактору за рахунок двофакторної автентифікації. Додається розширення Two-Factor TOTP Provider. Користувачі самостійно встановлюють застосування - TOTP Authenticator, яке використовується як другий фактор.
Зашифроване з’єднання між користувачем та сервером за допомогою механізмів Windows, з’єднання серверів за допомогою протоколу TLS/SSL
  •  Захист з’єднання виконується за протоколом HTTPS на базі TLS v1.2, з використанням дозволених алгоритмів з модуля Шифр-SSL.
  • Додатково можливе обмеження доступу до VDR з використанням VPN. Побудова VPN виконується за допомогою Шифр-VPN, що дозволить:
    • Обмежити доступ до VDR не авторизованих користувачів.
    • Забезпечити довірену взаємодію між користувачами і VDR за рахунок взаємної автентифікації з використанням ключів і сертифікатів.
    • Захистити канал доступу до VDR за допомогою додаткового шифрування з використанням TLS ключів не тільки серверу, але й користувача.
    • Шифр-VPN має позитивний експертний висновок Держспецзв’язку України.
Вхід в систему з використанням облікових записів DocuWare або Windows
  • Другий фактор за допомогою TOTP Authenticator.
  • Ключів до VPN, з використанням клієнту до Шифр-VPN.
  • Можливість обмеження кількості підключень з одної IP адреси.
  • Можливості обмеження доступу до VDR лише за вказаними IP адресами.
Захист цілісності даних, транзакцій змін та зберігання документів для індексованих даних та документів
  • Контролю цілісності файлів налаштувань ОС та безпосередньо ПЗ VDR з використанням ПЗ Шифр-Integrity.
  • Контролю цілісності файлової системи ОС.
  • Контролю цілісності БД VDR.
  • Контролю цілісності механізмами NextCloud, який використовується як основа VDR.
  • Конфіденційність і цілісність файлів забезпечується за допомогою шифрування, кодів автентифікації даних засобами NextCloud за замовчанням, безпосередньо самі криптографічні перетворення виконуються бібліотеками Шифр-SSL. Якщо цілісність даних порушено, то відповідно, під час розшифрування, буде виявлено порушення цілісності.
Високий рівень безпеки для файлів-кабінетів та користувачів завдяки використанню повноважень високого рівня безпеки
  • Конфіденційність файлів забезпечується за допомогою шифрування даних засобами NextCloud за замовчанням, безпосередньо самі криптографічні перетворення виконуються бібліотеками Шифр-SSL.
  • Розподілом повноважень між користувачами, щодо доступу до каталогів, файлів, індексованих даних і т.д.
  • Безпосередньо застосування NextCloud на сервері VDR виконується з низькими повноваженнями, що унеможливлює отримання високого рівня повноважень в межах ОС.
Контроль/обмежень на копіювання та друк документів/матеріалів, що містяться у VDR
  • Адміністратор VDR для кожного типу користувачів надає відповідний рівень повноважень щодо доступу до файлів, каталогів, метаданих та індексів.
  • Блокування завантаження файлів.
  • Можливість обмеженого перегляду.
Автоматичне відключення від VDR користувача, якщо протягом 10 хв. відсутня будь-яка активність з боку користувача
  • Виконується налаштування адміністратором VDR, щодо часу життя сесії користувачів.
Забезпечення у випадку збоїв системи, функціонування процедур резервного копіювання і відновлення даних
  • Розгортання VDR виконується у публічній хмарі, чи обладанні замовника.
  • Виконанням процедур резервного копіювання віртуальних машин кожну добу.
  • Виконанням процедур резервного копіювання даних VDR за розкладом у інший датацентр.

Демонстрація

Демонстрація можливостей VDR надається за заявкою.