Содержание
Модуль доверенной загрузки — первый рубеж защиты компьютера, который срабатывает раньше, чем запустится Windows или Linux. Пока операционная система ещё не загружена, устройство проверяет пользователя по электронному идентификатору и убеждается, что систему не подменили: не тронули загрузчик, системные файлы и оборудование. Самый известный такой модуль в России — ПАК «Соболь» компании «Код Безопасности». На нём и разберём, как устроена доверенная загрузка, когда она обязательна по закону и как подобрать модуль под свою технику.
Что такое доверенная загрузка и АПМДЗ простыми словами
Доверенная загрузка — это гарантия, что компьютер включается только в проверенном состоянии и только для того, кто прошёл проверку. Управление при включении получает не сразу операционная система, а отдельный модуль: он спрашивает идентификатор и пароль, сверяет контрольные суммы ключевых файлов и оборудования и лишь потом передаёт загрузку дальше. Если что-то изменилось или ключ не тот — компьютер не запустится.
У этого класса средств два названия, потому что его регулируют два ведомства. ФСТЭК России называет их СДЗ — средствами доверенной загрузки. ФСБ России — АПМДЗ, аппаратно-программными модулями доверенной загрузки. АПМДЗ — это аппаратная разновидность СДЗ, то есть отдельная плата, а не только программа. «Соболь» проходит сертификацию и там, и там, поэтому в документах встречаются оба термина.
Зачем это нужно бизнесу и госсектору: без доверенной загрузки любой, кто получил физический доступ к машине, может загрузиться с флешки в обход штатной системы, скопировать диск или подменить загрузчик — и встроенная защита ОС при этом даже не включится. Модуль перехватывает управление раньше и закрывает этот путь.
Что «Соболь» проверяет до старта операционной системы
«Соболь» — это электронный замок, который отрабатывает до загрузки ОС и делает сразу несколько вещей:
- Опознаёт пользователя. Вход — по персональному идентификатору (ключ iButton, USB-токен или смарт-карта) и паролю. Незарегистрированный ключ или неверный пароль дальше не пускают.
- Проверяет целостность системы. Сверяются файлы и секторы жёсткого диска, системный реестр Windows и аппаратная конфигурация — состав PCI-устройств и данные SMBIOS. Поддерживаются файловые системы NTFS, FAT16/32 и EXT2/3/4, то есть и Windows, и Linux.
- Запрещает загрузку со съёмных носителей — USB, CD/DVD, дискет, портов LPT и SCSI. Обойти штатную ОС через загрузочную флешку не получится.
- Держит сторожевой таймер. Если после включения управление «Соболю» не передано, модуль блокирует компьютер — так плату нельзя просто «перепрыгнуть».
- Ведёт журнал в собственной энергонезависимой памяти UEFI/BIOS: вход и имя пользователя, предъявление чужого идентификатора, неверный пароль, превышение попыток, дата и время попыток НСД.
Работает «Соболь» в среде UEFI, а большинство плат несут физический датчик случайных чисел (ФДСЧ) — источник случайных чисел, который могут использовать и прикладные СКЗИ.
Аппаратный или программный модуль: когда какой
У «Соболя» две формы, и это первый выбор, который предстоит сделать.
Аппаратный — ПАК «Соболь». Это плата, которая ставится в компьютер, плюс программное обеспечение. Ключевое преимущество: контроль целостности выполняется на самой плате, независимо от операционной системы, — даже если ОС взломана, модуль это заметит. ПАК «Соболь» версии 4 сертифицирован ФСТЭК России (№ 4043) как средство доверенной загрузки уровня платы расширения, ФСБ России — как АПМДЗ, и Минобороны России. Это высший уровень доверия среди СДЗ. Плате нужен свободный слот в компьютере.
Программный — ПК «Соболь». Это только программное обеспечение, без платы: устанавливается с USB-накопителя и работает в среде UEFI ещё до загрузки ОС. Актуальная версия — 4.7, сертифицирована ФСТЭК России (№ 4575) как средство доверенной загрузки уровня базовой системы ввода-вывода. Программный «Соболь» дешевле и не требует свободного слота, поэтому подходит для массового парка рабочих станций на процессорах Intel. Но отдельного сертификата ФСБ как АПМДЗ у него нет — для задач, где регулятор требует именно аппаратный модуль, нужна плата.
| Что сравниваем | ПАК «Соболь» (аппаратный) | ПК «Соболь» (программный) |
|---|---|---|
| Что это | плата в компьютер плюс ПО | только ПО, ставится с USB |
| Требует слот | да (PCIe, M.2 или Mini PCIe) | нет |
| Уровень СДЗ по ФСТЭК | уровня платы расширения | уровня базовой системы ввода-вывода |
| Сертификаты | ФСТЭК, ФСБ, Минобороны | ФСТЭК |
| Гостайна и СКЗИ класса КС3 | закрывает | нужна плата |
| Когда выбирать | максимальные требования, гостайна, защита от вскрытия | массовый парк, нет свободного слота |
Для гостайны и для компьютеров со СКЗИ класса КС3 и выше программного модуля недостаточно — регуляторы требуют именно аппаратный АПМДЗ с сертификатом ФСБ. Плата «Соболя» это требование закрывает, программный вариант — нет.
Форм-факторы плат: PCI Express, M.2 и Mini PCI Express
Аппаратный «Соболь» выпускается в трёх форм-факторах — под разные корпуса и слоты. От формы зависит, куда плата встанет и как подключается считыватель ключей iButton.
| Форм-фактор | Слот и размер | Куда ставится | Считыватель iButton | Сертификаты |
|---|---|---|---|---|
| PCI Express | полноразмерный PCIe, 57×80 мм | десктопы и серверы | разъём RJ12 для внешнего плюс внутренний | ФСТЭК, ФСБ, Минобороны |
| M.2 2230 A-E | слот M.2 2230 A-E, 22×30 мм | ноутбуки, компактные и встраиваемые ПК | через адаптер | ФСТЭК, Минобороны |
| Mini PCI Express Half Size | половинный Mini PCIe, 26×30 мм | компактные ПК и промышленные платформы | через адаптер | ФСТЭК, ФСБ, Минобороны |
Для прежнего релиза 3.0.6 существует ещё плата полноразмерного Mini PCI Express. Если свободного слота в компьютере нет вовсе — это как раз тот случай, когда берут программный ПК «Соболь».
Когда доверенная загрузка обязательна по требованиям ФСТЭК и ФСБ
Доверенная загрузка — не просто «хорошая практика», а формальная мера защиты в приказах ФСТЭК России: № 17 (государственные информационные системы), № 21 (информационные системы персональных данных), № 239 (значимые объекты критической информационной инфраструктуры) и № 31 (АСУ технологическими процессами). Начиная с определённых классов защищённости, СДЗ входит в обязательный набор мер, а чем выше класс — тем строже требуемый уровень: для верхних классов нужен аппаратный модуль уровня платы расширения.
Сертификат ФСТЭК России № 4043 на ПАК «Соболь» версии 4 прямо перечисляет, что им можно защищать:
- автоматизированные системы до класса защищённости 1Б включительно — это гостайна вплоть до грифа «совершенно секретно»;
- информационные системы персональных данных до УЗ1 включительно;
- государственные информационные системы до 1 класса защищённости;
- АСУ ТП до К1 включительно;
- значимые объекты КИИ до 1 категории значимости.
Вторая линия требований — от ФСБ. Если на компьютере работает СКЗИ (шифрование) класса КС3 и выше, среда его функционирования должна включать аппаратный модуль доверенной загрузки. Поэтому у «Соболя» есть сертификаты ФСБ России как АПМДЗ — класса 1Б для гостайны и 3Б для конфиденциальной информации. Проще говоря: если у вас ГИС К1, ИСПДн УЗ1, значимый объект КИИ, АСУ ТП К1 или СКЗИ класса КС3 — доверенная загрузка вам практически предписана, и для верхних классов это должна быть плата.
Чем «Соболь» отличается от Аккорда, Dallas Lock и других СДЗ
«Соболь» — не единственный сертифицированный модуль доверенной загрузки на российском рынке. Есть Аккорд-АМДЗ от ОКБ САПР, доверенная загрузка в составе Dallas Lock от «Конфидента», КРИПТОН-Замок от «Анкада», а также «Витязь», «Максим-М1» и другие. Все они — сертифицированные СДЗ, и выбор часто определяется тем, что уже стоит в инфраструктуре.
| Продукт | Разработчик | Форма | Особенность |
|---|---|---|---|
| ПАК «Соболь» | Код Безопасности | плата PCIe / M.2 / Mini PCIe плюс программный вариант | UEFI, интеграция с Secret Net, программная переинициализация |
| Аккорд-АМДЗ | ОКБ САПР | плата расширения | классический АПМДЗ семейства «Аккорд» |
| Dallas Lock | Конфидент | программная и аппаратная | доверенная загрузка внутри СЗИ от НСД |
| КРИПТОН-Замок | Анкад | плата расширения | АПМДЗ семейства «Криптон» |
Сильные стороны «Соболя» на этом фоне:
- Тройная сертификация — ФСТЭК, ФСБ и Минобороны, причём оба ключевых сертификата (ФСТЭК и ФСБ) можно получить в одном комплекте.
- Самый широкий модельный ряд форм-факторов плюс программная версия: закрывает и десктоп, и сервер, и ноутбук, и встраиваемый ПК, и машину без свободного слота.
- Программная переинициализация — после сбоя ОС модуль восстанавливается программно, без вскрытия системного блока и снятия джампера. У ряда других СДЗ для этого приходится разбирать корпус.
- Интеграция с Secret Net Studio и Secret Net LSP. Один идентификатор работает и для «Соболя», и для СЗИ от НСД, и для входа в ОС, и для электронной подписи; журналы «Соболя» уходят в Secret Net, поддерживается полнодисковое шифрование.
Точную сертификацию, форм-факторы и совместимость конкретного продукта всегда стоит сверять у его вендора — выше показаны ориентиры по категории.
Как выбрать и оформить ПАК «Соболь»
Комплект «Соболя» собирается по шагам, и порядок такой:
- Версия. Версия 4 — актуальная, с сертификатами ФСТЭК, ФСБ и Минобороны. Версия 3 — только ФСБ, для гостайны и конфиденциальной информации на прежних релизах; у релиза 3.0.6 техническая поддержка действует до 2035 года, поэтому «старая версия» здесь не значит «скоро снимут».
- Форм-фактор — под свободный слот в компьютере (PCI Express, M.2 или Mini PCI Express).
- Сертификат — под ваше требование: ФСТЭК, ФСБ, оба сразу или Минобороны.
- Идентификатор — ключ iButton или USB-токен (Guardant ID, Rutoken ЭЦП, JaCarta-3).
- Техническая поддержка — базовая входит в комплект, расширенные уровни докупаются.
Одна лицензия «Соболя» — на один компьютер, гарантия один год. Идентификатор в комплект не входит и выбирается отдельно — без ключа или пароля вход в систему невозможен.
Подойдёт ли «Соболь» к вашей материнской плате, проверяется заранее: «Код Безопасности» ведёт базу протестированного оборудования, и совместимость мы уточняем по запросу под ваши модели. Сам идентификатор подбирается отдельно — от классических ключей iButton до USB-токенов:
Товар Идентификаторы для ПАК «Соболь» от 4 050 ₽ Смотреть →Оформляет поставку ООО «МИГСОФТ»: счёт и договор для юрлиц, цена с НДС, подбор комплектации и проверка совместимости. Актуальную стоимость в рублях покажет калькулятор в карточке «Соболя» выше.
Либо начните с типовой комплектации — состав и цену покажет карточка:
Частые вопросы
Нам нужен аппаратный модуль или хватит программного? +
Зависит от класса объекта и требований регулятора. Плата обязательна там, где нужен сертификат ФСБ как АПМДЗ, — это гостайна и рабочие места со СКЗИ класса КС3 и выше. Если же речь о государственной системе или персональных данных, где хватает уровня ФСТЭК, а свободного слота нет, подойдёт программный ПК «Соболь». Не уверены, какой класс у вашей системы, — определим при подборе.
Чем АПМДЗ отличается от модуля TPM? +
TPM — это криптографический чип на материнской плате: он хранит ключи и измеряет параметры загрузки, но не опознаёт пользователя и сам по себе не блокирует запуск компьютера. АПМДЗ активно проверяет пользователя по идентификатору, контролирует целостность до старта ОС, запрещает загрузку с флешки и ведёт журнал — и сертифицирован ФСТЭК и ФСБ как средство защиты. Для российских требований по защите информации нужен именно АПМДЗ, а не TPM.
«Соболь» работает с Linux и российскими ОС? +
Да. Поддерживаются Windows и семейство Linux, включая российские ОС — Astra Linux, Альт, РЕД ОС, ROSA, Continent OS и другие, а также файловые системы NTFS, FAT и EXT2/3/4. Конкретную версию ОС стоит сверить со списком поддержки перед закупкой.
Как проверить совместимость с нашим компьютером? +
Вендор ведёт базу протестированных материнских плат и версий BIOS. Пришлите модели ваших компьютеров — проверим совместимость и подскажем подходящий форм-фактор до оформления заказа.
Одна лицензия — на один компьютер? +
Да, одна лицензия «Соболя» рассчитана на один компьютер, гарантия — один год с даты приобретения. На парк из нескольких машин берётся соответствующее число комплектов; при большом объёме поможем с расчётом и оформлением на юрлицо.
