Дата-діоди та міждоменна передача: архітектура однобічної безпеки

Перенести файл із секретної мережі до несекретної здається тривіальним завданням — доки не замислитися над тим, що не повинно переноситися разом із ним. Текст, який аналітик планує розкрити, може бути чистим, але файл, що його містить, здатен непомітно передати засекречені дані в метаданих, вбудованих об'єктах, історії редагування або в нерозібраному хвості бінарного формату. Міжмережевий екран не вирішить цю проблему, оскільки він довіряє власній конфігурації та власному програмному стеку — а обидва можна скомпрометувати. Правильна відповідь — зробити небажаний напрямок потоку фізично неможливим, а потім перевіряти те, чому дозволено рухатися в дозволеному напрямку. Це сфера дата-діода та міждоменного рішення.

Чому напрямок має бути забезпечений апаратно

Дата-діод забезпечує однобічний потік даних як властивість фізики, а не програмного забезпечення. Класична реалізація — оптичний канал із передавачем на стороні джерела та приймачем на стороні призначення, і свідомо без передавача на стороні призначення та без приймача на стороні джерела. Фотони рухаються від вищого до нижчого рівня (або навпаки, залежно від конструкції); просто не існує оптичного шляху для зворотного руху. Оскільки однобічність вбудована у проводку, її не можна відключити помилкою конфігурації, експлойтом прошивки або зловмисним інсайдером з адміністративним доступом до будь-якого хоста.

Це принципова відмінність від міжмережевого екрана. Міжмережевий екран — двонаправлений пристрій, налаштований так, ніби він однобічний. Його примус залежить від наборів правил, від цілісності операційної системи та від припущення, що жодне правило не було додано помилково. Дата-діод усуває ці припущення: навіть повністю скомпрометований хост на стороні призначення не може ексфільтрувати дані назад через межу, оскільки для цього немає каналу. Для захисту анклаву з високим рівнем класифікації від будь-якого вхідного з'єднання або для гарантії того, що чутлива мережа може отримувати оновлення без можливості зворотного зв'язку, ця фізична гарантія робить акредитацію можливою.

Що діод не вирішує

Напрямок — не те саме, що вміст. Однобічний канал експорту із секретної мережі до несекретної передаватиме засекречений вміст так само сумлінно, як і відкритий — він не відрізняє одне від одного. Якщо аналітик експортує презентацію, що містить приховані слайди, вбудовані вихідні дані або нотатки доповідача, залишені у файлі, діод сумлінно передає все це. Діод відповідає лише на запитання «чи можуть дані рухатися назад?» Окреме й складніше запитання — «чи слід взагалі дозволяти переміщення цього конкретного об'єкта?» — належить до сфери міждоменного рішення, що нашаровується зверху.

Від дата-діода до міждоменного рішення

Міждоменне рішення (CDS) — це повна акредитована система для контрольованої передачі інформації між доменами безпеки. Конструкції CDS лише для передачі переміщують дані, не надаючи жодній зі сторін інтерактивного доступу до іншої; конструкції CDS для доступу дозволяють єдиній робочій станції досягати кількох доменів через контрольовану межу. Ця стаття стосується випадку передачі, де дата-діоди найчастіше використовуються як основа примусу.

Передавальний CDS має три рівні. Перший — це рівень фізичного примусу — зазвичай один або кілька дата-діодів — що фіксує дозволений напрямок. Другий — це транспортний рівень, проксі-програмне забезпечення, яке робить надійну доставку можливою через канал без зворотного зв'язку. Третій — це рівень інспекції, сторож передачі, який вирішує, об'єкт за об'єктом, що дозволено перетинати. Комбінація цих трьох, разом із режимом аудиту та задокументованою концепцією операцій, є тим, що оцінює орган акредитації. Зв'язок між контролем напрямку та контролем вмісту докладніше розглядається у нашій супутній статті про міждоменні рішення для оборони.

Забезпечення надійного транспорту без зворотного каналу

Більшість корисних протоколів — насамперед TCP — передбачають зворотний канал для підтверджень, повторної передачі та управління потоком. У справжнього дата-діода його немає. Стандартне рішення — пара проксі, по одному з кожного боку діода. Проксі на стороні відправника локально завершує TCP-сеанс застосунку, підтверджує отримання джерелу так, ніби є призначенням, і серіалізує корисне навантаження в однобічний потік. Цей потік передається через діод за допомогою протоколу, побудованого для однобічної доставки, з прямим виправленням помилок (FEC) замість повторної передачі: додаються надлишкові дані, щоб одержувач міг відновити втрачені пакети, не запитуючи їх знову.

Проксі на стороні одержувача відновлює корисне навантаження, перевіряє його цілісність і відкриває новий TCP-сеанс до реального місця призначення. З точки зору застосунку, відбулася звичайна передача файлу або доставка повідомлення. З точки зору архітектора безпеки, жодне підтвердження, рукостискання та жодний модульований за часом сигнал не перетнув фізичну межу. Пропускна здатність і надійність налаштовуються шляхом коригування надмірності FEC та розміру сегменту відповідно до виміряного рівня помилок каналу, обмінюючи пропускну здатність на стійкість замість покладання на зворотний канал, якого не існує.

Сторож передачі: інспекція та контроль випуску

Сторож передачі — це інтелект міждоменного рішення. Він знаходиться в шляху даних і застосовує політику випуску до кожного об'єкта перед тим, як дозволити йому перетнути межу. Керівний принцип — білий список, а не чорний: замість спроби перерахувати все небезпечне, сторож дозволяє лише дані, що точно відповідають відомій правильній специфікації, і відхиляє все інше. Кілька технік працюють разом.

Структурна валідація. Кожен файл аналізується за суворою схемою для його задекларованого типу. Документ, який стверджує, що є простим форматом для тексту, але містить вбудовані макроси, зовнішні посилання або несподівані бінарні ділянки, не проходить валідацію. Сторож не намагається виправити такий файл — він відхиляє його, оскільки спроба виправити зловмисні вхідні дані сама по собі є поверхнею атаки.

Видалення метаданих та канонізація. Складні формати трансформуються у найпростіше достовірне представлення — наприклад, рендеринг насиченого документа у простий, заново згенерований формат, який не може містити приховані об'єкти оригіналу. Імена авторів, історія редагування, теги геолокації та інші метадані видаляються. Канонізація зводить безліч способів, якими формат може кодувати один і той самий видимий вміст, до одного, усуваючи варіативність, яку використовують стеганографія та приховані канали.

Пошук вмісту та перевірка людиною. Списки заборонених слів, шаблони регулярних виразів та детектори міток класифікації позначають текст, який ніколи не повинен з'явитися на стороні призначення. Для експорту від вищого до нижчого рівня — небезпечного напрямку — позначені об'єкти направляються до рецензента, який приймає остаточне рішення про випуск. Автоматична інспекція звужує обсяг, який має опрацьовувати рецензент; вона не замінює рецензента для передач з найвищим ризиком.

Імпорт проти експорту: асиметричний ризик

Два напрямки міждоменної передачі несуть дуже різні ризики. Імпорт — переміщення даних із мережі нижчого рівня до мережі вищого рівня — переважно є проблемою ін'єкції шкідливого програмного забезпечення та цілісності. Місцем призначення є більш чутлива сторона, тому головне занепокоєння полягає в тому, що вхідні дані можуть містити експлойт або пошкодити анклав вищого рівня. Сторож передачі на шляху імпорту зосереджується на валідації формату, сканування шкідливих програм та відхиленні будь-чого виконуваного або активно інтерпретованого.

Експорт — переміщення даних із мережі вищого рівня до мережі нижчого рівня — є напрямком, що може витікати засекречену інформацію, і тому є складнішою проблемою. Тут завдання сторожа — конфіденційність: переконатися, що нічого засекреченого не проїхало в метаданих, прихованих об'єктах або прихованих каналах, і що мітки класифікації присутні та узгоджені. Оскільки наслідком збою експорту є розкриття, а не зараження, шляхи експорту зазвичай вимагають суворіших білих списків форматів, обов'язкової перевірки людиною позначеного вмісту та найбільш консервативної канонізації. Поширена архітектура використовує два фізично окремі діоди — по одному для кожного напрямку — щоб політики імпорту та експорту, а також їхні режими відмов, ніколи не ділили шлях.

Де діоди вписуються в багаторівневу архітектуру

Дата-діоди рідко стоять осібно. Вони є одним із засобів контролю в конструкції глибокого захисту, яка також включає сегментацію мережі, надійну автентифікацію та безперервний моніторинг. Діод, що захищає чутливий анклав, доповнює, а не замінює засоби контролю нульової довіри всередині цього анклаву; діод керує межею, тоді як верифікація на основі ідентичності регулює кожен запит усередині нього — тема нашої статті про архітектуру нульової довіри для військових мереж. Діоди також природно поєднуються з ізольованими розгортаннями: ізольована система, що все ж таки повинна отримувати оновлення програмного забезпечення або розвідку про загрози, може використовувати імпортний діод для прийому даних без будь-якого зворотного шляху — патерн, розглянутий у статті про ізольовані розгортання для оборонного програмного забезпечення.

Операційні реалії

Міждоменне рішення — це операційне зобов'язання, а не одноразове встановлення. Необхідно відстежувати рівні відхилення, оскільки сторож, що відхиляє надто багато, привчає користувачів шукати несанкціоновані обхідні шляхи — найнебезпечніший режим відмови з усіх. Глибина черги та затримка повинні відстежуватися, щоб законні, чутливі до часу передачі не зазнавали голоду. Кожен формат, який приймає сторож, є поверхнею атаки, що потребує повторної перевірки щоразу, коли змінюється аналізатор, набір правил або базове програмне забезпечення. І кожне рішення про передачу повинно реєструватися в незмінному сховищі, щоб аудитор міг ретроспективно відновити, що саме перетнуло межу і чому це було дозволено.

Управління форматами — це та частина, яка найчастіше недооцінюється. Спокуса в будь-якому операційному розгортанні — продовжувати додавати прийняті формати: тут новий тип зображення, там більш насичений формат документа — доки білий список тихо не стане чорним списком шляхом виснаження. Кожне доповнення розширює поверхню аналізу, якій повинен довіряти сторож, а складний аналізатор, що обробляє зловмисні вхідні дані, — це саме те місце, де міждоменні рішення історично зазнають невдачі. Дисциплінована практика — тримати набір прийнятих форматів якомога меншим, наскільки це допускає місія, надавати перевагу простим структурованим форматам перед насиченими та розглядати будь-який запит на додавання формату як зміну, що запускає повторну оцінку, а не налаштування конфігурації. Якщо насичений формат справді необхідний, безпечніший шлях — рендерувати його до плоского, заново згенерованого представлення на довіреній стороні та передавати лише його, а не дозволяти оригінальну структуру через межу.

Людський вимір має не менше значення, ніж технічний. Рецензентам, що вирішують питання про позначені об'єкти для експорту, потрібні навчання, чіткі критерії випуску та інструменти, що представляють об'єкт у спосіб, який виявляє прихований вміст, а не приховує його. Процес рецензування, який показує рецензенту лише відрендерену поверхню документа, тоді як сторож тихо пропускає метадані під нею, створює хибне відчуття впевненості. Найсильніші розгортання вимірюють сам крок рецензування — скільки часу займають рецензії, як часто рецензенти скасовують автоматичні позначки та чи дрейфують закономірності скасування з часом — щоб рішення про контрольований випуск залишалося свідомим людським судженням, а не формальним штампом.

Акредитація та авторизація

Жодне міждоменне рішення не підключає засекречені мережі без формальної акредитації. У середовищах національної безпеки США Національний офіс стратегії та управління міждоменними рішеннями (NCDSMO) підтримує базовий рівень оцінених продуктів і вимоги дизайну Raise-the-Bar, і новий або змінений CDS проходить лабораторну оцінку безпеки, за якою слідує формальне рішення про авторизацію на роботу. NATO та національні програми застосовують аналогічні режими, що посилаються на оцінку Common Criteria та національні органи акредитації безпеки. Вирішальне значення має те, що акредитація охоплює всю концепцію операцій — дозволені формати даних, правила інспекції, структуру аудиту та процес перевірки людиною, — а не лише пристрій. Діод — це компонент; акредитований CDS — це система з задокументованою поведінкою, і саме систему, а не коробку, підписує орган.