Базис в 2 раза сократил сроки проведения испытаний своих решений для ФСТЭК

Базис в 2 раза сократил сроки проведения испытаний своих решений для ФСТЭК

«Базис», российский разработчик решений для организации динамической инфраструктуры, виртуальных рабочих мест и оказания облачных услуг, сократил срок прохождения испытаний ФСТЭК России с 6 до 3 месяцев.

Это стало возможным благодаря внедрению в компании инструментов безопасной разработки и активной работе специалистов вендора в Центре исследований безопасности системного ПО, созданного на базе ИСП РАН по инициативе ФСТЭК России.

Сертифицированные решения обязаны проходить испытания в связи с внесением изменений в сертифицированное ранее средство защиты информации (СЗИ) после каждого значимого обновления. Процесс проверки ФСТЭК может занимать около полугода, из-за чего выход сертифицированной версии откладывается, а вместе с этим может откладываться и получение новой функциональности продукта его заказчиком.

Выбранный командой «Базиса» подход к разработке экосистемы позволил компании выпускать новые релизы продуктов, сертифицированные и нет, с минимальной разницей во времени. В частности, решение для защиты систем виртуализации и облачных платформ Basis Virtual Security и платформа для управления виртуальными средами Basis Dynamix прошли испытания всего за три месяца.

Basis Virtual Security и Basis Dynamix ранее были сертифицированы по 4 уровню доверия на соответствие требованиям ФСТЭК к средствам виртуализации. Достижение столь высокого уровня и получение сертификата стали возможным благодаря использованию методов безопасной разработки и существующим в Basis Virtual Security средствам обеспечения информационной безопасности.

Решение «Базиса» позволяет управлять доступом к информационным системам (ИС), реализует технологию единого входа (single sign-on, SSO) в ИС, контролирует целостность средств виртуализации, обеспечивает многофакторную аутентификацию, регистрирует события безопасности и т.д. В целом, предлагаемые Basis Virtual Security инструменты реализуют подавляющее большинство технических мер защиты виртуальной среды.

Сертифицированные Basis Dynamix и Basis Virtual Security можно использовать в:

  • государственных информационных системах (ГИС) до 1 класса защищенности,
  • информационных системах персональных данных (ИСПДн) до 1 уровня защищенности,
  • автоматизированных системах управления технологическим процессом (АСУ ТП) до 1 уровня защищенности,
  • информационных системах общего пользования II класса,
  • значимых объектах критической информационной инфраструктуры (КИИ) до 1 категории значимости.

«Для того, чтобы продукт мог называться защищенным, недостаточно единожды получить сертификат – после выхода каждого обновления нужно проходить испытания на соответствие стандартам ФСТЭК, а это серьезно задерживает релиз. Команде «Базис» в сотрудничестве с ИСП РАН и НТЦ Фобос-НТ удалось выстроить вокруг продуктов такой процесс безопасной разработки и проектирования, что новый релиз может проходить испытания всего за три месяца вместо полугода. В совместных планах у нас еще большее сокращение сроков, а также дальнейшее повышение безопасности разработки: «Базис» является активным участником Центра исследования безопасности системного ПО, и проводимые работы по статическому и динамическому анализу исходных кодов регулярно приводят к выявлению и исправлению дефектов. Одним из последних успехов стало выявление уязвимости высокого уровня критичности BDU-2024-04430. Все это говорит о правильности выбранного компанией подхода к разработке и зрелости наших продуктов. Заказчики могут быть уверены, что решения «Базиса» создают безопасную основу для динамической инфраструктуры их организации», – прокомментировал Дмитрий Сорокин, технический директор компании «Базис».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Разработчики мессенджера Signal решили наконец повысить безопасность версии приложения для десктопов. В частности, девелоперы поменяли способ хранения ключей шифрования, за что их критиковали с 2018 года.

Ранее при установке Signal на Windows- или macOS-устройства мессенджер создавал зашифрованную SQLite-базу для хранения сообщений пользователя. Эта БД шифровалась с помощью ключа, сгенерированного программой, без пользовательского ввода.

Чтобы программа могла расшифровывать базу и использовать её для хранения данных, нужен ключ шифрования. В случае с логикой работы Signal ключ хранился в виде простого текста в локальном файле по пути «%AppData%\Signal\config.json» в Windows и «~/Library/Application Support/Signal/config.json» — в macOS.

Источник: BleepingComputer

 

Проблема в том, что если Signal может получить доступ к этому файлу с ключом, любая программа в системе тоже способна до него добраться. Другими словами, шифрование БД лишено всякого смысла, ведь любой софт может её расшифровать.

Сначала Signal всячески пытался преуменьшать значение этого бага. Например, один из разработчиков писал:

«Ключ от БД и не задумывался как нечто закрытое. Шифрование при хранении никогда не упоминалось в качестве функциональности десктопной версии Signal».

Однако девелоперы, судя по всему, пересмотрели своё отношение после одного из твитов Илона Маска, в котором миллиардер указывал на уязвимость в мессенджере.

Своё недоумение также высказывали исследователи в области кибербезопасности — например, Томми Миск.

Теперь, по словам разработчиков, они имплементировали поддержку Electron safeStorage. Нововведение скоро должно появиться в бета-версии Signal.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru