BY.СЮИК.00436‑01
Описание
Комплекс программный виртуальный криптографической защиты информации «БАС‑V» (КП «БАС‑V») предназначен для защиты каналов обмена информацией между абонентами, взаимодействующими по цифровому протоколу IP через сети передачи данных.
КП «БАС‑V» обеспечивают криптографическую защиту передаваемых данных посредством полной инкапсуляции IP‑пакетов путем их шифрования с использованием криптографических алгоритмов на основе протоколов IPsec.
Область применения КП «БАС‑V» – системы обработки информации ограниченного распространения.
КП «БАС‑V» предназначен для работы и защиты ресурсов, размещенных в виртуальной среде.
КП «БАС‑V» представляет собой виртуальную машину, предназначенную для работы в многопроцессорных системах для защиты больших объемов данных.
КП «БАС‑V» выполняет те же функции, что и ПАК «БАС», используя для своей работы вычислительные ресурсы Заказчика.
Технические характеристики
| Описание | Спецификация |
| Назначение | Защита передаваемых данных путем полной инкапсуляции IP‑пакетов с использованием протоколов IPSec |
| Количество одновременно поддерживаемых VPN туннелей | Неограниченное количество |
| Производительность |
Определяется вычислительными ресурсами |
| Алгоритмы шифрования |
СТБ 34.101.31‑2020 (п. 7.2, 7.3, 7.4) |
| Алгоритмы контроля целостности (имитозащита) |
СТБ 34.101.31‑2020 (п. 7.5) СТБ 34.101.47‑2017 (п. 6.1) |
| Генерация ключевой пары | СТБ 34.101.45‑2013 |
| Алгоритмы электронной цифровой подписи | СТБ 34.101.45‑2013 |
| Алгоритмы хэширования | СТБ 34.101.31‑2020 (п. 7.8) |
| Взаимная аутентификация устройств и выработка общего ключа | СТБ 34.101.66‑2014 (п. 7.5) |
| Взаимная аутентификация устройств и выработка общего ключа c использованием общего секрета | СТБ 34.101.66‑2014 (п. 7.6) |
| Генерация псевдослучайных чисел | СТБ 34.101.47‑2017 (п. 6.2, 6.3) |
| Формат сертификатов открытых ключей |
СТБ 34.101.19‑2012 СТБ 34.101.78‑2019 (п. 8.3) |
| Поддерживаемые системы сертификатов открытого ключа | ГосСУОК, УЦ БУТБ, УЦ «АСБ Беларусбанк», УЦ «ИВЦ Минфина» |
| Формат запроса на выпуск сертификата открытого ключа |
СТБ 34.101.17‑2012 СТБ 34.101.78‑2019 (п. 8.2) |
| Поддержка списка отозванных сертификатов |
СТБ 34.101.19‑2012 СТБ 34.101.78‑2019 (п. 8.3) |
| Стандарты IKE/IPsec | RFC 4301‑4308 |
| Защита трафика |
Протоколы IPsec: – IPsec Encapsulating Security Payload (ESP) – инкапсуляция пакетов данных – IPsec Authentication Header (AH) – защищенный заголовок |
| Управление ключами | Протокол IKEv2 |
| Смена ключей шифрования |
Автоматически: – при достижении объема переданного трафика – при истечении установленного времени |
| Работа через NAT | Протокол NAT Traversal IPsec |
| Обеспечение надежности защищенных соединений | Протокол Dead Peer Detection (DPD) |
| Управление |
– локально – удаленно по протоколу SSH |
| Событийное протоколирование | Средствами SYSLOG |
| Самотестирование |
При запуске и по запросу администратора: – контроль целостности ПО – контроль работоспособности криптографических алгоритмов |
| Фильтрация трафика | СТБ 34.101.73-2017 (п. 7.3, 7.4) |
| Предоставление статистики | SNMP |
| Поддержка защиты данных второго уровня сетевой модели (L2) | При помощи протокола L2TPv3 pseudowire |
| Маршрутизация |
Статическая маршрутизация Динамическая маршрутизация: – Routing Information Protocol (RIP) – Open Shortest Path First (OSPF) – Border Gateway Protocol (BGP) |
| Механизмы обеспечения отказоустойчивости |
Virtual Router Redundancy Protocol (VRRP) Common Address Redundancy Protocol (CARP) Reverse Route Injection (RRI) |
| Поддержка работы с программными клиентами | Клиенты под ОС Android, Linux, Windows с возможностью назначения IP‑адресов из локального пула |
Документация
Общее описание параметров настройки
Типовые сценарии
При настройке КП «БАС‑V» могут быть использованы те же сценарии, что и для ПАК «БАС».
Программное обеспечение
Для реализации протоколов IPsec в КП «БАС‑V» используется пакет StrongSwan, в котором специалистами ЗАО «НТЦ КОНТАКТ» были зарегистрированы криптографические алгоритмы, соответствующие ТНПА, действующим в Республике Беларусь. Внесенные изменения представлены в файле для соблюдения условий лицензии StrongSwan.
Реализация самих криптографических алгоритмов выполнена в динамически подгружаемых библиотеках и плагинах, являющихся интеллектуальной собственностью ЗАО «НТЦ КОНТАКТ».
Корректность реализации алгоритмов подтверждена в процессе сертификации на соответствие ТР 2013/027/BY.