NIST представил руководство по обеспечению безопасности мобильных устройств

Национальный Институт Стандартов и Технологий США (National Institute of Standards and Technology; NIST) опубликовал проект руководящих принципов, определяющих список функций, которые должны быть включены в базовые механизмы обеспечения безопасности мобильных устройств. Применение руководящих принципов позволит защитить информацию, проходящую через планшеты и смартфоны, а также другие мобильные устройства. Мобильные девайсы - личного пользования или корпоративные - все чаще используются бизнесменами и членами государственных организаций. При публикации новых руководящих принципов NIST старался ускорить и простимулировать усилия производителей мобильных устройств по реализации этих технологий для увеличения уровня кибербезопасности выпускаемых ими продуктов.

Применение этих инструментов - особенно в устройствах, находящихся в пользовании сотрудников корпоративных и государственных структур, - с ростом популярности и возможностей этих устройств приобретает все большее значение для подобных учреждений. Многие организации позволяют сотрудникам использовать свои смартфоны и планшеты для рабочих целей, хотя их использование увеличивает риск нарушения кибербезопасности организации, повышая вероятность потери данных и ресурсов.

Документ под названием Руководящие принципы по основным аспектам безопасности аппаратных платформ в мобильных устройствах (Guidelines on Hardware-Rooted Security in Mobile Devices) определяет основные компоненты безопасности и возможности, необходимые для обеспечения более безопасного их использования.

"У многих современных мобильных устройств отсутствует прочная основа, с помощью которой становится возможным укрепление безопасности и повышение доверия со стороны пользователей", объясняет руководитель группы NIST по основным аспектам безопасности аппаратных платформ Эндрю Регеншейд, который также является одним из авторов новой публикации. "Эти рекомендации призваны помочь проектировщикам нового поколения мобильных телефонов и планшетов в повышении безопасности за счет использования высоконадежных компонентов, называемых корнями доверия * (roots of trust), которые выполняют жизненно важные функции в области безопасности".

На ноутбуках и настольных системах эти корневые доверительные узлы часто реализуются в форме отдельного чипа для нужд компьютерной безопасности, который не может быть подделан. Но ограничения мобильных устройств по энергопотреблению и доступному внутри корпуса пространству заставляют производителей использовать другие подходы, такие как использование механизмов обеспечения безопасности, встроенных в процессоры, которые используются внутри этих продуктов.

Руководящие принципы NIST сосредоточены на трех средствах обеспечения безопасности, используемых для решения известных проблем в области безопасности мобильных устройств. Речь идет о целостности устройства, изоляции и защищенном модуле хранения данных. Планшеты или телефоны, поддерживающие механизм целостности устройства, могут предоставить информацию о своей конфигурации, возможных неполадках и рабочем состоянии, которая может быть проверена организациями, доступ к чьей информации осуществляется. Механизм изоляции предназначен для обеспечения раздельного хранения компонентов и процессов личных и корпоративных данных. Таким образом, персональные приложения не должны иметь возможности взаимодействовать с корпоративными данными, поддержание безопасности которых и требуется. Защищенный модуль хранения данных позволяет хранить информацию в безопасности благодаря использованию криптографии и системе ограничения доступа к данным.

Согласно рекомендациям, озвученным в руководящих принципах, каждое мобильное устройство должно содержать три компонента безопасности. Это основополагающие элементы безопасности, которые могут быть использованы операционной системой устройства и установленными на нем приложениями. К ним относятся:

• Корни доверия, которые представляют собой комбинацию аппаратных средств, программного обеспечения и программных компонентов, предназначенных для обеспечения безопасности критически важных функций с очень высокой степенью вероятности их корректного исполнения;
• Интерфейс прикладного программирования, который позволяет операционным системам и приложениям использовать функции безопасности, предоставляемые корнями доверия;
• Механизм применения политик безопасности, применяемый для обработки, технического обслуживания и управления политиками безопасности на мобильном устройстве.

Полный текст документа Руководящие принципы по основным аспектам безопасности аппаратных платформ в мобильных устройствах (Special Publication 800-164) можно скачать по адресу http://csrc.nist.gov/publications/PubsDrafts.html#SP-800-164.

* Корень доверия (корневой доверительный узел) представляет собой набор функций / логический объект, который обеспечивает основу для включения сертификатов в список доверительных сертификатов (certificate trust list; CTL). Все субъекты, выдающие сертификаты, и конечные их пользователей должны доверять этому узлу.