Способ защищенной загрузки операционной системы компьютеров

Изобретение относится к области информационных технологий. Техническим результатом является повышение степени защиты от несанкционированного доступа при загрузке операционной системы компьютера и обеспечение возможности параллельной загрузки на рабочие станции компьютерной сети операционных систем компьютеров. Способ защищенной загрузки операционной системы компьютеров включает этапы подготовки компьютера, шифрования файлов операционной системы, запуска отдельно размещенного загрузчика операционной системы, расшифровки файлов и загрузки операционной системы. Запуск загрузчика операционной системы производят с с сетевого ресурса. Перед запуском загрузчика производят шифрование корневой файловой системы операционной системы. Ключ шифрования формируют в соответствии с параметрами аппаратного обеспечения компьютера. Подписывают цифровой подписью размещенные в сетевом ресурсе файлы загрузчика операционной системы, её ядра и образ начальной файловой системы. Обмен с сетевым ресурсом происходит по безопасному протоколу передачи гипертекста с применением симметричного шифрования.

 

Изобретение относится к вычислительной технике, а именно к способам защиты компьютерной сети от несанкционированного доступа к данным.

Известен способ защищенной загрузки операционной системы компьютера с проверкой целостности, содержащий этапы запуска загрузчика операционной системы, считывания ключа шифрования, проверки целостности операционной системы и загрузки операционной системы (см. заявку РФ 2005115918, кл. G06F 21/00, опубл. 20.11.2006).

Недостатком этого способа является то, что, поскольку проверка целостности системы проводится без использования ключа шифрования, при загрузке с альтернативного носителя можно внести изменения как в операционную систему, так и в контрольные суммы.  Такие изменения недетектируемы и не могут обеспечить доверенную загрузку. Таким образом, известный способ не обеспечивает достаточную защиту системы от несанкционированного вмешательства.

Известен также наиболее близкий к предлагаемому и принятый за прототип способ защищенной загрузки операционной системы компьютера с проверкой целостности, содержащий этапы подготовки компьютера, шифрования операционной системы, запуска отдельно размещенного загрузчика операционной системы и загрузки операционной системы (Патент РФ № 2396594 C2, кл. G06F 21/22, опубл. 10.08.2010).

Недостатком данного способа является то, что загрузку операционной системы производят с устройства, подсоединяемого непосредственно к аппаратным средствам компьютера. При этом обеспечивается защита информации, вводимой в единственный компьютер, что усложняет масштабирование загрузки защищенной информации на множество компьютеров.

Задачей, на решение которой направлено настоящее изобретение, является повышение степени защиты от несанкционированного доступа компьютерной сети.

Поставленная задача решается при реализации предлагаемого способа за счет достижения технического результата, заключающегося в обеспечении параллельной загрузки на рабочие станции компьютерной сети защищенной информации.

Данный технический результат достигается тем, что способ защищенной загрузки операционной системы компьютеров, содержащий этапы подготовки компьютера, шифрования файлов операционной системы, запуска отдельно размещенного загрузчика операционной системы, расшифровки файлов и загрузки операционной системы, отличается тем, что запуск загрузчика операционной системы производят с места его размещения в сетевом ресурсе, перед его запуском производят шифрование размещенной в сетевом ресурсе корневой файловой системы операционной системы, подписывают цифровой подписью размещенные в сетевом ресурсе файлы загрузчика операционной системы, её ядра и образ начальной файловой системы в оперативной памяти. При подготовке компьютера включают режим безопасной загрузки унифицированного расширяемого интерфейса встроенных микропрограмм, добавляют ключ проверки цифровой подписи и сертификат безопасного протокола передачи гипертекста, регистрируют адрес сетевого ресурса. Затем производят обращение к сетевому ресурсу для получения подписанных файлов загрузчика, проверяют действительность цифровой подписи загрузчика, в случае ее корректности загрузчик запускается и считывает по безопасному протоколу передачи гипертекста ядро операционной системы и образ начальной файловой системы в оперативной памяти, проверяют действительность цифровой подписи ядра и образа начальной файловой системы в оперативной памяти, в случае корректности цифровой подписи ядро и образ начальной файловой системы в оперативной памяти загружаются в оперативную память компьютера, после чего начальная файловая система считывает с сетевого ресурса зашифрованный образ корневой файловой системы операционной системы, расшифровку которой перед загрузкой операционной системы производят ключом, сформированным в соответствии с параметрами аппаратного обеспечения компьютера.

Согласно изобретению загрузка операционной системы компьютера осуществляется из защищенного от изменений состояния, которое обеспечивается шифрованием и применением цифровой подписи к загружаемой информации. Программный загрузчик также подписывается цифровой подписью и находится в защищённом от изменений состоянии, и располагается совместно с операционной системой в сетевом ресурсе. Доступ к сетевому ресурсу осуществляется по безопасному протоколу передачи гипертекста (HTTPS) с симметричной схемой шифрования. Унифицированный расширяемый интерфейс встроенных микропрограмм (UEFI) компьютера настроен на загрузку операционной системы с сетевого ресурса.

Предварительно, для обеспечения загрузки операционной системы осуществляют следующие операции. В унифицированном расширяемом интерфейсе встроенных микропрограмм (UEFI) включается безопасный режим (Secure Boot), добавляется ключ проверки цифровой подписи, добавляется сертификат протокола HTTPS. Регистрируется адрес сетевого ресурса, в котором размещают подписанные цифровой подписью файлы загрузчика, ядра и образа начальной файловой системы в оперативной памяти (initramfs). Также в сетевом ресурсе помещают образ корневой файловой системы операционной системы, зашифрованный ключом, сформированным исходя из параметров аппаратного обеспечения компьютера, на который осуществляется загрузка операционной системы.

По включении компьютера выполняются команды унифицированного расширяемого интерфейса встроенных микропрограмм (UEFI). С сетевого ресурса считывается загрузчик, проверяется его цифровая подпись, и если подпись корректна, то происходит его запуск. Загрузчик, в свою очередь, запрашивает требуемую конфигурацию операционной системы с сетевого ресурса и получает набор файлов ядра и начальной файловой системы в оперативной памяти (initramfs), необходимых для старта операционной системы. Проверяются цифровые подписи для ядра и initramfs, и если подпись корректна, происходит загрузка ядра и initramfs. Затем, начальная файловая система считывает с сетевого ресурса зашифрованный образ корневой файловой системы и производит её расшифровку. Ключ для расшифровки формируется в оперативной памяти на основании параметров аппаратного обеспечения компьютера, на котором происходит загрузка. Если расшифровка происходит успешно, то операционная система загружается в штатном режиме.

Данный способ загрузки позволяет производить загрузку множества компьютеров с обозначенного доверенного сетевого ресурса. Таким образом обеспечивается целостность загружаемой операционной системы и программной среды в однозначно исходном состоянии для каждого компьютера, осуществляющего загрузку.

Предлагаемый способ загрузки операционной системы компьютера обеспечивает высокую степень защиты загружаемых данных, поскольку информация, необходимая для загрузки, размещается в защищенном от изменения состоянии, а обмен с сетевым ресурсом происходит по безопасному протоколу передачи гипертекста с применением симметричного шифрования. Помимо того, ключ, необходимый для расшифровки, не имеет отдельной локации на носителях информации, что является дополнительным фактором, повышающим защищенность системы.

Способ защищенной загрузки операционной системы компьютеров, содержащий этапы подготовки компьютера, шифрования файлов операционной системы, запуска отдельно размещенного загрузчика операционной системы, расшифровки файлов и загрузки операционной системы, отличающийся тем, что запуск загрузчика операционной системы производят с места его размещения в сетевом ресурсе, перед его запуском производят шифрование размещенной в сетевом ресурсе корневой файловой системы операционной системы, подписывают цифровой подписью размещенные в сетевом ресурсе файлы загрузчика операционной системы, её ядра и образ начальной файловой системы в оперативной памяти, при подготовке компьютера включают режим безопасной загрузки унифицированного расширяемого интерфейса встроенных микропрограмм, добавляют ключ проверки цифровой подписи и сертификат безопасного протокола передачи гипертекста, регистрируют адрес сетевого ресурса, затем производят обращение к сетевому ресурсу для получения подписанных файлов загрузчика, проверяют действительность цифровой подписи загрузчика, в случае ее корректности загрузчик запускается и считывает по безопасному протоколу передачи гипертекста ядро операционной системы и образ начальной файловой системы в оперативной памяти, проверяют действительность цифровой подписи ядра и образа начальной файловой системы в оперативной памяти, в случае корректности цифровой подписи ядро и образ начальной файловой системы в оперативной памяти загружаются в оперативную память компьютера, после чего начальная файловая система считывает с сетевого ресурса зашифрованный образ корневой файловой системы операционной системы, расшифровку которой перед загрузкой операционной системы производят ключом, сформированным в соответствии с параметрами аппаратного обеспечения компьютера.