Журнал "Information Security/ Информационная безопасность" #5, 2025

роль сверху вниз критически важен для защиты на уровне приложений от акту- альных угроз. Таким образом, перспек- тивна их интеграция: снизу вверх для гарантии целостности платформы, сверху вниз – для гибкого реагирования на атаки. Сергей Аносов, "Открытая мобильная платформа" Идеальный вариант – это идти снизу вверх: от доверенного железа к дове- ренным приложениям, создавая по сути доверенный ПАК. Однако это не един- ственный вариант. В наших условиях более реалистичный и не менее пер- спективный подход – построение дове- ренной архитектуры сверху вниз. Созда- вая и используя различные эшелоны безопасности для построения систем защиты мобильных устройств. MDM для контроля пользователей и жизненного цикла приложений, механизмы изоляции и защиты в ОС, препятствующие выпол- нению различного рода атак. Динамиче- ские средства контроля целостности ядра и использование изолированных сред исполнения – все это уже есть сейчас, доступно и используется в ОС Аврора. Алексей Сантьев, "СМАРТС-Кванттелеком" Объективные критерии доверия к устройству должны включать: l наличие верифицированной цепочки сборки прошивки с цифровой подписью программных модулей; l регулярность и сроки предоставления обновлений безопасности; l результаты независимых аудитов кода и пентестов; l прозрачность используемых компо- нентов с публичным реестром уязвимо- стей. Такая система оценки создаст сопо- ставимую шкалу доверия для разных производителей. Но это вопрос ком- плексный, и он требует глубокой прора- ботки. Иван Глушков, АВ Софт Объективные и общепринятые пока- затели доверия к мобильным устрой- ствам могут включать наличие серти- фицированных аппаратных корней дове- рия (Secure Boot, TPM, TEE), подтвер- жденную целостность прошивки и ОС, прозрачность состава компонентов (SBOM/HBOM), возможность воспроиз- водимых сборок, проведение независи- мого аудита и защищенную систему обновлений. Совокупность этих крите- риев может формировать единый индекс доверия устройства. Сергей Смелов, "Ринго" Объективные показатели доверия к мобильным устройствам уже существуют – это требования ФСТЭК России, Цент- рального банка РФ и других регуляторов, а также обновленные стандарты без- опасной разработки. Они задают кон- кретные критерии: защита данных, конт- роль доступа, отсутствие уязвимостей и соблюдение протоколов безопасности. Проблема в том, что пока вендоры и компании применяют их фрагментарно, вместо единого и согласованного под- хода. Сергей Аносов, "Открытая мобильная платформа" Мобильное устройство – это не просто аппаратная платформа – это и опера- ционная система, которая управляет устройством, средства доверенной загрузки, приложения, периферийные устройства и среда передачи данных. Требуется комплексный подход по интег- ральной оценке всего доверенного ПАК с учетом имеющегося технического заде- ла по аппаратным устройствам. Я вижу доверенное устройство для использова- ния в информационных системах, как: l мобильное устройство, произведенное на территории России и соответствую- щее требованиям Минпромторга; l операционную систему, разработчик которой имеет сертификат РБПО по соответствующему решению; l средство управления мобильными устройствами, разработчик которой имеет сертификат РБПО по соответ- ствующему продукту. Иван Глушков, АВ Софт Перспективным направлением может стать сочетание аппаратной идентично- сти (PUF) и удаленной аттестации устройств. Уникальные физические свой- ства чипа позволяют надежно подтвер- ждать подлинность каждого устройства, а механизмы аттестации – проверять его текущее состояние и целостность программной среды. Такой подход спо- собен создать проверяемую и незави- симую основу доверия мобильных устройств без привязки к конкретному вендору. Сергей Смелов, "Ринго" Недооценено системное разделение личного и корпоративного контуров на уровне операционной системы в соче- тании с подходом Zero Trust. Безопас- ность определяется не устройством, а соблюдением стандартов: изоляцией данных, запретом root-доступа, контро- лем обновлений. Важно и направление Digital Employee Experience, где данные систем управления устройствами помо- гают автоматизировать рутину и улуч- шать работу пользователей. Эти задачи включены в наши ближайшие планы разработки. Алексей Сантьев, "СМАРТС-Кванттелеком" Гомоморфное шифрование способно переопределить общепринятый подход по оценке доверия к устройствам. Оно позволяет обрабатывать данные, не рас- шифровывая их. Даже при полном взло- ме системы злоумышленник получит только зашифрованную информацию, а все вычисления с ней могут безопасно выполняться в облаке. Это создает прин- ципиально новую модель, где устройству не нужно доверять – оно физически не имеет доступа к вашим данным, при этом реализует операции с ними. Сергей Аносов, "Открытая мобильная платформа" Очень интересна идея аутентификации пользователя на основе поведенческого анализа. Каждый из нас работает с устройством по-разному – как вы дер- жите устройство, как взаимодействуете, как нажимаете на кнопки и т. п. Сово- купность этих параметров может доста- точно четко идентифицировать владель- ца. Данная технология даст дополни- тельное удобство для пользователя и эффективно защитит от разного вида атак, таких как выхватывание устройства злоумышленником. l Сейчас нет единого спосо- ба оценить, насколько устройство действительно доверенное – у каждого вендора свои метрики и трактовки. Как могли бы выглядеть объективные и общепринятые показатели доверия к мобильным устройствам? Какая технология или идея, на ваш взгляд, сего- дня недооценены, но спо- собны изменить саму при- роду доверия к мобильно- му устройству? • 49 ЗАЩИТА МОБИЛЬНЫХ УСТРОЙСТВ www.itsec.ru Ваше мнение и вопросы присылайте по адресу is@groteck.ru Фото: Гротек