В связи с необходимостью надежной защиты конфиденциальной информации, передаваемой по коммуникационным сетям общего пользования Internet, потребовалось разработать специализированное программное обеспечение. Решение обеспечивает защищенное соединение между мобильными компьютерами и корпоративной сетью через серверы удаленных подключений, гарантирует защищенную связь между географически распределенными подразделениями предприятия и полностью обезопашивает серверы удаленных подключений от обнаружения и атак хакерами.
Основой решения являются маршрутизаторы со встроенным модулем преобразования пакетов по собственному протоколу Netimd. В зависимости от выбранной модели оборудования, роутер может обеспечить дистанционную безопасную работу как одного выездного сотрудника или руководителя, так и филиала либо небольшого офиса компании.
Основой программно-аппаратного комплекса является динамически подгружаемый модуль ядра операционной системы KeeneticOS, созданной на базе ядра Linux. Модуль запускается автоматически при включении роутера и берет под полный контроль весь поток сетевых фреймов Ethernet, проходящих через внешние (WAN) интерфейсы оборудования. В соответствии с установленными политиками безопасности модуль производит фильтрацию, верификацию и криптографическую модификацию пакетов до их обработки прикладными службами.
Детальное описание режимов работы криптошлюза, принципов хранения ключей и архитектуры ядра KeeneticOS.
Главной отличительной особенностью решения является его глубокая интеграция в ядро маршрутизатора. Модуль Netimd представляет собой динамически подгружаемый драйвер ядра KeeneticOS (созданной на базе Linux), функционирующий на самом низком сетевом уровне.
Модуль инициализируется автоматически при включении питания роутера и встраивается в цепочку обработки внешних сетевых интерфейсов. Это гарантирует, что ни один сетевой пакет из глобальной сети Internet не сможет обойти криптографический фильтр Netimd.
Модуль контролирует весь поток пакетов Ethernet, проходящих через внешние WAN-интерфейсы роутера, выполняя в соответствии с настройками фильтрацию и модификацию пакетов по собственному закрытому протоколу приема-передачи информации.
В отличие от стандартных протоколов VPN (OpenVPN, IPsec, WireGuard), сигнатуры пакетов Netimd не распознаются операторскими системами глубокого анализа трафика (DPI). Пакеты модифицируются на лету при выходе в публичную сеть и безопасно восстанавливаются на принимающей стороне.
Поддерживается режим работы криптошлюза, в котором роутер передает и принимает через внешние WAN-интерфейсы исключительно обработанные собственным протоколом Netimd сетевые пакеты.
Любые другие входящие запросы (попытки сканирования портов утилитами Nmap или Masscan, ICMP пинги, брутфорс-запросы и ботнет-сканирования) немедленно и беззвучно отбрасываются ядром. Роутер не отправляет никаких ответных пакетов RST или Destination Unreachable: для внешнего злоумышленника узел выглядит как полностью выключенный сервер или «черная дыра».
Программно-аппаратный комплекс Netimd обладает универсальной архитектурой и поддерживает три ключевых сценария организации связи:
1) Режим клиента — инициатор защищенного соединения, обеспечивающий безопасное подключение мобильных рабочих мест к инфраструктуре предприятия; 2) Режим сервера — обработчик запросов удаленных клиентов в центральном офисе или ЦОД; 3) Режим туннеля — защищенное объединение локальных сетей филиалов (Site-to-Site), в котором защищенное соединение может устанавливаться по инициативе любой из сторон.
Ключевая информация и программное обеспечение Netimd размещаются на миниатюрном USB флэш-накопителе малой емкости (от 128 МБ), подключаемом к порту роутера Keenetic. В случае необходимости программное обеспечение Netimd может быть размещено непосредственно во внутренней Flash-памяти устройств Keenetic.
Вся ключевая информация хранится строго в зашифрованном виде. При физическом отключении USB-накопителя или обесточивании устройства на роутере не остается никаких доступных криптографических ключей, что исключает их компрометацию при осмотре оборудования.
Программное обеспечение Netimd аппаратно привязано к конкретному экземпляру оборудования Keenetic. В процессе генерации профиля защиты считываются уникальные аппаратные идентификаторы процессора и сетевого чипа.
Это гарантирует, что даже в случае несанкционированного клонирования образа памяти или копирования файлов с USB-накопителя запустить криптографический модуль на постороннем роутере или виртуальной машине невозможно.
Сохраняется полноценная возможность регулярной установки обновлений операционной системы KeeneticOS для устройств Keenetic.
Каждая новая релизная версия прошивки KeeneticOS проходит предварительное комплексное тестирование на совместимость с модулем Netimd в специализированной испытательной лаборатории ООО «ИМДТех». Заказчикам передаются подтвержденные пакеты, сохраняющие все сетевые функции роутера (Wi-Fi Mesh, переключение резервных провайдеров) без риска нарушения безопасности.