МОДУЛЬ ЗАЩИЩЕННОЙ АУДИОСВЯЗИ ДЛЯ IP-ТЕЛЕФОНА

Изобретение относится к телекоммуникационным системам и может быть использовано для создания устройств передачи данных с аппаратно-программной защитой от несанкционированного доступа к информации, передаваемой по звуковому тракту.

Известны «Способ и устройство для выборочного шифрования данных» [РФ №2518392 C21, H04N 19/124, 10.06.2014], содержащие этапы, на которых: вычисляют соотношение искажения к скорости передачи для каждого пакета в наборе пакетов; шифруют незащищенный пакет с наибольшим соотношением искажения к скорости передачи из набора пакетов; и повторяют этап шифрования только до тех пор, пока не будет получено предопределенное искажение аудиовизуального контента, и устройство защиты, выполненное с возможностью: вычислять соотношение искажения к скорости передачи для каждого пакета в наборе пакетов; шифровать незащищенный пакет с наибольшим соотношением искажения к скорости передачи из набора пакетов; и повторять этап шифрования только до тех пор, пока не будет получено предопределенное искажение аудиовизуального контента.

Недостатком указанных способа и устройства является незначительная область использования, которая относится только к шифрованию данных и конкретно к шифрованию данных изображения, организованных в потоки битов.

Наиболее близким к заявляемому является «Гарнитура для мобильных устройств с функцией шифрования связи» [РФ №151378 U21, Н04М 1/05, 10.04.2015], содержащая выполненные в едином корпусе модуль подключения к телефону, микрофон, динамик, элементы автономного питания, кроме того, она снабжена энкодером и микроконтроллером, обеспечивающими шифрование и дешифрование информации, переданной через открытые каналы.

Недостатком данного устройства является отсутствие возможности исключения перехвата ПИН-кода и разблокировки контейнера с ключевой информацией с помощью скомпрометированного программного обеспечения (ПО) на основной плате телефона.

Техническим результатом является расширение функциональных возможностей за счет обеспечения исключения перехвата ПИН-кода разблокировки контейнера с ключевой информацией с помощью скомпрометированного ПО на материнской плате телефона.

Технический результат достигается тем, что в «Модуле защищенной аудиосвязи для IP-телефона», содержащем микрофон, динамик, блок шифрования, блок дешифрования, дополнительно введены аналого-цифровой преобразователь (АЦП), цифро-аналоговый преобразователь (ЦАП), блок ключевой информации, коммутационный блок клавиатуры, материнская плата телефона, сеть общего доступа, токен USB, смарт-карта и клавиатура телефона, выход которой соединен с входом коммутационного блока клавиатуры, выход которого соединен со вторым входом материнской платы телефона, первый вход которой соединен с выходом блока шифрования, первый вход которого соединен с выходом АЦП, вход которого соединен с выходом микрофона, вход динамика соединен с выходом ЦАП, вход которого соединен с выходом блока дешифрования, первый вход которого соединен с первым выходом материнской платы телефона, второй выход которой соединен с входом сети общего доступа, выход которой соединен с третьим входом материнской платы телефона, второй вход блока шифрования соединен с первым выходом блока ключевой информации, второй выход которого соединен со вторым входом блока дешифрования, выход токена USB соединен с первым входом блока ключевой информации, второй вход которого соединен с выходом смарт-карты, причем блок шифрования представляет собой программно-аппаратный комплекс, реализующий алгоритм шифрования аудиопотока по ГОСТ 28147-89, причем блок дешифрования является программно-аппаратным комплексом, который реализует алгоритм дешифрования аудиопотока по ГОСТ 28147-89, причем блок ключевой информации представляет собой программный комплекс, в котором хранятся статусы модуля защищенной аудиосвязи.

На фиг. 1 представлена блок-схема модуля.

Модуль защищенной аудиосвязи для IP-телефона (фиг. 1) содержит микрофон 1, динамик 2, аналого-цифровой преобразователь (АЦП) 3, цифро-аналоговый преобразователь (ЦАП) 4, блок шифрования 5, блок дешифрования 6, блок ключевой информации 7, коммутационный блок клавиатуры 8, материнскую плату телефона 9, сеть общего доступа 10, токен USB 11, смарт-карту 12 и клавиатуру телефона 13, выход которой соединен с входом коммутационного блока клавиатуры 8, выход которого соединен со вторым входом материнской платы телефона 9, первый вход которой соединен с выходом блока шифрования 5, первый вход которого соединен с выходом АЦП 3, вход которого соединен с выходом микрофона 1, вход динамика 2 соединен с выходом ЦАП 4, вход которого соединен с выходом блока дешифрования 6, первый вход которого соединен с первым выходом материнской платы телефона 9, второй выход которой соединен с входом сети общего доступа 10, выход которой соединен с третьим входом материнской платы телефона 9, второй вход блока шифрования 5 соединен с первым выходом блока ключевой информации 7, второй выход которого соединен со вторым входом блока дешифрования 6, выход токена USB 11 соединен с первым входом блока ключевой информации 7, второй вход которого соединен с выходом смарт-карты 12, причем блок шифрования 5 представляет собой программно-аппаратный комплекс, реализующий алгоритм шифрования аудиопотока по ГОСТ 28147-89, причем блок дешифрования 6 является программно-аппаратным комплексом, который реализует алгоритм дешифрования аудиопотока по ГОСТ 28147-89, причем блок ключевой информации 7 представляет собой программный комплекс, в котором хранятся статусы модуля защищенной аудиосвязи.

Работа модуля (фиг. 1) заключается в следующем.

IP-телефон может иметь устройство, называемое модулем защищенной аудиосвязи (МЗАС), которое позволяет пользователям вести шифрованное голосовое общение через общедоступные сети передачи данных.

МЗАС представляет собой электронную схему, реализованную на микропроцессоре, аппаратно отделенном от центрального процессора IP-телефона, под управлением проприетарного программного обеспечения, подключенную к материнской плате телефона 9 с помощью стандартной шины данных и эмулирующую АЦП/ЦАП. ПО IP-телефона имеет ограниченный доступ к ПО МЗАС.

МЗАС выполняет две основные функции:

- шифрование аудиотрафика, которое обеспечивает обратимое преобразование потока данных по секретному алгоритму. Функция делает невозможным прослушивание голосового общения абонентов, в том числе владельцами узлов общедоступных сетей передачи данных, через которые идет трафик;

- аутентификацию абонента, представляющую собой процедуру проверки прав абонента на осуществление шифрованного соединения. Функция делает невозможным перехват трафика между абонентами по схеме «человек посередине» и не допускает осуществления фальсификации трафика.

Использование МЗАС обеспечивает:

- невозможность перехвата и фальсификации аудиотрафика между абонентами, даже если ПО IP-телефона скомпрометировано;

- невозможность компрометации ПИН-кода ключевого контейнера токена или смарт-карты посредством скомпрометированного ПО IP-телефона;

- звонок в защищенном режиме, который становится возможным только после успешного прохождения аутентификации.

Особенностью функционирования МЗАС является минимизация точек схемы, через которые проходит незашифрованный трафик.

Сразу после микрофона 1 и АЦП 3 получившийся цифровой аудиопоток шифруется в блоке шифрования 5 по заданному алгоритму и передается в зашифрованном виде через материнскую плату телефона 9, через сеть общего доступа 10 в основную плату телефона принимающего абонента.

После этого аудиопоток расшифровывается с помощью блока дешифрования 6, стоящего на IP-телефоне принимающего абонента, затем подается на ЦАП 4 и динамик 2. Принимающий абонент слышит речь.

В результате становится невозможным перехват аудиосигнала, даже если материнская плата телефона 9 или операционная система IP-телефона абонента или принимающего абонента скомпрометирована (взломана) злоумышленниками.

Ключевая информация хранится в блоке ключевой информации 7 абонента и вызываемого абонента и недоступна для извлечения с помощью ПО, работающего на материнской плате телефона 9.

Загрузка ключевой информации в блок ключевой информации 7 происходит с токена USB 11 или смарт-карты 12, которые подключены непосредственно к модулю.

Ключевая информация обычно хранится на токене USB 11 или смарт-карте 12 в специальном ключевом контейнере, защищенном ПИН-кодом.

Для разблокировки контейнера с ключевой информацией с подключенного к МЗАС токена USB 11 или смарт-карты 12 к модулю подключена клавиатура телефона 13. В нормальном режиме работы телефона МЗАС прозрачно передает нажатия на клавиши этой клавиатуры 13 на основную плату телефона.

При необходимости разблокировки контейнера с ключевой информацией МЗАС полностью перехватывает весь ввод с клавиатуры телефона 13 и использует эту клавиатуру для ввода ПИН-кода разблокировки. В этот момент нажатия клавиш клавиатуры не передаются на материнскую плату телефона 9.

За счет этого исключается возможность перехвата ПИН-кода и разблокировки контейнера с ключевой информацией с помощью скомпрометированного ПО на основной плате телефона.