Проверка целостности Супераппа по ГОСТ

В инструкции описано, как проверить целостность клиентского приложения VK WorkSpace — Супераппа (ранее — VK Teams) по ГОСТ.

Документ предназначен для:

• Пользователей — чтобы выполнить проверку целостности на своем устройстве по запросу службы поддержки или администратора, а также при подозрении на нарушение целостности приложения.
• Администраторов — чтобы организовать процесс проверки, предоставить пользователям актуальные материалы (скрипт проверки) и использовать результаты проверки при расследовании инцидентов и обращениях в поддержку.

1. Для проверки целостности Супераппа по ГОСТ вам понадобится скрипт check_integrity. При сборке Супераппа этот скрипт прикрепляется к артефактам:

   • Linux, macOS — check_integrity.sh;
   • Windows — check_integrity.ps1.

   Скачайте скрипт на лендинге по адресу https://dl.<сайт_компании>. Положите скрипт в любую директорию на ПК пользователей.

2. На ПК пользователей должен быть установлен СКЗИ «КриптоПро CSP» версии 5.0. Убедитесь, что в пакет поставки входит утилита cpverify.

Для выполнения проверки целостности Desktop-приложения и для работы в режиме ГОСТ (включая использование утилит СКЗИ «КриптоПро CSP», например cpverify) на устройстве должна быть установлена и корректно настроена СКЗИ «КриптоПро CSP» версии 5.0 в соответствии с документацией производителя.

Соблюдение правил эксплуатации СКЗИ, включая порядок использования, учет и распространение, выполняется в соответствии с документацией СКЗИ и внутренними регламентами организации.

Требования к поддерживаемым версиям ОС и браузеров приведены в разделе «Предварительные условия при включении ГОСТ TLS» документа «Как настроить ГОСТ TLS-шифрование».

Скрипт проверки целостности запускается из терминала:

• Linux — bash;
• macOS — zsh;
• Windows — PowerShell.

На Linux и macOS может потребоваться назначение скрипту прав на выполнение. Для этого нужно в терминале выполнить команду:

 
chmod +x check_integrity.sh

Для запуска скрипта необходимо передать в аргументах пути утилите КриптоПро cpverify и к директории установки Супераппа:

Для Linux, macOS:

 
./check_integrity.sh <путь_к_cpverify> <путь_к_директории_установки_Супераппа>

Для Windows:

 
.\check_integrity.ps1 <путь_к_cpverify> <путь_к_директории_установки_Супераппа>

Если запустить скрипт без аргументов, то будет отображена подсказка:

Для Linux, macOS:

 
./check_integrity.sh <путь_к_cpverify> <путь_к_директории_установки_Супераппа>Usage: ./check_integrity.sh <path_to_cpverify> <path_to_application>

Для Windows:

 
.\check_integrity.ps1 <путь_к_cpverify> <путь_к_директории_установки_Супераппа>Usage: <путь к скрипту>\check_integrity.ps1 <path_to_cpverify> <path_to_application>

Контроль целостности необходимо проводить периодически не менее одного раза в месяц.

Контрольные суммы компонентов вычислены с помощью алгоритма ГОСТ 34.11 – 2012 с ключом 256 бит:

Ниже пример запуска скрипта на macOS:

 
./check_integrity.sh /opt/cprocsp/bin/cpverify /Applications/VK\ WorkSpace.app

При успешном выполнении скрипта в терминале будет выведен статус проверки по каждому файлу «File '<путь к файлу>' has been verified» с завершающим сообщением «Everything is OK»:

 
./check_integrity.sh /opt/cprocsp/bin/cpverify /Applications/VK\ WorkSpace.appFile '/Applications/VK WorkSpace.app/Contents/MacOS/VK WorkSpace' has been verifiedFile '/Applications/VK WorkSpace.app/Contents/Helpers/crashpad_handler' has been verifiedFile '/Applications/VK WorkSpace.app/Contents/Helpers/networkhelper.app/Contents/MacOS/networkhelper' has been verified...File '/Applications/VK WorkSpace.app/Contents/MacOS/vktplugins/vkt_ws_calendar/libvkt_ws_calendar.dylib' has been verifiedFile '/Applications/VK WorkSpace.app/Contents/MacOS/vktplugins/vkt_ws_cloud/libvkt_ws_cloud.dylib' has been verifiedEverything is OK.

При возникновении ошибки скрипт завершит выполнение на файле, который не прошел проверку целостности, с выводом сообщения «File '<путь к файлу>' is corrupted»:

 
./check_integrity.sh /opt/cprocsp/bin/cpverify /Applications/VK\ WorkSpace.appFile '/Applications/VK WorkSpace.app/Contents/MacOS/VK WorkSpace' has been verifiedFile '/Applications/VK WorkSpace.app/Contents/Helpers/crashpad_handler' has been verifiedFile '/Applications/VK WorkSpace.app/Contents/Helpers/networkhelper.app/Contents/MacOS/networkhelper' is corrupted

Причины:

1. Ошибка при скачивании и установке Супераппа.
2. Несанкционированная модификация файлов Супераппа, например, изменение, подмена или удаление файлов.

В мобильных версиях Супераппа VK WorkSpace контроль целостности (КЦ) выполняется встроенными средствами приложения. Проверка основана на контроле целостности компонентов приложения, включая подписи и хэши, и предназначена для выявления признаков модификации приложения или небезопасной среды выполнения.

• Проверка целостности выполняется автоматически при каждом запуске приложения.
• Для выполнения проверки не требуется доступ в интернет, доступ к серверу и проверка CRL.
• Результат проверки отображается пользователю непосредственно в интерфейсе приложения.

После установки приложения и при первом запуске контроль целостности выполняется автоматически — так же, как и при последующих запусках. Если проверка не пройдена, вход в приложение будет недоступен.

Контроль целостности может не пройти, если обнаружены признаки небезопасной среды или модификации приложения, например:

• Модификация компонентов приложения — изменение файлов dex, so или других бинарных файлов приложения.
• Устройство с root-доступом (Android) или jailbreak (iOS).
• Запуск приложения в Android-эмуляторе.

Если проверка целостности не пройдена, на экране ввода корпоративного email отображается сообщение «Проверка целостности не пройдена».

Android:

iOS:

• На устройстве пользователя — по сообщению «Проверка целостности не пройдена» на экране ввода корпоративного email.
• В клиентских логах приложения — администратор может запросить логи у пользователя и использовать их при диагностике и расследовании.

Вы пользователь

Обратитесь к администратору вашей организации.

Вы администратор

1. Переустановите Суперапп и запустите проверку целостности (в том числе мобильной версии приложения совместно с пользователем).
2. Если нарушена целостность десктоп-версии Супераппа, удалите приложение. В мобильной версии Супераппа передача данных прекращается самостоятельно в случае, если выявилось нарушение целостности. При этом пользователи могут использовать веб-версию Супераппа.
3. Независимо от результатов проверки инициируйте ИБ-инцидент в соответствии с внутренними регламентами компании.

Технический писатель: Белова Ирина