Что такое защищенный канал связи. Защита информации в каналах связи и создание защищённых телекоммуникационных систем

ОАНО «ВОЛЖСКИЙ УНИВЕРСИТЕТ ИМЕНИ В.Н. ТАТИЩЕВА»

ФАКУЛЬТЕТ «ИНФОРМАТИКА И ТЕЛЕКОММУНИКАЦИИ»

Кафедра «Информатика и системы управления»

КУРСОВАЯ РАБОТА

по дисциплине: «Методы и средства защиты компьютерной информации»

тема: «Защита каналов связи »

Студент группы ИС-506

Утятников А.А.

Преподаватель:

М.В. Самохвалова

Тольятти 2007

Введение

Защита информации в каналах связи и создание защищённых телекоммуникационных систем

Удаленный доступ к информационным ресурсам. Защита информации, передаваемой по каналам связи

1 Решения на базе сертифицированных криптошлюзов

2 Решения на базе протокола IPSec

Технологии информационной безопасности в информационно-телекоммуникационных системах (ИТС)

Заключение

Введение

Защита (безопасность) информации является неотъемлемой составной частью общей проблемы информационной безопасности, роль и значимость которой во всех сферах жизни и деятельности общества и государства на современном этапе неуклонно возрастают.

Производство и управление, оборона и связь, транспорт и энергетика, банковское дело, финансы, наука и образование, средства массовой информации всё больше зависят от интенсивности информационного обмена, полноты, своевременности, достоверности и безопасности информации.

В связи с этим проблема безопасности информации стала предметом острой озабоченности руководителей органов государственной власти, предприятий, организаций и учреждений независимо от их организационно-правовых форм и форм собственности.

Бурное развитие средств вычислительной техники открыло перед человечеством небывалые возможности по автоматизации умственного труда и привело к созданию большого числа разного рода автоматизированных информационно-телекоммуникационных и управляющих систем, к возникновению принципиально новых, так называемых информационных технологий.

При выработке подходов к решению проблемы компьютерной, информационной безопасности следует всегда исходить из того, что защита информации и вычислительной системы не является самоцелью. Конечной целью создания системы компьютерной безопасности является защита всех категорий субъектов, прямо или косвенно участвующих в процессах информационного взаимодействия, от нанесения им ощутимого материального, морального или иного ущерба в результате случайных или преднамеренных воздействий на информацию и системы ее обработки и передачи.

1. Защита информации в каналах связи и создание защищённых

телекоммуникационных систем

В условиях нарастающих интеграционных процессов и создания единого информационного пространства во многих организациях ЛАНИТ предлагает провести работы по созданию защищенной телекоммуникационной инфраструктуры, связывающей удаленные офисы фирм в единое целое, а также обеспечение высокого уровня безопасности информационных потоков между ними.

Применяемая технология виртуальных частных сетей позволяет объединять территориально распределенные сети как с помощью защищенных выделенных каналов, так и виртуальных каналов, проходящих через глобальные общедоступные сети. Последовательный и системный подход к построению защищенных сетей предполагает не только защиту внешних каналов связи, но и эффективную защиту внутренних сетей путем выделения замкнутых внутренних контуров VPN. Таким образом, применение технологии VPN позволяет организовать безопасный доступ пользователей в Интернет, защитить серверные платформы и решить задачу сегментирования сети в соответствии с организационной структурой.

Защита информации при передаче между виртуальными подсетями реализуется на алгоритмах асимметричных ключей и электронной подписи, защищающей информацию от подделки. Фактически данные, подлежащие межсегментной передаче, кодируются на выходе из одной сети, и декодируются на входе другой сети, при этом алгоритм управления ключами обеспечивает их защищенное распределение между оконечными устройствами. Все манипуляции с данными прозрачны для работающих в сети приложений.

2. Удаленный доступ к информационным ресурсам. Защита

информации, передаваемой по каналам связи

При межсетевом взаимодействии между территориально удаленными объектами компании возникает задача обеспечения безопасности информационного обмена между клиентами и серверами различных сетевых служб. Сходные проблемы имеют место и в беспроводных локальных сетях (Wireless Local Area Network, WLAN), а также при доступе удаленных абонентов к ресурсам корпоративной информационной системы. В качестве основной угрозы здесь рассматривается несанкционированное подключение к каналам связи и осуществление перехвата (прослушивания) информации и модификация (подмена) передаваемых по каналам данных (почтовые сообщения, файлы и т.п.).

Для защиты данных, передаваемых по указанным каналам связи, необходимо использовать соответствующие средства криптографической защиты. Криптопреобразования могут осуществляться как на прикладном уровне (или на уровнях между протоколами приложений и протоколом TCP/IP), так и на сетевом (преобразование IP-пакетов).

В первом варианте шифрование информации, предназначенной для транспортировки по каналу связи через неконтролируемую территорию, должно осуществляться на узле-отправителе (рабочей станции - клиенте или сервере), а расшифровка - на узле-получателе. Этот вариант предполагает внесение существенных изменений в конфигурацию каждой взаимодействующей стороны (подключение средств криптографической защиты к прикладным программам или коммуникационной части операционной системы), что, как правило, требует больших затрат и установки соответствующих средств защиты на каждый узел локальной сети. К решениям данного варианта относятся протоколы SSL, S-HTTP, S/MIME, PGP/MIME, которые обеспечивают шифрование и цифровую подпись почтовых сообщений и сообщений, передаваемых с использованием протокола http.

Второй вариант предполагает установку специальных средств, осуществляющих криптопреобразования в точках подключения локальных сетей и удаленных абонентов к каналам связи (сетям общего пользования), проходящим по неконтролируемой территории. При решении этой задачи необходимо обеспечить требуемый уровень криптографической защиты данных и минимально возможные дополнительные задержки при их передаче, так как эти средства туннелируют передаваемый трафик (добавляют новый IP-заголовок к туннелируемому пакету) и используют различные по стойкости алгоритмы шифрования. В связи с тем, что средства, обеспечивающие криптопреобразования на сетевом уровне полностью совместимы с любыми прикладными подсистемами, работающими в корпоративной информационной системе (являются «прозрачными» для приложений), то они наиболее часто и применяются. Поэтому, остановимся в дальнейшем на данных средствах защиты информации, передаваемой по каналам связи (в том числе и по сетям общего доступа, например, Internet). Необходимо учитывать, что если средства криптографической защиты информации планируются к применению в государственных структурах, то вопрос их выбора должен решаться в пользу сертифицированных в России продуктов.

.1 Решения на базе сертифицированных криптошлюзов

Для реализации второго варианта и обеспечения конфиденциальности и достоверности информации, передаваемой между объектами компании по каналам связи, можно использовать сертифицированные криптошлюзы (VPN-шлюзы). Например, Континент-К, VIPNet TUNNEL, ЗАСТАВА-Офис компаний НИП «Информзащита», Инфотекс, Элвис+. Эти устройства обеспечивают шифрование передаваемых данных (IP-пакетов) в соответствии с ГОСТ 28147-89, а также скрывают структуру локальной сети, защищают от проникновения извне, осуществляют маршрутизацию трафика и имеют сертификаты Гостехкомиссии РФ и ФСБ (ФАПСИ).

Криптошлюзы позволяют осуществить защищенный доступ удаленных абонентов к ресурсам корпоративной информационной системы (рис. 1). Доступ производится с использованием специального программного обеспечения, которое устанавливается на компьютер пользователя (VPN-клиент) для осуществления защищенного взаимодействия удаленных и мобильных пользователей с криптошлюзом. Программное обеспечение криптошлюза (сервер доступа) проводит идентификацию и аутентификацию пользователя и осуществляет его связь с ресурсами защищаемой сети.

Рисунок 1. - «Удаленный доступ по защищенному каналу с

использованием криптошлюза»

С помощью криптошлюзов можно формировать виртуальные защищенные каналы в сетях общего пользования (например, Internet), гарантирующие конфиденциальность и достоверность информации и организовывать виртуальные частные сети (Virtual Private Network - VPN), которые представляют собой объединение локальных сетей или отдельных компьютеров, подключенных к сети общего пользования в единую защищенную виртуальную сеть. Для управления такой сетью обычно используется специальное программное обеспечение (центр управления), которое обеспечивает централизованное управление локальными политиками безопасности VPN-клиентов и криптошлюзов, рассылает для них ключевую информацию и новые конфигурационные данные, обеспечивает ведение системных журналов. Криптошлюзы могут поставляться как программные решения, так и как аппаратно-программные комплексы. К сожалению, большинство из сертифицированных криптошлюзов не поддерживает протокол IPSec и, поэтому они функционально не совместимы с аппаратно-программными продуктами других производителей.

.2 Решения на базе протокола IPSec

Протокол IP Security (IPSec) является базовым для построения систем безопасности сетевого уровня, представляет собой набор открытых международных стандартов и поддерживается большинством производителей решений по защите сетевой инфраструктуры. Протокол IPSec позволяет организовать на сетевом уровне потоки защищенных и аутентичных данных (IP-пакетов) между различными взаимодействующими принципалами, включая компьютеры, межсетевые экраны, маршрутизаторы, и обеспечивает:

· аутентификацию, шифрование и целостность передаваемых данных (IP-пакетов);

· защиту от повторной передачи пакетов (replay attack);

· создание, автоматическое обновление и защищенное распространение криптографических ключей;

· использование широкого набора алгоритмов шифрования (DES, 3DES, AES) и механизмов контроля целостности данных (MD5, SHA-1). Существуют программные реализации протокола IPSec, использующие российские алгоритмы шифрования (ГОСТ 28147-89), хеширования (ГОСТ Р 34.11-94), электронной цифровой подписи (ГОСТ Р 34.10-94);

· аутентификацию объектов сетевого взаимодействия на базе цифровых сертификатов.

Текущий набор стандартов IPSec включает в себя базовые спецификации, определенные в документах RFC (RFC 2401-2412, 2451). Request for Comments (RFC) - серия документов группы Internet Engineering Task Force (IETF), начатая в 1969 году и содержащая описания набора протоколов Internet. Архитектура системы определена в RFC 2401 «Security Architecture for Internet Protocol», а спецификации основных протоколов в следующих RFC:

· RFC 2402 «IP Authentication Header» - спецификация протокола AH, обеспечивающего целостность и аутентификацию источника передаваемых IP-пакетов;

· RFC 2406 «IP Encapsulating Security Payload» - спецификация протокола ESP, обеспечивающая конфиденциальность (шифрование), целостность и аутентификацию источника передаваемых IP-пакетов;

· RFC 2408 «Internet Security Association and Key Management Protocol» - спецификация протокола ISAKMP, обеспечивающего согласование параметров, создание, изменение, уничтожение защищенных виртуальных каналов (Security Association - SA) и управление необходимыми ключами;

· RFC 2409 «The Internet Key Exchange» - спецификация протокола IKE (включает в себя ISAKMP), обеспечивающего согласование параметров, создание, изменение и уничтожение SA, согласование, генерацию и распространение ключевого материала, необходимого для создания SA.

Протоколы AH и ESP могут использоваться как совместно, так и отдельно. Протокол IPSec для обеспечения безопасного сетевого взаимодействия использует симметричные алгоритмы шифрования и соответствующие ключи. Механизмы генерации и распространения таких ключей предоставляет протокол IKE.

Защищенный виртуальный канал (SA) - важное понятие в технологии IPSec. SA - направленное логическое соединение между двумя системами, поддерживающими протокол IPSec, которое однозначно идентифицируется следующими тремя параметрами:

· индексом защищенного соединения (Security Parameter Index, SPI - 32-битная константа, используемая для идентификации различных SA c одинаковыми IP-адресом получателя и протоколом безопасности);

· IP-адресом получателя IP-пакетов (IP Destination Address);

· протоколом безопасности (Security Protocol - один из AH или ESP протоколов).

В качестве примера, на рисунке 2 приводится решение удаленного доступа по защищенному каналу компании Cisco Systems на базе протокола IPSec. На компьютер удаленного пользователя устанавливается специальное программное обеспечение Cisco VPN Client. Существуют версии данного программного обеспечения для различных операционных систем - MS Windows, Linux, Solaris.

Рисунок 2. - «Удаленный доступ по защищенному каналу с

использованием VPN-концентратора»

VPN Client взаимодействует с Cisco VPN Series 3000 Concentrator и создает защищенное соединение, которое называется IPSec-туннелем, между компьютером пользователя и частной сетью, находящейся за VPN-концентратором. VPN-концентратор представляет собой устройство, которое терминирует IPSec-туннели от удаленных пользователей и управляет процессами установки защищенных соединений с VPN-клиентами, установленными на компьютерах пользователей. К недостаткам такого решения можно отнести отсутствие поддержки компанией Cisco Systems российских алгоритмов шифрования, хеширования и электронной цифровой подписи.

3. Технологии информационной безопасности в информационно-

телекоммуникационных системах (ИТС)

телекоммуникационный защита информация канал связь

Эффективная поддержка процессов государственного управления с использованием средств и информационных ресурсов (ИИР) возможна только в том случае, если система будет обладать свойством «защищенности», которое обеспечивается реализацией комплексной системы защиты информации, включающей базовые компоненты защиты - систему управления доступом на объекты ИТС, систему видеонаблюдения и систему безопасности информации.

Краеугольным камнем комплексной системы защиты является система безопасности информации, концептуальные положения которой вытекают из особенностей построения системы и составляющих ее подсистем и понятия «защищенной» системы, которое может быть сформулировано следующим образом:

Защищенная ИТС - информационно-телекоммуникационная система, обеспечивающая устойчивое выполнение целевой функции в рамках заданного перечня угроз безопасности и модели действий нарушителя.

Перечень угроз безопасности и модель действий нарушителя определяется широким спектром факторов, включающих эксплуатационный процесс ИТС, возможные ошибочные и несанкционированные действий обслуживающего персонала и пользователей, отказы и сбои оборудования, пассивные и активные действия нарушителей.

При построении ИТС органам государственной власти (ОГВ) целесообразно рассматривать три базовые категории угроз безопасности информации, которые могут привести к нарушению выполнения основной целевой функции системы - эффективная поддержка процессов государственного управления:

· отказы и сбои в аппаратных средствах системы, аварийные ситуации и т.п. (события без участия человека);

· ошибочные действия и непреднамеренные несанкционированные действия обслуживающего персонала и абонентов системы;

Несанкционированные действия нарушителя могут относиться к пассивным действиям (перехват информации в канале связи, перехват информации в технических каналах утечки) и к активным действиям (перехват информации с носителей информации с явным нарушением правил доступа к информационным ресурсам, искажение информации в канале связи, искажение, включая уничтожение, информации на носителях информации с явным нарушением правил доступа к информационным ресурсам, введение дезинформации).

Со стороны нарушителя могут осуществляться также активные действия, направленные на анализ и преодоление системы защиты информации. Данный тип действия целесообразно выделить в отдельную группу, поскольку, преодолев систему защиты, нарушитель может выполнять действия без явного нарушения правил доступа к информационным ресурсам.

В указанном выше типе действий целесообразно выделить возможные действия, направленные на внедрение аппаратно-программных закладок в оборудование ИТС, что в первую очередь определяется использованием зарубежного оборудования, элементной базы и программного обеспечения.

На основе анализа архитектуры ИТС и угроз может быть сформирована общая архитектура системы безопасности информации, включающая следующие основные подсистемы:

· подсистему управления системой безопасности информации;

· подсистему безопасности в информационной подсистеме;

· подсистему безопасности в телекоммуникационной подсистеме;

· подсистему безопасности при межсетевом взаимодействии;

· подсистему выявления и противодействия активным действиям нарушителей;

· подсистему выявления и противодействия возможным аппаратно-программным закладкам.

Следует отметить, что последние три подсистемы, в общем случае, являются компонентами второй и третьей подсистем, но с учетом сформулированных выше особенностей, целесообразно их рассматривать как отдельные подсистемы.

Основой системы безопасности информации в ИТС и каждой из ее подсистем является Политика безопасности в ИТС и ее подсистемах, ключевыми положениями которой являются требования использования следующих базовых механизмов и средств обеспечения безопасности информации:

· идентификация и аутентификация абонентов ИТС, оборудования ИТС, обрабатываемой информации;

· контроль информационных потоков и жизненного цикла информации на базе меток безопасности;

· управление доступом к ресурсам ИТС на основе сочетания дискреционной, мандатной и ролевой политик и межсетевого экранирования;

· криптографическая защита информации;

· технические средства защиты;

· организационные и режимные меры.

Приведенный перечень механизмов защиты определяется целями системы защиты информации в ИТС, среди которых будем выделять следующие пять основных:

· управление доступом к информационным ресурсам ИТС;

· обеспечение конфиденциальности защищаемой информации;

· контроль целостности защищаемой информации;

· неотрицаемость доступа к информационным ресурсам;

· готовность информационных ресурсов.

Реализация указанных механизмов и средств защиты базируется на интеграции аппаратно-программных средств защиты в аппаратно-программные средства ИТС и обрабатываемую информацию.

Отметим, что под термином «информация» в ИТС понимаются следующие виды информации:

· пользовательская информация (информация, необходимая для управления и принятие решений);

· служебная информация (информация, обеспечивающая управлением оборудованием ИТС);

· специальная информация (информация, обеспечивающая управление и работу средств защиты);

· технологическая информация (информация, обеспечивающая реализацию всех технологий обработки информации в ИТС).

При этом защите подлежат все перечисленные виды информации.

Важно отметить, что без применения автоматизированных средств управления системой безопасности информации невозможно обеспечить устойчивую работу системы безопасности в территориально-распределенной системе обработки информации, взаимодействующей как с защищенными, так и не защищенными системами в контуре ИТС и обрабатывающей информацию различного уровня конфиденциальности.

Основными целями подсистемы управления безопасностью информации являются:

· формирование, распределение и учет специальной информации, используемой в подсистемах защиты (ключевая информация, парольная информация, метки безопасности, права доступа к информационным ресурсам и т.п.);

· конфигурирование и управление средствами обеспечения безопасности информации;

· согласование политик безопасности во взаимодействующих системах, включая специальную информацию;

· мониторинг системы безопасности;

· актуализация Политики безопасности в ИТС с учетом различных периодов эксплуатации, внедрения в ИТС новых технологий обработки информации.

Реализация подсистемы управления безопасностью информации требует создания единого центра управления, взаимодействующего с локальными центрами управления безопасностью телекоммуникационной и информационной подсистемам ИТС, центрами управления безопасностью информации во взаимодействующих сетях и агентами безопасности информации на объектах системы.

Архитектура системы управления безопасностью информации должна быть фактически идентична архитектуре самой ИТС, а с точки зрения ее реализации должны выполняться следующие принципы:

· центр управления безопасностью информации и локальные центры управления должны реализовываться на выделенных аппаратно-программных средствах с использованием отечественных средств;

· агенты управления безопасностью должны интегрироваться в аппаратно-программные средства рабочих мест системы с возможностью независимого от них управления со стороны центра и локальных центров.

Подсистема безопасности информации в информационной подсистеме ИТС - одна из наиболее сложных подсистем как с точки зрения механизмов защиты, так и их реализации.

Сложность этой подсистемы определяется тем, что именно в данной подсистеме выполняется основной объем обработки информации, при этом в ней сосредоточены основные ресурсы по доступу к информации абонентов системы - абоненты непосредственно имеют санкционированный доступ как к информации, так и к функциям ее обработки. Именно поэтому основу данной подсистемы составляет система управления доступом к информации и функциям ее обработки.

Базовым механизмом реализации санкционированного доступа к информации и функциям ее обработки является механизм защиты информационных ресурсов от несанкционированных действий, основными компонентами которого являются:

· организационно-технические средства управления доступом к объектам системы, информации и функциям ее обработки;

· система регистрации и учета работы системы и абонентов системы;

· подсистема обеспечения целостности;

· криптографическая подсистема.

Основой реализации отмеченной защиты является архитектурное построение информационной составляющей ИТС - создание логически и информационно выделенных объектов информационного компонента ИТС (банки данных, информационно-справочные комплексы, ситуационные центры). Это позволит реализовать криптографически независимые изолированные объекты, функционирующие по технологии клиент-сервер и не предоставляющие непосредственного доступа к хранилищам информации и функциям ее обработки - вся обработки производится по санкционированного запросу пользователей на базе предоставленных им полномочий.

Для санкционированного предоставления информационных ресурсов абонентам применяются следующие методы и механизмы:

· метки безопасности информации;

· идентификация и аутентификация абонентов и оборудования системы;

· криптографическая защита информации при хранении;

· криптографический контроль целостности информации при хранении.

При реализации подсистемы безопасности в телекоммуникационном компоненте ИТС необходимо учитывать наличие каналов связи как на контролируемой, так и на не контролируемой территории.

Обоснованным способом защиты информации в каналах связи является криптографическая защита информации в каналах связи на не контролируемой территории в сочетании с организационно-техническими средствами защиты информации в каналах связи на контролируемой территории, с перспективой перехода на криптографическую защиту информации во всех каналах связи ИТС, в том числе с использованием методов технологии VPN. Ресурсом защиты информации в телекоммуникационной подсистеме (с учетом наличия нарушителей с легальным доступом к телекоммуникационным ресурсам) является разграничение доступа к телекоммуникационным ресурсам с регистрацией потоков информации и регламента работы абонентов.

Типовым решением защиты информации в каналах связи является применение абонентского и линейного контуров защиты в сочетании с алгоритмическими и техническими средствами защиты, обеспечивающих (как напрямую, так и косвенно), следующие механизмы защиты:

· защита от утечки информации в каналы связи и в технические каналы;

· контроль сохранности информации при передаче по каналам связи;

· защита от возможных атак нарушителя по каналам связи;

· идентификация и аутентификация абонентов;

· управление доступом к ресурсам системы.

Подсистема безопасности при межсетевом обмене в ИТС основывается на следующих механизмах безопасности:

· управлении доступом к ресурсам межсетевого обмена (межсетевое экранирование);

· идентификации и аутентификации абонентов (включая криптографические способы аутентификации);

· идентификации и аутентификации информации;

· криптографической защиты информации в каналах связи на неконтролируемой территории, а в перспективе - во всех каналах связи;

· криптографической изоляции взаимодействующих систем.

Важное значение в рассматриваемой подсистеме имеет реализация технологии виртуальных частных сетей (VPN), свойства которых во многом решают вопросы как защиты информации в каналах связи, так и противодействия атакам нарушителей со стороны каналов связи.

· одной из функций ИТС является принятие решений по управлению как отдельными ведомствами и предприятиями, так и государством в целом на основе аналитической обработки информации;

· не исключается существование нарушителей среди абонентов, взаимодействующих с ИТС систем.

Подсистема выявления и противодействия активным действиям нарушителя реализуется на двух основных компонентах: аппаратно-программных средствах выявления и противодействия возможным атакам нарушителей по каналам связи и архитектуре защищенной сети.

Первый компонент - компонент выявления возможных атак, предназначен для защиты в тех подсистемах ИТС, в которых принципиально возможны действия нарушителя в части атак на информационные ресурсы и оборудование ИТС, второй компонент - предназначен для исключения таких действий или существенное их затруднение.

Основными средствами второго компонента являются аппаратно-программные средства, обеспечивающие реализацию методов защиты в соответствии с технологией виртуальных частных сетей (VPN) как при взаимодействии различных объектов ИТС в соответствии с их структурой, так внутри отдельных объектов и подсетей на базе межсетевых экранов или межсетевых экранов со встроенными средствами криптографической защиты.

Подчеркнем, что наиболее эффективное противодействие возможным атакам обеспечивают криптографические средства линейного контура защиты и межсетевого криптографического шлюза для внешних нарушителей и средства управления доступом к информационным ресурсам для легальных пользователей, относящихся к категории нарушителя.

Подсистема выявления и противодействия возможным аппаратно-программным закладкам реализуется комплексом организационно-технических мероприятий при изготовлении и эксплуатации оборудования ИТС, включающем следующие основные мероприятия:

· специальную проверку оборудования и элементной базы зарубежного производства;

· эталонирование программного обеспечения;

· проверка свойств элементной базы, влияющих на эффективность системы защиты;

· проверку целостности программного обеспечения с использованием криптографических алгоритмов.

Одновременно с другими задачами вопрос противодействия возможным аппаратно-программным закладкам обеспечивают и другие средства защиты:

· линейный контур криптографической защиты, обеспечивающий защиту от активизации возможных программных закладок по каналам связи;

· архивирование информации;

· резервирование (дублирование аппаратных средств).

Средствами ИТС на различных объектах системы пользователям ОГВ могут предоставляться различные услуги по передаче информации и информационному обслуживанию, включая:

· защищенную подсистему документооборота;

· удостоверяющие центры;

· защищенную подсистему передачи телефонной информации, данных и организации видеоконференции;

· защищенную подсистему официального информирования, включая создание и обслуживание официальных сайтов руководителей федерального и регионального уровней.

Отметим, что защищенная подсистема документооборота жестко связана с удостоверяющими центрами, обеспечивающими реализацию механизма цифровой подписи.

Рассмотрим более подробно интеграцию средств обеспечения безопасности информации в систему электронного документооборота, в подсистему передачи телефонной информации, подсистему официального информирования и официальный сайт руководителей различного уровня.

Базовым механизмом защиты информации в системе электронного документооборота является цифровая электронная подпись, обеспечивающая идентификацию и аутентификацию документов и абонентов, а также контроль их целостности.

Поскольку особенности системы документооборота ИТС определяются наличием информационного обмена между различными объектами и ведомствами (включая возможный информационный обмен между защищенными и незащищенными системами), а также использованием различных технологий обработки документов в различных ведомствах, то реализация защищенного документооборота с учетом сформулированных факторов требует выполнения следующих мероприятий:

· унификации формата документов в различных ведомствах;

· согласование политик безопасности в различных ведомствах.

Разумеется, что отмеченные требования могут быть решены частично и использованием шлюзов между взаимодействующими системами.

Удостоверяющие центры по своей сути представляют собой распределенную базу данных, обеспечивающих реализацию цифровой подписи в системе документооборота. Несанкционированный доступ к информационным ресурсам этой базы данных полностью разрушает свойство защищенности электронного документооборота. Отсюда вытекают основные особенности системы защиты информации на удостоверяющих центрах:

· управление доступом к ресурсам базы данных удостоверяющих центров (защита от НСД к ресурсам);

· обеспечение устойчивой работы удостоверяющих центров в условиях возможных отказов и сбоев, аварийных ситуациях (защита от разрушения информации баз данных).

Реализация указанных механизмов может быть выполнена в два этапа: на первом этапе механизмы защиты реализуются с использованием организационно-технических мер защиты и режимных мероприятий, включая использование отечественной сертифицированной операционной системы, а на втором - производится интеграция криптографических способов защиты в аппаратно-программные средства при хранении и обработке информации на удостоверяющих центрах.

Особенности защиты трафика различного вида, передаваемого в ИТС, (телефонного трафика, данных и трафика видеоконференцсвязи), можно разделить на два класса:

· особенности защиты абонентского оборудования, которые определяются необходимостью защиты информации различного типа в том числе и одновременно (видеоинформация и речь, а, возможно, и данные), а также необходимостью защиты информации различного типа от утечки в технические каналы.

· особенности защиты оборудования системы передачи информации определенного вида, которые определяются необходимостью защиты от несанкционированного доступа к услугам телефонной связи, передачи данных, конференцсвязи и ее ресурсам.

Для указанных классов базовыми механизмами защиты являются:

· технические средства защиты информации от утечки в технические каналы, реализуемые стандартными средствами;

· управление доступом к ресурсам, обеспечивающим организацию связи различных видов, в основе которого лежит идентификация и аутентификация возможных подключений различных пользователей и оборудования к оборудованию связи.

Особенностью защищенной подсистемы официального информирования является наличие потоков информации в двух направлениях - от ИТС к внешним системам, включая отдельных граждан страны, а также от внешних систем к ИТС (информационный обмен с незащищенными объектами).

На основе информации, поступающей от внешних систем, вырабатываются решения в интересах как отдельных организаций, ведомств и регионов, так и государства в целом, а от информации, поступающих во внешние системы, зависит исполнение выработанных решений также на всех уровнях государственного управления.

Поэтому, в первом случае основными требованиями, предъявляемыми к функционированию системы с точки зрения ее безопасности являются целостность предоставляемой информации, оперативность предоставления информации, включая ее обновление, достоверность источника информации, контроль доведения информации до получателя.

Во втором случае - достоверность предоставляемой информации, достоверность источника информации, оперативность доведения информации, а также контроль доведения информации до получателя. В основном перечисленные требования обеспечиваются стандартными механизмами защиты (криптографические способы контроля целостности информации, идентификации и аутентификации абонентов и информации).

Отличительной особенностью, характерной для данной подсистемы является необходимость контроля достоверности информации, поступающей от внешних систем и являющейся исходным материалом для выработки решений, в том числе и в интересах государства. Эта задача решается с использованием аналитических методов контроля достоверности информации, обеспечивающих устойчивость выработанных решений в условиях поступления недостоверной информации, и организационно-технических мер, обеспечивающих подтверждение поступающей информации.

Главными целями системы защиты информации на сайте руководителей федерального и регионального уровней являются исключение попадания на сайт информации, не предназначенной для этого, а также обеспечение целостности информации, представленной на сайте.

Базовый механизм защиты, реализованный на сайте должен обеспечивать управление доступом к сайту со стороны внутренней системы, обеспечивающей предоставление информации на сайт, а также управление доступом со стороны внешних систем к ресурсам сайта.

Реализация защиты основана на создании «демилитаризованной» зоны на основе межсетевых экранов (шлюзов), обеспечивающих:

Фильтрацию информации в направлении от внутренней системы к сайту с контролем доступа к сайту со стороны внутренней системы (идентификацией и аутентификацией источника информации) и фильтрацию информации с использованием меток безопасности;

Контроль целостности информационных ресурсов на сайте и обеспечение устойчивой работы сайта в условиях возможных искажений информации;

контроль доступа со стороны внешних систем к ресурсам сайта;

фильтрацию запросов, поступающих на сайт со стороны внешних систем.

Одним из важнейших вопросов при решении задач обеспечения безопасности информации является совершенствование нормативной базы в части безопасности информации.

Необходимость совершенствования нормативной базы определяется двумя основными факторами - наличием информационного обмена между различными ведомствами, наличием большого количества видов и типов информации, циркулирующей в ИТС.

В части обеспечения безопасности информации в ИТС совершенствование нормативной базы необходимо проводить по следующим направлениям:

· создание единых требований по обеспечению безопасности информации и на их основе единой концепции обеспечения безопасности, обеспечивающей возможность согласования политик безопасности в различных ведомствах и ИТС в целом, включая различные периоды эксплуатации;

· создание единого стандарта на документальную информацию, обеспечивающего внедрение унифицированных меток безопасности и снижающего затраты на трансляцию документов при межведомственном взаимодействии;

· создание положений межведомственного взаимодействия, обеспечивающих постоянный мониторинг безопасности информации при межведомственном взаимодействии.

Заключение

В данной курсовой работе были рассмотрены следующие принципы:

· архитектура ИТС и базовые технологии обработки информации в ИТС должны создаваться с учетом эволюционного перехода на средства отечественной разработки;

· автоматизированные рабочие места ИТС системы безопасности информации должны создаваться на аппаратно-программной платформе отечественного производства (ЭВМ отечественной сборки, отечественная операционная система, отечественные программные средства);

· архитектура ИТС и базовые технологии обработки информации в ИТС должны создаваться с учетом возможности использования на первом этапе действующих аппаратно-программных средств защиты с последующей заменой их на перспективные средства защиты информации.

Выполнение этих требований обеспечит непрерывность и заданную эффективность защиты информации в переходный период от использования в ИТС технологий обработки информации в сочетании с технологиями защиты информации к использованию в ИТС защищенных технологий обработки информации.

Список используемой литературы

1. Константин Кузовкин. Удаленный доступ к информационным ресурсам. Аутентификация. // Директор информационной службы - 2003 - №9.

2. Константин Кузовкин. Защищенная платформа для Web-приложений. // Открытые системы - 2001 - №4.

Алексей Лукацкий. Неизвестная VPN. // Компьютер-Пресс - 2001 - №10.

Интернет-ресурсы: http://www.niia.ru/document/Buk_1, www.i-teco.ru/article37.html.

Для реализации различных сервисов защиты информации в се-тях, построенных на базе коммуникационной архитектуры TCP/IP. используется ряд типовых механизмов и протоколов защиты. Решение, соответствующее практическим потребностям, обычно может быть получено как определенная их комбинация. Среди всех меха-низмов защиты, применяемых для целей электронной коммерции и электронного документооборота, важнейшее место занимают средства образования защищенных каналов передачи информации. Здесь мы рассмотрим стандартные протоколы, предназначенные для ре-шения этой задачи.
Очень широкое распространение за последние годы получили локальные и глобальные компьютерные сети на основе коммуникационной архитектуры TCP/IP. Одна из причин популярности TCP/IP - хорошо разработанная система функций защиты информа-ции, закрепленная рекомендациями серии RFC, которые публикуются международной организацией IETF (Internet Engineering Task Force). В связи с этим они являются основной нормативно-техничес-кой базой реализации информационных систем, предназначенных для целей электронной коммерции.
В сетях, основанных на архитектуре TCP/IP, наибольшее рас-пространение получили два метода реализации защищенных кана-лов передачи информации. Один из них - применение стандартных механизмов и протоколов защиты информации, определяемых ар-хитектурой безопасности IPSec. Это рамочная модель (frame-work), включающая четыре компонента:
протокол АН - Authentication Header;
протокол ESP - Encapsulating Security Payload;
протокол IPcomp -IP payload compression;
рамочную модель IKE - Internet Key Exchange.
Для каждого из них (занимающих свое место среди протоколов коммуникационной архитектуры TCP/IP) описываются форматы, за-головки, специфические криптографические механизмы и режимы их применения. Архитектура IPSec добавляет к IP-пакетам проверку целостности, подлинности (аутентичности), шифрование и защиту от повтора пакетов. Она используется для обеспечения безопасности соединений между оконечными пользователями и для создания за-щищенных туннелей между шлюзами.
Архитектура IPSec была создана для обеспечения способности к взаимодействию. При корректной реализации она не оказывает никакого влияния на сети и хосты, не поддерживающие ее. Модель не зависит от используемых криптографических алгоритмов и допускает включение новых алгоритмов по мере их появления. Архитектура поддерживается дня коммуникационных протоколов IPv4 и IPv6 (в по-следнем случае она является обязательным компонентом коммуникационной архитектуры). Конкретная реализация того или иного крипто-графического алгоритма для использования протоколами в архитектуре IPSec называется преобразованием (transform). Например, алгоритм DES, используемый протоколом ESP в режиме сцепления блоков, в терминологии IPSec называется преобразованием ESP DES-CBC. Преобразования, пригодные для использования в протоколах, публи-куются в рекомендациях серии RFC, принятых IETF.
Архитектура IPSec базируется на двух главных компонентах: защищенных ассоциациях (Security Associations - SA) и туннелиро- вании.
Защищенная ассоциация - это однонаправленное (симплексное) ло-гическое соединение между двумя системами, поддерживающими IP-
Sec, которое однозначно идентифицируется тремя параметрами, где Security Parameter Index (SPI) - 32-битовая величина, используемая для иден-тификации различных SA с одним и тем же адресом получателя и про-токолом безопасности (SPI переносится в заголовке протокола безо-пасности - АН или ESP; SPI имеет только локальное значение, так как определяется создателем SA; обычно SPI выбирается системой- получателем во время установления SA); IP destination address - IP- адрес системы-получателя, который может быть адресом единичной системы, а также адресом широковещательной или групповой рассыл-ки; однако текущие механизмы управления SA определены только для адресов единичных систем; Security protocol - величина, которая указывает на выбор протокола АН или ESP.
Защищенная ассоциация может быть установлена в одном из двух режимов: транспортном или туннельном, в зависимости от ре-жима протокола в этой ассоциации. Напомним, что SA является симплексным соединением, следовательно, для двунаправленной связи между двумя системами, поддерживающими IPSec, должны быть определены две SA, по одной в каждом направлении.
Каждая отдельно взятая SA предоставляет сервисы безопасности для трафика, переносимого ею либо через протокол АН, либо через протокол ESP, но не через оба протокола сразу. Другими словами, для соединения, которое должно быть защищено одновременно протоко-лами АН и ESP, в каждом направлении должны быть определены две ассоциации. В этом случае все множество SA, которые определены для соединения, носит название связки защищенных ассоциаций (SA bundle). Ассоциации, входящие в связку, не обязательно должны за-вершаться в одной и той же конечной точке. Например, мобильный хост мог бы использовать SA с протоколом АН для связи между собою и межсетевым экраном (МЭ) и другую SA с протоколом ESP, которая продолжается до хоста, расположенного позади МЭ.
Реализация IPSec поддерживает две базы данных (БД), связанные с SA.
Security Policy Database (SPD) - база данных политики безопас-ности, которая специфицирует те сервисы безопасности, которые должны предоставляться IP-трафику. Они зависят от таких факторов, как адреса источников и получателей, «внутриполосный» или «внеполосный» характер трафика и т. п. БД содержит упорядоченный список записей о политике, раздельных для «внутриполосного» и «внеполосного» трафика. Эти записи могут специфицировать, что часть трафика должна миновать обработку через механизмы архи-тектуры IPSec, часть должна быть вообще удалена, а остальной трафик должен быть обработан модулем, реализующим функции архи-тектуры IPSec. Записи в этой БД похожи на правила межсетевого экранирования или пакетной фильтрации.
Security Association Database (SAD) - база данных защищенных ассоциаций, которая содержит параметрическую информацию о ка-ждой SA, в том числе алгоритмы и ключи, используемые протоко-лами АН и ESP, последовательные номера ассоциаций, режимы про-токолов и время жизни SA. Для «внеполосной» обработки записи SPD указывают на записи в SAD, т. е. SPD определяет, какие SA должны быть использованы для данного пакета. Для «внутриполос- ной» обработки SAD служит средством определения способа обра-ботки пакета.
Пользовательский интерфейс реализации IPSec обычно либо скрывает эти БД, либо представляет их в более дружественном виде.
Туннелирование, или инкапсуляция, - это обычный метод защиты для сетей с маршрутизацией пакетов. Он заключается в том, что па-кеты, передаваемые в сети, «оборачиваются» в новые пакеты, так как к первоначальному пакету приписывается новый заголовок и, возможно, хвостовик. Исходный пакет целиком становится заполне-нием нового пакета более низкоуровневого протокола (рис. 4.2). Новый IP- заголовок ^Щ^Л"Г^Врк^ ;" > - Заполн єш щ ІР^п лк Исходная (инкапсулированная) дейтаграмма становится заполнением нового IP-пакета
Рис. 4.2. Принцип туннелирования (инкапсуляции) протоколов
Туннелирование часто используется для того, чтобы перенести трафик какого-либо протокола через сеть, которая не поддерживает этот протокол непосредственно. Например, протоколы NetBIOS или IPX могут быть инкапсулированы в IP-пакеты для переноса их через глобальную сеть, построенную в архитектуре ТСРЛР. Туннелирова- ние можно использовать и для целей защиты информации. Так и происходит в архитектуре IPSec: туннелирование применяется для того, чтобы обеспечить сплошную защиту передаваемых пакетов, включая и заголовки инкапсулируемых пакетов. Если пакеты шиф-руются, то злоумышленник не может извлечь оттуда, к примеру, адрес получателя пакетов (в отсутствие туннелирования он это легко смог бы сделать). Таким образом, от постороннего наблюдателя мо-жет быть скрыта внутренняя структура частной сети.
Туннелирование требует промежуточной обработки исходного пакета при маршрутизации. Адрес получателя, указанный во внешнем заголовке, обычно является адресом межсетевого экрана или маршрутизатора, поддерживающего архитектуру IPSec. Он получает инкапсулированный пакет, извлекает из него содержимое исходного пакета и посылает его оконечному получателю. Дополнительные затраты на обработку компенсируются повышением уровня безопас-ности.
Замечательным преимуществом туннелирования IP-пакетов является способность обмениваться пакетами с частными ІР-адресами между двумя внутренними сетями организаций через публичный канал, который требует, чтобы узлы имели уникальные глобальные адреса. Так как инкапсулированный заголовок не обрабатывается маршрутизаторами в сети Интернет, достаточно, чтобы только око-нечные точки туннеля (шлюзы) имели бы глобально присвоенные адреса. Хосты в частных сетях (интранет-сетях) за ними могут иметь частные адреса (например, вида Ю.х.х.х). Так как глобальные ІР- адреса становятся дефицитными, такой метод взаимосвязи сетей приобретает большое значение. Модель туннелирования в архитек-туре безопасности IPSec описана в рекомендации RFC 2003 - «IP Encapsulation within IP».
Далее мы рассмотрим протоколы архитектуры IPSec, более ин-тересные с технической, нежели с алгоритмической точки зрения, так как их криптографическая «начинка» довольно проста.
Итак, первым компонентом архитектуры безопасности IPSec является протокол АН. Он используется для того, чтобы обеспечить целостность и подлинность IP-дейтаграмм. С его помощью также возможна защита и от повтора пакетов. Хотя его использование рас-сматривается как необязательное, сервис защиты от повтора пакетов должен быть реализован в любой системе, совместимой с архитек-турой IPSec. Сервисы не требуют установки соединений, следова-тельно, должны быть обеспечены для каждого пакета в отдельности. Протокол АН используется в двух режимах: транспортном и тун-нельном.
Протокол АН обеспечивает подлинность для возможно большей части IP-дейтаграмм. В транспортном режиме некоторые поля IP- заголовка изменяются при маршрутизации, поэтому их значения не могут быть предсказаны получателем. Эти поля называются пере-менными (mutable) и не защищаются протоколом АН. Переменные поля пакета IPv4 таковы:
поле, указывающее тип сервиса (Type of service - TOS); поле флагов; поле смещения фрагмента (Fragment offset); поле времени жизни пакета (Time to live - TTL); поле контрольной суммы заголовка (header checksum).
Когда требуется защита этих полей, должно быть использовано туннелирование. Заполнение IP-пакета рассматривается как неизме-няемое и в любом случае защищается методом АН.
Протокол АН идентифицируется номером протокола 51, присво-енным IANA. Заголовок протокола непосредственно предшествует заголовку протокола АН, содержащему эту величину в своих полях.
Обработка методом, предусмотренным протоколом АН, приме-нима только к нефрагментированным IP-пакетам. Однако IP-пакет с заголовком АН может быть фрагментирован промежуточным мар-шрутизатором. В этом случае получатель сначала собирает пакет, а затем применяет к нему обработку в соответствии с методом, пре-дусмотренным АН. Если при начале обработки оказывается, что ІР- пакет предположительно разбит на фрагменты (поле смещения не-нулевое или флаг More fragments установлен в единицу), он удаляет-ся. Это предотвращает атаку методом перекрытия фрагментов (over-lapping fragment attack), которая возможна при некорректном ис-пользовании алгоритма сборки фрагментов и позволяет искажать пакеты и пересылать их через МЭ.
Пакеты, которые не проходят аутентификацию, удаляются и ни-когда не доставляются на верхние уровни. Этот режим значительно уменьшает вероятность успешного проведения атак, приводящих к отказу в обслуживании, цель которых заключается в том, чтобы блокировать связь с хостом или шлюзом, наводняя их «поддельными» пакетами.
Формат АН-заголовка (рис. 4.3) описан в RFC 2402. В него вхо-дят следующие поля:
«Следующий заголовок» - Next header (8 бит); «Длина заполнения пакета» - Payload length (8 бит); Зарезервированное поле (16 бит, установленных в 0); «Индекс параметра безопасности» - Security Parameter Index (SPI) (32 бита);

«Код аутентификации сообщения» - Authentication data (32 бита для IPv4, 64 бита для IPv6). " .АН- ¦ "
л J Л ГОЛОВОК-./ ЕР-заголовок Заполнение IP-пакет а
^Сиед: заголовок \ Дтата.запрЛнегаи^;". ¦^ЬаіУез.^ві"фЬвжо;-"- j;.jv".>": іуі"ійдексі гі{ірпмвт]їгі¦ $ёзЬпас>гостн^^Ріу//йv;} ? ¦; yVi.. ¦ ;">¦. "¦ ігіорЯДКОЕЬШ"НОМф- Шкёга к-ПОСЛЄД(ІВ"аТельНОСТІІ ; іЛ", u.:: г^ -К о д1. луг енті 1фїік аці иГ t6o бщейія j . 32 бита >- Рис. 4.3. Формат заголовка протокола АН в соответствии с RFC 2402
Заголовок АН в транспортном режиме вставляется в пакет сразу после заголовка IP-пакета (рис. 4.4). Если дейтаграмма уже имеет заголовок IPSec, заголовок АН помещается перед ним. Транспортный режим используется хостами, но не шлюзами. Шлюзам не тре-буется поддерживать транспортный режим. Преимуществом транспортного режима является меньшая вычислительная сложность, не-достатком - отсутствие проверки подлинности изменяемых полей.
ЕР-заголовок
Заполнение ІР-пакета і"*. - ІР-заголовок:., "АІІ- -заголовок- Заполненне ЕР-пакета -с ->- Дейтаграмма с АН-зпгачовком в транспортом режиме
Обеспечена аутенпгіность (кроме изменяемых псшеп) Рис. 4.4. Заголовок протокола АН в транспортном режиме
Исходная ІР-деґпаграмма
; „ "АІІ- -заголовок-
ІР-заголовок
Заполнение ЕР-пакета
АН в туннельном реэ/симе использует ранее рассмотренную кон-цепцию туннелирования. При этом конструируется новая 1Р-дей- таграмма, в то время как исходная становится ее заполнением. АН в транспортном режиме применяется к полученной дейтаграмме (рис. 4.5). Туннельный режим используется всякий раз, когда око-нечным узлом защищенной ассоциации является шлюз. Так, между двумя МЭ всегда используется туннельный режим.
Заполнение IP-пакета
ІР- заголовок
Исходная IP-дейтаграмма

ІР-
заголовок
Заполненне ІР-пакета

Обеспечена аугенттргность (кроме изменяемых полей в новом ЕР-зяголовке)

В туннельном реэ/симе
Туннелирован- ная дейтаграмма Дейтаграмма с АН-заголовком в туннельном режиме
Шлюзы часто также поддерживают и транспортный режим. Этот режим разрешен, когда шлюз действует как хост, т. е. в случаях, когда трафик предназначен самому шлюзу. Например, команды SNMP могут быть направлены шлюзу, используя транспортный режим.
В туннельном режиме IP-адреса внешних заголовков не обяза-тельно должны быть теми же самыми, что и адреса внутренних за-головков. Например, два шлюза могут организовать АН-туннель, который используется для того, чтобы гарантировать подлинность
всего трафика между сетями, которые они соединяют. Это типичный случай применения туннельного режима.
Преимуществом туннельного режима является полная защита инкапсулируемых ІР-дейтаграмм и возможность использования ча-стных адресов. Однако этот режим приводит к дополнительной вы-числительной работе узлов сети.
Протокол ESP используется для обеспечения целостности, под-линности и для шифрования ІР-дейтаграмм, а также (факультативно) для защиты от повторной передачи пакетов. Эти сервисы пре-доставляются без установления соединения, поэтому они должны применяться для каждого пакета в отдельности. Множество требуе-мых сервисов выбирается при установлении защищенной ассоциа-ции (SA). Вместе с тем существуют и некоторые ограничения: проверка целостности пакета и аутентификация используются совместно;
защита от повтора может выбираться только в совокупности с проверкой целостности и аутентификацией; защита от повтора может быть выбрана только получателем па-кетов.
Шифрование может быть выбрано независимо от других сервисов. Если шифрование разрешено, рекомендуется, чтобы проверка целостности и аутентификация также были включены. Если исполь-зуется одно только шифрование, злоумышленник может искажать пакеты для того, чтобы осуществить атаку криптоаналитика.
Хотя и аутентификация (с проверкой целостности) и шифрова-ние необязательны, всегда выбирается по меньшей мере одна из этих функций, так как в противном случае использование протокола ESP вообще не имеет смысла.
Протокол ESP идентифицируется номером протокола 50, при-своенным IANA. Заголовок протокола (IPv4, IPv6 или расширение) непосредственно предшествует ESP-заголовку, который и содержит эту величину протокола.
Обработка по методу ESP" применима только к нефрагментиро- ванным IP-пакетам. Однако IP-пакет с примененным к нему ESP может быть фрагментирован промежуточными маршрутизаторами. В этом случае получатель сначала собирает пакет, а затем применяет к нему обработку, предусмотренную протоколом ESP. Если 1Р-па-
кет, который предположительно является фрагментированным, по-ступает для обработки на уровень протокола ESP, он удаляется. Это предотвращает атаку методом перекрытия фрагментов пакетов.
Если выбраны и шифрование и аутентификация с проверкой це-лостности, то получатель вначале проверяет аутентичность пакета и, только если этот шаг завершился успешно, производит расшифровку заполнения пакета. Этот порядок позволяет сэкономить вычисли-тельные ресурсы и уменьшить уязвимость системы защиты к атакам, приводящим к отказу в обслуживании.
Формат пакета при применении ESP (рис. 4.6) описан в RFC 2406. Он более сложен, чем при применении АН, так как включает не только заголовок, но также и концевик и код аутентификации пакета. Заполнение пакета инкапсулируется между заголовком и концевиком, что и дало имя этому методу защиты. | ІР- заголовок f/^pp"-i: заголовок. Заполненпе IP-пакета Конце"-..
.Іл/"ВІГК^ І^шфикащиі^1 Индекспараметр д. бе зопа єно сш- (SE1)
ч. ESP-чаго ловок
ПорядковыГьномер^ пакета в последовательности
к
Заполнение пакета (поле переменной длины)
^Дополнение (от;.О до.
ЬЪд"арденП"фжащ-пгсообщеим^!: щтг.
ESP-концевик

І"івМІГіГ.і"С"ї
«Индекс параметра безопасности» - SPI - Security Parameter Index (32 бита);
«Порядковый номер пакета в последовательности» - Sequence number (32 бита);
поле заполнения, т. е. данные, полученные от протокола более высокого уровня - Payload data (обязательное, переменной длины); дополнение предыдущего поля до длины, кратной 256 байт, - Padding (от 0 до 255 байт, установленных в 0); длина предыдущего поля дополнения - Pad length (8 бит); «Следующий заголовок» - Next header (8 бит, обязательное); «Код аутентификации сообщения» - Authentication data (пере-менной длины).
Как и протокол АН, протокол ESP может использоваться в двух режимах: транспортном и туннельном.
ESP в транспортном реэ/симе. В этом режиме ESP-заголовок следует сразу после IP-заголовка, как показано на рис. 4.7. Если дей-таграмма уже имеет IPSec-заголовок, то ESP-заголовок должен следовать перед первым из них. Концевик протокола ESP и необяза-тельный код аутентификации добавляются к заполнению.

реалше

Протокол ESP в транспортном режиме не обеспечивает ни ау-тентификацию, ни шифрование для IP-заголовка. Это недостаток, так как «ложные» пакеты все же моїут быть доставлены для обра-ботки протоколом ESP. Преимущество транспортного режима - низкие вычислительные затраты. Как и в случае АН, протокол ESP
в транспортном режиме используется хостами, но не шлюзами. Шлюзам вообще не требуется поддерживать транспортный режим.

Удаленный доступ к информационным ресурсам. Защита информации, передаваемой по каналам связи

В июле 1997 г. вышел руководящий документ "Средства вы-числительной техники. Межсетевые экраны. Защита от несанк-ционированного доступа к информации. Показатели защищенно-сти от несанкционированного доступа" Гостехкомиссии при Пре-зиденте РФ (полный текст можно найти в информационном бюл-летене "Jet Info" № 17-18 1997 г. и на узле http://www.infotecs.ru/gtc/RD_ekran.htm ). В этом документе дана классификация МЭ в зависимости от степени обеспечиваемой ими защиты от НСД. Определение самого МЭ таково: МЭ - это ло-кальное (однокомпонентное) или функционально-распределенное средство (комплекс), реализующее контроль за информацией, по-ступающей в автоматизированную систему (АС) и/или выходящей из АС, и обеспечивает защиту АС посредством фильтрации ин-формации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС.

Устанавливается пять классов защищенности МЭ: 5 (самый низкий) -- применяется для безопасного взаимодействия АС клас-са 1 Д с внешней средой, 4 -- для 1 Г, 3 -- 1 В, 2 -- 1 Б, 1 (самый вы-сокий) -- для 1А. (Напомним, что Гостехкомиссией РФ установ-лено девять классов защищенности АС от НСД, каждый из кото-рых характеризуется определенной совокупностью требований к средствам защиты. Классы подразделяются на три группы, отли-чающиеся спецификой обработки информации. Класс с цифрой "1" включает многопользовательские АС, в которых одновременно обрабатывается и/или хранится информация разных уровней кон-фиденциальности, и не все пользователи имеют равные права дос-тупа.)

В приведена некоторая справочная информация, где даны описания не-скольких систем МЭ. Список сертифицированных Гостехкомиссией РФ МЭ на июнь 1999 г. состоял из десяти наименований:

1) автоматизированная система разграничения доступа Black Hole (Milkyway Networks) версии BSDI-OS;

2) средство защиты от НСД в сетях передачи данных по про-токолу TCP/IP "ПАНДОРА" на базе Gauntlet 3.1.Н (Trusted Information Systems) и компьютера 02 (Silicon Graphics) под управлением IRIX 6.3;

3) аппаратно-программный комплекс "Застава-Джет" компа-нии Jet Infosystems и ЦНИИ-27 Министерства обороны РФ;

4) МЭ "Застава" FortE+ фирмы ЭЛВИС+;

5) партия средств программного обеспечения межсетевого эк-рана FireWall-1 фирмы Checkpoint Software Technologies;

6) комплекс защиты информации от НСД "Data Guard/24S";

7) программный продукт SKIP для регулирования доступа на интерфейсе локальная/глобальная сеть под управлением ОС Windows 3.11 и Solaris 2.4;

8) единичные образцы программного обеспечения МЭ AltaVista Firewall 97 фирмы AltaVista Internet Software;

9) партия из 20 экземпляров МЭ "Cyber Guard" версия 4.0, по-зволяющего создавать защищенные корпоративные сети на базе протокола Х.25 и Frame Relay;

10) Firewall/Plus фирмы Network-1 Software and Technologies.

Список МЭ, сертифицированных Международной ассоциацией компьютерной безопасности, можно найти по адресу http://www.icsa.net. Ниже более подробно описаны функции одного из них.

Межсетевой экран защиты интрасети ПАНДОРА на базе Gauntlet 3.1.1i фирмы Trusted Information Systems и компьютера 02 фирмы Silicon Graphics под управлением IRIX 6.3 надежно ре-шает проблему безопасности сети и позволяет:

* скрыть от пользователей глобальной сети структуру интра-сети (IP-адреса, доменные имена и т.д.);

* определить, каким пользователям, с каких хостов, в на-правлении каких хостов, в какое время, какими сервисами можно пользоваться;

* описать для каждого пользователя, каким образом он дол-жен аутентифицироваться при доступе к сервису;

* получить полную статистику по использованию сервисов, попыткам НСД, графику через ПАНДОРУ и т.д.

ПАНДОРА устанавливается на компьютер с двумя Ethernet-интерфейсами на выходе между интраеетью и сетью общего поль-зования.

ПАНДОРА построена на серверах протоколов прикладного уровня (proxy) и поддерживает следующие сервисы: TELNET, Riogin (терминалы); FTP (передача данных); SMTP, POP3 (почта);

HTTP (WWW); Gopher; XI 1 (X Window System); LP (сетевая пе-чать); Rsh (удаленное выполнение задач); Finger; NNTP (новости Usenet); Whois; RealAudio. Кроме того, в состав ПАНДОРЫ входит сервер общего назначения TCP-уровня, который позволяет безо-пасно транслировать через ПАНДОРУ запросы от базирующихся на TCP протоколов, для которых нет proxy-серверов, а также сер-вер сетевого доступа, который позволяет запускать различные программы в зависимости от того, откуда пришел запрос.

Для аутентификации пользователей ПАНДОРА позволяет при-менять следующие схемы аутентификации:

· обычный Unix-пароль;

· S/Key, MDauth (одноразовые пароли).

· РОРЗ-ргоху дает возможность использовать АРОР-авторизацию и тем самым избежать передачи по сети открытого пароля.

· FTP-proxy позволяет ограничить применение пользователями отдельных команд (например RETR, STOR и т.д.)

· HTTP-proxy позволяет контролировать передачу через ПАНДОРУ фреймов; описаний на языке Java; описаний на языке JavaScript; html-конструкций, не попадающих под стандарт HTML версии 2 и т.д.

Система сбора статистики и генерации отчетов позволяет со-брать и обработать информацию обо всех соединениях, включая время, количество байт, адрес источника, адрес назначения, ID пользователя (если есть), а также аномалии в самой системе.

ПАНДОРА не требует ни внесения изменений в клиентское ПО, ни использования специального ПО.

Прозрачный режим работы proxy-серверов позволяет внутрен-ним пользователям соединяться с нужным хостом за один шаг (т.е. без промежуточного соединения с ПАНДОРОЙ).

Система контроля целостности позволяет контролировать безопасность модулей самой системы.

Графический интерфейс управления служит для настройки, администрирования и просмотра статистики ПАНДОРЫ.

ПАНДОРА поставляется вместе с исходными текстами основ-ных программ, для того чтобы можно было убедиться в отсутствии закладок и разобраться, как он работает.

ПАНДОРА сертифицирована Государственной Технической Комиссией при Президенте России. Сертификат N 73 выдан 16 ян-варя 1997 г. и действителен до 16 января 2000 г: " ...система защи-ты информации от НСД в сетях передачи данных по протоколу TCP/IP - межсетевой экран "ПАНДОРА" (ТУ N 1-97) на базе меж-сетевого экрана "Gauntlet" версии 3.1.Н..., функционирующая на платформе операционной системы IRIX v.6.3 фирмы Silicon Graphics, является средством зашиты информации и обеспечивает защиту участка интрасети от доступа извне, не снижая уровня за-щищенности участка интрасети, соответствует техническим усло-виям № 1-97 и требованиям Руководящего документа Гостехко-миссии России "Автоматизированные системы. Защита от несанк-ционированного доступа к информации. Классификация автомати-зированных систем и требования по защите информации" в части администрирования для класса ЗБ".

Задача выбора МЭ для каждого конкретного применения - это, главным образом, вопрос верного соотношения требований пользователей к доступу и вероятности несанкционированного доступа. В идеале система должна предотвращать всякое несанк-ционированное вторжение. Однако, учитывая широкий спектр не-обходимых пользователям сервисов (Web, ftp, telnet, SNMP, NFS, телефония и видео в Internet, электронная почта и др.), наряду с изначальной открытостью комплекта протоколов TCP/IP, - этого идеала достигнуть очень тяжело. В действительности, мерой эф-фективности МЭ служит вовсе не его способность к отказу в пре-доставлении сервисов, но его способность предоставлять сервисы пользователям в эффективной, структурированной и надежной среде. МЭ должны уметь анализировать приходящий и исходящий сетевой трафик и правильно определять, какие действия санкцио-нированы без ненужного замедления работы системы.

И в заключение данного раздела приведем некоторые рекомен-дации по выбору МЭ, которые выработала Ассоциация "Конфидент".

1). Цена. Она колеблется существенно -- от 1000 до 15000 долл. при покупке непосредственно у фирм-производителей, большинство которых находится в США; у российских дилеров эти цифры значительно выше из-за таможенных и налоговых сборов. Интересна и такая цифра - цена МЭ для Windows NT в сред-нем составляет 6000 долл. К этой цене надо добавить расходы на аппаратную платформу и ОС, которые могут быть весьма значи-тельными и соизмеримыми со стоимостью самого МЭ -- напри-мер, как в случае использования компьютеров Sun под управлени-ем ОС Solaris. Поэтому с точки зрения экономии разумно приме-нять МЭ, ориентированные на Intel-платформу и ОС DOS, Windows NT, Novel 1 NetWare.

2). Фильтрация. Большинство МЭ работает только с семейст-вом протоколов TCP/IP, что связано с ориентацией разработчиков на потребности западного рынка. Этого достаточно, если МЭ при-меняется в классическом варианте -- для контроля графика между интрасетью и Internet. Но в России, согласно имеющейся статисти-ке, 90 % рынка сетевых ОС составляет Novell Netware и поэтому важна фильтрация IPX-трафика. Кроме того, совершенно необхо-димой для внутреннего МЭ является способность фильтрации на уровне соединения -- например, фильтрации Ethernet-фреймов. К сожалению, эта возможность реализована в очень немногих про-дуктах (например. Firewall Plus и Eiron Firewall).

3). Построение интрасети -- при объединении сети организа-ции с Internet в качестве транспортной магистрали нужно исходить из имеющейся инфраструктуры. С этой точки зрения много воз-можностей, имеется в Netware: службы каталогов, управления, пе-чати, защиты и работы с файлами; GroupWise и ManageWise управляют электронным документооборотом и сетью; входящий в состав IntranetWare шлюз IPX/IP организует прозрачный доступ с IPX-станций к сервисам TCP/IP с помощью Winsock-совместимого клиентского ПО. Тогда IPX-сервер и IPX-станция не имеют IP-адресов и из Internet в принципе не видны. Поэтому организация атаки на их информационные ресурсы практически невозможна и защита IP-хостов гетерогенной сети IP-IPX решается проще, так как шлюз выполняет по отношению к ним функции МЭ. Примеры таких МЭ: BorderManager фирмы Novell и NetRoad FireWALL фирмы UkiahSoft.

4). Простота эксплуатации. Чтобы снизить текущие эксплуа-тационные расходы, лучше отдать предпочтение простым в экс-плуатации продуктам с интуитивно понятным графическим ин-терфейсом, иначе богатые возможности по настройке МЭ могут оказаться невостребованными. Этому критерию хорошо соответ-ствуют два продукта -- Firewall Plus фирмы Network-1 и NetRoad FireWALL фирмы UkiahSoft.

Отечественные защищенные системы

Российский стандарт шифрования данных ГОСТ 28147-89

Единственный в настоящее время коммерческий российский алгоритм ГОСТ 28147-89 является универсальным алгоритмом криптографической защиты данных как для крупных информационных систем, так и для локаль-ных вычислительных сетей и автономных компьютеров.

Многолетний опыт использования данного алгоритма показал его высокую надежность и удачную конструкцию. Этот алгоритм может реализовываться как аппаратным, так и программным способом, удовлетворяет всем крипто-графическим требованиям, сложившимся в мировой практике. Он также по-зволяет осуществлять криптозащиту любой информации, независимо от сте-пени ее секретности.

В алгоритме ГОСТ 28147-89 используется 256-разрядный ключ, представляемый в виде восьми 32-разрядных чисел, причем, расшифровываются данные с помощью того же ключа, посредством которого они были зашифрованы.

Необходимо отметить, что алгоритм ГОСТ 28147-89 полностью удовле-творяет всем требованиям криптографии и обладает всеми достоинствами алгоритма DES, но лишен его недостатков. В частности, за счет использова-ния специально разработанных имитовставок он позволяет обнаруживать как случайные, так и умышленные модификации зашифрованной информации. В качестве недостатка российского алгоритма надо отметить большую слож-ность его программной реализации и недостаточно высокую скорость работы.

СУБД “Линтер-ВТ” , разработанной ВНИИ автоматизации управления в непромышленной сфере воронежской фирмой “Рэлекс”, производство которых сертифицировано. Специалисты Лос-Аламосской лаборатории в США считают, что СУБД “Линтер-ВТ” не уступает СУБД фирмы Oracle (“родная” Oracle, чтобы быть сертифицированной, требует доработки, а, кроме того, любой западный продукт может получить сертификат только на определенные партии продуктов, поскольку их производство находится за рубежом).

Криптографические средства семейства “Верба-О” производства МОПНИЭИ(сертифицированы ФАПСИ) . Универсальность установок по умолчанию. Внутренние изменения интерфейса при смене средств незначительны. Спектр применения интерфейса системы защиты информации, приведенного в качестве примера,продукта, приведённого в качестве примера, в весьма широк. Это системы контроля доступа к ресурсам банковской системы (как локальное использование в офисе банка для операторов и клиентов, так и контроль удаленного доступа), системы “банк-клиент”, платежи через Интернет, защищенная почта и многие другие.

Организация защищенного канала связи

Максим Илюхин,
к.т.н., ОАО "ИнфоТеКС"

КОНЕЦ XX века был отмечен лавинообразным распространением Интернета: в геометрической прогрессии росли скорости доступа, охватывались все новые и новые территории, практически между любыми двумя точками в мире можно было установить быструю связь через сеть. Но передача информации не была безопасной, злоумышленники могли перехватить, украсть, изменить ее. В это время стала набирать популярность идея организации надежного канала, который для связи будет использовать общедоступные коммуникации, но защитит передаваемые данные за счет применения криптографических методов. Стоимость организации такого канала была во много раз меньше стоимости прокладки и поддержания выделенного физического канала. Таким образом, организация защищенного канала связи становилась доступной средним и малым предприятиям и даже частным лицам.

Система ViPNet

На заре своего развития идея организации частных приватных сетей (VPN) была чрезвычайно популярна, и многие серьезные участники ИТ-рынка и энтузиасты-любители пытались воплотить абстрактные идеи в реальный программный продукт. Серьезные компании создали множество решений, обеспечивающих функциональность частных приватных сетей как на программном, так и на аппаратном уровне. Одним из самых ярких и масштабных стала система ViPNet, разработанная компанией "ИнфоТеКС".

Система ViPNet обеспечивает прозрачную защиту информационных потоков любых приложений и любых протоколов IP как для отдельных рабочих станций, файловых серверов, серверов приложений, маршрутизаторов, серверов удаленного доступа и т.п., так и сегментов IP-сетей. Одновременно она выполняет функции персонального сетевого экрана для каждого компьютера и межсетевого экрана для сегментов IP-сетей.

Ключевая структура носит комбинированный характер, имеет как симметричную схему распределения ключей, что позволяет обеспечить жесткую централизованную систему управления, так и систему открытого распределения ключей, и используется как доверенная среда для работы PKI. Прикладные программы системы ViPNet дополнительно предоставляют защищенные службы реального времени для циркулярного обмена сообщениями, проведения конференций, ведения переговоров; для служб гарантированной доставки почтовой корреспонденции с процедурами электронной подписи и разграничением доступа к документам; для служб автопроцессинга для автоматической доставки файлов. Кроме того, отдельно оформленные криптографические функции ядра (подпись и шифрование) и реализованная поддержка MS Crypto API при необходимости могут встраиваться непосредственно в различные прикладные системы (например, системы электронного документооборота).

Программное обеспечение системы ViPNet функционирует в операционных средах Windows, Linux.

ViPNet CUSTOM

ViPNet CUSTOM - многофункциональная технология создания защищенных VPN-сетей с возможностью развертывания полноценной PKI-структуры, ориентированная на организацию защищенного взаимодействия "клиент - клиент", в то время как большинство VPN-решений других производителей обеспечивают только соединения уровня "сервер - сервер" или "сервер -клиент". Это дает возможность реализовать любую необходимую политику разграничения доступа в рамках всей защищенной сети, а также снизить нагрузку на VPN-серверы, так как в общем случае при взаимодействии "клиент - клиент" VPN-сервер не задействован в операциях шифрования трафика между этими клиентами. Большое внимание в ViPNet CUSTOM уделено решению проблемы функционирования в условиях наличия разнообразного сетевого оборудования и программного обеспечения, реализующего динамическую или статическую трансляцию адресов/портов (NAT/PAT), что существенно облегчает процесс интеграции системы защиты в существующую инфраструктуру сети. В большинстве случаев ручной настройки клиентского ПО ViPNet Client вообще не требуется.

Каждый компонент ViPNet CUSTOM содержит встроенный сетевой экран и систему контроля сетевой активности приложений, что позволяет получить надежную распределенную систему межсетевых и персональных сетевых экранов.

Для разрешения возможных конфликтов IP-адресов в локальных сетях, включаемых в единую защищенную сеть, ViPNet CUSTOM предлагает развитую систему виртуальных адресов. Во многих случаях это позволяет упростить настройку прикладного ПО пользователя, так как наложенная виртуальная сеть со своими виртуальными адресами будет скрывать реальную сложную структуру сети. ViPNet CUSTOM поддерживает возможность межсетевого взаимодействия, что позволяет устанавливать необходимые защищенные каналы связи между произвольным числом защищенных сетей, построенных с использованием ViPNet CUSTOM. Кроме того, система обеспечивает защиту информации в современных мульти-сервисных сетях связи, предоставляющих услуги IP-телефонии и аудио- и видеоконфе-ренц-связи. Поддерживается приоритизация трафика и протоколы Н.323, Skinny.