Базові документи у сфері захисту розподілених систем

NISO/IEC 7498-2:1989, Information processing systems – Open Systems Interconnection – Basic Reference Model – Part 2: Security Architecture

NCCITT Recommendation X.800, Security Architecture for Open Systems Interconnection for CCITT Applications. – CCITT: Geneva – 1991

¨CCITT – The International Telegraph and Telephone Consultative Committee; тепер називають ITU-T

¨Рекомендації X.800 узгоджені зі стандартом ISO/IEC 7498-2

NIT Baseline Protection Manual. – BSI (Federal Agency for Security in Information Technology) – October 2000

Подальший розвиток міжнародних стандартів

nISO/IEC 10745 та ITU-T X.803 “Upper Layers Security Model”

nISO/IEC 13594 та ITU-T X.802 “Lower Layers Security Model”

nISO/IEC 10181-1 та ITU-T X.810 “Security Frameworks for open systems, Part 1: Overview”

nISO/IEC 10181-2 та ITU-T X.811 “Security frameworks for open systems, Part 2: Authentication framework”

nISO/IEC 10181-3 та ITU-T X.812 “Security frameworks for open systems, Part 3: Access control framework”

nISO/IEC 10181-4 та ITU-T X.813 “Security frameworks for open systems, Part 4: Non-repudiation framework”

nISO/IEC 10181-5 та ITU-T X.814 “Security frameworks for open systems, Part 5: Confidentiality framework”

nISO/IEC 10181-6 та ITU-T X.815 “Security frameworks for open systems, Part 6: Integrity framework”

nISO/IEC 10181-7 та ITU-T X.816 “Security frameworks for open systems, Part 7: Security audit framework”

Сервіси безпеки

nРекомендації X.800 виділяють такі функції (сервіси) безпеки:

¨автентифікація;

¨керування доступом;

¨конфіденційність даних;

¨цілісність даних;

¨невідмовлюваність

Автентифікація

NЦей сервіс забезпечує автентифікацію сторін, що спілкуються (communicating peer entity), і автентифікацію джерела даних

NАвтентифікація сторін

¨Застосовується в момент встановлення з’єднання, а також іноді під час передачі даних, для підтвердження автентичності сутностей з’єднання

¨Цей сервіс у момент його використання забезпечує впевненість у тому, що суб’єкт не використовує “маскарад” або несанкціоноване повторення попереднього сеансу зв’язку

¨Можуть застосовуватись різні схеми автентифікації, що забезпечують різний ступінь захисту

NАвтентифікація джерела даних

¨Це підтвердження автентичності джерела блоку даних

¨Сервіс, який реалізується засобами певного рівня моделі OSI, надається для сутностей вищого рівня і підтверджує автентичність сутності також вищого рівня

¨Цей сервіс не забезпечує захист від повторення або пошкодження даних

Керування доступом

NЦей сервіс забезпечує захист від несанкціонованого використання ресурсів, доступних через взаємодію відкритих систем

NКерування доступом може застосовуватись до різних типів доступу до ресурсу

¨використання комунікаційного ресурсу,

¨зчитування,

¨записування,

¨видалення інформаційного ресурсу,

¨виконання ресурсу обробки

Конфіденційність даних

NЦі сервіси забезпечують захист даних від несанкціонованого розкриття

nРозрізняють кілька сервісів конфіденційності даних:

¨конфіденційність даних при обміні з встановленням з’єднання

Nцей сервіс захищає всю інформацію користувачів, але може (в залежності від рівня моделі OSI) не захищати інформацію запиту на встановлення з’єднання

¨конфіденційність даних при обміні без встановлення з’єднання

nцей сервіс захищає всю інформацію користувачів;

¨конфіденційність окремих полів даних

nцей сервіс забезпечує захист інформації в окремих обраних полях даних у сеансі з встановленням або без встановлення з’єднання;

¨конфіденційність трафіка

Nцей сервіс забезпечує захист тієї інформації, яку можна здобути під час аналізу трафіка

Цілісність даних

NЦі сервіси спрямовані на протидію активним загрозам

nРозрізняють такі сервіси цілісності даних:

¨цілісність даних при обміні з встановленням з’єднання з відновленням

nцей сервіс забезпечує цілісність усіх даних користувача при обміні з встановленням з’єднання;

nвін може полягати у виявленні будь-якої модифікації, додавання, видалення або повторення будь-яких даних і здійснює спробу відновити дані;

¨цілісність даних при обміні з встановленням з’єднання без відновлення

nте ж саме, що й попередній сервіс, але без спроби відновлення;

¨цілісність окремих полів даних при обміні зі встановленням з’єднання

nцей сервіс забезпечує цілісність окремих обраних полів даних у сеансі з встановленням з’єднання, і визначає, чи були ці поля модифіковані, додані, видалені або повторені;

¨цілісність даних при обміні без встановлення з’єднання

nцей сервіс на відміну від попередніх при реалізації на певному рівні моделі OSI забезпечує гарантії цілісності даних за запитом сутності вищого рівня;

nсервіс забезпечує цілісність окремого блоку даних, що передається без встановлення з’єднання, і може полягати у визначенні, чи був блок даних модифікованим;

nтакож додатково може забезпечуватись обмежена форма виявлення повторення;

¨цілісність окремих полів даних при обміні без встановлення з’єднання

Nцей сервіс забезпечує цілісність окремих обраних полів у окремому блоці даних, що передається без встановлення з’єднання, і полягає у визначенні, чи були обрані поля модифікованими

Невідмовлюваність (non-repudiation)

nЦей сервіс (унеможливлення відмови від вчинених дій) має дві форми, які можуть забезпечуватись кожна окремо або обидві разом:

¨Невідмовлюваність з підтвердженням справжності джерела даних

nцей сервіс надає одержувачу даних підтвердження їхнього джерела, що захищає від будь-якої спроби відправника відмовитись від факту відправлення даних чи справжності (вірогідності) їхнього вмісту;

¨Невідмовлюваність з підтвердженням доставки

Nцей сервіс надає відправнику даних підтвердження доставки даних, що захищає від будь-якої спроби одержувача відмовитись від факту одержання цих даних або їхнього вмісту

Розподіл сервісів безпеки по рівнях моделі ISO

Сервіс	Рівень
Автентифікація сторін			+	+			+
Автентифікація джерела даних			+	+			+
Керування доступом			+	+			+
Конфіденційність даних при обміні з встановленням з’єднання	+	+	+	+		+	+
Конфіденційність даних при обміні без встановлення з’єднання		+	+	+		+	+
Конфіденційність окремих полів даних						+	+
Конфіденційність трафіка	+		+				+
Цілісність даних при обміні з встановленням з’єднання з відновленням				+			+
Цілісність даних при обміні з встановленням з’єднання без відновлення			+	+			+
Цілісність окремих полів даних при обміні з встановленням з’єднання							+
Цілісність даних при обміні без встановлення з’єднання			+	+			+
Цілісність окремих полів даних при обміні без встановлення з’єднання							+
Невідмовлюваність з підтвердженням справжності джерела даних							+
Невідмовлюваність з підтвердженням доставки							+

 

Специфічні механізми безпеки

nДля реалізації деяких сервісів безпеки на певному рівні моделі OSI можуть впроваджуватись такі механізми:

¨шифрування;

¨цифровий підпис;

¨керування доступом;

¨контроль цілісності даних;

¨автентифікаційний обмін;

¨заповнення трафіка;

¨керування маршрутом;

¨нотаризація.

Шифрування (Encipherment)

nШифрування може захищати окремі дані або потік даних (шифрування трафіка) і може використовуватись іншими механізмами або заміняти деякі інші механізми

NМожуть застосовуватись оборотні та необоротні алгоритми шифрування, а з числа оборотних алгоритмів — симетричні й асиметричні

NНеоборотні алгоритми можуть використовувати або не використовувати ключі, причому якщо ключ застосовується, він може бути і відкритим, і приватним

nВпровадження алгоритму шифрування майже завжди передбачає також впровадження механізму керування ключами (за винятком деяких необоротних алгоритмів)

Цифровий підпис

nМеханізми цифрового підпису визначають дві процедури:

¨підписування блоку даних;

¨перевірку підписаного блоку даних.