NПроцедура підписування блоку даних

¨використовує приватну (унікальну і конфіденційну) інформацію того, хто підписує

¨використовує або шифрування блоку даних, або обчислення криптографічної контрольної суми з використанням приватної інформації користувача, що здійснює підпис

NПроцедура перевірки підписаного блоку даних

¨використовує процедури і інформацію, які є загальнодоступними, але з яких неможливо знайти приватну інформацію про того, хто підписує

¨фактично, дозволяє перевірити, чи справді цифровий підпис було зроблено з використанням приватної інформації того, хто підписав блок даних

Керування доступом

NЦі механізми можуть використовувати для визначення і встановлення прав доступу сутності

¨ідентифікацію сутності

¨або деяку інформацію про сутність (як належність до деякої відомої чисельності сутностей)

¨або посвідчення, пред’явлене сутністю

NЯкщо сутність намагається здійснити неавторизований (несанкціонований) доступ (використати неавторизований ресурс, або використати недозволений метод доступу до авторизованого ресурсу), функція керування доступом перешкодить здійсненню такого доступу і, можливо, згенерує повідомлення про інцидент (для ініціювання протидії або з метою аудиту)

nМеханізми керування доступом можуть використовувати один чи кілька із зазначених далі видів та джерел інформації:

¨бази даних керування доступом, в яких зберігаються права доступу сутностей

Nці бази можуть підтримуватись централізовано або на кінцевих системах

Nправа доступу можуть зберігатись у вигляді списків керування доступом або матриці ієрархічної чи розподіленої структури

Nвикористання бази даних керування доступом передбачає, що сутності перед цим були автентифіковані

¨інформація автентифікації, володіння якою і надання якої є доказом авторизації

Nнаприклад, паролі

¨посвідчення, володіння якими і пред’явлення яких є доказом дозволу доступу до сутності або ресурсу, які вказані у посвідченні

¨мітки безпеки, асоційовані з сутностями (суб’єктами та об’єктами доступу), які можуть використовуватись для надання або заборони доступу, як правило, на основі політики безпеки;

¨час спроби доступу

¨маршрут спроби доступу

¨тривалість спроби доступу

NМеханізми керування доступом можуть бути задіяні на будь-якій із сторін, що здійснюють зв’язок, або в проміжній точці

¨Механізми, що задіяні у точці, яка ініціює доступ, і у проміжних точках, повинні перевіряти, чи відправник авторизований для зв’язку з одержувачем та/або для використання комунікаційних ресурсів

¨У разі зв’язку без встановлення з’єднання вимоги механізму, що реалізований у кінцевій точці, повинні бути апріорі відомими у точці, що ініціює доступ

Контроль цілісності даних

nІснують два аспекти цілісності:

¨цілісність окремого блоку даних або поля інформації

¨цілісність потоку блоків даних або полів інформації

NДля забезпечення цих двох видів сервісу цілісності у загальному випадку бувають задіяними різні механізми

¨контроль цілісності потоку без контролю окремих блоків даних (полів) не є практичним

NПроцедура контролю цілісності окремого блоку даних (поля) включає в себе два процеси

¨Один на стороні, що передає, другий — на тій, що приймає

¨На стороні, що передає, до блоку даних додається інформація, яка є функцією від цього блоку даних (циклічна або криптографічна контрольна сума, яка може також бути зашифрованою)

¨На стороні, що приймає, генерується аналогічна контрольна сума, що потім порівнюється з одержаною

¨Цей механізм сам не захищає від повторення блоків даних

NПеревірка цілісності потоку блоків даних (тобто захист від втрати, переупорядкування, дублювання, вставлення та модифікації даних) вимагає додаткового впровадження порядкових номерів, часових штампів або криптографічного зв’язування (коли результат шифрування чергового блоку залежить від попереднього).

¨При зв’язку без встановлення з’єднання використання часових штампів може забезпечити обмежений захист від дублювання блоків даних

Автентифікаційний обмін

NМеханізми автентифікаційного обміну впроваджуються на певний рівень моделі OSI для підтвердження автентичності сторони (сутності)

¨Якщо механізм не підтверджує автентичність сутності, здійснюється

Nзаборона з’єднання

Nабо закриття вже встановленого з’єднання

Nа також, можливо, генерується повідомлення про інцидент (для ініціювання протидії або з метою аудиту).

nДля здійснення автентифікаційного обміну можуть застосовуватись деякі з таких методів:

¨використання автентифікаційної інформації (такої як паролі), яку надає відправник і перевіряє одержувач;

¨криптографічні методи;

¨демонстрація характеристик або можливостей сутності.

NПри використанні криптографічних методів вони можуть поєднуватись з протоколами “рукостискання” для протидії повторенню даних.

nМетоди автентифікаційного обміну в залежності від обставин можуть використовуватись разом з:

¨часовими штампами і синхронізацією годинників;

¨двох- і трьохстадійними процедурами “рукостискання” (для односторонньої і двохсторонньої автентифікації, відповідно);

¨сервісами невідмовлюваності, що досягаються механізмами цифрового підпису та/або нотаризації.

Заповнення трафіка

NМеханізми заповнення трафіка застосовуються для забезпечення різних рівнів захисту від аналізу трафіка

NЦі механізми ефективні лише у поєднанні із засобами забезпечення конфіденційності

Керування маршрутом

NМаршрути можуть обиратись динамічно або статично таким чином, щоб використовувати лише фізично безпечні підмережі, вузли комутації та канали

NКінцеві системи у разі виявлення неодноразових атак на деякому маршруті можуть звертатись до провайдера мережних послуг для встановлення з’єднання за іншим маршрутом

NПередача даних, що мають мітки безпеки, через певні підмережі, вузли комутації та канали може бути заборонена політикою безпеки

NІніціатор з’єднання, або відправник даних, що передаються без встановлення з’єднання, може вказати обмеження на маршрут, щоби уникати певних підмереж, вузлів комутації та каналів

Нотаризація

NМеханізм нотаризації забезпечує завірення таких характеристик даних, що передаються між двома (або більше) сутностями, як

¨цілісність,

¨джерело,

¨час,

¨призначення.

NЗавірення забезпечується третьою стороною, якій довіряють сутності, що взаємодіють, і яка має достатню інформацію, щоб її завіренням можна було довіряти

NКожна сутність, що взаємодіє із застосуванням механізму нотаризації, використовує цифровий підпис, шифрування і контроль цілісності

Універсальні механізми безпеки

NРаніше були названі механізми безпеки, специфічні для певних сервісів чи рівнів моделі OSI

nКрім цього, рекомендації X.800 визначають універсальні, або, як вони були названі, повсюдні (pervasive) механізми безпеки

nДо них віднесені:

¨довірена функціональність;

¨мітки безпеки;

¨детектування подій;

¨аудит безпеки;

¨відновлення безпеки.

Довірена функціональність

NБудь-яка функціональність, що безпосередньо забезпечує механізми безпеки або надає доступ до таких механізмів, повинна бути довіреною

NПроцедури, які застосовуються для підтвердження, що апаратні та/або програмні компоненти дійсно заслуговують довіри, знаходяться поза межами Рекомендацій X.800

Мітки безпеки

NРесурси, що включають дані, можуть мати асоційовані з ними мітки безпеки

NНайтиповіше використання міток безпеки — визначення через них рівня чутливості (наприклад, конфіденційності даних)

Детектування подій

NДетектування подій, що пов’язані з безпекою, включає детектування явних порушень безпеки

¨може також включати детектування “нормальних” подій, таких як

Nуспішні входи в систему

Nдоступи до об’єктів

nДетектування різних подій, що пов’язані з безпекою, може спричиняти одну або кілька із зазначених дій:

¨локальне інформування про подію;

¨віддалене інформування про подію;

¨реєстрація події у журналі;

¨дія по відновленню.

Аудит безпеки