Технология защищенного канала

Как уже было сказано, задачу защиты данных можно разделить на две подзада­чи: защиту данных внутри компьютера и защиту данных в процессе их передачи из одного компьютера в другой. Для обеспечения безопасности данных при их передаче по публичным сетям используются различные технологии защищенно­го канала.

Технология защищенного канала призвана обеспечивать безопасность передачи данных по открытой транспортной сети, например по Интернету. Защищенный канал подразумевает выполнение трех основных функций:

□ взаимную аутентификацию абонентов при установлении соединения, которая может быть выполнена, например, путем обмена паролями;

□ защиту передаваемых по каналу сообщений от несанкционированного досту­па, например, путем шифрования;

□ подтверждение целостности поступающих по каналу сообщений, например, путем передачи одновременно с сообщением его дайджеста.

Совокупность защищенных каналов, созданных предприятием в публичной сети для объединения своих филиалов, часто называют виртуальной частной сетью (Virtual Private Network, VPN).

Существуют разные реализации технологии защищенного канала, которые, в част­ности, могут работать на разных уровнях модели OSI. Так, функции популярно­го протокола SSL соответствуют представительному уровню модели OSI. Новая версия сетевого протокола IP предусматривает все функции — взаимную аутен­тификацию, шифрование и обеспечение целостности, — которые по определе­нию свойственны защищенному каналу, а протокол туннелирования РРТР за­щищает данные на канальном уровне.

В зависимости от места расположения программного обеспечения защищенного канала различают две схемы его образования:

□ схему с конечными узлами, взаимодействующими через публичную сеть (рис. 11.6, а);

□ схему с оборудованием поставщика услуг публичной сети, расположенным на границе между частной и публичной сетями (рис. 11.6, б).

В первом случае защищенный канал образуется программными средствами, ус­тановленными на двух удаленных компьютерах, принадлежащих двум разным локальным сетям одного предприятия и связанных между собой через публич ную сеть. Преимуществом этого подхода является полная защищенность канала вдоль всего пути следования, а также возможность использования любых прото­колов создания защищенных каналов, лишь бы на конечных точках канала под­держивался один и тот же протокол. Недостатки заключаются в избыточности и децентрализрванности решения. Избыточность состоит в том, что вряд ли сто­ит создавать защищенный канал на всем пути прохождения данных: уязвимыми для злоумышленников обычно являются сети с коммутацией пакетов, а не кана­лы телефонной сети или выделенные каналы, через которые локальные сети подключены к территориальной сети. Поэтому защиту каналов доступа к пуб­личной сети можно считать избыточной. Децентрализация заключается в том, что для каждого компьютера, которому требуется предоставить услуги защищен­ного канала, необходимо отдельно устанавливать, конфигурировать и админист­рировать программные средства защиты данных. Подключение каждого нового компьютера к защищенному каналу требует выполнения этих трудоемких работ заново.

Во втором случае клиенты и серверы не участвуют в создании защищенного ка­нала — он прокладывается только внутри публичной сети с коммутацией паке­тов, например внутри Интернета. Канал может быть проложен, например, между сервером удаленного доступа поставщика услуг публичной сети и пограничным маршрутизатором корпоративной сети. Это хорошо масштабируемое решение, управляемое централизованно как администратором корпоративной сети, так и администратором сети поставщика услуг. Для компьютеров корпоративной сети канал прозрачен — программное обеспечение этих конечных узлов остается без изменений. Такой гибкий подход позволяет легко образовывать новые каналы защищенного взаимодействия между компьютерами независимо от их места рас­положения. Реализация этого подхода сложнее — нужен стандартный протокол образования защищенного канала, требуется установка у всех поставщиков ус­луг программного обеспечения, поддерживающего такой протокол, необходима поддержка протокола производителями пограничного коммуникационного обо­рудования. Однако вариант, когда все заботы по поддержанию защищенного ка­нала берет на себя поставщик услуг публичной сети, оставляет сомнения в на­дежности защиты: во-первых, незащищенными оказываются каналы доступа к публичной сети, во-вторых, потребитель услуг чувствует себя в полной зависи­мости от надежности поставщика услуг. И тем не менее, специалисты прогнози­руют, что именно вторая схема в ближайшем будущем станет основной в по­строении защищенных каналов.

Технологии аутентификации