Сучасні захисні мережні технології 


Мы поможем в написании ваших работ!



ЗНАЕТЕ ЛИ ВЫ?

Сучасні захисні мережні технології



Конспект лекцій

З навчального предмета

Tема: Объект защиты информации.

Объектом защиты информации является компьютерная система (что такое КС)

Компьютерная система - это комплекс аппаратных и программных средств, предназначенных для автоматизированного сбора, хранения, обработки, передачи и получения информации.

Понятия КС очень широкое и оно охватывает в следующие системы:

- ЭВМ всех классов и назначений;

- вычислительные комплексы и системы;

- вычислительные сети(локальные, региональные и глобальные)

Объединение СЗМТ-СЗКС. Такой широкий диапазон объединяется одним понятием по двум причинам:

1) для всех этих систем проблемы защиты информации являются общими

2) более мелкие системы являются элементами более крупных систем

Понятие ”объект защиты” уже рассматривали как материальный носитель, но чаще ”объект” трактуется в более широком смысле.

Понятие ”объект” включает в себя не только информацию(аппаратные, программные)но и обслуживающий персонал, потребителей, помещение, здания и даже территорию.

Безопасность(защищенность информации в КС) -это такое состояние всех компонентов КС при котором обеспечивается защита информации от возможных угроз на требуемом уровне.

Компьютерные системы в которых обеспечивается безопасность информации называется защищенными.

Информационная безопасность достигается проведением руководством соответствующего уровня политики информационной безопасности.

Основной документ, на основе которого проводятся политика информационной безопасности программой информационной безопасности.

Системой безопасности в КС - понимается единый комплекс правовых норм организационных мер, техничных программных и криптографичных средств, обеспечивающий защищенность информации в КС в соответствии с принятой политикой безопасности.

Два следствия:

Для сравнения государственные организации и учебные заведения. а)Госпредприятия- пусть лучше все сломается, но враг не узнает ничего.

Б) Учебные заведения -да нет у нас никаких секретов, лишь бы работало.

 

Лекция 2

Угрозы безопасности информации в компьютерных системах.

Под угрозой безопасности понимается потенциально возможные события, процесс или явление, которые могут привести к уничтожению, утрате целостности, конфиденциальности или доступности информации.

Все множество угроз безопасности информации в КС делаться на два класса:

1) угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализованные в случайные моменты времени называется случайными или преднамеренными.

80% от ущерба на носимые информационным ресурсам.

Лекция 2

Советы Стивен Кац

Некоторые проверенные практикой принципы безопасности:

1) безопасность и сложность часто обратно пропорционально

2) безопасность и удобство использования часто обратно пропорциональны

3) хорошая безопасность сегодня лучше, чем абсолютная безопасность никогда

4) ложное чувство безопасности хуже, чем реальное чувство незащищенности

5) ваша безопасность сильна настолько, насколько малочисленны ваши связи

6) лучше всего сосредоточится на известных и вероятных угрозах

7) вложение в безопасность - это не затраты, а инвестиция

Т: Политика безопасности в сетях.

1) Политика безопасности строится на основе анализа рисков, которые признаются реальными для информационных систем.

2) После проведения анализа рисков определяется стратегия защиты

3) Составляется программа реализация которой и должна обеспечить информационную безопасность

4) Под эту программу выделяются ресурсы

5) Назначаются ответственные

6) Определяется порядок контроля выполнения программы

Требования:

В соответствии с общепринятыми требованиями политика организации должна иметь структуру краткого, легко понимаемого документа, поддерживаемого рядом более конкретных документов.

Высокоуровневая политика безопасности должна периодически пересматриваться для гарантии, что она учитывает текущие потребности организации.

Этот документ целесообразно составить таким образом, чтобы ПБ была относительно независима от конкретных технологий.

Политика безопасности обычно оформляется в виде документа, включающего такие разделы:

1) описание проблемы

2) область применения

3) позицию организации

4) распределение ролей и обязанности

5) санкции

Для сетей:

1) описание проблемы

Информация в сети является критически важной. Пользователи совместно используют программы и данные. Документ преследует такие цели:

- продемонстрировать сотрудникам организации важность защиты сетевой среды

- описать их роль в обеспечении безопасности

- а также распределить конкретные обязанности по защите информации, равно как и самой сети.

2) Область применения

В сферу действий данной политики попадают все аппаратные, программные информационные ресурсы, входящие в локальную сеть предприятия.

ПБ ориентирована также на людей (пользователей).

3) Позиция организации

- Целью организации является обеспечение целостности, доступности и конфиденциальности данных.

- Следование экономической целесообразности в выборе защитных мер.

- Обеспечение безопасности в каждой функциональной области локальной сети

- обеспечение анализа регистрационной информации

- обеспечение подотчетности всех действий, пользователей с информацией и ресурсами.

4) Распределение ролей и обязанностей

Руководители предприятий

Администраторы локальной сети

Администраторы сервисов

Пользователи

Уровни политики безопасности

С практической точки зрения ПБ можно разделить на 3 уровня:

верхний, средний, нижний.

Верхний уровень ПБ определяет решения, затрагивающие организацию в целом. Решения носят общий характер и исходят из руководства организаций.

Пример:

- формулировка целей, которые преследует организация в области информационной безопасности, определение общих направлений в достижении этих целей.

- обеспечение материальной базы для соблюдений законов и правил.

Преследование организацией

- целостности (БД)

- Доступности (услуги)

- конфиденциальность (секрет)

Средний уровень ПБ определяет решения вопросов, касающихся отдельных аспектов ИБ, но важных для различных систем, эксплуатирующие в организации

Пример:

- отношения к доступу в Internet.

- использование домашних компьютером.

ПБ среднего уровня должна определять для каждого аспекта ИБ следующие моменты:

- описание аспекта (набор целей)

- область применения (по отношению к чему данная ПБ)

- роли и обязанности (должность лица, отвечающего за ПБ)

- санкции (описание запрещенных действий и наказание за них)

- точки контакта (куда обращаться за помощью)

Низший уровень ПБ относится к конкретным сервисам:

Эта политика включает в себя 2 аспекта:

1) цели

2) правила достижения ПБ

Пример:

- кто имеет право доступа к объектам, поддерживаемого сервиса

- при каких условиях можно читать и модифицировать данные

- как организован удаленный доступ к сервису

Лекция 3

Т: Нормативні документи з питань захисту інформації. Вимоги до сучасних засобів захисту корпоративних мереж від НСД. (2 година).

В каждой стране разработаны свои стандарты

Оранжевая книга

Разработана Министерством обороны США и принята стандарт в 1985 году.

ОК предназначена для следующих целей:

1)Предоставить производителям стандарт, устанавливающий, какими средствами безопасности следует оснащать свои новые и планируемые продукты, чтобы поставлять им рынок доступные системы, удовлетворяющие требованиям гарантированной защищенности (имеется в виду, прежде всего, защиту от раскрытия данных) для использования при обработки ценной инф.

2) Предоставить метрику для оценки защищенности СБ, предназначение для обработки служебной и другой ценной информации

3) Обеспечивает базу для исследований требований к выбору защищенных систем

Механизмы безопасности:

Согласно ”Оранжевой книге”, ПБ должна обязательно включить в себя следующие элементы:

- произвольное управление доступом

- безопасность повторного использования объекта

- метки безопасности

- принудительное управление доступом

1) Произвольное управление доступом (иногда назыв. дискретным) это метод разграничения доступа к объекту основанный на учете личности субъекта в которого субъект входит. Произвольность управления состоит в том, что некоторое лицо (обычно владелец объекта)может по своему усмотрению предоставлять другим субъектам или отбирать у них права доступа к объекту.

2) Безопасность повторного использования объектов - важное дополнение средств управления доступом, предохраняющие от случайного или преднамеренного извлечения конфиденциальной информации из ”мусора” (память OЗУ, виртуальная память)

3) Метка безопасности - степень конфиденциальности содержащая в объекте информации

4) Принудительные (или мандатное) управление доступа основано на совпадении меток безопасности субъекта и объекта.

Переходя к пассивным аспектам защиты, укажем что в ”Оранжевой книге” рассматриваются два вида гарантированности:

- операционная

- технологическая

Операционная гарантированность - это способ убедится в том, что архитектура системы и её реализация действительно реализует избранную ПБ

Операционная гарантированность включает в себя проверку следующих элементов

- архитектура системы

- целостность системы

- проверка тайных каналов передачи информации

- доверенное администрирование

- доверенное восстановление после сбоев

Технологическая гарантированность - охватывает весь жизненный цикл ИС, то есть периоды проектирования, реализации, тестирования, продажи и сопровождения

ПТ: Классы безопасности

Согласно ОК для оценки информационной системы рассматривается четыре группы безопасности: А,В,С,D. В некоторых случаях группы безопасности делятся дополнительно на классы безопасности

Группа А (гарантированная или проверяемая защита) обеспечивает гарантированный уровень безопасности. Методы защиты, реализованы в системе, могут быть проверены формальными методами. В этой группе имеется только один класс А1

Группа В (полномочная или полная защита) предоставляет полную защиту КС. В этой группе выделены классы безопасности В1, В2, В3.

Класс В1 (защита через грифы или метки) обеспечивается использованием в КС грифов секретности, определяющих доступ пользователей к частям системы.

Класс В2 (структурированная защита) достигается разделением информации на защищенные и незащищенные блоки и контролем доступа к ним пользователей.

Класс В3 (области или домены безопасности) предусматривает разделение КС на подсистемы с различным уровнем безопасности и контроля доступа к ним пользователя.

Группа С (избирательная защита) представляет избирательную защиту подсистемы с контролем доступа к ним пользователей.

В этой группе выделены классы безопасности С1 и С2.

Класс С1 (избирательная защита информации) предусматривает разделение в КС пользователей и данные

Класс С2 (защита через управляемый или контролируемый доступ) обеспечивается раздельным доступом пользователей к данным.

Группу D (минимальной безопасности) составляют КС, проверенные на безопасность, но которые не могут быть отнесены к классам А, В или С.

Такова классификация, введённая в «Оранжевой книге».Коротко ее можно сформулировать так:

- Уровень С- произвольное управление доступом

- Уровень В- принудительное управление доступом

- Уровень А- верифицируемая безопасность.

Конечно в адрес «Критериев» можно высказать ряд замечаний (например игнорирование проблем, возникающих распределенных системах) тем не менее публикации ОК, стало эпохальным событием в области ИБ. Появился общепринятый понятный базис, без которого данное обсуждение проблемы ИБ было бы затруднительным.

 

Лекция 4

Лекция 5

Перехват DNS-запроса

Внедрение в сеть Internet ложного DNS-сервера путем перехвата DNS-запроса - это удаленная атака на базе типовой атаки, связанной с ожиданием поискового DNS-запроса. Перед тем как рассмотреть алгоритм атаки на службу DNS, необходимо обратить внимание на некоторые тонкости в работе этой службы.

Во-первых, по умолчанию служба DNS функционирует на базе протокола UDP (хотя возможно и использование протокола TCP), что, естественно, делает ее менее защищенной, так как протокол UDP (в отличие от TCP) вообще не предусматривает средств идентификации сообщений. Для того чтобы перейти от UDP к TCP, администратору DNS-сервера придется очень серьезно изучить документацию (в стандартной документации на демон named в ОС Linux нет никакого упоминания о возможном выборе протокола, на котором будет работать DNS-сервер). Этот переход несколько замедлит систему, так как при использовании TCP требуется создание виртуального соединения, кроме того, конечная сетевая ОС вначале посылает DNS-запрос с использованием протокола UDP, и только в том случае, если придет специальный ответ от DNS-сервера, она пошлет следующий запрос с использованием TCP.

Во-вторых, начальное значение поля "порт отправителя" в UDP-пакете >= 1023 и увеличивается с каждым переданным DNS-запросом.

В-третьих, значение идентификатора (ID) DNS-запроса устанавливается следующим образом. В случае передачи DNS-запроса с хоста оно зависит от конкретного сетевого приложения, вырабатывающего DNS-запрос. Эксперименты показали, что если запрос посылается из оболочки командного интерпретатора (SHELL) операционных систем Linux и Windows 95 (например, ftp nic.funet.fi), то это значение всегда равняется единице. Если же DNS-запрос передается из Netscape Navigator или его посылает непосредственно DNS-сервер, то с каждым новым запросом сам браузер или сервер увеличивает значение идентификатора на единицу. Все эти тонкости имеют значение в случае атаки без перехвата DNS-запроса.

Для реализации атаки путем перехвата DNS-запроса кракеру необходимо перехватить запрос, извлечь из него номер UDP-порта хоста отправителя, двухбайтовое значение ID-идентификатора DNS-запроса и искомое имя, а затем послать ложный DNS-ответ на извлеченный из DNS-запроса UDP-порт, где в качестве искомого IP-адреса указать настоящий IP-адрес ложного DNS-сервера. Такой вариант атаки в дальнейшем позволит полностью перехватить трафик между атакуемым хостом и сервером и активно воздействовать на него по схеме "ложный объект РВС".

Рассмотрим обобщенную схему работы ложного DNS-сервера (рис. 4.5):

1. Ожидание DNS-запроса.

2. Извлечение из полученного сообщения необходимых сведений и передача по сети на запросивший хост ложного DNS-ответа от имени (с IP-адреса) настоящего DNS-сервера с указанием в этом ответе IP-адреса ложного DNS-сервера.

3. В случае получения пакета от хоста - изменение в IP-заголовке пакета его IP-адреса на IP-адрес ложного DNS-сервера и передача пакета на сервер (то есть ложный DNS-сервер ведет работу с сервером от своего имени).

4. В случае получения пакета от сервера - изменение в IP-заголовке пакета его IP-адреса на IP-адрес ложного DNS-сервера и передача пакета на хост (для хоста ложный DNS-сервер и есть настоящий сервер).


Рис. 4.5. Функциональная схема ложного DNS-сервера

Необходимым условием осуществления данного варианта атаки является перехват DNS-запроса, а это возможно только в том случае, если атакующий находится либо на пути основного трафика, либо в одном сегменте с DNS-сервером. В результате подобная удаленная атака становится трудноосуществимой на практике (попасть в сегмент DNS-сервера, и тем более в межсегментный канал связи, взломщику, скорее всего, не удастся). Однако при выполнении этих условий можно осуществить межсегментную удаленную атаку на сеть Internet.

Отметим, что практическая реализация данной удаленной атаки выявила ряд интересных особенностей в работе протокола FTP и в механизме идентификации TCP-пакетов (см. раздел "Подмена одного из субъектов TCP-соединения в сети Internet"). В случае, когда FTP-клиент на хосте подключался к удаленному FTP-серверу через ложный DNS-сервер, оказывалось, что каждый раз после выдачи пользователем прикладной команды FTP (например, ls, get, put и т.д.) FTP-клиент вырабатывал команду PORT, которая состояла в передаче на FTP-сервер в поле данных TCP-пакета номера порта и IP-адреса клиентского хоста (особый смысл в этих действиях трудно найти: зачем каждый раз передавать на FTP-сервер IP-адрес клиента?). Если на ложном DNS-сервере не изменить в поле данных IP-адрес и переслать пакет на FTP-сервер по обыкновенной схеме, то следующий пакет будет передан FTP-сервером на хост FTP-клиента, минуя ложный DNS-сервер. Что самое интересное, такой пакет будет воспринят как нормальный, и в дальнейшем ложный DNS-сервер потеряет контроль над трафиком между FTP-сервером и FTP-клиснтом. Это связано с тем, что обычный FTP-сервер не предусматривает никакой дополнительной идентификации FTP-клиента, а перекладывает все проблемы идентификации пакетов и соединений на более низкий уровень - уровень TCP (транспортный).

Лекция 7

Тема: Шифрование.Основные понятия.

Методом шифрования называется совокупность обратимых преобразований открытой информации в закрытую в соответствии с алгоритмом шифрования.

Атака на шифр (криптоанализ) -это процесс разшифрования закрытой информации без знания ключа возможно, при отсутствии сведений об алгоритме шифрованя

Современные методы шифрования должны отвечать следующим требованиям:

- криптостойность обеспечивает секрст. алг. шифрования на секретность ключа.

- вскрытие шифра могло быть осуществлено только путем решения задачи полного перебора.

- шифр текста не должен существенно превосходить по объему исходную инф.

- ошибки возникающие при шифровании, недолжны приводить к искажениям и потере информации.

- время шифрования не должно быть большим!!!!

Симметрична криптосистема шифрования

По шифрованием информации понимается процесс преобразования открытой информации в зашифрованную.

С=Ек1(М) М=Dк1(С)

М-информация

Е- криптографическое преобразование

С-криптограмма

Отправитель Получатель

Сообщение Сообщение

М Незащ. канал М’

Недостаток использования 1 ключа для всех абонентов не допустимо, по этому нужна матрица ключей.

Преимущества: скорость

DES и GOST,IDEA

Построены на так названных сетях Фейстеля.

Сеть Фейстеля- называется метод обработки преобразований текста, при котором значение, вычисление от одной из частей текста наклад на другие

2000 г AES которому были предъявлены следующие требования:

- алгоритм должен быть симметричным

- алгоритм должен быть блоч.

- алгоритм должен иметь длину блока 128 бит

а три длины ключа: 128, 192 и 156

Дополнительное требование:

-использование операции которые просто реализуются как аппарат так и програмно

- ориентированный на 32 разр.

Ассиметричный криптографический шифр.

Отличен от симетричернр. Откр. ключ вычисл из инфорамции.

Отправка А

Сообщение секретный ключ получ.

шифтекст Сообш.

Незашищ. канал.

Конструкция ассиметричных криптографичных систем с открытым ключом основана на приложении однонаправленных функций.

Однонаправленная функция:

- существует алгоритм вычислений значений функцииY=F(X)

-не существует алгоритма инверт. функции F то есть F(X)=Y отношении Х

Алгоритм RSA

С= Мкв(mod N)

M=Cкв(mod N)

Преимущества:

- не нужна секретность доступа ключей

-исчезает квадрат зависимости ключей от частного пользователя

Недостатки:

– нет математических доказательств необратим.

- по сравнению с симметричным сравнительно медленее

- необходима защита открытие ключи от поделки.

Асимметрическая криптосистема на базе симметрической криптосистемы

Функции хеширования

Функцию хеширования (хеш-функц.) представляет преобразование на вход которого подается сообщение переменной длины М, а выходом является сторона фиксированной длины h

Сообщение М Хеширование

 

H(М)-это дайджест сообщения М, то есть сжатое двоичное представление основного сообщения М. Отметим, что значение хеш - функции h(М) зависит сложным образом от документа М и не позволяет восстановить сам документ М.

Требование к хеш - функции

1) хеш-функция может быть применена к аргументу любого размера

2) выходное значение хеш-функции иметь фиксированный размер

3) хеш-функцию h(х) достаточно просто вычислить для любых х

4) хеш-функция должна быть чувствительна к всевозможным изменением в тексте

5) хеш-функция должна обладать свойством необр.

6) Вероятность того, что значение хеш-функции двух различных документов совпадут должна быть ничтожно мала.

Концепция дней рождения

Примен. в целях аутентификации пользователя

Хеш-функцию можно назвать шифр с помощью одной хеш-функции.

Идентификация-это процесс распознавания пользователя по его идентификатору.

Аутентификация - процедура проверки, подлинности авториз.

ЭЦП- используется для аутентификации и текстов, передаваемые по телекоммуникационным каналам.

Целью аутентификации электронный документ является их защита от возможных видов злоумышленных действий:

- активный перехват- нарушитель, подключившись к сети, перехватывает документы(файлы) и изменят их

- маскарад- абонент С посылает документ В от имени объекта А

- ренегатство - абонент А, заявляет, что не посылал сообщение абоненту В, хотя на самом деле посылал

- подмена -абонент В изменяет или формирует новый документ и заявляет, что получил его от абонента А. Исключение пользователя из соединения после успешной аутентификации

- повтор - абонент С повторяет раннее переданный документ, который абонент А посылает абоненту В

- вынужденная задержка - функциональная ЦП аналогично рукописной подписи и обладает основными достоинствами:

- удостоверяем, что подписанный текст исходит от лица поставившего подпись;

- не дает самому этому лицу возможности отказаться от обстоятельств, связанных с подписанным текстом

- гарантирует целостность подписанного текста

- отличие ЭЦП от обычной

Процедура формирование ЭЦП

Процедура проверки ЦП

Простая аутентификация - основанная на использовании многоразовых паролей (самая распространенная)VPN

Схема простой аутентификации

Два вида

- в не зашифрованном виде пример согласно протоколу простой аутентификации РАР

- в зашифрованном виде все передаваемые данные (идентификатор и пароль, случайное число, время, дата защищены шифром или односторонней функции)

Пользователь А Канал нет

Ра

Рa'

 

К к

 

 

Недостатки: да

- передается в открытом виде

- часто хранятся пароли пользователя в открытом виде. Злоумышленники пользуются доступам к системе и файлам

Реш.:

1) пересылка не пароля, отбражение одной функции h(P)

h(P)=Ep(ID

Пользователь А

 

нет

 

да

 

Проблема коротких паролей

H(P)=EpEk(ID)

Аутентификация на основе одноразовых паролей

Суть схемы одноразовых паролей - использование динам. паролей при каждом новом запросе на предоставление доступа.

Известны следующие методы применение одноразовых паролей аутентификации

1) использование механизма временных меток на основе системы единого времени

2) использование общего для легального пользователя проверяющего списка случайных паролей и надежного механизма их синхронизации

3) использование общего для полной проверки генератора псевдослучайных чисел с одним и тем же значением.

В качестве примера реализации 1 метод рассмотрим технологию Secure IP

на основе одноразовых паролей с использованием аппарата ключей и механизма временной синхронизации.

Часто встречаются в серверах компьютеров Cisico System

Схема аутентификации 2 параметра

-секретный ключ 64 бит хранится в базе данных сервера и в ап. кл. ком

-значение текущего времени

Предлагается ввести идентификатор PIN-10 знаков и 6 цифр кода отображенном на аппаратном ключе.

Недостатки:

-жесткая синхронизация времени ключа и сервера

Решение: величина отклонения учитывается (недост.)

П: перехват PIN и значение в 6 цифр

Второй метод понятно заранее распространеных паролей

Третий

- последовательность преобразуемых одноразовых паролей, пароль полученый из пароля предшественника

Последовательность паролей, основанной на односторонней функций более предпочтительной. S-key в системе TACE CST

П: аутентификация на основе сертификатов: используют когда число пользователей измеряется миллионами.

Сертификат представляет собой:

- открытый ключ владельца данного сертификата

- сведения о владельце сертификата

- наименование аутентифицирующей организации, выдавшей данный сертификат

- электронная подпись сертифицирующей организации, зашифрована закрытым ключом организации.

Отметить: сертификат является не только удостоверением личности, но и удостоверением принадлежности одн. Ключа.

Проблема: кто будет сертифицировать

П: Строгая аутентификация.

Идея строгой аутентификаций реализуемая криптографическим протоколах, заключается в следующем:

Проверяемая(доказывающая) сторона доказывает свою подлинность проверяющей стороне, демонстрируя знание некоторого секрета.

Пример: секрет может быть предварительно распределен безопасным способом между сторонами аутент. Обмена.

ОТ: Существенным является тот факт, что доказывающая сторона демонстрирует только знания секрета, но им. Секрет в ходе аутентификации не раскрывается. В большинстве случаев строгая аутентификация заключается в том что каждый пользователь аутентификации по признаку владения своим секретным ключом (пользователь имеет возможность определить, владеет ли его партнер по связи надлежащим секретным ключом)

Различает процедуры строгой аутентификаций следующих типов:

- односторонняя аутентификация

- двусторонняя аутентификация

- трехсторонняя аутентификация

Односторонняя аутентификация предусматривает обмен информации только в одном направоении. Данный тип аутентификации позволяет:

- подтвердить подлинность только одной стороны информационный обмен

- обнаружить нарушение целостности переданной информации

- обнаружить проведение атаки типа «повтор передачи»

-гарантировать, что передаваемый аутентифицированные данными может воспользоваться только пров. сторона.

Двусторонняя аутентификация - по сравнению с односторонней содержит дополнительный ответ проверяющей стороны доказывающей стороны. Этот ответ должен убедить проверяющую сторону, что связь устанавливается именно с той стороной, которой были предназначенные данные.

Трехсторонняя аутентификация содержит дополнительную передачу данных от доказывающей стороны проверяющей. Этот переход позволяет отказаться от использования меток времени при проведении аутентификации.


Лекция 8

Лекция 9

Лекция 10 VPN

Лекция 11

IP Sec

IP пакет

IP заголовок S-аур. Р-аур. Транспорт ТСР_____ Данные

Основные требования:

- целостность (не искажены)

- аутентичность (переданы тем кем надо)

- конфиденциальность (предотвращает не санкционированный доступ)

Схема протоколов IP Sec построен на базе ряда стандартизованных криптографических технологий

- обмен ключами по схеме Диффа -Хешмана (дает возможность избежать атаки man-in-the-middle)

- цифровые сертификаты для подтверждение подлинности откр. ключа

- блочные алгоритмы шифров данных

- алгоритмы аутентификационных сообщений на базе функ-хешидов.

Основными задачами установление и поддержания защиты канала является следующее:

- аутентификация пользователей или компьютеров при инициализации защищенного канала

- обеспечение конечных точек канала секретными ключами, необходимые для работы аутент. и шифр.

Шифрование и аутентификация передаваемых данных между конечными точками зашиты канала. Для решения этихз задач система IP Sec использует следующие компоненты:

- основной протокол IP Sec это комплект реализует ESP и АН. Он обрабатывает заголовки, взаимодействует с базами данными SPD и SAP для определения ПБ применяемой пакету.

- к протоколу управления ключевой информацией IKE.IKE обычно применяется на пользовательском уровне

-БД политик безопасности SPD (_______)

Это один из важнейших компонентов, поскольку он определяет ПБ, применяемую к пакету. SPD используется основным протоколом IP Sec при обработке входящих и исходящих пакетов.

- БД безопасных ассоциаций SAD (____)

БД SAD хранит список безопасных ассоциаций для обработки входящих и исходящих пакетов. База данный SAD заполняется SA вручную или с помощью протокола IPE

Р: БД SAD и SPD существенно влияют на эффективность работы IP Sec.От структуры БД зависит производитель IP Sec. Все протоколы, входящие в IP Sec можно разделить на две группы:

- протоколы непосредственно проводящие обработку передаваемых данных (для обеспечения их защиты)

- протоколы, позволяющие автоматически согласовывать параметры защищенных соединений необходимых для протокола 1 группы.

Архитектура Схемы протоколов IP Sec

 
 

 


На верхнем уровне расположены следующие уровни:

- протокол согласования параметров виртуального канала и управления ключами IKF, определяющих способ инициализации защищенного канала, включая согласование используемых алгоритмов криптозащиты, а также процедуру обмена и управления секретными ключами.

- протокол АH (_________ заголовка), обеспечивает аутентификацию источника данных, проверку их целостности и подлинности после приема.

- протокол инкапсулирующий защиты (ESP) обеспечивает криптографическое закрытие, аутентификацию и целостность передаваемых данных

Р: АН и ESP разделили из-за ________________

Для обеспечение целостности и аутентификации данных (протоколы АН и ESP) использует дайджест функции.

Для шифровки (протокол ESP)может применятся любой символ алгоритма.Протокол IKE, АИ и ESP взаимодействует следующим образом:

1) с помощью протокола IKE между двумя точками устанавливается логическое соединение(SA безопасная ассоциация). При установлении этого соединение выполняется аутентификация конечных точек канала а также выбор параметров защиты данных (алг.шифр, ключ и т.д). затем в рамках установленной ассоциации SA начинает работать протокол АИ или ESP с помощью которого и происходит защита передачи данных.

Р: ВSA ключи не пересылаются данные для информации ключа.

Средний уровень арх. IP Sec образует алгоритм _______________ параметров и управление ключами, применяемых в протоколе IKE, а также алгоритм аутентификации шифрования, используемая в протоколах АИ и ESP.

Низкий уровень арх. IP Sec образует так называемый далее интерпретации DOI(______). Домин интерпретации DOI в качестве БО ________сведение об использовании в IP Sec протоколов и алгоритмов их параметры. По существу DOI выполняет роль фундамента в архивах IP Sec. Для того что бы использовать алгоритм соответствующие национальным стандартам в качестве алгоритма аутентификации и шифрования в протоколах Аи и ESP необходимо зарегистрировать их в DOI.

ПТ: Протокол аутентифицирующего заголовка АИ.

Протокол аутентифицирующего заголовка АИ обеспечивает проверку аутентичности и целостности IP пакетов и защиту от повторной передачи.

Протокол АИ позволяет приемной стороне убедится в следующем:

- пакет был отправлен именно той стороной, с которой должно оказаться

- содержимое пакета не подверглось искажениям в процессе передачи его по сети.

- пакет не является дубликатором некоторого пакета полученного ранее. Протокол АИ может быть использованным в двух режимах: туннельном и транспортном.

IP пакет после изменения Аи в транспортном режиме.

Заголовок исходного IP пакетов Заголовок АИ Заголовок ТСР(UDP) анные

 

аутентифицировано

Протокол АИ защищает весь полученный пакет включая заголовок IP и АИ. IP пакет после применения протокола АИ в туннельном режиме.

 

Заголовок внешней IP пакета Заголовок АИ Заголовок исходного IP пакета Заголовок TCP(UDP) Данные

аутентифицировано

В туннельном режиме в качестве заголовка внешнего IP пакета создается новый заголовок.

Первоначальный(внутренний) IP заголовок содержит целевой адрес пакета, а внешний IP заголовок содержит адрес конца туннеля. Как и в транспортных протокол АИ защищает весь пакет.

Недостатки:

- пакет не защищен от просмотра

- нельзя манипулировать основными полями IP заголовка.

ПТ: протокол инкапсулирующей защиты ESР. Протокол инкапсулирующей защиты ESР (Emapsylating Security Payloads) обеспечивает: конфиденциальность, аутентичность, целостность и защиту от повторов для пакетов длинны

Р: Конфиденциальность данных протоколов ESP обеспечивается всегда, а целостность и аутентификация является для него отрицательным требованиями.

Различают два режима использования протокола ESР:

- транспортный

- туннельный

IP пакет после применения протокола ESР в транспортном режиме

 

Заголовок исход. IP пакета Заголовок ESP Заголовок TCP(UDP) Данные Трейлер ESP Данные аутентификации

Зашифровано

Аутентифицировано

 

Трейлер ESР. Заключительная часть ESР- заголовка (заполнитель РАР)

Аутентифицируемые данные.

В транспортном режиме зашифрованные данные транспортируются непосредственно между хостами.

Р: Заголовок ESР помещается после сигнала IP-заголовка, из этого такой пакет можно предвидеть с помощью обычного об. В отличии от протокола АР контроль целостность и аутентификация данных не распространяемые на заголовок из исходного пакета.

Недостаток: адресная информация (IP-адреса отсылают и принимают стороны) видна при пересылке изменение не будет замечена.

IP пакет в туннельном режиме

       
 
 
   



Поделиться:


Последнее изменение этой страницы: 2016-12-30; просмотров: 118; Нарушение авторского права страницы; Мы поможем в написании вашей работы!

infopedia.su Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав. Обратная связь - 34.238.143.70 (0.234 с.)