Защищенные сетевые протоколы

К программным методам защиты в сети Internet могут быть отнесены защищенные криптопротоколы, которые позволяют на­дежно защищать соединения. В процессе развития Internet были созданы различные защищенные сетевые протоколы, ис­пользующие как симметричную криптографию с закрытым ключом, так и асимметричную криптографию с открытым ключом. К основ­ным на сегодняшний день подходам и протоколам, обеспечивающим защиту соединений, относятся SKIP-технология и протокол защиты соединения SSL.

SKIP (Secure Key Internet Protocol) - технологией называется стандарт защиты трафика IP-пакетов, позволяющий на сетевом уровне обеспечить защиту соединения и передаваемых по нему данных.

Возможны два способа реализаций SKIP-защиты трафика IP-пакетов:

шифрование блока данных IP-пакета;

инкапсуляция IP-пакета в SKIP-пакет.

Шифрование блока данных IP-пакета иллюстрируется рис. 37. В этом случае шифруются методом симметричной криптогра­фии только данные IP-пакета, а его заголовок, содержащий поми­мо прочего адреса отправителя и получателя, остается открытым, и пакет маршрутизируется в соответствии с истинными адресами.

Заголовок	Данные
Адр. 1	Адр. 2

Заголовок	Алго-ритм	Пакетный ключ КP	Данные	Подпись
Адр. 1	Адр. 2

Шифруется Шифруется

Kij Kn

Рис. 37. Схема шифрования блока данных IP-пакетов

Закрытый ключ K_ij разделяемый парой узлов сети I и J, вычисля­ется по схеме Диффи-Хеллмана.

Инкапсуляция IP-пакета в SKIP-пакет показана на рис. 38.

Заголовок	Данные
Адр. 1	Адр. 2

Шифруется Шифруется

Kij Kn

Рис. 38. Схема инкапсуляции IP-пакетов

SKIP-пакет внешне похож на обычный IP-пакет. В поле данных SKIP-пакета полностью размещается в зашифрованном виде ис­ходный IP-пакет. В этом случае в новом заголовке вместо истин­ных адресов могут быть помещены некоторые другие адреса. Та­кая структура SKIP-пакета позволяет беспрепятственно направ­лять его любому хост-компьютеру в сети Internet, при этом межсетевая адресация осуществляется по обычному IP-заголовку в SKIP-пакете. Конечный получатель SKIP-пакета по заранее оп­ределенному разработчиками алгоритму расшифровывает крипто­грамму и формирует обычный TCP- или UDP-пакет, который и пе­редает соответствующему модулю (TCP или UDP) ядра операци­онной системы.

Универсальный протокол защиты соединения SSL (Secure Socket Layer) функционирует на сеансовом уровне эталонной мо­дели OSI. Протокол SSL, разработанный компанией Netscape, ис­пользует криптографию с открытым ключом. Этот протокол явля­ется действительно универсальным средством, позволяющим ди­намически защищать соединение при использовании любого прикладного протокола (FTP, TELNET, SMTP, DNS и т.д.). Прото­кол SSL поддерживают такие ведущие компании, как IBM, Digital Equipment Corporation, Microsoft Corporation, Motorola, Novell Inc., Sun Microsystems, MasterCard International Inc. и др.

Существует функционально законченный оте­чественный криптографический комплекс "Шифратор IP потоков", разработанный московским отделением Пензенского научно-исследовательского электротехнического института. Криптографи­ческий комплекс "Шифратор IP потоков" представляет собой рас­пределенную систему криптографических шифраторов, средств управления криптографическими шифраторами, средств хранения, распространения и передачи криптографической информации, а также средств оперативного мониторинга и регистрации происхо­дящих событий. Криптографический комплекс "Шифратор IP пото­ков" предназначен для выполнения следующих функций:

обеспечения конфиденциальности и целостности информации, передаваемой в сетях общего пользования (Internet), построен­ных на основе протоколов IP;

создания защищенных подсетей передачи конфиденциальной информации;

объединения локальных сетей в единую защищенную сеть;

закрытия доступа к ресурсам локальной сети или отдельным компьютерам из сети общего доступа;

организации единого центра управления защищенной под­сетью.

Комплекс обеспечивает:

закрытие передаваемых данных на основе использования функций шифрования в соответствии с отечественным стан­дартом ГОСТ 28147-89;

контроль целостности передаваемой информации;

аутентификацию абонентов (узлов сети);

защиту доступа к локальной сети и сокрытие IP адресов подсе­ти;

передачу контрольной информации в Центр управления ключе­вой системой защищенной IP сети;

поддержку протоколов маршрутизации PIP II, OSPF, BGP;

фильтрацию IP, I'CMP и TCP-соединений на этапе маршрутиза­ции и при приеме/передаче в канал связи;

поддержку инкапсуляции IPX в IP (в соответствии с RFC-1234);

поддержку инкапсуляции IP в Х.25 и Frame Relay;

защиту от НСД ресурсов самого шифратора.

Криптографический комплекс "Шифратор IP потоков" имеет модульную структуру и состоит из распределенной сети шифрато­ров IP потоков и единого центра управления ключевой системой.

Шифратор IP протоколов (ШИП) состоит из:

криптографического модуля, непосредственно встроенного в ядро операционной системы;

модуля поддержки клиентской части ключевой системы;

модуля записи протоколов работы криптографической системы;

модуля проверки целостности системы при загрузке.

ШИП содержит также плату с интерфейсом ISA, исполь­зуемую для защиты от НСД при загрузке системы и для получения от сертифицированного физического датчика случайных чисел, необходимых для реализации процедуры шифрования.

Центр управления ключевой системой (ЦУКС) состоит из:

• автоматизированного рабочего места управления ключевой системой, работающего в среде X Windows;

• модуля серверной части ключевой системы;

• сервисной программы просмотра протоколов работы крипто­графического комплекса "Шифратор IP потоков".

Управление ключами выполняется при помощи ЦУКС и за­ключается в следующем:

• периодическая (плановая) смена парных ключей шифрования зарегистрированных узлов защищенной сети;

• формирование и рассылка по сети справочников соответствия, определяющих возможность абонентов работать друг с другом;

• сбор и хранение в базе данных информации о всех критичных событиях в сети, возникающих как при аутентификации абонен­тов, так и при передаче между ними зашифрованной инфор­мации.

В случае возникновения нештатных ситуаций, создающих угрозу нарушения защиты информации, администратор ЦУКС предпринимает действия, направленные на восстановление цело­стности системы защиты информации.

Схема организации виртуальной корпоративной сети с применением криптографического комплекса "Шифратор IP пото­ков" показана на рис. 39.

Рис. 39. Виртуальная корпоративная сеть с применением крипто­графического комплекса "Шифратор IP потоков"

При организации виртуальной корпора­тивной сети небольшого размера без жестких требований к време­ни оповещения абонентов о компрометации какого-либо абонента и без жестких требований к полноте собираемых протоколов об ошибках доступа возможно использование одного ЦУКС. При ор­ганизации виртуальной корпоративной сети среднего размера или с жесткими требованиями к времени оповещения абонентов о ком­прометации какого-либо абонента и к полноте собираемых прото­колов об ошибках доступа следует использовать несколько ЦУКС. При этом желательно, чтобы ЦУКС имели независимые друг от друга каналы подключения к глобальной сети.

1. ЗАЩИТА КОМПЬЮТЕРНЫХ СИСТЕМ