Компьютерная безопасность. Криптографические методы защиты - Петров А.А.
ISBN 5-89818-064-8
Скачать (прямая ссылка):
Защита информации при межсетевом взаимодействии
275
При выборе ПАК для создания защищенных VPN следует учитывать, что шифрование сообщений требуется не всегда. Часто это очень дорогостоящая процедура, поскольку без использования специальных аппаратных приставок большинство маршрутизаторов не могут одновременно с шифрованием обеспечивать приемлемый уровень быстродействия. Чтобы оценить необходимость шифрования сообщений в VPN, придется определить и классифицировать все типы данных в интрасети, которые не должны попасть к посторонним. Затем следует оценить размер возможного ущерба от потери таких данных или от их попадания в чужие руки. Далее нужно определить, кто заинтересован в получении ваших конфиденциальных данных, и подумать о мотивах и финансовых возможиос-тях похитителей информации.
В этом разделе мы остановимся на рассмотрении ПАК шифрования IP-трафика, а межсетевым экранам посвящен самостоятельный раздел. Учитывая широкий спектр архитектур построения VPN, существует три основных типа подключения локальной сети к глобальной с использованием криптомаршрутизатора (рис. 3.11):
• простая схема с использованием маршрутизатора (рис. 3.11а). В этом случае маршрутизатор применяется как для защищаемой локальной сети, так и для открытой части локальной сети. Необходимым условием обеспечения безопасности при использовании данной схемы подключения является отсутствие незащищенных каналов обмена информацией между защищенной и открытой локальными сетями;
Internet
Маршрутизатор
о)
Рис. 3.11. Схемы подключения криптомаршрутизатора
276 Компьютерная безопасность и практическое применение криптографии
• схема с непосредственным подключением (рис. 3.116). Один ПАК может поддерживать несколько локальных сетей с разными политиками безопасности и разным уровнем конфиденциальности обрабатываемой информации;
• иерархическая схема (рис. 3.11 в). Используется при необходимости обеспечения защиты информации и разграничения доступа для больших локальных сетей с разными уровнями безопасности. Администрирование данной системы защиты также носит иерархический характер.
Программные же средства защиты информации применяются в основном для защиты соединений типа ЛС-УП. В идеальном случае продукты защиты информации при построении VPN должны быть совместимы между собой, чтобы средства защиты информации различного уровня (удаленные пользователи, локальные сети произвольного масштаба и т.д.) могли быть объединены в рамках одной корпоративной сети. Совместимость большинства средств защиты информации в VPN обеспечивается за счет применения при их создании унифицированных решений. В качестве такого решения можно отметить криптографический протокол SKIP (Simple Key management for Internet Protocol), имеющий официальный статус проекта стандарта Internet (Internet draft) и подвергшийся многочисленным испытаниям и апробации в ряде коммерческих продуктов. SKIP в рамках средств, обеспечивающих информационную безопасность, может быть применен и при построении VPN, поскольку его реализация удовлетворяет требованиям, выдвинутым к продуктам подобного рода, кроме того, протокол SKIP является IP-совместимым, поэтому защищаемая информация может беспрепятственно обрабатываться и передаваться системами, использующими реализацию стека протоколов TCP/IP.
SKIP реализован в таких продуктах, как «Шифратор IP-потоков» (ШИП), программный комплекс (ПК) «Игла», межсетевой экран SunScreen SPF 100 и в ряде других.
Протокол SKIP
SKIP является типичным примером протокола, обеспечивающего аутеи-тификационное распределение сеансовых ключей. В основе его создания лежит идея открытого распределения ключей Диффи-Хэлмаиа, что позволяет строить средства защиты, рассчитанные на применение в глобальных сетях передачи данных, поскольку реализация идеи Диффи-Хэлмана не требует проведения сложных организационно-технических мероприятий по распределению ключевой информации; пользователю нужно иметь только пару ключей - секретный/открытый - и справочник открытых ключей других пользователей.
Защита информации при межсетевом взаимодействии
277
Основная идея SKIP заключается в том, что ключ, вычисленный при помощи алгоритма Диффи-Хэлмана (Kij, называемый мастер-ключом), используется для шифрования пакетных ключей, создаваемых для каждого IP-пакета, при этом сами пакетные ключи добавляются к зашифрованному пакету в зашифрованном виде. Смысл применения пакетных ключей состоит в том, чтобы нарушитель не смог получить достаточного статистического материала для проведения криптоанализа; при этом избыточность, вносимая механизмами управления ключами, только для определенного вида трафика, не превышает 1-2%. При использовании трафика с короткими пакетами SKIP-протокол вносит большую избыточность в передаваемый трафик, и в некоторых случаях производительность канала может падать в четыре раза.
Сама схема работы протокола выглядит следующим образом:
• исходный IP-пакет шифруется с использованием пакетного ключа, и на его основе формируется SKIP-пакет - зашифрованный IP-пакет и SKIP-заголовок (табл. 3.5);
