Организация защищенного канала между несколькими локальными сетями через Internet. Туннель на многокарточных координаторах

Размещено на http://www.allbest.ru/

Министерство образования и науки Российской федерации

Северо-Кавказский Государственный Технический Университет

Кафедра защиты информации

«Утверждаю»

Зав. кафедрой

А.Ф.Чипига

подпись, инициалы, фамилия

« » 2011г.

ПОЯСНИТЕЛЬНАЯ ЗАПИСКА

к курсовой работе по дисциплине

«Технология построения защищенных автоматизированных систем»

На тему: Организация защищенного канала между несколькими локальными сетями через Internet. Туннель на многокарточных Координаторах

Автор проекта (работы) Трофимов А.А.

подпись, дата, инициалы, фамилия

Специальность 090105 Комплексное обеспечение информационной

шифр, наименование безопасности автоматизированных систем

Обозначение курсовой работы

КР-СевКавГТУ-090105-ДС-071042-02 группа БАС - 071

Руководитель работы В. И. Граков

подпись, дата, инициалы, фамилия

Работа защищена________________________Оценка_____________

дата, оценка, подпись руководителя

Ставрополь, 2011

Министерство образования и науки Российской федерации

Северо-Кавказский Государственный Технический Университет

Кафедра защиты информации

«Утверждаю»

Граков В.И.

подпись, инициалы, фамилия

«___»______________20__г.

ЗАДАНИЕ

ПО КУРСОВОЙ РАБОТЕ

Студент Трофимов А. А., группа БАС - 071

подпись, дата, инициалы, фамилия

1. Тема: Организация защищенного канала между несколькими локальными сетями через Internet. Туннель на многокарточных Координаторах

2. Исходные данные к проекту: схема незащищенной автоматизированной системы

3. Содержание пояснительной записки: Введение, анализ методов защиты распределенных сетей, анализ программного продукта ViPNet, разработка схемы защищенной сети, заключение.

4. Перечень графического материала 13 рисунков

5. Литература 20 литературных источников

6. Дата выдачи задания «___»_____________2011г.

7. Срок сдачи готового проекта «___»______________2011г.

Руководитель проекта Граков В.И.

подпись, дата, инициалы, фамилия

Задание принял к исполнению « »____________2011г._____________

подпись студента

Содержание

Введение

1. Анализ методов защиты распределенных сетей

1.1 Введение в защищенные виртуальные сети

1.1.1 Общие сведения

1.1.2 Способы создания защищенных виртуальных каналов

1.1.3 Обзор протоколов

1.2 Туннелирование на канальном уровне. Протокол PPTP

1.3 Защита виртуальных каналов на сетевом уровне

1.3.1 Архитектура средств безопасности IPSec

1.3.2 Протокол аутентифицирующего заголовка

1.3.3 Протокол инкапсулирующей защиты содержимого

1.3.4 Управление защищенным туннелем

1.4 Построение защищенных виртуальных сетей на сеансовом уровне

2 Анализ программного продукта ViPNet Custom

3. Разработка схемы защищенной сети

3.1 Требования безопасности

3.2 Схема защиты

Заключение

Список использованной литературы

локальная сеть туннель координатор канал

Введение

В современных условиях широкого применения сетевых информационных технологий и необходимости работать с распределенными информационными ресурсами успешная работа предприятий зависит от безопасности и защищенности их компьютерных сетей. Основными объектами (ценностями), которые подлежат защите в компьютерных сетях организаций, являются:

· информация о бухгалтерском учете;

· «ноу-хау» фирмы;

· конфиденциальная внутренняя информация;

· важная информация, касающаяся партнеров или "третьих сторон" (заказчики, лицензированное ПО).

Несанкционированное попадание такой информации к третьим лицам может привести к нанесению прямого ущерба предприятию. Поэтому вопросам информационной безопасности следует уделять достаточно большое внимание.

Множество предприятий в настоящее время имеют больше одного офиса, находящихся в разных частях города (а зачастую, и в разных городах). Но проведение дополнительных коммуникаций для связи между офисами зачастую невозможно или слишком дорого. Поэтому связь устанавливают по открытым каналам связи, т.е. через Интернет. И вот в этом месте как раз и стоит задумываться об информационной безопасности, потому что именно Интернет содержит большую часть потенциальных угроз информационной безопасности предприятия.

В данной работе я рассмотрю систему защиты, реализующую безопасный канал передачи данных между локальными сетями на основе туннелирования на многокарточных координаторов, с помощью чего устраняется множество потенциальных угроз информационной безопасности предприятия с такой системой.

1. Анализ методов защиты распределенных сетей

1.1 Введение в защищенные виртуальные сети

1.1.1 Общие сведения

Безопасность информационного взаимодействия локальных сетей и отдельных компьютеров через открытые сети, например, через сеть Internet, требует качественного решения двух базовых задач (рис. 1.1):

? защиты подключенных к публичным каналам связи локальных сетей и отдельных компьютеров от несанкционированных действий со стороны внешней среды;

? защиты информации в процессе передачи по открытым каналам связь.

Решение первой задачи основано на использовании рассмотренных выше межсетевых экранов (брандмауэров), поддерживающих безопасность информационного взаимодействия путем фильтрации двустороннего потока сообщений, а также выполнения функций посредничества при обмене информацией. Для защиты локальных сетей брандмауэр располагают на стыке между локальной и открытой сетью. Для защиты отдельного удаленного компьютера, подключенного к открытой сети, программное обеспечение межсетевого экрана устанавливается на этом же компьютере, а сам межсетевой экран в этом случае называют персональным.

Зашита информации в процессе передачи по открытым каналам связи основана на выполнении следующих функций:

? аутентификации взаимодействующих сторон;

? криптографическом закрытии передаваемых данных;

? подтверждении подлинности и целостности доставленной информации;

? защите от повтора, задержки и удаления сообщений;

? защите от отрицания фактов отправления и приема сообщений.

Перечисленные функции во многом связаны друг с другом, и их реализация основана на криптографической защите передаваемых данных. Высокая эффективность такой защиты обеспечивается за счет совместного использования симметричных и асимметричных криптографических систем.

Рис. 1.1. Задачи по обеспечению безопасности информационного взаимодействия

Объединение локальных сетей и отдельных компьютеров через открытую внешнюю среду передачи информации в единую виртуальную сеть, обеспечивающую безопасность циркулирующих данных, называют защищенной виртуальной сетью (Virtual Private Network -- VPN). Виртуальная сеть формируется на основе каналов связи открытой сети. Сам термин "виртуальная" подчеркивает, что каналы связи виртуальной сети моделируются с помощью каналов связи реальной. Открытая сеть может служить основой для одновременного сосуществования множества виртуальных сетей, количество которых определяется пропускной способностью открытых каналов связи.

Открытую внешнюю среду передачи информации можно разделить на среду

скоростной передачи данных, в качестве которой может использоваться сеть Internet, а также более медленные общедоступные каналы связи, в качестве которых чаще всего применяются каналы телефонной сети. Наиболее эффективным способом объединения локальных сетей и удаленных компьютеров является объединение на основе глобальной сети Internet (рис. 1.2). В случае отсутствия непосредственного подключения доступ к Internet может осуществляться и через телефонную сеть. Организация виртуальных сетей на основе Internet обладает рядом преимуществ:

* гарантирует высокое качество информационного обмена, так как магистральные каналы и маршрутизаторы Internet имеют большую пропускную способность, и характеризуются надежностью передачи информации;

* обеспечивает масштабируемую поддержку удаленного доступа к ресурсам локальной сети, позволяя мобильным пользователям связываться по местным телефонным линиям с поставщиками услуг Internet и через них входить в свою корпоративную сеть;

* для организации удаленного доступа пользователей к локальной сети исключается необходимость в наличии модемных пулов, а трафиком дистанционного доступа можно управлять точно так же, как любым другим трафиком Internet;

* сокращаются расходы на информационный обмен через открытую внешнюю среду:

* использование Internet для объединения локальных сетей значительно дешевле аренды каналов связи телефонных и других глобальных сетей, например, сетей frame relay, не говоря уже о стоимости самостоятельного построения коммуникаций;

* при удаленном доступе вместо того, чтобы устанавливать дорогостоящие

непосредственные соединения с локальной сетью по междугородной или международной телефонной связи, удаленные пользователи могут подключаться к Internet и, далее, связываться с сетью своей организации через эту глобальную сеть.

Виртуальную сеть, использующую в качестве внешней среды передачи информации глобальную сеть Internet, часто называют еще сетью Extranet.

Эффективность использования виртуальных сетей во многом определяешься степенью защищенности информации, циркулирующей по открытым каналам связи. Безопасность информационного обмена необходимо обеспечить как в случае объединения локальных сетей, так и в случае доступа к локальным сетям удаленных пользователей (рис. 1.2). Защита информации в процессе ее передачи по открытым каналам основана на построении защищенных виртуальных каналов связи, называемых криптозащищенными туннелями или туннелями VPN. Каждый такой туннель представляет собой соединение, проведенное через открытую сеть, по которому передаются криптографический защищенные пакеты сообщений виртуальной сети.

Для защиты от повтора, удаления и задержек пакетов сообщений, передаваемых по туннелю VPN, используются встроенные возможности стека протоколов ТСР/IP. Для защиты от повтора, удаления и задержек на уровне отдельных сообщений в состав каждого сообщения подсистемой защиты прикладного уровня должна добавляться дополнительная информация. В качестве такой дополнительной информации могут использоваться номера: случайные числа, а также отметки времени.

Рис. 1.2. Построение виртуальной сети на основе Internet

С целью защиты от отказа получения сообщений подсистема защиты прикладного уровня должна предусматривать при приеме каждого сообщения передачу отправителю уведомления о получении сообщения. Такое уведомление должно криптографический подписываться получателем сообщения.. Защита от отказа отправления сообщения, т. е. защита от непризнания цифровой подписи может быть обеспечена только правовыми и организационными мерами по приданию цифровой подписи юридической силы. Чтобы предотвратить отказы от открытых ключей, а соответственно и отказы от цифровой подписи обмен открытыми ключами должен подкрепляться юридической процедурой.

1.1.2 Способы создания защищенных виртуальных каналов

Любой из двух узлов виртуальной сети, между которыми формируется защищенный туннель, может принадлежать конечной или промежуточной точке защищаемого потока сообщений. Соответственно возможны различные способы образования защищенного виртуального канала (рис. 1.3).

Вариант, когда конечные точки защищенного туннеля совпадают с конечными точками защищаемого потока сообщений, является с точки зрения безопасности лучшим. В этом случае обеспечивается полная защищенность канала вдоль всего пути следования пакетов сообщений. Однако такой вариант ведет к децентрализации управления и избыточности ресурсных затрат. Требуется установка средств создания защищенных туннелей на каждый клиентский компьютер локальной сети, что усложняет централизованное управление доступом к компьютерным ресурсам и экономически не всегда оправдано. В большой сети отдельное администрирование каждого клиентского компьютера с целью конфигурирования в нем средств защиты является достаточно трудоемкой процедурой.



Рис. 1.3. Разновидности защищенных виртуальных каналов

Поэтому, если отсутствует необходимость защиты трафика внутри локальной сети, входящей в виртуальную сеть, то в качестве конечной точки защищенного туннеля целесообразно выбрать брандмауэр или пограничный маршрутизатор этой локальной сети. В случае же, когда внутри локальной сети поток сообщений также должен быть защищен, то в качестве конечной точки туннеля в этой сети должен выступать компьютер, представляющий одну из сторон защищенного взаимодействия. При доступе к локальной сети удаленного пользователя компьютер этого пользователя также должен быть конечной точкой защищенного виртуального канала.

Распространен также вариант, характеризующийся более низкой безопасностью, но более высоким удобством применения. Согласно данному варианту рабочие станции и серверы локальной сети, а также удаленные компьютеры не участвуют в создании защищенного туннеля, который прокладывается только внутри публичной сети с коммутацией пакетов, например, внутри Internet. В качестве конечных точек такого туннеля чаще всего выступают провайдеры Internet и/или пограничные маршрутизаторы (брандмауэры) локальной сети. При удаленном доступе к локальной сети туннель создается между сервером удаленного доступа провайдера Internet, а также пограничным провайдером Internet или маршрутизатором (брандмауэром) локальной | сети. При объединении локальных сетей туннель формироваться только между пограничными провайдерами Internet и/или маршрутизаторами (брандмауэрами) локальной сети.

Аргументацией в пользу описанного варианта создания виртуальных сетей выступает тот факт, что уязвимыми для злоумышленников в большей степени являются сети с коммутацией пакетов, такие, как Internet, а не каналы телефонной сети или выделенные каналы связи. Виртуальные сети, построенные по данному варианту, обладают хорошей масштабируемостью и управляемостью. Для клиентских компьютеров и серверов локальной сети, входящей в виртуальную сеть, защищенные туннели полностью прозрачны и программное обеспечение этих узлов остается без изменений. Однако по причине того, что часть защищаемого трафика проходит в незащищенном виде по публичным каналам связи, данный вариант существенно снижает безопасность информационного взаимодействия. Кроме того, большая часть работы по созданию защищенных туннелей ложится на провайдеров, которым необходимо доверять и платить.

Создание защищенного туннеля выполняют компоненты виртуальной сети, функционирующие на узлах, между которыми формируется туннель. Эти компоненты принято называть инициатором и терминатором туннеля. Инициатор туннеля инкапсулирует (встраивает) пакеты в новый пакет, сoдержащий наряду с исходными данными новый заголовок с информацией об отправителе и получателе. Хотя все передаваемые по туннелю пакеты являются пакетами IP, инкапсулируемые пакеты могут принадлежать к протоколу любого типа, включая пакеты немаршрутизируемых протоколов, таких как NetBEUI. Маршрут между инициатором и терминатором туннеля определяет обычная маршрутизируемая сеть IP, которая может быть и ceтью, отличной от Internet. Терминатор туннеля выполняет процесс, обратный инкапсуляции -- он удаляет новые заголовки и направляет каждый исходный пакет в локальный стек протоколов или адресату в локальной сети.

Сама по себе инкапсуляция никак не влияет на защищенность пакетов сообщений, передаваемых по туннелю VPN. Но благодаря инкапсуляции появляется возможность полной криптографической защиты инкапсулируемых пакетов. Конфиденциальность инкапсулируемых пакетов обеспечивается путем их криптографического закрытия, т. е. зашифровывания, а целостность и подлинность -- путем формирования цифровой подписи. Поскольку существует большое множество методов криптозащиты данных, очень важно, чтобы инициатор и терминатор туннеля использовали одни и те же методы и могли согласовывать друг с другом эту информацию. Кроме того, для возможности расшифровывания данных и проверки цифровой подписи при приеме инициатор и терминатор туннеля должны поддерживать функции безопасного обмена ключами. Чтобы туннели VPN создавались только между уполномоченными пользователями, конечные стороны взаимодействия требуется аутентифицировать.

1.1.3 Обзор протоколов

Технически реализация защищенных виртуальных сетей стала возможной уже достаточно давно. Инкапсуляция использовалась раньше и применяется сейчас для передачи немаршрутизируемого трафика через маршрутизируемые сети, а также для ограничения многопротокольного трафика одним протоколом. Технологии шифрования также появились задолго до широкого внедрения глобальных сетевых технологий. Однако общепринятые протоколы для создания защищенных виртуальных сетей разработаны недавно и сейчас продолжается работа над их совершенствованием и расширением. Они являются открытыми, т. е. свободными для распространения и реализации. Для независимости от прикладных протоколов и приложений защищенные виртуальные сети формируются на одном из более низких уровней модели OSI -- канальном, сетевом или сеансовом. Канальному (второму) уровню соответствуют такие протоколы реализации VPN, как PPTP, L2F и L2TP, сетевому (третьему) уровню -- IPSec, SKIP, а сеансовому (пятому) уровню -- SSL/TLS и SOCKS. Чем ниже уровень эталонной модели, на котором реализуется защита, тем она прозрачнее для приложений и незаметнее для пользователей. Однако при снижении этого уровня уменьшается набор услуг безопасности и становится сложнее организация управления. Чемвыше защитный уровень в соответствии с моделью OSI, тем шире набор услуг безопасности, надежнее контроль доступа и проще конфигурирование системы защиты. Однако в этом случае усиливается зависимость от используемых протоколов обмена и приложений. В виртуальной сети криптозащита может одновременно выполняться на не- .скольких уровнях эталонной модели. При этом увеличивается криптостойкость, но по причине снижения общей скорости криптографических преобразований уменьшается пропускная способность виртуальной сети. Поэтому на практике защищенные виртуальные сети формируются на одном уровне модели OSI (канальном, сетевом, транспортном или сеансовом).

Канальный уровень модели OSI

Для стандартного формирования криптозащищенных туннелей на канальном уровне модели OSI компанией Microsoft при поддержке компаний Ascend Communications, 3Com/Primary Access, ECI-Telematics и US Robotics был разработан протокол туннелирования PPTP (Point-to-Point Tunneling Protocol), представляющий собой расширение протокола PPP (Point-to-Point Protocol). В протоколе PPTP не специфицируются конкретные методы аутентификации и шифрования. Клиенты удаленного доступа в Windows NT 4.0 и Windows 98 с Dial-Up Networking поставляются с версией шифрования DES компании RSA Data Security, получившей название "шифрование двух- точечной связи Microsoft" (Microsoft Point-to-Point Encryption -- MPPE).

Канальному уровню модели OSI соответствует также протокол туннелирования L2F (Layer-2 Forwarding), разработанный компанией Cisco Systems при поддержке компаний Shiva и Northern Telecom. В данном протоколе также не специфицируются конкретные методы аутентификации и шифрования. В отличие от протокола PPTP протокол L2F позволяет использовать для удаленного доступа к провайдеру Internet не только протокол PPP, но и другие протоколы, например, SLIP. При формировании защищенных каналов по глобальной сети провайдерам Internet не нужно осуществлять конфигурацию адресов и выполнять аутентификацию. Кроме того, для переноса данных через защищенный туннель могут использоваться различные протоколы сетевого уровня, а не только IP, как в протоколе PPTP. Протокол L2F стал компонентом операционной системы IOS (Internetwork Operating System) компании Cisco и поддерживается во всех выпускаемых ею устройствах межсетевого взаимодействия и удаленного доступа.

Протоколы PPTP и L2F были представлены в организацию Internet Engineering Task Force (IETF) и в 1996 году соответствующие комитеты ре- шили их объединить. Получившийся в результате протокол, включивший . все лучшее из PPTP и L2F, был назван протоколом туннелирования второго, уровня (Layer-2 Tunneling Protocol -- L2TP). Его поддерживают компании Cisco, Microsoft, 3Com, Ascend и многие другие производители. Как и пред- 4 шествующие протоколы канального уровня, спецификация L2TP не . описывает методы аутентификации и шифрования. Протокол L2TP является

расширением PPP на канальном уровне и может поддерживать любые высокоуровневые протоколы.

Протоколы формирования защищенного туннеля на канальном уровне независимы от протоколов сетевого уровня модели OSI, по которым функционируют локальные сети, входящие в состав виртуальных сетей. Они позволяет создавать защищенные каналы для обмена данными между удаленными компьютерами и локальными сетями, функционирующими по различным протоколам сетевого уровня -- IP, IPX или NetBEUI. Пакеты; этих протоколов криптографический защищаются и инкапсулируются в IP- Д' пакеты сети Internet, которые и переносятся к месту назначения, образуя защищенные виртуальные каналы. Многопротокольность -- основное преимущество инкапсулирующих протоколов канального уровня.

Вместе с тем формирование криптозащищенных туннелей между объединяемыми локальными сетями на основе протоколов канального уровня приводит к сложности конфигурирования и поддержки виртуальных каналов связи. Туннели на основе PPP требуют, чтобы конечные точки поддерживали информацию о состоянии каждого канала (например, такую, как тайм-ауты), и, следовательно, не обладают хорошей масштабируемостью при необходимости иметь несколько туннелей с общими конечными точками. Кроме того, протоколы формирования защищенных туннелей на канальном уровне не специфицируют конкретные методы шифрования, аутентификации, проверки целостности каждого передаваемого пакета, а также средств управления ключами.

Исходя из вышесказанного, можно сделать вывод, что протоколы создания защищенных виртуальных каналов на канальном уровне лучше всего подходят для защиты информационного взаимодействия при удаленном доступе к локальной сети. Учитывая, что в состав операционных систем Windows 98/ХТ включена реализация протокола PPTP, этот протокол для организации защищенного удаленного доступа получил наиболее широкое распространение. В ближайшее время ожидается переориентация средств удален- ного доступа на более совершенный протокол L2TP.

Сетевой уровень модели OSI

Спецификацией, где описаны стандартные методы для всех компонентов и функций защищенных виртуальных сетей, является протокол Internet Protocol Security (IPSec), соответствующий сетевому уровню модели 0SI и входящий в состав новой версии протокола IP -- IPv6. Протокол IPSec иногда еще называют протоколом туннелирования третьего уровня (Layers Tunneling) . IPSec предусматривает стандартные методы аутентификации пользователей или компьютеров при инициации туннеля, стандартные способы шифрования конечными точками туннеля, формирования и проверки цифровой подписи, а также стандартные методы обмена и управления криптографическими ключами между конечными точками. Этот гибкий стандарт предлагает несколько способов для выполнения каждой задачи. Выбранные методы для одной задачи обычно не зависят от методов реализации других задач. Для функций аутентификации IPSec поддерживает цифровые сертификаты популярного стандарта Х.509.

Туннель IPSec между двумя локальными сетями может поддерживать множество индивидуальных каналов передачи данных, в результате чего приложения данного типа получают преимущества с точки зрения масштабирования по сравнению с технологией второго уровня. Протокол IPSec может использоваться совместно с протоколом L2TP. Совместно эти два протокола обеспечивают наиболее высокий уровень гибкости при защите виртуальных каналов. Дело в том, что спецификация IPSec ориентирована на протокол IP и, таким образом, бесполезна для трафика любых других протоколов сетевого уровня. Протокол L2TP отличается независимостью от транспортного уровня, что может быть полезно в гетерогенных сетях, состоящих из IP-, IPX- и AppleTalk-сегментов. IPSec стремительно завоевывает популярность и станет, вероятно, доминирующим стандартом по созданию и поддержке защищенных виртуальных сетей.

Для управления криптографическими ключами на сетевом уровне модели OSI наиболее широкое распространение получили такие протоколы, как SKIP (Simple Кеу management for Internet Protocols) и ISAKMP (Internet Security Association and Key Management Protocol). SKIP проще в реализации, но он не поддерживает переговоров по поводу алгоритмов шифрования. Если получатель, использующий SKIP, не в состоянии расшифровать пакет, он уже не сможет согласовать метод шифрования с противоположной стороной. Протокол ISAKMP поддерживает такие переговоры и выбран в качестве обязательного протокола для управления ключами в IPSec для IPv6. Другими словами протокол ISAKMP является составной частью протокола IPSec. В текущей четвертой версии протокола IP (в протоколе IPv4) может применяться как протокол ISAKMP, так и протокол SKIP.

Сеансовый уровень модели OSI

Защищенные виртуальные каналы могут быть сформированы и на сеансовом уровне модели OSI. Для этого применяются так называемые "посредники каналов" (circuit proxy). Посредник функционирует над транспортным уровнем, шифрует и ретранслирует трафик из защищенной сети в общедоступную сеть Internet для каждого сокета в отдельности. При приеме выполняется обратная процедура. Сокет IP идентифицируется комбинацией TCP- соединения и конкретного порта или заданным портом UDP.

Для шифрования информации на сеансовом уровне наибольшую популярность получил протокол SSL/TLS (Secure Sockets Layer Transport Layer Security), разработанный компанией Netscape Communications. Этот протокол, создает защищенный туннель между конечными точками виртуальной сети, обеспечивая взаимную аутентификацию абонентов, а также конфиденциальность, подлинность и целостность циркулирующих по туннелю данных. Ядром протокола SSL/TLS является технология комплексного использования асимметричных и симметричных криптосистем компании RSA Data Security.- Для аутентификации взаимодействующих сторон и криптозащиты ключа симметричного шифрования используются цифровые сертификаты открытых ключей пользователей (клиента и сервера), заверенные цифровыми подписями специальных Сертификационных Центров. Поддерживаются цифровые сертификаты, соответствующие общепринятому стандарту Х.509. С целью стандартизации процедуры взаимодействия клиент-серверных приложений ТСР/IP через сервер-посредник (брандмауэр) комитет IETF утвердил протокол под названием SOCKS, и в настоящее время пятая версия: данного протокола (SOCKS 5) применяется для стандартизованной реализации посредников каналов. SOCKS поддерживает приложения, требующие контроля над направлениями информационных потоков и настройки условий доступа в зависимости от атрибутов пользователя и/или информации.

В соответствии с SOCKS 5 клиентский компьютер устанавливает аутентифицированный сеанс с сервером, исполняющим роль посредника (proxy). Использование этого посредника является единственным способом связи через брандмауэр. Посредник, в свою очередь, проводит любые операции, запрашиваемые клиентом. Поскольку посреднику известно о трафике на уровне сеанса (сокета), он может осуществлять тщательный контроль, например, блокировать конкретные приложения пользователей, если они не имеют необходимых полномочий.

В отличие от виртуальных сетей, защищенных на сеансовом уровне модели OSI, виртуальные сети, защищенные на канальном или сетевом уровне, обычно просто открывают или закрывают канал для всего трафика по аутентифицированному туннелю. Это может представлять проблему, если локальная сеть на другом конце туннеля является неблагонадежной. Кроме того, созданные туннели канального и сетевого уровня функционируют одинаково в обоих направлениях, а виртуальные сети, защищенные на сеансовом уровне, допускают независимое управление передачей в каждом направлении.

Виртуальные сети с посредником канала типа IPSec ориентированы на протокол IP. Если IPSec, по существу, разграничивает защищенные виртуальные каналы между разными парами взаимодействующих сторон, то протокол SOCKS 5 обеспечивает создание защищенных туннелей для каждого приложения и сеанса в отдельности. Аналогично протоколу IPSec и протоколам туннелирования канального уровня, виртуальные сети сеансового уровня можно использовать с другими типами виртуальных частных сетей, поскольку данные технологии не являются взаимоисключающими.

Следует отметить, что имеются протоколы для реализации защищенного взаимодействия и на прикладном уровне модели OSI. Эти протоколы, как правило, являются дополнениями к различным протоколам прикладного уровня. Например, протокол Secure НТТР (SHTTP) является дополнением: по функциям защиты к протоколу передачи гипертекста НТТР, а протокол Secure MIME (S/MIME) -- дополнением по защитным функциям к протоколу электронной почты MIME. Прикладные протоколы защиты информационного взаимодействия не относят к протоколам построения защищенных виртуальных сетей, так как они полностью зависят от используемых сервисов и приложений. Протоколы формирования защищенных виртуальных каналов прозрачны для прикладных протоколов защиты. Соответственно применение предложений, реализующих, например, SHTTP или S/MIME, наряду с криптографической защитой на более низком уровне, нисколько не уменьшает, а только увеличивает уровень безопасности.

1.2 Туннелирование на канальном уровне. Протокол PPTP

Протокол PPTP (Point-to-Point-Tunneling Protocol), разработанный Microsoft. При поддержке других компаний, представляет собой расширение протокола. PPP (Point-to-Point Protocol) для создания защищенных виртуальных каналов при доступе удаленных пользователей к локальным сетям через Internet. Он предусматривает создание криптозащищенного туннеля на канальном уровне модели OSI как в случае прямого соединения удаленного компьютера с публичной сетью, так и в случае подсоединения его к публичной сети по телефонной линии через провайдера.

Данный протокол был представлен в организацию Internet Engineering Task Force (IETF) в качестве претендента на стандартный протокол создания защищенного канала при доступе удаленных пользователей к локальным ceтям через публичные сети (в первую очередь через Internet). PPTP получил статус проекта стандарта Internet, однако, несмотря на широкое распространение, в качестве стандарта так и не был утвержден. Сейчас рабочая группа IETF рассматривает возможность принятия в качестве стандарта протокол L2TP (Layer 2 Tunneling Protocol), который объединяет лучшие стороны протокола PPTP и подобного протокола L2F (Layer 2 Forwarding), предложенного компанией Cisco Systems.

Для удаленного пользователя, подключенного через публичную IP-сеть к серверу удаленного доступа (Remote Access Service -- RAS) локальной сети, PPTP имитирует нахождение компьютера этого пользователя во внутренней сети посредством туннелирования пакетов сообщений. Данные через туннель переносятся с помощью стандартного протокола удаленного доступа PPP, который в протоколе PPTP используется не только для связи компьютера удаленного пользователя с RAS провайдера Internet, но и для взаимо действия сRAS локальной сети через туннель. Для передачи данных применяются Ip-пакеты, содержащие инкапсулированные PPP-пакеты. Инкапсулированные PPP-пакеты в свою очередь включают зашифрованные инкапсулированные исходные пакеты (IP, IPX или NetBEUI), предназначенные для взаимодействия между компьютером удаленного пользователя и локальной сетью. Пакеты, циркулирующие в рамках сессии PPTP, имеют следующую структуру:

* заголовок канального уровня, используемый внутри Internet, например, заголовок кадра Ethernet;

* заголовок IP;

* заголовок (ЖЕ (Generic Routing Encapsulation -- общий метод инкапсуляции для маршрутизации);

* исходный пакет PPP, включающий пакет IP, IPX или NetBEUI.

Для указания сведений о том, что внутри пакета IP находится инкапсулированный пакет PPP, используется стандартный для Internet заголовок протокола GRE ч.2, используемый при инкапсуляции различного типа.

Описанный способ инкапсуляции обеспечивает независимость от протоколов сетевого уровня модели OSI и позволяет осуществлять защищенный удаленный доступ через публичные IP-сети к любым локальным сетям (IP, IPX или NetBEUI).

Технология создания защищенного виртуального канала по протоколу PPTP предусматривает как аутентификацию удаленного пользователя, так и зашифрованную передачу данных.

Для аутентификации могут использоваться различные протоколы. В реализации PPTP, включенной в Windows 98/NT, поддерживаются протоколы аутентификации PAP (Password Authentication Protocol -- протокол распознавания пароля) и CHAP (Challenge-Handshaking Authentication Protocol-- протокол распознавания при рукопожатии). При использовании протокола PAP идентификаторы и пароли передаются по линии связи в незашифрованном виде. При использовании же протокола CHAP каждый пароль для передачи по линии связи шифруется на основе случайного числа, получен- ного от сервера. Такая технология обеспечивает также защиту от повторного использования злоумышленником перехваченных пакетов с зашифрованным паролем.

Программное обеспечение удаленного доступа, реализующее PPTP, может использовать любой стандарт криптографического закрытия передаваемых данных. Например, сервер удаленного доступа Windows NT использует стандарт RC4 и в зависимости от версии 40 или 128-разрядные сеансовые ключи, которые генерируются на основе пароля пользователя.

В протоколе PPTP определено три схемы его применения: одна схема для случая прямого соединения компьютера удаленного пользователя с Internet и две для случая подсоединения удаленного компьютера к Internet по телефонной линии через провайдера.

При прямом соединении компьютера удаленного пользователя с сетью Internet (рис. 1.4), например, при доступе из локальной сети, напрямую подключенной к Internet, пользователь устанавливает удаленное соединение с помощью клиентской части сервиса удаленного доступа. Он обращается к серверу удаленного доступа локальной сети, указывая его IP-адрес, и устанавливает с ним связь по протоколу PPTP. Функции сервера удаленного доступа может выполнять и пограничный маршрутизатор локальной сети. Протокол PPTP определяет некоторое количество служебных сообщений, которыми обмениваются взаимодействующие стороны. Служебные сообщения передаются по протоколу TCP. После успешной аутентификации начинается процесс защищенного информационного обмена.

Рис. 1.4. Схема туннелирования при прямом соединении удаленного компьютера с Internet

В этом варианте на компьютере удаленного пользователя должны быть установлены клиент RAS и драйвер PPTP, которые входят в состав Windows 98/NT, а на сервере удаленного доступа локальной сети -- сервер RAS и драйвер PPTP, входящие в состав Windows NT Server. Внутренние серверы локальной сети не должны поддерживать протокол PPTP, так как пограничный маршрутизатор извлекает кадры PPP из пакетов IP и посылает их по сети в необходимом формате -- IP, IPX или NetBIOS.

Для случая подсоединения удаленного компьютера к Internet по телефонной линии через провайдера предусмотрено две схемы (рис. 1.5).

Первая схема рассчитана на поддержание защищенного канала между сервером удаленного доступа провайдера Internet и пограничным маршрутизатором локальной сети (рис. 1.5). В этом варианте компьютер удаленного пользователя не должен поддерживать протокол PPTP. Он связывается с сервером удаленного доступа провайдера с помощью стандартного протокола PPP и проходит аутентификацию у провайдера. Сервер удаленного доступа (RAS) провайдера должен поддерживать протокол PPTP. По имени пользователя RASпровайдера находит в базе учетных данных пользователей IP-адрес маршрутизатора, являющегося пограничным маршрутизатором и сервером удаленного доступа локальной сети данного пользователя. С этим маршрутизатором RAS ISP устанавливает сессию по протоколуPPTP.

RAS провайдера передает серверу удаленного доступа локальной сети идентификатор пользователя и другие данные, на основе которых этот сервер, снова аутентифицирует пользователя по протоколу CHAP. Если пользователь прошел эту аутентификацию, которая для него является прозрачной, то RAS провайдера посылает ему сообщение об этом по протоколу PPP и далее формируется защищенный виртуальный канал между серверами удаленного,. доступа провайдера и локальной сети. Компьютер удаленного пользователя посыпает пакеты взаимодействия с локальной сетью (IP, IPX или NetBIOS) к серверу удаленного доступа (RAS) провайдера, упаковывая их в кадры PPP. RAS провайдера осуществляет инкапсуляцию кадров PPP в пакеты IP, указывая в качестве адреса назначения адрес пограничного маршрутизатора локальной сети, а в качестве адреса источника -- свой собственный IP- адрес. Пакеты PPP для следования между серверами удаленного доступа провайдера и локальной сети шифруются с помощью секретного ключа, в качестве которого используется значение хзш-функции от пароля пользователя, который хранится в базе учетных данных RAS провайдера для аутентификации по протоколу СТАР.

Рис. 1.5. Схема туннелирования при подсоединении удаленного компьютера к Internet по телефонной линии через провайдера

Описанная схема не находит широкого применения, так протокол PPTg реализован в основном в продуктах компании Microsoft -- в клиентской и серверной частях RAS Windows NT 4.0, а также в клиентской части RAS Windows 98. В качестве сервера удаленного доступа провайдеры чаще всего используют более мощные средства, чем RAS Windows NT. Кроме того, данная схема не обеспечивает высокой степени безопасности, так как между, компьютером удаленного пользователя и провайдером Internet данные передаются в незащищенном виде. Для случая подсоединения удаленного компьютера к Internet по телефонной линии через провайдера более широкое применение получила вторая схема (см. рис. 1.5), когда криптозащищенный туннель образуется между конечными точками взаимодействия.

Пользователь дважды устанавливает удаленное соединение с помощью клиентской части сервиса удаленного доступа, например, утилиты Dial-Up Networking из Windows 98/NT. В первый раз он звонит по модему на сервер удаленного доступа провайдера и устанавливает с ним связь по протоколу PPP, проходя аутентификацию одним из способов, поддерживаемых провайдером, по протоколам PAP, CТAP или с помощью терминального диалога.

После успешной аутентификации у провайдера, пользователь устанавливает соединение с сервером удаленного доступа локальной сети, указывая его IP- адрес. Далее устанавливается сессия по протоколу PPTP между удаленным компьютером и RAS локальной сети. Сервер удаленного доступа локальной сети проверяет подлинность пользователя на основе своей базы учетных данных. В случае успешной аутентификации начинается процесс защищенного информационного обмена. Для сокращения ручного труда Microsoft предлагает пользоваться возможностями языка написания сценариев (языка скриптов) в RAS Windows 98/NT.

Для взаимодействия между пограничными устройствами криптозащищенного туннеля в протоколе PPTP предусмотрены управляющие сообщения, предназначенные для установки, поддержки и разрыва туннеля. Обмен управляющими сообщениями выполняется поTCP-соединению, устанавливаемому между клиентом и сервером PPTP. Пакеты, передаваемые через это соединение, помимо заголовка канального уровня, содержат заголовок протокола IP, заголовок протокола TCP и управляющее сообщение PPTP в области данных пакета. Если компьютер удаленного пользователя не имеет поддержки PPTP, что характерно для схемы создания защищенного канала между сервером удаленного доступа провайдера Internet и пограничным маршрутизатором локальной сети, то в процессе обмена управляющими со- общениями этот компьютер не участвует. Функции клиента PPTP в данном случае возложены на сервер удаленного доступа провайдера Internet.

При обмене управляющими сообщениями PPTP используется логический . порт протокола TCP с номером 1723, а при передаче инкапсулированных пакетов PPP в заголовке IP устанавливается идентификатор протокола, равный 47. Эти соглашения позволяют использовать технологию PPTP совместно с межсетевыми экранами. Для повышения безопасности следует с помощью межсетевого экрана локальной сети блокировать любой трафик, отличный от трафика PPTP.

1.3 Защита виртуальных каналов на сетевом уровне

1.3.1 Архитектура средств безопасности IPSec

Формирование защищенных туннелей на канальном уровне модели OSI обеспечивает независимость от протоколов сетевого уровня, но приводит к; сложности конфигурирования и поддержки виртуальных каналов связи, Кроме того, при защите информационного обмена на канальном уровне уменьшается набор реализуемых функций безопасности, а также усложняется управление криптографическими ключами. Оптимальное соотношению междупрозрачностью и качеством защиты достигается при формировании защищенных виртуальных каналов на сетевом уровне модели OSI. Размещение средств защиты на этом уровне делает их прозрачными для приложений, так как между сетевым уровнем и приложением всегда будет функционировать реализация протокола транспортного уровня. Переписывать приложения при этом не придется. Вместе с тем на сетевом уровне появляется возможность достаточно полной реализации функций защиты трафика и управления ключами, так как именно на сетевом уровне выполняется маршрутизация пакетов сообщений.

Стандартные способы защиты информационного обмена на сетевом уровне модели OSI для IP-сети, являющейся основным видом публичных сетей, определяются протоколом IPSec (Internet Protocol Security). Данный протокол входит в состав новой версии протоколаIP (IPv6) и применим также к его текущей версии (IPv4). Для протокола IPv4 поддержка IPsec является желательной, а для IPv6 -- обязательной. IPsec обеспечивает аутентификацию источника данных, криптографическое закрытие передаваемых пакетов сообщений, проверку их целостности и подлинности после приема, защиту от навязывания повторных сообщений, а также частичную защиту от анализа трафика. Стандартизованными функциями IPSec-защиты могут и должны пользоваться протоколы более высоких уровней, в частности, управляющие протоколы, протоколы конфигурирования, а также протоколы маршрутизации.

В соответствии с протоколом IPSec архитектура средств безопасности информационного обмена разделяется на три уровня (рис. 1.6).



Рис. 1.6. Архитектура средств безопасности IPSec

На верхнем уровне расположены следующие протоколы:

* протокол согласования параметров виртуального канала и управления ключами (Internet Security Association Key Management Protocol- ISAKMP), обеспечивающий общее управление защищенным виртуальным соединением, включая согласование используемых алгоритмов криптозащиты, а также генерацию и распределение ключевой информации;

* протокол аутентифицирующего заголовка (Authentication Header -- АН), предусматривающий аутентификацию источника данных, проверку их целостности и подлинности после приема, а также защиту от навязывания повторных сообщений;

* протокол инкапсулирующей защиты содержимого (Encapsulating Security Payload -- ESP), обеспечивающий криптографическое закрытие передаваемых пакетов сообщений и предусматривающий также выполнение всех функций протокола аутентифицирующего заголовка (АН).

Использование в IPSec двух различных протоколов защиты виртуального канала (AH и ESP) обусловлено практикой, применяемой во многих странах на ограничение экспорта и/или импорта криптосредств. Каждый из этих протоколов может использоваться как самостоятельно, так и одновременно с другим. Протоколы ESP и АН зарегистрированы организацией IANA (Internet Address Naming Authority) и занесены в реестр протоколов под порядковыми номерами 50 и 51 соответственно.

Алгоритмы аутентификации и шифрования, используемые в протоколах аутентифицирующего заголовка (АН) и инкапсулирующей защиты содержимого (ESP), образуют средний уровень архитектуры IPSec. К этому уровню 1 относятся также алгоритмы согласования параметров и управления ключами, применяемые в протоколе ISAKMP. Протоколы защиты виртуального. канала верхнего уровня архитектуры IPSec (АН и ESP) не зависят от конкретных криптографических алгоритмов. Могут использоваться любые методы аутентификации, типы ключей (симметричные или несимметричные), алгоритмы шифрования и распределения ключей. Например, в каждой стране могут применяться свои алгоритмы, соответствующие национальным стандартам.

Алгоритмическая независимость протоколов АН и ESP требует предварительного согласования набора применяемых алгоритмов и их параметров, поддерживаемых взаимодействующими сторонами. Эту функцию и предусматривает протокол ISAKMP, в соответствии с которым при формировании защищенного виртуального канала взаимодействующие стороны должны вы работать общий контекст безопасности (Security Association -- ЗА) и только затем использовать элементы этого контекста, такие как алгоритмы и ключи. Роль фундамента в архитектуре IPSec выполняет так называемый домен интерпретации (Domain of Interpretation, DOI), являющийся по сути базой: данных, хранящей сведения об используемых в IPSec протоколах и алгоритмах, их параметрах, протокольных идентификаторах и т. д. Архитектура IPSec является полностью открытой. В IPSec могут использоваться протоколы и алгоритмы, которые изначально не разрабатывались для этой архитектуры. Поэтому возникла необходимость в так называемом домене интерпретации (DOI), который обеспечивал бы совместную работу всех включаемых протоколов и алгоритмов. Для того чтобы в качестве алгоритмов аутентификации и шифрования в протоколах аутентифицирующего заголовка (АН) и инкапсулирующей защиты содержимого (ESP) можно было использовать алгоритмы, соответствующие национальным стандартам, необходимо, как минимум, зарегистрировать эти алгоритмы в домене интерпретации.

В настоящий момент для протоколов АН и ESP зарегистрировано два aлгoритма аутентификации -- НМАС-MD5 (Hashed Message Authentication Code -- Message Digest version 5) и НМАС-SHA1 (Hashed Message Authentication Code -- Secure Hash Algorithm version 1). Данные алгоритмы являются алгоритмами аутентификации с секретным ключом. Если секретный ключ известен только передающей и принимающей сторонам, это обеспечит аутентификацию источника данных, а также целостность пакетов, пересылаемых между двумя сторонами. Для обеспечения совместимой работы оборудования и программного обеспечения на начальной стадии реализации протокола IPSec один из зарегистрированных алгоритмов аутентификации принято использовать по умолчанию. В качестве такого алгоритма определен алгоритм НМАС-MD5.

Для протокола ESP зарегистрировано семь алгоритмов шифрования. Алгоритм шифрования DES (Data Encryption Standard), как и алгоритм HMAC- MD5, принят по умолчанию и необходим для обеспечения IPSec- совместимости. В качестве альтернативы DES определены алгоритмы Triple DES, CAST-128, RC5, IDEA, Blowfish и ARCFour.

Протоколы аутентифицирующего заголовка (АН) и инкапсулирующей защиты содержимого (ESP) поддерживают работу в двух режимах:

* туннельном, при котором IP-пакеты защищаются целиком, включая их заголовки;

* транспортном, обеспечивающим полную защиту только содержимого

IP-пакетов. Основным режимом является туннельный. При работе в этом режиме каждый обычный IP-пакет помещается целиком в криптозащищенном виде в конверт IPSec, а тот, в свою очередь инкапсулируется в другой IP-пакет. Туннельный режим обычно реализуют на специально выделенных защитных шлюзах, в роли которых могут выступать маршрутизаторы или межсетевые экраны. Между такими шлюзами и формируются защищенные туннели IPSec. Перед передачей по такому туннелю исходные IP-пакеты передающей локальной сети инкапсулируются по протоколу IPSec в защищенные IP-пакеты. После передачи на другую сторону туннеля защищенные IP-пакеты "распаковываются" и полученные исходные IP-пакеты и передаются компьютерам приемной локальной сети по стандартным правилам. Туннелирование IP-пакетов полностью прозрачно для обычных компьютеров в локальных сетях, являющихся держателями туннелей. На оконечных системах туннельный режим может использоваться для поддержки удаленных и мобильных пользователей. В этом случае на компьютерах этих пользователей должно быть установлено программное обеспечение, реализующее туннельный режим IPSec.