28 Ноября 2012г.

//Продолжение…

Для контроля целостности последовательности сообщений (т.е. для защиты от кражи, дублирования и переупорядочивания сообщений) применяют временные штампы и нумерацию элементов последовательности. При этом штампы и номера включают подписываемый текст.

Тема: «Цифровые сертификаты».

При использовании ассиметричных методов шифрования и в частности ЭЦП, необходимо иметь гарантию подлинности пары (имя пользователя-открытый ключ пользователя). Для решения этой задачи в спецификациях Х.509 вводятся понятия цифрового сертификата и удостоверяющего центра. Удостоверяющий центр — компонент, глобальной сети каталогов, отвечающий за управление криптографическими ключами пользователей. Открытые ключи и другая информация о пользователях, хранится удостоверяющими центрами в виде цифровых сертификатов, имеющих следующую структуру:

1. порядковый номер сертификата

2. идентификатор алгоритма ЭЦП

3. имя удостоверяющего центра

4. срок годности

5. имя владельца сертификата (имя пользователя, которому принадлежит сертификат)

6. открытые ключи владельца (их м.б. несколько)

7. идентификаторы алгоритмов, ассоциированных с открытыми ключами владельца сертификата

8. ЭЦП, сгенерированная с использованием секретного ключа удостоверяющего центра (подписывается результат хеширования всей информации, хранящейся в сертификате).

Цифровые сертификаты обладают следующими свойствами:

1. любой пользователь, знающий открытый ключ удостоверяющего центра может узнать открытые елючи других пользователей, и проверить целостность сертификата.

2. никто кроме удостоверяющего центра не может модифицировать информацию о пользователе без нарушения целостности сертификата.

В спецификации Х.509 не описывается конкретная процедура генерации криптографических ключей и управления ими, однако даются некоторые общие рекомендации. В частности, оговаривается, что пары ключей могут порождаться одним из следующих способов:

1. Ключи может генерировать сам пользователь. В таеом случае секретный ключ не попадает в руки третьих лиц, однако нужно решать задачу безопасной связи с удостоверяющим центром.

2. Ключи генерирует доверенное лицо. В таком случае приходится решать задачу безопасной доставки секретного ключа владельцу.

3. Ключи генерируются удостоверяющим центром. В таком случае остается только задача безопасной передачи ключей владельцу.

Цифровые сертификаты в формате спецификации Х.509 стали не столько формальным, но и фактически стандартом.

Тема: «Экранирование».

Формальная постановка задачи экранирования состоит в следующем: пусть имеется два множества информационных систем: экран — средство разграничения доступа клиентов из одного множества к серверам из другого множества.

Экран осуществляет свои функции контролируя все информационные потоки между двумя множествами информационных систем. Контроль потоков состоит в фильтрации этих потоков, с выполнением некоторых преобразований. На следующем уровне детализации экран удобно представлять как последовательность фильтров. Каждый из фильтров, проанализировав данные может задержать, не пропустить, а может и сразу перебросить через экран. Кроме того допускается преобразование данных, передача порции данных на следующий фильтр..., возврат результата отправителю. Помимо функций разграничения доступа экраны осуществляют протоколирование обмена информации. Обычно экран не является симметричным. Для него определены понятия «внутри» и «снаружи». При этом задача экранирования формулируется как задача защиты внутренней области от потенциально враждебной внешней. Так, межсетевые экраны чаще всего устанавливают для защиты корпоративной сети организации. Экранирование помогает поддерживать доступность сервисов внутренней области, уменьшая нагрузку, вызванную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, т.к. первоначально злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно. Кроме того, экранирующие системы в отличии от универсальной, может быть устроена более простым, а следовательно более безопасным образом. Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности информационной системы.

Экранирование может использоваться как сервис безопасности не только в сетевой, но и в любой другой среде, где происходит обмен сообщениями. Важнейший пример подобной среды — объектно-ориентированные программные системы, когда для активизации методов обДъектов выполняется передача сообщений. Экранирование может быть частичным, защищающим определенные информационные сервисы. Ограничивающий интерфейс также можно рассматривать как разновидность экранирования. На невидимый объект трудно нападать. В этом смысле, вэб-интерфейс обладает естественной защитой.

Архитектурные аспекты экранирования.

Бороться с угрозами, присущими сетевой среде средствами универсальных операционных систем, не представляется возможным. Современные технологии программирования не позволяют сделать столь большие программы безопасным. Кроме того администратор, имеющий дело со сложной системой далеко не всегда в состоянии учесть все последствия производимых изменений. В универсальной многопользовательской системе бреши безопасности постоянно создаются самими пользователями. Единственный перспективный путь связан с разработкой специализированных сервисов безопасности, которые в силу своей простоты допускают формальную или неформальную верификацию. Межсетевой экран как раз и является таким средством, допускающим дальнейшую декомпозицию, связанную с обслуживанием различных сетевых протоколов. Межсетевой экран размещается между внутренней, защищаемой сетью, и внешней средой (сетями). В первом случае говорят о внешнем межсетевом экране, а во втором о внутреннем. В зависимости от точки зрения, внешний межсетевой экран можно считать первой, или последней (но не единственной) линией обороны. Первой, если смотреть на мир глазами внешнего злоумышленника. Последней, если стремится к защищенности всех компонентов корпоративной сети и пресечению неправомерных действий пользователей.

Межсетевой экран - идеальное средство для встаривания средств активного аудита. С одной стороны, и на первом, и на последнем защитном рубеже выявление подозрительной активности по своему важно. С другой стороны, он способен реализовать сколь угодно мощную реакцию на подозрительную активность вплоть до разрыва с внешней средой в необходимых случаях. Нужно отдавать себе отчет в том, что соединение двух сервисов безопасности может создавать брешь, способствующую атакам на доступность. На межсетевые экраны целесообразно возложить идентификацию и аутентификацию внешних пользователей, нуждающихся в доступе к корпоративным ресурсам (с поддержкой концепции единого входа в сеть). В силу принципов эшелонированности обороны для защиты внешних подключений применяется двухкомпонентное экранирование. Покажем схематично.

Первичная фильрация (например, блокирование пакетов управляющего протокола или с определенными адресами из "черного списка") осуществляется граничным маршрутизатором, за которым располагается ДМЗ (сеть с умеренным доверием безопасности, куда выносятся внешние ИС организации). Далее следуетс основной межсетевой экран, защищающий внутреннюю часть корпоративной сети. Теоретически, межсетевой экран, особенно внутренний, должен быть многопротокольным. Но на практике доминирование TCP/IP (чем сложнее сервис, тем он более уязвим). Вообще говоря, экраны могут стать узким местом, поскольку объем сетевого трафика имеет тенденцию быстрого роста. Один из подходов к решению этой проблемы предполагает разбиение межсетевого экрана на несколько аппаратных частей и организацию специализированных серверов-посредников. Основной межсетевой экран может проводить грубую классификацию уходящего трафика по видам и передоверять фильтрацию соответствующим посредникам. Исходящий трафик также сначала обрабатывается сервером посредником, который может выполнять и фунционально полезные действия, такие как кэширование внешних вэб-серверов, что снижает нагрузку на сеть вообще и основной межсетевой экран в частности. Ситуации, когда корпоративная сеть содержит лишь один внешний канал, является скорее исключением, чем правилом. Напротив, типична ситуация, при который корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждая из которых подключена к Интернету. В этом случае каждое подключение должно защищаться своим экраном, точнее говоря, можно считать, что корпоративный внешний межсетевой экран является составным и требуется решить задачу согласованного администрирования всех компонентов.

Противоположностью составным корпоративным межсетевым экранам является персональные межсетевые экраны и персональные экранирующие устройства. Первые - программные продукты для установки на ПК и защищают только их. Вторые реализуются на отдельных устройствах и защищают небольшую локальную сеть.

При развертывании межсетевых экранов следует соблюдать рассмотренные принципы архитектурной безопасности. В первую очередь следует позаботиться о простоте и управляемости, эшелонированности обороны, а также невозможности перехода в небезопасное состояние.