12.4.1 Принцип работы

Когда SSL-совместимый браузер (Netscape Navigator, Microsoft Internet Explorer) и Web-сервер (Apache, Microsoft Internet Information Server) устанавливают между собой связь, они удостоверяют подлинность друг друга с помощью цифровых сертификатов. Цифровые сертификаты выдаются доверенными независимыми органами и используются для формирования открытых ключей.

По окончании процедуры первичной аутентификации браузер посылает серверу секретный код длиной 48 байт (это «главный секрет»), зашифрованный с помощью открытого ключа сервера. Web-сервер расшифровывает переданный ему секретный код, используя свой закрытый ключ.

Затем генерируется набор симметричных ключей, которые применяются браузером и сервером для шифрования и дешифрования данных во время сеанса. Алгоритмы шифрования можно явным образом настраивать или согласовывать для каждого сеанса; наиболее употребительные стандарты шифрования — Data Encryption Standard и RC4.

По завершении описанного начального процесса в сети устанавливается безопасный туннель, после чего можно приступать к передаче конфиденциальных данных.

Описанные процедуры первичной аутентификации и генерации ключей прозрачны для пользователей, но отнюдь не прозрачны для Web-серверов. Начальный процесс должен выполняться для каждого пользовательского сеанса, а это тяжелым бременем ложится на ресурсы центрального процессора сервера и приводит к серьезным перегрузкам. По данным компании Meta Group, при установленных защищенных сеансах SSL стандартный Web-сервер способен обработать лишь от 1 до 10% своей обычной нормы обращений.

Снижение производительности при обработке SSL влечет за собой ряд малоприятных последствий:

• транзакции электронной коммерции проводятся медленнее, поэтому повышается вероятность того, что клиент аннулирует заказ и обратится на сайт конкурента;

• для того чтобы полностью справиться с нагрузкой, приходится устанавливать дополнительные Web-серверы;

• информация, нуждающаяся в защите, оказывается незащищенной, что увеличивает риск;

• для передачи секретной информации приходится использовать более дорогие схемы организации частных сетей.

Таким образом, компаниям следует тщательно выбрать, для каких из Web-страниц организовывать такую защиту.

Для решения проблем быстродействия, вызываемых интенсивным потреблением процессорных ресурсов протоколом SSL, была предложена концепция специализированных устройств — SSL-ускорителей. Это особые компоненты сетевой инфраструктуры, предназначенные для выполнения функции SSL, при этом не обременяя Web-сервер. Благодаря оптимизации аппаратного и программного обеспечения специализированный ускоритель SSL может обслуживать в 10–40 раз больше сеансов SSL, чем стандартный Web-сервер. К тому же ускорители SSL позволяют высвободить ресурсы сервера для более рациональной обработки логики приложений и выполнения операций просмотра баз данных, тем самым ускоряя работу всего сервера.

Интегрировать SSL-ускоритель в сеть довольно просто. Коммутатор, с функцией балансировки нагрузки настраивается на переадресацию запросов к порту 443 (HTTPS) в ускоритель. После этого ускоритель берет на себя все обязанности по обработке SSL, и нагрузка на Web-серверы тут же падает. По мере роста объемов безопасного трафика можно развертывать дополнительные устройства ускорения обработки SSL — для администратора это не составит особого труда.

Недавно было предложено интегрировать функции SSL-ускорителей в устройства кэширования информационного наполнения Web, ускоряющие доставку Web-страниц. Главное преимущество такого подхода в том, что подобный кэширующий сервер выполняет и обработку SSL, и доставку объектов информационного наполнения.

Предположим, что пользователь обратился к Web-странице, содержащей 30 встроенных объектов. Серверный ускоритель с интегрированной поддержкой SSL выполнит начальную подготовку сеанса, установит безопасный туннель и передаст клиенту все объекты. Перед Web-серверами ставится только задача получить динамические элементы данных, например, стоимость портфеля ценных бумаг или медицинские записи. В итоге пользователь получает страницу в несколько раз быстрее, чем обычно.

Серверный ускоритель с поддержкой SSL дает возможность широко использовать протокол SSL для безопасного обмена информацией в инфраструктуре Web. В итоге посетителям Web-сайтов гарантируется быстрая доставка защищенных страниц и быстрое выполнение защищенных транзакций.

SSL защищает данные при их передаче от точки к точке, чаще всего между Web-браузером и Web-сервером. Как только данные появляются в пункте назначения, за их безопасность SSL больше не отвечает.

13. Безопасность в Windows 2000

Как известно, надежность цепи определяется самым слабым ее звеном. Если говорить о системе безопасности организации, здесь самым слабым звеном является элементарное незнание принципов защиты Windows NT. Даже если произошел переход на платформу Windows 2000, все равно — знание основ системы безопасности NT послужит неоценимым подспорьем для работы с Windows 2000.

Многие ошибочно полагают, что система безопасности NT является централизованной и что основной контроллер домена (PDC) целиком и полностью контролирует безопасность домена. Но, к сожалению, система безопасности NT — децентрализованная. Она представляет собой сложную комбинацию тесно связанных между собой «зон ответственности», таких, как политика учетных записей, права пользователей, политики аудита, списки контроля доступа, административные полномочия и системные службы. Причем все еще больше усложняется при работе в домене и при установлении доверительных отношений. Хотя политика безопасности на уровне домена влияет на каждую систему, входящую в состав домена, тем не менее рабочие станции NT и серверы, не являющиеся контроллерами домена (DC), функционируют как вполне самостоятельные единицы со своими настройками безопасности. И более того, можно говорить об управлении локальной безопасностью на нескольких уровнях (системном и объектном).

Чтобы сконфигурировать систему безопасности домена, нужно ясно понимать алгоритм взаимовлияния политики безопасности на уровне домена и локальной системы безопасности рабочей станции. Кроме того, необходимо знать, как работает система безопасности на каждом уровне.