2. Защита данных

Безопасность и целостность данных начинаются с определения подлинности (процесс проверки регистрационных сведений, предоставленных пользователем. Имя пользователя и пароль проверяются по списку пользователей, которым разрешен доступ в систему. Если данные обнаружены, пользователю предоставляется доступ, определяемый набором соответствующих разрешений. При входе пользователя в компьютер, на котором выполняется Windows 2000 Professional, проверка подлинности осуществляется этой рабочей станцией. Если пользователь входит в домен на компьютере, на котором выполняется Windows 2000 Server, проверка подлинности может быть выполнена любым сервером в этом домене) сети. Пользователь может войти в сеть и получить разрешение на доступ к данным с подходящими учетными данными (либо с надежным паролем, либо с открытым ключом).

В Windows 2000 поддерживаются защита двух типов данных — сохраненных и сетевых.

Защита сохраненных данных

Средства защиты сохраненных (оперативных и автономных) данных приведены ниже.

Шифрованная файловая система (EFS). EFS использует шифрование открытого ключа для шифрования локальных данных NTFS.

Цифровые подписи. Компоненты программного обеспечения подписываются цифровыми подписями для подтверждения их срока действия.

Доступ к файлам, безопасность которых требуется обеспечить, может быть ограничен через использование прав пользователей и разрешений. Однако, если злоумышленник получит доступ к диску пользователя, он может извлечь диск, установить его на другую систему, а затем при помощи привилегий администратора получить доступ к данным на диске. Чтобы этого избежать, в Windows 2000 используется наиболее надежный способ защиты, шифрование данных. Шифрование данных в Windows 2000 прозрачно, благодаря такой возможности, как шифрованная файловая система (EFS).

Шифрованная файловая система (EFS) позволяет пользователям безопасно хранить данные на локальных компьютерах. EFS делает это возможным, благодаря шифрованию данных в выбранных файлах и папках NTFS.

Поскольку EFS интегрирована в файловую систему, ею легко управлять, она надежна и прозрачна для пользователя. Это особенно удобно для защиты данных на компьютерах, которые могут оказаться уязвимыми для кражи, таких как переносные компьютеры.

Файлы и папки на томах с файловой системой FAT не могут быть зашифрованы или расшифрованы. EFS также разработана для безопасного хранения данных на локальных компьютерах. Шифрованная файловая система не поддерживает общий доступ к зашифрованным данным.

Ключи шифрования EFS

Пользователю достаточно один раз задать шифрование файла, и фактический процесс шифрования и расшифровки данных будет для него полностью прозрачным. Пользователям не обязательно понимать весь процесс. Однако следующее объяснение шифрования и расшифровки данных может оказаться полезным для администраторов.

Это объяснение касается только файлов, но не папок. Сами по себе папки не шифруются, шифруется только содержимое файлов в папке. Как и папки, подкаталоги не шифруются; однако они выделяются, чтобы указать, что в них содержатся зашифрованные данные в файлах.

Шифрование файлов происходит следующим образом.

Каждый файл имеет уникальный ключ шифрования файла, который позже используется для расшифровки данных файла.

Ключ шифрования файла сам по себе зашифрован — он защищен открытым ключом пользователя, соответствующим сертификату EFS.

Ключ шифрования файла также защищен открытым ключом прошедшего проверку агента восстановления.

Расшифровка файлов происходит следующим образом.

Для расшифровки файла необходимо сначала расшифровать его ключ шифрования. Ключ шифрования файла расшифровывается, если закрытый ключ пользователя совпадает с открытым.

Не только пользователь может расшифровать ключ шифрования файла. Это также может сделать агент восстановления с помощью своего закрытого ключа.

После расшифровки ключ шифрования файла может быть использован либо пользователем, либо агентом восстановления для расшифровки данных в файле.

Закрытые ключи содержатся в защищенном хранилище ключей, а не в диспетчере учетных записей безопасности (SAM) или в отдельном каталоге.

Кроме защиты данных пользователей от порчи или кражи, в Windows 2000 также поддерживается цифровая подпись, защищающая пользователей от небезопасных компонентов программ.

Цифровая подпись является способом, гарантирующим целостность и происхождение данных. Цифровая подпись обеспечивает убедительные доказательства, что данные не были изменены после подписания, и подтверждает подлинность пользователя или элемента, подписавшего данные. Это создает такие возможности системы безопасности, как целостность и неотрекаемость, которые важны для безопасных электронных торговых операций.

Цифровые подписи обычно используют при распространении данных в виде скрытого текста или в незашифрованной форме. В этих случаях, хотя уязвимость сообщения не является основанием для шифрования, могут быть важные причины гарантировать, что данные находятся в исходном виде и не были отправлены самозванцем. Это связано с тем, что в распределенных вычислительных средах незашифрованный текст может быть прочитан и изменен любым лицом с соответствующим доступом (санкционированным или нет).

Защита сетевых данных

Сетевые данные внутри сайта (локальной сети и подсетей) защищены протоколом проверки подлинности. Для установки дополнительных уровней защиты можно также выбрать шифрование сетевых данных внутри сайта. IPSEC позволяет шифровать все сетевые подключения для конкретных клиентов или для всех клиентов в домене. Безопасность IP (IPSEC) — это:

долгосрочное направление в области сетевой безопасности;

активная защита от атак из частной сети и Интернета при сохранении простоты использования;

набор служб защиты на основе криптографии, а также протоколов безопасности;

безопасность связи между узлами; об использовании IPSEC должны знать только два компьютера — отправляющая и принимающая стороны связи;

возможность защиты связей между рабочими группами, компьютерами локальной сети, клиентами и серверами домена, удаленными дочерними подразделениями организации, внешними сетями, мобильными клиентами и удаленными администраторами компьютеров.

Реализация IPSEC в Windows 2000 основана на промышленных стандартах, разрабатываемых рабочей группой IETF (Internet Engineering Task Force).

Ниже приведены служебные программы защиты входящих и выходящих (через интрасети, внешние сети или шлюз Интернета) сетевых данных сайта.

Безопасность протокола IP. Шифрование всех подключений TCP/IP для клиента.

Маршрутизация и удаленный доступ. Настройка маршрутизации и удаленного доступа.

Прокси-сервер. Защита сайта с помощью брандмауэра и прокси-сервера.

Кроме того, такие программы, как Microsoft Exchange, Microsoft Outlook и Microsoft Internet Explorer, производят шифрование с использованием открытого ключа сообщений и операций внутри сайта или в сетях.

Принцип работы IPSEC

Для наглядности в данном примере рассматривается использование IPSEC для компьютеров одного домена. Мария, работающая с приложением на компьютере A, отправляет сообщение Ивану.

Драйвер IPSEC на компьютере A проверяет список фильтров IP в активной политике на наличие совпадающего адреса или типа трафика исходящих пакетов.

Драйвер IPSEC предоставляет ISAKMP сведения для начала согласования безопасности с компьютером B.

Служба ISAKMP на компьютере B получает запрос для согласования безопасности.

Два компьютера выполняют обмен ключами, устанавливают соответствие безопасности ISAKMP и создают общий секретный ключ.

Два компьютера согласовывают уровень безопасности для передачи данных, устанавливая пару соответствий безопасности IPSEC и ключей для защиты пакетов IP.

Используя сопоставление безопасности IPSEC для исходящего трафика и ключ, драйвер IPSEC на компьютере A подписывает пакеты для проверки целостности и зашифровывает пакеты, если было согласовано шифрование.

Драйвер IPSEC на компьютере A отправляет пакеты на соответствующий тип подключения для передачи на компьютер B.

Компьютер B получает защищенные пакеты и передает их драйверу IPSEC.

Используя сопоставление безопасности IPSEC для входящего трафика и ключ, драйвер IPSEC на компьютере B проверяет подпись целостности и, при необходимости, расшифровывает пакеты.

Драйвер IPSEC на компьютере B передает расшифрованные пакеты драйверу TCP/IP, который передает их в принимающее приложение.

Для Марии и Ивана все эти процессы не видны. Стандартные маршрутизаторы и коммутаторы, передающие данные между сторонами подключения, не требуют использования IPSEC. Они автоматически пересылают зашифрованные пакеты IP в место назначения. Однако, если маршрутизатор функционирует как брандмауэр, шлюз безопасности или прокси-сервер, для прохождения безопасных пакетов IP необходимо включить специальную фильтрацию.

Общие сведения о маршрутизации

Служба маршрутизации и удаленного доступа, входящая в состав Microsoft Windows 2000 Server — это полнофункциональный программный маршрутизатор и открытая платформа для маршрутизации и объединения сетей. Она предлагает службы маршрутизации в локальных и глобальных сетевых средах, а также через Интернет с помощью безопасных виртуальных частных подключений. Служба маршрутизации и удаленного доступа объединяет функции раздельных служб маршрутизации и удаленного доступа Windows NT 4.0 и является расширением службы Routing and Remote Access Service (RRAS) Windows NT 4.0.

Одним из достоинств службы маршрутизации и удаленного доступа является ее интегрированность с операционной системой Windows 2000 Server. Служба маршрутизации и удаленного доступа предоставляет множество экономящих средства решений и работает со многими аппаратными платформами и с сотнями различных сетевых адаптеров. Служба маршрутизации и удаленного доступа расширяема с помощью интерфейсов программирования приложений (API), которые позволяют разработчикам создавать собственные сетевые решения для удовлетворения растущих потребностей открытых объединенных сетей.

Прокси-сервер

Такие приложения интрасетей, как веб-обозреватели, предоставляют больше возможностей, если локальная сеть подключена к Интернету, но установка такого ненастроенного подключения может угрожать безопасности локальной сети. Программа Microsoft Proxy Server помогает снизить возможность угрозы безопасности, управляя передачей данных между локальной сетью и Интернетом, повышая безопасность и эффективность приложений интрасети. Microsoft Proxy Server выполняет роль шлюза с безопасностью уровня брандмауэра между локальной сетью и Интернетом.

Прокси-сервер управляет трафиком между программами в одной сети и серверами в другой. Когда клиентская программа делает запрос, прокси-сервер преобразует его и передает в Интернет. После ответа компьютера в Интернете, прокси-сервера передает ответ в клиентскую программу на компьютер, с которого был сделан запрос. Прокси-сервер имеет два сетевых интерфейса: один подключен к локальной сети, а другой — к Интернету.

Основными возможностями безопасности прокси-сервера являются следующие.

Блокировка входящих подключений.

Клиенты в локальной сети могут создавать подключения к серверам в Интернете, но клиентам в Интернете не разрешается создавать подключения к серверам в локальной сети.

Ограничение исходящих подключений.

Клиенты локальной сети проходят проверку подлинности со своими стандартными учетными данными безопасности Windows NT. Прокси-сервер может ограничить исходящие подключения несколькими способами: по пользователю, протоколу, номеру порта TCP/IP, времени дня, имени конечного домена или по IP-адресу.

Поведение приложений будет различаться в зависимости от того, используется прокси-сервер или прямой доступ к сетевым ресурсам. Как правило, веб-обозреватели должны быть настроены заново, но дополнительного программного обеспечения не требуется.