7.2. Стандартные механизмы обеспечения безопасности

 

Стандартными механизмами обеспечения безопасности сетевых  систем являются: протокол Kerberos, протокол IPSec, инфраструктура открытого ключа PKI.

Инфраструктура – это набор совместно используемых служб и компонентов. Она применяется для построения безопасной среды, позволяющей надежно обмениваться сообщениями электронной почти через Интернет и Интранет, защитить Web-узел и проходящие через него транзакции, расширить возможности шифрующей файловой системы, развернуть систему для работы со смарт-картами и т.п.

 

Протокол Kerberos

Протокол Kerberos базируется на системе билетов, которые представляют собой пакеты зашифрованные данных, выдаваемые центром распространения ключей KDC (Key Distribution Center). Билет выступает в роли «паспорта», вместе с которым передается масса секретной информации. Каждый центр распространения ключей KDC отвечает за определенную сферу (realm); в среде Windows 2000/XP отдельной сферой является каждый домен. Кроме того, каждый контроллер домена Active Directory является центром распространения ключей KDC.                       

Когда вы входите в Windows 2000/XP, локальные средства защиты LSA (Local Security Authority) проводят проверку подлинности, предоставляя вам билет TGT (Ticket Granting Ticket – билет для получения билета), выступающий в качестве пропуска. Затем, когда вам потребуется доступ к определенным ресурсам сети, вы представите свой билет TGT контроллеру домена и запросите билет для получения доступа к ресурсу.

Билет на доступ к определенному ресурсу также известен как билет службы ST (Service Ticket). Когда вам необходимо получить доступ к ресурсу, ваш билет службы предоставляется ресурсу. После этого вам предоставляется доступ к ресурсу, а ваши права определяются списком контроля доступа ACL для этого ресурса.

Протокол Kerberos – это очень быстрый протокол и идеальная среда для реализации инициативы Single SignOn (разовый вход в систему) для проведения проверки подлинности. Механизм Single SignOn поддерживается такими приложениями, как SQL Server 2000 и Exchange 2000, а также доверительными отношениями между областями, реализуемыми другими операционными системами и Windows 2000/XP.

 

Протокол IPSec

Протокол IPSec (Internet Protocol Security) представляет собой механизм защиты IP-сетей, реализованный в Windows 2000/XP для зашиты сетевого трафика. IPSec использует криптографические службы безопасности для обеспечения целостности, подлинности и конфиденциальности данных, а также защиты от повторений для трафика TCP/IP. Управление IPSec осуществляется посредством политики IPSec, для настройки и назначения которой используется инструмент «Управление политикой безопасности IP».

Шифрование часто называют сквозным (end-to-end), что означает, что данные остаются зашифрованными до тех пор, пока не достигнут другого компьютера, только на котором они и могут быть расшифрованы. Протокол IPSec также поддерживает и шифрование с использованием открытого ключа; генерация ключа происходит на обоих концах соединения, что избавляет от необходимости его передачи по сети.

 

Защита локальной рабочей станции

Для обеспечения безопасности компьютера необходимо организовать защиту отдельных файлов и папок и принять меры к физической защите самого компьютера. Если на компьютере имеются конфиденциальные сведения, они должны храниться в безопасном месте.

Другими способами защиты компьютера являются его блокировка на время отсутствия пользователя на рабочем месте и настройка экранной заставки, защищенной паролем. Нажав одновременно клавиши CTRL, ALT и DEL, а затем кнопку Блокировка, можно предотвратить несанкционированный доступ пользователей к компьютеру. Разблокировать его сможет только владелец и члены группы администраторов компьютера. (Для разблокирования компьютера нужно нажать одновременно клавиши CTRL, ALT и DEL, ввести пароль, а затем нажать кнопку ОК.)

Можно также настроить заставку таким образом, чтобы она открывалась и автоматически блокировала компьютер после того, как он простаивал в течение определенного времени.

Чтобы защитить файл с помощью пароля экранной заставки необходимо:

1. На панели управления откройте компонент «Экран» (нажмите кнопку Пуск, выберите команды Настройка и Панель управления, затем дважды щелкните значок Экран).

2. На вкладке Заставка в списке Заставка выберите нужную экранную заставку.

3. Установите флажок Защита паролем. Если включено быстрое переключение пользователей, установите флажок При продолжении открыть окно приветствия.

Если установить флажок Защита паролем, то при активизации экранной заставки компьютер будет блокироваться. Чтобы разблокировать компьютер и продолжить работу, необходимо будет ввести пароль. Пароль заставки совпадает с паролем пользователя, вошедшего в систему на данном компьютере. Если при входе в систему пароль не использовался, пароль заставки установить нельзя.