Транспортные и мультисервисные системы и сети связи.-1

серверами удаленного доступа и маршрутизаторами, позволяющими создавать защищенные туннели на канальном уровне сетевой модели (модели OSI);

межсетевыми экранами, включающими в свой состав серверы удаленного доступа и позволяющими создавать VPN как на канальном и сетевом, так и на сеансовом уровнях; автономным программным обеспечением, позволяющим создавать защищенные виртуальные сети в основном на сетевом и сеансовом уровнях; отдельными, специализированными аппаратными средствами на основе специализированной

ОС реального времени, имеющими два или более сетевых интерфейса и аппаратную криптографическую поддержку и ориентированными на формирование защищенных туннелей на канальном и сетевом уровнях; комбинированными пограничными устройствами, которые включают в себя функции

маршрутизатора, межсетевого экрана, средства управления пропускной способностью и функции VPN.

Гарантируя защиту передаваемой информации, VPN не обеспечивает еѐ защиту во время хранения на конечных компьютерах. Эта задача решается целым рядом специальных средств: систем криптозащиты файлов и дисков; систем защиты от НСД к компьютерам; антивирусных систем; межсетевых экранов (МЭ).

Например, вопрос совместного использования МЭ и VPN возникает в случае защиты компьютерных сетей во всех вариантах, кроме VPN на базе МЭ. МЭ - это ―ограда‖ вокруг сети, которая препятствует проникновению сквозь неѐ злоумышленников, а VPN - ―бронированный автомобиль‖, который защищает ценности при вывозе их за пределы такой ограды.

Существуют несколько крайностей – устанавливать МЭ перед VPN-устройством и после него. В первом случае возникает ситуация, когда на МЭ из Интернета попадает нерасшифрованный трафик, что приводит к невозможности контроля передаваемого содержимого. В другом случае само устройство VPN становится уязвимым к внешним атакам. Идеальным решением, к которому пришло большинство зарубежных производителей, а также отечественные разработчики, является совмещение в одном устройстве функций МЭ и VPN. Именно такое использование обоих решений обеспечивает необходимый уровень защищенности информационных ресурсов.

Технология системы защиты информации VIPNet.

Для решения задачи – обеспечение защищенного взаимодействия непосредственно между компьютерами в большой распределенной сети в системе должны присутствовать как минимум 3 обязательных элемента.

ViPNet «Администратор» ViPNet «Координатор»

ViPNet «Клиент»

ViPNet «Администратор» и его основные модули.

Административная часть, в ПО ViPNet в целях повышения безопасности разделена на две части, отвечающие за разные аспекты еѐ функционирования. При этом ни та, ни другая части администрации по отдельности не могут оказать существенного влияния на функционирование сети, т.е. возможности несанкционированного доступа к информации абонентов тем или иным администратором сведены к минимуму.

ViPNet «Администратор» включает в себя программы: Центр Управления Сетью Ключевой и Удостоверяющий Центр

12

Центр Управления Сетью (ЦУС) является регистрационным центром и предназначен для конфигурации и управления виртуальной сетью.

ЦУС выполняет следующие функции: Централизованное управление сетью; Формирование структуры VPN; Формирование справочной информации; Управление ―логикой‖ работы VPN;

Централизованное обновление ПО и функционала компонентов VPN; Мониторинг событий VPN;

Мдаленное управление ресурсами VPN.

Второй модуль ViPNet «Администратора» Удостоверяющий и ключевой центр (УКЦ) предназначен для обеспечения ключевой информацией всех участников VPN и выполнения функций удостоверяющего центра. При этом ключи для первоначальной инсталляции могут быть записаны на дискеты, смарт-карты, touch memory, eToken и прочие аппаратные устройства для передачи участникам VPN. Последующее обновление ключевой информации осуществляется автоматически по защищенным каналам VPN.

УКЦ выполняет следующие функции:

Формирование и автоматическое обновление через ЦУС симметричной ключевой информации и первичной парольной информации для объектов и пользователей сети; Выполнение функций удостоверяющего центра сертификатов ЭЦП:

издание ключей ЭЦП Главных абонентов ViPNet сети; формирование запросов на издание сертификатов;

импорт сертификатов Главных абонентов (Уполномоченных лиц) ViPNet сети и уполномоченных лиц Головного УЦ; ведение справочников сертификатов администраторов УЦ;

формирование и отправка в ЦУС обновлений справочников; создание ключей электронной цифровой подписи абонентов и издание сертификатов корпоративной сети по запросам ЦУС;

рассмотрение запросов на издание сертификатов ЭЦП от абонентов корпоративной сети; рассмотрение запросов от Центров регистрации на издание сертификатов ЭЦП внешних абонентов; хранение информации о запросах и ведение справочников изданных сертификатов;

рассмотрение запросов на отзыв, приостановление и возобновление действия сертификатов; ведение и отправка в ЦУС для обновлений списков отозванных сертификатов.

УКЦ обеспечивает возможность формирования ключей ЭЦП на основе алгоритмов ГОСТ Р 34.10-94 и ГОСТ Р 34.10-2001.

Особенности взаимодействия ЦУС и УКЦ.

Для обеспечения работоспособности сети, созданной с помощью технологии ViPNet необходимо:

Создать (изменить) еѐ структуру в ЦУС и скопировать в УКЦ данные, необходимые для генерации ключевой информации.

Сгенерировать в УКЦ ключевую информацию.

Предоставить необходимые наборы справочной и ключевой информации абонентам вновь созданных абонентских пунктов или разослать их на уже существующие абонентские пункты.

Для того чтобы один пользователь с одного АП мог обмениваться защищѐнной информацией с другим пользователем другого АП, каждому пользователю необходимо получить:

Инсталляционный пакет той или иной программы.

Адресную информацию для АП (справочники), предоставляемую ЦУС.

13

Ключевую и парольную информацию для АП, предоставляемую УКЦ.

Адресная и ключевая информация для упрощения работы с ней предоставляется в виде единого файла-дистрибутива.

В процессе изменения структуры сети ЦУС автоматически доставляет и устанавливает обновленную адресную и ключевую информацию, не требуя от пользователя каких либо дополнительных действий.

Рассмотрим подробнее порядок работы и установки взаимодействия между ЦУС и УКЦ при первоначальном разворачивании сети.

Инсталляция программного обеспечения и развертывание сети ViPNet должны осуществляться в следующей последовательности:

Инсталляция программного обеспечения ЦУСа.

Генерация сетевой структуры с помощью подсистемы адресной администрации ЦУСа. Генерация прикладной администрации.

Формирование файлов связей для УКЦ. Инсталляция программного обеспечения УКЦ. Генерация ключевой информации и дистрибутивов.

Инсталляция программного обеспечения ViPNet Координатора. Инсталляция программного обеспечения на АП.

Уровень полномочий

Полномочия пользователя ViPNet – это правомерность действий пользователя сетевого узла (АП или СМ) по изменению настроек в различных приложениях ПО ViPNet (совокупность настроек определяет функциональность ПО). Допустимость действий пользователя определяется уровнем полномочий. Уровень полномочий для каждого узла ViPNet задается программой ЦУС. Существует четыре уровня полномочий, три из которых определяются цифрой, а именно: уровень 0 –минимальные полномочия, уровень 1 - средние полномочия и уровень 2 - максимальные полномочия. Четвертый уровень называется уровнем специальных полномочий и имеет несколько значений, каждое из которых определяется специальным символом (цифра или буква).

Полномочия максимального уровня не имеют ограничений по использованию функций ПО пользователем. Полномочия, определяемые другими уровнями, ограничивают действия пользователей по функциям ПО. Все ограничения, накладываемые полномочиями среднего, минимального и специального уровней, снимаются при вводе пароля Администратора сетевых узлов.

Программа ЦУС задает полномочия пользователя, работающего на:

АП и СМ, зарегистрированных в прикладной задаче Защита трафика. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность ПО ViPNet «Клиент» или «Координатор» «Монитор» и ViPNet «MFTP».

АП, зарегистрированных в прикладной задаче Деловая почта. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность ПО ViPNet «Клиент» «Деловая почта».

АП, зарегистрированные в прикладной задаче Криптосервис. Уровень полномочий, заданный для этих сетевых узлов, будет определять функциональность ПО ViPNet «Криптосервис».

Прикладные задачи и порядок регистрации в них АП и СМ

Прикладная задача (ПЗ) – это совокупность программных средств, предназначенных для решения целевых и служебных задач сети.

В настоящее время поддерживаются следующие ПЗ: «Деловая почта», «Диспетчер», «Центр управления сетью», «Ключевой центр», «Защита трафика», «Сервер IP-адресов», «Центр регистрации», «Секретный диск» и др.

14

Каждой ПЗ присваивается уникальный 4-символьный шестнадцатеричный идентификатор, который включается в транспортные конверты, генерируемые в рамках этих задач. По идентификатору ПЗ прикладная программа понимает, что конверт адресован именно ей.

Регистрация АП в конкретных прикладных задачах является обязательной процедурой в процессе генерации сети. Эта процедура определяет, какие прикладные программы могут быть установлены на том или ином сетевом узле. Если СМ должен выполнять другие функции (Сервер IP-адресов и др.) или на нем должен быть установлен Драйвер сетевой защиты, его также необходимо зарегистрировать в соответствующей задаче.

Если в настройках по умолчанию задана регистрация в каких-либо задачах, то при создании нового АП или СМ такая регистрация будет произведена автоматически . Возможность регистрации нужного числа узлов в конкретных задачах определяется лицензионным файлом, предоставляемым ОАО «Инфотекс» при поставке ЦУСа.

15

Для расширения функциональных характеристик ViPNet сети реализована возможность взаимодействия между собой абонентских пунктов с установленными на них разными прикладными программами (Деловая почта и Диспетчер). При этом следует иметь в виду следующее ограничение:

Прикладная программа «Диспетчер» может принимать почту от прикладной программы «Деловая почта» и наоборот, только, если АП с «Диспетчером» не зарегистрирован также и в задаче «Деловая почта» и наоборот. Если какие-то АП зарегистрированы в обеих задачах, то каждая из задач на этих АП может взаимодействовать только с одноименной задачей. СМ регистрируются только в прикладных задачах Защита трафика, Сервер IP-адресов, Секретный диск и КриптоСервис. АП могут быть зарегистрированы в любой задаче, кроме прикладной задачи Сервер IP-адресов.

Особенности ключевой структуры сети ViPNet

Система защиты информации ViPNet использует комбинацию криптографических алгоритмов с симметричными и асимметричными ключами.

Симметричный ключ – это случайная комбинация заданной длины двоичных символов (в СКЗИ «Домен-К» – 256 бит), которая полностью определяет алгоритм шифрования. Иначе говоря, кто знает симметричный ключ, может зашифровать на этом ключе и расшифровать все зашифрованное на этом же ключе. По–другому, симметричный ключ – любой ключ из пары идентичных ключей, такой, что если он используется для шифрования, то другой ключ может быть использован для расшифрования и наоборот.

Асимметричный ключ – это пара ключей: асимметричный секретный ключ (АСК) и асимметричный открытый ключ (АОК).

Симметричные алгоритмы используются для шифрования и проверки целостности информации. Асимметричные алгоритмы используются для обмена ключами и создания электронной цифровой подписи.

Особенность комбинирования криптографических алгоритмов с симметричными и асимметричными ключами заключается в том, что шифрование информации происходит на комбинации симметричного ключа, созданного администратором УКЦ, и ключа, созданного на основе асимметричных ключей, создаваемых пользователями.

17

Такая схема позволяет ограничить доступ к информации со стороны администратора безопасности, которому известны все симметричные ключи в сети, но неизвестны асимметричные ключи пользователей.

В технологии ViPNet используются следующие симметричные алгоритмы: ГОСТ 28147-89

(256 бит), DES (56 бит), 3DES (168 бит), RC6 (256 бит), AES (256 бит).

Васимметричном алгоритме ГОСТ Р 34.10-2001 для распределения ключей используются открытый и закрытый ключи длиной 256 бит и 512 бит.

Когда говорят, что какой-то объект (это может быть сеть, сетевой объект, коллектив, абонент) имеет асимметричный ключ, то это означает, что данный объект сам создал АСК (как случайную комбинацию путем использования ДСЧ) и хранит этот АСК в секрете наравне с остальными ключами. Кроме того, этот объект создает соответствующий АОК и помещает его в справочник. В системе ViPNet реализована строгая рассылка справочников открытых ключей. Во-первых, эти справочники рассылаются под защитой симметричных ключей, во-вторых, они рассылаются только тем, с кем разрешены связи. Это обеспечивает значительно более высокий уровень защиты справочников от подмены, по сравнению с системами, допускающими свободный доступ к справочникам открытых ключей.

Имеются два типа асимметричных ключей (АК) - асимметричные ключи подписи (АКП) и асимметричные ключи шифрования (АКШ).

Использование асимметричных ключей шифрования предполагает определенный протокол, в результате которого на основе открытого распределения ключей вырабатывается симметричный ключ обмена. В системе ViPNet этот протокол выполняется на прикладном уровне. Полученный в результате протокола симметричный ключ, свернутый с соответствующим ключом обмена коллективов, передается Драйверу ViPNet для использования на сетевом уровне при создании VPN и приложениям для использования на прикладном уровне, например Деловой почте. В системе ViPNet используется алгоритм Диффи-Хелмана, и в целом этот протокол выглядит следующим образом.

Пусть (АСКШ1, АОКШ1) - асимметричная пара первого объекта и (АСКШ2, АОКШ2) - асимметричная пара второго объекта. Первый объект формирует значение L12 = АОКШ2 ** АСКШ1 (mod P), второй объект формирует значение L21 = АОКШ1 ** АСКШ2 (mod P). В силу природы открытых ключей имеем L12 = L21. Величины Lij имеют размерность модуля, т.е. 1024 бита. Симметричный ключ из данных величин получается следующим образом: вектор Lij делится на четыре подвектора размера 256 бит каждый и затем эти подвекторы складываются поразрядно по модулю 2. Получившееся значение (32 байта) используется для создания производного симметричного ключа шифрования (путем криптографической свертки с симметричным ключом, созданным вУКЦ).

Таким образом, в системе ViPNet ключ обмена - это свертка двух ключей, один из которых есть элемент симметричной матрицы ключей, второй получается из открытого распределения ключей посредством описанного выше протокола.

Всистеме ViPNet имеются свои особенности в использовании открытых ключей ЭЦП. А именно, нет необходимости использовать систему рассылки или организации доступа к справочникам для АОКП (сертификатам ЭЦП). Каждый АОКП прикрепляется к подписанной информации, хранится и рассылается вместе с ней, что значительно упрощает контроль сроков действия подписи. В отношении генерации ключей ЭЦП предусмотрены две возможности: централизованное изготовление этих ключей в УКЦ и изготовление этих ключей самими пользователями.

Для реализации процедуры сертификации открытых ключей введено понятие «Администратор УКЦ». Главных абонентов в сети может быть один или несколько и им доверяется сертифицировать (подписывать) АОКП абонентов своей сети.

18

АОКШ сертифицируются опосредованно: эти ключи подписываются абонентами (пользователями) их сформировавшими, подпись которых сертифицирована УЛ. Выпуск сертификатов ЭЦП осуществляет УКЦ ViPNet.

На Рисунке показана процедура формирования симметричных ключей шифрования в УКЦ.

Рис. 5. Формирование симметричных ключей шифрования и идентификации

Роль сертификационного центра выполняет Удостоверяющий Ключевой Центр (УКЦ). Открытые асимметричные ключи подписи Уполномоченных лиц сети помещаются на ключевые дискеты (КД) пользователей, на которые помещается индивидуальная ключевая информация пользователя. На HBceyrt3 представлена процедура сертификации ЭЦП пользователя.

Открытые асимметричные ключи шифрования сертифицируются опосредованно: эти ключи подписываются пользователями их сформировавшими, подпись которых сертифицирована УЛ».

При первоначальном развертывании ViPNet-сети асимметричные ключи ЭЦП формируются в Удостоверяющем Ключевом Центре (УКЦ).

19

Рис. 6. Формирование ЭЦП для пользователей (ГОСТ Р. 34.10-2001)

Вся ключевая информация в сети ViPNet подразделяется на следующие основные группы: Персональная ключевая информация пользователя (администратора УКЦ)

Парольный ключ пользователя (администратора УКЦ) Ключи защиты пользователя (администратора УКЦ) Ключи подписи пользователя (администратора УКЦ) Ключи защиты Ключи защиты УКЦ

Ключи защиты коллективов Мастер–ключи УКЦ Основные Межсетевые Ключи обмена Симметричные Асимметричные

Сеансовые ключи шифрования Производные Случайные

Ключевую информацию для отдельного пользователя сети ViPNet можно условно разбить на две группы:

Ключевая информация для каждого узла и его коллективов (ключевой набор или КН), хранящаяся на жестком диске в каталоге D-STATION или другом носителе. Здесь содержатся массивы симметричных и асимметричных ключей для обеспечения связи данного узла и его коллективов с другими узлами и коллективами, с которыми такая связь разрешена в ЦУСе.

Индивидуальная ключевая информация для каждого пользователя (ключевая дискета или КД), хранящаяся на жестком диске в каталоге KEY_DISK или другом носителе. Здесь хранится небольшой объем ключевой информации пользователя, предназначенной для получения доступа (расшифрования) к разрешенной ему информации в каталоге STATION, а также некоторые другие персональные ключи, доступные только данному пользователю, в том числе закрытый ключ подписи (ЗЧ ЭЦП).

Индивидуальная ключевая информация зашифрована на пароле, а ключи связи в каталоге STATION зашифрованы на ключах защиты, о которых речь пойдет ниже.

20