Література

1. Новиков Ю.В., Кондратенко С.В. – Локальные сети: архитектура, алгоритмы, проектирование. М.: Изд-во ЭКОМ

2. Олифер В.Г., Олифер Н.А. Компьютерные сети. Принципы, технологии, протоколы: учебник для вузов. 3-е изд.-СПб: Питер.

3. Лозікова Г.М. Комп’ютерні мережі: Навчально-методичний посібник – К. Центр навчальної літератури

Тема: Системи захисту в мережі Internet

План заняття:

1. Введення в сертифікати

2. Проектування інфраструктури відкритих ключів

3. Управління сертифікатами

Із зростанням числа важливих операцій, що здійснюються в електронному вигляді, проблема захисту мережевої взаємодії придбала життєву важливість. Електронні транзакції, які здійснюються як усередині однієї організації, так і між різними організаціями, вимагають захисту від різних погроз, включаючи перехоплення даних, підробку посвідчень і несанкціоновану модифікацію повідомлень. Windows Server 2003 забезпечує такий захист за допомогою компонентів, необхідних для створення PKI.

Введення в інфраструктуру відкритих ключів

Інфраструктура відкритих ключів — це набір програмних компонентів і що діють політик, керівників розповсюдженням і використанням відкритих і закритих ключів за допомогою цифрових сертифікатів. Для захисту передаваних в мережі даних комп'ютери за допомогою різних методів шифрування кодують повідомлення і створюють цифрові підписи, таких, що засвідчують їх достовірність. Щоб один комп'ютер зміг зашифрувати повідомлення, а інший — розшифрувати його, обом потрібний ключ.

Застосування сертифікатів

Щоб шифрування відкритим ключем було надійним способом захисту даних, необхідний контрольований механізм розповсюдження відкритих ключів, щоб ніхто не зміг поширювати відкриті ключі від імені інших осіб і отримувати призначені їм зашифровані повідомлення (а вони можуть бути розшифровані за допомогою відповідного закритого ключа). Для розповсюдження відкритих ключів в Windows Server 2003 і більшості інших ОС, підтримуючих PKI, використовуються цифрові сертифікати. Цифровий сертифікат (digital certificate) — це документ, надійно зв'язуючий відкритий ключ з конкретною особою або організацією.

Крім відкритого ключа сертифікат містить наступні атрибути:

• версія стандарту Х.509, в якій описаний формат даного сертифікату;

• серійний номер. Привласнене значення ЦС, що однозначно ідентифікує сертифікат;

• ідентифікатор алгоритму підпису, що визначає алгоритм, використаний ЦС при генерації цифрового підпису для сертифікату;

• ім'я центру сертифікації — найменування структури, що видала сертифікат;

• термін дії, протягом якої діє сертифікат;

• ім'я власника — ім'я особи, якій виданий сертифікат.

Багато сертифікатів містять і інші атрибути залежно від свого призначення.

Для застосування шифрування з відкритим ключем необхідно отримати сертифікат від адміністративної структури, званої центром сертифікації (ЦС). ЦС може бути сторонньою компанією, якою довірено засвідчувати достовірність учасників електронних транзакцій, або програмним модулем на комп'ютері під управлінням Windows Server 2003 або іншій ОС. Тип використовуваного організацією ЦС залежить від учасників захищених транзакцій.

Отримання сертифікату від ЦС може відбуватися уручну, коли користувач явно запрошує сертифікат, або автоматично, коли додаток запрошує і отримує сертифікат в ході звичайної роботи. Незалежно від способу отримання сертифікату ЦС генерує криптографічну пару, що складається із закритого і відкритого ключів. Закритий ключ зберігається на комп'ютері користувача в зашифрованому вигляді, а відкритий ключ видається у складі сертифікату. Сертифікат, по суті, є контейнером відкритого ключа і пов'язаної з ним інформації, що полегшує передачу ключа людям, яким він необхідний.

Призначення PKI

У Windows Server 2003 PKI дозволяє адміністраторові мережі вирішувати наступні завдання.

• Публікація сертифікатів. Служби сертифікації дозволяють створювати сертифікати і публікувати їх на Web-сайте або в Active Directory, звідки клієнти (користувачі, комп'ютери і додатки) можуть їх отримати.

• Подача заявок клієнтами. Подачею заявки (enrollment) називається запит і отримання сертифікату клієнтом у ЦС. Коли клієнт запрошує сертифікат, ЦС (або адміністратор ЦС) перевіряє достовірність клієнта і видає сертифікат на його ім'я.

• Використання сертифікатів. Запитавши і отримавши сертифікат, клієнт може використовувати його в різних механізмах захисту даних залежно від можливостей і призначення сертифікату.

• Оновлення сертифікатів. Сертифікати зазвичай діють протягом обмеженого періоду, після якого клієнт повинен відновити сертифікат в ЦС або припинити його використання.

• Відгук сертифікатів. Коли адміністратор ЦС явним чином відкликає сертифікат, ЦС додає його в список відгуку сертифікатів (certificate revocation list, CRL). ЦС регулярно публікує цей список, щоб повідомити інші системи в мережі про сертифікати, що припинили дію.

Подібно до більшості компонентів мережі, реалізація PKI вимагає ретельного планування, яке зазвичай включає наступні основні етапи.

• Визначення вимог до сертифікатів.

• Створення інфраструктури центрів сертифікації.

• Настройка сертифікатів.

Створення інфраструктури ЦС

Визначивши область застосування сертифікатів і користувачів, яким вони необхідні, можна приступати до планування інфраструктури ЦС, що видають сертифікати. ЦС організовані в ієрархію, в якій достовірність кожного ЦС підтверджує інший ЦС, розташований рівнем вище, достовірність цього ЦС — ЦС ще більш високого рівня і так далі до вищого, кореневого ЦС. Кореневий ЦС є останньою інстанцією організації відносно сертифікації. ЦС видають сертифікати не тільки додаткам і користувачам, але і іншим ЦС. Довіряючи деякому кореневому ЦС, ви автоматично довіряєте всім його підлеглим ЦС. Довірчі відносини між ЦС, подібно до дозволів файлової системи, направлені від кореня ієрархії до її нижніх рівнів (мал. 11-1).

Мал. - Довірчі відносини ЦС направлені від верхніх рівнів ієрархії до нижним

При створенні інфраструктури ЦС в організації потрібно вирішити, скільки потрібний ЦС, які ЦС використовувати, де їх розміщувати і якими відносинами довіри вони повинні бути зв'язані.

Внутрішні і зовнішні ЦС

Потреби сертифікації можуть задовольнятися внутрішніми ЦС, що працюють на комп'ютерах вашої мережі, або зовнішніми комерційними ЦС. У окремих ситуаціях (наприклад, для підписання коди) вибір типу ЦС ясний, але часто він залежить від потреб і можливостей вашої організації.

Часто в організаціях поєднують використання внутрішніх і зовнішніх ЦС. Внутрішні ЦС застосовуються для захисту операцій усередині організації, а зовнішні — для захисту зовнішніх транзакцій, наприклад операцій з клієнтами.