5 Захист інформації

5.1 Організація захисту інформації у корпоративній мережі

Оскільки інформація яка буде зберігатися на сервері і передаватиметься між філіалами і центральним офісом є таємною і має важливе державне значення необхідно забезпечити захист мережі по таким пунктам:

1. Захист віртуальних каналів передачі даних корпоративної мережі, що проходять через публічну мережу;

2. Організувати криптозахист інформації при її транспортуванні публічною мережею і збереженні;

3. Імітозахист даних;

4. Захист мережі від зовнішнього НСД;

5.2 Протокол ipSec

Internet Protocol Security (IPSec) називають в стандартах Internet системою. Дійсно, IPSec - це узгоджений набір відкритих стандартів, що має сьогодні цілком обкреслене ядро, і в той же час він може бути досить просто доповнений новими протоколами, алгоритмами і функціями.

Основне призначення протоколів IPSec - забезпечення безпечної передачі даних по мережах IP. Застосування IPSec гарантує:

• цілісність, тобто що дані при передачі не були спотворені, втрачені або продубльовані;

• автентичність, тобто що дані були передані тим відправником, який довів, що він той, за кого себе видає;

• конфіденційність, тобто що дані передаються у формі, що запобігає їх несанкціонованому перегляду.

IPSec - це тільки одна з багатьох, хоч і найпопулярніша на сьогодні, технологія безпечної передачі даних по загальнодоступній (незахищеній) мережі. Для технологій такого призначення використовується узагальнена назва - захищений канал (secure channel). Термін «канал» підкреслює той факт, що захист даних забезпечується між двома вузлами мережі (хостамі або шлюзами) уздовж деякого віртуального шляху, прокладеного в мережі з комутацією пакетів.

Протокол IPSec включає два протоколи: Authentication Header (AH) і Encapsulating Secure Payload (ESP). Перший створює конверт, що забезпечує аутентифікацію джерела даних, їх цілісність і захист від нав'язування повторних повідомлень (додаток Д).

Таким чином, протокол AH надає ряд заходів захисту від атак зловмисників. З його допомогою аутентифікується кожен пакет, що робить програми, що намагаються перехопити управління сеансом, неефективними.

Крім цього протокол AH забезпечує, наскільки це можливо, аутентифікацію заголовків IP-пакетів, не дивлячись на знаходження IP-заголовків за межами створюваного ним конверта. Аутентифікація AH запобігає маніпулюванню полями IP-заголовка під час проходження пакету. З цієї причини даний протокол не можна застосовувати в середовищі, де використовується механізм трансляції мережевих адрес (Network Address Translation - NAT), оскільки маніпулювання IP-заголовками необхідне для його роботи.

Протокол ESP забезпечує конфіденційність даних (додаток Д) і виконує всі функції протоколу AH по захисту зашифрованих неаутентифікованих потоків даних.

Специфікація IPSec допускає роботу протоколу ESP без використання функцій AH. Але рекомендується уникати цього. У протоколі ESP можна використовувати фіктивне шифрування, що

еквівалентно застосуванню протоколу AH без аутентифікації IP-заголовка. Це дозволяє включати в роботу механізм NAT, оскільки в цьому випадку адреси в заголовках можна модифікувати.

Протоколи ESP і AH зареєстровані організацією IANA (Internet Address Naming Authority) і занесені в реєстр протоколів під порядковими номерами 50 і 51 відповідно. Оскільки поле "тип протоколу" заголовка IP-пакету тепер відповідатиме конверту IPSec, то первинний тип транспортного протоколу поміщається в наступне поле "тип протоколу" усередині заголовка IPSec (додаток Д).

Протоколи AH і ESP можуть захищати дані в двох режимах: транспортному і тунельному. У транспортному режимі передача IP-пакету через мережу виконується за допомогою оригінального заголовка

цього пакету, а в тунельному режимі початковий пакет поміщається в новий IP-пакет і передача даних по мережі виконується на підставі заголовка нового IP-пакету. Застосування того або іншого режиму

залежить від вимог, що пред'являються до захисту даних, а також від ролі, яку грає в мережі вузол, що завершує захищений канал. Так, вузол може бути хостом (кінцевим вузлом) або шлюзом (проміжним вузлом). Відповідно, є три схеми застосування IPSec: «хост-хост», «шлюз-шлюз» і «хост-шлюз» (додаток Е).

У першій схемі захищений канал, або, що в даному контексті одне і те ж, безпечна асоціація, встановлюється між двома кінцевими вузлами мережі. Протокол IPSec в цьому випадку працює на кінцевому вузлі і захищає дані, що поступають на нього. Для схеми «хост-хост» найчастіше використовується транспортний режим захисту, хоча вирішується і тунельний.

Відповідно до другої схеми, захищений канал встановлюється між двома проміжними вузлами, так званими шлюзами безпеки (Security Gateway, SG), на кожному з яких працює протокол IPSec.

Захищений обмін даними може відбуватися між будь-якими двома кінцевими вузлами, підключеними до мереж, які розташовані позаду шлюзів безпеки. Від кінцевих вузлів підтримка протоколу IPSec не потрібна, вони передають свій трафік в незахищеному вигляді через заслуговуючий довіру мережі Intranet підприємств. Трафік, що направляється в загальнодоступну мережу, проходить через шлюз безпеки, який і забезпечує його захист за допомогою IPSec, діючи від свого імені. Шлюзи можуть використовувати тільки тунельний режим роботи.

Схема «хост-шлюз» часто застосовується при віддаленому доступі.

Тут захищений канал організовується між віддаленим хостом, на якому працює IPSec, і шлюзом, що захищає трафік для всіх хостів, що входять в мережу Intranet підприємства. Віддалений хост може використовувати при відправці пакетів шлюзу як транспортний, так і тунельний режим, шлюз же відправляє пакет хосту тільки в тунельному режимі. Цю схему можна ускладнити, створивши паралельно ще один захищений канал - між видаленим хостом і яким-небудь хостом, що належить внутрішній мережі, що захищається шлюзом.

Таке комбіноване використання двох SA дозволяє надійно захистити трафік і у внутрішній мережі.

Для того, щоб протоколи AH і ESP могли виконувати свою роботу по захисту даних, що передаються, протокол IKE встановлює між двома кінцевими точками логічне з'єднання, яке в стандартах IPSec носить назву «безпечна асоціація» (Security Association, SA). Встановлення SA починається з взаємної аутентифікації сторін, тому що всі заходи безпеки втрачають сенс, якщо дані передаються або приймаються не тим або не від тієї особи. Вибрані далі параметри SA визначають, який з двох протоколів, AH або ESP, застосовується для захисту даних, які функції виконує протокол захисту: наприклад, тільки аутентифікацію і

перевірку цілісності або, крім того, ще і захист від помилкового відтворення. Дуже важливим параметром безпечної асоціації є так званий криптографічний матеріал, тобто секретні ключі, використовувані в роботі протоколів AH і ESP.

Система IPSec дозволяє застосовувати і ручний спосіб встановлення безпечної асоціації, при якому адміністратор конфігурує кожен кінцевий вузол так, щоб вони підтримували узгоджені параметри асоціації, включаючи і секретні ключі.

Протокол AH або ESP функціонує вже в рамках встановленого логічного з'єднання SA, з його допомогою і здійснюється необхідний захист даних, що передаються з використанням вибраних параметрів.

Параметри безпечної асоціації повинні влаштовувати обидві кінцеві точки захищеного каналу. Тому при використанні автоматичної процедури встановлення SA протоколи IKE, що працюють по різні сторони каналу, вибирають параметри в ході переговорного процесу, подібно тому, як два модеми визначають максимально прийнятну для обох сторін швидкість обміну. Для кожного завдання, що вирішується протоколами AH і ESP, пропонується декілька схем аутентифікації і шифрування - це робить IPSec дуже гнучким засобом.

Для забезпечення сумісності в стандартній версії IPsec визначений деякий обов'язковий «інструментальний» набір: зокрема, для аутентифікації даних завжди може бути використана одна з функцій односторонньої шифрациї MD5 або SHA-1, а в число алгоритмів шифрування неодмінно входить DES. При цьому виробники продуктів, що включають IPSec, мають вільне право розширювати протокол за рахунок інших алгоритмів аутентифікації і шифрування, що вони з успіхом і роблять. Наприклад, багато реалізацій IPSec підтримують популярний алгоритм шифрування 3DES, а також порівняно нові алгоритми - Blowfish, Cast, CDMF, Idea RC5, ВЕСТА-2М.

Стандарти IPSec дозволяють шлюзам використовувати як одну асоціацію SA для передачі трафіку всіх взаємодіючих через Internet хостів, так і створювати для цієї мети довільне число асоціацій SA, наприклад по одній на кожне з'єднання TCP. Безпечна асоціація SA є в IPSec однонаправлене (симплексне) логічне з'єднання, тому при двосторонньому обміні даними необхідно встановити дві асоціації SA. [8]