13.2.2.3. Защищенные связи

Для передачи данных между двумя компьютерами в конечных точках протокол IPSec предусматривает предварительное выполнение следующих шагов (фаз) [28].

1. Каждый компьютер должен быть, прежде всего, аутентифицирован.

2. После успешного прохождения аутентификации выполняются функции управления ключами по созданию общего главного ключа (мастер-ключа).

3. Создается защищенный канал SA (Security Association). При этом отправитель и получатель должны договориться о применяемых протоколах шифрования, определить общие ключи, времена их действия, а также другие параметры. На этой фазе с помощью общего секретного ключа выполняется функция управления ключами по созданию нескольких общих секретных ключей. Для защищенной связи протоколу IPSec требуется четыре общих секретных ключа: пара ключей для протокола аутентификации НМАС и пара ключей для шифрования в заголовке ESP. Ниже приводится список параметров защищенной связи. Эти параметры сохраняются в базе данных обеих сторон. Защищенная связь создается процедурой управления ключами с помощью одного из Интернет-протоколов обмена ключами IKE (Internet Key Exchange). Протокол IKE опирается на протоколы ISACMP (Internet Security Association and Key Management Protocol – протокол управления ассоциациями и ключами защиты в сети Интернет) и Oakley. Протокол Oakley представляет собой вариант обмена ключами, выполняемый по усовершенствованной схеме Диффи-Хеллмана. Подробная реализация в IKE приведена в работе [9]. В следующем разделе, посвященном другому протоколу (TLS) обеспечения ИБ (на транспортном уровне TCP/IP), приводится описание алгоритма установления защищенной связи. Алгоритмы установления защищенной связи в IP-сети отличаются для разных протоколов ИБ. Во многом это относится к функциям управления ключами, которые определяют и распределяют общие секретные ключи.

Защищённая связь однозначно определяется следующими тремя характеристиками, которые передаются по защищенному каналу.

1. Индекс параметров защиты, SPI (Security Parameters Index). Строка битов, присваиваемая данной защищенной связи и имеющая только локальное значение. Индекс параметров защиты передается в заголовках AH и ESP, чтобы принимающая система имела возможность выбрать защищенную связь, в рамках которой должен обрабатываться принимаемый пакет.

2. Адрес IP пункта назначения. В настоящее время допускаются только однонаправленные адреса – это адрес пункта назначения защищенной связи, который может представлять систему конечного пользователя или сетевой объект типа брандмауэра или маршрутизатора.

3. Идентификатор протокола защиты. Этот идентификатор указывает, является ли данная связь защищенной связью AH или это защищенная связь ESP. Ядро IPSec по передаче данных составляет два протокола:

• AH (Authentication Header – заголовок аутентификации), гарантирующий аутентификацию передаваемых сообщений, т.е. подлинность источника сообщений и целостность данных.

• ESP (Encapsulating Security Payload – защищенный полезный груз), шифрующий передаваемые данные, т.е. обеспечивает конфиденциальность данных. ESP, кроме этого, может выполнить функции протокола AH.

Параметры защищенной связи

Защищенная связь характеризуется следующими основными параметрами.

• Счетчик порядкового номера, 32-битовое значение, используемое при генерировании значений поля порядкового номера в заголовках AH или ESP.

• Окно защиты от угрозы повтора. Используется для выявления воспроизведенных пакетов среди прибывающих пакетов AH или ESP.

• Информация AH. Алгоритм аутентификации, ключи, параметры продолжительности жизни ключей и другие необходимые параметры, используемые в рамках AH.

• Продолжительность жизни данной защищенной связи.

• Информация ESP. Алгоритм шифрования и аутентификации, ключи, значения инициализации, параметры продолжительности жизни ключей и другие необходимые параметры, используемые в рамках ESP.

• Режим протокола IPSec. Туннельный или транспортный. Режимы описаны в этом разделе ниже.

• Максимальная единица передачи (Maximum Transmission Unit – MTU). Максимальная единица передачи (максимальный размер пакета, который может быть передан без фрагментации) для всех участков маршрута и переменные времени существования.