13.2.2.4. Виртуальная частная сеть vpn-ipSec

На рис. 13.8 приведен пример структуры двух виртуальных частных сетей, построенных с помощью протокола ESP в туннельном режиме.

• VPN A пользователей локальных сетей А1, А2, и А3;

• VPN В пользователей локальных сетей В1, В2, и В3.

В новом незашифрованном заголовке содержится адрес граничного маршрутизатора Интернета, соединенного с локальной сетью. Адрес пользователя расшифровывается в этом граничном маршрутизаторе.

Рис.13.8. Пример структуры двух VPN на базе протокола IPSec

13.2.3. Протокол транспортного уровня tls

Настоящее приложение посвящено протоколу обеспечения ИБ транспортного уровня TLS (Transport Layer Security), который применяется в сетях IP-телефонии протокола сигнализации SIP (см. глава 18 ), WiFi (см. глава 24) , WiMAX (см. глава 25). Протокол защиты транспортного уровня TLS стандартизирован в документе RFC 2246. Задача этого протокола обеспечить безопасную передачу данных с использованием протокола TCP. Этот механизм расположен в виде подуровня между транспортным и прикладным уровнями TCP/IP (см. главу 12). TLS является версией протокола защищенных сокетов SSL (Security Sockets Layer). Под сокетом понимается совокупность номера порта транспортного уровня и IP-адреса. Сокет однозначно идентифицирует прикладной процесс в Internet. Преимуществом использования протоколов ИБ на прикладном уровне является возможность оптимального построения механизма защиты в зависимости от требований конкретного приложения. Преимуществом протоколов SSL/TLS является обеспечение прозрачности средств защиты для прикладных программ.

TLS состоит из двух субпротоколов, один из которых предназначен для передачи данных по установленной защищенной связи (раздел 13.2.3.1), а второй для установления защищенной связи (раздел 13.2.3.2). Эта процедура установления защищённой связи SA (Security Association) является такой же ключевой, как и в IPSec (раздел 13.2.2.1). В отличие от приведенного выше описания SA протокола IPSec здесь более подробно приводится описание взаимной аутентификации, вычисление ключей, которые будут применяться для защиты данных и др.

13.2.3.1. Передача данных при использовании tls

Одним из достоинств TLS является его полная программно-платформенная независимость. Протокол реализуется в виде многослойной среды. В качестве первого слоя используется транспортный протокол TCP. Вторым слоем, накладываемым на TCP, является TLS Record Protocol. Вместе эти два слоя, TCP и TLS Record Protocol, формируют ядро TLS.

На рис. 13.9 приведена схема передачи данных прикладного уровня по установленному защищенному соединению с обеспечением аутентификации сообщений (подлинности источника, целостности сообщений) и конфиденциальности их содержания.

Рис. 13.9. Передача данных при использовании TLS

Сообщения, поступающие от браузера, фрагментируются на блоки длиной до 16 Кбайт. Если предусмотрено сжатие (процедура необязательная), каждый блок сжимается независимо. Затем к каждому блоку данных добавляется код аутентификации сообщений. В TLS для аутентификации сообщений используется стандартный протокол аутентификации сообщения HMAC, описание работы которого приводится в приложении Г, раздел Г3.

Следующим шагом, как видно из рис. 13.9, является шифрование блока данных вместе с добавленным к нему значением HMAC. Шифрование производится с помощью криптографии с симметричным ключом.

Завершающим шагом в работе SSL/TLS является добавление заголовка, включающего:

• идентификатор протокола прикладного уровня, блоки данных которого передаются по TCP – соединению;

• длина сжатого фрагмента

и др.