30 Механизмы защиты данных в сетях эвм. Аутентификация в сети на примере Kerberos.

механизм защиты данных в сетях - шифорование информации.. При помощи процедуры шифрования отправитель сообщения преобразует его из простого текста в набор символов, не поддающийся прочтению без применения специального ключа, известного получателю. Получатель сообщения, используя ключ, преобразует переданный ему набор символов обратно в текст. Т о, если инфа в зашифрованном виде попадет к злоумышленнику, он просто не сможет ей воспользоваться.

Авторизационный сервер (authentication server), обрабатыв все запросы пользователей на предмет получения того или иного вида сетевых услуг. получая запрос от пользователя, обращается к бд и определяет, имеет ли юзер право на совершение данной операции. пароли юзеров по сети не передаются, что также повышает степень защиты информации.

Ticket-granting server (сервер выдачи разрешений) получает от авторизационного сервера "пропуск", содержащий имя пользователя и его сетевой адрес, время запроса и ряд др параметров, уникальный сессионный ключ. Пакет, содержащий "пропуск", передается также в зашифрованном виде. После получения и расшифровки "пропуска" сервер выдачи разрешений проверяет запрос и сравнивает ключи и затем дает "добро" на использование сетевой аппаратуры или программ.

Протокол Kerberos предлагает механизм взаимной аутентификации клиента и сервера перед установлением связи м/у ними, причём в протоколе учтён тот факт, что начальный обмен информацией м/у клиентом и сервером происходит в незащищённой среде, а передаваемые пакеты могут быть перехвачены и модифицированы. идеально подходит для применения в Интернет и аналогичных сетях.

Основная концепция— если есть секрет, известный only двоим, то любой из его хранителей может с лёгкостью удостовериться, что имеет дело со своим напарником. Для этого ему достаточно проверить, знает ли его собеседник общий секрет. Простой протокол аутентификации с секретным ключом вступает в действие, когда кто-то стучится в сетевую дверь и просит впустить его. Чтобы доказать своё право на вход, юзер предъявляет аутентификатор (authenticator) в виде набора данных, зашифрованного секретным ключом. Получив аутенитификатор, привратник расшифровывает его и проверяет получен инфу, чтобы убедиться в успешности дешифрования. содержание набора данных должно постоянно меняться, иначе злоумышленник может просто перехватить пакет и воспользоваться его содержимым для входа в систему. Если проверка прошла успешно, то это значит, что посетителю известен секретный код, а так как этот код знает only он и привратник, следовательно, пришелец на самом деле тот, за кого себя выдаёт. три участника безопасной связи: клиент, сервер и доверенный посредник м/у ними. Роль посредника здесь играет так называемый центр распределения ключей Key Distribution Center, KDC- служба, работающая на физически защищённом сервере. Она ведёт бд с информацией об учётных записях всех главных абонентов безопасности своей области. Вместе с инфой о абоненте безопасности в бд KDC сохраняется криптографический ключ, известный only этому абоненту и службе KDC. Этот ключ, кот называют долговременным, используется для связи пользователя системы безопасности с центром распределения ключей. В большинстве практических реализаций протокола Kerberos долговременные ключи генерируются на основе пароля пользователя, указываемого при входе в систему. Когда клиенту нужно обратиться к серверу, он прежде всего направляет запрос в центр KDC. В ответ на запрос клиента, который намерен подключиться к серверу, служба KDC направляет обе копии сеансового ключа клиенту. Сообщение, предназначенное клиенту, шифруется посредством долговременного ключа, общего для данного клиента и KDC, а сеансовый ключ для сервера вместе с информацией о клиенте вкладывается в блок данных, получивший название сеансового мандата (session ticket). Затем сеансовый мандат целиком шифруется с помощью долговр ключа, который знают only служба KDC и данный сервер. вся ответственность за обработку мандата, несущего в себе шифрованный сеансовый ключ, возлагается на клиента, кот должен доставить его на сервер.