JSC "UNIVERSITI VOLGA BERNAMA SELEPAS V.N. TATISHCHEV"

FAKULTI SAINS MAKLUMAT DAN TELEKOMUNIKASI

Jabatan Informatik dan Sistem Kawalan

KERJA KURSUS

dalam disiplin: “Kaedah dan cara perlindungan maklumat komputer»

subjek: " Perlindungan saluran komunikasi»

pelajar kumpulan IS-506

Utyatnikov A.A.

cikgu:

M.V. Samokhvalova

Togliatti 2007

pengenalan

Perlindungan maklumat dalam saluran komunikasi dan penciptaan sistem telekomunikasi yang selamat

Akses jauh ke sumber maklumat. Perlindungan maklumat yang dihantar melalui saluran komunikasi

1 Penyelesaian berdasarkan gerbang kripto yang diperakui

2 Penyelesaian berdasarkan protokol IPSec

Teknologi keselamatan maklumat dalam sistem maklumat dan telekomunikasi (ITS)

Kesimpulan

pengenalan

Perlindungan (keselamatan) maklumat adalah sebahagian daripada masalah umum keselamatan maklumat, peranan dan kepentingannya dalam semua bidang kehidupan dan aktiviti masyarakat dan negara semakin meningkat pada peringkat sekarang.

Pengeluaran dan pengurusan, pertahanan dan komunikasi, pengangkutan dan tenaga, perbankan, kewangan, sains dan pendidikan, media semakin bergantung kepada intensiti pertukaran maklumat, kesempurnaan, ketepatan masa, kebolehpercayaan dan keselamatan maklumat.

Dalam hal ini, masalah keselamatan maklumat telah menjadi perkara yang membimbangkan ketua badan kerajaan, perusahaan, organisasi dan institusi, tanpa mengira bentuk organisasi, undang-undang dan bentuk pemilikan mereka.

Pembangunan pesat dana Teknologi komputer membuka peluang yang belum pernah terjadi sebelumnya kepada manusia untuk mengautomasikan kerja mental dan membawa kepada penciptaan nombor besar pelbagai jenis maklumat automatik, telekomunikasi dan sistem kawalan, yang membawa kepada kemunculan asas baru, yang dipanggil teknologi maklumat.

Apabila membangunkan pendekatan untuk menyelesaikan masalah komputer dan keselamatan maklumat, seseorang harus sentiasa meneruskan daripada fakta bahawa melindungi maklumat dan sistem komputer bukanlah satu penghujungnya. Matlamat utama mewujudkan sistem keselamatan komputer adalah untuk melindungi semua kategori subjek yang terlibat secara langsung atau tidak langsung dalam proses interaksi maklumat, daripada menyebabkan kerosakan material, moral atau lain-lain yang ketara kepada mereka akibat kesan tidak sengaja atau disengajakan pada maklumat dan sistem untuk pemprosesan dan penghantarannya.

1. Perlindungan maklumat dalam saluran komunikasi dan penciptaan selamat

sistem telekomunikasi

Dalam konteks proses integrasi yang semakin berkembang dan penciptaan ruang maklumat tunggal dalam banyak organisasi, LANIT bercadang untuk menjalankan kerja bagi mewujudkan infrastruktur telekomunikasi selamat yang menghubungkan pejabat terpencil syarikat menjadi satu keseluruhan, serta memastikan tahap keselamatan yang tinggi maklumat mengalir di antara mereka.

Teknologi yang digunakan untuk rangkaian persendirian maya memungkinkan untuk menyatukan rangkaian yang diedarkan secara geografi menggunakan kedua-dua saluran khusus yang selamat dan saluran maya yang melalui rangkaian awam global. Pendekatan yang konsisten dan sistematik untuk membina rangkaian selamat melibatkan bukan sahaja melindungi saluran komunikasi luaran, tetapi juga perlindungan yang berkesan rangkaian dalaman dengan menyerlahkan litar VPN dalaman tertutup. Oleh itu, penggunaan teknologi VPN membolehkan anda mengatur akses pengguna yang selamat ke Internet, melindungi platform pelayan dan menyelesaikan masalah pembahagian rangkaian mengikut struktur organisasi.

Perlindungan maklumat semasa penghantaran antara subnet maya dilaksanakan menggunakan algoritma kunci asimetri dan tandatangan elektronik yang melindungi maklumat daripada pemalsuan. Malah, data yang akan dihantar secara intersegmental dikodkan pada output satu rangkaian dan dinyahkod pada input rangkaian lain, manakala algoritma pengurusan utama memastikan pengedarannya selamat antara peranti akhir. Semua manipulasi data adalah telus kepada aplikasi yang dijalankan pada rangkaian.

2. Akses jauh kepada sumber maklumat. Perlindungan

maklumat yang dihantar melalui saluran komunikasi

Apabila saling berhubung antara objek syarikat yang jauh secara geografi, tugas timbul untuk memastikan keselamatan pertukaran maklumat antara pelanggan dan pelayan yang berbeza. perkhidmatan rangkaian. Masalah yang sama berlaku dalam rangkaian tempatan wayarles ( Setempat Tanpa Wayar Rangkaian Kawasan, WLAN), serta apabila pelanggan jauh mengakses sumber sistem maklumat korporat. Ancaman utama di sini dianggap sebagai sambungan tanpa kebenaran ke saluran komunikasi dan pemintasan (mendengar) maklumat dan pengubahsuaian (penggantian) data yang dihantar melalui saluran (mesej mel, fail, dll.).

Untuk melindungi data yang dihantar melalui saluran komunikasi ini, adalah perlu untuk menggunakan cara yang sesuai perlindungan kriptografi. Transformasi kriptografi boleh dilakukan pada peringkat aplikasi (atau pada peringkat antara protokol aplikasi dan protokol TCP/IP) dan pada peringkat rangkaian (penukaran paket IP).

Dalam pilihan pertama, penyulitan maklumat yang dimaksudkan untuk pengangkutan melalui saluran komunikasi melalui wilayah yang tidak terkawal mesti dilakukan di nod penghantaran (stesen kerja - klien atau pelayan), dan penyahsulitan - di nod penerima. Pilihan ini melibatkan membuat perubahan ketara pada konfigurasi setiap pihak yang berinteraksi (menyambungkan cara perlindungan kriptografi kepada program aplikasi atau bahagian komunikasi sistem pengendalian), yang, sebagai peraturan, memerlukan kos yang besar dan pemasangan cara perlindungan yang sesuai pada setiap nod daripada rangkaian tempatan. Penyelesaian untuk pilihan ini termasuk protokol SSL, S-HTTP, S/MIME, PGP/MIME, yang menyediakan penyulitan dan tandatangan digital bagi mesej e-mel dan mesej yang dihantar menggunakan protokol http.

Pilihan kedua melibatkan pemasangan alat khas yang menjalankan kripto-transformasi pada titik sambungan rangkaian tempatan dan pelanggan jauh ke saluran komunikasi (rangkaian awam) melalui wilayah yang tidak terkawal. Apabila menyelesaikan masalah ini, adalah perlu untuk memastikan tahap perlindungan data kriptografi yang diperlukan dan kemungkinan kelewatan tambahan minimum semasa penghantarannya, kerana alat ini menyalurkan trafik yang dihantar (menambah pengepala IP baharu pada paket terowong) dan menggunakan algoritma penyulitan bagi kekuatan yang berbeza. Disebabkan fakta bahawa alat yang menyediakan transformasi kripto di peringkat rangkaian adalah serasi sepenuhnya dengan mana-mana subsistem aplikasi yang berjalan dalam sistem maklumat korporat (ia "telus" kepada aplikasi), ia paling kerap digunakan. Oleh itu, pada masa hadapan kita akan memikirkan cara melindungi maklumat yang dihantar melalui saluran komunikasi (termasuk melalui rangkaian awam, contohnya, Internet). Adalah perlu untuk mengambil kira bahawa jika cara perlindungan maklumat kriptografi dirancang untuk digunakan di agensi kerajaan, maka isu pilihan mereka harus diputuskan memihak kepada produk yang disahkan di Rusia.

.1 Penyelesaian berdasarkan gerbang kripto yang diperakui

Untuk melaksanakan pilihan kedua dan memastikan kerahsiaan dan kebolehpercayaan maklumat yang dihantar antara kemudahan syarikat melalui saluran komunikasi, anda boleh menggunakan gerbang crypto yang diperakui (pintu masuk VPN). Contohnya, Continent-K, VIPNet TUNNEL, ZASTAVA-Pejabat syarikat NIP Informzaschita, Infotex, Elvis+. Peranti ini menyediakan penyulitan data yang dihantar (paket IP) mengikut GOST 28147-89, dan juga menyembunyikan struktur rangkaian tempatan, melindungi daripada penembusan luar, lalu lintas laluan dan mempunyai sijil daripada Suruhanjaya Teknikal Negeri Persekutuan Rusia dan FSB (FAPSI).

Gerbang kripto membenarkan pelanggan jauh mengakses sumber sistem maklumat korporat dengan selamat (Gamb. 1). Akses dibuat menggunakan perisian khas yang dipasang pada komputer pengguna (klien VPN) untuk memastikan interaksi selamat antara pengguna jauh dan mudah alih dengan get laluan crypto. Perisian get laluan crypto (pelayan akses) mengenal pasti dan mengesahkan pengguna dan berkomunikasi dengan sumber rangkaian yang dilindungi.

Rajah 1. - “Akses jauh melalui saluran selamat dengan

menggunakan gerbang kripto"

Menggunakan gerbang crypto, anda boleh membentuk saluran selamat maya dalam rangkaian awam (contohnya, Internet), menjamin kerahsiaan dan kebolehpercayaan maklumat, dan mengatur rangkaian peribadi maya (Virtual Private Network - VPN), yang merupakan persatuan rangkaian tempatan atau individu. komputer yang disambungkan ke rangkaian awam. gunakan ke dalam satu rangkaian maya selamat. Untuk menguruskan rangkaian sedemikian, perisian khas (pusat kawalan) biasanya digunakan, yang menyediakan pengurusan berpusat ahli politik tempatan keselamatan pelanggan VPN dan gerbang crypto, menghantar maklumat penting dan data konfigurasi baharu kepada mereka, dan memastikan pengelogan sistem. Gerbang kripto boleh dibekalkan sebagai penyelesaian perisian atau sebagai sistem perisian perkakasan. Malangnya, kebanyakan gerbang kripto yang diperakui tidak menyokong protokol IPSec dan, oleh itu, ia tidak serasi secara fungsi dengan produk perkakasan dan perisian daripada pengeluar lain.

.2 Penyelesaian berasaskan IPSec

Protokol IP Security (IPSec) adalah asas untuk membina sistem keselamatan lapisan rangkaian, ialah satu set piawaian antarabangsa terbuka dan disokong oleh kebanyakan vendor penyelesaian keselamatan infrastruktur rangkaian. Protokol IPSec membolehkan anda mengatur aliran data yang selamat dan sahih (paket IP) pada peringkat rangkaian antara pelbagai prinsipal yang berinteraksi, termasuk komputer, tembok api, penghala dan menyediakan:

· pengesahan, penyulitan dan integriti data yang dihantar (paket IP);

· perlindungan terhadap penghantaran semula paket (serangan ulang tayang);

· penciptaan, pengemaskinian automatik dan pengedaran selamat kunci kriptografi;

· penggunaan pelbagai jenis algoritma penyulitan (DES, 3DES, AES) dan mekanisme pemantauan integriti data (MD5, SHA-1). Terdapat pelaksanaan perisian protokol IPSec yang menggunakan algoritma penyulitan Rusia (GOST 28147-89), pencincangan (GOST R 34.11-94), tandatangan digital elektronik (GOST R 34.10-94);

· pengesahan objek interaksi rangkaian berdasarkan sijil digital.

Set piawaian IPSec semasa termasuk spesifikasi teras yang ditakrifkan dalam RFC (RFC 2401-2412, 2451). Permintaan untuk Komen (RFC) ialah satu siri dokumen oleh Pasukan Petugas Kejuruteraan Internet (IETF), yang dimulakan pada tahun 1969, mengandungi penerangan mengenai protokol Internet. Seni bina sistem ditakrifkan dalam RFC 2401 "Security Architecture for Internet Protocol", dan spesifikasi protokol utama adalah dalam RFC berikut:

· RFC 2402 "Pengepala Pengesahan IP" - spesifikasi protokol AH, yang memastikan integriti dan pengesahan sumber paket IP yang dihantar;

· RFC 2406 “IP Encapsulating Security Payload” - spesifikasi protokol ESP yang memastikan kerahsiaan (penyulitan), integriti dan pengesahan sumber bagi paket IP yang dihantar;

· RFC 2408" Keselamatan Internet Persatuan dan Protokol Pengurusan Utama" - spesifikasi protokol ISAKMP, yang memastikan rundingan parameter, penciptaan, pengubahsuaian, pemusnahan saluran maya selamat (Security Association - SA) dan pengurusan kunci yang diperlukan;

· RFC 2409 "The Internet Key Exchange" - spesifikasi protokol IKE (termasuk ISAKMP), yang menyediakan rundingan parameter, penciptaan, pengubahsuaian dan pemusnahan SA, rundingan, penjanaan dan pengedaran bahan utama yang diperlukan untuk mencipta SA.

Protokol AH dan ESP boleh digunakan bersama dan berasingan. Protokol IPSec menggunakan algoritma penyulitan simetri dan kunci yang sepadan untuk memastikan komunikasi rangkaian selamat. Protokol IKE menyediakan mekanisme untuk menjana dan mengedarkan kunci tersebut.

Saluran Maya Selamat (SA) ialah konsep penting dalam teknologi IPSec. SA ialah sambungan logik terarah antara dua sistem yang menyokong protokol IPSec, yang dikenal pasti secara unik oleh tiga parameter berikut:

· indeks sambungan selamat (Indeks Parameter Keselamatan, SPI - pemalar 32-bit yang digunakan untuk mengenal pasti SA yang berbeza dengan alamat IP penerima dan protokol keselamatan yang sama);

· Alamat IP penerima paket IP (Alamat Destinasi IP);

· protokol keselamatan (Protokol Keselamatan - salah satu protokol AH atau ESP).

Sebagai contoh, Rajah 2 menunjukkan penyelesaian capaian jauh melalui saluran selamat daripada Sistem Cisco berdasarkan protokol IPSec. Perisian Klien Cisco VPN khas dipasang pada komputer pengguna jauh. Terdapat versi perisian ini untuk pelbagai sistem pengendalian - MS Windows, Linux, Solaris.

Rajah 2. - “Akses jauh melalui saluran selamat dengan

menggunakan penumpu VPN"

Klien VPN berkomunikasi dengan Cisco VPN Series 3000 Concentrator dan mencipta sambungan selamat, dipanggil terowong IPSec, antara komputer pengguna dan rangkaian peribadi terletak di belakang penumpu VPN. Penumpu VPN ialah peranti yang menamatkan terowong IPSec daripada pengguna jauh dan menguruskan proses mewujudkan sambungan selamat dengan klien VPN yang dipasang pada komputer pengguna. Kelemahan penyelesaian ini termasuk kekurangan sokongan oleh Cisco Systems untuk penyulitan Rusia, pencincangan dan algoritma tandatangan digital elektronik.

3. Teknologi keselamatan maklumat dalam teknologi maklumat

sistem telekomunikasi (ITS)

komunikasi saluran maklumat perlindungan telekomunikasi

Sokongan berkesan terhadap proses pentadbiran awam menggunakan alat dan sumber maklumat (IIR) hanya mungkin jika sistem mempunyai sifat "keselamatan", yang dipastikan dengan pelaksanaan sistem keselamatan maklumat yang komprehensif, termasuk komponen keselamatan asas - sistem kawalan akses untuk kemudahan ITS, pengawasan video dan sistem keselamatan maklumat.

Asas sistem keselamatan bersepadu ialah sistem keselamatan maklumat, peruntukan konseptual yang timbul daripada ciri reka bentuk sistem dan subsistem konstituennya dan konsep sistem "dilindungi", yang boleh dirumuskan seperti berikut:

ITS yang selamat ialah sistem maklumat dan telekomunikasi yang memastikan pelaksanaan yang stabil bagi fungsi sasaran dalam rangka kerja senarai ancaman keselamatan yang diberikan dan model tindakan penceroboh.

Senarai ancaman keselamatan dan corak tindakan pelanggar ditentukan oleh pelbagai faktor, termasuk proses operasi ITS, kemungkinan tindakan salah dan tidak dibenarkan kakitangan perkhidmatan dan pengguna, kegagalan dan kerosakan peralatan, tindakan pasif dan aktif. daripada pelanggar.

Apabila membina ITS, pihak berkuasa awam (GBO) dinasihatkan untuk mempertimbangkan tiga kategori asas ancaman terhadap keselamatan maklumat yang boleh membawa kepada gangguan fungsi sasaran utama sistem - sokongan berkesan terhadap proses pentadbiran awam:

· kegagalan dan kerosakan dalam perkakasan sistem, situasi kecemasan, dsb. (peristiwa tanpa penyertaan manusia);

· tindakan yang salah dan tindakan tidak dibenarkan yang tidak disengajakan oleh kakitangan perkhidmatan dan pelanggan sistem;

Tindakan yang tidak dibenarkan oleh pelanggar mungkin berkaitan dengan tindakan pasif (pemintasan maklumat dalam saluran komunikasi, pemintasan maklumat dalam saluran kebocoran teknikal) dan tindakan aktif (pemintasan maklumat daripada media storan dengan pelanggaran yang jelas terhadap peraturan akses kepada sumber maklumat, herotan maklumat dalam saluran komunikasi, herotan, termasuk pemusnahan maklumat pada media storan dengan jelas melanggar peraturan akses kepada sumber maklumat, pengenalan maklumat yang salah).

Pelanggar juga boleh mengambil tindakan aktif yang bertujuan untuk menganalisis dan mengatasi sistem keselamatan maklumat. Adalah dinasihatkan untuk membezakan jenis tindakan ini dalam kumpulan berasingan, memandangkan, setelah mengatasi sistem keselamatan, penceroboh boleh melakukan tindakan tanpa melanggar peraturan akses kepada sumber maklumat secara jelas.

Dalam jenis tindakan di atas, adalah dinasihatkan untuk menyerlahkan kemungkinan tindakan yang bertujuan untuk memperkenalkan komponen perkakasan dan perisian ke dalam peralatan ITS, yang ditentukan terutamanya oleh penggunaan peralatan asing, asas unsur dan perisian.

Berdasarkan analisis seni bina dan ancaman ITS, seni bina umum sistem keselamatan maklumat boleh dibentuk, termasuk subsistem utama berikut:

· subsistem pengurusan sistem keselamatan maklumat;

· subsistem keselamatan dalam subsistem maklumat;

· subsistem keselamatan dalam subsistem telekomunikasi;

· subsistem keselamatan untuk interaksi kerja internet;

· subsistem untuk mengenal pasti dan menentang tindakan aktif pelanggar;

· subsistem untuk mengenal pasti dan menentang kemungkinan penanda buku perkakasan dan perisian.

Perlu diingatkan bahawa tiga subsistem terakhir, dalam kes umum, adalah komponen subsistem kedua dan ketiga, tetapi dengan mengambil kira ciri-ciri yang dirumuskan di atas, adalah dinasihatkan untuk menganggapnya sebagai subsistem yang berasingan.

Asas sistem keselamatan maklumat dalam ITS dan setiap subsistemnya ialah Dasar Keselamatan dalam ITS dan subsistemnya, peruntukan utamanya adalah keperluan untuk penggunaan mekanisme dan cara asas berikut untuk memastikan keselamatan maklumat:

· pengenalan dan pengesahan pelanggan ITS, peralatan ITS, maklumat yang diproses;

· kawalan aliran maklumat dan kitaran hayat maklumat berdasarkan label keselamatan;

· kawalan capaian kepada sumber ITS berdasarkan gabungan dasar budi bicara, mandatori dan berasaskan peranan serta firewall;

· perlindungan maklumat kriptografi;

· cara teknikal perlindungan;

· langkah-langkah organisasi dan rejim.

Senarai mekanisme perlindungan yang diberikan ditentukan oleh matlamat sistem keselamatan maklumat dalam ITS, antaranya kami akan menyerlahkan lima yang utama berikut:

· kawalan capaian kepada sumber maklumat ITS;

· memastikan kerahsiaan maklumat yang dilindungi;

· memantau integriti maklumat yang dilindungi;

· tidak menafikan akses kepada sumber maklumat;

· kesediaan sumber maklumat.

Pelaksanaan mekanisme dan cara perlindungan yang ditentukan adalah berdasarkan penyepaduan cara perlindungan perkakasan dan perisian ke dalam perkakasan dan perisian ITS dan maklumat yang diproses.

Ambil perhatian bahawa istilah "maklumat" dalam ITS merujuk kepada jenis maklumat berikut:

· maklumat pengguna (maklumat yang diperlukan untuk pengurusan dan membuat keputusan);

· maklumat perkhidmatan (maklumat yang menyediakan kawalan peralatan ITS);

· maklumat khas (maklumat yang memastikan pengurusan dan pengendalian peralatan perlindungan);

· maklumat teknologi (maklumat yang memastikan pelaksanaan semua teknologi pemprosesan maklumat dalam ITS).

Dalam kes ini, semua jenis maklumat yang disenaraikan adalah tertakluk kepada perlindungan.

Adalah penting untuk ambil perhatian bahawa tanpa penggunaan alat pengurusan sistem keselamatan maklumat automatik, adalah mustahil untuk memastikan operasi sistem keselamatan yang stabil dalam sistem pemprosesan maklumat yang diedarkan secara geografi yang berinteraksi dengan kedua-dua sistem yang dilindungi dan tidak dilindungi dalam litar ITS dan memproses maklumat dengan pelbagai tahap kerahsiaan.

Objektif utama subsistem pengurusan keselamatan maklumat ialah:

· penjanaan, pengedaran dan perakaunan maklumat khas yang digunakan dalam subsistem keselamatan (maklumat utama, maklumat kata laluan, label keselamatan, hak akses kepada sumber maklumat, dsb.);

· konfigurasi dan pengurusan alatan keselamatan maklumat;

· penyelarasan dasar keselamatan dalam sistem berinteraksi, termasuk maklumat khas;

· pemantauan sistem keselamatan;

· mengemas kini Dasar Keselamatan dalam ITS dengan mengambil kira tempoh operasi yang berbeza, memperkenalkan teknologi pemprosesan maklumat baharu ke dalam ITS.

Pelaksanaan subsistem pengurusan keselamatan maklumat memerlukan penciptaan pusat kawalan tunggal yang berinteraksi dengan pusat kawalan keselamatan tempatan untuk subsistem telekomunikasi dan maklumat ITS, pusat kawalan keselamatan maklumat dalam rangkaian berinteraksi dan ejen keselamatan maklumat di kemudahan sistem.

Seni bina sistem pengurusan keselamatan maklumat hendaklah hampir sama dengan seni bina ITS itu sendiri, dan dari sudut pelaksanaannya, prinsip berikut harus dipatuhi:

· pusat kawalan keselamatan maklumat dan pusat kawalan tempatan mesti dilaksanakan pada perkakasan dan perisian khusus menggunakan cara domestik;

· ejen pengurusan keselamatan mesti disepadukan ke dalam perkakasan dan perisian tempat kerja sistem dengan kemungkinan kawalan bebas daripada mereka oleh pusat dan pusat tempatan.

Subsistem keselamatan maklumat dalam subsistem maklumat ITS merupakan salah satu subsistem yang paling kompleks baik dari segi mekanisme perlindungan mahupun pelaksanaannya.

Kerumitan subsistem ini ditentukan oleh fakta bahawa dalam subsistem ini sebahagian besar pemprosesan maklumat dilakukan, manakala sumber utama untuk mengakses maklumat pelanggan sistem tertumpu di dalamnya - pelanggan secara langsung mempunyai akses yang dibenarkan kepada kedua-dua maklumat dan fungsi pemprosesannya. Itulah sebabnya asas subsistem ini adalah sistem untuk mengawal capaian kepada maklumat dan fungsi pemprosesannya.

Mekanisme asas untuk melaksanakan capaian yang dibenarkan kepada maklumat dan fungsi pemprosesannya ialah mekanisme untuk melindungi sumber maklumat daripada tindakan yang tidak dibenarkan, komponen utamanya ialah:

· cara organisasi dan teknikal untuk mengawal akses kepada objek sistem, maklumat dan fungsi untuk pemprosesannya;

· pendaftaran dan sistem perakaunan untuk operasi sistem dan pelanggan sistem;

· subsistem jaminan integriti;

· subsistem kriptografi.

Asas untuk pelaksanaan perlindungan yang dinyatakan adalah pembinaan seni bina komponen maklumat ITS - penciptaan objek yang dipisahkan secara logik dan maklumat. komponen maklumat ITS (bank data, kompleks maklumat dan rujukan, pusat situasi). Ini akan memungkinkan untuk melaksanakan objek terpencil bebas kriptografi yang beroperasi menggunakan teknologi pelayan-pelanggan dan tidak menyediakan akses terus kepada penyimpanan maklumat dan fungsi pemprosesan - semua pemprosesan dijalankan atas permintaan pengguna yang dibenarkan berdasarkan kuasa yang diberikan kepada mereka.

Untuk penyediaan sumber maklumat yang dibenarkan kepada pelanggan, kaedah berikut dan mekanisme:

· label keselamatan maklumat;

· pengenalpastian dan pengesahan pelanggan dan peralatan sistem;

· perlindungan kriptografi maklumat semasa penyimpanan;

· kawalan kriptografi ke atas integriti maklumat semasa penyimpanan.

Apabila melaksanakan subsistem keselamatan dalam komponen telekomunikasi ITS, adalah perlu untuk mengambil kira ketersediaan saluran komunikasi di kedua-dua wilayah terkawal dan tidak terkawal.

Cara yang wajar untuk melindungi maklumat dalam saluran komunikasi ialah perlindungan kriptografi maklumat dalam saluran komunikasi di wilayah yang tidak terkawal dalam kombinasi dengan cara organisasi dan teknikal untuk melindungi maklumat dalam saluran komunikasi di wilayah terkawal, dengan prospek peralihan kepada perlindungan maklumat kriptografi dalam semua Saluran komunikasi ITS, termasuk menggunakan kaedah teknologi VPN. Sumber untuk melindungi maklumat dalam subsistem telekomunikasi (dengan mengambil kira kehadiran pelanggar dengan akses undang-undang kepada sumber telekomunikasi) ialah persempadanan akses kepada sumber telekomunikasi dengan pendaftaran aliran maklumat dan peraturan operasi pelanggan.

Penyelesaian biasa untuk melindungi maklumat dalam saluran komunikasi ialah penggunaan gelung perlindungan pelanggan dan talian dalam kombinasi dengan cara perlindungan algoritma dan teknikal, menyediakan (secara langsung dan tidak langsung) mekanisme perlindungan berikut:

· perlindungan terhadap kebocoran maklumat ke dalam saluran komunikasi dan saluran teknikal;

· kawalan keselamatan maklumat semasa penghantaran melalui saluran komunikasi;

· perlindungan daripada kemungkinan serangan oleh penceroboh melalui saluran komunikasi;

· pengenalan dan pengesahan pelanggan;

· mengawal capaian kepada sumber sistem.

Subsistem keselamatan untuk pertukaran kerja internet di ITS adalah berdasarkan mekanisme keselamatan berikut:

· kawalan capaian kepada sumber kerja internet (firewall);

· pengenalan dan pengesahan pelanggan (termasuk kaedah pengesahan kriptografi);

· pengenalan dan pengesahan maklumat;

· perlindungan kriptografi maklumat dalam saluran komunikasi di wilayah yang tidak terkawal, dan pada masa hadapan - dalam semua saluran komunikasi;

· pengasingan kriptografi sistem berinteraksi.

Amat penting dalam subsistem yang sedang dipertimbangkan ialah pelaksanaan teknologi rangkaian persendirian maya (VPN), yang ciri-cirinya sebahagian besarnya menyelesaikan isu kedua-dua melindungi maklumat dalam saluran komunikasi dan menentang serangan oleh penceroboh dari saluran komunikasi.

· salah satu fungsi ITS ialah membuat keputusan mengenai pengurusan kedua-dua jabatan dan perusahaan individu, dan negeri secara keseluruhan, berdasarkan pemprosesan maklumat secara analitik;

· kewujudan pelanggar dalam kalangan pelanggan yang berinteraksi dengan sistem ITS tidak boleh diketepikan.

Subsistem untuk mengenal pasti dan menentang tindakan aktif penceroboh dilaksanakan pada dua komponen utama: perkakasan dan perisian untuk mengenal pasti dan menentang kemungkinan serangan oleh penceroboh melalui saluran komunikasi dan seni bina rangkaian selamat.

Komponen pertama - komponen untuk mengenal pasti kemungkinan serangan, bertujuan untuk perlindungan dalam subsistem ITS di mana tindakan penceroboh dari segi serangan terhadap sumber maklumat dan peralatan ITS secara asasnya mungkin, komponen kedua bertujuan untuk menghapuskan tindakan tersebut atau merumitkan dengan ketara mereka.

Cara utama komponen kedua ialah perkakasan dan perisian yang memastikan pelaksanaan kaedah perlindungan selaras dengan teknologi rangkaian persendirian maya (VPN) seperti dalam interaksi pelbagai objek ITS mengikut strukturnya, baik dalam objek individu dan subnet berdasarkan firewall atau firewall dengan perlindungan kriptografi terbina dalam.

Kami menekankan bahawa tindakan balas yang paling berkesan terhadap kemungkinan serangan disediakan melalui cara kriptografi gelung perlindungan linear dan gerbang kriptografi kerja internet untuk penceroboh luar dan cara mengawal akses kepada sumber maklumat untuk pengguna sah yang tergolong dalam kategori penceroboh.

Subsistem untuk mengenal pasti dan mengatasi kemungkinan kecacatan perkakasan dan perisian dilaksanakan oleh satu set langkah organisasi dan teknikal semasa pembuatan dan pengendalian peralatan ITS, termasuk aktiviti utama berikut:

· pemeriksaan khas peralatan dan komponen buatan asing;

· penyeragaman perisian;

· menyemak sifat asas elemen yang menjejaskan keberkesanan sistem perlindungan;

· menyemak integriti perisian menggunakan algoritma kriptografi.

Bersama-sama dengan tugas lain, isu menentang kemungkinan penanda halaman perkakasan dan perisian juga disediakan melalui cara perlindungan lain:

· litar perlindungan kriptografi linear, memberikan perlindungan terhadap pengaktifan penanda halaman perisian yang mungkin melalui saluran komunikasi;

· pengarkiban maklumat;

· lebihan (penduaan perkakasan).

Melalui ITS di pelbagai objek sistem, pengguna OGV boleh disediakan dengan pelbagai perkhidmatan untuk pemindahan maklumat dan perkhidmatan maklumat, termasuk:

· subsistem aliran dokumen selamat;

· pusat pensijilan;

· subsistem selamat untuk menghantar maklumat telefon, data dan menganjurkan persidangan video;

· subsistem maklumat rasmi yang selamat, termasuk penciptaan dan penyelenggaraan laman web rasmi pemimpin di peringkat persekutuan dan wilayah.

Ambil perhatian bahawa subsistem aliran dokumen selamat disambungkan rapat dengan pusat pensijilan yang memastikan pelaksanaan mekanisme tandatangan digital.

Mari kita lihat dengan lebih dekat integrasi alat keselamatan maklumat ke dalam sistem pengurusan dokumen elektronik, kepada subsistem penghantaran maklumat telefon, subsistem maklumat rasmi dan laman web rasmi pengurus di pelbagai peringkat.

Mekanisme asas untuk melindungi maklumat dalam sistem pengurusan dokumen elektronik ialah tandatangan elektronik digital, yang memastikan pengenalpastian dan pengesahan dokumen dan pelanggan, serta kawalan ke atas integriti mereka.

Oleh kerana ciri-ciri sistem aliran dokumen ITS ditentukan oleh kehadiran pertukaran maklumat antara pelbagai objek dan jabatan (termasuk kemungkinan pertukaran maklumat antara sistem selamat dan tidak dilindungi), serta penggunaan pelbagai teknologi pemprosesan dokumen di jabatan yang berbeza, pelaksanaan aliran dokumen selamat, dengan mengambil kira faktor yang dinyatakan, memerlukan aktiviti berikut:

· penyatuan format dokumen dalam pelbagai jabatan;

· penyelarasan dasar keselamatan di pelbagai jabatan.

Sudah tentu, keperluan yang dinyatakan boleh diselesaikan sebahagiannya dengan menggunakan pintu masuk antara sistem yang berinteraksi.

Pusat pensijilan pada asasnya ialah pangkalan data teragih yang memastikan pelaksanaan tandatangan digital dalam sistem aliran dokumen. Capaian tanpa kebenaran kepada sumber maklumat pangkalan data ini memusnahkan sepenuhnya sifat keselamatan pengurusan dokumen elektronik. Ini membawa kepada ciri utama sistem keselamatan maklumat di pusat pensijilan:

· pengurusan akses kepada sumber pangkalan data pusat pensijilan (perlindungan daripada akses tanpa kebenaran kepada sumber);

· memastikan operasi stabil pusat pensijilan dalam keadaan kemungkinan kegagalan dan kegagalan, situasi kecemasan (perlindungan terhadap pemusnahan maklumat pangkalan data).

Pelaksanaan mekanisme ini boleh dijalankan dalam dua peringkat: pada peringkat pertama, mekanisme perlindungan dilaksanakan menggunakan langkah perlindungan organisasi dan teknikal serta langkah keselamatan, termasuk penggunaan sistem operasi yang diperakui domestik, dan pada peringkat kedua, perlindungan kriptografi. kaedah disepadukan ke dalam perkakasan dan perisian semasa penyimpanan dan pemprosesan maklumat di pusat pensijilan.

Ciri-ciri melindungi pelbagai jenis trafik yang dihantar ke ITS (trafik telefon, data dan trafik persidangan video) boleh dibahagikan kepada dua kelas:

· ciri perlindungan peralatan pelanggan, yang ditentukan oleh keperluan untuk melindungi maklumat pelbagai jenis, termasuk secara serentak (maklumat video dan ucapan, dan, mungkin, data), serta keperluan untuk melindungi maklumat pelbagai jenis daripada kebocoran ke dalam saluran teknikal.

· ciri perlindungan peralatan jenis sistem penghantaran maklumat tertentu, yang ditentukan oleh keperluan untuk melindungi daripada akses tanpa kebenaran kepada perkhidmatan komunikasi telefon, penghantaran data, persidangan dan sumbernya.

Untuk kelas yang ditentukan mekanisme asas perlindungan ialah:

· cara teknikal untuk melindungi maklumat daripada kebocoran ke saluran teknikal, dilaksanakan cara standard;

· kawalan akses kepada sumber yang menyediakan organisasi komunikasi pelbagai jenis, yang berdasarkan pengenalpastian dan pengesahan kemungkinan sambungan pelbagai pengguna dan peralatan ke peralatan komunikasi.

Ciri subsistem maklumat rasmi yang selamat ialah kehadiran aliran maklumat dalam dua arah - dari ITS ke sistem luaran, termasuk warganegara individu negara, serta dari sistem luaran ke ITS (pertukaran maklumat dengan objek tidak dilindungi).

Berdasarkan maklumat yang diterima daripada sistem luaran, keputusan dibangunkan untuk kepentingan kedua-dua organisasi individu, jabatan dan wilayah, dan negeri secara keseluruhan, dan pelaksanaan keputusan yang dibuat juga di semua peringkat kerajaan bergantung kepada maklumat yang diterima oleh pihak luar. sistem.

Oleh itu, dalam kes pertama, keperluan utama untuk berfungsi sistem dari sudut pandangan keselamatannya ialah integriti maklumat yang diberikan, kecekapan menyediakan maklumat, termasuk pengemaskiniannya, kebolehpercayaan sumber maklumat, dan kawalan penyampaian maklumat kepada penerima.

Dalam kes kedua - kebolehpercayaan maklumat yang diberikan, kebolehpercayaan sumber maklumat, kecekapan penyampaian maklumat, serta kawalan penyampaian maklumat kepada penerima. Pada asasnya, keperluan yang disenaraikan disediakan oleh mekanisme keselamatan standard (kaedah kriptografi untuk memantau integriti maklumat, pengenalan dan pengesahan pelanggan dan maklumat).

Ciri khas subsistem ini ialah keperluan untuk mengawal kebolehpercayaan maklumat yang datang daripada sistem luaran dan yang merupakan bahan sumber untuk membuat keputusan, termasuk demi kepentingan negara. Masalah ini diselesaikan menggunakan kaedah analisis untuk memantau kebolehpercayaan maklumat, memastikan kestabilan penyelesaian yang dibangunkan dalam menghadapi penerimaan maklumat yang tidak boleh dipercayai, dan langkah-langkah organisasi dan teknikal yang memastikan pengesahan maklumat masuk.

Matlamat utama sistem keselamatan maklumat di laman web pemimpin persekutuan dan wilayah adalah untuk menghalang maklumat daripada memasuki laman web yang tidak dimaksudkan untuk tujuan ini, serta memastikan integriti maklumat yang dibentangkan di laman web.

Mekanisme keselamatan asas yang dilaksanakan di tapak harus menyediakan kawalan akses ke tapak dari luar sistem dalaman, yang memastikan penyediaan maklumat kepada tapak, serta kawalan akses daripada sistem luaran kepada sumber tapak.

Pelaksanaan perlindungan adalah berdasarkan penciptaan zon "demilitarized" berdasarkan tembok api (pintu masuk), menyediakan:

Menapis maklumat dalam arah dari sistem dalaman ke tapak dengan kawalan akses ke tapak dari sistem dalaman (pengenalpastian dan pengesahan sumber maklumat) dan menapis maklumat menggunakan label keselamatan;

Memantau integriti sumber maklumat di tapak dan memastikan operasi tapak yang stabil dalam menghadapi kemungkinan herotan maklumat;

kawalan akses daripada sistem luaran kepada sumber tapak;

menapis permintaan yang datang ke tapak daripada sistem luaran.

Satu daripada isu kritikal Apabila menyelesaikan masalah memastikan keselamatan maklumat, adalah perlu untuk menambah baik rangka kerja pengawalseliaan mengenai keselamatan maklumat.

Keperluan untuk menambah baik rangka kerja pengawalseliaan ditentukan oleh dua faktor utama - kehadiran pertukaran maklumat antara pelbagai jabatan, kehadiran sejumlah besar jenis dan jenis maklumat yang beredar di ITS.

Dari segi memastikan keselamatan maklumat dalam ITS, rangka kerja pengawalseliaan mesti diperbaiki dalam bidang berikut:

· mewujudkan keperluan seragam untuk memastikan keselamatan maklumat dan, atas asasnya, konsep keselamatan bersatu, memastikan kemungkinan menyelaraskan dasar keselamatan di pelbagai jabatan dan ITS secara keseluruhan, termasuk tempoh operasi yang berbeza;

· Ciptaan standard seragam mengenai maklumat dokumentari, memastikan pelaksanaan label keselamatan bersatu dan mengurangkan kos terjemahan dokumen semasa interaksi antara jabatan;

· mewujudkan peruntukan untuk interaksi antara jabatan yang memastikan pemantauan berterusan keselamatan maklumat semasa interaksi antara jabatan.

Kesimpulan

Dalam kerja kursus ini prinsip-prinsip berikut telah dipertimbangkan:

· Seni bina ITS dan teknologi pemprosesan maklumat asas dalam ITS harus diwujudkan dengan mengambil kira peralihan evolusi kepada cara yang dibangunkan dalam negara;

· stesen kerja automatik sistem keselamatan maklumat ITS mesti dicipta pada platform perkakasan dan perisian yang dikeluarkan dalam negara (komputer dipasang domestik, sistem pengendalian domestik, perisian domestik);

· Seni bina ITS dan teknologi pemprosesan maklumat asas dalam ITS harus diwujudkan dengan mengambil kira kemungkinan menggunakan perkakasan dan alat keselamatan perisian sedia ada pada peringkat pertama dengan penggantian seterusnya dengan alat keselamatan maklumat yang menjanjikan.

Pemenuhan keperluan ini akan memastikan kesinambungan dan kecekapan khusus perlindungan maklumat semasa tempoh peralihan daripada penggunaan teknologi pemprosesan maklumat dalam ITS dalam kombinasi dengan teknologi keselamatan maklumat kepada penggunaan teknologi pemprosesan maklumat selamat dalam ITS.

Bibliografi

1. Konstantin Kuzovkin. Akses jauh kepada sumber maklumat. Pengesahan. // Pengarah perkhidmatan maklumat - 2003 - №9.

2. Konstantin Kuzovkin. Platform selamat untuk aplikasi Web. // Sistem terbuka - 2001 - No. 4.

Alexey Lukatsky. VPN tidak diketahui. // Akhbar Komputer - 2001 - No. 10.

Sumber Internet: http://www.niia.ru/document/Buk_1, www.i-teco.ru/article37.html.

Tugas melaksanakan rangkaian korporat syarikat dalam satu bangunan boleh diselesaikan dengan mudah. Walau bagaimanapun, hari ini infrastruktur syarikat telah mengagihkan secara geografi jabatan syarikat itu sendiri. Melaksanakan rangkaian korporat yang selamat dalam kes ini adalah tugas yang lebih kompleks. Dalam kes sedemikian, pelayan VPN selamat sering digunakan.

Konsep membina rangkaian VPN selamat maya

Konsep mewujudkan rangkaian maya VPN ialah idea mudah— jika terdapat 2 nod dalam rangkaian global yang perlu menukar data, maka terowong selamat maya mesti diwujudkan di antara mereka untuk memastikan integriti dan kerahsiaan data yang dihantar melalui rangkaian terbuka.

Konsep asas dan fungsi rangkaian VPN

Apabila terdapat sambungan antara rangkaian tempatan korporat dan Internet, dua jenis timbul:

• akses tanpa kebenaran kepada sumber rangkaian tempatan melalui log masuk
• capaian tanpa kebenaran kepada maklumat apabila dihantar melalui Internet terbuka

Melindungi data semasa penghantaran saluran terbuka adalah berdasarkan pelaksanaan rangkaian VPN selamat maya. VPN rangkaian selamat maya ialah sambungan antara rangkaian tempatan dan PC individu melalui rangkaian terbuka ke dalam rangkaian korporat maya tunggal. Rangkaian VPN membenarkan penggunaan terowong VPN untuk membuat sambungan antara pejabat, cawangan dan pengguna jauh, sambil mengangkut data dengan selamat (Gamb. 1).

Gambar 1

Terowong VPN ialah sambungan yang melalui rangkaian terbuka di mana paket data yang dilindungi secara kriptografi diangkut. Perlindungan data semasa penghantaran melalui terowong VPN dilaksanakan berdasarkan tugas berikut:

• penyulitan kriptografi data yang diangkut
• pengesahan pengguna rangkaian maya
• menyemak integriti dan ketulenan data yang dihantar

Pelanggan VPN ialah kompleks perisian atau perkakasan yang dijalankan pada komputer peribadi. Perisian rangkaiannya diubah suai untuk melaksanakan penyulitan dan pengesahan trafik.

pelayan VPN- juga boleh menjadi kompleks perisian atau perkakasan yang melaksanakan fungsi pelayan. Ia melindungi pelayan daripada akses tanpa kebenaran daripada rangkaian lain, serta mengatur rangkaian maya antara pelanggan, pelayan dan get laluan.

Gateway Keselamatan VPN- peranti rangkaian yang menyambung kepada 2 rangkaian dan melaksanakan fungsi pengesahan dan penyulitan untuk banyak hos di belakangnya.

Intipati terowong adalah untuk membungkus (membungkus) data ke dalam pakej baru. Paket protokol peringkat rendah diletakkan dalam medan data paket protokol tahap yang lebih tinggi atau sama (Gamb. 2). Proses enkapsulasi itu sendiri tidak melindungi daripada gangguan atau akses tanpa kebenaran; ia melindungi kerahsiaan data yang dikapsulkan.

Rajah - 2

Apabila paket tiba di titik akhir saluran maya paket sumber dalaman diekstrak daripadanya, dinyahsulit dan digunakan lebih jauh di sepanjang rangkaian dalaman (Rajah 3).

Rajah - 3

Enkapsulasi juga menyelesaikan masalah konflik antara dua alamat antara rangkaian tempatan.

Pilihan untuk mencipta saluran selamat maya

Apabila mencipta VPN, terdapat dua kaedah popular (Gamb. 4):

• saluran selamat maya antara rangkaian tempatan (saluran LAN-LAN)
• saluran selamat maya antara rangkaian tempatan dan hos (saluran klien-LAN)

Rajah - 4

Kaedah sambungan pertama membolehkan anda menggantikan saluran khusus yang mahal antara nod individu dan mencipta saluran selamat sentiasa hidup di antara mereka. Di sini, gerbang keselamatan berfungsi sebagai antara muka antara rangkaian tempatan dan terowong. Banyak perniagaan melaksanakan jenis VPN ini untuk menggantikan atau melengkapkan .

Litar kedua diperlukan untuk menyambung kepada pengguna mudah alih atau jauh. Penciptaan terowong dimulakan oleh pelanggan.

Dari sudut pandangan keselamatan maklumat, pilihan terbaik ialah terowong selamat antara titik akhir sambungan. Walau bagaimanapun, pilihan ini membawa kepada desentralisasi pengurusan dan redundansi sumber, kerana anda perlu memasang VPN pada setiap komputer pada rangkaian. Jika rangkaian tempatan yang merupakan sebahagian daripada rangkaian maya tidak memerlukan perlindungan trafik, maka titik akhir pada bahagian rangkaian tempatan boleh menjadi penghala rangkaian yang sama.

Kaedah Pelaksanaan Keselamatan VPN

Apabila mencipta rangkaian maya yang selamat, VPN membayangkan bahawa maklumat yang dihantar akan mempunyai kriteria maklumat yang dilindungi, iaitu: kerahsiaan, integriti, ketersediaan. Kerahsiaan dicapai menggunakan kaedah penyulitan asimetri dan simetri. Integriti data yang diangkut dicapai menggunakan . Pengesahan dicapai menggunakan kata laluan sekali/boleh guna semula, sijil, kad pintar, protokol.

Untuk melaksanakan keselamatan maklumat yang diangkut dalam rangkaian selamat maya, adalah perlu untuk menyelesaikan masalah keselamatan rangkaian berikut:

• pengesahan bersama pengguna semasa sambungan
• pelaksanaan kerahsiaan, ketulenan dan integriti data yang diangkut
• kawalan capaian
• keselamatan perimeter rangkaian dan
• pengurusan keselamatan rangkaian

Penyelesaian VPN untuk mencipta rangkaian selamat

Klasifikasi rangkaian VPN

Hampir semua jenis trafik boleh dilaksanakan berdasarkan Internet global. makan skim yang berbeza Klasifikasi VPN. Skim yang paling biasa mempunyai 3 kriteria klasifikasi:

• lapisan pengendalian model OSI
• seni bina penyelesaian teknikal VPN
• Kaedah pelaksanaan teknikal VPN

Saluran selamat- saluran antara dua nod rangkaian, di sepanjang laluan maya tertentu. Saluran sedemikian boleh dibuat menggunakan kaedah sistem berdasarkan tahap yang berbeza Model OSI (Rajah 5).

Rajah - 5

Anda mungkin perasan bahawa VPN dibuat pada tahap yang agak rendah. Sebabnya ialah semakin rendah dalam timbunan kaedah saluran selamat dilaksanakan, semakin mudah untuk melaksanakannya secara telus kepada aplikasi. Pada pautan data dan lapisan rangkaian, aplikasi tidak lagi bergantung pada protokol keselamatan. Jika protokol daripada peringkat atasan, maka kaedah perlindungan tidak bergantung pada teknologi rangkaian, yang boleh dianggap sebagai tambahan. Walau bagaimanapun, aplikasi menjadi bergantung pada protokol keselamatan tertentu.

VPN Lapisan Pautan. Kaedah pada tahap ini membolehkan anda merangkum trafik peringkat ketiga (dan lebih tinggi) dan mencipta terowong maya titik ke titik. Ini termasuk produk VPN berdasarkan .

VPN lapisan rangkaian. Produk VPN tahap ini melaksanakan enkapsulasi IP-ke-IP. Sebagai contoh, mereka menggunakan protokol.

VPN lapisan sesi. Sesetengah VPN melaksanakan pendekatan "broker saluran", yang berfungsi di atas lapisan pengangkutan dan menyampaikan trafik dari rangkaian selamat ke Internet awam secara soket demi soket.

Klasifikasi VPN mengikut seni bina penyelesaian teknikal

Dibahagikan kepada:

• VPN intra-korporat - diperlukan untuk melaksanakan kerja selamat antara jabatan dalam syarikat
• VPN dengan akses jauh - diperlukan untuk melaksanakan akses jauh selamat kepada sumber maklumat korporat
• VPN antara korporat - diperlukan antara bahagian berasingan perniagaan yang dipisahkan secara geografi

Klasifikasi VPN mengikut kaedah pelaksanaan teknikal

Dibahagikan kepada:

• VPN berasaskan penghala - tugas perlindungan jatuh pada peranti penghala
• VPN berasaskan firewall - tugas perlindungan jatuh pada peranti firewall
• berasaskan VPN penyelesaian perisian— perisian digunakan yang memberi manfaat dalam fleksibiliti dan penyesuaian, tetapi kehilangan daya pemprosesan
• VPN berdasarkan peranti perkakasan khas - peranti yang penyulitan dilaksanakan oleh cip berasingan khas memberikan prestasi tinggi untuk banyak wang

14.09.2006 Mark Joseph Edwards

Kaedah manakah yang optimum untuk keadaan anda? Memindahkan fail melalui Internet adalah operasi yang sangat biasa, dan melindungi fail yang dipindahkan adalah sangat penting kepada banyak perniagaan. Terdapat beberapa cara untuk memindahkan fail dan banyak kaedah untuk melindungi fail tersebut semasa proses pemindahan.

Kaedah manakah yang optimum untuk keadaan anda?

Memindahkan fail melalui Internet adalah operasi yang sangat biasa, dan melindungi fail yang dipindahkan adalah sangat penting kepada banyak perniagaan. Terdapat beberapa cara untuk memindahkan fail dan banyak kaedah untuk melindungi fail tersebut semasa proses pemindahan. Pilihan kaedah penghantaran dan penyulitan bergantung pada keperluan keseluruhan pengirim. Dalam sesetengah kes, cukup untuk memastikan keselamatan fail semasa proses pemindahan. Dalam yang lain, adalah lebih penting untuk menyulitkan fail dengan cara yang kekal dilindungi walaupun selepas penghantaran kepada penerima. Mari kita lihat lebih dekat cara untuk memindahkan fail dengan selamat.

Dalam perjalanan dan semasa ketibaan

Jika niat anda terhad untuk melindungi fail kerana ia dihantar melalui Internet, anda memerlukan teknologi pengangkutan yang selamat. Satu pilihan ialah menggunakan tapak Web yang boleh menerima fail yang dihantar kepadanya dan membolehkan anda memuat turun fail tersebut dengan selamat. Untuk mengangkut fail dengan selamat ke tapak Web, anda boleh mencipta halaman Web yang dilengkapi dengan Lapisan Soket Selamat (SSL) dan menjadi hos kawalan ActiveX atau skrip Javascript. Sebagai contoh, anda boleh menggunakan kawalan AspUpload daripada Perisian Persitis; pembangun mendakwa bahawa ia adalah "pengurusan pengangkutan fail paling maju ke nod pusat yang tersedia di pasaran." Pilihan lain ialah menggunakan skrip Muat Naik ASP Percuma, yang tidak memerlukan komponen binari. Untuk menyediakan keselamatan tambahan, anda juga boleh melindungi kata laluan kedua-dua halaman Web dan direktori yang berkaitan untuk menghantar bahan yang diterima di tapak. Apabila ia datang untuk memuat turun fail dari tapak Web, anda hanya perlu memastikan bahawa pelayan Web berkenaan menyediakan sambungan SSL, sekurang-kurangnya untuk URL yang digunakan untuk memuat turun fail.

Pilihan alternatif ialah menggunakan pelayan FTP yang menyediakan pemindahan data menggunakan protokol FTP Secure. Pada asasnya, FTPS ialah protokol FTP yang berjalan melalui sambungan SSL yang selamat. Kemungkinan penggunaan Protokol FTPS disediakan dalam banyak popular Pelanggan FTP, tetapi, malangnya, ia tidak dilaksanakan dalam Perkhidmatan FTP Microsoft. Oleh itu, anda perlu menggunakan aplikasi pelayan FTP yang menyediakan keupayaan ini (contohnya, produk WFTPD yang popular). Jangan mengelirukan FTPS dengan Protokol SSH Protokol Pemindahan Fail. SFTP ialah protokol pemindahan fail yang berjalan di atas Secure Shell (SSH); di samping itu, ia boleh digunakan untuk memindahkan fail. Walau bagaimanapun, anda perlu ingat bahawa SFTP tidak serasi dengan tradisional Protokol FTP, jadi bersama-sama dengan pelayan shell selamat (katakan, yang disediakan oleh SSH Communications Security), anda memerlukan klien SFTP yang berdedikasi (ini mungkin klien yang disertakan dalam pakej PuTTY Telnet/Secure Shell atau WinSCP GUI).

Di samping itu, pemindahan fail selamat boleh diatur menggunakan rangkaian peribadi maya VPN. Platform Windows Server menyediakan keserasian dengan teknologi VPN melalui RRAS. Walau bagaimanapun, ini tidak menjamin keserasian dengan penyelesaian VPN rakan kongsi anda. Jika keserasian ini tidak tersedia, anda boleh menggunakan salah satu daripada penyelesaian yang digunakan secara meluas, seperti alat Open-VPN sumber terbuka. Ia diedarkan secara percuma dan berjalan pada pelbagai platform, termasuk Windows, Linux, BSD dan Macintosh OS X. maklumat tambahan mengenai integrasi OpenVPN boleh didapati dalam artikel "Bekerja dengan OpenVPN" ( ).

Dengan mewujudkan sambungan VPN, anda boleh memperuntukkan direktori dan memindahkan fail dalam kedua-dua arah. Dalam apa jua keadaan menggunakan VPN Trafik disulitkan, jadi tidak ada keperluan untuk penyulitan fail tambahan - melainkan anda mahu fail kekal selamat pada sistem yang mana ia dipindahkan. Prinsip ini terpakai kepada semua kaedah penghantaran yang saya nyatakan setakat ini.

Jika anda selesa dengan fasa pemindahan dan kebimbangan utama anda adalah untuk menghalang pengguna yang tidak dibenarkan daripada mengakses kandungan fail anda, mungkin dinasihatkan untuk menyulitkan fail anda sebelum mengangkutnya. Dalam kes ini, e-mel berkemungkinan menjadi saluran pemindahan fail yang berkesan. Aplikasi e-mel dipasang pada hampir setiap sistem desktop, jadi jika anda menghantar fail melalui e-mel, anda tidak perlu menggunakan sebarang teknologi tambahan di luar penyulitan data. Kaedah pemindahan fail e-mel berkesan kerana mesej dan lampiran lazimnya tiba terus dalam peti mel penerima, walaupun mesej mungkin melalui berbilang pelayan semasa proses pemindahan.

Jika anda masih memerlukan keselamatan tambahan untuk data anda semasa ia bergerak melalui e-mel, pertimbangkan untuk menggunakan SMTP Secure (SMTPS) dan POP3 Secure (POP3S). Pada dasarnya, SMTPS dan POP3S adalah biasa protokol SMTP dan POP3, dilakukan melalui sambungan SSL yang selamat. Pelayan Microsoft Exchange, seperti kebanyakan klien e-mel, termasuk Microsoft Outlook, menyediakan keupayaan untuk menggunakan protokol SMTPS dan POP3S. Perlu diingat bahawa walaupun protokol SMTPS digunakan untuk bertukar-tukar fail antara klien mel dan pelayan mel, masih mungkin pelayan mel akan menghantar mel kepada penerima akhir melalui sambungan SMTP biasa yang tidak terjamin.

Memandangkan alat pemprosesan e-mel telah menjadi begitu meluas, selebihnya artikel ini akan membincangkan isu pemindahan fail selamat melalui saluran e-mel. Dengan berbuat demikian, kami akan menganggap bahawa pengirim perlu menyulitkan data untuk melindunginya semasa penghantaran dan selepas penghantaran. Jadi, mari kita lihat teknologi penyulitan e-mel yang paling popular hari ini.

Alat pemampatan fail

Terdapat banyak cara untuk memampatkan fail ke dalam satu fail arkib, dan kebanyakan penyelesaian yang dicadangkan melibatkan penggunaan beberapa bentuk penyulitan untuk melindungi kandungan arkib. Biasanya, kata laluan ditetapkan semasa proses pemampatan, dan sesiapa yang ingin membuka arkib hanya boleh berbuat demikian menggunakan kata laluan yang diberikan.

Salah satu kaedah paling popular untuk mencipta arkib fail termampat ialah kaedah mampatan zip; Hampir semua pengarkib menyokongnya. Dan salah satu alat pemampatan zip yang paling biasa hari ini ialah aplikasi WinZip. Ia boleh digunakan sebagai program kendiri, dibina ke dalam Windows Explorer untuk akses mudah, atau disepadukan dengan klien Outlook menggunakan modul WinZip Companion untuk Outlook. WinZip, seperti kebanyakan yang lain dilengkapi dengan alatan zip arkib, menyediakan keupayaan untuk menyulitkan menggunakan kaedah Penyulitan Zip 2.0. Tetapi mesti dikatakan bahawa melindungi fail menggunakan kaedah ini tidak cukup dipercayai. Pilihan penyulitan yang lebih boleh diterima dilaksanakan dalam WinZip 9.0. Seperti yang ditunjukkan oleh Rajah 1, WinZip kini menyokong spesifikasi Advanced Encryption Standard (AES), yang menggunakan sama ada kekunci penyulitan 128-bit atau 256-bit. AES adalah teknologi yang agak baru, tetapi ia sudah dianggap sebagai standard industri.

Rajah 1: WinZip menyokong spesifikasi AES

Saya tidak boleh menyatakan dengan tepat berapa banyak pengarkib menggunakan algoritma penyulitan yang kuat menggunakan AES, dan saya akan mengehadkan diri saya untuk menyebut satu aplikasi sedemikian; Ini ialah produk bxAutoZip yang dibangunkan oleh Perisian BAxBEx. Ia dapat berinteraksi dengan program penyulitan CryptoMite daripada BAxBEx dan boleh dibenamkan dalam Outlook. Walaupun WinZip hanya membenarkan anda menyulitkan data menggunakan Zip 2.0 dan AES, CryptoMite menyediakan keupayaan untuk menggunakan beberapa alat penyulitan lain, termasuk algoritma Twofish dan Blowfish yang popular, Cast 256, Gost, Mars dan SCOP.

Hampir semua sistem komputer sudah dilengkapi dengan alat untuk membongkar fail zip, tetapi tidak semua aplikasi zip menyediakan keserasian dengan pelbagai algoritma penyulitan. Oleh itu, sebelum menghantar fail yang disulitkan, anda perlu memastikan bahawa aplikasi zip penerima "memahami" algoritma yang dipilih.

Apabila menyulitkan fail menggunakan aplikasi zip, gunakan kata laluan keselamatan. Untuk penyahsulitan fail arkib penerimanya juga mesti menggunakan kata laluan yang sesuai. Penjagaan mesti diambil apabila memilih kaedah penghantaran kata laluan. Mungkin kaedah paling selamat untuk menghantar kata laluan adalah melalui telefon, faks atau kurier. Anda boleh memilih mana-mana daripada mereka, tetapi dalam apa jua keadaan anda tidak boleh menghantar kata laluan melalui e-mel dalam borang teks kosong; dalam kes ini, bahaya bahawa pengguna yang tidak dibenarkan akan mendapat akses kepada fail yang disulitkan meningkat dengan mendadak.

Jangan lupa bahawa pengarkib yang dilengkapi dengan alat penyulitan menyediakan pemindahan fail bukan sahaja melalui saluran e-mel. Ia boleh digunakan dengan berkesan untuk mengangkut data menggunakan kaedah lain yang dinyatakan di atas.

Privasi yang Cukup Baik

Satu lagi kaedah penyulitan yang sangat popular boleh dilaksanakan menggunakan Pretty Good Privacy. PGP membuat kejutan apabila Phil Zimmerman mula-mula menerbitkannya secara percuma di Internet pada tahun 1991. PGP menjadi produk komersial pada tahun 1996, dan kemudian hak untuknya telah dibeli oleh Network Associates (NAI) pada tahun 1997. Pada tahun 2002, teknologi ini telah diperoleh daripada NAI oleh sebuah syarikat muda bernama PGP Corporation.

PGP Corporation sejak itu telah menjual versi komersial PGP, yang beroperasi di Persekitaran Windows dan Mac OS X. Versi semasa PGP 9.0, yang menyediakan penyulitan fail individu dan penyulitan cakera penuh, boleh dibina ke dalam AOL Instant Messenger (AIM). Selain itu, PGP 9.0 berintegrasi dengan produk seperti Outlook, Microsoft Entourage, Lotus Notes, Qualcomm Eudora, Mozilla Thunderbird dan Apple Mail.

PGP menggunakan sistem penyulitan kunci awam yang menghasilkan sepasang kunci penyulitan - kunci awam dan kunci persendirian. Kedua-dua kunci ini berkaitan secara matematik sedemikian rupa sehingga data yang disulitkan dengan kunci awam hanya boleh dinyahsulit dengan kunci persendirian. Pengguna PGP menjana pasangan kunci awam-pribadi dan kemudian menerbitkan kunci awam ke direktori kunci awam atau tapak Web. Kunci rahsia, sudah tentu, tidak diterbitkan di mana-mana dan dirahsiakan; ia hanya digunakan oleh pemiliknya. Menyahsulit data menggunakan kunci persendirian memerlukan kata laluan, tetapi menyulitkan data menggunakan kunci awam bukan kerana kunci awam Sesiapa sahaja boleh menggunakannya.

Untuk menjadikan sistem PGP lebih mudah digunakan, pembangunnya telah melaksanakan fungsi untuk mengundi direktori kunci awam secara automatik. Fungsi ini membolehkan anda memasukkan alamat e-mel pengguna ke dalam bar carian dan mencari kunci awamnya. PGP menyediakan keupayaan untuk membaca kunci awam secara automatik, yang boleh disimpan secara setempat pada sistem anda dalam "gelangan kunci" berasaskan fail khas untuk kemudahan akses. Dengan menanyakan direktori kunci awam, PGP membolehkan anda sentiasa menyimpan versi terbaharunya dalam "himpunan". Jika pengguna menukar kunci awam mereka, anda boleh mengakses kunci yang dikemas kini pada bila-bila masa anda memerlukannya.

Untuk memberikan jaminan yang lebih kukuh tentang ketulenan kunci awam, tandatangan digital boleh digunakan menggunakan kunci pengguna lain. Menandatangani kunci oleh pengguna lain berfungsi sebagai pengesahan tambahan bahawa kunci itu sebenarnya milik orang yang mendakwa sebagai pemiliknya. Untuk mengesahkan kunci menggunakan tandatangan digital, PGP melakukan operasi matematik dan menambahkan hasil uniknya pada kunci. Tandatangan itu kemudiannya boleh disahkan dengan membandingkannya dengan kunci tandatangan yang digunakan untuk mencipta tandatangan. Proses ini menyerupai proses seseorang mengesahkan identiti orang lain.

PGP dipercayai oleh ramai kerana ia telah lama membina reputasi dalam industri sebagai teknologi yang boleh dipercayai untuk melindungi maklumat. Walau bagaimanapun, jika anda memutuskan untuk menggunakan PGP atau kaedah penyulitan kunci awam yang lain, ingat bahawa penerima fail anda juga mesti mempunyai sistem penyulitan yang serasi. Salah satu kelebihan PGP apabila menggunakan e-mel sebagai saluran penghantaran data ialah ia menyokong model penyulitannya sendiri, serta teknologi X.509 dan S/MIME, yang akan saya bincangkan kemudian.

Di samping itu, satu lagi perkara harus diperhatikan. Tidak kira sama ada anda bercadang untuk menggunakan PGP, WinZip atau sistem penyulitan lain, jika anda ingin menyulitkan kandungan mesej itu sendiri selain menyulitkan fail yang dilampirkan, anda perlu menulis mesej itu ke fail berasingan dan menyulitkannya juga. Jika dikehendaki, fail mesej ini boleh diletakkan dalam arkib bersama-sama dengan fail lain atau dilampirkan sebagai fail lampiran.

PKI

Infrastruktur Kunci Awam (PKI) adalah unik, tetapi prinsip operasinya agak mengingatkan prinsip PGP. PKI melibatkan penggunaan sepasang kunci - awam dan rahsia. Untuk menyulitkan data yang dihantar kepada penerima, pengirim menggunakan kunci awam penerima; Setelah data dihantar kepada penerima, dia menyahsulitnya menggunakan kunci peribadinya.

Skrin 2: Melihat Kandungan Sijil

Satu perbezaan utama ialah dalam PKI, kunci awam biasanya disimpan dalam format data yang dikenali sebagai sijil. Sijil boleh mengandungi lebih banyak maklumat daripada kunci biasa. Sebagai contoh, sijil biasanya mengandungi tarikh tamat tempoh, jadi kami tahu bila sijil dan kunci berkaitannya tidak lagi sah. Selain itu, sijil mungkin termasuk nama pemilik kunci, alamat, nombor telefon dan maklumat lain. Rajah 2 menunjukkan kandungan sijil seperti yang dipaparkan dalam tetingkap program Microsoft Internet Explorer (IE) atau Outlook. Pada tahap tertentu, kandungan sijil bergantung pada data yang pemilik ingin letakkan di dalamnya.

Seperti PGP, PKI membenarkan pembentukan "rantai amanah" di mana sijil boleh ditandatangani menggunakan sijil pengguna lain. Lebih-lebih lagi, Pihak Berkuasa Sijil (CA) telah muncul. Ini adalah organisasi bebas yang dipercayai yang bukan sahaja mengeluarkan sijil mereka sendiri, tetapi juga menandatangani sijil lain, dengan itu menjamin keasliannya. Seperti PGP dan pelayan utamanya yang berkaitan, sijil boleh diterbitkan kepada pelayan sijil awam atau persendirian atau pelayan LDAP, dihantar melalui e-mel, dan juga dihoskan pada tapak Web atau pelayan fail.

Untuk menyediakan pengesahan sijil automatik, pembangun klien e-mel dan penyemak imbas Web biasanya melengkapkan program mereka dengan alat untuk berinteraksi dengan pelayan pihak berkuasa sijil. Semasa proses ini, anda juga boleh mendapatkan maklumat tentang pembatalan sijil atas satu sebab atau yang lain dan, dengan itu, membuat kesimpulan bahawa sijil ini tidak lagi boleh dipercayai. Sudah tentu, kadangkala anda perlu membayar untuk perkhidmatan pihak berkuasa pensijilan untuk menyediakan dan memperakui sijil; harga mungkin berbeza bergantung pada pihak berkuasa pensijilan yang dipilih. Sesetengah organisasi memberikan pelanggan sijil peribadi percuma melalui e-mel, manakala yang lain mengenakan bayaran yang besar untuk ini.

PKI adalah berdasarkan spesifikasi X.509 (diperolehi daripada spesifikasi LDAP X). Oleh itu, sijil yang dikeluarkan oleh satu pihak berkuasa (termasuk sijil yang anda hasilkan untuk diri sendiri) biasanya boleh digunakan merentas pelbagai platform. Hanya perlu bahawa platform ini serasi dengan standard X.509. Anda boleh menjana sijil sendiri menggunakan mana-mana yang tersedia alatan, seperti OpenSSL.

Jika organisasi anda menggunakan Perkhidmatan Sijil Microsoft, anda boleh meminta sijil melalui perkhidmatan tersebut. Dalam persekitaran Windows Server 2003 dan Windows 2000 Server, proses ini harus diteruskan lebih kurang sama. Anda harus membuka halaman Web pelayan sijil (biasanya terletak di http://servername/CertSrv), kemudian pilih Minta Sijil. hidup muka surat seterusnya anda perlu memilih elemen permintaan sijil pengguna dan ikut arahan Juruweb sehingga proses selesai. Jika perkhidmatan sijil dikonfigurasikan sedemikian rupa sehingga kelulusan pentadbir diperlukan untuk mengeluarkan sijil, sistem akan memberitahu anda tentang perkara ini dengan mesej khas, dan anda perlu menunggu keputusan pentadbir. Dalam kes lain, anda akhirnya akan melihat hiperpautan yang membolehkan anda memasang sijil.

Beberapa pihak berkuasa sijil bebas, seperti Thwate dan InstantSSL Comodo Group, menawarkan sijil e-mel peribadi percuma kepada pengguna; ini adalah cara mudah untuk mendapatkan sijil. Di samping itu, sijil tersebut akan ditandatangani oleh pihak berkuasa yang mengeluarkannya, yang akan memudahkan pengesahan kesahihannya.

Apabila menggunakan PKI untuk menghantar data yang disulitkan menggunakan program e-mel, spesifikasi MIME Secure (S/MIME) akan dimainkan. Outlook, Mozilla Thunderbird dan Apple Mail hanyalah beberapa contoh aplikasi e-mel yang boleh menggunakan protokol ini. Untuk menghantar mesej e-mel yang disulitkan (dengan atau tanpa fail yang dilampirkan) kepada penerima, anda mesti mempunyai akses kepada kunci awam penerima.

Untuk mendapatkan kunci awam pengguna lain, anda boleh melihat maklumat utama pada pelayan LDAP (melainkan kunci itu diterbitkan menggunakan protokol LDAP). Pilihan lain: anda boleh meminta orang ini menghantar mesej kepada anda dengan tandatangan digital; Sebagai peraturan, apabila menghantar mesej yang ditandatangani kepada penerima, pelanggan e-mel yang dilengkapi dengan keupayaan S/MIME melampirkan salinan kunci awam. Atau anda boleh meminta orang yang anda minati untuk menghantar mesej kepada anda dengan kunci awam yang dilampirkan padanya. Anda kemudian boleh menyimpan kunci awam ini dalam antara muka pengurusan kunci yang disertakan dengan klien e-mel anda. Outlook disepadukan dengan Gedung Sijil terbina dalam Windows. Jika anda perlu menggunakan kunci awam, ia akan sentiasa tersedia.

Penyulitan berasaskan penghantar

Voltage Security telah membangunkan teknologi baharu - penyulitan berasaskan identiti (IBE). Secara umum, ia sama dengan teknologi PKI, tetapi mempunyai ciri yang menarik. IBE menggunakan kunci persendirian untuk menyahsulit mesej, tetapi tidak menggunakan kunci awam biasa semasa proses penyulitan. Sebagai kunci sedemikian, IBE menyediakan penggunaannya alamat pos penghantar. Oleh itu, apabila menghantar mesej yang disulitkan kepada penerima, masalah untuk mendapatkan kunci awamnya tidak timbul. Apa yang anda perlukan ialah alamat e-mel orang itu.

Teknologi IBE melibatkan penyimpanan kunci rahsia penerima pada pelayan kunci. Penerima mengesahkan hak aksesnya ke pelayan kunci dan menerima kunci rahsia, yang dengannya dia menyahsulit kandungan mesej. Teknologi IBE boleh digunakan Pengguna Outlook, Outlook Express, Lotus Notes, Pocket PC dan Research in Motion (RIM) BlackBerry. Menurut wakil Voltage Security, IBE juga berjalan pada mana-mana sistem e-mel berasaskan pelayar yang menjalankan hampir semua sistem pengendalian. Berkemungkinan sedemikian penyelesaian universal Keselamatan Voltan adalah apa yang anda perlukan.

Perlu diperhatikan bahawa teknologi IBE digunakan dalam produk FrontBridge Technologies sebagai satu cara untuk memudahkan pertukaran selamat bagi mesej e-mel yang disulitkan. Anda mungkin sudah tahu bahawa pada Julai 2005, FrontBridge telah diperoleh oleh Microsoft, yang merancang untuk menyepadukan penyelesaian FrontBridge dengan Exchange; Ia mungkin tidak lama sebelum gabungan teknologi ini ditawarkan kepada pengguna sebagai perkhidmatan terurus. Jika organisasi anda dan sistem e-mel rakan kongsi anda berdasarkan Exchange, perhatikan perkembangan dalam bidang ini.

Semua perkara yang dianggap

Terdapat banyak cara untuk memindahkan fail dengan selamat melalui Internet, dan sudah pasti yang paling mudah dan paling berkesan daripadanya disediakan melalui e-mel. Sudah tentu, mereka yang terpaksa menukar sejumlah besar fail yang membentuk sejumlah besar data mungkin ingin mempertimbangkan untuk menggunakan kaedah lain.

Pertimbangan yang teliti harus diberikan kepada berapa banyak fail yang akan anda pindahkan, berapa besarnya, kekerapan anda perlu memindahkan fail, siapa yang sepatutnya mempunyai akses kepadanya, dan bagaimana ia akan disimpan di tempat ia diterima. Dengan mengambil kira faktor ini, anda boleh memilih kaedah terbaik untuk memindahkan fail.

Jika anda membuat kesimpulan bahawa pilihan terbaik untuk anda - e-mel, perlu diingat bahawa semasa ketibaan mel pada banyak pelayan mel dan pelanggan mel anda boleh menjalankan skrip atau melakukan tindakan tertentu berdasarkan peraturan. Menggunakan fungsi ini, anda boleh mengautomasikan pergerakan fail di sepanjang laluan pada pelayan mel dan apabila fail tiba dalam peti mel anda.

Mark Joseph Edwards ialah editor kanan di Windows IT Pro dan pengarang surat berita e-mel KEMASKINI Keselamatan mingguan ( http://www.windowsitpro.com/email). [e-mel dilindungi]

Teknologi saluran selamat direka untuk memastikan keselamatan penghantaran data melalui rangkaian pengangkutan terbuka, seperti Internet. Saluran selamat melibatkan pelaksanaan tiga fungsi utama:

· pengesahan bersama pelanggan apabila membuat sambungan, yang boleh dilakukan, sebagai contoh, dengan menukar kata laluan;

· perlindungan mesej yang dihantar melalui saluran daripada capaian yang tidak dibenarkan, contohnya, melalui penyulitan;

· pengesahan integriti mesej yang tiba melalui saluran, contohnya, dengan menghantar serentak dengan mesej ringkasannya.

Satu set saluran selamat yang dibuat oleh perusahaan pada rangkaian awam untuk menyambungkan cawangannya sering dipanggil rangkaian peribadi maya(Rangkaian Peribadi Maya, VPN).

Terdapat pelaksanaan berbeza teknologi saluran selamat, yang, khususnya, boleh beroperasi pada tahap model OSI yang berbeza. Oleh itu, fungsi protokol SSL yang popular sepadan dengan wakil Tahap model OSI. Versi baharu rangkaian Protokol IP menyediakan semua ciri—pengesahan bersama, penyulitan dan integriti—yang wujud pada saluran selamat, manakala protokol terowong PPTP melindungi data daripada saluran tahap.

Bergantung pada lokasi perisian saluran selamat, terdapat dua skema untuk pembentukannya:

· gambar rajah dengan nod akhir berinteraksi melalui rangkaian awam (Rajah 1.2, a);

· gambar rajah dengan peralatan pembekal perkhidmatan rangkaian awam yang terletak di sempadan antara rangkaian persendirian dan awam (Rajah 1.2, b).

Dalam kes pertama, saluran selamat dibentuk oleh perisian yang dipasang pada dua komputer jauh, kepunyaan dua rangkaian tempatan yang berbeza bagi perusahaan yang sama dan saling berkaitan melalui rangkaian awam. Kelebihan pendekatan ini ialah keselamatan lengkap saluran di sepanjang laluan keseluruhan, serta keupayaan untuk menggunakan mana-mana protokol untuk mencipta saluran selamat, selagi protokol yang sama disokong pada titik akhir saluran. Kelemahannya ialah redundansi dan desentralisasi penyelesaian. Lebihan adalah bahawa ia tidak berbaloi untuk mencipta saluran selamat di sepanjang laluan data keseluruhan: rangkaian bertukar paket biasanya terdedah kepada penyerang, bukan saluran rangkaian telefon atau saluran khusus yang melaluinya rangkaian tempatan disambungkan ke rangkaian tempatan. Oleh itu, melindungi saluran akses rangkaian awam boleh dianggap berlebihan. Desentralisasi bermakna bahawa bagi setiap komputer yang perlu menyediakan perkhidmatan saluran selamat, adalah perlu untuk memasang, mengkonfigurasi dan mentadbir perisian perlindungan data secara berasingan. Menyambungkan setiap komputer baharu ke saluran selamat memerlukan kerja yang memakan masa ini sekali lagi.

Rajah 1.2 – Dua cara untuk membentuk saluran selamat

Dalam kes kedua, pelanggan dan pelayan tidak mengambil bahagian dalam mencipta saluran selamat - ia diletakkan hanya dalam rangkaian penukaran paket awam, sebagai contoh, dalam Internet. Saluran boleh diletakkan, sebagai contoh, antara pelayan akses jauh pembekal perkhidmatan rangkaian awam dan penghala tepi rangkaian korporat. Ia adalah penyelesaian yang sangat berskala, diuruskan secara berpusat oleh kedua-dua pentadbir rangkaian korporat dan pentadbir rangkaian pembekal perkhidmatan. Untuk komputer rangkaian korporat, saluran adalah telus - perisian nod akhir ini kekal tidak berubah. Pendekatan fleksibel ini memudahkan untuk mencipta saluran baharu untuk interaksi selamat antara komputer, tanpa mengira lokasinya. Pelaksanaan pendekatan ini lebih rumit - protokol standard untuk pembentukan saluran selamat diperlukan, perisian yang menyokong protokol sedemikian diperlukan untuk dipasang pada semua penyedia perkhidmatan, dan sokongan untuk protokol oleh pengeluar peralatan komunikasi tepi adalah diperlukan. Walau bagaimanapun, pilihan apabila semua kebimbangan mengenai mengekalkan saluran selamat diambil alih oleh penyedia perkhidmatan rangkaian awam meninggalkan keraguan tentang kebolehpercayaan perlindungan: pertama, saluran akses ke rangkaian awam tidak dilindungi, dan kedua, pengguna perkhidmatan berasa sepenuhnya bergantung kepada kebolehpercayaan perkhidmatan pembekal. Dan, bagaimanapun, pakar meramalkan bahawa ia adalah skim kedua yang akan menjadi yang utama dalam pembinaan saluran selamat dalam masa terdekat.

2. Prinsip perlindungan maklumat kriptografi

Kriptografi ialah satu set kaedah transformasi data yang bertujuan untuk menjadikan data ini tidak boleh diakses oleh musuh. Transformasi sedemikian membolehkan kami menyelesaikan dua masalah perlindungan data utama: isu privasi(dengan melucutkan peluang musuh untuk mengekstrak maklumat daripada saluran komunikasi) dan masalah integriti(dengan menghalang musuh daripada peluang untuk menukar mesej supaya maknanya berubah, atau untuk memperkenalkan maklumat palsu ke dalam saluran komunikasi).

Masalah kerahsiaan dan integriti maklumat adalah berkait rapat, jadi kaedah untuk menyelesaikan salah satu daripadanya selalunya boleh digunakan untuk menyelesaikan yang lain.

2.1. Gambar rajah sistem kriptografi simetri

Gambar rajah umum sistem kriptografi yang menyediakan penyulitan maklumat yang dihantar ditunjukkan dalam Rajah 2.1.

Rajah 2.1 – Gambar rajah umum sistem kripto

penghantar menjana teks kosong mesej asal M, yang mesti dihantar kepada yang sah penerima melalui saluran tidak selamat. Menonton saluran pemintas untuk memintas dan mendedahkan mesej yang dihantar. Untuk menghalang pemintas daripada mempelajari kandungan mesej M, pengirim menyulitkannya menggunakan penjelmaan boleh balik E K dan menerima teks sifir(atau kriptogram) C = E K (M), yang menghantar kepada penerima.

Penerima yang sah, setelah menerima teks sifir C, menyahsulitnya menggunakan penjelmaan songsang D = E K –1 dan menerima mesej asal dalam bentuk plaintext M:

D K (C) = E K –1 (E K (M)) = M.

Transformasi E K dipilih daripada keluarga transformasi kriptografi yang dipanggil cryptoalgorithm. Parameter di mana transformasi individu yang digunakan dipilih dipanggil kunci kriptografi K. Sistem kriptografi mempunyai pilihan pelaksanaan yang berbeza: satu set arahan, perkakasan, satu set program komputer yang membolehkan anda menyulitkan teks biasa dan menyahsulit teks sifir cara yang berbeza, salah satunya dipilih menggunakan kunci K tertentu.

Sistem kriptografi ialah keluarga satu parameter bagi penjelmaan boleh terbalik

daripada ruang mesej teks biasa kepada ruang teks sifir. Parameter K (kunci) dipilih daripada set terhingga dipanggil ruang kunci.

Transformasi penyulitan boleh menjadi simetri atau asimetrik berkenaan dengan transformasi penyahsulitan. Sifat penting fungsi penukaran ini mentakrifkan dua kelas sistem kripto:

· sistem kriptografi simetri (kunci tunggal);

· sistem kriptografi tidak simetri (dua kunci) (dengan kunci awam).

Gambar rajah sistem kripto simetri dengan satu kunci rahsia ditunjukkan dalam Rajah 2.1. Ia menggunakan kunci rahsia yang sama dalam blok penyulitan dan blok penyahsulitan.

2.2. Gambar rajah sistem kriptografi asimetri

Gambar rajah umum sistem kripto asimetri dengan dua kekunci K 1 dan K 2 yang berbeza ditunjukkan dalam Rajah. 2.2. Dalam sistem kripto ini, salah satu kunci adalah awam dan satu lagi adalah rahsia.

Rajah 2.2 – Gambar rajah umum bagi sistem kripto tidak simetri

dengan kunci awam

Dalam sistem kriptografi simetri, kunci rahsia mesti dihantar kepada pengirim dan penerima melalui saluran pengedaran kunci yang selamat, seperti perkhidmatan kurier. Dalam Rajah. 2.1 saluran ini ditunjukkan sebagai garisan "terlindung". Terdapat cara lain untuk mengedarkan kunci rahsia, ini akan dibincangkan kemudian. Dalam sistem kripto tidak simetri, hanya kunci awam dihantar melalui saluran yang tidak selamat, dan kunci rahsia disimpan di tempat ia dijana.

Dalam Rajah. Rajah 2.3 menunjukkan aliran maklumat dalam sistem kripto sekiranya berlaku tindakan aktif oleh pemintas. Pendengar yang aktif bukan sahaja membaca semua teks sifir yang dihantar melalui saluran, tetapi juga boleh cuba mengubahnya sesuka hati.

Sebarang percubaan oleh pihak penyadap untuk menyahsulit teks sifir C untuk mendapatkan teks biasa M, atau untuk menyulitkan teksnya sendiri M' untuk mendapatkan teks sifir C' yang munasabah, tanpa mempunyai kunci sebenar dipanggil serangan cryptanalytic.

Rajah 2.3 – Aliran maklumat dalam sistem kripto apabila aktif

pemintasan mesej

Jika serangan cryptanalytic yang dilakukan tidak mencapai matlamatnya dan cryptanalyst tidak boleh, tanpa mempunyai kunci tulen, menyimpulkan M daripada C atau C' daripada M', maka ia dianggap bahawa sistem kripto tersebut adalah tahan kripto.

Analisis kriptografi ialah sains mendedahkan teks asal mesej yang disulitkan tanpa akses kepada kunci. Analisis yang berjaya boleh mendedahkan teks asal atau kunci. Ia juga membolehkan anda mengesan bintik-bintik lemah dalam sistem kripto, yang akhirnya membawa kepada hasil yang sama.

Peraturan asas kriptanalisis, pertama kali dirumuskan oleh orang Belanda A. Kerkhoff pada abad ke-19, ialah kekuatan sifir (sistem kripto) harus ditentukan hanya dengan kerahsiaan kunci. Dalam erti kata lain, peraturan Kerkhoff ialah keseluruhan algoritma penyulitan, kecuali nilai kunci rahsia, diketahui oleh cryptanalyst musuh. Ini disebabkan oleh fakta bahawa sistem kriptografi yang melaksanakan keluarga transformasi kriptografi biasanya dianggap sebagai sistem terbuka.

2.3. Perkakasan dan perisian untuk melindungi maklumat komputer

Perkakasan dan perisian yang menyediakan tahap perlindungan yang lebih tinggi boleh dibahagikan kepada lima kumpulan utama (Gamb. 2.4).

Kumpulan pertama dibentuk sistem pengenalan dan pengesahan pengguna. Sistem sedemikian digunakan untuk menyekat akses pengguna rawak dan menyalahi undang-undang kepada sumber sistem komputer. Algoritma umum pengendalian sistem ini adalah untuk mendapatkan maklumat pengenalan daripada pengguna, mengesahkan ketulenannya, dan kemudian memberikan (atau tidak memberikan) keupayaan kepada pengguna ini untuk bekerja dengan sistem.

Apabila membina sistem sedemikian, masalah memilih maklumat berdasarkan prosedur pengenalan dan pengesahan pengguna dijalankan. Jenis berikut boleh dibezakan:

(1) maklumat rahsia yang dimiliki pengguna (kata laluan, pengecam peribadi, kunci rahsia, dsb.); pengguna mesti ingat maklumat ini atau cara khas untuk menyimpan maklumat ini boleh digunakan);

(2) parameter fisiologi seseorang (cap jari, corak iris, dll.) atau ciri tingkah laku manusia (ciri bekerja pada papan kekunci, dll.).

Sistem pengenalan berdasarkan jenis maklumat pertama biasanya dipertimbangkan tradisional. Sistem pengenalan yang menggunakan jenis maklumat kedua dipanggil biometrik.

Kumpulan kedua cara yang menyediakan tahap perlindungan yang lebih tinggi ialah sistem penyulitan cakera. Masalah utama yang diselesaikan oleh sistem sedemikian adalah untuk melindungi daripada penggunaan tanpa kebenaran data yang terletak pada media magnetik.

Memastikan kerahsiaan data yang terletak pada media magnetik dijalankan dengan menyulitkannya menggunakan algoritma penyulitan simetri. Ciri klasifikasi utama untuk kompleks penyulitan ialah tahap penyepaduan mereka ke dalam sistem komputer.

Pengendalian program aplikasi dengan pemacu cakera terdiri daripada dua peringkat - "logik" dan "fizikal".

Peringkat logik bersesuaian dengan tahap interaksi program permohonan dengan sistem pengendalian (contohnya, memanggil fungsi perkhidmatan untuk membaca/menulis data). Pada tahap ini, objek utama ialah fail.

Peringkat fizikal sepadan dengan tahap interaksi antara sistem pengendalian dan perkakasan. Objek tahap ini adalah struktur organisasi fizikal data - sektor cakera.

Akibatnya, sistem penyulitan data boleh melakukan transformasi kriptografi data pada peringkat fail (protected fail berasingan) dan pada tahap cakera (keseluruhan cakera dilindungi).

Satu lagi ciri klasifikasi sistem penyulitan data cakera ialah cara ia beroperasi.

Mengikut kaedah berfungsi, sistem penyulitan data cakera dibahagikan kepada dua kelas:

(1) sistem penyulitan "telus";

(2) sistem yang dipanggil khusus untuk melaksanakan penyulitan.

Rajah 2.4 – Perkakasan dan perisian untuk melindungi maklumat komputer

Dalam sistem penyulitan telus (penyulitan on-the-fly) transformasi kriptografi dijalankan dalam masa nyata, tanpa disedari oleh pengguna. Sebagai contoh, pengguna menulis disediakan dalam penyunting teks dokumen ke cakera yang dilindungi, dan sistem keselamatan menyulitkannya semasa proses rakaman.

Sistem kelas kedua biasanya utiliti yang mesti dipanggil secara khusus untuk melaksanakan penyulitan. Ini termasuk, sebagai contoh, pengarkib dengan perlindungan kata laluan terbina dalam.

Kumpulan dana ketiga termasuk sistem penyulitan untuk data yang dihantar melalui rangkaian komputer. Terdapat dua kaedah penyulitan utama: penyulitan saluran dan penyulitan terminal (pelanggan).

Bila penyulitan saluran Semua maklumat yang dihantar melalui saluran komunikasi, termasuk maklumat perkhidmatan, dilindungi. Prosedur penyulitan yang sepadan dilaksanakan menggunakan protokol lapisan pautan tujuh lapisan model rujukan interaksi sistem terbuka OSI.

Kaedah penyulitan ini mempunyai kelebihan berikut - membenamkan prosedur penyulitan ke dalam lapisan pautan data membolehkan penggunaan perkakasan, yang membantu meningkatkan prestasi sistem.

Walau bagaimanapun, pendekatan ini terdapat kelemahan yang ketara:

Semua maklumat tertakluk kepada penyulitan pada tahap ini, termasuk data perkhidmatan protokol pengangkutan; ini merumitkan mekanisme untuk penghalaan paket rangkaian dan memerlukan penyahsulitan data dalam peranti pensuisan perantaraan (pintu masuk, pengulang, dll.);

Penyulitan maklumat perkhidmatan, yang tidak dapat dielakkan pada tahap ini, boleh membawa kepada kemunculan corak statistik dalam data yang disulitkan; ini menjejaskan kebolehpercayaan perlindungan dan mengenakan sekatan ke atas penggunaan algoritma kriptografi.

Penyulitan terminal (pelanggan). membolehkan anda memastikan kerahsiaan data yang dihantar antara dua objek aplikasi (pelanggan). Penyulitan hujung ke hujung dilaksanakan menggunakan aplikasi atau protokol lapisan wakil model rujukan OSI. Dalam kes ini, hanya kandungan mesej yang dilindungi, semua maklumat perkhidmatan tetap terbuka. Kaedah ini mengelakkan masalah yang berkaitan dengan menyulitkan maklumat perkhidmatan, tetapi masalah lain timbul. Khususnya, penyerang dengan akses kepada saluran komunikasi rangkaian komputer, mampu menganalisis maklumat tentang struktur pertukaran mesej, contohnya, tentang penghantar dan penerima, masa dan syarat pemindahan data, serta jumlah data yang dipindahkan.

Kumpulan keempat peralatan perlindungan terdiri daripada sistem pengesahan data elektronik.

Apabila menukar data elektronik melalui rangkaian komunikasi, masalah mengesahkan pengarang dokumen dan dokumen itu sendiri timbul, i.e. menentukan keaslian pengarang dan menyemak bahawa tiada perubahan dalam dokumen yang diterima.

Untuk mengesahkan data elektronik, kod pengesahan mesej (imit insertion) atau tandatangan digital elektronik digunakan. Apabila menjana kod pengesahan mesej dan tandatangan digital elektronik, pelbagai jenis sistem penyulitan digunakan.

Kod pengesahan mesej MAC (Kod Pengesahan Mesej) dibentuk menggunakan sistem penyulitan data simetri. Integriti mesej yang diterima disahkan dengan menyemak kod MAC oleh penerima mesej.

Piawaian domestik untuk penyulitan data simetri (GOST 28147-89) menyediakan mod untuk menjana sisipan tiruan, menyediakan perlindungan tiruan, iaitu perlindungan sistem komunikasi yang disulitkan daripada pengenaan data palsu.

Imitovskak dijana daripada data biasa melalui transformasi penyulitan khas menggunakan kunci rahsia dan dihantar melalui saluran komunikasi pada penghujung data yang disulitkan. Sisipan penyamaran disahkan oleh penerima mesej, yang memiliki kunci rahsia, dengan mengulangi prosedur yang sebelum ini dilakukan oleh pengirim pada data awam yang diterima.

Tandatangan digital elektronik(EDS) ialah sejumlah kecil maklumat digital pengesahan tambahan yang dihantar bersama dengan teks yang ditandatangani.

Untuk melaksanakan tandatangan digital, prinsip penyulitan asimetri digunakan. Sistem tandatangan digital termasuk prosedur untuk menghasilkan tandatangan digital oleh pengirim menggunakan kunci rahsia penghantar dan prosedur untuk mengesahkan tandatangan oleh penerima menggunakan kunci awam penghantar.

Kumpulan kelima cara menyediakan tahap perlindungan yang lebih tinggi ialah kawalan borang maklumat penting . Maklumat utama difahami sebagai keseluruhan semua yang digunakan dalam sistem komputer atau rangkaian kunci kriptografi.

Keselamatan mana-mana algoritma kriptografi ditentukan oleh kunci kriptografi yang digunakan. Jika pengurusan kunci tidak selamat, penyerang boleh mendapatkan maklumat penting dan mendapatkannya akses penuh kepada semua maklumat pada sistem atau rangkaian komputer.

Ciri klasifikasi utama alat pengurusan maklumat utama ialah jenis fungsi pengurusan kunci. Jenis utama fungsi pengurusan kunci ialah: penjanaan kunci, penyimpanan kunci dan pengedaran kunci.

Kaedah penjanaan utama berbeza untuk simetri dan a sistem kriptografi simetri. Untuk menjana kunci bagi sistem kripto simetri, perkakasan dan perisian digunakan untuk menjana nombor rawak, khususnya, skema menggunakan algoritma penyulitan simetri blok. Menjana kunci untuk sistem kripto asimetri adalah tugas yang jauh lebih kompleks kerana keperluan untuk mendapatkan kunci dengan sifat matematik tertentu.

Fungsi penyimpanan kunci melibatkan penganjuran penyimpanan, perakaunan dan pelupusan kunci yang selamat. Untuk memastikan penyimpanan dan penghantaran kunci selamat, ia disulitkan menggunakan kunci lain. Pendekatan ini membawa kepada konsep hierarki utama. Hierarki kunci biasanya termasuk kunci induk, kunci penyulitan kunci dan kunci penyulitan data. Perlu diingatkan bahawa penjanaan dan penyimpanan kunci induk adalah isu kritikal dalam keselamatan kriptografi.

Pengedaran kunci adalah proses paling kritikal dalam pengurusan utama. Proses ini mesti menjamin kerahsiaan kunci yang diedarkan, serta kecekapan dan ketepatan pengedarannya. Terdapat dua cara utama untuk mengedarkan kunci antara pengguna rangkaian komputer:

1) penggunaan satu atau lebih pusat pengedaran utama;

2) pertukaran terus kunci sesi antara pengguna.

Mencipta saluran penghantaran data yang selamat antara sumber maklumat perusahaan yang diedarkan

A. A. Terenin, Ph.D.,

Pakar jaminan kualiti IT dan perisian

Deutsche Bank Moscow

Pada masa ini, perusahaan besar dengan rangkaian cawangan di negara atau dunia perlu mewujudkan satu ruang maklumat dan memastikan penyelarasan aktiviti yang jelas antara cawangannya.

Untuk menyelaraskan proses perniagaan yang berlaku di pelbagai cawangan, adalah perlu untuk bertukar maklumat antara mereka. Data yang datang dari pelbagai pejabat terkumpul untuk pemprosesan, analisis dan penyimpanan selanjutnya di beberapa ibu pejabat. Maklumat terkumpul kemudiannya digunakan untuk menyelesaikan masalah perniagaan oleh semua cawangan perusahaan.

Data yang ditukar antara cawangan tertakluk kepada keperluan ketat untuk kebolehpercayaan dan integritinya. Di samping itu, data yang membentuk rahsia perdagangan mesti disimpan sifat sulit. Untuk lengkap kerja selari Semua pejabat mesti bertukar maklumat dalam talian (dalam masa nyata). Dalam erti kata lain, saluran penghantaran data tetap mesti diwujudkan antara cawangan perusahaan dan ibu pejabat. Untuk menyediakan operasi tanpa gangguan Saluran sedemikian mengenakan keperluan untuk mengekalkan kebolehcapaian kepada setiap sumber maklumat.

Kami meringkaskan keperluan yang mesti dipenuhi oleh saluran penghantaran data antara cawangan perusahaan untuk melaksanakan tugas memastikan komunikasi berterusan dengan kualiti tinggi:

saluran penghantaran data mestilah malar,

data yang dihantar melalui saluran sedemikian mesti mengekalkan integriti, kebolehpercayaan dan kerahsiaan.

Di samping itu, fungsi saluran komunikasi kekal yang boleh dipercayai menunjukkan bahawa pengguna sah sistem akan mempunyai akses kepada sumber maklumat pada bila-bila masa.

Selain sistem korporat teragih yang beroperasi dalam masa nyata, terdapat sistem yang beroperasi di luar talian. Pertukaran data dalam sistem sedemikian tidak berlaku secara berterusan, tetapi pada tempoh masa tertentu: sekali sehari, sekali sejam, dsb. Data dalam sistem sedemikian terkumpul dalam pangkalan data cawangan berasingan (DB), serta dalam pangkalan data pusat, dan hanya data daripada pangkalan data ini dianggap boleh dipercayai.

Tetapi walaupun pertukaran maklumat berlaku hanya sekali sehari, adalah perlu untuk mewujudkan saluran penghantaran data yang selamat, yang tertakluk kepada keperluan yang sama untuk memastikan kebolehpercayaan, integriti dan kerahsiaan, serta ketersediaan untuk tempoh operasi saluran.

Keperluan kebolehpercayaan bermakna memastikan akses yang dibenarkan, pengesahan pihak-pihak kepada interaksi dan memastikan ketidakbolehterimaan penolakan pengarang dan fakta pemindahan data.

Keperluan yang lebih ketat dikenakan ke atas sistem untuk memastikan keselamatan transaksi maklumat dalam persekitaran maklumat yang diedarkan, tetapi ini adalah topik untuk artikel yang berasingan.

Bagaimana untuk memastikan perlindungan saluran penghantaran data sedemikian?

Anda boleh menyambungkan setiap cawangan ke setiap cawangan dengan saluran penghantaran data fizikal (atau hanya semua cawangan ke pusat) dan memastikan bahawa adalah mustahil untuk mengakses medium penghantaran fizikal isyarat maklumat. Ya, penyelesaian sedemikian mungkin boleh diterima untuk pelaksanaan dalam satu kemudahan yang dilindungi, tetapi kita bercakap tentang sistem korporat yang diedarkan, di mana jarak antara objek interaksi boleh diukur dalam beribu-ribu kilometer. Kos untuk melaksanakan rancangan sedemikian adalah sangat tinggi sehingga ia tidak akan menjimatkan kos.

Pilihan lain: menyewa saluran komunikasi yang sedia ada atau saluran satelit daripada operator telekomunikasi. Penyelesaian sedemikian juga mahal, dan melindungi saluran ini memerlukan pelaksanaan atau pemasangan perisian khas untuk setiap pihak yang berinteraksi.

Penyelesaian yang sangat biasa, murah dan berkesan ialah mengatur saluran komunikasi yang selamat melalui Internet.

Pada masa kini sukar untuk membayangkan organisasi yang tidak mempunyai akses kepada Internet dan tidak menggunakan World Wide Web untuk mengatur proses perniagaannya. Di samping itu, pasaran teknologi maklumat tepu dengan peralatan rangkaian dan perisian pengeluar yang berbeza dengan sokongan keselamatan maklumat terbina dalam. Terdapat piawaian, protokol rangkaian selamat yang menjadi asas bagi produk perkakasan dan perisian yang dicipta yang digunakan untuk mengatur interaksi selamat dalam rangkaian maklumat terbuka.

Mari kita lihat dengan lebih dekat cara anda boleh mencipta saluran penghantaran data yang selamat melalui Internet.

Masalah penghantaran data selamat melalui rangkaian terbuka dibincangkan secara meluas dalam kesusasteraan popular dan massa:

World Wide Web Internet sentiasa berkembang, cara untuk menghantar dan memproses data sedang dibangunkan, peralatan untuk memintas data yang dihantar dan mengakses maklumat sulit. Pada masa ini, masalah memastikan perlindungan maklumat daripada penyalinan, pemusnahan atau pengubahsuaian tanpa kebenaran semasa penyimpanan, pemprosesan dan penghantaran melalui saluran komunikasi menjadi semakin mendesak.

Perlindungan maklumat apabila dihantar melalui saluran komunikasi terbuka menggunakan penyulitan asimetri dibincangkan dalam, dan masalah serta cara untuk menyelesaikannya apabila menggunakan tandatangan digital elektronik dibincangkan dalam.

Artikel ini membincangkan secara terperinci kaedah untuk memastikan keselamatan maklumat apabila menghantar data rahsia melalui saluran komunikasi terbuka.

Untuk melindungi maklumat yang dihantar melalui saluran komunikasi awam, banyak langkah keselamatan digunakan: data disulitkan, paket disediakan dengan maklumat kawalan tambahan, dan protokol pertukaran data dengan tahap keselamatan yang tinggi digunakan.

Sebelum memutuskan cara untuk melindungi data yang dihantar, adalah perlu untuk menggariskan dengan jelas julat kemungkinan kelemahan, senarai kaedah memintas, memutarbelit atau memusnahkan data, dan kaedah menyambung ke saluran komunikasi. Jawab soalan tentang matlamat yang dikejar oleh penyerang dan cara mereka boleh menggunakan kelemahan sedia ada untuk melaksanakan rancangan mereka.

Keperluan tambahan untuk saluran penghantaran data perlindungan yang dilaksanakan termasuk:

pengenalpastian dan pengesahan pihak yang berinteraksi;

prosedur untuk melindungi daripada penggantian salah satu pihak (penggunaan algoritma kriptografi kunci awam);

kawalan ke atas integriti data yang dihantar, laluan penghantaran maklumat dan tahap perlindungan saluran komunikasi;

mengkonfigurasi dan menyemak kualiti saluran komunikasi;

pemampatan maklumat yang dihantar;

pengesanan dan pembetulan ralat semasa menghantar data melalui saluran komunikasi;

audit dan pendaftaran acara;

pemulihan automatik prestasi.

Mari kita bina model penceroboh dan model objek yang dilindungi (Gamb. 1).

Algoritma penubuhan sambungan

Untuk melaksanakan saluran penghantaran data yang selamat, model interaksi pelanggan-pelayan digunakan.

Dua pihak dipertimbangkan: pelayan dan klien - stesen kerja yang ingin mewujudkan sambungan dengan pelayan untuk kerja selanjutnya dengannya.

Pada mulanya, hanya terdapat dua kunci: kunci awam dan peribadi pelayan ( OKS Dan ZKS), dan kunci awam pelayan diketahui oleh semua orang dan dihantar kepada klien apabila dia mengakses pelayan. Kunci peribadi pelayan disimpan dalam kerahsiaan paling ketat pada pelayan.

Pemula sambungan ialah klien; dia mendapat akses kepada pelayan melalui mana-mana rangkaian global yang mana pelayan ini berfungsi, selalunya melalui Internet.

Tugas utama apabila memulakan sambungan adalah untuk mewujudkan saluran pertukaran data antara dua pihak yang berinteraksi, mencegah kemungkinan pemalsuan dan mencegah situasi penggantian pengguna, apabila sambungan diwujudkan dengan satu pengguna, dan kemudian peserta lain dalam sistem menyambung ke salah satu sisi saluran dan mula menghantar mesej yang sesuai untuk pengguna yang sah, pengguna, atau menghantar mesej bagi pihak orang lain.

Adalah perlu untuk memperuntukkan kemungkinan penyerang menyambung pada bila-bila masa dan mengulangi prosedur "jabat tangan" pada selang masa tertentu, tempoh yang mesti ditetapkan kepada minimum yang dibenarkan.

Berdasarkan andaian bahawa ZKS Dan OKS telah pun dicipta, dan OKS semua orang tahu dan ZKS– hanya kepada pelayan, kami terima algoritma seterusnya:

1. Pelanggan menghantar permintaan sambungan kepada pelayan.

2. Pelayan memulakan aplikasi, menghantar ke stesen yang meminta beberapa mesej khas untuk aplikasi pelanggan yang telah dipasang sebelumnya, di mana kunci awam pelayan dikodkan keras.

3. Pelanggan menjana kuncinya (awam dan peribadi) untuk berfungsi dengan pelayan ( OKC Dan ZKK).

4. Pelanggan menjana kunci sesi ( KS) (kunci penyulitan mesej simetri).

5. Pelanggan menghantar komponen berikut ke pelayan:

kunci awam pelanggan ( OKC);

kunci sesi;

mesej rawak(mari kita panggil X), disulitkan dengan kunci awam pelayan menggunakan algoritma RSA.

6. Pelayan memproses mesej yang diterima dan menghantar mesej sebagai tindak balas X, disulitkan dengan kunci sesi (penyulitan simetri) + disulitkan dengan kunci awam pelanggan (penyulitan asimetri, contohnya algoritma RSA) + ditandatangani oleh kunci peribadi pelayan ( RSA, DSA, GOST) (iaitu, jika di sisi klien selepas penyahsulitan kami menerima X sekali lagi, maka ini bermakna:

mesej datang dari pelayan (tandatangan - ZKS);

pelayan menerima kami OKC(dan disulitkan dengan kunci kami);

pelayan diterima KS(menyulitkan mesej dengan kunci ini).

7. Pelanggan menerima mesej ini, mengesahkan tandatangan dan menyahsulit teks yang diterima. Jika, akibat daripada melakukan semua tindakan terbalik, kami menerima mesej yang sama sepenuhnya dengan mesej yang dihantar ke pelayan X, maka ia dianggap bahawa saluran pertukaran data selamat dipasang dengan betul dan bersedia sepenuhnya untuk beroperasi dan melaksanakan fungsinya.

8. Selepas itu, kedua-dua pihak mula bertukar-tukar mesej, yang ditandatangani dengan kunci peribadi pengirim dan disulitkan dengan kunci sesi.

Gambar rajah algoritma penubuhan sambungan ditunjukkan dalam Rajah. 2.

Algoritma untuk menyediakan mesej untuk dihantar ke saluran selamat

Perumusan masalah adalah seperti berikut: input algoritma adalah teks asal (terbuka), dan pada output, melalui transformasi kriptografi, kami memperoleh fail tertutup dan ditandatangani. Tugas utama yang diberikan kepada algoritma ini adalah untuk memastikan penghantaran teks selamat dan memberikan perlindungan dalam saluran yang tidak dilindungi.

Ia juga perlu untuk memperkenalkan keupayaan untuk menghalang pendedahan maklumat apabila mesej dipintas oleh penyerang. Rangkaian terbuka; mana-mana pengguna dalam rangkaian ini boleh memintas sebarang mesej yang dihantar melalui pautan data. Tetapi terima kasih kepada perlindungan yang wujud dalam algoritma ini, data yang diperoleh oleh penyerang akan sama sekali tidak berguna kepadanya.

Sememangnya, adalah perlu untuk menyediakan pilihan pembukaan dengan carian menyeluruh, tetapi perlu mengambil kira masa yang dihabiskan untuk pembukaan, yang dikira dengan cara yang diketahui, dan gunakan panjang kunci yang sesuai yang menjamin ketakdedahan maklumat yang mereka tutupi dalam masa tertentu.

Terdapat juga kemungkinan bahawa di hujung saluran yang lain (di sebelah penerima) terdapat penyerang yang menggantikan wakil sah. Terima kasih kepada algoritma ini, mesej yang mudah jatuh ke tangan penyerang sedemikian juga akan menjadi "tidak boleh dibaca", kerana penipu tidak mengetahui kunci awam dan peribadi pihak yang telah ditipunya, serta kunci sesi.

Algoritma boleh dilaksanakan seperti berikut (Rajah 3):

teks sumber dimampatkan menggunakan algoritma ZIP;

selari dengan proses ini, teks sumber ditandatangani dengan kunci awam penerima;

teks termampat disulitkan dengan kunci sesi simetri, kunci ini juga berada di bahagian penerima;

tandatangan digital ditambahkan pada teks yang disulitkan dan dimampatkan, secara unik mengenal pasti pengirim;

mesej sedia untuk dihantar dan boleh dihantar melalui saluran komunikasi.

Algoritma untuk memproses mesej apabila diterima daripada saluran selamat

Input algoritma disulitkan, dimampatkan dan teks yang ditandatangani, yang kami terima melalui saluran komunikasi. Tugas algoritma adalah untuk mendapatkan, menggunakan transformasi kriptografi terbalik, plaintext asal, mengesahkan ketulenan mesej dan kepengarangannya.

Oleh kerana tugas utama sistem adalah untuk mencipta saluran selamat pada talian komunikasi yang tidak selamat, setiap mesej mengalami perubahan yang kuat dan membawa bersamanya kawalan dan maklumat kawalan. Proses membalikkan teks asal juga memerlukan masa penukaran yang agak lama dan menggunakan algoritma kriptografi moden yang melibatkan operasi pada nombor yang sangat besar.

Jika mahu, sediakan perlindungan maksimum Untuk menghantar mesej melalui saluran yang selamat, seseorang itu perlu menggunakan operasi yang memakan masa dan intensif sumber. Walaupun kami mendapat keselamatan, kami kalah dalam kelajuan pemprosesan mesej yang dimajukan.

Di samping itu, adalah perlu untuk mengambil kira masa dan kos mesin untuk mengekalkan kebolehpercayaan komunikasi (pengesahan oleh pihak satu sama lain) dan untuk pertukaran maklumat kawalan dan pengurusan.

Algoritma untuk memproses mesej apabila menerima daripada saluran selamat (Gamb. 4):

tandatangan digital diekstrak daripada mesej yang disulitkan, dimampatkan dan ditandatangani;

teks tanpa tandatangan digital dinyahsulit dengan kunci sesi;

teks yang dinyahkod menjalani prosedur unzip menggunakan, sebagai contoh, algoritma ZIP;

teks yang diperoleh hasil daripada dua operasi sebelumnya digunakan untuk mengesahkan tandatangan digital mesej;

pada output algoritma kita mempunyai permulaan buka mesej dan hasil pengesahan tandatangan.

Algoritma tandatangan mesej

Mari kita lihat lebih dekat pada algoritma menandatangani mesej. Kami akan meneruskan andaian bahawa semua kunci awam dan peribadi kedua-dua pihak yang bertukar data telah pun dijana dan kunci persendirian disimpan dengan pemilik terdekat mereka, dan kunci awam dihantar kepada satu sama lain.

Memandangkan teks sumber boleh mempunyai saiz yang tidak terhad dan setiap kali bukan malar, dan algoritma tandatangan digital memerlukan satu blok data dengan panjang tetap tertentu untuk operasinya, nilai fungsi cincang daripada teks ini akan digunakan untuk menukar keseluruhan teks ke dalam paparannya dengan panjang yang telah ditetapkan. Akibatnya, kami mendapat paparan teks kerana sifat utama fungsi cincang: ia adalah sehala, dan tidak mungkin untuk memulihkan teks asal daripada paparan yang terhasil. Secara algoritma adalah mustahil untuk memilih mana-mana teks yang nilai fungsi hashnya akan bertepatan dengan yang ditemui sebelumnya. Ini tidak membenarkan penyerang menggantikan mesej dengan mudah, kerana nilai fungsi cincangnya akan berubah serta-merta, dan tandatangan yang disahkan tidak akan sepadan dengan standard.

Untuk mencari nilai fungsi cincang, anda boleh menggunakan algoritma pencincangan yang terkenal ( SHA, MD4, MD5, GOST dsb.), yang membolehkan anda mendapatkan blok data dengan panjang tetap pada output. Dengan blok inilah algoritma tandatangan digital akan berfungsi. Algoritma boleh digunakan sebagai algoritma tandatangan digital elektronik DSA, RSA, El Gamal dan lain-lain.

Mari kita terangkan algoritma tandatangan mesej titik demi titik (Rajah 5):

input algoritma am ialah teks sumber dengan sebarang panjang;

nilai fungsi cincang untuk teks yang diberikan dikira;

EDS;

menggunakan data yang diterima, nilai dikira EDS semua teks;

Pada output algoritma, kami mempunyai tandatangan digital mesej, yang kemudiannya dihantar untuk dilampirkan pada paket maklumat yang dihantar ke saluran pertukaran data.

Algoritma pengesahan tandatangan

Algoritma menerima dua komponen sebagai input: teks asal mesej dan tandatangan digitalnya. Selain itu, teks sumber boleh mempunyai saiz pembolehubah yang tidak terhad dan setiap kali, tetapi tandatangan digital sentiasa mempunyai panjang tetap. Algoritma ini mencari fungsi cincang teks, mengira tandatangan digital dan membandingkannya dengan maklumat yang diterima sebagai input.

Pada output algoritma kami mempunyai hasil menyemak tandatangan digital, yang hanya boleh mempunyai dua nilai: "tandatangan itu sepadan dengan yang asal, teksnya tulen" atau "tandatangan teks itu tidak betul, integriti, ketulenan atau pengarang mesej itu mencurigakan." Nilai output algoritma ini kemudiannya boleh digunakan lagi dalam sistem sokongan saluran selamat.

Mari kita terangkan algoritma untuk menyemak tandatangan mesej titik demi titik (Gamb. 6):

input algoritma am ialah teks sumber dengan sebarang panjang dan tandatangan digital teks ini dengan panjang tetap;

nilai fungsi cincang daripada teks yang diberikan dikira;

paparan teks yang terhasil dengan panjang tetap memasuki blok pemprosesan algoritma seterusnya;

tandatangan digital yang datang sebagai input algoritma umum dihantar ke blok yang sama;

juga input blok ini (pengiraan tandatangan digital) menerima kunci rahsia (peribadi), yang digunakan untuk mencari EDS;

menggunakan data yang diterima, nilai tandatangan digital elektronik keseluruhan teks dikira;

kami menerima tandatangan digital mesej, membandingkannya dengan EDS, diterima sebagai input algoritma umum, kita boleh membuat kesimpulan tentang kebolehpercayaan teks;

Pada output algoritma kami mempunyai hasil menyemak tandatangan digital.

Kemungkinan serangan terhadap skim yang dicadangkan untuk melaksanakan saluran komunikasi yang selamat

Mari kita lihat contoh paling biasa kemungkinan serangan pada saluran penghantaran data yang selamat.

Pertama, anda perlu memutuskan apa dan siapa yang boleh anda percayai, kerana jika anda tidak mempercayai sesiapa atau apa-apa, maka tidak ada gunanya menulis. program yang serupa sokongan untuk pertukaran data melalui rangkaian global.

Kami mempercayai diri kami sendiri, serta perisian yang dipasang pada stesen kerja.

Apabila kami menggunakan penyemak imbas (Internet Explorer atau Netscape Navigator) untuk berkomunikasi dengan pelayan, kami mempercayai penyemak imbas itu dan mempercayainya untuk mengesahkan sijil tapak yang kami lawati.

Selepas menyemak tandatangan pada applet yang anda boleh percayai OKS, yang dibenamkan dalam data atau program (applet) yang dimuat turun daripada pelayan.

Memiliki OKS, yang kami percayai, kami boleh memulakan kerja selanjutnya dengan pelayan.

Jika sistem dibina menggunakan aplikasi klien, maka anda mesti mempercayai perisian klien yang dipasang. Kemudian, menggunakan rantai yang serupa dengan yang di atas, kita boleh mempercayai pelayan yang sambungannya diwujudkan.

Serangan yang mungkin.

1. Selepas pemindahan OKS. Ia, pada dasarnya, boleh diakses oleh semua orang, jadi ia tidak akan sukar bagi penyerang untuk memintasnya. Memiliki OKS, secara teorinya adalah mungkin untuk mengira ZKS. Ia adalah perlu untuk menggunakan kunci kriptografi dengan panjang yang mencukupi untuk mengekalkan kerahsiaan untuk masa tertentu.

2. Selepas pemindahan dari pelayan OKS dan sebelum pelanggan menghantarnya OKC Dan KS. Jika semasa generasi mereka ( OKC, ZKK Dan KS) penjana nombor rawak yang lemah digunakan, anda boleh cuba meramalkan ketiga-tiga parameter yang ditentukan atau mana-mana satu daripadanya.

Untuk menangkis serangan ini, perlu menghasilkan nombor rawak yang memenuhi beberapa keperluan. Adalah mustahil, sebagai contoh, untuk menggunakan pemasa untuk menjana nombor rawak, kerana penyerang, telah memintas mesej pertama ( OKS daripada pelayan), boleh menetapkan masa menghantar paket dengan ketepatan saat. Jika pemasa menyala setiap milisaat, maka carian lengkap hanya 60,000 nilai (60 s _ 1000 ms) diperlukan untuk membukanya.

Untuk menjana nombor rawak, anda perlu menggunakan parameter yang tidak tersedia kepada penyerang (komputernya), seperti nombor proses atau parameter sistem lain (seperti nombor pengenalan deskriptor).

3. Apabila menghantar paket yang mengandungi OKC, KS, X, disulitkan OKS. Untuk mendedahkan maklumat yang dipintas, anda mesti mempunyai ZKS. Serangan ini berpunca daripada serangan yang dibincangkan di atas (pilihan ZKS). Maklumat peribadi itu sendiri yang dihantar ke pelayan tidak berguna kepada penyerang.

4. Apabila memindahkan dari pelayan kepada pelanggan beberapa mesej ujian X, disulitkan KS Dan OKC dan ditandatangani ZKS. Untuk menyahsulit mesej yang dipintas, anda perlu tahu dan OKC, Dan KS, yang akan diketahui jika salah satu daripada serangan di atas dilaksanakan selepas musuh telah menyedari ZKS.

Tetapi menyahsulit mesej ujian tidak begitu menakutkan; bahaya yang lebih besar ialah kemungkinan memalsukan mesej yang dihantar, apabila penyerang boleh menyamar sebagai pelayan. Untuk ini dia perlu tahu ZKS untuk menandatangani pakej dan semua kunci dengan betul KS Dan OKC, seperti mesej itu sendiri X untuk mengarang pakej palsu dengan betul.

Jika mana-mana mata ini dilanggar, sistem dianggap terjejas dan tidak dapat menyediakannya lagi kerja selamat pelanggan.

Jadi, kami melihat serangan yang mungkin pada peringkat melaksanakan prosedur "jabat tangan" (HandShake). Mari kita terangkan serangan yang boleh dilakukan semasa penghantaran data melalui saluran kami.

Apabila memintas maklumat, penyerang boleh membaca teks biasa hanya jika dia tahu KS. Penyerang boleh meramal atau meneka dengan mencuba sepenuhnya semua nilai yang mungkin. Walaupun pihak lawan mengetahui mesej itu (iaitu, dia tahu dengan tepat rupa teks biasa yang sepadan dengan kod yang dipintasnya), dia tidak akan dapat menentukan kunci penyulitan dengan jelas kerana teks itu telah tertakluk kepada algoritma pemampatan.

Ia juga mustahil untuk menggunakan serangan "kemungkinan tarik perkataan", kerana mana-mana perkataan akan kelihatan berbeza dalam setiap mesej. Oleh kerana pengarkiban melibatkan merombak maklumat, sama seperti yang berlaku semasa mengira nilai cincang, maklumat sebelumnya mempengaruhi rupa blok data seterusnya.

Daripada apa yang telah diterangkan, ia berikutan bahawa dalam apa jua keadaan, penyerang hanya boleh menggunakan serangan berdasarkan carian menyeluruh semua kemungkinan nilai utama. Untuk meningkatkan daya tahan terhadap jenis ini serangan perlu meluaskan julat nilai KS. Apabila menggunakan kunci 1024-bit, julat nilai yang mungkin meningkat kepada 2 1024 .

Untuk menulis atau menggantikan mesej yang dihantar melalui saluran komunikasi, penyerang perlu mengetahui kunci peribadi kedua-dua pihak yang mengambil bahagian dalam pertukaran atau mengetahui salah satu daripada dua kunci peribadi (ZK). Tetapi dalam kes ini, dia akan dapat memalsukan mesej hanya dalam satu arah, bergantung pada siapa ZK dia tahu. Dia boleh bertindak sebagai penghantar.

Apabila cuba menipu mana-mana pihak, iaitu, apabila cuba menyamar sebagai peserta sah dalam pertukaran selepas mengadakan sesi komunikasi, dia perlu tahu KS Dan ZK(lihat kes yang dibincangkan sebelum ini). Jika tidak KS, tidak juga ZK orang di mana dia ingin menyambung ke saluran komunikasi tidak diketahui oleh penyerang, maka sistem akan segera mengetahui tentangnya, dan kerja selanjutnya dengan sumber yang terjejas akan berhenti.

Pada permulaan kerja, apabila menyambung ke pelayan, serangan remeh mungkin: menipu pelayan DNS. Tidak mustahil untuk melindungi diri anda daripadanya. Penyelesaian kepada masalah ini adalah tanggungjawab pentadbir pelayan DNS yang diuruskan oleh penyedia Internet. Satu-satunya perkara yang boleh menyelamatkan anda ialah prosedur yang telah diterangkan di atas untuk menyemak sijil tapak dengan penyemak imbas, mengesahkan bahawa sambungan telah dibuat ke pelayan yang dikehendaki.

Kesimpulan

Artikel tersebut membincangkan kaedah untuk membina saluran penghantaran data yang selamat untuk memastikan interaksi antara sistem pengkomputeran korporat teragih.

Satu protokol telah dibangunkan untuk mewujudkan dan mengekalkan sambungan yang selamat. Algoritma untuk memastikan perlindungan penghantaran data dicadangkan. Kemungkinan kelemahan skema interaksi yang dibangunkan dianalisis.

Teknologi serupa untuk mengatur sambungan selamat diatur oleh protokol komunikasi rangkaian SSL. Selain itu, rangkaian persendirian maya (VPN) dibina berdasarkan prinsip yang dicadangkan.

KESUSASTERAAN

1. Medvedovsky I. D., Semyanov P. V., Platonov V. V. Serangan di Internet. - St Petersburg: Rumah penerbitan "DMK" 1999. - 336 p.

2. Karve A. Infrastruktur utama awam. LAN/Majalah penyelesaian rangkaian(edisi Rusia), 8, 1997.

3. Melnikov Yu. N. Tandatangan digital elektronik. Keupayaan perlindungan. Sulit No 4 (6), 1995, hlm. 35–47.

4. Terenin A. A., Melnikov Yu. N. Penciptaan saluran selamat dalam rangkaian. Bahan seminar "Keselamatan Maklumat - Selatan Rusia", Taganrog, 28–30 Jun 2000.

5. Terenin A. A. Pembangunan algoritma untuk mencipta saluran selamat dalam rangkaian terbuka. Automasi dan teknologi moden. – Rumah penerbitan “Mesin Bangunan”, No. 6, 2001, hlm. 5–12.

6. Terenin A. A. Analisis kemungkinan serangan pada saluran selamat dalam rangkaian terbuka yang dicipta oleh perisian. Bahan Persidangan XXII Saintis Muda Fakulti Mekanik dan Matematik Universiti Negeri Moscow, Moscow,17–22 April 2000.