Содержание к диссертации
Введение
Глава 1. Существующие средства программной защиты и обеспечения конфиденциальности в электронно-вычислительных сетях и сети Интернет 12
1.1. Программные средства и методы криптографической защиты и разграничениядоступа к информации 14
1.1.1. Средства обеспечения конфиденциальности данных в протоколах семейства IPSec для распределенных программных систем на базе сетей TCP/IP 17
1.1.2. Программные системы виртуальных частных сетей 20
1.1.3. Алгоритмы сетевой аутентификации и авторизации доступа 31
1.2. Средства обеспечения конфиденциальности доступа к информации, образовательным и финансовым платежным системам 33
1.2.1. Сеть DC-net 34
1.2.2. Сеть Mix-net 37
1.2.3. Сеть Crowds 42
1.2.4. Сеть Onion Routing 47
1.2.5. Сеть Freedom Network 50
1.3. Постановка задачи исследования 55
Выводы 57
Глава 2. Модель и система протоколов защищенного доступа в электронно-вычислительных сетях 59
2.1. Обобщенная модель защищенного доступа к информационным ресурсам в электронно-вычислительных сетях 63
2.2. Модель информационного ресурса 69
2.3. Модель нарушителя 71
2.4. Модель конфиденциального взаимодействия объектов электронной сети 83
Выводы 85
Глава 3. Архитектура программного комплекса защищенного доступа к информационным ресурсам электронно-вычислительных сетей 87
3.1. Система сетевых протоколов для организации защищенных конфиденциальных каналов передачи информации 91
3.1.1. Алгоритм организации защищенных каналов передачи данных 94
3.1.2. Протокол идентификации принципалов 96
3.1.3. Протокол запроса парольной фразы доступа у пользователя 97
3.1.4. Протокол аутентификации и алгоритм выработки ключа сеанса 98
3.1.5. Протокол защищенного обмена данными 99
3.1.6. Верификация программного протокола организации защищенных каналов передачи информации 103
3.2. Архитектура программного обеспечения комплекса защищенного доступа 108
3.2.1. Архитектура информационных зондов и контроллеров безопасности 109
3.2.2. Унифицированный программный интерфейс взаимодействия модулей системы защиты 114
3.2.3. Архитектура центров сбора и распределенной обработки информации 116
3.2.4. Архитектура управляющего модуля 117
3.2.5. Архитектура модулей конфиденциального входа в сеть, серверов ретрансляции и серверов информационной поддержки 118
Выводы 120
Глава 4. Практические аспекты реализации программного комплекса защищенного доступа к электронным информационным ресурсам 122
Выводы 140
Заключение 141
Литература 146
- Средства обеспечения конфиденциальности данных в протоколах семейства IPSec для распределенных программных систем на базе сетей TCP/IP
- Обобщенная модель защищенного доступа к информационным ресурсам в электронно-вычислительных сетях
- Верификация программного протокола организации защищенных каналов передачи информации
- Архитектура модулей конфиденциального входа в сеть, серверов ретрансляции и серверов информационной поддержки
Введение к работе
Современные программные средства обеспечения информационной защиты можно разделить на несколько видов. Среди них средства разграничения доступа, позволяющие контролировать распространение той или иной информации; средства криптографической защиты информации, позволяющие хранить и передавать защищаемую информацию по открытым каналам связи. А в последние несколько лет не менее важными стали новые средства организации информационной защиты - средства сетевой безопасности, сочетающие в себе признаки всех предыдущих и имеющие новую функциональность — возможность организации распределенной защиты и защиты удаленных вычислительных ресурсов.
Программные средства информационной защиты, отвечающие за сетевую безопасность информационных ресусров электронно-вычислительных сетей (ЭВС) включают в себя:
-межсетевые экраны обеспечивают разграничение дистанционного доступа к
вычислительным ресурсам ЭВС; -виртуальные частные сети обеспечивают защищенную передачу данных между
различными ЭВС (туннелирование сетевого трафика); -системы обнаружения и защиты от вторжений обеспечивают оперативное
обнаружение нарушения политики безопасности ЭВС, начала проведения
сетевых (в том числе и распределенных) атак и организацию противодействия
им; -системы конфиденциального доступа обеспечивают возможность
конфиденциального доступа к различным информационным ресурсам
(например, образовательным и банковским системам); -системы сетевой аутентификации и авторизации обеспечивают возможность
разграничения пользовательских полномочий непосредственно на
информационно-вычислительном ресурсе (ИВР).
Актуальность темы. В настоящее время благодаря развитию вычислительных технологий, электронных сетей программные средства защиты информации (ПСЗИ)
получили возможность выйти на новый уровень. При переходе от локальных замкнутых систем к открытым системам с распределенной программной архитектурой ПСЗИ требуется проработка таких аспектов их функционирования, как: математически обоснованная теоретико-практическая база оценки обеспечиваемого уровня информационной защиты (с помощью которой можно было бы оценить класс защищенности по существующим нормативным и руководящим документам [63]); открытая архитектура программного комплекса сетевых и локальных средств конфиденциального защищенного доступа к информационным ресурсам ЭВС, которая бы позволила упростить и удешевить процесс разработки, модификации и сопровождения ПСЗИ; открытые унифицированные интерфейсы подключения программного обеспечения стороннего разработчика, позволяющие собирать различное программное обеспечение в единый монолитный блок системы защиты; наличие системы унифицированных сетевых протоколов, позволяющих реализовать широкий круг прикладных решений.
Таким образом, задача разработки архитектуры программной системы конфиденциального доступа к информационным ресурсам электронно-вычислительных сетей требует проведения интенсивных исследований и нахождения ответов на поставленные выше вопросы.
Целью данной работы является исследование и разработка архитектуры программной системы конфиденциального доступа к информационным ресурсам электронно вычислительных сетей, позволяющей эффективно решать не только вопросы защиты информации в образовательных, финансовых и других электронно-вычислительных сетях, но и конфиденциальность пользователей, а также ускорение реализации программного обеспечения защиты информации с использованием разработанной архитектуры.
Задачи исследования. Для решения поставленной цели в диссертационной работе определены следующие задачи исследования:
-разработать обобщенную математическую модель и методы конфиденциального доступа в электронных сетях для оценки обеспечиваемого уровня информационной защиты;
-разработать открытую архитектуру программного комплекса сетевых и локальных средств конфиденциального защищенного доступа к
информационным ресурсам ЭВС, которая бы позволила упростить и удешевить
процесс разработки, модификации и сопровождения ПСЗИ; -разработать открытые унифицированные интерфейсы подключения
программного обеспечения стороннего разработчика, позволяющие собирать
различное программное обеспечение в единый монолитный блок системы
защиты; -разработать систему сетевых протоколов для организации защищенных
конфиденциальных каналов передачи информации.
Методы исследования основаны на использовании теории вычислительной сложности алгоритмов, теории надежности автоматизированных систем управления, элементах криптографии и теории программирования распределенных систем.
Научная новизна заключается в разработке нового подхода к вопросам организации программных систем защиты информации образовательных, финансовых и других электронно-вычислительных сетей, позволяющего проводить формализованную оценку уровня обеспечиваемой защищенности информации и конфиденциальности пользователей. Для оценки уровня обеспечиваемой конфиденциальности впервые предложена математически обоснованная методика оценки степени информационной защиты, позволяющая количественно оценить степень защищенности информационных ресурсов и других объектов в электронно-вычислительных сетях. Также представлена обобщенная модель конфиденциального доступа к ресурсам сети, позволяющая оценить уровень обеспечиваемой конфиденциальности пользователей сети конфиденциальной связи. Предложены оригинальные универсальные протоколы организации защищенных конфиденциальных каналов передачи информации, позволяющие защитить сеансы взаимодействия различных компонентов системы информационной защиты и объединить их в единый монолитный блок аудита и контроля. Данные компоненты связаны в разработанную открытую программную архитектуру программной системы конфиденциального доступа к информационным ресурсам электронных сетей, в которой первые совмещена функциональность как системы защиты информации, так и системы обеспечения конфиденциальности запросов к информационным ресурсам сети Интернет, что позволяет упростить процесс разработки программного обеспечения и увеличить степень защищенности информации и конфиденциальности пользователей.
Практическая ценность исследования заключается в возможности использования разработанной открытой программной архитектуры для проектирования и реализации систем защиты информации нового типа, содержащих как компоненты защиты информации, так и компоненты обеспечения конфиденциальности пользователей, что позволяет существенно упростить процесс разработки, тестирования, эксплуатации и модернизации программного обеспечения, ускорить процесс постановки программного обеспечения в эксплуатационный режим (двухкратное ускорение по времени), обеспечить возможность двойного функционального назначения систем защиты. Результаты диссертационного исследования могут быть использованы при проектировании и реализации программных и аппаратно-программных систем защиты информации для обеспечения информационной безопасности в финансовых, банковских, ведомственных и промышленных электронно-вычислительных комплексах и сетях.
Основные результаты исследований использованы в учебном процессе в Саровском государственном физико-техническом институте (г. Саров), Институте Криптографии Связи и Информатики (ИКСИ) Академии ФСБ (г. Москва), при выполнении научно-исследовательской работы "Поисковые исследования по разработке оптимальных структур построения специализированных локальных вычислительных сетей для автоматизированных систем управления войсками и оружием в различных степенях боевой готовности" в МТУСИ (шифр "Трактор-МТУСИ", г.Москва). Положения, выносимые на защиту. На защиту выносятся:
-обобщенная математическая модель и методы конфиденциального доступа в
электронных сетях для оценки обеспечиваемого уровня информационной
защиты; -открытая архитектура программного комплекса сетевых и локальных средств
конфиденциального защищенного доступа к информационным ресурсам ЭВС; -открытые унифицированные интерфейсы подключения программного
обеспечения к системе защиты; -система сетевых протоколов для организации защищенных конфиденциальных
каналов передачи информации.
Апробация работы. Основные результаты диссертационной работы докладывались и обсуждались на X Международной конференции "Проблемы управления безопасностью
сложных систем" (Москва, 2002), V Международной конференции "РусКрипто-2003" по современной криптологии, стеганографии, цифровой подписи и системам защиты информации (Москва, 2003), Всероссийской научно-технической конференции "Проблемы информационной безопасности и защиты информации" (Тула, 2002), Всероссийской объединенной конференции "Технологии информационного общества Интернет и современное общество" (Санкт-Петербург, 2000), Всероссийской научно-технической конференции с международным участием "Компьютерные технологии в инженерной и управленческой деятельности" (Таганрог, 2001), Международной научно-технической конференция "Интеллектуальные и многопроцессорные системы" (Дивноморское, 2001), X Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы", (Москва, 2002).
Доклады по результатам проведенных в диссертационной работе исследований были отмечены:
-дипломом Ш-ей степени 2-го Всероссийского конкурса студентов по информационной безопасности "SIBINFO-2002", проводимого в Томском государственном университете систем управления и радиоэлектроники (ТУСУР, г.Томск),
-дипломом конкурса Ростовского отделения Российской инженерной академии и Северо-Кавказского научного центра высшей школы имени академика И.И. Воровича на лучшую работу в области инженерно-прикладных исследований среди молодых ученых вузов, НИИ и специалистов предприятий Ростовской области 2003 года.
Авторство, новизна и полезность принципиальных технических решений защищены патентом РФ и четырьмя свидетельствами об официальной регистрации программных продуктов.
Публикации. По теме диссертации опубликовано 54 научных труда, в том числе 3 монографии, 12 научных статей, патент РФ, официально зарегистрировано 4 программных продукта.
Диссертационная работа состоит из введения, четырех глав, заключения и одного приложения.
В первой главе рассматриваются два типа существующих систем защиты электронной информации: программные средства и методы криптографической защиты и разграничения доступа к информации и средства обеспечения конфиденциальности доступа к информации, образовательным и финансовым платежным системам. Среди средств первого типа исследуются средства обеспечения конфиденциальности данных в протоколах семейства IPSec для распределенных программных систем на базе сетей TCP/IP, программные системы виртуальных частных сетей, алгоритмы и реализующие их программные средства сетевой аутентификации и авторизации доступа. Приводится анализ алгоритмов и программных средств второго типа на примере сетей DC-net, Mix-net, Crowds, Onion Routing, Freedom Network. Рассматриваются типовые недостатки данных систем и их причины. Осуществляется постановка задачи исследования.
Во второй главе представлена математическая модель и методы защищенного доступа в электронно-вычислительных сетях. Приводится общая математическая модель, а также ее составляющие: модель информационного ресурса в электронно-вычислительной сети, модель нарушителя двух типов - внешнего и внутреннего, модель конфиденциального взаимодействия объектов электронной сети, позволяющая оценивать возможные утечки информации по сети. Формируется концепция слоев безопасности информации в автоматизированных системах обработки данных, методы ее применения на практике.
В третьей главе содержатся результаты разработки открытой программного
комплекса защищенного доступа к информационным ресурсам
электронно-вычислительных сетей, а также системы сетевых протоколов для организации защищенных конфиденциальных каналов передачи информации. В качестве составляющих системы сетевых протоколов приведены разработанные протоколы и алгоритмы по организации защищенных каналов передачи данных, идентификации принципалов, запроса и преобразования парольной фразы доступа у пользователей, аутентификации и выработки ключа сеанса, защищенного обмена данными. Проведена также верификация разработанного программного протокола организации защищенных каналов передачи информации. Архитектура программного обеспечения комплекса защищенного доступа представлена разработанной в ходе исследований архитектурой информационных зондов, контроллеров безопасности, центров сбора и распределенной обработки информации, управляющего модуля, модулей конфиденциального входа в сеть,
серверов ретрансляции и серверов информационной поддержки и унифицированным программным интерфейсом взаимодействия модулей системы защиты.
Четвертая глава посвящена описанию практической реализации разработанных во второй и третьей главах модели и архитектуры программной системы защиты. На базе разработанной архитектуры программного обеспечения комплекса защиты информации и с использованием разработанной обобщенной математической модели и методов защищенного доступа в электронно-вычислительных сетях представлена реализованная система защиты электронно-вычислительных систем от сетевых вторжений. Показана принципиальная возможность быстрого создания надежного с точки зрения внедрения и эксплуатации программного комплекса повышенной сложности.
В заключении обобщены итоги и результаты проведенных исследований.
Средства обеспечения конфиденциальности данных в протоколах семейства IPSec для распределенных программных систем на базе сетей TCP/IP
Сетевой уровень взаимодействия относится уже к числу тех, что регламентируются стеком протоколов TCP/IP. Он является базовым для всех более высоких уровней, обеспечивая универсальность соединений и разрешение таких технических вопросов, как например, прокладка наиболее предпочтительных маршрутов для создания виртуальных каналов в режиме реального времени (аппаратно-программные реализации маршрутизации пакетов). Поэтому основные функции по защите передаваемых данных ложатся именно на сетевой уровень.
В данном контексте следует также обратить внимание на процесс инкапсуляции пакетов, создаваемых на более высоких уровнях. Технология данного процесса позволяет утверждать, что выбранная в соответствии с уровневой моделью OSI модель безопасности, с реализацией на уровнях от сетевого и выше, не может обеспечить требуемый на данный момент уровень информационной безопасности. Хотя при этом сохраняется функциональность уже существующего программного обеспечения, поскольку установка защитного механизма на уровне сетевых протоколов является прозрачной для всех более высоких уровней, все же такой подход не позволяет обеспечить максимальную совместимость с уже существующим программным обеспечением.
В 1993 году консорциум IETF (Internet Engineering Task Force) приступил к разработке архитектуры и набора протоколов на основе уже существующего стека TCP/IP, но удовлетворяющих вышеперечисленным требованиям безопасности и призванных обеспечить высокий уровень защиты информационных каналов сети Интернет. Были разработаны модели протоколов аутентификации, обмена ключами и защиты передаваемых данных [41]: -протокол аутентификации сторон Authentication Header (АН). Этот протокол позволяет удостовериться как в подлинности адреса отправителя, так и целостности переданных данных, -протокол передачи данных Encapsulated Security Payload (ESP). Предназначен для шифрования передаваемых данных, их аутентификации, аудита целостности. В качестве криптографического алгоритма используется DES в режиме СВС. Размер ключа составляет 64 бита, из которых 8 используются для проверки четности дополнительного контроля, -протокол обмена ключами Internet Key Exchange (IKE). Используется для согласования методов аутентификации, обмена ключами и информацией о продолжительности их действия, а также передачи секретных ключей. Каждый из представленных протоколов (АН, ESP, IKE) может применяться как независимо, так и в комбинации с остальными, для обеспечения наилучшей защиты [35]. В процессе инсталляции для всех конечных пунктов сети создаются специальные "связи безопасности" (Security Associations, SA) - защищенные виртуальные каналы. При этом выполняется аутентификация конечных точек канала, так что каждая из сторон может быть уверена в подлинности принимающего/передающего, затем согласованно выбираются условия передачи данных, устраивающие обе стороны: алгоритм шифрования, секретный ключ и т.п. После процедуры инициализации происходит процесс передачи данных одним из протоколов - либо АН (аутентификация), либо ESP (в одном из режимов - шифрования или аутентификации). В случае, когда администратор стремится обеспечить защиту двумя этими протоколами одновременно, то есть обеспечить целостность и подлинность данных с помощью АН и проводить шифрование с помощью ESP, создаются две соответствующие связи и каждый пакет последовательно обрабатывается каждым из протоколов в рамках своей связи. Подобным образом установленная система позволяет администратору иметь большое количество возможностей конфигурирования защищенных каналов сети. Для каждой предложенной задачи всегда существует несколько способов решения. После установления соединения между двумя конечными точками начинается диалог, в котором обе они согласуют вид решения для существующих условий автоматически в процессе ,А инициализации. Данный подход предоставляет и большее пространство для будущих Л1 реализаций стека протоколов и обширные возможности модернизации уже существующих версий. Для организации защищенных соединений используется режим туннелирования, представленный в настоящее время с помощью протоколов канального уровня РРТР (Pointo-Pointunneling Protocol), L2F (Layer 2 Forwarding), L2TP (Layer 2 Tunneling Protocol). Основной задачей данных протоколов является проверка доступности среды, установление соединения и доставка пакетов внутри сети. Режим туннелирования характеризуется инкапсуляцией пакетов, при которой сначала генерируется обычный IP-пакет, в который затем вкладывается пакет защищенный IPSec уже в качестве переносимых данных. Каждый пакет пересылается по сети в соответствии с созданной связью безопасности, при этом у каждого пакета специальное поле в области данных содержит информацию о том, к какой именно связи он принадлежит. Конечные пункты приема/передачи оперативно обновляют специальные базы данных, которые содержат списки всех созданных связей. Возвращаясь к части рассмотренной системы, ответственной за безопасность данных, следует иметь в виду, что предусмотренный в проекте механизм инкапсуляции сетевых пакетов подразумевает возможность проведения атак по открытому тексту на используемый в ESP алгоритм шифрования. Причина, по которой такие атаки могут быть реализованы содержится в инкапсуляции исходных сетевых пакетов в пакеты IPSec целиком, включая и адрес отправления, который затем может либо полностью, либо частично (исходя из содержимого маски данной подсети) дублироваться во внешнем, уже , незащищенном пакете. Этот факт лишний раз подчеркивает необходимость всестороннего исследования предлагаемых решений, не полагаясь целиком на заверения разработчиков [7]. Таким образом, недостатками IPSEC обеспечения информационной защиты с помощью системы протоколов IPSEC являются следующие: -связка протоколов IPSEC обеспечивает защиту на уровнях не выше транспортного. На более высоких, таких как сессионный и представительный, уровнях сетевого взаимодействия защищенные системы должны быть основаны на специальных протоколах взаимодействия; -нет возможности динамического изменения состава участников виртуальной сети, что приводит к необходимости создания новой сети всякий раз при входе появлении нового пользователя; -в качестве носителей выбраны сетевые протоколы канального уровня. При этом из всех используемых канальных протоколов, только РРТР, разработанный компанией Microsoft, реализует возможности защиты передаваемых данных - и те весьма ненадежные (существует два вида успешных атак на данный протокол, построенных на использовании погрешностей в реализации и использовании ошибок в проектировании); -использование программной архитектуры протоколов семейства IPSEC не позволяет подключать дополнительные функциональные модули и программные расширения. Это в свою очередь является большим недостатком при сопряжении существующих систем защиты с IPSEC.
Обобщенная модель защищенного доступа к информационным ресурсам в электронно-вычислительных сетях
Таким образом, зашифрованные блоки информации похожи на луковые листы, завернутые последовательно один в другой. В оригинальной нотации заявлено использование алгоритма RSA в качестве базовой криптографической системы с открытыми ключами. Создание виртуального канала связи может быть осуществлено на инициирующем узле не полностью, тогда один из узлов виртуального маршрута будет самостоятельно выбирать дальнейший путь пакета-луковицы по сети с учетом времени жизни пакета.
Для того, чтобы промежуточные узлы не смогли получить информацию о том, какой длины список узлов виртуального маршрута пакета-луковицы, используется случайная строка битов, которая добавляется в конец записи для самого последнего узла маршрута. Таким образом, даже предпоследний узел в списке не может с точностью указать номер своего места в виртуальном маршруте. Каждый узел связи работает в трех известных режимах: создание виртуального канала связи, передача данных по организованному виртуальному шифрованному каналу, уничтожение информации связанной с проведенным сеансом и организованным каналом связи.
В процессе инициализации виртуального сеанса связи и организации виртуального канала передачи данных, на каждом узле создается два соединения. Одно из них отвечает за приходящие к узлу данные (входящий трафик), второе - за исходящий поток данных (исходящий трафик). Виртуальный канал обозначается специальными метками для каждого такого потока. По сути, создание виртуального канала представляет собой назначение таких меток вновь созданным потокам.
После этапа инициализации наступает этап передачи данных. Для этого, первый узел виртуального маршрута разбивает сплошной поток входящих данных на пакеты, которые затем зашифровываются в соответствии с маршрутом данного виртуального канала (информация для последнего узла зашифровывается первой, для предпоследнего -второй и т.д.). Каждый последующий узел выбирает из таблицы соединений то, которое отвечает за данный канал передачи данных, расшифровывает весь пакет (получая доступ к своей части информации), пересылает оставшуюся часть следующему узлу. После того, как достигнут последний узел виртуального маршрута, данные собираются узлом в поток данных, который затем транслируется к информационному ресурсу сети Интернет. Обратный процесс (ответ на запрос) происходит аналогично. После прохождения запроса и ответа на него в силу вступает третий этап организации сеанса связи - закрытие виртуального канала передачи данных и уничтожение информации о нем на всех задействованных узлах виртуальной сети.
Сеть с архитектурой подобной Onion Routing позволяет проводить организацию анонимных виртуальных каналов, обеспечивая абонентов сети двусторонними каналами передачи данных в режиме реального времени. Поскольку виртуальный канал данных организуется через узлы-ретрансляторы прозрачным для абонентского программного обеспечения способом, возможно эффеткивное использование сети для организации анонимных соединений для таких протоколов, которые имеют принципиальную возможность ретрансляции соединений через прокси-серверы (например, протоколы HTTP, FTP, SMTP, РОРЗ, Telnet, SSH, семейство SSL и т.д.).
Канадская компания Zero Knowledge в 1998 году предложила в качестве инструмента эксплуатации идей анонимной электронной сети свою коммерческую версию, сети типа Mix-net: реализацию анонимной сети под названием The Freedom Network [24]. Сеть предоставляет услуги доступа к различным интернет ресурсам в режиме реального времени, всеми mix-узлами владеет на коммерческой основе сама компания Zero Knowledge Systems Inc., способ обработки сетевых транзакций весьма схож с тем, который предлагается в сетях типа Onion Routing.
Рассмотрим архитектуру сети Freedom Network версии 2.0, функционировавшей с 2000 года. В настоящий момент коммерческая эскплуатация сети приостановлена, хотя некоторые из узлов и базовых серверов сети продолжают функционирование.
Сеть Freedom Network представляет собой анонимную виртуальную сеть, построенную на взаимодействии на прикладном уровне стека сетевых протоколов TCP/IP с использованием средств и методов шифрования и подсистемы сетевых псевдонимов. Абоненты сети должны использовать специальные псевдонимы, с которыми они ассоциируются в виртуальной сети доступа к информации. При этом допускается и поощряется использование одним абонентом множества различных абонентов. Сеть устроена таким образом, что для остальных абонентов невозможно ассоциировать два различных псевдонима.
Основными компонентами сети являются абоненты сети, узлы сети (серверы ретрансляции), базовые сервисные службы (серверы поддержки анонимной сети). На рисунке 12 показана схема взаимодействия этих компонент между собой (сплошная черта обозначает шифрованный канал передачи информации, прерывистая аутентифицированный поток данных, часто прерывистая - обычный поток данных). Абонент сети использует клиентскую часть программного обеспечения, выполненного в соответствии с архитектурой "клиент-сервер". Узлы сети используют серверную часть комплекса. Сама сеть предоставляет собой совокупность всех этих компонент.
Узлы сети являются серверами анонимной ретрансляции информации (Anonymous Internet Proxies - AIP): при получении запроса на установление соединения, узел от своего имени осуществляет передачу запроса к другому серверу сети либо к информационному источнику в сети Интернет, либо к сети поддержки Freedom Network.
Сеть поддержки Freedom Network представляет собой совокупность информационных серверов, реализующих информационные и другие сервисные сетевые службы, необходимые для функционирования всей сети в целом. В частности, в Freedom Network абонентам доступна анонимная почтовая служба, серверы которой находятся в базовой сети поддержки. Кроме этого, абоненты сети имеют доступ к следующим службам: HTTP (полный доступ к информационным ресурсам сети Интернет, поддерживающим web-доступ к документам); SMTP (отправка электронной почты); POP (получение электронной почты); SSL (организация защищенных сетевых соединений); IRC (возможность использования интернет-пейджинговых сервисов, без поддержки возможности передачи файлов между двумя клиентами); Telnet (удаленное управление, осуществляется кэширование управляющих воздействий); NNTP (только в режиме публикации сообщений, чтение осуществляется через web-интерфейс к серверу новостей).
Таким образом, абонент сети всегда взаимодействует только с узлами сети и никогда - с информационными серверами сети Интернет. Узлы сети частью подчиняются компании Zero Knowledge, частью - интернет-провайдерам, другим компаниям. Таким образом, нет единого центра сбора информации обо всех узлах сети. Операторы узла сети создают пару ключей для асимметричной криптографической системы, открытые ключи затем публикуется на сервере базовой сервисной службы в сети поддержки Freedom Network. Закрытые ключи всегда остаются секретной компонентой узла сети.
Верификация программного протокола организации защищенных каналов передачи информации
Система защиты с данной архитектурой работает под управлением специалистов двух квалификаций, отвечающих за штатное функционирование системы: администратора программных средств и офицера безопасности. Права доступа обоих специалистов смешиваются таким образом, что существенные с точки зрения безопасности системы действия осуществляются только при наличии специалистов обоих квалификаций.
Так, например, администратор программных средств не имеет право самостоятельно устанавливать новое программное обеспечение на защищаемых рабочих станциях и аппаратное обеспечение в защищаемой интрасети. Вместо этого, администратор имеет право осуществить запрос на данные действия у офицера безопасности. Только после получения разрешения, администратор может установить новое программное обеспечение. В тоже время, офицер безопасности не может устанавливать программное обеспечение ни при каких обстоятельствах - его роль в системе заключается в блокировании вредоносных действий и действий, прямо или косвенно могущих повлечь за собой снижение уровня безопасности.
Управляющий модуль, являющийся единым центром управления в система с разработанной архитектурой разработана с учетом данных требований. Программное исполнение управляющего модуля представляет собой пару консолей управления: одна для офицера безопасности системы, а другая для администратора программных средств.
Офицер безопасности осуществляет мониторинг системы защиты и действий пользователей с помощью информационных зондов, позволяющих фиксировать различные действия (исполнение программного обеспечения, передача данных, включение машины, вход пользователя в систему и т.д.) на защищаемых рабочих станциях и в сети.
Для блокирования действий, которые могут классифицированы как вредоносные и не соответствующие установленной политике безопасности в системе присутствуют контроллеры безопасности, могущие осуществить автоматическую блокировку действий пользователя, а в транзакционных системах - и откат транзакции;
Для осуществления отложенного во времени анализа, а также протоколирования действий системы в архитектуре предусмотрены распределенные центры сбора и обработки информации аудита, получаемой с информационных зондов и контроллеров безопасности. Распределенный характер центров сбора и обработки вызван необходимостью учета сложности сетевой топологии существующих интрасетей, и неравномерностью нагрузки на различные их сегменты. Модули конфиденциального входа в сеть организуют сетевые точки входа для пользователей системы конфиденциальной связи. Контроллер безопасности и информационные зонды осуществляют свою деятельность без ограничений до входа в СКС и на служебных серверах. Модули ретрансляции и маршрутизации обслуживают поступающие от пользователей запросы, проходящие через виртуальную сеть и создают направления туннелированного трафика. Модули информационного обеспечения, служат функциональным исполнителем для обеспечения информационного хранилища.
Управляющие модули взаимодействуют с центрами сбора и обработки данных, управляя через них контроллерами безопасности, информационными зондами, точками входа в СКС, модулями ретрансляции и информационного обеспечения. При этом на случай необходимости оперативного управления компонентами системы в чрезвычайной ситуаций существует набор упрощенных интерфейсов организации связи напрямую с каждым из элементов данной архитектуры. Центры сбора информации ретранслируют команды модулей управления на остальные компоненты системы защиты и производят синхронизацию действий по управлению между собой и модулями управления.
Информационные зонды осуществляют мониторинг действий защищаемых объектов и сообщают об основных действиях пользователей и нарушениях установленной политики безопасности центрам сбора и обработки информации.
Контроллеры безопасности определяют установленный уровень безопасности информационных ресурсов и контролирует действия защищаемых объектов, обращения к ним. Контроллер безопасности обладает набором механизмов блокировки действий принципалов, который используется для блокирования несанкционированных действий в защищаемом слое безопасности.
Центры сбора и распределенной обработки информации аудита хранят отдельные списки для информационных зондов, контроллеров безопасности и всех служебных серверов, производя опрос их состояния, прием служебной информации от них, распределенную обработку поступающей информации, взаимодействие с модулем управления;
Модули конфиденциального входа в сеть осуществляют обслуживание абонентов сети конфиденциальной связи, организуемой с помощью модулей ретрансляции и маршрутизации, которые выполняют функции виртуальных подсетей и туннелирования трафика. Модули информационного обеспечения служат функциональным исполнителем для обеспечения информационного хранилища.
При этом модули, реализующие функциональность системы защиты, должны взаимодействовать между собой по защищенным каналам связи, чтобы предотвратить несанкционированные попытки получения доступа к служебной информации и управления системой посторонними лицами. Для обеспечения такого взаимодействия между распределенными компонентами системы защиты разработана система сетевых протоколов организации защищенных конфиденциальных каналов передачи информации, обеспечивающих защиты передаваемой информации с использованием криптографических средств защиты информации.
Архитектура модулей конфиденциального входа в сеть, серверов ретрансляции и серверов информационной поддержки
.В данной главе была разработана открытая архитектура программного комплекса защищенного доступа к информационным ресурсам электронно-вычислительных сетей. В контекст данной архитектуры включена разработанная система сетевых протоколов для организации защищенных конфиденциальных каналов передачи информации и общая архитектура программного обеспечения комплекса защищенного доступа. Данная архитектура обладает возможностью подключения дополнительных функциональных модулей защиты, имеет разностороннюю направленность и открытые унифицированные интерфейсы и предназначена для решения задач как защиты информации от злоумышленника, так и обеспечения конфиденциальной связи в платежных и банковских системах. 2. По результатам первых двух глав исследования даны результаты разработки архитектуры модулей информационных зондов и контроллеров безопасности, центров сбора и распределенной обработки информации, управляющего модуля, модулей конфиденциального входа в сеть, серверов ретрансляции и серверов информационной поддержки. Описан унифицированный программный интерфейс взаимодействия модулей системы защиты, экспортируемые функции и требования к программному обеспечению, встраиваемому в разработанную архитектуру. 3. Для протокола защиты информации разработаны требования, которые должны быть учтены при реализации протокола и алгоритма защиты информации. Данные требования включает в себя требования многофакторной аутентификации, в том числе с помощью аппаратных устройств. Разработан алгоритм организации защищенных каналов передачи данных, содержащий протокол идентификации принципалов, протокол запроса парольной фразы доступа у пользователя, протокол аутентификации и алгоритм выработки ключа сеанса, протокол защищенного обмена данными, с возможностью проведения многофакторной трехшаговой аутентификации с применением дополнительных аппаратных устройств (например, электронных ключей). 4. Проведена верификация разработанного программного протокола организации защищенных каналов передачи информации с использованием формального языка описания криптографических протоколов и BAN-логики, которая показала, что при сохранении исходный предположений после исполнения протокола достигнуты поставленные цели проверки аутентичности обоих принципалов, организующих связь, и обмена между ними секретным криптографическим ключом для шифрования текущего сеанса связи. 5. Разработанная архитектура программного обеспечения информационного зонда базируется на применении в качестве базовой концепции микроядра с событийно-управляемым механизмом функционирования программной системы. Данный подход позволяет успешно обрабатывать сетевую и локальную информации произвольной сложности. 6. Архитектура управляющего модуля представляет собой архитектуру программного комплекса с мобильным интерфейсом для взаимодействия администратора и офицера безопасности с разработанной системой защиты и состоит из нескольких компонент, объединенных общей системой визуализации и формирования управляющих воздействия для управления и мониторинга любого компонента защиты как через ЦСОИ, так и напрямую в режиме реального времени. 7. Архитектура центров сбора и обработки информации выполнена в виде монорановой совокупности взаимодействующих между собой и базой данных модулей. Реализована возможность закрепления за определенным ЦСОИ набора системных компонент в виде информационного зонда, контроллера безопасности, точек входа в СКС и др., что позволяет развернуть систему защиты на сетевых топологиях любой сложности и произвольной загруженности (комбинируя списки и типы компонент, за которыми установлен мониторинг на ЦСОИ). 8. Архитектура модулей конфиденциального входа в сеть, серверов ретрансляции и серверов информационной поддержки базируется на обобщенной архитектуре служебного сервера, включающего в себя необходимые компоненты для точек входа в СКС, серверов ретрансляции и информационной поддержки. Практические аспекты реализации программного комплекса защищенного доступа к электронным информационным ресурсам На основе разработанных архитектуры программного обеспечения и математической модели защищенного доступа в электронно-вычислительных сетях для демонстрации возможности реализации предлагаемых принципов была разработана программная система обнаружения и защиты от сетевых вторжений. Разработанные программные средства предназначены для обнаружения сетевых атак в информационно-телекоммуникационных системах, состоят из трех функциональных компонент: информационных зондов, центров сбора и обработки сообщений (аккумуляторов) и консоли администратора (модуля управления). Для функционирования информационного зонда необходим ПК с установленной операционной системой Microsoft Windows 2000, FreeBSD или Linux. При использовании Microsoft Windows 2000 необходимо установить драйвер пользовательского интерфеса к сетевой карте - WinPCap. На системах FreeBSD и Linux, при необходимо подгрузить подключаемые модули ядра, если они не подгружены по умолчанию.
Ядро информационного зонда написано на языке C++ и устроено так, что может быть скомпилировано либо компилятором входящим в состав Microsoft Visual Studio .Net для платформы Microsoft Windows 2000 либо компилятором GNU С Compiler (gcc) для платформ FreeBSD и Linux. Подключаемые модули реализованы на языке C++ и компилируются для тех же платформ с использованием тех же компиляторов, что и для ядра.
Так как для реализации был использован язык C++, то основными частями программы являются не функции, а классы ее составляющие. Для реализации вышеописанной концепции построения ядра информационного зонда, была разработана система классов на языке C++, схема наследования и агрегирования которых, в виде UML диаграммы, изображена на рисунке 33. Поясним, какие классы какие роли выполняют:
