Інші системи захисту інформації, що передається в Internet

Для безпеки електронної комерції розроблено низку протоколів і програмних застосувань, які використовують криптографічні методики. Крім того, всупереч думці про Internet як про ненадійний носій інформації через його децентралізацію, трансакції тут можуть бути добре захищені шляхом використання багатьох стандартів, які охоплюють усі рівні мережі — від пакета даних до програмного застосування (табл. 6.5).

Стандарти забезпечують захист сполучень і програмних застосувань.

- зв'язок між вузлами мережі або вуз-

Сполучення (connection) • лами та їх абонентами.

Програмне застосування — програма (впорядкована послідовність команд) для комп'ютера, яка працює під керуванням певної оперативної системи.

Стандарт (протокол)	Виконувана функція	Місце використання стандартів
Secure HTTP (S-HTTP)	Захист трансакцій у Web	Програми-браузери, Web-сервери, програмні застосування для Internet
Secure Sockets Layer (SSL)	Захист пакетів даних на мережевому рівні	Програми-браузери, Web-сервери, програмні застосування для Internet
Secure MIME (S/MIME)	Захист електронних повідомлень, які передаються за поштовим протоколом МІМЕ	Поштові програми з підтримкою шифрування і цифрового підпису RSA
Secure Wide Area Networks (S/WAN)	Шифрування одно-рангових сполучень між брандмауерами і маршрутизаторами	Віртуальні приватні мережі
Secure Electronic Transaction (SET)	Захист трансакцій з кредитними картками	Смарт-картки, сервери трансакцій, електронна комерція

Розглянуті стандарти можна класифікувати відповідно до того, що саме вони захищають — сполучення чи програми. Такі стандарти, як SSL (Secure Sockets Layer) і S/WAN (Secure Wide Area Networks), призначені для захисту комунікацій в Internet, хоча SSL використовується насамперед з Web-застосуваннями. S-HTTP (Secure HTTP) і S/MIME (Secure MIME) спрямовані на забезпечення автентифікації і конфіденційності (S-HTTP — для Web-застосувань, a S/MIME — для електронної пошти). SET забезпечує тільки захист трансакцій електронної комерції.

Захист Web-застосувань: S-HTTP і SSL. Web-застосування захищені двома протоколами — S-HTTP і SSL, які забезпечують автентифікацію для серверів і бра-узерів, а також конфіденційність і цілісність даних для сполучень між Web-сервером і програмою-браузером.

S-HTTP — захищений HTTP-протокол, розроблений компанією Enterprise Integration Technologies (EIT) спеціально для Web. Він дає змогу забезпечити надійний криптозахист тільки для HTTP-документів Web-сервера. Його використання неможливе для захисту інших прикладних протоколів (FTP, TELNET, SMTP тощо). S-HTTP призначений насамперед для підтримки протоколу передачі гіпертексту (HTTP), забезпечує авторизацію і захист Web-документів.

SSL — розробка компанії Netscape — пропонує ті ж самі засоби захисту, але для комунікаційного каналу.

Канал — лінія зв'язку між двома вузлами мережі або вузлом і одним з його абонентів.

За SSL кодування інформації здійснюється на рівні порту.

Порт — ідентифікаційний номер, який відповідає кожному програмному застосуванню або процесу, що використовують базовий протокол Internet TCP як транспортний.

SSL — наймасовіший механізм захисту інформації, який застосовується у WWW-системі. Однак він іне призначений для забезпечення безпеки на основі 'автентифікації, що відбувається на рівні програмного застосування або документа. Для управління доступом до файлів і документів потрібно використовувати інші засоби.

Отже, SSL — універсальний протокол захисту сполучення, що використовує криптографію з відкритим ключем і є єдиним універсальним засобом, який дає змогу динамічно захистити будь-яке сполучення з використанням будь-якого прикладного протоколу (HTTP, DNS, FTP, TELNET, SMTP тощо).

SSL вже оформився як офіційний стандарт захисту для HTTP-сполучень, тобто для захисту Web-серверів. Його підтримують домінуючі на ринку про-грами-браузери компаній Microsoft і Netscape. Як правило, для встановлення SSL-сполучення з Web-сервером ще необхідне й програмне забезпечення для нього. Такі версії Web-серверів існують (наприклад, SSA-Apache).

Однак поки що жоден з існуючих криптопротоколів не оформився як єдиний стандарт захисту сполучення, який би підтримувався всіма виробниками мережевих операційних систем (ОС). Якби протокол SSL підтримували всі мережеві ОС, не було б потреби в розробці спеціального програмного забезпечення SSL-сумісних серверів (DNS, FTP, TELNET, WWW тощо). Але виробники мережевих ОС не можуть домовитися про єдину позицію і певним чином перекладають рішення проблем інформаційної безпеки безпосередньо на користувачів Internet.

Отже, S-HTTP захищає дані, a SSL — комунікаційний канал.

Захист електронної пошти. Для захисту електронної пошти в Internet існує безліч різноманітних протоколів, але лише кілька з них поширені.

РЕМ (Privacy Enhanced Mail). Це стандарт Internet для захисту електронної пошти з використанням відкритих або симетричних ключів. Він застосовується усе рідше, оскільки не призначений для оброблення нового МІМЕ-формату електронних повідомлень і вимагає жорсткої ієрархії сертифікаційних центрів для видачі ключів.

S/MIME. Відносно новий стандарт, у якому задія-но багато криптографічних алгоритмів, запатентованих і заліцензійованих компанією RSA Data Security Inc. S/MIME використовує цифрові сертифікати і, отже, при забезпеченні автентифікації спирається на використання сертифікаційного центру.

PGP (Pretty Good Privacy). Це родина програмних продуктів, які використовують найстійкіші криптографічні алгоритми. В їх основу покладено алгоритм RSA. PGP реалізує технологію, відому як криптографія з відкритими ключами, яка дає змогу обмінюватися зашифрованими повідомленнями і файлами каналами відкритого зв'язку без наявності захищеного каналу для обміну ключами, а також накладати на повідомлення й файли цифровий підпис. Іншими словами, програма побудована за принципом «павутини довіри» (Web of Trust) і дає змогу користувачам розповсюджувати свої "ключі без посередництва сертифікаційних центрів.

PGP була розроблена американським програмістом, громадським діячем Ф. Цимерманом, стурбованим порушенням особистих прав в інформаційну епоху. В 1991 р. у США існувала реальна загроза прийняття закону, який забороняв би використання стійких криптографічних засобів без так званого «чорного ходу», використовуючи який, спецслужби могли б безперешкодно читати зашифровані повідомлення. Тоді Цимерман почав безкоштовно розповсюджувати PGP в Internet. PGP став найпоширенішим криптографічним пакетом у світі (понад 2 млн. копій), а Цимермана три роки переслідувала влада, підозрюючи його в незаконному експорті озброєнь.

Нині PGP розповсюджується на комерційних засадах основаною Цимерманом фірмою PGP, Inc. Експорт PGP у програмному коді, що виконується, заборонений у США, тому в інших країнах використовуються міжнародні релізи цієї програми, які обходять заборону.

PGP випускається для всіх основних операційних систем, і повідомлення з його допомогою можна шифрувати до використання програми відправлення електронної пошти. Деякі поштові програми (наприклад, Eudora Pro), дають змогу підключати спеціальні PGP-модулі для оброблення зашифрованої пошти.

Нагадаємо, особливість систем шифрування з відкритим ключем полягає в тому, що вони працюють не з одним ключем, а з парою. Те, що зашифроване першим ключем, може бути розшифроване тільки з допомогою другого, і навпаки. Отже, користувач зберігає у себе перший — таємний — ключ і нікому його не повідомляє. Другий ключ — публічний — користувач повідомляє усім, розсилає по телеконференціях, вставляє до коментарів власних архівів тощо. Якщо хтось інший побажає передати користувачу важливу інформацію, він зашифрує її публічним ключем користувача і відправить. У термінах програмної родини PGP тут описаний так званий PGP public key. Розшифрувати таку інформацію можна тільки з допомогою таємного ключа користувача, невідомого іншим.

Так само можна організовувати електронний підпис (певний аналог механізму Authenticity verification, який реалізується в більшості програм-архіваторів). У цьому випадку за вмістом інформації певного користувача розраховується спеціальна контрольна сума, яка шифрується таємним особистим ключем. Після цього кожний, у кого є публічний ключ користувача, може розрахувати таку ж суму і порівняти її з результатом розшифрування. Якщо вони не збігаються, хтось мав несанкціонований доступ до цієї інформації і щось у ній змінив. Цей механізм називається PGP signature. Однак PGP має й недоліки. По-перше, його теж можна зламати шляхом перебирання, оскільки вхідні тексти програми PGP розповсюджуються відкрито. Але алгоритм шифрування достатньо складний і працює довго, тому при нинішньому рівні швидкодії комп'ютерів це поки що нереально. По-друге, існує небезпека в можливості підробки публічного ключа. Якщо хтось почне розповсюджувати свій публічний ключ, підписуючись ім'ям іншого користувача, то він зможе одержувати листи, які інші надсилатимуть цьому користувачу, думаючи, що ключ передав він. Крім того, зловмисник зможе розсилати будь-яку інформацію, в тому числі й шкідливу, використовуючи ім'я іншого користувача і його публічний ключ.

Щоб запобігти цим зловживанням, передбачені можливість сертифікації публічного ключа і механізм PGP public key fingerprint, за яким можна за контрольними цифрами перевірити справжність ключа, зателефонувавши у сертифікаційну установу. Свій ключ бажано пересилати не відкрито, а через посередника — людину, якій довіряєш і чий публічний ключ відомий споживачам твоєї інформації, щоб цей посередник міг супроводити твій ключ своєю PGP-сігнатурою.

Захист мереж: міжмережеві екрани (брандмауери, Firewall). Віртуальні приватні мережі. Коли з'єднуються ресурси корпоративної мережі установи, її сегмента чи окремого комп'ютера з відкритою мережею, наприклад, Internet, підвищується ризик атакування і пошкоджень як самих даних у мережі, так і комп'ютерної системи загалом.

Корпоративна мережа — тут — ТСР/ІР-мережа установи з підключенням до Internet і з улаштуванням спеціального додаткового захисту.

Міжмережеві екрани (брандмауери, Firewall) слугують для захисту даних і комп'ютерних систем.

Міжмережеві екрани (Firewall) — програмне забезпечення, розташоване на комп'ютері, що містить певні інформаційні ресурси на окремому спеціалізованому комп'ютері чи пристрої з метою захисту цих ресурсів або ресурсів корпоративної мережі від користувачів із зовнішньої мережі.

Firewall здатні забезпечити захист окремих протоколів і програмних застосувань. Вони здійснюють Контроль доступу ззовні до внутрішньої мережі, її окремих сегментів тощо на основі вмісту пакетів даних, що передаються між двома сторонами, або пристроями мережею.

Міжмережеві екрани працюють з програмами маршрутизації та фільтрами всіх мережевих пакетів, щоб визначити, чи можна пропустити інформаційний пакет, а якщо можна, то відправити його до певної комп'ютерної служби за призначенням. Для того щоб міжмере-жевий екран міг зробити це, необхідно визначити правила фільтрації. Отже, міжмережевий екран є немовби віртуальним кордоном, на якому перевіряється цілісність фрагментованих пакетів даних, що передаються, їх відповідність стандарту тощо.

Налагодивши відповідним чином міжмережевий екран, можна дозволити або заборонити користувачам як доступ із зовнішньої мережі до вузлів сегментів внутрішньої мережі, що захищається, так і доступ користувачів із внутрішньої мережі до відповідних ресурсів зовнішньої мережі.

Методика міжмережевих екранів завжди була привілеєм великих локальних мереж, які передбачали високий ступінь надійності. З розповсюдженням по всій глобальній мережі програм, що атакують, пересічні комп'ютерні користувачі відчули себе в небезпеці. Оскільки не кожен Internet-провайдер може підключити через Firewall індивідуального користувача мережі, з'явилася потреба в захисних програмах, які б виконували функції Firewall для окремого комп'ютера.

Декілька фірм розташували в Internet свої версії такого програмного забезпечення. Причому в назві кожної версії обов'язково є слово Firewall, що приваблює численну армію користувачів. Серед них одним з найвизначніших є продукт фірми ConSeal.

Часто корпоративні мережі зв'язують офіси, розкидані в місті, регіоні, країні або всьому світі. Ведуться роботи щодо захисту на мережевому рівні ІР-мереж (саме такі мережі формують Internet). Провідні постачальники міжмережевих екранів і маршрути-заторів запропонували технологію S/WAN (Secure Wide Area Networks). Вони взяли на себе впровадження і тестування протоколів, що пропонуються Робочою групою інженерів Internet (Internet Engineering Task Force, IETF) для захисту пакетів даних. Ці протоколи забезпечують автентифікацію й шифрування пакетів, а також засоби обміну та управління ключами для шифрування й автентифікації. Протоколи S/WAN допоможуть досягти сумісності між маршрутизаторами і брандмауерами різноманітних виробників, що дасть змогу географічне віддаленим офісам однієї корпорації, а також партнерам, що утворюють віртуальне підприємство, безпечно обмінюватися даними по Internet. Іншими словами, компанії зможуть створювати власні віртуальні приватні мережі (virtual private networks, VPN) і використовувати Internet як альтернативу традиційним каналам зв'язку, які орендуються за високу плату.

Віртуальні приватні мережі (virtual private network, VPN)— Teриторіально розподілені корпоративні мережі, які використовують для зв'язку між окремими сегментами Internet.

Однак міжмережеві екрани не є універсальним вирішенням усіх проблем безпеки в Internet. Наприклад, вони не здійснюють перевірку на віруси і не здатні забезпечити цілісність даних.

Інтерфейси прикладного програмування. Існує два основних набори інструментів, призначених для спрощення впровадження криптографічних засобів захисту розробникам програмних застосувань для персональних комп'ютерів — Crypto API від фірми Microsoft і CDSA (Common Data Security Architecture) від Intel.

CryptoAPI. Є важливим компонентом інтегрованої системи безпеки Internet від Microsoft — Internet Security Framework, сумісної з операційними системами Windows. Цей інтерфейс прикладного програмування (АРІ) діє на рівні операційної системи і надає розробникам засоби виклику криптографічних функцій через стандартний інтерфейс у середовищі Windows. Оскільки CryptoAPI має модульну структуру, він дає змогу розробникам залежно від їх потреб замінювати один криптографічний алгоритм іншим. CryptoAPI також містить засоби для оброблення цифрових сертифікатів.

CDSA від Intel. Пропонує практично ті ж самі функціональні можливості, що й CryptoAPI, але цей набір інструментів призначений для використання на багатьох інших платформах, а не тільки для Windows. Деякі компанії (в тому числі Netscape, VeriSign) вже включили підтримку CDSA до своїх продуктів.