2014-02-09
2222Для реализации функций IPsec используются три основных протокола:
– AH (Authentication Header – заголовок аутентификации) обеспечивает целостность и аутентичность;
– ESP (Encapsulating Security Payload – инкапсуляция зашифрованных данных) предоставляет функции целостности, аутентичности и конфиденциальности;
– IKE (Internet Key Exchange – обмен ключами Интернета) генерирует и распределяет секретные ключи.
Можно заметить, что протокол ESP имеет схожие функции с протоколом AH. Пересечение функций вызвано тем, что на применение протоколов шифрования во многих странах накладываются определенные ограничения. В связи с этим оба протокола могут применяться независимо, хотя наивысший уровень защиты достигается при их совместном использовании.
На рисунке представлена структура протокола IPsec и взаимосвязь основных протоколов, входящих в его состав.
Рисунок – Структура протокола IРsec
Протоколы AH и ESP.
Протокол AH (описан в RFC 2402) снабжает пакет IPsec своим незашифрованным заголовком, который обеспечивает:
– аутентификацию исходных данных;
|
|
|
– целостность данных;
– защиту от дублирования уже полученных данных.
Первые две функции протокола AH реализуются путем применения алгоритмов хеширования (MD51 или SHA12) к исходным данным. Процедура хеширования осуществляется источником с помощью секретного ключа, который был выдан источнику и приемнику пакета с использованием протокола IKE. Полученное значение хеша помещается в специальное поле заголовка AH. Приемник также осуществляет процедуру хеширования, применяя тот же секретный ключ. В том случае, если вычисленный хеш совпадает с хешем, извлеченным из пакета, данные считаются аутентифицированными и целостными. Иначе пакет в процессе передачи подвергся каким-либо изменениям и не является правильным.
Функция защиты от дублирования уже полученных пакетов осуществляется с помощью поля номера пакета в заголовке AH. В это поле приемник заносит значение счетчика, увеличивающееся при отправке каждого пакета на единицу. Приемник отслеживает номера получаемых пакетов, и, если такой номер совпадает с недавно полученным, пакет отбрасывается.
Протокол ESP (описан в RFC 2406) решает задачи, подобные протоколу AH, – обеспечение аутентификации и целостности исходных данных, а также защиту от дублирования пакетов. Кроме того, протокол ESP предоставляет средства обеспечения конфиденциальности данных при помощи алгоритмов шифрования.
Задачи аутентификации, целостности и защиты от дублирования решаются теми же методами, что и в протоколе AH. Передаваемый пакет, за исключением нескольких служебных полей, шифруется с применением алгоритмов шифрования DES и 3DES (DES с тремя ключами).
|
|
|
Протокол IKE.
Управление секретными ключами в протоколе IPsec осуществляется при помощи протокола IKE (описан в RFC 2409). Данный протокол основан на двух протоколах: ISAKMP (Internet Security Association and Key Management Protocol – протокол межсетевой ассоциации защиты и управления ключами) и протоколе определения ключей Оакли (Oakley Key Determination Protocol).
Протокол IKE устанавливает соединение между двумя узлами сети, называемое безопасной ассоциацией (Security Association, SA). Безопасная ассоциация обеспечивает передачу защищенных данных только в одну сторону, поэтому для установки двустороннего соединения требуется определить две безопасные ассоциации. Для аутентификации узлов безопасной ассоциации, согласования между ними методов хеширования и шифрования IKE использует протокол ISAKMP (описан в RFC 2408).
Для генерации и обмена секретными ключами IKE использует протокол определения ключей Оакли (описан в RFC 2412), разработанный на основе метода обмена ключами Диффи-Хэллмена (Diffie-Hellman). В этом методе секретный ключ генерируется на двух узлах путем обмена двумя числами через открытую сеть. При этом перехват чисел не даст информации о ключах.
Операционная система Windows Server 2003 предоставляет широкий набор инструментов по обеспечению безопасности в компьютерной сети. Основными инструментами являются протокол аутентификации Kerberos и протокол безопасной передачи данных IPsec.
Протокол Kerberos обеспечивает процесс безопасной аутентификации в открытых сетях, а также предоставляет возможность аутентификации сервера клиентом. Особенностью протокола является то, что в процессе аутентификации участвует кроме клиента и сервера контроллер домена, на котором работают центр распространения ключей и служба предоставления билетов.
Безопасность передачи сообщений в сетях обеспечивается протоколом IPsec. Протокол предоставляет средства аутентификации участников соединения, шифрования сообщений и процедуры обмена секретными ключами. Применение протокола IPsec является обязательным в сетях следующего поколения IPv6, а также может использоваться в современных сетях IPv4.
Протокол SSL/TLS. Протокол SSL/TLS (Secure Sockets Layer/Transport Layer Security – уровень безопасных сокетов/безопасность транспортного уровня) фигурировал в нескольких версиях Windows NT. Данный протокол широко поддерживается как в корпоративных сетях, так и в Internet.
Windows Server 2003 применяет протокол SSL/TLS и сертификаты X.509 для проверки подлинности пользователей смарт-карт. Помимо этого, протокол SSL/TLS используется для обеспечения безопасности большинства форм сетевого общения, таких как трафик Web и FTP, электронная почта, а также клиентские транзакции, созданные обозревателями.
Защита данных пи помощи SSL/TLS. SSL обычно используется для защиты приложений клиент-серверных Web-приложений, таких как приложения для электронной коммерции или удаленного доступа к электронной почте, взаимодействия между SQL Server и IIS (Internet Information Services), а также IIS и ISA Server (Internet Security and Acceleration – брандмауэры). Поддержка защиты SSL для связи между клиентом и сервером, а также между IIS и SQL Server включает поддержку аутентификации сервера и шифрование данных, которыми обмениваются два компьютера. Если ISA Server является брандмауэром для Web-сайта с IIS, можно настроить SSL на создание прямого туннеля с IIS-сервером или на передачу данных ISA-серверу, а тот будет передавать их IIS-серверу. TLS – это версия SSL, описанная в стандарте IETF, применяется она аналогично SSL.
Как работает SSL. SSL обеспечивает доступ с защитой аутентификацией и шифрованием данных, передаваемых между клиентом и сервером. Для SSL необходим сертификат сервера, можно так настроить SSL на требование сертификатов клиентов. Если используется только сертификат сервера, то проверяется подлинность Web-сервера, обладающего сертификатом, подписанным доверенным центром сертификации (ЦС). При этом сервер вычисляет сеансовый ключ и безопасно передает его клиенту, после чего клиент и сервер могут приступать к шифрованному обмену данными.
|
|
|
В Интеренете клиенты могут проверять сертификаты, выданные общим ЦС, поскольку копия сертификата корневого общедоступного ЦС хранится на клиентском компьютере. Для выдачи серверам сертификатов SSL также применяют частные ЦС организаций (например, ЦС на основе Windows Server 2003, установленные в корпоративных сетях). Но, поскольку копия сертификата корневого сервера по умолчанию не содержится в хранилище сертификатов клиента, при посещении сайтов с такими сертификатами пользователи получают предупреждение и могут подтвердить свое доверие сертификату сервера, хотя делать этого не следует.
Организация может выбрать использование собственного частного ЦС для выдачи серверам интрасети сертификатов SSL. Преимуществом такого решения является более низкая стоимость и уровень риска, так как защита сертификатов SSL, а, следовательно, и защита сайта, не зависит от сторонних организаций. Но в отсутствие должного внимания со стороны администратора к PKI (Public Key Infrastructure – инфрастуктура открытых ключей), выпускающей сертификаты серверов, взломать защиту взаимодействия с Web-сайтом намного проще.
Помимо выдачи серверных сертификатов SSL для Web-сайтов, ЦС организации может использоваться для выпуска сертификатов клиентов. При обращении к очень важной информации (или передач ее по сети) защищенный SSL Web-сайт может требовать сертификаты клиентов.
