Механизмы безопасности

Механизмы безопасности предназначены для реализации услугбезопасности. Выделяют следующие механизмы безопасности:

– Механизмы шифрования, которые обеспечивают конфиденциальность передаваемых данных и / или информации о потоках данных.

Различают два способа шифрования: канальное, когда шифруются все передаваемые по каналу данные, и оконечное, при этом шифруются только пользовательские данные, служебная информация остается открытой.

В первом случае вся информация оказывается открытой на промежуточных узлах – ретрансляторах, шлюзах и т. д.; пользователь не принимает участия в выполняемых операциях; для каждой пары узлов требуется свой ключ.

Оконечное шифрование позволяет обеспечивать конфиденциальность данных, передаваемых между двумя прикладными объектами. Отправитель шифрует данные, получатель – расшифровывает, на промежуточных узлах восстановить информацию невозможно, поэтому маршрут передачи несущественен – в любом канале информация останется защищенной.

Выбор того или иного способа шифрования или их комбинации зависит от результатов анализа риска. Вопрос стоит следующим образом: что более уязвимо – непосредственно отдельный канал связи или содержание сообщения, передаваемое по различным каналам. Канальное шифрование быстрее (применяются другие, более быстрые, алгоритмы), прозрачно для пользователя, требует меньше ключей. Оконечное шифрование более гибко, может использоваться выборочно, однако требует участия пользователя. В каждом конкретном случае вопрос должен решаться индивидуально.

– Механизмы цифровой подписи включают закрытие блоков данных и проверки блока данных на подлинность и авторство.

– Механизмы контроля доступа осуществляют проверку полномочий сетевого объекта на доступ к ресурсам. Проверка полномочий производится в соответствии с правилами разработанной политики безопасности.

– Механизмы обеспечения целостности передаваемых данных. Эти механизмы обеспечивают как целостность отдельного блока или поля данных, так и потока данных. Целостность блока данных обеспечивается передающим и принимающим объектами. Передающий объект добавляет к блоку данных признак, значение которого является функцией от самих данных. Принимающий объект также вычисляет эту функцию и сравнивает ее с полученной. В случае несовпадения выносится решение о нарушении целостности. Обнаружение изменений может повлечь за собой действия по восстановлению данных. В случае умышленного нарушения целостности может быть соответствующим образом изменено и значение контрольного признака (если алгоритм его формирования известен), в этом случае получатель не сможет установить нарушение целостности. Тогда необходимо использовать алгоритм формирования контрольного признака как функцию данных и секретного ключа. В этом случае правильное изменение контрольного признака без знания ключа будет невозможно, и получатель сможет установить, подвергались ли данные модификации.

Защита целостности потоков данных (от переупорядочивания, добавления, повторов или удаления сообщений) осуществляется с использованием дополнительных формы нумерации (контроль номеров сообщений в потоке), меток времени и т. д.

– Механизмы аутентификации объектов сети. Для обеспечения аутентификации используются пароли, проверка характеристик объекта, криптографические методы (аналогичные цифровой подписи).

– Механизмы заполнения текста используются для обеспечения защиты от анализа трафика. В качестве такого механизма может использоваться, например, генерация фиктивных сообщений; в этом случае трафик имеет постоянную интенсивность во времени.

– Механизмы управления маршрутом. Маршруты могут выбираться динамически или быть заранее заданы с тем, чтобы использовать физически безопасные подсети, ретрансляторы, каналы. Оконечные системы при установлении попыток навязывания могут потребовать установления соединения по другому маршруту. Кроме того, может использоваться выборочная маршрутизация (то есть часть маршрута задается отправителем явно – в обход опасных участков).

– Механизмы освидетельствования. Характеристики данных, передаваемые между двумя и более объектами (целостность, источник, время, получатель) могут подтверждаться с помощью механизма освидетельствования. Подтверждение обеспечивается третьей стороной (арбитром), которой доверяют все заинтересованные стороны и которая обладает необходимой информацией.

Рассмотренные механизмы защиты распределены по уровням защиты корпоративной сети: рабочего места; системы; приложения; корпоративной сети; телекоммуникаций.

Возрастание уровня защиты и активация новых механизмов возникают в процессе развития сети или ее модернизации.

Контрольные вопросы

– Назовите основные проблемы, с которыми сталкиваются специалисты при построении защиты компьютерных сетей.

– Что такое Интранет?

– Каковы недостатки, с точки зрения организации защиты, архитектуры «клиент-сервер»?

– Верно ли утверждение: «Интранет – это гибридная архитектура, имеющая положительные и отрицательные свойства своих предшественников»?

– Назовите требования международных стандартов по номенклатуре услуг, предоставляемых системой безопасности.

– Что такое аутентификация?

– Перечислите основные механизмы безопасности в автоматизированных системах.

Поиск по сайту: