Построение алгоритмов решения задачи выбора безопасного маршрута передачи данных

Передача сообщений между абонентами сети осуществляется через узлы сети при наличии связи между ними, для чего из совокупности всех возможных маршрутов связи выбирают один. Связи между элементами сети характеризуются только двумя значениями, наличие связи и ее отсутствие. Остальные параметры линий связи считаются постоянными и не учитываются, так как наиболее вероятным и более просто реализуемым способом несанкционированного перехвата информационного обмена в сети связи является подключение к ее узлам.

На Рис. 3.1.1 представлена блок-схема последовательности действий, реализующих первый вариант заявленного способа выбора безопасного маршрута в сети связи, в которой приняты следующие обозначения:

{IP} - структурный массив;

{ID} - идентификационный массив;

IP_СБ - сетевой адрес сервера безопасности;

ID_а - идентификатор абонента;

IP_а - сетевой адрес абонента;

Y - число учитываемых параметров безопасности узлов сети;

b_xy - значение y-го параметра безопасности x-го узла сети, где x = 1,2,…,Х, y = 1,2,…, Y;

k_x? - комплексный показатель безопасности каждого x-го узла сети;

N_ij - количество деревьев графа сети связи, соответствующее совокупности возможных маршрутов связи между i-м и j-м абонентами сети, где i = 1,2,…, j = 1,2,…, и i ? j;

- средний показатель безопасности маршрута связи между i-м и j-м абонентами сети;

- безопасный маршрут связи между i-м и j-м абонентами сети;

z_n - количество вершин n-ого дерева графа, где n = 1,2,…,N_ij, соответствующее количеству принадлежащих ему узлов сети;

СБ - сервер безопасности.

На начальном этапе в сервере безопасности (на рис. 3.1.2 - СБ) задают исходные данные (бл. 1 на рис. 3.1.1), включающие структурный {IP} и идентификационный {ID} массивы, адрес сервера безопасности IP_СБ, идентификаторы ID_а и адреса IP_а абонентов, подключенных к сети связи, а так же для каждого x-го узла сети, где x = 1,2,…,Х, Y ? 2 параметров безопасности и их значения b_xy, где y = 1,2,…,Y, которые сведены в таблицу (рис. 3.1.3).

Рис. 3.1.3 Параметры безопасности узлов

Структурный массив {IP} - массив для хранения адреса сервера безопасности IP_СБ, адресов узлов IP_УС и абонентов IP_а сети, а так же информации о наличии связи между ними (рис. 3.1.4), которая характеризуется только двумя значениями, "1" - наличие связи и "0" - ее отсутствие.

Рис. 3.1.4 Структурный массив

Идентификационный массив {ID} - массив для хранения идентификаторов сервера безопасности ID_СБ, абонентов ID_а сети связи и соответствующих им адресов абонентов сети IP_а и сервера безопасности IP_СБ (рис. 3.1.5).

Рис. 3.1.5 Идентификационный массив

Параметры безопасности узлов сети определяют, например, в соответствии с ГОСТ Р ИСО/МЭК 15408-2002 «Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».

Значения b_x1 параметра y = 1 безопасности узлов сети определяют, например, по характеристикам производителей оборудования узлов сети, информацию о которых можно получить из физических адресов узлов сети. Физические адреса узлов сети представляют в виде шестнадцатеричной записи, например 00:10:5а:3F:D4:E1, где первые три значения определяют производителя (00:01:е3 - Siemens, 00:23:f8 - ZyXEL, 00:02:4a - Cisco).

Например, для УС1 физический адрес которого 00:01:е3:3F:D4:E1, первые три значения определяют производителя Siemens, что соответствует значению параметра безопасности b₁₁ = 0,3. Аналогично определяются значения b_x1 параметра y = 1 безопасности узлов сети УС2 - УС5, а так же значения b_xy всех заданных Y ? 2 параметров безопасности.

В качестве остальных параметров безопасности узла сети можно рассматривать тип его оборудования, версию установленного на нем программного обеспечения, принадлежность узла государственной или частной организации.

Для каждого x-го узла сети по значениям b_xy его параметров безопасности вычисляют комплексный показатель безопасности k_x? (бл. 2 на рис. 3.1.1). Рассчитанные показатели представлены в таблице (рис. 3.1.6).

Рис. 3.1.6 Комплексные показатели безопасности узлов сети

Комплексный показатель безопасности k_x? для каждого x-го узла сети вычисляют путем суммирования , или перемножения , или как среднее арифметическое значение его параметров безопасности b_xy.

Принципиально способ вычисления k_x? не влияет на результат выбора безопасного маршрута. Например, значения вычисленных комплексных показателей безопасности k_x? для каждого x-го узла рассматриваемого варианта сети связи (рис. 3.1.2) перечисленными способами при заданных значениях параметров безопасности b_xy узлов приведены в таблице

(рис.3.1.7).

Рис. 3.1.7 Комплексные показатели безопасности узлов

Далее формируют матрицу смежности вершин графа сети (бл. 3 на рис.3.1.1), для чего запоминают в структурном массиве адреса узлов сети IP_УС и адреса абонентов IP_а сети, а так же информацию о наличии связи между узлами и абонентами сети.

Для рассматриваемого графа сети связи матрица смежности вершин имеет вид:

.

После этого в идентификационном массиве запоминают идентификаторы ID_а, ID_СБ и соответствующие им адреса IP_а, IP_СБ абонентов сети и сервера безопасности.

Формируют совокупность возможных маршрутов связи между i-м и j-м абонентами сети (бл. 4 на рис. 3.1.1), где i = 1,2,…, j = 1,2,…, и i ? j, в виде N_ij деревьев графа сети связи (рис. 3.1.8).

Рис. 3.1.8 Возможные маршруты связи

Каждое n-ое, где n = 1,2,…, N_ij, дерево графа состоит из z_n вершин, соответствующих количеству узлов сети.

Общее число N_ij деревьев графа сети связи между i-м и j-м абонентами сети может быть определено различными методами. В заявленном способе общее число N_ij деревьев графа находят с использованием матрицы смежности.

Удаляя любую строку матрицы B, например, строку 1, получают матрицу B_о и транспонированную к ней матрицу :

.

Число N_ij деревьев графа сети связи между i-м и j-м абонентами сети получают путем произведения матриц B_о и , и последующего нахождения его определителя, т.е.:

.

Построение маршрутов связи между абонентами на основе деревьев графа сети связи обеспечивает нахождение всех возможных маршрутов связи и их незамкнутость, т.е. исключает неприемлемые для передачи сообщений замкнутые маршруты.

Для обоснования и объективного выбора безопасного маршрута связи из совокупности N_ij = 5 возможных маршрутов связи между i-м и j-м абонентами сети вычисляют средние показатели безопасности (бл. 5 на рис. 3.1.1) как среднее арифметическое комплексных показателей безопасности узлов сети, входящих в n-ый маршрут связи .

Используя результаты, полученные при вычислении комплексных показателей безопасности узлов сети, вычислены средние показатели безопасности маршрутов связи сформированных между i-м и j-м абонентами сети (рис. 3.1.8). Результаты сведены в таблицу (рис. 3.1.9).

Рис. 3.1.9 Вычисление среднего показателя безопасности

В качестве безопасного маршрута связи между i-м и j-м абонентами сети выбирают маршрут с наибольшим значением его среднего показателя безопасности . Возможен случай, когда будут найдены несколько маршрутов с равными средними показателями безопасности. В таком случае выбирают из найденных маршрутов самый короткий маршрут, т.е. маршрут с наименьшим количеством входящих в него узлов z_n (бл. 6 на рис. 3.1.1). После этого выбранный маршрут запоминают. Из полученных результатов приведенных в таблице (рис. 3.1.10) видно, что при всех рассмотренных способах вычисления второй маршрут n = 2 имеет наибольшие значения среднего показателя безопасности (рис. 3.1.9). Можно сделать вывод, что способ вычисления k_x? не влияет на результат выбора безопасного маршрута. Таким образом, формируют множество маршрутов между всеми абонентами сети.

Далее формируют сообщения, включающие запомненные маршруты между i-м и всеми j-ми абонентами, идентификаторы ID_аj и адреса IP_аj всех j-х абонентов (бл. 7 и 8 на рис. 3.1.1). После этого отправляют сформированные сообщения всем i-м абонентам сети (бл. 9 на рис. 3.1.1). Таким образом, каждого абонента сети уведомляют о безопасных маршрутах ко всем остальным абонентам.

Для передачи сообщений между абонентами по идентификатору абонента-получателя сообщения ID_а выбирают его адрес IP_а и безопасный маршрут к нему, после чего передают сообщение абоненту-получателю по заданному маршруту (бл. 10 на рис. 3.1.1). Известные протоколы маршрутизации (routing protocols), такие как RIP, OSPF, BGP предназначены для передачи пользовательской информации и обеспечивают в способе маршрутизации от источника (source specified routing) обмен информацией по заданному маршруту. Таким образом, у абонентов имеется возможность передачи сообщений именно по заданному безопасному маршруту.

При подключении нового абонента (на рис. 3.1.2 - Аб н) к сети связи, формируют у него сообщение, содержащее адрес узла сети УС 4 IP_У4 к которому он подключен, его идентификатор ID_ан и адрес IP_ан (бл. 11 и 12 на рис.3.1.1). Отправляют сформированное сообщение на сервер безопасности, где его запоминают в структурном и идентификационном массивах (бл. 13 и 14 на рис.3.1.1), дополняя (обновляя) таким образом, информацию о структуре сети связи и абонентах сети.

В сервере безопасности аналогично описанному выше способу выбирают безопасные маршруты связи между новым абонентом и всеми j-ми абонентами и запоминают их (бл. 15 и 16 на рис.3.1.1). Формируют сообщение, включающее информацию о запомненных безопасных маршрутах связи ко всем j-ым абонентам сети и отправляют его новому абоненту. Формируют сообщения, включающие информацию о запомненных безопасных маршрутах связи от каждого j-ого абонента сети к новому абоненту и отправляют их j-ым абонентам сети (бл. 17 и 9 на рис.3.1.1). Таким образом, нового абонента сети уведомляют о безопасных маршрутах ко всем абонентам сети, а остальных абонентов уведомляют о безопасных маршрутах к новому абоненту.

Таким образом, в первом варианте способа путем задания информации о структуре сети связи, исходных данных об узлах и абонентах сети, и расчета комплексных показателей безопасности узлов сети, осуществляется выбор безопасных маршрутов в сети связи из совокупности всех возможных маршрутов связи между абонентами и доведение безопасного маршрута до абонентов сети, что обеспечивает достижение сформулированного технического результата - повышение скрытности связи за счет управления маршрутами информационного обмена абонентов в сети связи.

3.2 Второй вариант алгоритма безопасной маршрутизации

Рис. 3.2.1 Блок-схема последовательности действий, реализующих второй вариант алгоритма

Во втором варианте способа поставленная цель достигается тем, что в известном способе выбора безопасного маршрута в сети связи, заключающемся в том, что для сети связи, содержащей X ? 2 узлов сети предварительно задают исходные данные, запоминают информацию о структуре сети связи, включающую адреса узлов сети IP_УС и наличие связи между ними, формируют совокупность N возможных маршрутов связи, из которых выбирают один маршрут и передают по нему сообщения. В предварительно заданные исходные данные дополнительно задают структурный и идентификационный массивы, массив правил разграничения доступа, адрес сервера безопасности IP_СБ, идентификаторы ID_а и адреса IP_а абонентов, подключенных к сети связи, данные о разграничении доступа между i-м и j-м абонентами сети, где i = 1,2,…, j = 1,2,…, и i ? j. Задают для каждого x-го узла сети, где x = 1,2,…,Х, Y ? 2 параметров безопасности и их значения b_xy, где y = 1,2,…,Y. Вычисляют комплексный показатель безопасности k_x? для каждого x-го узла сети. Формируют матрицу доступа, для чего запоминают в массиве правил разграничения доступа идентификаторы ID_а абонентов и соответствующие им данные о разграничении доступа. Затем формируют матрицу смежности вершин графа сети, для чего запоминают в структурном массиве адреса узлов сети IP_УС и адреса абонентов IP_а сети, а так же информацию о наличии связи между узлами и абонентами сети, а в идентификационном массиве запоминают идентификаторы ID_а, ID_СБ и соответствующие им адреса IP_а, IP_СБ абонентов сети и сервера безопасности.

При подключении нового абонента к сети связи формируют сообщение, содержащее адрес узла сети IP_УС подключения нового абонента, его идентификатор ID_ан и адрес IP_ан. После этого отправляют сформированное сообщение на сервер безопасности, где его запоминают в структурном и идентификационном массивах. Формируют у i-ого абонента запрос о возможности доступа к j-му абоненту сети, включающий идентификаторы i-ого ID_аi и j-ого ID_аj абонентов. Отправляют запрос на сервер безопасности, где его запоминают. Проверяют по матрице доступа наличие запрашиваемого доступа и при его отсутствии формируют и отправляют i-му абоненту сети ответ об отсутствии его доступа к j-му абоненту сети. При наличии доступа формируют совокупность возможных маршрутов связи между i-м и j-м абонентами сети в виде N_ij деревьев графа сети связи, причем каждое n-ое, где n = 1,2,…,N_ij, дерево графа состоит из z_n вершин, соответствующих количеству принадлежащих ему узлов сети. Затем для каждого из N_ij возможных маршрутов связи между i-м и j-м абонентами сети вычисляют средние показатели безопасности как среднее арифметическое комплексных показателей безопасности узлов сети, входящих в n-ый маршрут связи. В качестве безопасного маршрута связи выбирают маршрут с наибольшим значением его среднего показателя безопасности . В случае нахождения нескольких маршрутов с равными средними показателями безопасности выбирают из них маршрут с наименьшим количеством входящих в него узлов z_n. После этого выбранный безопасный маршрут запоминают, формируют сообщение, включающее запомненный маршрут и адрес IP_аj j-ого абонента. Отправляют сформированное сообщение i-му абоненту сети. А для передачи сообщений между абонентами по идентификатору абонента-получателя сообщения ID_а выбирают его адрес IP_а и безопасный маршрут и передают сообщение, включающее информацию об используемом маршруте.

Комплексный показатель безопасности k_x? для каждого x-го узла сети вычисляют путем суммирования, или перемножения, или как среднее арифметическое значение его параметров безопасности b_xy.

Число N_ij деревьев графа сети связи между i-м и j-м абонентами сети вычисляют по формуле:

 ,

где

_ преобразованная матрица смежности вершин графа сети связи; M = M_р-1, K - соответственно число строк и столбцов матрицы;

M_р - число строк исходной матрицы смежности; равное общему количеству узлов сети связи;

_ транспонированная матрица к .

Отличие второго варианта способа от первого заключается в следующем. Также как и в первом варианте для достижения сформулированного технического результата, т. е. повышения скрытности связи, задают исходные данные об узлах и абонентах сети. Дополнительно задают правила разграничения доступа между абонентами сети, определяющие наличие доступа между каждой парой абонентов. Выбор безопасного маршрута между абонентами сети осуществляют только по запросу абонента, причем только в случае, когда это разрешено предварительно заданными на сервере безопасности правилами доступа. В противном случае абоненту отказывают в доступе.

На Рис. 3.2.1 представлена блок-схема последовательности действий, реализующих второй вариант заявленного способа выбора безопасного маршрута в сети связи, в которой приняты следующие обозначения:

{SP} - массив правил разграничения доступа.

Остальные обозначения имеют тот же смысл, как и в рассмотренном первом варианте.

На начальном этапе аналогично, как и в первом варианте способа, в сервере безопасности (СБ) задают исходные данные (бл. 1 на рис. 3.2.1).

В исходные данные, в отличие от первого варианта способа, дополнительно задают массив {SP} правил разграничения доступа и данные о разграничении доступа между i-м и j-м абонентами сети, где i = 1,2,…, j = 1,2,…, и i ? j.

После задания исходных данных аналогично, как и в первом варианте способа, для каждого x-го узла сети по значениям b_xy его параметров безопасности вычисляют комплексный показатель безопасности k_x?. Рассчитанные показатели представлены в таблице (рис. 3.2.2).

Рис. 3.2.3 Комплексные показатели безопасности

Далее, в отличие от первого варианта способа, формируют матрицу доступа (бл. 3 на рис. 3.2.2), для чего запоминают в массиве {SP} правил разграничения доступа идентификаторы ID_а абонентов и соответствующие им данные о разграничении доступа, которые характеризуются только двумязначениями, "1" - наличие доступа i-ого абонента к j-му абоненту сети

И "0" - отсутствие доступа (рис. 3.2.3).

Рис. 3.2.4 Массив разграничения доступа

Далее аналогично, как и в первом варианте способа, формируют матрицу смежности вершин графа сети (бл. 4 на рис. 3.2.1).

При подключении нового абонента к сети связи (на рис. 3.1.2 - Аб н), также как и в первом варианте способа, формируют у него сообщение, содержащее адрес узла сети УС 4 IP_У4 к которому он подключен, его идентификатор ID_ан и адрес IP_ан (бл. 5 и 6 на рис. 3.2.1). Отправляют сформированное сообщение на сервер безопасности, где его запоминают в структурном и идентификационном массивах (бл. 7 и 8 на рис. 3.2.1), дополняя (обновляя) таким образом, информацию о структуре сети связи и абонентах сети.

В отличие от первого варианта способа, для осуществления передачи сообщений от i-ого абонента сети к j-му необходимо получить у сервера безопасности разрешение на передачу и при наличии разрешения безопасный маршрут. В связи с этим, формируют у i-ого абонента запрос о возможности доступа к j-му абоненту сети, включающий идентификаторы i-ого ID_аi и j-ого ID_аj абонентов. Отправляют запрос на сервер безопасности, где его запоминают (бл. 9 и 10 на рис. 3.2.1). Проверяют по матрице доступа (рис. 3.2.3) наличие запрашиваемого доступа и при его отсутствии формируют и отправляют i-му абоненту сети ответ об отсутствии его доступа к j-му абоненту сети (бл. 12 и 13).

При наличии у i-ого абонента доступа к j-му абоненту сети (бл. 11) аналогично, как и в первом варианте способа, формируют совокупность возможных маршрутов связи между i-м и j-м абонентами сети в виде N_ij деревьев графа сети связи (бл. 14), вычисляют средние показатели безопасности (бл. 15). Выбирают безопасный маршрут связи между i-м и j-м абонентами сети и запоминают его (бл. 16 и 17). Таким образом, формируют безопасный маршрут связи между i-м и j-м абонентами по запросу i-ого абонента сети.

Далее формируют сообщение, включающее запомненный маршрут между i-м и j-м абонентами, и адрес IP_аj j-ого абонента (бл. 18). После этого отправляют сформированное сообщение i-му абоненту сети (бл. 19). Таким образом, i-ого абонента сети уведомляют о безопасном маршруте связи к j-му абоненту сети.

Для передачи сообщений между абонентами по идентификатору абонента-получателя сообщения ID_а аналогично, как и в первом варианте способа, выбирают его адрес IP_а и безопасный маршрут к нему, после чего передают сообщение абоненту-получателю по заданному маршруту (бл. 20).

Таким образом, во втором варианте способа также обеспечивается достижение сформулированного технического результата - повышения скрытности связи.

3.3 Третий вариант алгоритма безопасной маршрутизации