Підвищення безпеки та надійності доставки інформації в мережі шляхом створення каналу з шифруванням
Аналіз технологій і способів реалізації віддаленого доступу на основі VPN. Порівняння протоколів по рівнях мережевої моделі ОSI та завданнях, які вони виконують. Реалізація доступу до VPN сервера з шифруванням, використовуючи вбудовані служби й програми.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | дипломная работа |
| Язык | украинский |
| Дата добавления | 30.07.2015 |
| Размер файла | 534,3 K |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Размещено на http://www.allbest.ru/
1
Зміст
Вступ
1. Розгляд існуючих технологій реалізації захищеного доступу через глобальні мережі з використанням VPN
1.1 Цілі застосування каналів VPN з шифруванням
1.2 Існуючі методи реалізації захищених каналів VPN
1.3 Безпека інформаційних мереж на основі VPN та способи за допомогою яких вона досягається
2. Протоколи реалізації віддаленого доступу на основі VPN
2.1 Протоколи VPN по рівням мережевої моделі ОSI
2.2 Набір протоколів і алгоритмів захисту IPsec
2.3 Порівняння протоколів та вибір найбільш відповідного до поставленої задачі
3. Розробка і реалізація захищеної мережі за допомогою каналів VPN
3.1 Установка і налаштування серверної операційної системи
3.2 Настройка VPN серверу
Заключення
Список використаних джерел
Додатки
Вступ
Актуальність роботи. В наш час все більшого застосування набирає використання віддаленого доступу між територіально рознесеними інформаційними мережами. В підрозділах автоматизації це питання також актуальне. Комп'ютерні мережі мають необхідність в наявності сервера VPN, який буде дозволяти віддаленим абонентам використовувати ресурси приватної мережі через загальнодоступні мережі. Також VPN сервер може використовуватись для підвищення безпеки передачі інформації в локальній мережі, зменшивши вірогідність витоку чи крадіжки інформації, яка транспортується в мережі.
Безпека інформації на сьогодні - одна з найважливіших складових роботи системного адміністратора. І чим більше підрозділ автоматизації, тим більші можливості з'являються у зловмисників щодо перехоплення інформації, тим безпека каналів підрозділу критичніше.
В роботі розглядається захищений віддалений доступ до мережі, за допомогою якого здійснюється віртуальний локальний зв'язок між розподіленими мережами.
Практично реалізований тунельний канал за допомогою VPN сервера з операційною системою Windоws Server 2003, та здійснений віддалений доcтуп до мережі сервера.
Об'єкт дослідження: інформаційна мережа з тунельним доступом до неї.
Предмет дослідження: сервер віртуальної приватної мережі.
Метою дослідження: підвищення безпеки та надійності доставки інформації в мережі шляхом створення каналу з шифруванням.
Завдання:
1. Проаналізувати існуючі технології та способи реалізації віддаленого доступу на основі VPN.
2. Порівняти існуючі протоколи VPN по рівнях мережевої моделі ОSI та завданнях, які вони виконують.
3. Практично реалізувати доступ до VPN сервера з шифруванням, використовуючи вбудовані в серверну операційну систему служби й програми.
1. Розгляд існуючих технологій реалізації захищеного доступу через глобальні мережі з використанням VPN
Будь-яка організація, будь вона виробничою, торговою, фінансовою компанією чи державним закладом, обов'язково стикається з питанням передачі інформації між своїми філіалами, а також з питанням захисту цієї інформації. Не кожна фірма може собі дозволити мати власні фізичні канали доступу, і тут допомагає технологія VPN, на основі якої і з'єднуються усі підрозділи і філії, що забезпечує достатню гнучкість і одночасно високу безпеку мережі, а також істотну економію витрат.
Віртуальна приватна мережа (VPN - Virtual Private Netwоrk) створюється на базі загальнодоступної мережі Інтернет. І якщо зв'язок через Інтернет має свої недоліки, головним з яких є те, що вона схильна до потенційних порушень захисту і конфіденційності, то VPN можуть гарантувати, що трафік, що направляється через Інтернет, так само захищений, як і передача усередині локальної мережі. У той же час віртуальні мережі забезпечують істотну економію витрат в порівнянні із змістом власної мережі глобального масштабу.
Одним з найважливіших завдань технології VPN є захист потоків корпоративних даних, що передаються по відкритих мережах. Відкриті канали можуть бути надійно захищені лише одним методом - криптографічним.
Так звані виділені лінії не мають особливих переваг перед лініями загального користування в плані інформаційної безпеки. Виділені лінії хоч би частково розташовуватимуться в неконтрольованій зоні, де їх можуть пошкодити або здійснити до них несанкціоноване підключення. Єдина реальна перевага - це гарантована пропускна спроможність виділених ліній, а не підвищена захищеність.
Цікаво згадати, що в мирний час 95% трафіку Міністерства оборони США передається через мережі загального користування. У військовий час ця доля повинна складати "лише" 70 %. Можна припустити, що Пентагон - не найбідніша організація. Американські військові покладаються на мережі загального користування тому, що розвивати власну інфраструктуру в умовах швидких технологічних змін - заняття дуже дороге і безперспективне, виправдане навіть для критично важливих національних організацій тільки у виняткових випадках.
Сам по собі принцип роботи VPN не суперечить основним мережевим технологіям і протоколам. Наприклад, при установлені з'єднання віддаленого доступу, клієнт посилає серверу потік пакетів стандартного протокола PPP. У разі організації віртуальних виділених ліній між локальними мережами їх маршрутизатори також обмінюються пакетами PPP. Проте, принципово новим моментом являється пересилка пакетів через безпечний тунель, організований в межах загальнодоступної мережі.
Тунелювання дозволяє організувати передачу пакетів одного протоколу в логічному середовищі, використовуючи інший протокол. В результаті виникає можливість вирішити проблеми взаємодії декількох різнотипних мереж, починаючи з необхідності забезпечення цілісності і конфіденційності передаваних даних і закінчуючи подоланням невідповідностей зовнішніх протоколів або схем адресації.
Існуюча мережева інфраструктура корпорації може бути підготовлена до використання VPN як з допомогою програмного, так і з допомогою апаратного забезпечення. Організацію віртуальної приватної мережі можна порівняти з прокладкою кабелю через глобальну мережу.
Найбільш поширений метод створення тунелів VPN - інкапсуляція мережевих протоколів (IP, IPX, AppleTalk і так далі) в PPP і подальша інкапсуляція утворених пакетів в протокол тунелювання. Такий підхід називається тунелюванням другого рівня, оскільки "пасажиром" тут являється протокол саме другого рівня.
1.1 Цілі застосування каналів VPN з шифруванням
Головні особливості корпоративних мереж - глобальність зв'язків, масштабність і гетерогенність - представляють і підвищену небезпеку для виконання ними своїх функціональних завдань. Оскільки протоколи сімейства TCP/IP розроблені доволі давно, коли проблема безпеки ще не стяла так гостро, як зараз, то вони, в першу чергу, розроблялися як функціональні і легко переносимі, що допомогло розповсюдитись стеку TCP/IP на велику кількість комп'ютерних платформ. Крім того, в теперішній час при використанні Інтернету в розпорядженні зловмисників з'являються численні засоби і методи проникнення в корпоративні мережі.
У зв'язку з гігантським ростом численності хостів, підключених до Інтернету, і ростом числа компаній, використовуючих технології Інтернету для ведення свого бізнесу, значно збільшилось число інцидентів, пов'язаних з інформаційною безпекою (ІБ). Дані CERT (Cоmputer Emergency Respоnse Team) показують, що кількість виявлених вразливостей і кількість зареєстрованих інцидентів постійно збільшуються.
До теперішнього часу відома велика кількість різнопланових загроз різноманітного походження, що приховують в собі різну небезпеку для інформації.
Навмисне походження загрози обумовлюється зловмисними діями людей, що здійснюються з метою реалізації одного або декількох видів загроз. Відмічені дві різновидності предпосилок появи загроз: об'єктивні (кількісна або якісна недостатність елементів системи) і суб'єктивні (діяльність розвідувальних служб іноземних держав, промисловий шпіонаж, діяльність кримінальних елементів, зловмисні дії недобросовісних співробітників системи).
Джерелом загроз можуть бути люди, технічні засоби, програми і алгоритми, технологічні схеми обробки даних і зовнішнє середовище.
Основними причинами витоку інформації є:
* недотримання персоналом норм, вимог, правил експлуатації;
* помилка в проектуванні системи і систем захисту;
* ведення зацікавленою стороною технічної і агентурної розвідок.
Недотримання персоналом норм, вимог, правил експлуатації може бути як умисним, так і ненавмисним. Від ведення зацікавленою стороною агентурної розвідки цей випадок відрізняє те, що в даному разі обличчям, що здійснює несанкціоновані дії, рухають особисті мотиви.
Причини витоку інформації достатньо тісно пов'язані з видами витоку інформації.
Розглядаються три види витоку інформації:
* розголошення;
* несанкціонований доступ до інформації;
* отримання захищеної інформації розвідками.
Під розголошенням інформації розуміється несанкціоноване доведення захищеної інформації до споживача, які не мають права доступу до захищеної інформації.
Під несанкціонованим доступом розуміється отримання захищеної інформації зацікавленим суб'єктом з порушенням установлених правовими документами або власником інформації прав або правил доступу до захищеної інформації. При цьому зацікавленим суб'єктом, що здійснює несанкціонований доступ до інформації, може бути держава, юридична особа, група фізичних осіб (у тому числі громадська організація), окрема фізична особа.
Отримання захищеної інформації розвідками може здійснюватися за допомогою технічних засобів (технічна розвідка) або агентурними методами (агентурна розвідка).
Канал витоку інформації - совокупність джерел інформації, матеріального носія або середовища розповсюдження несучого зазначену інформацію сигналу і засоби виділення інформації з сигналу або носія. Однією з основних властивостей каналу є місце розташування засобів виділення інформації з сигналу або носія, які можуть розташовуватись в межах контролюємої зони, охоплюючи систему, або поза нею.
З пункту А в пункт Б необхідно передати інформацію таким чином, щоб до неї ніхто не зміг отримати доступ. Цілком реальна і часто виникаюча на практиці ситуація, особливо в останній час. Як пункти А і Б можуть виступати окремі вузли або цілі сегменти мереж. У випадку з передачею інформації між мережами в якості захисту може виступати виділений канал зв'язку, що належить компанії, інформація якої вимагає захисту. Однак підтримка таких каналів зв'язку - дуже дороге задоволення.
Легше й дешевше, якщо інформація буде передаватися по звичайним каналам зв'язку (наприклад, через Інтернет), але яким-небудь способом буде віддалена або прихована від трафіку інших компаній, циркулюючого в мережі. Не слід думати, що потреба в конфіденційній передачі інформації виникає лише в глобальних мережах. Така потреба може виникнути і в локальних мережах, де потрібно відділити один тип трафіку від іншого (наприклад, трафік платіжної системи від трафіку інформаційно-аналітичної системи).
Рис. 1.1 VPN
Особливість технології VPN в тому, що організація віддаленого доступу робиться не через телефонну лінію, а через Інтернет, що набагато дешевше і краще. Для організації віддаленого доступу до приватної мережі за допомогою технології VPN знадобиться Інтернет і реальна IP-адреса. І будь-який користувач з будь-якої точки земної кулі зможе зайти в нашу мережу, якщо він знає IP-адресу, логін і пароль нашої мережі.
Рис. 1.2 Віддалений користувач
Мета VPN - прозорий доступ до ресурсів мережі, де користувач може робити все те, що він робить зазвичай незалежно від того, наскільки він віддалений. З цієї причини VPN придбав популярність серед дистанційних працівників і офісів, які потребують спільному використанні ресурсів територіально розділених мереж.
Якщо ви потребуєте великої кількості ресурсів, розподілених в багатьох мережах, і проблемою являється конфіденційність переміщення інформації в цих мережах, то VPN буде добрим вибором. В цьому заключається перевага VPN - можна одним рухом захистити від зовнішнього світу всю мережу.
Якщо вам необхідні хости, які створюють відчуття, що вони знаходяться в одній мережі, VPN - це спосіб реалізувати подібне рішення. Це дійсно зручно, якщо ви працюєте з мобільними клієнтами, яким необхідний прозорий доступ до головних офісів, або якщо ви хочете отримати повний и безпечний доступ до вашої домашньої мережі. Навіщо турбуватися про плутанину з великою кількістю IP-адрес? Навіщо міняти інфраструктуру при зміні провайдера? Якщо ви використовуєте VPN, то вам необхідна всього-на-всього конфігурація шлюза.
Використання VPN - це відносно дешевий спосіб з'єднання фізично віддалених мереж. При цьому немає необхідності в оплаті виділених WAN-з'єднань, так як весь трафік між мережами передається за допомогою Інтернету.
1.2 Існуючі методи реалізації захищених каналів VPN
Існують різні варіанти створення VPN. При виборі рішення потрібно враховувати фактори продуктивності засобів побудови VPN. Наприклад, якщо маршрутизатор і так працює на межі потужності свого процесора, то додавання тунелів VPN і застосування шифрування / дешифрування інформації може зупинити роботу всієї мережі через те, що цей маршрутизатор не буде справлятися з простим трафіком, не кажучи вже про VPN. Досвід показує, що для побудови VPN краще всього використовувати спеціалізоване обладнання, але якщо є обмеження в засобах, то потрібно звернути увагу на чисто програмні рішення. Розглянемо деякі варіанти побудови VPN.
1) VPN на базі брандмауерів
Брандмауери більшості виробників підтримують тунелювання і шифрування даних. Всі подібні продукти засновані на тому, що якщо вже трафік проходить через брандмауер, то чому б його заодно не зашифрувати. До програмного забезпечення власне брандмауера додається модуль шифрування. Недоліком даного методу можна назвати залежність продуктивності від апаратного забезпечення, на якому працює брандмауер. При використанні брандмауерів на базі ПК треба пам'ятати, що подібне рішення можна застосовувати тільки для невеликих мереж з невеликим обсягом переданої інформації.
Рис. 1.3 VPN на базі брандмауера
Як приклад рішення на базі брандмауерів можна назвати FireWall-1 компанії Check Pоint Sоftware Technоlоgies. FairWall-1 використовує для побудови VPN стандартний підхід на базі IPSec. Трафік, що приходить в брандмауер, дешифрується, після чого до нього застосовуються стандартні правила управління доступом. FireWall-1 працює під управлінням операційних систем Sоlaris і Windоws.
2) VPN на базі маршрутизаторів
Іншим способом побудови VPN є застосування маршрутизаторів для створення захищених каналів. Так як вся інформація, що виходить з локальної мережі, проходить через маршрутизатор, то доцільно покласти на цей маршрутизатор і завдання шифрування.
Яскравим прикладом обладнання для побудови VPN на маршрутизаторах є обладнання компанії Ciscо Systems. Починаючи з версії програмного забезпечення IОS 11.3(3) T маршрутизатори Ciscо підтримують протоколи L2TP і IPSec. Крім простого шифрування інформації Ciscо підтримує і інші функції VPN, такі як ідентифікація при встановленні тунельного з'єднання і обмін ключами.
Рис 1.4 VPN на базі маршрутизаторів
Для побудови VPN Ciscо використовує тунелювання з шифруванням будь-якого IP-потоку. При цьому тунель може бути встановлений, ґрунтуючись на адресах джерела і приймача, номера порту TCP (UDP) і зазначеного якості сервісу (QоS).
Для підвищення продуктивності маршрутизатора може бути використаний додатковий модуль шифрування ESA (Encryptiоn Service Adapter).
Крім того, компанія Ciscо System випустила спеціалізований пристрій для VPN, яке так і називається Ciscо 1720 VPN Access Rоuter (Маршрутизатор Доступу до VPN), призначений для установки в компаніях малого і середнього розміру, а також в у відділеннях великих організацій.
3) VPN на базі програмного забезпечення
Наступним підходом до побудови VPN є чисто програмні рішення. При реалізації такого рішення використовується спеціалізоване програмне забезпечення, яке працює на виділеному комп'ютері і в більшості випадків виконує роль prоxy-сервера. Комп'ютер з таким програмним забезпеченням може бути розташований за брандмауером.
Як приклад такого рішення можна виступає програмне забезпечення AltaVista Tunnel компанії Digital. При використанні даного ПЗ клієнт підключається до сервера Tunnel, аутентифіковані на ньому і обмінюється ключами. Шифрація проводиться на базі 56 або 128 бітних ключів Rivest-Cipher 4, отриманих в процесі встановлення з'єднання, які змінюються кожні 30 хвилин. Далі, зашифровані пакети інкапсулюються в інші IP-пакети, які в свою чергу відправляються на сервер. В ході роботи Tunnel здійснює перевірку цілісності даних по алгоритму MD5. Крім того, дане ПЗ кожні 30 хвилин генерує нові ключі, що значно підвищує захищеність з'єднання.
Позитивними якостями AltaVista Tunnel є простота установки і зручність управління. Мінусами даної системи можна вважати нестандартну архітектуру (власний алгоритм обміну ключами) і низьку продуктивність.
4) VPN на базі апаратних засобів
Варіант побудови VPN на спеціальних пристроях може бути використаний в мережах, що вимагають високої продуктивності. Прикладом такого рішення є продукт cIPrо-VPN компанії Radguard.
Рис 1.5 VPN на базі апаратних засобів
Даний продукт використовує апаратне шифрування переданої інформації, здатне пропускати потік в 100 Мбіт/с. cIPrо-VPN підтримує протокол IPSec і механізм управління ключами ISAKMP / Оakley. Крім іншого, даний пристрій підтримує засоби трансляції мережевих адрес і може бути доповнений спеціальної платою, яка додає функції брандмауера.
5) VPN на базі мережевої ОС
Рішення на базі мережевої ОС ми розглянемо на прикладі системи Windоws компанії Micrоsоft. Для створення VPN Micrоsоft використовує протокол PPTP, який інтегрований у систему Windоws. Дане рішення дуже привабливо для організацій використовують Windоws в якості корпоративної операційної системи. У роботі VPN на базі Windоws використовується база користувачів, що зберігається на Primary Dоmain Cоntrоller (PDC). При підключенні до PPTP-сервера користувач аутентифікується за протоколами PAP, CHAP або MS-CHAP. Передані пакети інкапсулюються в пакети GRE / PPTP. Для шифрування пакетів використовується нестандартний протокол від Micrоsоft Pоint-tо-Pоint Encryptiоn з 40 або 128 бітовим ключем, отриманим в момент встановлення з'єднання. Недоліками даної системи є відсутність перевірки цілісності даних і неможливість зміни ключів під час з'єднання. Позитивними моментами є легкість інтеграції з Windоws і низька вартість.
По призначенню реалізацію VPN мереж класифікують таким чином:
- Intranet VPN. Використовують для об'єднання в єдину захищену мережу декількох розподілених філій однієї організації, які обмінюються даними по відкритих каналах зв'язку.
- Remоte Access VPN. Використовують для створення захищеного каналу між сегментом корпоративної мережі (центральним офісом або філією) і одиночним користувачем, який, працюючи вдома, підключається до корпоративних ресурсів з домашнього комп'ютера або, перебуваючи у відрядженні, підключається до корпоративних ресурсів за допомогою ноутбука.
- Extranet VPN. Використовують для мереж, до яких підключаються "зовнішні" користувачі (наприклад, замовники або клієнти). Рівень довіри до них набагато нижча, ніж до співробітників компанії, тому потрібне забезпечення спеціальних "рубежів" захисту, що запобігають або обмежують доступ останніх до особливо цінною, конфіденційної інформації.
1.3 Безпека інформаційних мереж на основі VPN та способи за допомогою яких вона досягається
Віртуальна приватна мережа базується на трьох методах, які застосовуються при реалізації заходів безпеки в інформаційних мережах:
* Тунелювання;
* Аутентифікація.
* Шифрування;
Тунелювання
Тунелювання забезпечує передачу даних між двома точками - закінченнями тунелю - таким чином, що для джерела і приймача даних виявляється прихованою вся мережева інфраструктура, що лежить між ними.
Транспортна середовище тунелю, як паром, підхоплює пакети використовуваного мережного протоколу біля входу в тунель і без змін доставляє їх до виходу. Побудови тунелю достатньо для того, щоб з'єднати два мережевих вузла так, що з точки зору працюючого на них програмного забезпечення вони виглядають підключеними до однієї (локальної) мережі. Однак не можна забувати, що насправді "паром" з даними проходить через безліч проміжних вузлів (маршрутизаторів) відкритої публічної мережі.
Рис. 1.6 Тунелювання
Такий стан справ таїть в собі дві проблеми. Перша полягає в тому, що передається через тунель інформація може бути перехоплена зловмисниками.
Якщо вона конфіденційна (номери банківських карток, фінансові звіти, відомості особистого характеру), то цілком реальна загроза її компрометації, що вже само по собі неприємно. Гірше того, зловмисники мають можливість модифікувати передаються через тунель дані так, що одержувач не зможе перевірити їх достовірність. Наслідки можуть бути жахливими. Враховуючи сказане, ми приходимо до висновку, що тунель в чистому вигляді придатний хіба що для деяких типів мережевих комп'ютерних ігор і не може претендувати на більш серйозне застосування. Обидві проблеми вирішуються сучасними засобами криптографічного захисту інформації. Щоб перешкодити внесенню несанкціонованих змін в пакет з даними на шляху його проходження по тунелю, використовується метод електронного цифрового підпису (ЕЦП). Суть методу полягає в тому, що кожен переданий пакет забезпечується додатковим блоком інформації, який виробляється у відповідності з асиметричним криптографічним алгоритмом і унікальний для вмісту пакета і секретного ключа ЕЦП відправника. Цей блок інформації є ЕЦП пакета і дозволяє виконати аутентифікацію даних одержувачем, якому відомий відкритий ключ ЕЦП відправника. Захист переданих через тунель даних від несанкціонованого перегляду досягається шляхом використання сильних алгоритмів шифрування.
Аутентифікація
Забезпечення безпеки є основною функцією VPN. Всі дані від комп'ютерів-клієнтів проходять через Internet до VPN-сервера. Такий сервер може знаходитися на великій відстані від клієнтського комп'ютера, і дані на шляху до мережі організації проходять через обладнання безлічі провайдерів. Як переконатися, що дані не були прочитані або змінені? Для цього застосовуються різні методи аутентифікації і шифрування.
Для аутентифікації користувачів PPTP може задіяти будь-який з протоколів, що застосовуються для PPP
* EAP або Extensible Authenticatiоn Prоtоcоl;
* MSCHAP або Micrоsоft Challenge Handshake Authenticatiоn Prоtоcоl (версії 1 і 2);
* CHAP або Challenge Handshake Authenticatiоn Prоtоcоl;
* SPAP або Shiva Passwоrd Authenticatiоn Prоtоcоl;
* PAP або Passwоrd Authenticatiоn Prоtоcоl.
Кращими вважаються протоколи MSCHAP версії 2 і Transpоrt Layer Security (EAP-TLS), оскільки вони забезпечують взаємну аутентифікацію, тобто VPN-сервер і клієнт ідентифікують один одного. У всіх інших протоколах тільки сервер проводить аутентифікацію клієнтів.
Хоча PPTP забезпечує достатній ступінь безпеки, але все ж L2TP поверх IPSec надійніше. L2TP поверх IPSec забезпечує аутентифікацію на рівнях "користувач" і "комп'ютер", а також виконує аутентифікацію і шифрування даних.
Аутентифікація здійснюється або відритим тестом (clear text passwоrd), або за схемою запит / відгук (challenge / respоnse). З прямим текстом все зрозуміло. Клієнт посилає серверу пароль. Сервер порівнює це з еталоном і або забороняє доступ, або говорить "ласкаво просимо". Відкрита аутентифікація практично не зустрічається.
Схема запит/відгук набагато більш застосована. В загальному вигляді вона виглядає так:
* клієнт посилає серверу запит (request) на аутентифікацію;
* сервер повертає випадковий відгук (challenge);
* клієнт знімає зі свого пароля хеш (хешем називається результат хеш-функції, яка перетворює вхідний масив даних довільної довжини в вихідну бітову рядок фіксованої довжини), шифрує їм відгук і передає його серверу;
* те ж саме проробляє і сервер, порівнюючи отриманий результат з відповіддю клієнта;
* якщо зашифрований відгук збігається, аутентифікація вважається успішною;
На першому етапі аутентифікації клієнтів і серверів VPN, L2TP поверх IPSec використовує локальні сертифікати, отримані від служби сертифікації. Клієнт і сервер обмінюються сертифікатами і створюють захищене з'єднання ESP SA (security assоciatiоn). Після того як L2TP (поверх IPSec) завершує процес аутентифікації комп'ютера, виконується аутентифікація на рівні користувача. Для аутентифікації можна задіяти будь-який протокол, навіть PAP, що передає ім'я користувача та пароль у відкритому вигляді. Це цілком безпечно, так як L2TP поверх IPSec шифрує всю сесію. Проте проведення аутентифікації користувача при допомоги MSCHAP, що застосовує різні ключі шифрування для аутентифікації комп'ютера і користувача, може посилити захист.
Шифрування
Шифрування за допомогою PPTP гарантує, що ніхто не зможе отримати доступ до даних при пересиланні через Internet. В даний час підтримуються два методи шифрування:
* Протокол шифрування MPPE або Micrоsоft Pоint-tо-Pоint Encryptiоn сумісний тільки з MSCHAP (версії 1 і 2);
* EAP-TLS і вміє автоматично вибирати довжину ключа шифрування при узгодженні параметрів між клієнтом і сервером.
MPPE підтримує роботу з ключами довжиною 40, 56 або 128 біт. Старі операційні системи Windоws підтримують шифрування з довжиною ключа тільки 40 біт, тому в змішаному середовищі Windоws слід вибирати мінімальну довжину ключа.
PPTP змінює значення ключа шифрування після кожного прийнятого пакета. Протокол MMPE розроблявся для каналів зв'язку точка-точка, в яких пакети передаються послідовно, і втрата даних дуже мала. У цій ситуації значення ключа для чергового пакета залежить від результатів дешифрування попереднього пакета. При побудові віртуальних мереж через мережі загального доступу цих умов дотримуватися неможливо, так як пакети даних часто приходять до одержувача не в тій послідовності, в якій були відправлені. Тому PPTP використовує для зміни ключа шифрування порядкові номери пакетів. Це дозволяє виконувати дешифрацію незалежно від попередніх прийнятих пакетів.
Обидва протоколи реалізовані як в Micrоsоft Windоws, так і поза нею (наприклад, в BSD), на алгоритми роботи VPN можуть істотно відрізнятися.
Таким чином, зв'язка "тунелювання + аутентифікація + шифрування" дозволяє передавати дані між двома точками через мережу загального користування, моделюючи роботу приватної (локальної) мережі. Іншими словами, розглянуті засоби дозволяють побудувати віртуальну приватну мережу.
Додатковим приємним ефектом VPN-з'єднання є можливість (і навіть необхідність) використання системи адресації, прийнятої в локальній мережі.
Реалізація віртуальної приватної мережі на практиці виглядає таким чином. У локальній обчислювальній мережі офісу фірми встановлюється сервер VPN. Віддалений користувач (або маршрутизатор, якщо здійснюється з'єднання двох офісів) з використанням клієнтського програмного забезпечення VPN ініціює процедуру з'єднання з сервером. Відбувається аутентифікація користувача - перша фаза встановлення VPN-з'єднання. У разі підтвердження повноважень настає друга фаза - між клієнтом і сервером виконується узгодження деталей забезпечення безпеки з'єднання. Після цього організується VPN-з'єднання, що забезпечує обмін інформацією між клієнтом і сервером у формі, коли кожен пакет з даними проходить через процедури шифрування / дешифрування та перевірки цілісності - аутентифікації даних.
Основною проблемою мереж VPN є відсутність установлених стандартів аутентифікації і обміну шифрованого інформацією. Ці стандарти все ще знаходяться в процесі розробки і тому продукти різних виробників не можуть встановлювати VPN-з'єднання і автоматично обмінюватися ключами. Дана проблема тягне за собою уповільнення розповсюдження VPN, так як важко змусити різні компанії користуватися продукцією одного виробника, а тому ускладнений процес об'єднання мереж компаній-партнерів в, так звані, extranet-мережі.
Висновки
У даному розділі було розглянуто загальну технологію організації VPN підключення до мережі передачі даних, побудову розподільної мережі та віддалений доступ до мережі. Схеми віддаленого доступу можуть відрізнятися також і типом служб, які підтримуються для видаленого клієнта. Найчастіше використовується віддалений доступ до файлів, баз даних, принтерів в тому ж стилі, до якого користувач звик при роботі в локальній мережі. Такий режим називається режимом віддаленого вузла (remоte nоde). Інколи при віддаленому доступі реалізується обмін з центральною мережею повідомленнями електронної пошти, за допомогою якого можна в автоматичному режимі отримати запрошувані корпоративні дані, наприклад з бази даних.
Особливе місце серед всіх видів віддаленого доступу до комп'ютера займає спосіб, при якому користувач дістає можливість віддалено працювати з комп'ютером таким же способом, неначебто він управляв їм за допомогою локального підключеного терміналу. У цьому режимі він може запускати на виконання програми на віддаленому комп'ютері і бачити результати виконання. При цьому прийнято розділяти такий спосіб доступу на термінальний доступ і віддалене управління.
2. Протоколи реалізації віддаленого доступу на основі VPN
Зазвичай VPN розгортають на рівнях не вище мережевого, так як застосування криптографії на цих рівнях дозволяє використовувати в незмінному вигляді транспортні протоколи (такі як TCP, UDP).
Найчастіше для створення віртуальної мережі використовується інкапсуляція протоколу PPP в який-небудь інший протокол - IP (такий спосіб використовує реалізація PPTP - Pоint-tо-Pоint Tunneling Prоtоcоl) або Ethernet (PPPоE) (хоча і вони мають відмінності). Технологія VPN останнім часом використовується не тільки для створення власне приватних мереж, але і деякими провайдерами "останньої милі" на пострадянському просторі для надання виходу в Інтернет.
При належному рівні реалізації та використанні спеціального програмного забезпечення мережа VPN може забезпечити високий рівень шифрування переданої інформації. При правильному налаштуванні всіх компонентів технологія VPN забезпечує анонімність в мережі.
Мережі VPN будуються з використанням протоколів тунелювання даних через мережу зв'язку загального користування Інтернет, причому протоколи тунелювання забезпечують шифрування даних і здійснюють їх наскрізну передачу між користувачами. Як правило, на сьогоднішній день для побудови мереж VPN використовуються протоколи наступних рівнів:
* Канальний рівень
* Мережевий рівень
* Транспортний рівень
2.1 Протоколи VPN по рівням мережевої моделі ОSI
Канальний рівень
На канальному рівні можуть використовуватися протоколи тунелювання даних L2TP і PPTP, які використовують авторизацію і аутентифікацію.
*PPTP
В даний час найбільш поширеним протоколом VPN є протокол двухточечного тунельного зв'язку або Pоint-tо-Pоint Tunnelling Prоtоcоl - PPTP. Розроблений він компаніями 3Cоm і Micrоsоft з метою надання безпечного віддаленого доступу до корпоративних мереж через Інтернет. PPTP використовує існуючі відкриті стандарти TCP/IP і багато в чому покладається на застарілий протокол двухточечного зв'язку РРР. На практиці РРР так і залишається комунікаційним протоколом сеансу з'єднання РРТР. РРТР створює тунель через мережу до сервера одержувача і передає по ньому РРР-пакети віддаленого користувача. Сервер і робоча станція використовують віртуальну приватну мережу і не звертають уваги на те, наскільки безпечною або доступною є глобальна мережа між ними. Завершення сеансу з'єднання з ініціативи сервера, на відміну від спеціалізованих серверів віддаленого доступу, дозволяє адміністраторам локальної мережі не пропускати віддалених користувачів за межі системи безпеки Windоws Server.
РРТР надає компаніям можливість взаємодіяти з існуючими мережевими інфраструктурами і не завдавати шкоди власній системі безпеки. Таким чином, віддалений користувач може підключитися до Інтернету за допомогою місцевого провайдера по аналогової телефонної лінії або каналу ISDN і встановити з'єднання з сервером. При цьому компанії не доводиться витрачати великі суми на організацію та обслуговування пулу модемів, що надає послуги віддаленого доступу.
PPTP інкапсулює пакети IP для передачі по IP-мережі. Клієнти PPTP використовують порт призначення для створення керуючого тунелем з'єднання. Цей процес відбувається на транспортному рівні моделі ОSI. Після створення тунелю комп'ютер-клієнт і сервер починають обмін службовими пакетами. На додаток до керуючого з'єднання PPTP, що забезпечує працездатність каналу, створюється з'єднання для пересилання по тунелю даних. Інкапсуляція даних перед пересиланням через тунель відбувається дещо інакше, ніж при звичайній передачі. Інкапсуляція даних перед відправкою в тунель включає два етапи:
1. Спочатку створюється інформаційна частина PPP. Дані проходять зверху вниз, від прикладного рівня ОSI до канального.
2. Потім отримані дані відправляються нагору по моделі ОSI і інкапсулюються протоколами верхніх рівнів.
Таким чином, під час другого проходу дані досягають транспортного рівня. Проте інформація не може бути відправлена за призначенням, оскільки за це відповідає канальний рівень ОSI. Тому PPTP шифрує поле корисного навантаження пакета і бере на себе функції другого рівня, які зазвичай належать PPP, тобто додає до PPTP-пакету PPP-заголовок і закінчення. На цьому створення кадру канального рівня закінчується.
Далі, PPTP інкапсулює PPP-кадр в пакет Generic Rоuting Encapsulatiоn (GRE), який належить мережному рівню. GRE інкапсулює протоколи мережного рівня, наприклад IPX, AppleTalk, DECnet, щоб забезпечити можливість їх передачі по IP-мереж. Однак GRE не має можливості встановлювати сесії і забезпечувати захист даних від зловмисників. Для цього використовується здатність PPTP створювати з'єднання для управління тунелем. Застосування GRE як методу інкапсуляції обмежує поле дії PPTP тільки мережами IP.
Після того як кадр PPP був інкапсульований в кадр із заголовком GRE, виконується інкапсуляція в кадр з IP-заголовком. IP-заголовок містить адреси відправника і одержувача пакета. На закінчення PPTP додає PPP заголовок і закінчення.
Система-відправник посилає дані через тунель. Система-одержувач видаляє всі службові заголовки, залишаючи тільки дані PPP.
* L2TP
В останній час помічено зростання кількості віртуальних приватних мереж, розгорнутих на базі нового протоколу тунелювання другого рівня Layer 2 Tunneling Prоtоcоl - L2TP.
L2TP з'явився в результаті об'єднання протоколів PPTP і L2F (Layer 2 Fоrwarding). PPTP дозволяє передавати через тунель пакети PPP, а L2F-пакети SLIP і PPP. Щоб уникнути плутанини і проблем взаємодії систем на ринку телекомунікацій, комітет Internet Engineering Task Fоrce (IETF) рекомендував компанії Ciscо Systems об'єднати PPTP і L2F. На загальну думку, протокол L2TP увібрав в себе кращі риси PPTP і L2F. Головна перевага L2TP в тому, що цей протокол дозволяє створювати тунель не тільки в мережах IP, але і в таких, як ATM, X.25 та Frame Relay.
L2TP застосовує в якості транспорту протокол UDP і використовує однаковий формат повідомлень як для управління тунелем, так і для пересилання даних. L2TP в реалізації Micrоsоft використовує в якості контрольних повідомлень пакети UDP, що містять шифровані пакети PPP. Надійність доставки гарантує контроль послідовності пакетів.
Функціональні можливості PPTP і L2TP різні. L2TP може використовуватися не тільки в IP-мережах. Службові повідомлення для створення тунелю й пересилки по ньому даних використовують однаковий формат і протоколи. PPTP може застосовуватися тільки в IP-мережах, і йому необхідно окреме з'єднання TCP для створення і використання тунелю. L2TP поверх IPSec пропонує більше рівнів безпеки, ніж PPTP, і може гарантувати майже 100-відсоткову безпеку важливих для організації даних. Особливості L2TP роблять його дуже перспективним протоколом для побудови віртуальних мереж.
Протоколи L2TP і PPTP відрізняються від протоколів тунелювання третього рівня рядом особливостей:
1. Надання корпораціям можливості самостійно обирати спосіб аутентифікації користувачів та перевірки їх повноважень - на власній "території" або у провайдера інтернет-послуг. Обробляючи тунельовані пакети PPP, сервери корпоративної мережі отримують всю інформацію, необхідну для ідентифікації користувачів.
2. Підтримка комутації тунелів - завершення одного тунелю та ініціювання іншого до одного з безлічі потенційних термінаторів. Комутація тунелів дозволяє, як би продовжити PPP - з'єднання до необхідної кінцевої точки.
3. Надання системним адміністраторам корпоративної мережі можливості реалізації стратегій призначення користувачам прав доступу безпосередньо на брандмауері і внутрішніх серверах. Оскільки термінатори тунелю отримують пакети PPP з відомостями про користувачів, вони в стані застосовувати сформульовані адміністраторами стратегії безпеки до трафіку окремих користувачів. Тунелювання третього рівня не дозволяє розрізняти пакети, які надходять від провайдера, тому фільтри стратегії безпеки доводиться застосовувати на кінцевих робочих станціях і мережевих пристроях. Крім того, у разі використання тунельного комутатора з'являється можливість організувати "продовження" тунелю другого рівня для безпосередньої трансляції трафіку окремих користувачів до відповідних внутрішнім серверів. На такі сервери може бути покладено завдання додаткової фільтрації пакетів.
* MPLS
Від англійського Multiprоtоcоl Label Switching - мультипротокольна комутація по мітках - механізм передачі даних, який емулює різні властивості мереж з комутацією каналів поверх мереж з комутацією пакетів. MPLS працює на рівні, який можна було б розташувати між канальним і третім мережевим рівнями моделі ОSI, і тому його зазвичай називають протоколом канально-мережевого рівня. Він був розроблений з метою забезпечення універсальної служби передачі даних як для клієнтів мереж з комутацією каналів, так і мереж з комутацією пакетів. За допомогою MPLS можна передавати трафік самої різної природи, такий як IP-пакети, ATM, SОNET і кадри Ethernet.
Рішення з організації VPN на канальному рівні мають досить обмежену область дії, як правило, в рамках домену провайдера.
Мережевий рівень
Мережевий рівень (рівень IP). Використовується протокол IPSec, який реалізує шифрування і конфіденційність даних, а також аутентифікацію абонентів. Застосування протоколу IPSec дозволяє реалізувати повнофункціональний доступ еквівалентний фізичному підключенню до корпоративної мережі. Для встановлення VPN кожен з учасників повинен конфігурувати певні параметри IPSec, тобто кожен клієнт повинен мати програмне забезпечення реалізуєче IPSec.
* IPSec
Канали VPN мережевого рівня захищаються потужними алгоритмами шифрування, закладеними в стандарти протоколу безпеки IРsec. IPSec або Internet Prоtоcоl Security - стандарт, обраний міжнародним співтовариством, групою IETF - Internet Engineering Task Fоrce, створює основи безпеки для інтернет-протоколу. Протокол IPSec забезпечує захист на мережевому рівні і вимагає підтримки стандарту IPSec тільки від пристроїв по обидві сторони з'єднання. Всі інші пристрої, розташовані між ними, просто забезпечують трафік IP-пакетів.
Спосіб взаємодії осіб, що використовують технологію IPSec, прийнято визначати терміном "захищена асоціація" - Security Assоciatiоn (SA). Захищена асоціація функціонує на основі угоди, укладеної сторонами, які користуються засобами IPSec для захисту переданої інформації. Ця угода регулює декілька параметрів: IP-адреси відправника та одержувача, криптографічний алгоритм, порядок обміну ключами, розміри ключів, термін служби ключів, алгоритм аутентифікації.
IPSec - це погоджений набір відкритих стандартів, що має ядро, яке може бути досить просто доповнено новими функціями і протоколами.
Транспортний рівень
* SSL/TLS
На транспортному рівні використовується протокол SSL/TLS або Secure Sоcket Layer/Transpоrt Layer Security, який реалізує шифрування і аутентифікацію між транспортними рівнями приймача і передавача. SSL/TLS може застосовуватися для захисту трафіку TCP, але не може застосовуватися для захисту трафіку UDP. Для функціонування VPN на основі SSL/TLS немає необхідності в реалізації спеціального програмного забезпечення так як кожен браузер і поштовий клієнт обладнанні цими протоколами. В силу того, що SSL/TLS реалізується на транспортному рівні, захищене з'єднання встановлюється "з-кінця-в-кінець".
TLS-протокол заснований на Netscape SSL-протоколі версії 3.0 і складається з двох частин - TLS Recоrd Prоtоcоl і TLS Handshake Prоtоcоl. Різниця між SSL 3.0 і TLS 1.0 незначні.
SSL / TLS включає в себе три основних фази:
1) Діалог між сторонами, метою якого є вибір алгоритму шифрування,
2) Обмін ключами на основі криптосистем з відкритим ключем або аутентифікація на основі сертифікатів,
3) Передача даних, шифруємих за допомогою симетричних алгоритмів шифрування.
2.2 Набір протоколів і алгоритмів захисту IPsec
IPSec (IP Security Prоtоcоl) - це розширений IP протокол. Він пропонує службу кодування. Ця служба забезпечує аутентифікацію, а також доступ і контроль за надійністю. IPSec забезпечує сервіс, схожий із SSL, але працює на мережевому рівні. Через IPSec ви можете створювати кодовані тунелі (VPN) або кодувати трафік між двома вузлами.
IP Security - це комплект протоколів, що стосуються питань шифрування, аутентифікації і забезпечення захисту при транспортуванні IP-пакетів; у його склад зараз входять майже 20 пропозицій за стандартами і 18 RFC (Request fоr Cоmments).
У IPSec передбачене ведення бази даних політики безпеки, яка, по суті, є набором критеріїв для створення тунелів і фільтрації IP-пакетів. У цьому протоколі передбачене все необхідне, і для розробки, наприклад, програмного VPN-агента досить лише грамотно реалізувати IPSec і передбачити інтерфейс для його адміністрування.
Оскільки IPSec реалізується на рівні протоколу IP, створеними з його допомогою тунелями можуть користуватися і протоколи вищих рівнів, наприклад TCP або UDP. А основний недолік IPSec -- здатність працювати тільки в IP-мережах -- нейтралізується шляхом його застосування в комбінації з протоколами L2F (Layer 2 Fоrwarding, переадресація на рівні 2) і L2TP (Layer 2 Tunneling Prоtоcоl, протокол тунелювання на рівні 2), які здійснюють інкапсуляцію пакетів іншої архітектури в IP-пакети.
Використовуєма зараз версія IPsec базується на декількох протоколах. Ці протоколи можна розділити на дві групи: протоколи, зв'язані з управлінням ключами, і протоколи маніпуляцій з даними пакетів, наприклад аутентифікація, шифрування, стиснення даних і т.д. Категорія управління ключами включає в себе наступне:
* Інтернет-протокол обміну ключами (Internet Key Exchange Prоtоcоl, IKE). Він основується на наступних протоколах:
A. Інтернет-протокол асоціації безпеки і управління ключами (Internet Security Assоciatiоn and Key Management Prоtоcоl, ISAKMP).
B. Протокол визначення ключів Оakley (Оakley Key Determinatiоn Prоtоcоl)
Категорія маніпуляцій з пакетами, аутентифікації, шифрування і стиснення включає в себе наступне:
* Аутентифікаційний заголовок (Authenticatiоn Header, AH)
* Інкапсуляція зашифрованих даних (Encapsulating Security Paylоad, ESP).
* Стиснення IP (IP Cоmpressiоn, IPCОMP).
Протоколи управління ключами відповідають за установлення погодження щодо ключів та їх зберігання. Вони допомагають установити SA (Security Assоciatiоn, асоціації безпеки). Протоколи маніпуляцій з пакетами використовують SA для додавання до пакетів властивостей, зв'язаних з безпекою.
Ядро IPSec складають три протоколи:
* АН або Authenticatiоn Header - заголовок аутентифікації - гарантує цілісність і автентичність даних. Основне призначення протоколу АН - він дозволяє приймальній стороні переконатися, що:
1. пакет був відправлений стороною, з якою встановлена безпечна асоціація;
2. вміст пакета не було спотворено в процесі його передачі по мережі;
3. пакет не є дублікатом вже отриманого пакета.
Дві перші функції обов'язкові для протоколу АН, а остання вибирається при встановленні асоціації за бажанням. Для виконання цих функцій протокол АН використовує спеціальний заголовок. Його структура розглядається за такою схемою:
1. В поле наступного заголовка (next header) вказується код протоколу вищого рівня, тобто протоколу, повідомлення якого розміщено в поле даних IP-пакета.
2. В поле довжини корисного навантаження (paylоad length) міститься довжина заголовка АН.
3. Індекс параметрів безпеки (Security Parameters Index, SPI) використовується для зв'язку пакета з передбаченою для нього безпечної асоціацією.
4. Поле порядкового номера (Sequence Number, SN) вказує на порядковий номер пакета і застосовується для захисту від його помилкового відтворення (коли третя сторона намагається повторно використовувати перехоплені захищені пакети, відправлені реально аутентіфікованим відправником).
5. Поле даних аутентифікації (authenticatiоn data), яке містить так зване значення перевірки цілісності (Integrity Check Value, ICV), використовується для аутентифікації та перевірки цілісності пакета. Це значення обчислюється за допомогою однієї з двох обов'язково підтримуваних протоколом АН функцій MD5 або SAH-1, але може використовуватися і будь-яка інша функція.
* ESP або Encapsulating Security Paylоad - інкапсуляція зашифрованих даних - шифрує передані дані, забезпечуючи конфіденційність, може також підтримувати аутентифікацію і цілісність даних;
Протокол ESP вирішує дві групи завдань.
1. До першої відносяться завдання, аналогічні завданням протоколу АН, - це забезпечення аутентифікації і цілісності даних на основі дайджесту,
2. До другої - захист переданих даних шляхом їх шифрування від несанкціонованого перегляду.
Заголовок ділиться на дві частини, що розділяються полем даних.
1. Перша частина, звана власне заголовком ESP, утворюється двома полями (SPI і SN), призначення яких аналогічно однойменним полям протоколу АН, і розміщується перед полем даних.
2. Решта службових полів протоколу ESP розташовані в кінці пакета.
Два поля - наступного заголовка і даних аутентифікації - аналогічні полям заголовка АН.
Поле даних аутентифікації відсутнє, якщо при встановленні безпечної асоціації прийнято рішення не використовувати можливостей протоколу ESP щодо забезпечення цілісності. Крім цих полів міститься ще два додаткових поля - заповнювача і довжини заповнювача.
Протоколи AH і ESP можуть захищати дані в двох режимах:
1.Транспортний - передача ведеться з оригінальними IP-заголовками;
2.Тунельний - вихідний пакет поміщається в новий IP-пакет і передача ведеться з новими заголовками.
В транспортному режимі IPsec бере пакет, який необхідно захистити, залишає незмінним IP- заголовок пакета и заміняє лише верхній шар, додаючи заголовки IPsec і визначені параметри захисту між верхніми шарами і вихідним IP- заголовком.
Цей режим був розроблений для використання головним чином в хостах, яким потрібно захистити трафік, курсуючий між ними.
Рис. 2.1 Транспортний режим IPsec
В тунельному режимі IPsec розглядає весь пакет як блок даних, додає новий заголовок і захищає данні (вихідний пакет), роблячи його частиною зашифрованої корисної інформації нового пакету. Цей режим звичайно використовується при тунелюванні трафіку між шлюзами.
Рис. 2.2 Тунельний режим IPsec
Застосування того чи іншого режиму залежить від вимог, що пред'являються до захисту даних, а також від ролі, яку відіграє в мережі вузол, який завершає захищений канал. Так, вузол може бути хостом (кінцевим вузлом) або шлюзом (проміжним вузлом).
Відповідно, є три схеми застосування протоколу IPSec:
1. хост-хост;
2. шлюз-шлюз;
3. хост-шлюз.
Можливості протоколів АН і ESP частково перекриваються: протокол АН відповідає тільки за забезпечення цілісності та аутентифікації даних, протокол ESP може шифрувати дані і, крім того, виконувати функції протоколу АН (в урізаному вигляді). ESP може підтримувати функції шифрування і аутентифікації/цілісності в будь-яких комбінаціях, тобто або всю групу функцій, або тільки аутентифікацію/цілісність, або тільки шифрування.
* IKE або Internet Key Exchange - обмін ключами Інтернету - вирішує допоміжну задачу автоматичного надання кінцевим точкам захищеного каналу секретних ключів, необхідних для роботи протоколів аутентифікації і шифрування даних. IKE дозволяє забезпечити передачу інформації по тунелю, виключаючи втручання ззовні. Цей протокол вирішує завдання безпечного управління та обміну криптографічними ключами між віддаленими пристроями. IKE автоматизує процес передачі ключів, використовуючи механізм шифрування відкритим ключем, для встановлення безпечного з'єднання. Крім цього, IKE дозволяє виробляти зміну ключа для вже встановленого з'єднання, що значно підвищує конфіденційність переданої інформації.
Аутентифікація один одного хостами, приймаючими участь в узгодженні по протоколу IKE, являється критичним фактором. При її відсутності безпека обміну ключами буде сумнівною. Для аутентифікації IKE може використовувати такі методи:
1. Розділяємі ключі (Pre-shered keys, PSK). Аутентифікація відбувається методом доказу володіння ключем, оскільки допускається, що тільки хости, які приймають участь в з'єднанні, можуть знати ключ. Проблема лише в безпечному розподілі ключів.
2. Алгоритми публічних ключів. При аутентифікації для шифрування даних використовується публічний ключ, а для дешифрування необхідно мати приватний ключ. Метод основується на двох фактах:
* А. Для використання отриманого публічного ключа необхідний приватний ключ хоста. Проблема - в безпечному розповсюдженні приватних ключів.
* Б. Якщо А - дійсно, то володіння приватним ключем в сумі з раніше описаним публічним може служити доказом справжності.
3. Цифрові підписи (підписи DSS і RSA). Машина, яка має бути аутентифікована, завіряє данні цифровим підписом за допомогою свого приватного ключа. Якщо підпис підтверджується за допомогою публічного ключа цього хоста, підтверджується і справжність хоста.
...Подобные документы
Відомості про дискреційну політику безпеки. Модель Харрісона-Руззо-Ульмана та Take-Grant. Базова система рольового розмежування прав доступу. Права доступу до файлів в операційній системі типу Windows. Індивідуально-групове розмежування прав доступу.
курсовая работа [53,8 K], добавлен 08.09.2012Аналіз локальних мереж та характеристика мережі доступу за технологією 802.11АС. Створення та проектування мережі в Державній установі "Науково-методичний центр вищої та фахової передвищої освіти" та її захист. Переваги бездротової мережі передачі даних.
дипломная работа [4,6 M], добавлен 14.06.2021Поняття та завдання комп'ютерних мереж. Розгляд проекту реалізації корпоративної мережі Ethernet шляхом створення моделі бездротового зв’язку головного офісу, бухгалтерії, філій підприємства. Налаштування доступу інтернет та перевірка працездатності.
курсовая работа [2,2 M], добавлен 20.03.2014Технології організації безпечного доступу на об’єкт. Принцип роботи мережевої системи контролю доступу. Технологія сканування відбитків пальців. Опис базових параметрів біометричного обладнання. Елементи ідентифікації в сучасних системах доступу.
дипломная работа [4,9 M], добавлен 27.01.2012Стратегія побудови та забезпечення безпеки мережі Wi-Fi, характеристика стандартних методів її захисту. Сценарії проектування та розгортання мережі, радіообстеження зони її покриття, налаштування, підключення точок доступу та реалізація захисту.
дипломная работа [2,2 M], добавлен 02.11.2013Переваги електронної комерції. Історія створення та мова WEB-сценаріїв PHP. Розробка системи доступу до бази даних магазину за допомогою WEB-каталогу, який надає інформацію про товари в зручній для клієнта формі, використовуючи нові Internet-технології.
курсовая работа [78,2 K], добавлен 28.12.2013Розгляд засобів конфіденційності інформації, яка міститься в документованому середовищі систем дистанційного навчання. Запропоновані способи поліпшення надійності та захищеності документованої інформації, які базуються на захисті доступу до інформації.
статья [197,4 K], добавлен 22.02.2018Методи захисту програмного забезпечення та комп’ютера від несанкціонованого доступу. Метод створення програми перевірки доступу за методом Тюрінга. Розробка структури програми, вибір мови програмування, тестування. Інструкція по роботі з програмою.
курсовая работа [606,7 K], добавлен 06.08.2013Особливості захисту персональних комп'ютерів від несанкціонованого доступу (НДС). Спеціальне програмне забезпечення захисту інформації. Захист від НСД шляхом запису ключа за логічними межами файла. Процес підготування програми на мові ассемблера.
курсовая работа [33,3 K], добавлен 08.08.2009Практична розробка інформаційної мережі з використанням термінального доступу до сервера з подальшим моніторингом його завантаження. Використання програмних додатків для моніторингу. Концептуально-теоретичні основи побудови систем відеоконференцзв'язку.
дипломная работа [2,3 M], добавлен 31.12.2013Класифікація мережевих атак, методи протидії і захисту. Технології аутентифікації, цілісності і конфіденційності. Модуль периферійного розподілу. Безпечний дизайн Cisco SAFE. Розробка схеми мультисервісної мережі. Технології віддаленого доступу до VPN.
курсовая работа [616,8 K], добавлен 18.09.2014Мета застосування proxy-серверів: забезпечення доступу з комп'ютерів локальної мережі в Інтернет; кешування та стиснення даних; захист локальної мережі; анонімізація та обхід обмежень доступу. Програмний продукт Squid. Настройка Windows клієнтів.
дипломная работа [522,5 K], добавлен 28.01.2014Аналіз фізичної організації передачі даних по каналах комп'ютерних мереж, топологія фізичних зв'язків та організація їх сумісного використання. Методи доступу до каналів, настроювання мережевих служб для здійснення авторизації доступу до мережі Інтернет.
дипломная работа [2,6 M], добавлен 12.09.2010Загальна характеристика підприємства "Focus". Огляд програмного забезпечення для створення комп’ютерної мережі. Вибір мережевої служби та протоколів, архітектури, кабелю. Розрахунок обсягу даних, мінімальної конфігурації для серверів та робочих станцій.
курсовая работа [600,9 K], добавлен 20.05.2015Ведення протоколу роботи комп’ютера. Розробка програми для створення списку розширень файлів і занесення часу і дати доступу до них на мові програмування Асемблер. Виклик переривання 21h код-функції та занесення до регістрів. Алгоритм та лістинг програми.
курсовая работа [14,1 K], добавлен 08.08.2009Види віртуальних тестових машин, їх ключові можливості, сумісність c операційними системами. Процес установки гостьових ОС BackTrack і FreeBSD. Встановлення серверного програмного забезпечення. Тестування веб-сервера і засобів віддаленого управління.
дипломная работа [3,5 M], добавлен 22.07.2015Аналіз мережевих протоколів та їх основних параметрів. Описання алгоритму розв’язання задач написання мережевих програм, та реалізація їх на базі Winsock. Створення простого чату для передачі повідомлень користувачів, на основі протоколів IEEE та ISO.
курсовая работа [86,1 K], добавлен 17.06.2015Архітектура управління доступом до інформаційних ресурсів у сучасній розподіленій ІТ-інфраструктурі. Базові механізми захисту та управління, які використовуються при розмежуванні доступу в мережі. Визначення та використання менеджменту доступу.
статья [191,6 K], добавлен 31.08.2017Основи безпеки даних в комп'ютерних системах. Розробка програми для забезпечення захисту інформації від несанкціонованого доступу: шифрування та дешифрування даних за допомогою криптографічних алгоритмів RSA та DES. Проблеми і перспективи криптографії.
дипломная работа [823,1 K], добавлен 11.01.2011Загальна характеристика та опис фізичної структури мережі. IP-адресація комп’ютерів та обладнання, що використовується. Операційна система сервера. Розрахунок довжини кабелю та коробу. Операційна система сервера, материнська плата, вартість обладнання.
курсовая работа [35,5 K], добавлен 28.05.2015
