Развитие информационных технологий

    Сервера прикладного уровня

    Брандмауэры с серверами прикладного уровня используют сервера конкретных сервисов - TELNET, FTP и т.д. (proxy server), запускаемые  на брандмауэре и пропускающие через себя весь трафик, относящийся к данному сервису. Таким образом, между клиентом и сервером образуются два соединения: от клиента до брандмауэра и от брандмауэра до места назначения.

    Использование серверов прикладного уровня позволяет решить важную задачу - скрыть от внешних пользователей структуру локальной сети, включая информацию в заголовках почтовых пакетов или службы доменных имен (DNS). Другим положительным качеством является возможность аутентификации на пользовательском уровне (аутентификация - процесс подтверждения идентичности чего-либо; в данном случае это процесс подтверждения, действительно ли пользователь является тем, за кого он себя выдает).

    Сервера протоколов прикладного уровня позволяют  обеспечить наиболее высокий уровень защиты - взаимодействие с внешним миров реализуется через небольшое число прикладных программ, полностью контролирующих весь входящий и выходящий трафик.

    Сервера уровня соединения

    Сервер  уровня соединения представляет из себя транслятор TCP соединения. Пользователь образует соединение с определенным портом на брандмауэре, после чего последний производит соединение с местом назначения по другую сторону от брандмауэра. Во время сеанса этот транслятор копирует байты в обоих направлениях, действуя как провод.

    Как правило, пункт назначения задается заранее, в то время как источников может быть много (соединение типа один - много). Используя различные порты, можно создавать различные конфигурации.

    Такой тип сервера позволяет создавать  транслятор для любого определенного пользователем сервиса, базирующегося на TCP, осуществлять контроль доступа к этому сервису, сбор статистики по его использованию.

    Сравнительные характеристики

    Ниже  приведены основные преимущества и  недостатки пакетных фильтров и серверов прикладного уровня относительно друг друга.

    К положительным качествам пакетных фильтров следует отнести следующие:

• относительно невысокая стоимость
• гибкость в определении правил фильтрации
• небольшая задержка при прохождении пакетов

    Недостатки  у данного типа брандмауэров следующие :

• локальная сеть видна ( маршрутизируется ) из ИНТЕРНЕТ
• правила фильтрации пакетов трудны в описании, требуются очень хорошие знания технологий TCP и UDP
• при нарушении работоспособности брандмауэра все компьютеры за ним становятся полностью незащищенными либо недоступными
• аутентификацию с использованием IP-адреса можно обмануть использованием IP-спуфинга (атакующая система выдает себя за другую, используя ее IP-адрес)
• отсутствует аутентификация на пользовательском уровне

    К преимуществам серверов прикладного  уровня следует отнести следующие:

• локальная сеть невидима из ИНТЕРНЕТ
• при нарушении работоспособности брандмауэра пакеты перестают проходить через брандмауэр, тем самым не возникает угрозы для защищаемых им машин
• защита на уровне приложений позволяет осуществлять большое количество дополнительных проверок, снижая тем самым вероятность взлома с использованием дыр в программном обеспечении
• аутентификация на пользовательском уровне может быть реализована система немедленного предупреждения о попытке взлома.

    Недостатками этого типа являются:

• более высокая, чем для пакетных фильтров стоимость;
• невозможность использования протоколов RPC и UDP;
• производительность ниже, чем для пакетных фильтров.

    Администрирование

    Легкость  администрирования является одним  из ключевых аспектов в создании эффективной и надежной системы защиты. Ошибки при определении правил доступа могут образовать дыру, через которую может быть взломана система. Поэтому в большинстве брандмауэров реализованы сервисные утилиты, облегчающие ввод, удаление, просмотр набора правил. Наличие этих утилит позволяет также производить проверки на синтаксические или логические ошибки при вводе или редактирования правил. Как правило, эти утилиты позволяют просматривать информацию, сгруппированную по каким либо критериям - например, все что относится к конкретному пользователю или сервису.

    Системы сбора статистики и предупреждения об атаке

    Еще одним важным компонентом брандмауэра  является система сбора статистики и предупреждения об атаке. Информация обо всех событиях - отказах, входящих, выходящих соединениях, числе переданных байт, использовавшихся сервисах, времени соединения и т.д. - накапливается в файлах статистики. Многие брандмауэры позволяют гибко определять подлежащие протоколированию события, описать действия брандмауэра при атаках или попытках несанкционированного доступа - это может быть сообщение на консоль, почтовое послание администратору системы и т.д. Немедленный вывод сообщения о попытке взлома на экран консоли или администратора может помочь, если попытка оказалась успешной и атакующий уже проник в систему. В состав многих брандмауэров входят генераторы отчетов, служащие для обработки статистики. Они позволяют собрать статистику по использованию ресурсов конкретными пользователями, по использованию сервисов, отказам, источникам, с которых проводились попытки несанкционированного доступа и т.д.

    Аутентификация

    Аутентификация  является одним из самых важных компонентов  брандмауэров. Прежде чем пользователю будет предоставлено право воспользоваться  тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого он себя выдает (предполагается, что этот сервис для данного пользователя разрешен: процесс определения, какие сервисы разрешены называется авторизацией. Авторизация обычно рассматривается в контексте аутентификации - как только пользователь аутентифицирован, для него определяются разрешенные ему сервисы). При получении запроса на использование сервиса от имени какого-либо пользователя, брандмауэр проверяет, какой способ аутентификации определен для данного пользователя и передает управление серверу аутентификации. После получения положительного ответа от сервера аутентификации брандмауэр образует запрашиваемое пользователем соединение.

    Как правило, используется принцип, получивший название "что он знает" - т.е. пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос.

    Одной из схем аутентификации является использование  стандартных UNIX паролей. Эта схема  является наиболее уязвимой с точки  зрения безопасности - пароль может быть перехвачен и использован другим лицом.

    Чаще  всего используются схемы с использованием одноразовых паролей. Даже будучи перехваченным, этот пароль будет бесполезен при  следующей регистрации, а получить следующий пароль из предыдущего является крайне трудной задачей. Для генерации одноразовых паролей используются как программные, так и аппаратные генераторы - последние представляют из себя устройства, вставляемые в слот компьютера. Знание секретного слова необходимо пользователю для приведения этого устройства в действие. Ряд брандмауэров поддерживают Kerberos - один из наиболее распространенных методов аутентификации. Некоторые схемы требуют изменения клиентского программного обеспечения - шаг, который далеко не всегда приемлем.

    На  данный момент на рынке присутствует множество видов решений для  защиты локальной сети либо отдельного компьютера от несанкционированного доступа.

    3. Программные средства, реализующие механизмы шифрования

    Готовое к передаче информационное сообщение, первоначально открытое и незащищенное, зашифровывается и тем самым преобразуется в шифрограмму, т. е. в закрытый текст или графическое изображение документа. В таком виде сообщение передается по каналу связи, даже и не защищенному. Санкционированный пользователь после получения сообщения дешифрует его (т. е. раскрывает) посредством обратного преобразования криптограммы, вследствие чего получается исходный, открытый вид сообщения, доступный для восприятия санкционированным пользователям.

            Методу преобразования в криптографической системе соответствует использование специального алгоритма. Действие такого алгоритма запускается уникальным числом (последовательностью бит), обычно называемым шифрующим ключом.

              Для большинства систем схема  генератора ключа может представлять собой набор инструкций, либо компьютерную программу, либо все это вместе, но в любом случае процесс шифрования (дешифрования) реализуется только этим специальным ключом. Чтобы обмен зашифрованными данными проходил успешно, как отправителю, так и получателю, необходимо знать правильную ключевую установку и хранить ее в тайне.

          Стойкость любой системы закрытой  связи определяется степенью  секретности используемого в  ней ключа. Тем не менее,  этот ключ должен быть известен другим пользователям сети, чтобы они могли свободно обмениваться зашифрованными сообщениями. В этом смысле криптографические системы также помогают решить проблему аутентификации (установления подлинности) принятой информации. Взломщик в случае перехвата сообщения будет иметь дело только с зашифрованным текстом, а истинный получатель, принимая сообщения, закрытые известным ему и отправителю ключом, будет надежно защищен от возможной дезинформации.

               Современная криптография знает  два типа криптографических алгоритмов: классические алгоритмы, основанные на использовании закрытых, секретных ключей, и новые алгоритмы с открытым ключом, в которых используются один открытый и один закрытый ключ (эти алгоритмы называются также асимметричными). Кроме того, существует возможность шифрования информации и более простым способом — с использованием генератора псевдослучайных чисел.

              Использование генератора псевдослучайных  чисел заключается в генерации  гаммы шифра с помощью генератора  псевдослучайных чисел при определенном ключе и наложении полученной гаммы на открытые данные обратимым способом.

            Надежность шифрования с помощью  генератора псевдослучайных чисел  зависит как от характеристик  генератора, так и, причем в  большей степени, от алгоритма получения гаммы.

            Этот метод криптографической  защиты реализуется достаточно  легко и обеспечивает довольно  высокую скорость шифрования, однако  недостаточно стоек к дешифрованию  и поэтому неприменим для таких  серьезных информационных систем, каковыми являются, например, банковские системы.

            Для классической криптографии  характерно использование одной  секретной единицы — ключа,  который позволяет отправителю  зашифровать сообщение, а получателю  расшифровать его. В случае  шифрования данных, хранимых на магнитных или иных носителях информации, ключ позволяет зашифровать информацию при записи на носитель и расшифровать при чтении с него.

           Наиболее перспективными системами  криптографической защиты данных  сегодня считаются асимметричные  криптосистемы, называемые также системами с открытым ключом. Их суть состоит в том, что ключ, используемый для зашифровывания, отличен от ключа расшифровывания. При этом ключ зашифровывания не секретен и может быть известен всем пользователям системы. Однако расшифровывание с помощью известного ключа зашифровывания невозможно. Для расшифровывания используется специальный, секретный ключ. Знание открытого ключа не позволяет определить ключ секретный. Таким образом, расшифровать сообщение может только его получатель, владеющий этим секретным ключом.

            Известно несколько криптосистем  с открытым ключом. Наиболее разработана  на сегодня система RSA. RSA— это  система коллективного пользования,  в которой каждый из пользователей  имеет свои ключи зашифровывания  и расшифровывания данных, причем секретен только ключ расшифровывания.

             Специалисты считают, что системы  с открытым ключом больше подходят  для шифрования передаваемых  данных, чем для защиты данных, хранимых на носителях информации. Существует еще одна область применения этого алгоритма — цифровые подписи, подтверждающие подлинность передаваемых документов и сообщений.

            Из изложенного следует, что  надежная криптографическая система  должна удовлетворять ряду определенных  требований.

    • Процедуры зашифровывания и расшифровывания должны быть «прозрачны» для пользователя.

    • Дешифрование закрытой информации должно быть максимально затруднено.

    • Содержание передаваемой информации не должно сказываться на эффективности криптографического алгоритма.

              Процессы защиты информации, шифрования  и дешифрования связаны с кодируемыми  объектами и процессами, их свойствами, особенностями перемещения. Такими  объектами и процессами могут  быть материальные объекты, ресурсы,  товары, сообщения, блоки информации, транзакции (минимальные взаимодействия с базой данных по сети). Кодирование кроме целей защиты, повышая скорость доступа к данным, позволяет быстро определять и выходить на любой вид товара и продукции, страну-производителя и т.д. В единую логическую цепочку связываются операции, относящиеся к одной сделке, но географически разбросанные по сети.