 |
 |
№1 январь-февраль 2005 г.
Тема номера: ЭКОНОМИЧЕСКИ ОПРАВДАННАЯ БЕЗОПАСНОСТЬ
|
|
ЗАЩИТА ВИРТУАЛЬНЫХ СЕТЕЙ ШИФРОВАННОЙ СВЯЗИ
ОТ УГРОЗ НАВЯЗЫВАНИЯ И ОТКАЗА ДОСТУПА
М. В. Тарасюк, Я. А. Быков |
|
  |
В статье рассмотрены специфические аспекты безопасности сетей шиф-рованной связи, связанные с защитой их от угроз навязывания и отказа доступа со стороны внешних нарушителей. Дается анализ методов защиты с точки зрения использования в публичных телекоммуникационных сетях с различными предположениями о переупорядочивании пакетного трафика.
Успехи развития сети Интернет в части повышения пропускной способности каналов, надежности и доступности коммуникаций с одновременным снижением стоимости услуг передачи данных позволяют рассматривать ее как реальную альтернативу выделенным каналам при организации взаимодействия территориальных подразделений и офисов крупных компаний, предприятий промышленности и государственных учреждений. Вместе с тем, задачи защиты данных при передаче по публичным сетям имеют специфические отличия от проблем, стоящих перед организациями, использующими собственные или арендованные у коммерческих операторов телекоммуникационные ресурсы.
Для организации защищенного сетевого взаимодействия между локальными сетями объектов могут использоваться методы линейного или сетевого шифрования.
Линейные шифраторы (ЛШ) используются в основном в коммуникациях, связанных с передачей информации, составляющей государственную тайну. В ЛШ все механизмы защиты реализуются на физическом уровне эталонной модели ISO. Преимуществом этой технологии является то, что вся передаваемая по открытому каналу информация, включая сигналы управления и служебные данные, передается в зашифрованном виде. Вследствие этого ЛШ может работать только на выделенных каналах связи.
Технология сетевого шифрования избавляет от ограничений линейного шифрования, поскольку использует пакетный режим коммутации и протоколы передачи данных, принятые для использования в публичных сетях (прежде всего, в сетях TCP/IP, но не обязательно). Физически процесс передачи данных через открытую сеть заключается в шифровании пакетов внутренней (защищаемой) сети с последующей их упаковкой в пакеты, предназначенные для передачи на другой объект.
Для расшифрования и принятия решений по доведению пакетов в удаленной сети, а также для маршрутизации и передачи по открытой сети используется служебная информация из заголовка пакета. Структура этой информации определяется используемым протоколом защиты. Им может являться, например, протокол IPSec (шифрование IP-пакетов), IKE (распределение ключей шифрования протокола IPSec), MPPE (шифрование кадров протокола PPP). Служебные данные из заголовка пакета (адреса, тип прикладного протокола, метки безопасности) отвечают за выбор алгоритма и ключа шифрования, а также некоторых других параметров безопасности [1]. Потоки данных, зашифрованные на разных ключах, логически изолированы друг от друга, в связи с чем их принято называть виртуальными каналами. В отличие от физических каналов, число виртуальных можно сделать практически неограниченным (сколько ключей шифрования, столько и виртуальных каналов).
Технология сетевого шифрования реализуется в сетевом устройстве, называемом криптомаршрутизатором (КМ). За последние годы рынок КМ в РФ интенсивно развивается. Появилось множество КМ, сертифицированных ФАПСИ (ФСБ), для передачи конфиденциальных сведений и сведений, составляющих государственную тайну.
Главный недостаток КМ по сравнению с ЛШ – возможность доступа из внешней сети и деструктивного воздействия на служебную информацию, передаваемую в открытом виде. Проблема атак нарушителями из внутренней (защищаемой) сети имеет отношение к вопросам обеспечения конфиденциальности данных, то есть угрозам утечки информации в открытую сеть за счет модуляции параметров трафика (адреса, идентификаторы протоколов, длина пакетов, длительность межпакетных интервалов) [2]. Вопросы защиты от угроз модуляции подробно рассмотрены в [3].
Проблема воздействия на КМ нарушителями внешней (незащищенной) сети в большей части связана с атаками, направленными на отказ в обслуживании и блокирование связи с удаленными объектами.
В общем случае атаки, направленные на отказ в обслуживании КМ, можно разделить на две группы – атаки, направленные на уязвимости программного обеспечения (ошибки в коде программ), и атаки, направленные на уязвимости протоколов защиты. Для простоты не будем говорить об угрозах первой группы, поскольку они не являются чем-либо специфическим и зависят только от зрелости компаний разработчиков КМ, качества тестирования и случайных факторов.
В основе атак второй группы лежит тот факт, что криптографические преобразования являются достаточно ресурсоемкими операциями, особенно если в КМ используются программные реализации криптографических алгоритмов, а максимальная производительность шифратора значительно уступает общей пропускной способности внешних интерфейсов, через которые КМ подключен к открытой сети. Еще большая угроза исходит от протоколов распределения ключей, где используется асимметричная криптография, так как трудоемкость алгоритмов с публичными ключами в десятки и сотни раз выше, чем у симметричных алгоритмов. Для того чтобы вызвать нарушение связи, достаточно подать в КМ поток ложных пакетов достаточно высокой интенсивности.
< ... >
| |
 |
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд» |
Обращайтесь!!!
e-mail: magazine@inside-zi.ru
тел.: +7 (921) 958-25-50, +7 (911) 921-68-24
Предыдущая статья СОДЕРЖАНИЕ НОМЕРА Следующая статья
|
