Демченко Ю.В. ([email protected])
http://cad.ntu-kpi.kiev.ua/~demch/
АРХИТЕКТУРА БЕЗОПАСНОСТИ INTERNET И
КОМПЬЮТЕРНЫХ СЕТЕЙ НА ОСНОВЕ ПРОТОКОЛОВ TCP/IP
Предлагаемая статья посвящена вопросам безопасности Internet и, в общем случае, сетей, построенных на основе протоколов TCP/IP. Описаны основные вопросы построения таких сетей, рассмотрена архитектура безопасности Internet и DOD/Internet. Рассмотрены принципы обеспечения безопасности основных приложений Internet (электронной почты, службы директорий, передачи файлов и WWW). Приводится краткий обзор документов, определяющих архитектуру безопасности Internet.
1. Введение
Internet представляет собой сообщество сетей, не имеющих единого централизованного управления и средств обеспечения и контроля качества сервисов (услуг). Каждая из участвующих или подключенных сетей является единственно ответственной за обеспечение всех доступных сервисов и, в частности, безопасности. Провайдеры услуг, частные операторы сетей, пользователи и поставщики оборудования и программных средств все вместе ответственны за обеспечение функционирования системы. Это в свою очередь накладывает своеобразный отпечаток на систему стандартизации в Internet и обеспечение безопасности в Internet, а также внедрение и использование сервисов безопасности.
Правила функционирования Internet, наподобие правил этикета, являются волюнтаристскими (произвольными) и добровольными (не принудительными) до тех пор, пока они не противоречат национальным законам. В свою очередь, различие или даже отсутствие законов, регулирующих сферу существования Internet, в разных странах, делает невозможным установление обязательных правил функционирования и использования Internet.
2. Система стандартизации в Internet
Поскольку стандартизация - довольно дорогостоящая процедура, в настоящее время в области Internet, телекоммуникаций и сетевых информационных технологий (СИТ) используются стандарты, разработанные и выпущенные различными органами стандартизации, как международными (ISO, IEEE, ICTT, ECMA, IETF ISOC), так и национальными (ANSI), а также так называемые стандарты де-факто, внедряемые крупными производителями и группами производителей в составе продукции или работающих систем.
Вся система стандартизации направлена на текущие и перспективные потребности рынка ИТ. Причем международной стандартизации подвергаются только важнейшие и наиболее концептуальные вопросы и технологии. Большинство стандартов используются в оригинальном виде или гармонизируются (переводятся, и согласовывается терминология).
Система стандартизации в Internet имеет своеобразную структуру, носящей отпечаток того периода, когда Internet развивалась, как научная сеть. Основные стандарты проходят путь через их первую версию, называемую RFC (Request For Comment - документ, предложенный для обсуждения), которая принимается Техническим Комитетом (IETF - Internat Engineering Task Force) при Обществе Internet (ISOC - Internet Society), и начинают работать, как стандарты Internet, а затем они могут приниматься IEEE или ISO (International Standard Organization).
В настоящее время опубликовано более 1900 RFC, которые стандартизуют все вопросы касающиеся применяемых в Internet протоколов различных уровней модели ВОС (Взаимодействия Открытых Систем), операционных систем, приложений, систем обеспечения безопасности, представления и преобразования данных и информации. RFC могут иметь различный статус или версию: экспериментальный, для информации, проект, предложение и статус принятого стандарта Internet.
Наиболее важные вопросы регламентируются стандартами ISO после их промышленной апробации. Если стандарты Internet ориентированы на применение в среде сетей Internet, то стандарты ISO, как правило, покрывают вопросы межсетевого взаимодействия или актуальные для множества существующих сетей и технологий и ориентированы на широкое промышленное применение.
ISO стандартизована Модель Взаимодействия Открытых Систем (ВОС). К важнейшим вопросам стандартизации ISO относятся интерфейсы, форматы данных, национальные шрифты и кодировки, протоколы взаимодействия открытых систем, протоколы маршрутизации.
IEEE стандартизованы интерфейсы локальных вычислительных сетей (ЛВС, LAN - Local Area Network) IEEE 802.3 (Ethernet), IEEE 802.4 (MAP или Token Bus), IEEE 802.5 (Token Ring), форматы данных и протоколы уровня данных др.
Большую группу стандартов, применяемых в телекоммуникационных сетях, составляют стандарты Международного Телекоммуникационного Союза (ITU-Т - International Telecommunication Union, Telecommunications Standardization Sector, в прошлом МКТТ) групп RS, V, X, которые относятся к различным уровням модели ВОС. Наиболее известными среди них являются стандарты, определяющие интерфейсы физического уровня RS-232C, RS-580, RS-485, RS-422, интерфейсы уровней данных V.21, V.32, V.35, X.21, X.25, X.75, а также группы стандартов, определяющих протоколы и услуги прикладного уровня: X.400 (система электронной почты, использующая функции почтового агента в структуре Клиент/Сервер); X.500 (распределенная служба директорий), которая также включает стандарт Х.509, описывающий системы обмена открытыми ключами; Х.700 (протоколы управления телекоммуникационными сетями), Х.800 (архитектура безопасности для открытых сетей передачи данных в соответствии с моделью ВОС).
3. Архитектура сетей на основе протоколов TCP/IP (Internet)
3.1. Группа протоколов TCP/IP
Группа протоколов TCP/IP, являющаяся базовой для построения глобальной сети Internet, была разработана в в ходе работ, финансированных Министерством обороны США в рамках проектов DARPA (Defense Advanced Project Agency) в 1970-х. Главной целью этой работы была разработка группы протоколов, которые могли бы использоваться для широкого диапазона применений, включая стратегические и тактические локальные и глобальные сети. Разрабатываемые протоколы должны были быть независимы от нижних сетевых уровней и работать в условиях изменяющейся топологии сети.
Группа протоколов TCP/IP и их соответствие модели Взаимодействия открытых систем показаны на рис. 3.1. Основные протоколы, входящие в группу TCP/IP:
ARP(Address Resolution Protocol), RARP (Reverse Address Resolution Protocol) - протоколы разрешения МАС- адресов (адресов доступа к среде, MAC - Media Access Control), использующие широковещательные протоколы для определения соответствия между Internet-адресами (сетевыми адресами) и МАС-адресами.
IP (Internet Protocol) - протокол межсетевого обмена (Internet- протокол).
ICMP (Internet Control Message Protocol) - Протокол обмена управляющими сообщениями. Используется в протоколах маршрутизации для обмена служебными сообщениями.
TCP (Transmission Control Protocol) - Протокол транспортного уровня, обеспечивающий дуплексный обмен, установление и контроль соединениями.
UDP (User Datagram Protocol) - упрощенный протокол транспортного уровня, не имеющий средств управления соединениями. Формат заголовка имеет только поля портов отправителя и получателя.
RPC (Remote Procedure Call), XDR (External Data Representation), NFS (Network File System) - сервисы распределенной файловой системы.
FTP (File Transfer Protocol) - протокол передачи файлов между конечными системами.
Telnet - протокол эмуляции терминала для удаленного доступа к системам.
SMTP (Simple Mail Transfer Protocol) - протокол передачи почтовых сообщений.
SNMP (Simple Network Management Protocol) - протокол управления малыми сетями, который применяется для управления достаточно большими локальными, кампусными и региональными сетями.
|
|
Уровень модели ВОС |
|
Группа протоколов TCP/IP |
||
|
7 |
Прикладной |
|
|
NFS |
|
|
6 |
Представительный |
|
FTP, Telnet, |
XDR |
|
|
5 |
Сеансовый |
|
SMTP, SNMP |
RPC |
|
|
4 |
Транспортный |
|
TCP, UDP |
||
|
3 |
Сетевой |
|
Routing Protocols |
ICMP |
|
|
|
|
|
IP |
||
|
|
|
|
ARP, RARP |
||
|
|
|
|
|
||
|
2 |
Данных |
|
Not Specified |
||
|
1 |
Физический |
|
|
||
Рис. 3.1. Группа протоколов TCP/IP.
3.2. Форматы TCP/IP- пакетов
Форматы пакетов включают в себя последовательно вложенные заголовки различных уровней сетевого взаимодействия. Причем заголовок уровня данных следует первым, в его поле данных помещается фрейм сетевого уровня, начинающийся со своего заголовка, и т.д..
Особый характер информации, циркулирующий в сетях DOD общего назначения, привел к использованию принципа "минимальных привилегий" ("principle of least privilege" или "need-to-now"), согласно которому обработка данных в открытом виде производится только теми устройствами, которые должны (уполномочены) это делать. Этот принцип приводит к приоритетному использованию методов обеспечения безопасности между конечными системами.
Упор на обеспечении гарантированной безопасности компьютерных и сетевых систем в концепции безопасности DOD привел к развитию парадигмы эталонного монитора (reference monitor paradigm), ревизуемого посредством безопасной операционной системой, действующей как доверительный "посредник" доступа субъектов (пользователей или процессов) к защищенным ресурсам, называемым объектами (представляющие собой файлы или процессы), в системе. Чтобы быть эффективным, эталонный монитор должен быть промежуточным для всех доступов всех субъектов к любым ресурсам системы. При этом во главу угла ставится также конфиденциальность любых соединений и доступов.
Практическая реализация указанных принципов и положений привела к архитектуре DOD/Internet, в основе которой лежит использование специальных "режимных" доверительных устройств обеспечения безопасности на уровнях Физическом, МАС (Media Access Level) и Сетевом (IP-уровне). Такие устройства соответственно выполняют следующие функции:
· Шифрование данных и сигналов на Физическом уровне, которые обеспечивают конфиденциальность коммуникаций "точка-точка" для физических каналов.
· Шифрование данных на Сетевом уровне, которое выполняется специальными устройствами, используемыми в TCP/IP-сетеях, для данных (пакетов) сетевого уровня. Такие устройства позволяют обеспечить высокую защищенность коммуникаций между конечными системами источника и получателя данных (сообщений) без необходимости использования доверительных промежуточных сетевых коммутаторов.
· Шифрование данных на МАС-уровне локальных вычислительных сетей, которое может выполняться как для отдельного компьютера, так и для группы компьютеров.
Устройства, реализующие указанные функции являются очень дорогостоящими и, фактически, целесообразны только действительно для особых критических применений, где производится работа с очень чувствительной информацией.
Важным компонентом архитектуры безопасности TCP/IP-сетей является обеспечение безопасности таких сетевых приложений, как служба директорий и обмен сообщениями, которые требуют использования механизмов обеспечения безопасности на Прикладном уровне таких, как аутентификация, целостность, причастность, контроль доступа.
Следствием применения концепции эталонного монитора в архитектуре безопасности DOD является необходимость использования доверительной безопасной операционной системы для обеспечения гарантированной безопасности коммуникаций между приложениями (задачами прикладного уровня), что является еще одним дорогостоящим критическим компонентом архитектуры безопасности DOD.
Архитектура безопасности DOD использует механизмы контроля за доступом на основе правил и централизованную систему распределения ключей, в то время как архитектура безопасности Internet использует механизмы контроля за доступом на основе идентификации пользователя и соответственно распределенную систему распределения открытых ключей на основе Х.509.
5. Основные компоненты архитектуры безопасности Internet
5.1. Принципы построения архитектуры безопасности Internet.
Изложенные в [1] семь принципов построения уровневой модели безопасности компьютерных сетей в соответствии со стандартом ISO 7498-2 полностью применимы для использования в Internet. Однако для Internet целесообразно сформулировать ряд дополнительных принципов, определяющих применимость механизмов безопасности в существующей модели и инфраструктуре Internet.
1. Механизмы безопасности должны быть масштабируемы, чтобы удовлетворять постоянно увеличивающимся масштабам Internet (количеству сетей, компьютеров и пользователей). В частности, механизмы безопасности (аутентификация и контроль за доступом), использующие службы доменных имен, должны учитывать постоянный рост Internet.
2. Механизмы безопасности должны (иметь возможность) опираться на технологии нижних уровней (алгоритмы и протоколы), которые имеют проверенную гарантированную безопасность.
3. Механизмы безопасности не должны ограничивать топологию сети. Например, применение определенного механизма безопасности нежелательно, если условием его применения является использование единственного межсетевого устройства (в данном случае маршрутизатора) для внешних соединений.
4. Рекомендуется применять механизмы безопасности и соответствующие продукты, которые не подвержены экспортно-импортным ограничениям или законодательному регулированию.
5. Известно, что применение многих механизмов безопасности требует применения инфраструктуры, стоимость управления и поддержания которой сравнима со стоимостью внедрения самих механизмов безопасности. Поэтому целесообразно развивать такие технологии безопасности, которые используют общую инфраструктуру безопасности. Например, инфраструктура сертификации открытых ключей в соответствии со стандартом Х.509 используется для защиты данных в электронной почте в соответствии со стандартами PEM (Privacy Enhanced Mail), Х.400, а также для поддержки механизмов безопасности службы директорий Х.500 и управления телекоммуникационными сетями Х.700.
6. Криптографические механизмы, используемые в Internet, должны быть широко известны и проверены временем. Это не является доказательством надежности этих механизмов, но однако гарантирует от крупных ошибок.
5.2. Рекомендуемое использование механизмов безопасности
В Internet может полностью использоваться рекомендуемое в ISO 7498-2 соответствие между сервисами безопасности и уровнями модели ВОС. Необходимость этого возникает также исходя из применения в Internet множества протоколов. Однако предлагаемое соответствие имеет ряд ограничений, связанных с практическим применением этих рекомендаций для реализации конкретных приложений (сервисов) Internet.
Поэтому для Internet, в соответствии с рекомендациями рабочей группы по вопросам обеспечения конфиденциальности и безопасности в Internet (PSRG - Privacy and Security Research Group) IETF, наиболее эффективным является введение комплексного соответствия между сетевыми информационными сервисами, с одной стороны, и существующими сервисами и механизмами безопасности, с другой стороны, что в основном ориентировано на обеспечение совместимости отдельных реализаций сервисов в многопротокольной глобальной среде Internet. При таком подходе для каждого приложения определяются требования к безопасности и соответствующие необходимые сервисы и механизмы безопасности (протоколы и необходимая инфраструктура), которые смогут удовлетворять этим требованиям. Т.е., фактически, используемое в Internet соответствие между сетевыми приложениями (сервисами) и механизмами безопасности является обьединением и обобщением предложенных в стандарте ISO 7498-2 карт соответствия между сервисами безопасности и уровнями модели ВОС и между механизмами и сервисами безопасности. Главной целью и преимуществом такого подхода является обеспечение совместимости различных реализаций приложений в Internet, позволяющей использовать продукты различных производителей.
Ниже приводится краткий обзор рекомендуемых и применяемых сервисов механизмов безопасности для основных приложений Internet: электронной почты, службы директорий, управления сетью, удаленного терминала и передачи файлов, междоменной и внутридоменной маршрутизации, протокола обмена гипертекстовой информацией в World Wide Web. Отдельно рассмотрены вопросы использования брандмауэров для защиты внутренних и корпоративных сетей и создания так называемого "периметра безопасности".
5.2.1. Электронная почта
Электронная почта является наиболее широко используемым приложением Internet. Поэтому обеспечению защиты обмена почтовыми сообщениями (или просто сообщениями) посвящено наибольшее количество стандартов и директивных документов Internet, ISO, ITU-T (МКТТ).
Отдельные сервисы электронной почты в Internet определяются стандартами RFC 822 (формат почтовых сообщений), RFC 821 (простейший протокол передачи электронной почты SMTP - Simple mail Transfer Protocol), RFC 1891 (Extended SMTP), RFC 1225 (Post Offica Protocol, Version 3) и другими.
Сервисы безопасности для почтовых сообщений должны включать обеспечение конфиденциальности и целостности (для коммуникаций без установления соединения), аутентификацию происхождения данных, причастность (для отправителя и получателя). Однако эти услуги касаются отправителя и получателя сообщения, но не касаются провайдера услуг передачи электронной почты.
Для обеспечения основных сервисов безопасности в рамках RFC 822 (для чисто текстовых документов) был разработан протокол PEM (Privacy Enhanced Mail), изложенный в RFC 1421-1424. PEM рекомендован и, фактически, используется как единый стандарт в Internet для защиты почтовых сообщений. Особенностью применения PEM является необходимость использования службы распределенной сертификации открытых ключей в соответствии с Х.509. Защищенные объекты PEM могут входить в состав сообщения в формате X.400.
Для обеспечения сервисов безопасности расширенных форматов почтовых сообщений (MIME - Multupurpose Internet Mail Extension) разработаны стандарты Internet RFC 1847и RFC 1848, которые определяют типы и форматы защищенных объектов почтовых сообщений MIME Object Security Service (MOSS).
Недавно разработан и находит широкое распространение новый протокол защиты сообщений электронной почты PGP (Pretty Good Privacy), который использует шифрование при помощи открытого ключа для защиты почтового сообщения и файлов. PGP включает конфиденциальность и цифровую подпись.
В Internet широко применяется система обработки сообщений в соответствии со стандартами ITU-T группы Х.400, которые определяют протоколы и сервисы обработки почтовых сообщений в открытых системах передачи данных. Стандарты Х.400, Х.402, Х.411 наиболее полно определяют сервисы безопасности для обработки почтовых сообщений как при передаче (включая учет последовательности поступления сообщений), так и при их хранении: конфиденциальность, целостность, аутентификацию происхождения данных и станции отправителя, причастность (для отправителя и получателя), а также использование меток и контекста безопасности.
В общем, архитектура безопасности Internet должна позволять использовать как механизмы безопасности собственно Internet (PEM, MOSS, PGP), так и соответствующие механизмы Х.400.
5.2.2. Служба директорий
В Internet используется две службы директорий DNS (Domain Name System - система доменных имен) и Х.500. Сервисы безопасности и необходимые протоколы хорошо определены для Х.500. Так, широкое применение находит система распределения и сертификации открытых ключей Х.509. Однако нет хорошо разработанной концепции и специальных механизмов безопасности для DNS (RFC 1535).
Необходимыми сервисами безопасности для службы директорий являются аутентификаци происхождения данных и целостность данных для запросов и ответов. Контроль доступа необходим для защиты хранимых в директории данных от модификации и раскрытия неавторизованными пользователями.
Общей рекомендацией может быть использование в Internet для защиты директорий средств Х.500 на прикладном уровне и соответствующих протоколов более низких уровней. Попытки реализовать необходимые сервисы безопасности для DNS посредством сервисов и механизмов более низких уровней не дает достаточной защищенности.
5.2.3. Управление сетями
Управление сетями в Internet обеспечивается при помощи протокола SNMP (Simple Network Management Protocol). Ряд стандартов Internet RFC 1352, 1446, 1472, 1910 определяют основные сервисы и механизмы безопасности при передаче управляющей информации, доступе к базам данных управляющей информации и управляющим объектам.
Сервисы безопасности для SNMP определяются для прикладного уровня: конфиденциальность и целостность без установления соединения, аутентификация происхождения данных и контроль доступа.
В последнее время отдельные приложения в Internet частично ориентируются на использование протоколов управления телекоммуникационными сетями передачи данных X.700, которые имеют хорошо определенные сервисы и механизмы обеспечения безопасности.
5.2.4. Виртуальный терминал и передача файлов
Функции виртуального терминала (или удаленного доступа) обеспечивается протоколом Telnet. Передача файлов поддерживается протоколами FTP (File Transfer Protocol) и FTAM (File Transfer, Access and Management). Необходимые сервисы безопасности для обоих протоколов включают конфиденциальность и целостность для коммуникаций с установлением соединений, аутентификацию субъектов коммуникаций и контроль доступа на основе идентификации субъекта коммуникаций. Эти сервисы могут быть полностью обеспечены на прикладном уровне, однако целесообразно использовать некоторые механизмы на более низких уровнях, в частности, используя специальные защищенные протоколы сетевого и транспортного уровней NLSP (Network Level Security Protocol), SSL (Secure Socket Level) и TLSP (Transport Level Security Protocol). При этом устраняется дублирование сервисов на более высоких уровнях, однако в возникает необходимость введения новых программных модулей в ядро ОС.
5.2.5. Междоменная и внутридоменная маршрутизация
Для междоменной маршрутизации используются протоколы BGP (Border Gateway Protocol), IDRP (ISO 10747. IS-IS Inter-Domain Routing Protocol). Междоменная маршрутизация обеспечивается протоколами RIP (Routing Information Protocol), OSPF (Open Shortest Path First), IS-IS (ISO 10589. Intermediate System to Intermediate System Intradomain Routing Exchange Protocol). При работе эти протоколы обмениваются служебной и управляющей информацией, которая определяет надежное функционирование сложной сетевой инфраструктуры. Общими требованиями безопасности для протоколов маршрутизации являются обеспечение аутентификации субъектов коммуникаций и целостности для коммуникаций без установления соединений. Дополнительно могут использоваться сервисы конфиденциальности и контроля доступа.
Учитывая то, что работа протоколов маршрутизации относится к "инфраструктурному" (сетевому и транспортному) уровню сети, эффективно для этой цели использовать соответствующие механизмы и протоколы сетевого и транспортного уровней (NLSP, TLSP). С другой стороны протокол BGP сам имеет средства в структуре пакетов для поддержки аутентификации и целостности.
5.2.6. Протокол передачи гипертекстовой информации HTTP (Hyper Text Transfer Protocol)
Протокол передачи гипертекстовой информации, являющийся базовым для построения World Wide Web, относится к прикладному уровню и опирается на ряд протоколов более низкого уровня и другие протоколы прикладного уровня, а также используемые ими сервисы и механизмы обеспечения безопасности.
Широкое распространение WWW, богатые возможности представления мультимедиа информации и удобного интерфейса с пользователем привели к широкому использованию WWW в бизнесе и развитию электронной коммерции через WWW, что повлекло за собой необходимость разработки специальных средств обеспечения безопасности коммуникаций при помощи HTTP. Так, были разработаны и сейчас находится на стадии обсуждения в IETF протоколы Secure HTTP (SHTTP) и Secure Socket Level (SSL).
Протокол SSL предназначен для обеспечения безопасных коммуникаций между двумя приложениями на транспортном уровне SSL (Secure Socket Communication), используя порты или сокеты (sockets). Он обеспечивает конфиденциальность коммуникаций между двумя приложениями через транспортный уровень, а также может обеспечивать аутентификацию сервера и, дополнительно, клиента. Приложения более высокого уровня (Telnet, FTP, HTTP) могут использовать SSL для обеспечения безопасного канала коммуникаций.
Протокол SHTTP обеспечивает необходимые для приложений электронной коммерции сервисы безопасности - конфиденциальность транзакций, аутентификацию, целостность сообщений, причастность отправителя. SHTTP обеспечивает безопасные коммуникации между конечными системами за счет использования криптографических механизмов RSA при обмене сообщениями на прикладном уровне.
5.3. Использование брандмауэров
Брандмауэры (Firewall) занимают важное место в архитектуре безопасности Internet. Брандмауэры используются для защиты сетей посредством контроля внешнего доступа к внутренней сети и наоборот. Брандмауэры могут использоваться для создания "периметра безопасности", который обеспечивает защиту сети на сетевом уровне, позволяя таким образом упростить требования к защищенности отдельных компьютеров и рабочих мест.
Брандмауэр обычно располагается в точке доступа локальной или корпоративной сети к внешней сети, например, Internet. Брандмауэры могут также использоваться для защиты отдельных сегментов корпоративной сети, реализуя специфические функции по защите данного сегмента. Все соединения проходят через брандмауэр и проверяются на соответствие установленным правилам доступа на основе анализа заголовков IP-пакетов и, в отдельных случаях, заголовков ТСР-пакетов. В качестве брандмауэра может использоваться маршрутизатор, персональный компьютер, рабочая станция или система компьютеров, реализующих необходимые функции по защите ресурсов сети от внешнего "злоумышленного" доступа.
Концепция брандмауэров включает реализацию
· сетевой политики безопасности, определяющей правила доступа к ресурсам и сервисам сети и используемые для этого средства и протоколы
· дополнительных механизмов аутентификации
· фильтрацию пакетов
· шлюзы для приложений, которые не позволяют эффективно применять фильтрацию пакетов (например, Telnet, FTP, HTTP), обычно реализуемые при помощи функций Proxy-сервера (замещающего сервера).
Программные реализации брандмауэров доступны как в коммерческом варианте (например, фирмы Digital), так и свободно распространяемом варианте в Internet для некоммерческого использования (при этом государственные организации не подлежат лицензионному соглашению на свободно распространяемые программные продукты в Internet).
6. Выводы
1. Архитектуру безопасности Internet, которая первоначально разрабатывалась для сетей общего пользования Министерства обороны США DOD/Internet, достаточно полно описывается группой стандартов Internet RFC, описанными выше и приведенными в Приложении 1.
Важной особенностью этой архитектуры является то, что она в своей основе ставит цель обеспечения безопасности между конечными системами, которые для коммуникаций используют неконтролируемую (недоверительную) сетевую среду. Это приводит к приоритетному использованию сервисов безопасности на уровнях выше сетевого и транспортного, т.е. преобладающе на прикладном уровне. Это в свою очередь позволяет использовать многие сервисы и соответствующие программные продукты с другими группами сетевых протоколов и различными сетевыми операционными системами.
2. Выделяются такие основные направления стандартизации в архитектуре безопасности Internet:
· Обеспечение безопасности сетевой инфраструктуры, которая соответствует Сетевому и Транспортному уровням, что включает архитектуру безопасности IP-протокола и обеспечение безопасности протоколов управления TCP/IP- сетями.
· Обеспечение безопасности обмена информацией между конечными системами, приложениями или пользователями, куда входят протоколы обеспечения безопасных коммуникаций между сервисами Прикладного уровня (электронная почта, служба директорий, сервисы удаленного доступа, World Wide Web (WWW)).
В архитектуре безопасности DOD/Internet дополнительно ставятся требования обеспечения доверительности конечных компьютерных систем и конфиденциальности коммуникаций в сети.
3. Все сервисы безопасности реализуются, как дополнение к основным протоколам, и могут вводится по желанию пользователей в зависимости от требуемого уровня безопасности или доверительности к промежуточным системам. Это объясняется необходимостью использования дополнительных сетевых и вычислительных ресурсов для обеспечения сервисов безопасности, что связано с дополнительными расходами или падением производительности сетевых приложений.
4. Существует прямое соответствие между Сервисами безопасности модели ВОС в соответствии с ISO 7498-2 и сервисами безопасности Internet (Конфиденциальность (Confidentiality), Аутентификация (Authentication), Целостность (Integrity), Контроль доступа (Access Control), Причастность ("неотпирательство", Nonrepudiation)).
5. В соответствии с ISO 7498-2 базовыми являются модели соответствия между сервисами безопасности и уровнями модели сетевого взаимодействия ВОС, а также между сервисами и механизмами безопасности.
В Internet в качестве базового подхода к безопасности используется карта соответствия между сетевыми приложениями (сервисами) и механизмами безопасности, что и нашло отражение в рассмотренных RFC.
6. Архитектура безопасности Internet в настоящее время является достаточно хорошо проработанной и реализована в большом количестве программных продуктов и межсетевых средствах. Основная ее ориентация на обеспечение безопасности коммуникаций между конечными системами и пользователями делает ее применимой для большинства групп сетевых протоколов и операционных систем.
7. Важным элементом архитектуры безопасности Internet является обеспечения безопасности обмена сообщениями по электронной почте, которая является наиболее широко используемым приложением Internet и современных коммуникаций. Это стандарты PEM (Privacy Enhanced Mail), PGP (Pretty Good Privacy), MOSS (MIME Object Security Services), которые также используются для обмена защищенными сообщениями в других приложениях Internet (служба директорий, протоколы сетевого управления, видеоконференции и т.д.).
8. Другим важным элементом Архитектуры безопасности Internet является архитектура распределения и сертификации открытых ключей, которая обеспечивает средства "заверения" третьей доверительной стороной открытых ключей, основываясь на службе директорий Х.509 и моделях управления телекоммуникационными сетями Х.700.
9. В настоящее время являются стандартами де-факто протоколы SSL и SHTTP для обеспечения безопасности обмена гипертекстовыми документами в среде World Wide Web (WWW), которая в последнее время широко применяется в Internet для создания сети "Открытой коммерции".
Литература
1. Демченко Ю.В. Безопасность компьютерных сетей в соответствии с рекомендациями стандарта ISO 7498-2. - Безопасность информации. - Вып. 3, 1994. - с. 223.
2. Lynch D.C., Rose M.T. Internet System Handbook. - Addison Wesley Publishing. - 1993. - 790 p.p.
3. C.Liu, J.Peek, R.Jones, B.Buus, A.Nye "Managing Internet Information Services". - O'Reilly & Associates. - December 1994. - 630 p.
4. Internetworking Technology Overview. - Cisco Systems. - 1993.
5. S.Kolletzki. Secure Internet Banking with Privacy Enhanced Mail - A Protocol for Relaible Exchange of Secured Order Form. - Proceedings JENC7, May 13-16, 1996, Budapest. - Pp. 232-1 - 232-9.
6. M.Gehrke, T.Hetschold. Management of a public key certification infrastructure Experiences from the DeTeBerkom project BMSec. - Proceedings JENC7, May 13-16, 1996, Budapest. - Pp. 232-1 - 232-9.
7. Harald.T.Alvestrand. X.400 has security defined; Internet Mail has PGP, PEM and MOSS. - http://domen.uninett.no/~hta/x400/debate/security.html.
8. ISO 7498-2. Basic Reference Model - Part 2: Security Architecture. - February 1989.
9. Derek Atkins, William Stallings, Philip Zimmermann, PGP Message Exchange Formats, Internet Draft, 1995.
10. Kipp E.B. Hickman Taher Elgamal THE SSL PROTOCOL Internet Draft Netscape Communications Corp June 1995 (Expires 12/95)
11. ITU Recommendation X.400 - X.440. Data Communication Network: Message Handling Systems.
12. ITU Recommendation X.400 Message Handling Services: Message Handling System and Service Overview (ISO/IEC 10021-1), 1993
13. ITU Recommendation X.402 Message Handling Systems: Overall Architecture (ISO/IEC 10021-2), 1992
14. ITU Recommendation X.411 Message Handling Systems - Message Transfer System: Abstract Service Definition and Procedures (ISO/IEC 10021-4), 1992
15. ITU Recommendation Recommendations X.500 - X.582. Data Communication Networks: The Directory.
16. ITU Recommendation X.509 The Directory: Authentication Framework (ISO/IEC 9594-8), 1993.
17. ITU Recommendation X.700 - X.790. Information Technology - Open System Interconnection - Management Framework for Open Systems.
18. ITU Recommendation X.800 - X.833. Information Technology - Open System Interconnection - Security Framework for Open Systems.