Тармоқ сатҳида маълумотларни ҳимоялаш - Информатика и ИТ - Презентации

Тармоқ сатҳида маълумотларни ҳимоялаш

Загружено в:

08.12.2024

Скачано:

0

Размер:

284.2802734375 KB

Тармоқ сатҳида маълумотларни ҳимоялаш

Режа • Тармоқ сатхида хавфсизлик • IPSec хавфсизлик архитектураси • IKE криптокалитларни бошқариш протоколи • IPSec воситаларини амалга ошириш хусусиятлари

Тармоқ сатхида хавфсизлик Тармоқ сатҳини бошқариш тез-тез алоқа хавфсизлигини таъминлаш учун ишлатилади, айниқса Интернет каби умумий тармоқларда, чунки улар бир вақтнинг ўзида кўплаб дастурларни ўзгартирмасдан ҳимоя қилишлари мумкин. Ушбу протоколларнинг аксарияти стандарт Интернет протоколидаги ички хавфсизликни қоплаш учун OSI протоколи стекининг юқори сатхларига йўналтирилган. Қийматига қарамай, ушбу усулларни бирон бир дастурда ишлатиш учун осонликча умумлаштириб бўлмайди. Масалан, SSL, HTTP ёки FTP каби дастурларни хавфсизлигини таъминлаш учун махсус ишлаб чиқилган. Аммо хавфсиз алоқага муҳтож бўлган бир нечта бошқа дастурлар мавжуд. Ушбу эҳтиёж IP-даражадаги хавфсизлик ечимини ишлаб чиқишга олиб келди, шунда барча юқори даражадаги протоколлар ундан фойдаланишлари мумкин.

IP хавфсизлик протоколи (IPSec) - бу маълумотларни ҳимоя қилиш ва IP даражасида аутентификация қилиш учун ишлатиладиган стандартлар тўплами. Амалдаги IPSec стандартлари алгоритмга боғлиқ бўлмаган базавий спецификацияларни ўз ичига олади, улар стандарт RFC ( Request for Comments )лар - Интернет тармоғида кенг қўлланиладиган техник спецификациялар ва стандартларни ўз ичига олган рақамланган Интернет маълумот ҳужжатларидаги ҳужжат:  RFC 2401 ( Security Architecture for the Internet Protocol ) - Интернет протоколи учун хавфсизлик архитектураси.  RFC 2402 ( IP Authentication header ) – IP-аутентификация сарлавҳаси.  RFC 2403 ( The Use of HMAC-MD5-96 within ESP and АН ) – Аутентификация сарлавҳасини яратиш учун MD-5 хеш алгоритмидан фойдаланиш .  RFC 2404 ( The Use of HMAC-SHA-1-96 within ESP and АН ) – Аутентификация сарлавҳасини яратиш учун ША-1 хешлаш алгоритмидан фойдаланиш.  RFC 2405 ( The ESP DES-CBC Cipher Algorithm With Explicit TV ) – DES шифрлаш алгоритмидан фойдаланиш  RFC 2406 ( IP Encapsulating Security Payload (ESP)) – Маълумотларни шифрлаш  RFC 2407 ( The Internet IP Security Domain of Interpretation for ISAKMP ) – Калитларни бошқариш протоколи доираси  RFC 2408 ( Internet Security Association and Key Management Protocol (ISAKMP) ) - хавфсиз уланишларнинг калитлари ва аутентификаторларини бошқариш  RFC 2409 (The Internet Key Exchange (IKE)) - Калит алмашинуви  RFC 2410 ( The NULL Encryption Algorithm and Its Use With IPsec ) – нолинчи шифрлаш алгоритми ва ундан фойдаланиш  RFC 2411 ( IP Security Document Roadmap ) – стандартни янада ривожлантириш  RFC 2412 ( The OAKLEY Key Determination Protocol) – Калитнинг ҳақиқийлигини текшириш Тармоқ сатхи

IPSec протоколларининг асосий мақсади IP-тармоқлар орқали маълумотларнинг хавфсиз узатилишини таъминлашдир. IPSec кафолатлари:  узатилаётган маълумотларнинг яхлитлиги (яъни, узатиш пайтида маълумотлар бузилмайди, йўқолмайди ёки такрорланмайди);  жўнатувчининг ҳақиқийлиги (яъни, у ўзини даъво қилаётганлигини исботлаган жўнатувчи томонидан узатилган);  узатилаётган маълумотларнинг махфийлиги (яъни маълумотларни рухсатсиз кўришни олдини олувчи шаклда узатилади). Шуни таъкидлаш керакки, одатда маълумотлар хавфсизлиги концепцияси яна бир талабни ўз ичига олади - бу контекстда уларни етказиб бериш кафолати сифатида талқин қилиниши мумкин бўлган маълумотлар. IPSec протоколлари бу муаммони ҳал қилмайди, уни TCP транспорт сатхи протоколига қолдиради. IPSec протоколлари стеки тармоқ сатҳидаги маълумотни ҳимоя қилишни таъминлайди, бу эса ушбу ҳимояни ишлайдиган дастурларда кўринмас ҳолга келтиради. IP-тармоқларда алоқанинг асосий бирлиги IP-пакет. IP-пакетда хабарни қабул қилувчининг S - манзили ва D - манзили, транспорт сарлавҳаси, ушбу пакетда олиб бориладиган маълумотлар тури ва маълумотлар ўзи мавжуд IPSec хавфсизлик архитектураси IP пакет тузилиши

Ўтказилган маълумотларнинг аутентификацияси, махфийлиги ва яхлитлигини таъминлаш учун IPSec протоколлар тўплами стандартлаштирилган криптографик технологиялар асосида қурилган:  очиқ тармоқда фойдаланувчилар ўртасида махфий калитларни тақсимлаш учун Диффи-Ҳеллман алгоритми бўйича калитларни алмаштириш;  Диффи-Ҳеллман алмашинувини имзолаш учун очиқ калитларнинг криптографияси, икки томоннинг ҳақиқийлигини таъминлаш ва ўртада одам ҳужумларидан сақланиш;  очиқ калитларнинг ҳақиқийлигини тасдиқловчи рақамли сертификатлар;  маълумотларни симметрик шифрлаш алгоритмларини блокировка қилиш;  хешлаш функциялари асосида хабарларни аутентификация қилиш алгоритмлари. IPSec - бу янги протоколлар, алгоритмлар ва хусусиятларни қўшишга имкон берадиган, аниқ белгиланган ядрога эга бўлган очиқ стандартлар тизими. Бошқарув протоколлари, конфигурация протоколлари ва маршрутлаш протоколлари каби юқори сатх протоколлари стандартлаштирилган IPSec хавфсизлик хусусиятларидан фойдаланиши мумкин.

Хавфсиз канални яратиш ва сақлашнинг асосий вазифалари қуйидагилардан иборат:  хавфсиз канални ишга туширишда фойдаланувчилар ёки компьютерларнинг аутентификацияси;  хавфсиз каналнинг сўнгги нуқталари ўртасида узатиладиган маълумотларни шифрлаш ва аутентификация қилиш;  аутентификация ва маълумотларни шифрлаш протоколлари ишлаши учун зарур бўлган махфий калитлар билан каналнинг сўнгги нуқталарини таъминлаш. Ушбу муаммоларни ҳал қилиш учун IPSec тизимида маълумот алмашиш хавфсизлиги воситалари тўплами қўлланилади.

IPSec протоколининг аксарият дастурлари қуйидаги таркибий қисмларга эга:  Асосий протокол IPSec. Ушбу компонент ESP ва АН протоколларини амалга оширади. У сарлавҳаларни қайта ишлайди, пакетга қўлланиладиган хавфсизлик сиёсатини аниқлаш учун SPD ва SAD маълумотлар базалари билан ўзаро таъсир қилади.  Интернет калитлари алмашинуви (IKE - Internet Key Exchange ). IKE одатда фойдаланувчи даражасидаги жараён сифатида ифодаланади, фақат опреацион тизим ичига ўрнатилган дастурлардан ташқари.  Хавфсизлик сиёсати маълумотлар базаси (SPD - Security Policy Database). Бу энг муҳим таркибий қисмлардан биридир, чунки у пакетга нисбатан қўлланиладиган хавфсизлик сиёсатини белгилайди. SPD асосий IPSec протоколи томонидан кирувчи ва чиқувчи пакетларни қайта ишлаш учун ишлатилади.  Хавфсизлик ассоциацияси маълумотлар базаси (SAD - Security Association Database) . SAD маълумотлар базасида кирувчи ва чиқувчи маълумотларни қайта ишлаш учун хавфсиз ассоциациялари (SA - Security Association) рўйхати сақланади. Чиқиб кетган SAлар чиқувчи пакетларни ҳимоя қилиш учун, ва кирувчи SAлар IPSec сарлавҳалари билан пакетларни қайта ишлаш учун ишлатилади. SAD маълумотлар базаси SA билан қўлда ёки IKE калитларини бошқариш протоколи ёрдамида тўлдирилади.

IPSecга киритилган барча протоколларни икки гуруҳга бўлиш мумкин: 1) узатиладиган маълумотларни тўғридан-тўғри қайта ишлайдиган протоколлар (уларнинг ҳимоясини таъминлаш учун); 2) 1-гуруҳ протоколлари учун зарур бўлган хавфсиз уланиш параметрларини автоматик равишда муҳокама қилишга имкон берувчи протоколлар. IPSec протоколи стек архитектураси

Юқори даражада IPSec ядросини ташкил этувчи 3 та протокол мавжуд:  виртуал канал параметрлари бўйича музокаралар ўтказиш ва хавфсиз канални ишга тушириш усулини, шу жумладан фойдаланиладиган шифрлаш алгоритмларини музокара қилиш усулини, шунингдек хавфсиз уланиш доирасидаги махфий калитларни алмаштириш ва бошқариш тартибини белгилайдиган IKE калитларини бошқариш протоколи;  маълумотлар манбасини аутентификация қилишни, олинганидан кейин уларнинг яхлитлиги ва тўғрилигини текширишни, шунингдек такрорий хабарларни қўйишдан ҳимоя қилишни таъминлайдиган аутентификация сарлавҳаси АН ( Authentication header ) протоколи;  криптографик ёпилишини, узатилган маълумотларнинг аутентификациясини ва яхлитлигини, шунингдек такрорий хабарлар берилишидан ҳимояланишни таъминлайдиган хавфсизлик учун фойдали юклама (ESP - Encapsulating Security Payload ) протоколи.

11IPSec архитектурасининг ўрта сатхи параметрларни муҳокама қилиш ва IKE протоколида ишлатиладиган калитларни бошқариш алгоритмларидан, шунингдек АН аутентификация сарлавҳасида ишлатиладиган аутентификация ва шифрлаш алгоритмларидан ва ESP таркибини қамраб олган ҳимоя протоколларидан иборат. Шуни таъкидлаш керакки, IPSec архитектураси юқори қаватидаги виртуал электрон хавфсизлик протоколлари (АН ва ESP) маълум криптографик алгоритмлардан мустақил. Кўп хил аутентификация ва шифрлаш алгоритмларидан фойдаланиш имконияти билан IPSec тармоқ хавфсизлигини ташкил қилишда юқори даражада мослашувчанликни таъминлайди. IPSec-нинг мослашувчанлиги шундаки, ҳар бир вазифа учун уни ҳал қилишнинг бир неча йўли мавжуд. Битта топшириқ учун танланган усуллар одатда бошқа вазифаларни амалга ошириш усулларига боғлиқ эмас. Масалан, шифрлаш учун AES алгоритмини танлаш маълумотлар аутентификацияси учун ишлатиладиган дайжестни ҳисоблаш функтсиясини танлашга таъсир қилмайди.

12IPSec архитектурасининг қуйи сатхи DOI (Domain of Interpretation) деб номланган шарҳлаш соҳасини ташкил қилади. DOI талқини доменидан фойдаланиш зарурати қуйидаги сабабларга боғлиқ. АН ва ESP протоколлари модулли тузилишга эга бўлиб, фойдаланувчиларга келишилган танлов асосида турли хил криптографик шифрлаш ва аутентификация алгоритмларидан фойдаланишга имкон беради. Шунинг учун барча ишлатилган ва янги киритилган протоколлар ва алгоритмларнинг биргаликда ишлашини таъминлайдиган модул зарур. Ушбу функциялар DOI талқини соҳасига тайинланган. DOI талқини домени маълумотлар базаси сифатида IPSec-да ишлатиладиган протоколлар ва алгоритмлар, уларнинг параметрлари, протокол идентификаторлари ва бошқалар тўғрисидаги маълумотларни сақлайди. Бошланғичида, бу IPSec архитектурасида асос бўлиб хизмат қилади. АН ва ESP протоколларида аутентификация ва шифрлаш алгоритмлари сифатида миллий стандартларга мос келадиган алгоритмлардан фойдаланиш учун ушбу алгоритмларни DOI талқин доменида рўйхатдан ўтказиш зарур.

13IPSec аутентификацияси ва шифрлаш алгоритмлари IPSec протоколлари тўплами аниқ белгиланган ядрога эга бўлган очиқ стандартларнинг изчил тўпламидир ва шу билан бирга уни янги протоколлар, алгоритмлар ва функциялар билан тўлдириш мумкин. Модулли тузилиши туфайли АН ва ESP протоколлари фойдаланувчиларга келишилган танлов асосида ҳар хил криптографик аутентификация ва шифрлаш алгоритмларидан фойдаланишга имкон беради. IPSec (ESP протоколи) да маълумотларни шифрлаш учун махфий калитлардан фойдаланадиган деярли ҳар қандай носимметрик шифрлаш алгоритмидан фойдаланиш мумкин. Маълумотларнинг яхлитлиги ва аутентификациясини таъминлаш учун (АН ва ESP протоколлари) шифрлаш усулларидан бири - хеш функцияси ёки дайжест функцияси деб ҳам аталадиган бир томонлама функция ёрдамида шифрлаш қўлланилади. Ушбу функция шифрланган маълумотларга татбиқ этилганда, аниқланган оз сонли байтнинг дайжест қийматига олиб келади. Дайжест IP-пакетда бошланғич хабар билан бирга юборилади. Қабул қилувчи, дайжестни тузишда қайси бир томонлама шифрлаш функциясидан фойдаланилганлигини билиб, уни бошланғич хабар ёрдамида қайта ҳисоблаб чиқади. Агар қабул қилинган ва ҳисобланган дайжестларнинг қийматлари бир хил бўлса, демак, узатишда пакетнинг таркиби ўзгартирилмаган. Дайжест ҳақида маълумот бошланғич хабарни тиклашга имкон бермайди ва шунинг учун махфийликни ҳимоя қилиш учун фойдаланиб бўлмайди, аммо бу маълумотларнинг яхлитлигини текширишга имкон беради.

Ҳозирда АН ва ESP протоколларида рўйхатдан ўтган: 2 аутентификация алгоритмлари - HMAC-MD5 ва НМАС-SHA1 . Хабарларни аутентификация қилиш коди (НМАC- Keyed-Hashing for Message Authentication Code ) RFC 2104 томонидан белгиланади. MD5 ( Message Digest version 5 , стандарт RFC 1321) ва SHA1 (Secure Hash Algorithm version 1 , стандарт FIPS 180-1) функциялари хешлаш функциясидир. НМАC- MD5 ва НМАC- SHA1 алгоритмлари махфий калитларни аутентификация қилиш алгоритмлари. Яширин калит MD5 учун 128 бит ва SHA1 учун 160 бит. Агар махфий калит фақат жўнатувчи ва қабул қилувчи томонларга маълум бўлса, бу маълумотлар манбасининг ҳақиқийлигини ҳамда икки томон ўртасида юборилган пакетларнинг яхлитлигини таъминлайди. НМАС калитлари ISAKMP / Oakley процедураси ёрдамида яратилади. Протоколни амалга оширишнинг дастлабки босқичида аппарат ва дастурий таъминотнинг мувофиқлигини таъминлаш керак. IPSec - бу сукут бўйича ишлатиладиган рўйхатдан ўтган аутентификация алгоритмларидан бири. Бундай алгоритм сифатида НМАC- MD5 алгоритми аниқланади.

НМАС алгоритмининг ишлаш принципи шундан иборатки, пакет аутентификация калити билан бошқариладиган хешлаш функцияси (масалан, MD5 хешлаш функцияси) томонидан икки марта қайта ишланади. Расмдан кўриниб турибдики, қайта ишланган маълумотларга иккала марта ҳам махфий калит киритилган бўлиб, бу узатилаётган маълумотларнинг ҳақиқийлигини тасдиқлайди. Қабул қилинган назорат йиғиндиси АН протоколининг сарлавҳасига жойлаштирилган. Бошқа томондан аутентификацияни текшириш бир хил калит ёрдамида кирувчи пакет учун йиғиндини қайта ҳисоблаш ва олинган натижани юборилган билан таққослаш орқали амалга оширилади. НМАC алгоритмининг тузилиши

16IKE криптокалитларини бошқариш протоколи ESP ва АН протоколлари хавфсиз узатишнинг муҳим хусусиятларини амалга оширишга имкон беради: алоқа махфийлиги, аутентификация ва маълумотлар яхлитлиги. Бироқ, уларнинг функциялари алмашиш иштирокчилари ўртасида асосий тақсимот ва протокол музокараларини таъминлайдиган кучли қўллаб-қувватловчи инфратузилма мавжуд бўлмаганда барча қийматини йўқотади. IPSec-да бундай инфратузилманинг ролини IKE протоколлар гуруҳи бажаради. Ушбу ном 1998 йилда IPSec таркибидаги асосий бошқарув воситаларининг келиб чиқишини тўғридан-тўғри кўрсатган олдинги ISAKMP / Oakley ўрнини эгаллади. RFC 2408-да тавсифланган ISAKMP алгоритмлар ва математик тузилмалар (чекланган майдонда аниқланган мультипликатив гуруҳлар деб аталади) ва Диффи-Ҳеллман калитлари алмашинуви ҳамда аутентификация жараёнлари бўйича музокаралар олиб боришга имкон беради. RFC 2412 да тасвирланган Oakley протоколи Диффи-Ҳеллман алгоритмига асосланган ва тўғридан-тўғри калит алмашинувини ташкил қилиш учун ишлатилади. IКЕ протоколлари учта вазифани бажаради:  Ўзаро алоқада бўлган томонларнинг ҳақиқийлигини тасдиқлаш, хавфсиз маълумот алмашиш сеанссида ишлатиладиган шифрлаш алгоритмлари ва асосий хусусиятларини келишиб олиш.  Уланишнинг асосий маълумотларини яратиш ва бошқариш, калитларнинг тўғридан-тўғри алмашинувини таъминлаш (шу жумладан уларнинг тез-тез ўзгариши).  Уланиш параметрларини бошқариш ва муайян турдаги ҳужумлардан ҳимоя қилиш, эришилган барча келишувларнинг бажарилишини назорат қилиш. IPSec ишлаб чиқувчилари ўз фаолиятини рўйхатдаги сўнгги вазифаларни ҳал қилиш билан бошлашди. Натижада, хавфсиз виртуал уланиш ёки SA (Хавфсизлик ассоциациялари) тушунчаси пайдо бўлди.

17Хавфсиз SA ассоциациясини яратиш IPSec хавфсиз виртуал уланишлар ёки SA (Хавфсизлик ассоциациялари) га асосланган. АН ва ESP протоколлари узатилган маълумотларнинг хавфсизлигини таъминлаш ишларини бажариши учун, иккита алоқа шериги ўртасидаги алоқани ҳимоя қилиш учун иккита сўнгги нуқта ўртасида SA ҳосил бўлиши керак. SA ташкил этиш томонларнинг ўзаро аутентификациясидан бошланиши керак, чунки маълумотлар рухсатсиз фойдаланувчилар томонидан узатилса ёки қабул қилинса хавфсизлик чоралари маъносиз бўлиб қолади. SA ни ташкил этиш тартиб-қоидалари, агар томонларнинг ҳар бири ўз шериги айнан унинг ўзи эканлигига тўлиқ ишонган бўлса, оқланади. IKE-да томонлар аутентификациясини амалга оширишнинг иккита асосий усули мавжуд: Биринчи усул умумий сирдан фойдаланишга асосланган. Хавфсиз ассоциацияларни ташкил этувчи IPSec қурилмаларини ишга туширишдан олдин уларнинг маълумотлар базасида олдиндан ажратилган умумий сир жойлаштирилади. MD5 каби бир томонлама функцияга асосланган рақамли имзо, олдиндан баҳам кўрилган ушбу сирни аргумент сифатида ишлатиши контрагентнинг ҳақиқийлигини тасдиқлайди. Иккинчи усул электрон рақамли имзо технологиясидан ва Х.509 стандартидаги рақамли сертификатлардан фойдаланишга асосланган. Томонларнинг ҳар бири рақамли сертификатига шахсий калит билан имзо қўяди ва бу маълумотларни қарши томонга узатади. Агар имзоланган сертификат жўнатувчининг очиқ калити билан шифрланган бўлса, демак, бу маълумотларни тақдим этган жўнатувчи ҳақиқатан ҳам ушбу очиқ калитнинг мос келадиган шахсий калитига эга эканлигини тасдиқлайди. Аммо шуни таъкидлаш керакки, томоннинг ҳақиқийлигини текшириш учун сертификатнинг ўзи ҳам ҳақиқийлигини таъминлаш керак ва бунинг учун сертификат нафақат унинг эгаси, балки учдан бир қисми томонидан имзоланиши керак, яъни сертификат берган ва ишончли бўлган томон. IPSec архитектурасида ушбу учинчи томон сертификатлаштириш маркази деб номланади.

18Сертификатлаштириш маркази ( СА - Certification Authority ). Ушбу ваколат иккала томоннинг ҳам аутентификациясини таъминлашга қаратилган ва томонлар тўлиқ ишонишлари керак ва унинг очиқ калити бир-бирларини тасдиқлаш учун сертификатларидан фойдаланган ҳолда барча тугунларга маълум. Ўзаро аутентификациядан сўнг, ўзаро таъсир қилувчи томонлар тўғридан- тўғри хавфсиз канал параметрлари бўйича музокараларга ўтишлари мумкин. Танланадиган СА параметрлари қуйидагиларни аниқлайди:  маълумотларни узатиш хавфсизлигини таъминлаш учун фойдаланиладиган протокол;  АН протоколи ва унинг калитларини аутентификация қилиш алгоритми;  ESP протоколи томонидан ишлатиладиган шифрлаш алгоритми ва унинг калитлари;  криптографик синхронизация мавжудлиги ёки йўқлиги;  алмашинув сеанссини ҳимоя қилиш усуллари;  калитларни ўзгартириш частотаси ва бошқа бир қатор параметрлар.

SAD ва SPD маълумотлар базалари IPSec трафикни таъминлаш учун турли хил усулларни таклиф этади. IPSec-ни қўллаб-қувватлайдиган ҳар бир тугун икки хил маълумотлар базасидан фойдаланади:  • Хавфсизлик ассоциациялари маълумотлар базаси (SAD);  • Хавфсизлик сиёсати маълумотлар базаси (SPD) SA ташкил этишда икки алмашивчи томон ўзаро маълумотлар оқимини узатиш жараёнини тартибга солувчи бир қатор битимларни қабул қиладилар. Шартномалар параметрлар тўплами сифатида тақдим этилади. SA учун бундай параметрлар, хусусан, хавфсизлик протоколи (АН ёки ESP) тури ва ишлаш тартиби, шифрлаш усуллари, махфий калитлар, ассоциациядаги жорий пакет рақамининг қиймати ва бошқа маълумотлар ҳисобланади. SA таркибидаги хизмат маълумотларини бирлаштириш фойдаланувчига, масалан, турли хил “суҳбатдошлар” билан электрон алоқа учун мўлжалланган, турли хил ҳимоя синфларини шакллантириш имкониятини беради. Бошқача қилиб айтганда, SA конструкцияларидан фойдаланиш кўплаб виртуал хусусий тармоқларни қуриш учун йўл очади, уларнинг параметрлари билан ажралиб туради. Барча фаол ассоциацияларни аниқлайдиган жорий параметрлар тўплами SAD сифатида хавфсиз каналнинг иккала тугунларида сақланади. Ҳар бир IPSec тугунида иккита SAD мавжуд бўлиб, улардан бири ташқи ассоциациялар учун, иккинчиси эса кириш ассоциациялари учун.

Уланиш тартиби одатда уч босқичдан иборат. 1. Бошловчи тугун қабул қилиш тугунига уланиш таклифи билан хизмат пакетини юборади. 2. Агар қабул қилувчи тугун бунга рози бўлса, у жавобан бошқа хизмат пакетини юборади, уланишни тасдиқлайди ва ушбу мантиқий уланишнинг бир қисми сифатида ишлатилиши керак бўлган баъзи параметрларни таклиф қилади. Бу, масалан, уланиш идентификатори, тасдиқланмасдан юборилиши мумкин бўлган фреймлар сони ва бошқалар бўлиши мумкин. 3. Уланишнинг бошланғич тугмаси таклиф қилинадиган параметрлар унга мос келишини билдирадиган учинчи хизмат пакетини юбориб, уланишни ўрнатиш жараёнини тугатиши мумкин.

Хавфсизлик сиёсати IP-пакетни қайта ишлаш учун учта мумкин бўлган вариантларни тақдим этади:  пакетни ташлаб юбориш;  пакетни ўзгартиришсиз ўтказиш;  IPSec ёрдамида қайта ишлаш. Ҳар бир IPSec тугуни иккита SPD-ни қўллаб-қувватлаши керак, бири ташқи трафик учун, иккинчиси эса кириш трафиги учун, чунки турли йўналишларда ҳар хил ҳимоя талаб қилиниши мумкин. Трафикни ҳимоя қилиш жараёнини бошқариш учун SPD ва SAD базаларидан фойдаланиш ишончли протокол трафигининг датаграмма хусусияти билан мантиқий алоқани ўрнатишни таъминлайдиган хавфсиз ассоциациялар механизмини жуда мослашувчан тарзда бирлаштиришга имкон беради. SDP маълумотлар базасини мос равишда созлаш кўп сонли пунктлардан трафик учун битта умумий ассоциациядан тортиб, ҳар бир алоҳида дастурни мослаштирилган ассоциация билан ҳимоя қилишгача керакли ҳимоя ҳажмини танлашга имкон беради.

22Хавфсиз канал параметрларини муҳокама қилиш ва криптографик калитларни тақсимлаш Хавфсиз виртуал VPN-ларни қуришда, хавфсиз туннел параметрлари бўйича келишувлар ва криптографик калитларни тарқатиш функциялари муҳим рол ўйнайди. Ушбу функциялар ҳар бир крипто ҳимояланган канални шакллантириш пайтида амалга оширилиши керак. VPN-да ишлатиладиган криптографик калитларни фойдаланиш муддатига кўра қуйидаги турларга бўлиш мумкин:  нисбатан узоқ вақт давомида (бир ҳафтадан бир неча ойгача) қўлланиладиган асосий калитлар;  вақтинчалик калитлар, уларнинг ҳар бири битта хавфсиз канал ичидаги маълумотларни крипто ҳимояси учун яратилган. Асосий калитлар томонларнинг аутентификациясини, шунингдек тарқатилган вақтинчалик калитларнинг криптографик ҳимоясини таъминлайди. Асосий калитлар хавфсиз виртуал уланишлар шаклланишидан анча олдин тақсимланиши керак. Асосий криптографик калитларни тақсимлашнинг энг юқори самарадорлиги ассиметрик криптотизимлардан фойдаланилганда, фақат очиқ калитларни тарқатиш керак бўлганда эришилади.

Компютер тармоғидаги иккита тугун ўртасида хавфсиз виртуал туннел қуришнинг иккита асосий усули мавжуд:  ҳар қандай дастурий таъминот томонидан ўрнатилган ҳар бир уланиш учун хавфсиз канални шакллантириш;  тармоқ тугунлари ўртасида умумий хавфсиз канални яратиш ва ушбу канал ичида алоҳида хавфсиз уланишларни яратиш [47]. Ҳар бир уланиш учун хавфсиз виртуал канални шакллантириш қуйидаги босқичларни ўз ичига олади:  томонлардан бирига сўров юбориш ва хавфсиз виртуал канал яратиш тўғрисида келишувга эришиш;  илгари тарқатилган асосий шифрлаш калитлари ёки берилган пароллар ёрдамида амалга оширилган томонларнинг аутентификацияси;  вақтинчалик калитларни тарқатиш ва хавфсиз канал параметрларини келишиш. Одатда, иккинчи ва учинчи қадамлар бир-бири билан бирлаштирилади ва аутентификация вақтинчалик калитларни тарқатиш билан биргаликда амалга оширилади.

24IPSec воситаларини амалга ошириш хусусиятлари Юқорида АН ёки ESP протоколлари узатиладиган маълумотларни икки режимда ҳимоя қилиши мумкинлиги айтилган: IP-пакетлар, шу жумладан уларнинг сарлавҳалари билан тўлиқ ҳимояланган туннел ва фақат IP- пакетларнинг таркибини ҳимоя қиладиган транспорт. Асосий режим - бу туннел режими . Туннел режимида бошланғич пакет янги IP-пакетга жойлаштирилади ва тармоқ орқали маълумотларни узатиш янги IP-пакетнинг сарлавҳаси асосида амалга оширилади. Ушбу режимда ишлаётганда ҳар бир оддий IP-пакет бутунлай IPSec конвертида криптографик таъминланган шаклда жойлаштирилади ва у ўз навбатида бошқа хавфсиз IP-пакетга жойлаштирилади. Туннел режими одатда маршрутизатор ёки тармоқлараро экран (ТЭ) бўлиши мумкин бўлган махсус ажратилган хавфсизлик шлюзларида амалга оширилади. Ушбу шлюзлар ўртасида хавфсиз IPSec туннеллари ҳосил бўлади. Туннелнинг нариги томонида қабул қилингандан сўнг, ҳимояланган IP- пакетлар “очилади” ва қабул қилинган бошланғич IP-пакетлар стандарт қоидаларга мувофиқ қабул қилувчи маҳаллий тармоқ компьютерларига йўналтирилади. IP-пакетларнинг туннеллари туннел эгалари бўлган маҳаллий тармоқларда оддий компьютерлар учун тўлиқ шаффофдир. Охирги тизимларда туннел режими масофавий ва мобил фойдаланувчиларни қўллаб- қувватлаш учун ишлатилиши мумкин. Бундай ҳолда, ушбу фойдаланувчиларнинг компьютерларида IPSec туннел режимини амалга оширадиган дастур ўрнатилган бўлиши керак

IPSec-нинг асосий дастурлари Туннел ёки транспорт режимидан фойдаланиладими, сизнинг маълумотларингизни ҳимоя қилиш талабларига ва IPSec-ни бошқарадиган хостнинг ролига боғлиқ. Хавфсиз канални тугатадиган тугун хост (сўнгги тугун) ёки шлюз (оралиқ тугун) бўлиши мумкин. Шунга кўра, IPSec-дан фойдаланишнинг учта асосий схемаси мавжуд: 1) хост-хост; 2) шлюз-шлюз; 3) мезбон шлюз. 1-схемада тармоқнинг иккита сўнгги тугунлари, яъни Н1 ва Н2 хостлари ўртасида хавфсиз канал ёки шу нуқтаи назардан бир хил бўлган SA ўрнатилади (9.4-расм). Бундай ҳолда, IPSec протоколи сўнгги тугунда ишлайди ва унга келган маълумотларни ҳимоя қилади. Схема 1. “Хост-хост”

• IPSec-ни қўллаб-қувватлайдиган хостлар учун транспорт режимига ҳам, туннел режимига ҳам рухсат берилади. • 2-схема бўйича, хавфсизлик оралиғи SG1 ва SG2 деб номланган иккита оралиқ тугун ўртасида хавфсиз канал ўрнатилади, уларнинг ҳар бири IPSec протоколини ишлайди Схема 2. “Шлюз-шлюз”

Хавфсиз алоқа хавфсизлик шлюзлари орқасидаги тармоқларга уланган ҳар қандай иккита тугун ўртасида бўлиши мумкин. IPSec-ни қўллаб-қувватлаш учун сўнгги нуқталар талаб қилинмайди; улар ўзларининг трафикларини ишончли корхона интранетлари орқали хавфсиз ҳолда ўтказадилар. Умумий тармоққа йўналтирилган трафик ўз номидан ҳаракат қилиб, IPSec билан ҳимоя қиладиган хавфсизлик шлюзидан ўтади. Шлюзларга фақат туннел иш режимидан фойдаланишга рухсат берилади, гарчи улар транспорт режимини қўллаб-қувватласа ҳам, бу ҳолда бу самарасиз.IPSecХост  Н1IPSecШлюз  SGInternetSA, ҳимояланган каналIntranetIPSecХост  Н2SA, ҳимояланган канал Хавфсиз масофадан кириш билан 3-хост-шлюз схемаси тез-тез ишлатилади Схема 3. Хост-хост канали томонидан тўлдирилган “шлюз-шлюз”

IPSec қуйидагиларни таъминлайди:  аутентификация - пакетлар сизнинг шерикингиз, яъни умумий сирнинг эгаси томонидан юборилганлигининг исботи;  яхлитлик - пакетдаги маълумотларни ўзгартиришнинг иложи йўқлиги;  махфийлик - узатилган маълумотларни ошкор қилишнинг мумкин эмаслиги;  ишончлилик - калитларни бошқариш IKE протоколи фақат пакетни қабул қилувчи ва жўнатувчига маълум бўлган умумий сирни ҳисоблаб чиқади;  туннеллаш – корхонанинг махаллий тармоқ топологиясини тўлиқ маскалаш. IPSec хавфсизлигининг афзалликлари

Похожие

Транспорт сатҳида маълумотларни ҳимоялаш

Тармоқ хавфсизлиги тушунчаси ва унинг моҳияти

Тармоқ хавфсизлигига замонавий таҳдидлар

Физик сатҳда компьютер тармоғини ҳимоялаш

Тармоқлараро экран технологиялари