Э. Таненбаум - Компьютерные сети. (4-е издание) (DJVU) (1130092), страница 235
Текст из файла (страница 235)
В режиме туннелирования весь 1Р-пакет вместе с заголовком вставляется внутрь нового 1Р-пакета с совершенно новым заголовком. Этот режим хорош тогда, когда туннель заканчивается где-нибудь вне конечного пункта. В некоторых случаях концом туннеля является шлюз, обеспечивающий безопасность, например, корпоративный брандмауэр.
В этом режиме брандмауэр вставляет и извлекает пакеты, проходящие через него в разные стороны. При такой организации машины ЛВС компании гарантированно будут обслужены по стандарту 1рзес. Об этом совершенно не приходится беспокоиться: все заботы берет на себя брандмауэр. Еше режим туннелирования полезен, когда несколько ТСР-соединений объединяются вместе и обрабатываются в виде единого шифрованного потока, поскольку в данном случае взломщик не может узнать, кто и кому передает пакеты, а также в каком количестве.
А ведь иногда даже объем графика, передаваемого одним лицом другому, является ценной информацией. Например, если во время военного кризиса трафик между Пентагоном и Белым домом резко снижается и при этом так же резко растет трафик между Пентагоном и какой-нибудь военной базой в Колорадо, перехватчик может сделать из этого далеко идущие выволы.
Изучение структуры потока по проходящим пакетам называется анализом трафика. Если используется туннелированне, такой анализ становится задачей весьма сложной. Нелостаток режима туннелирования заключается в том, что приходится расширять заголовок 1Р-пакетов, за счет чего заметно возрастает суммарный размер пакетов. В транспортном режиме размер пакетов изменяется незначительно.
Первый из новых заголовков называется заголовком идентификации (АН— Ацгйепг!саг!оп Неайег). С его помощью проверяется целостность данных и выполняется защита от взлома путем повторной передачи. Однако он не имеет никакого отношения к секретности (то есть шифрации данных). Применение АН в транспортном режиме показано на рис. 8.23, В стандарте 1рч4 он располагается 874 Глава 8, Безопасность в сетях между заголовком 1Р (вместе со всеми необязательными полями) и заголовком ТСР, В 1рчб это просто еше один дополнительный заголовок. Так он и воспринимается. Формат АН действительно очень близок к формату дополнительного заголовка 1Рчб. К полезной нагрузке иногда добавляют заполнение, чтобы достичь определенной длины, необходимой алгоритму идентификации. Это показано на рисунке, Идентифицируется Полезная нагрузка е заполнение Заголовок!Р ДН Заголовок ТСР Рис.
6.23. Заголовок идентификации !Рзес в транспортном режиме дпя!Рча Рассмотрим заголовок АН. Поле Следующий заголовок хранит предыдушее значение, которое в поле Протокол заголовка 1Р ранее было заменено на 51, чтобы показать, что далее следует заголовок АН. Обычно здесь встречается код для ТСР (6). Поле Длина полезной нагрузки хранит количество 32-разрядных слов заголовка АН минус 2, Поле Указатель параметров безопасности — это идентификатор соединения.
Он вставляется отправителем и ссылается на конкретную запись в базе данных у получателя. В этой записи содержится общий ключ и другая информация данного соединения. Если бы этот протокол был придуман!Т(), а не 1ЕТР, это поле, скорее все~о, называлось бы Номером виртуального канала. Поле Порядковый номер применяется для нумерации всех пакетов, посылаемых по защищенной связи. Все пакеты получают уникальные номера, даже если они посылаются повторно. Имеется в виду, что повторно передаваемый пакет имеет номер, отличный от номера оригинального пакета (даже если порядковый номер ТСР тот же самый).
Это поле служит для предотвращения взлома путем повторной передачи. Порядковые номера никогда не повторяются. Если же окажутся использоваными все 2га номера, для продолжения общения устанавливается новая защищающая связь. Наконец, поле переменной длины Данные идептификации содержит цифровую подпись, вычисляемую относительно полезной нагрузки. При установке зашишаюгцей связи стороны договариваются об используемом алгоритме генерации подписей.
Чаше всего здесь не применяется шифрование с открытыми ключами, так как все известные алгоритмы этого типа работают слишком медленно, а пакеты необходимо обрабатывать с очень большой скоростью. Протокол 1рзес основан на шифровании с симметричными ключами, поэтому перед уста- Защита соединений гз76 павкой защищающей связи отправитель и получатель должны договориться о значении общего ключа, применяемого при вычислении подписи. Один из простейших способов заключается в вычислении хэш-функции для пакета ц общего ключа.
Отдельно общий ключ, конечно, не передается. Подобная схема называется НМАС (НазЬед Меззайе Ац(Ьепг(сайоп Сог(е — код идентификации хэшированного сообщения). Вычисление этого кода выполняется гораздо быстрее, чем последовательный запуск ЯНА-1 и КБА. Заголовок АН ие позволяет шифровать данные. Его основная польза выявляется, когда важна проверка целостности, но не нужна секретность.
Стоит отметить, что при проверке целостности прн помощи АН охватываются некоторые поля заголовка 1Р, в частности, те из них, которые не изменяются при прохождении пакета от маршрутизатора к маршрутизатору. Поле Время жизни, например, меняется при каждой пересылке через маршрутизатор, поэтому его нельзя охватить при проверке целостности. Однако 1Р-адрес источника охватывается, тем самым предотвращается возможность его подмены взломщиком.
Альтернативой заголовку 1Рзес служит заголовок ЕЯР (Епсарзц!айпй ЯесцНгу Рау!оаг( — инкапсулированная защищенная полезная нагрузка). Как показано на рис. 8.24, этот заголовок может применяться как в транспортном режиме, так и в режиме туннелирования. Ф ыг — — 3 Заголовок Заголовок Заюловок Полезная нагрузка+ Идентификация )Р ЕЗР ТСР заполнение (НМАС) М вЂ” — Зашифровано — ~ Новый Заголовок Старый Заголовок Полезная нагрузка + Идентификация заголовок (Р ЕЗР заголовок (Р ТСР заполнение (НМАС) Рис. В. 24. ЕЗР в транспортном режиме (а); ЕЗР в режиме туннелироввния (б) Заголовок ЕБР состоит из двух 32-разрядных слов: Указателя параметров безопасности и Порядкового номера.
Мы их уже встречали в заголовке АН. Третье слово, которое обычно следует за ними, однако технически не является частью заголовка, — это Векгпар инициализации (если только не применяется пустой алгоритм шифрования, тогда это поле опускается). ЕЯР, как и АН, обеспечивает проверку целостности при помощи НМАС, однако вместо того, чтобы включать хэш в заголовок, его вставляют после поля полезной нагрузки. Это видно на рис.
8.24. Такое расположение полей дает преимущество при аппаратной реализации метода. Оно заключается в том, что НМАС может подсчитываться во время передачи битов полезной нагрузки по сети и добавляться к ним в конец. Именно поэтому в ЕтЬегпет и других стандартах локальных сетей циклический контроль избыточности вставляется в концевик, а не в заголовок. При применении заголовка АН пакет приходится буферизировать и вычислять подпись, только после его можно отправлять.
Это потенциаль- 876 Глава 8, Безопасность в сетях но приводит к уменьшению числа пакетов, которые можно передать за единицу времени. Казалось бы, если ЕЯР умеет делать все то же самое, что и АН, и даже больше, причем он еще и гораздо эффективнее, тогда зачем мучиться с АН? Причины этого в основном исторические. Изначально заголовок АН обеспечивал только проверку целостности, а ЕЯР— только секретность.
Позднее ЕБР научили использовать для проверки целостности, но разработчики АН не хотели, чтобы он канул в Лету после всей той работы, которую они проделали. Единственный аргумент в пользу АН заключается в том, что с его помощью можно частично проверять заголовок 1Р, чего не умеет ЕЯР. И все же это аргумент довольно слабый. Еще один сомнительный аргумент состоит в том, что система, поддерживающая АН, но не поддерживающая ЕЯР, возможно, будет иметь меньше проблем при получении лицензии на экспорт, поскольку этот заголовок не имеет отношения к секретности и шифрованию.
Похоже, что АН со временем все-таки исчезнет с горизонта. Брандмауэры Возможность соединять любые компьютеры друг с другом в некоторых случаях является достоинством, а в других, наоборот, недостатком. Возможность бродить по Интернету доставляет много радости домашним пользователям. Менеджерам отдела безопасности корпораций эта возможность кажется кошмаром.
Большинство компаний располагает огромными объемами конфиденциальной информации, размещенной на компьютерах, подключенных к сети, — коммерческие тайны, планы развития производства, рыночные стратегии, аналитические отчеты финансового состояния и т.
д. Раскрытие этих сведений перед конкурентами может иметь ужасные последствия. Помимо опасности утечки информации наружу, имеется опасность проникновения вредной информации, такой как вирусы, черви и прочей цифровой заразы, способной взламывать секреты, уничтожать ценные данные, на борьбу с которой уходит масса времени сетевых администраторов. Часто эту инфекпию заносят беззаботные сотрудники, желающие поиграть в новую модную компьютерную игру, Таким образом, требуются специальные средства, удерживающие «доброкачественнуюь информацию внутри, а «вредную» — снаружи.
Один цз способов состоит в применении 1Рэес. Этот метод защищает данные прн их пересылке. Однако шифрование не спасает от вирусов и хакеров, способных проникнуть в локальную сеть. Помочь защитить сети от нежелательного проникновения снаружи может установка брандмауэров, к рассмотрению которых мы сейчас обратимся. Брандмауэры представляют собой современную реализацию средневекового принципа обеспечения безопасности.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
