Олифер В.Г., Олифер Н.А. - Компьютерные сети. Принципы, технологии, протоколы (4-ое изд.) - 2010 - обработка (953099), страница 226
Текст из файла (страница 226)
Для выполнения этих функций протокол АН использует специальный заголовок (рис. 24.33). О 8 18 31 Рис. 24.33. Структура заголовка протокола АН В поле следуюе(его заголовка (пехс Ьеаг(ег) указывается код протокола более высокого уровня, то есть протокола, сообщение которого размещено в поле данных 1Р-пакета.
Скорее всего, им будет один из протоколов транспортного уровня (ТСР или 1) 1)Р) или протокол 1СМР но может встретиться и протокол ЕБР, если он используется в комбинации с АН. В поле длины полезной нагрузки (рау)оад 1епягЬ) содержится длина заголовка АН. Индекс параметров безоласноали (Бесцйгу Рагашегегз 1пдех, БР1) служит для связи пакета с предусмотренной для него безопасной ассоциацией.
Немного позже мы обсудим его более подробно. Поле порядкового номера (Бесу~епсе ХшпЬег, 5Х) указывает на порядковый номер пакета и применяется для защиты от его ложного воспроизведения (когда третья сторона пытается повторно использовать перехваченные защищенные пакеты, отправленные реально аугентифицированным отправителем). Отправляющая сторона последовательно увеличивает значение этого поля в каждом новом пакете, передаваемом в рамках данной ассоциации, так что приход дубликата обнаружится принимающей стороной (если, конечно, в рамках ассоциации будет активирована функция защиты от ложного воспроизведения).
Однако в любом случае в функции протокола АН не входит восстановление утерянных и упорядочивание прибывающих пакетов — он просто отбрасывает пакет, когда обнаруживает, что аналогичный пакет уже получен. Чтобы сократить требуемую для работы протокола буферную память, используется механизм скользящего окна — на предмет дублирования проверяются только те пакеты, чей номер находится в пределах окна. Окно обычно выбирается размером в 3е или 64 пакета. Поле данньст аутентификации (анГЬепг1саг(оп бага), которое содержит так называемое значение проверки целостности (1пгейпгу СЬесЬ Ча1це, 1СЧ), служит для аутентификации и проверки целостности пакета.
Это значение является дайджестом, вычисляемым с помощью одной из двух обязательно поддерживаемых протоколом АН односторонних функций шифрования МП5 или БАН-1, но может использоваться и любая другая функ- 896 Глава 24. Сетевая безопасность ция, о которой стороны договорились в ходе установления ассоциации. При вычислении дайджеста пакета в качестве параметра ОФШ выступает симметричный секретный ключ, который был задан для данной ассоциации вручную или автоматически с помощью протокола 1КЕ. Так как длина дайджеста зависит от выбранной ОФШ, зто поле имеет в общем случае переменный размер. Протокол АН старается охватить при вычислении дайджеста как можно большее число полей исходного 1р-пакета, но некоторые из них в процессе передачи пакета по сети меняются непредсказуемым образом, позтому не могут быть включены в аутентифицируемую часть пакета. Например, целостность значения поля времени жизни (ТТЕ) в приемной точке канала оценить нельзя, так как оно уменьшается на единицу каждым промежуточным маршрутизатором и никак не может совпадать с исходным.
Местоположение заголовка АН в пакете зависит от того, в каком режиме — транспортном или туннельном — сконфигурирован защищенный канал. Результирующий пакет в транспортном режиме выглядит так, как показано на рис. 24.34. Рис. 24.34. Структура! Р-пакета, обработанного протоколом АН в транспортном режиме При использовании туннельного режима, когда шлюз 1РБес принимает проходящий через него транзитом исходящий пакет и создает для него внешний 1Р-пакет, протокол АН защищает все поля исходного пакета, а также неизменяемые поля нового заголовка внешнего пакета (рис.
24.35). Рис. 2 $. 35. Структура 1Р-пакета, обработанного протоколом АН в туннельном режиме Протокол ЕЗР Протокол ЕБР решает две группы задач. К первой относятся задачи обеспечения аутентификации и целостности данных на основе дайджеста, аналогичные задачам протокола АН, ко второй — защита передаваемых данных путем их шифрования от несанкционированного просмотра. Как видно на рис. 24.36, заголовок ЕЯР делится на две части, разделяемые полем данных.
Первая часть, называеу(ая собственно загаловкан ЕЮР, образуется двумя полями (ЗР1 и ЯХ), назначение которых аналогично одноименным полям протокола АН, и размещается перед полем данных. Остальные служебные поля протокола ЕЯР, называемые концевнкон Е5Р, расположены в конце пакета. 897 Протоколы защищенного канала.! Рвес Зашифрованная часть! Р-пакета Рнс. 24.36. Структура! Р-пакета, обработанного протоколом ЕЗР в транспортном режиме Два поля концевика — следующего заголовка и данных аутентификации — также аналогичны полям заголовка АН.
Поле данных аутентификации отсутствует, если при установлении безопасной ассоциации принято решение не использовать возможностей протокола ЕБР касающихся обеспечения целостности. Помимо этих полей концевик содержит два дополнительных поля — заполнителя и длины заполниглеля. Заполнитель может понадобиться в трех случаях.
Во-первых, для нормальной работы некоторых алгоритмов шифрования необходимо, чтобы шифруемый текст содержал кратное число блоков определенного размера. Во-вторых, формат заголовка ЕЕР требует, чтобы поле данных заканчивалось на границе четырех байтов.
И наконец, заполнитель можно использовать, чтобы скрыть действительный размер пакета в целях обеспечения так называемой частичной конфиденциальности трафика. Правда, возможность маскировки ограничивается сравнительно небольшим объемом заполнителя — 255 байт, поскольку большой объем избыточных данных может снизить полезную пропускную способность канала связи. На рис. 24.36 показано размещение полей заголовка ЕБР в транспортнаи режиме.
В этом режиме ЕЯР не шифрует заголовок 1р-пакета, иначе маршрутизатор не сможет прочитать поля заголовка и корректно осуществить продвижение пакета между сетями. В число шифруемых полей не попадают также поля БР! и БХ, которые должны передаваться в открытом виде для того, чтобы прибывший пакет можно было отнести к определенной ассоциации и предотвратить ложное воспроизведение пакета. Зашифрованная часть!Р-паквтв Рно. 24 2 у. Структура! Р-пакета, обработанного протоколом ЕЗР в туннельном режиме В шуннсльном режиме заголовок исходного 1Р-пакета помещается после заголовка ЕБР и полностью попадает в число защищаемых полей, а заголовок внешнего 1Р-пакета протоколом ЕЗР не защищается (рис. 24.37). 898 Глава 24.
Сетевая безопасность Базы данных ЗА0 И ЗР0 Итак, технология 1РБес предлагает различные методы защиты графика. Каким же образом протокол 1РБес, работающий на хосте или шлюзе, определяет способ зашиты, который он должен применить к трафику? Решение основано на использовании в каждом узле, поддерживающем 1РБес, двух типов баз данных: (3 безопасных ассоциаций (Бесийгу Аззос(ат1опз 1)агаЬэзе, БА1)); Я политики безопасности (Беспйсу Ро1!су 1)агаЬазе, БР()). При установлении безопасной ассоциации, как и при любом другом логическом соединении, две стороны принимают ряд соглашений, регламентирующих процесс передачи потока данных между ними. Соглашения фиксируются в виде набора параметров. Для безопасной ассоциации такими параметрами являются, в частности, тип и режим работы протокола защиты (АН или ЕБР), методы шифрования, секретные ключи, значение текущего номера пакета в ассоциации и другая информация.
Наборы текущих параметров, определяющих все активные ассоциации, хранятся на обоих оконечных узлах защищенного канала в виде баз данных безопасных ассоциаций (БА()). Каждый узел 1РБес поддерживает две базы БА() — одну для исходящих ассоциаций, другую для входящих. Другой тип базы данных — база данных политики безопасности (БР()) — определяет соответствие между 1Р-пакетами и установленными для них правилами обработки. Записи БРП состоят из полей двух типов — полей селектора пакета и полей политики зюциты для пакета с данным значением селектора (рис.
24.38). Селектор в БР() включает следующий набор признаков, на основании которых можно с большой степенью детализации выделить защищаемый поток: 13 1Р-адреса источника и приемника могут быть представлены как в виде отдельных адресов (индивидуальных, групповых или широковещательных), так и диапазонами адресов, заданными с помощью верхней и нижней границ либо с помощью маски; 1.2 порты источника и приемника (то есть ТСР- или Ш)Р-порты); С) тип протокола транспортного уровня (ТСР, 1ЛЭР); (3 имя пользователя в формате 1)1чБ или Х.500; С) имя системы (хоста, шлюза безопасности и т. п.) в формате 1)ЫБ или Х.500.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
