Средства защиты информации в ЛВС

     Вы  можете разместить во внутренней сети некоторые компоненты Tivoli Identity Manager (например, сервер базы данных или сервер каталога), чтобы максимально повысить пропускную способность или доступность  тех или иных компонентов и  приложений. В подобных случаях удостоверьтесь, что при обращении к этим компонентам и при обмене данными между компонентами не будет нарушаться защита.

     Управляемая сеть (защищенная зона)

     В защищенной зоне доступ строго контролируется и предоставляется только ограниченному  числу авторизованных пользователей. Право на доступ к одной из областей этой зоны может не распространяться на другие ее области.

     В зависимости от ваших требований к защите, вы можете создать защищенную зону, которая позволит определенным сотрудникам получать доступ к тем  ли иным функциям и задачам Tivoli Identity Manager. 

 

     На  Рис. показано, как можно внедрить Tivoli Identity Manager в корпоративной среде, в которой существуют зоны с разными степенями защиты. На этой иллюстрации продукт по управлению доступом (например, Tivoli Access Manager) контролирует доступ к функциям Tivoli Identity Manager, предоставляемым через Web-сервер. В этом сценарии сервер Tivoli Identity Manager сохраняет данные на внутренних серверах в зонах с разной степенью защиты. В этом случае для защиты потока данных на линии связи должны использоваться шифрование и аутентификация. 

• Методы  аутентификации

     Сначала определимся с тем, что такое  идентификация и насколько это  однозначное понятие. В том контексте, в котором мы рассматриваем безопасность доступа к данным, существуют два  вида идентификации объекта:

     • определение настоящей identity, т. е. кто или что такое объект на самом деле, в реальной жизни;

     • определение электронной identity, т. е. подлинности того, кто произвел те данные, к которым должен быть получен доступ.

     Если  говорить о реальной ситуации, то сегодня  любой человек имеет гораздо  больше двух электронных «сущностей»: например, все мы имеем несколько  адресов электронной почты –  для рабочей переписки (корпоративный e-mail), какой-нибудь бесплатный почтовый аккаунт, свой номер в ICQ и пр. Жизненно важно использовать каждую электронную  «сущность» персоны в соответствии с теми задачами, для которых она  была создана: вести рабочую переписку  только с рабочего электронного адреса, отвечать малознакомым друзьям по переписке  с бесплатного аккаунта и т. д. Это делает процесс идентификации  электронной личности логичным: моя  цифровая подпись однозначно сопоставляет мою электронную «сущность» тем  данным, что я произвел. Сопоставление  реальной identity персоны и электронной  происходит во время ввода логина и пароля на сервер электронной почты, при использовании SecurID или смарт-карт. Именно так и происходит аутентификация.

     Профессионалы информационной безопасности выделяют три основных способа аутентификации:

     • аутентификация по фактору собственности, или, проще, «то, что у меня есть с собой»: кредитная карта, магнитный пропуск и пр.;

     • аутентификация по фактору индивидуального знания – «то, что я знаю»: пароли, PIN-коды, номера карточки социального страхования и пр.;

     • аутентификация по биометрическому фактору – «то, что я есть на самом деле»: отпечатки пальцев, голосовые метки и пр.

     Аутентификация, базирующаяся на методе собственности, наиболее уязвима для взлома со стороны  злоумышленников: кредитные карточки и иные предметы аутентификации могут  быть утеряны или похищены. Обычно такой тип аутентификации стараются  комбинировать с каким-то вторичным  способом, например подписью.

     При аутентификации по методу индивидуального  знания даже неспециалист может назвать  явные угрозы, которые сразу приходят на ум: пароль можно по ошибке кому-нибудь назвать, записать на бумаге и утерять  ее и т. д. Специалист пойдет дал средства коммуникации и там узнать интересующую информацию, а также использовать для взлома пароля программные и аппаратные средства.

     В конце концов человека можно запугать – это самый чудовищный, но банальный  способ узнать пароль.

     Итак, что же у нас остается? Биометрика. Биометрические методы аутентификации многие специалисты считают сегодня  самыми надежными по уровню безопасности. Однако биометрика пока достаточно дорогое  удовольствие. Тем не менее по статистике в настоящее время биометрические методы аутентификации применяются  там, где цена взлома слишком велика: корпоративный сегмент с высоким  уровнем защиты – учреждения, ведающие государственной тайной, финансами  и т. д. В частном секторе, где  принято считать каждый рубль  и – что греха таить –  экономить на безопасности, пока используются первые два метода.

     Как вы могли убедиться, у каждого  метода аутентификации при явных  преимуществах есть очевидные недостатки. Такая ситуация диктует потребителю  и специалистам по информационной безопасности вывод: комбинируйте! Возможна комбинация двух из трех существующих методов, что  обеспечит более надежную защиту от взлома. Например, в розничной  торговле наиболее распространено сочетание  процессингового метода и метода индивидуального знания. Мы можем  наблюдать также комбинацию этих методов каждый раз, когда обналичиваем деньги через банкомат.

     Во  многих приложениях технология открытых ключей (public key technology) представляется пользователю как некий «новый вид» аутентификации. То же можно сказать и об аутентификации, основанной на применении сертификатов. На самом деле обе аутентификационные схемы также основаны на комбинированном  подходе, предусматривающем использование  двух факторов: закрытого ключа, находящегося в «собственности» пользователя, и пароля, обеспечивающего доступ к ключу.

     Каждый  специалист по информационной безопасности сталкивается с проблемой, связанной  с хранением закрытого ключа  на рабочей станции пользователя, пусть даже этот ключ и защищен  паролем. Действительно, «фактор знания»  задействован полностью, но чтобы быть уверенным в полноценном использовании  «фактора собственности», необходимо создать условия, при которых  закрытый ключ нельзя будет скопировать  или экспортировать. Путь к настоящей  двухфакторной аутентификации открывает  использование смарт-карт или других съемных носителей. Такой сценарий позволяет задействовать оба  фактора полностью: безопасно хранимый ключ и пароль, обеспечивающий доступ.

     Выбор схемы аутентификации – достаточно сложная задача, и объем средств, затрачиваемых на организацию доступа, должен соответствовать стоимости информации, которую необходимо защитить. Однако следует четко представлять себе губительные последствия выбора слишком простой или неэффективной схемы аутентификации на всех уровнях модели информационной безопасности. 

• Виртуальные сети VPN

     Современный бизнес с его территориально разделенный  структурой не может успешно функционировать  без надежных средств коммуникаций. Проведение собственных каналов  связи чаще всего необоснованно  дорого для большинства компаний, особенно когда филиалы, офисы, производства или удаленные сотрудники распределены по другим городам регионам. Решить эту проблему позволяет услуга - виртуальная частная сеть VPN. Главные  преимущества:

• простота и невысокая цена установки, относительно физических сетей;
• масштабируемость и удобство администрирования;
• высокий уровень надежности и безопасности;

 

     Примеры подключения VPN:

     

     Организация единой защищенной сети разных филиалов и офисов в рамках города, региона  и даже страны является доступной  для любой компании благодаря  услуге VPN (Virtual Private Network - виртуальная  частная сеть), предоставляемой компанией Telecom TZ. Данная услуга позволяет объединить удаленные сети или отдельные  рабочие станции в единую выделенную инфраструктуру с высоким уровнем  безопасности на основе уже существующих сетей (собственные каналы провайдера, сеть «Интернет»). Технология VPN  позволяет  снизить затраты на создание корпоративных  сетей. VPN сети включают в себя передачу данных, телефонию и видео и упрощают процесс администрирования, распределения телефонных звонков, организации видео-аудио связи и использования локальных сетевых ресурсов в прозрачном режиме из любой точки.

     Выгода  этого типа сети состоит в том, что заказчик может выбирать в  зависимости от потребностей соотношение  уровня безопасности, скорости передачи и стоимости услуг провайдера. QoS (Quality of Service – качество обслуживания) регламентирует  качество обслуживание трафика в зависимости от типа передаваемых данных и пожеланий  компании клиента. Скорость передачи данных может варьироваться до 100 Мбит/с.

     Простота  использования VPN заключается в возможности  объединить сети и удаленных пользователей  с разнородной сетевой организацией. Провайдер организует прохождение  трафика на основе технологий Ethernet и MPLS с гарантированным уровнем  качества и безопасности от шлюза  к шлюзу, организующих дальнейшую расшифровку  данных и распределения трафика  внутри локальной сети в соответствии с ее спецификацией. 

     5. Структурная схема защиты от НСД

     Абонентское шифрование

     Из  наиболее известных программ абонентского шифрования можно выделить различные  версии “Вербы” и программы для  плат серии “Криптон”. Место последних  в составе программных средств показано на рис. Можно выделить три уровня: собственно шифрующее средство (программное в виде драйвера или аппаратное в виде платы), библиотеку модулей и приложения.

     Система обеспечивает сжатие документов, аутентификацию автора, целостность документов, конфиденциальность передаваемой информации. В минимальной  конфигурации представляет собой программу  обработки документов перед передачей  и после приема. Передача и прием  осуществляется стандартными программами  электронной почты, развернутыми ранее.

     Стандартная конфигурация системы включает:

• программу центрального пункта, обеспечивающую регистрацию абонентов, создание и сопровождение списков зарегистрированных абонентов;
• программу абонентского пункта;
• программу ведения журнала учета проведенных операций;
• систему защиты ПК от НСД “Криптон-Вето” (при необходимости);
• устройство считывания информации со смарт-карт и Touch Memory (при необходимости).

 

     

     Структурная схема средств криптографической защиты данных Фирмы АНКАД 

     Для работы с системой каждый абонент  снабжается секретным и открытым ключами. Секретный ключ абонента хранится на дискете или смарт-карте и  запрашивается при запуске программы  абонентского или центрального пунктов. Открытый ключ абонента направляется на регистрацию (сертификацию) на центральный  пункт сети. В регистрационном  центре открытые ключи всех абонентов  с сертификатами помещаются в  базу данных зарегистрированных абонентов. В процессе обработки полученного  по почте документа автоматически  проверяется наличие абонента в  базе зарегистрированных абонентов. Целостность  документов подтверждается электронной  подписью, помещаемой в конец передаваемых документов. При формировании подписи используется текст документа и секретный ключ абонента.

     При подготовке документов к передаче автоматически  осуществляется:

• запрос из базы данных открытых ключей зарегистрированных абонентов, которым направляются документы;
• электронная подпись передаваемых документов;
• сжатие документов в один файл;
• генерация сеансового ключа;
• шифрование файла с документами на сеансовом ключе;
• вычисление парно-связных ключей (на основе секретного ключа отправителя и открытых ключей получателей) и шифрование на них сеансового ключа.

     Таким образом, прочитать данный документ может только абонент, обладающий соответствующим  секретным ключом. После приема автоматически  выполняются обратные действия:

• вычисление парно-связного ключа (на основе секретного ключа получателя и открытого ключа отправителя с автоматической проверкой сертификата ) и расшифрование сеансового ключа;
• расшифрование файла с помощью полученного сеансового ключа;
• разархивирование документов;
• проверка электронной подписи полученных документов.

    Все действия программы-архиватора и результаты протоколируются в специальном  журнале в зашифрованном виде.

    В случае использования чисто программного шифратора в частично контролируемой среде без надежной системы ЗНСД (а таковой для перечисленных  в начале статьи ОС сегодня не существует), гарантировать целостность секретных  ключей невозможно. Они могут быть перехвачены в процессе их ввода  или из оперативной памяти. Но атаковать  документ путем перехвата его  в сети и последующего анализа  уже сложно в случае, если транспортная система изолирована от компьютера, на котором установлена система  абонентского шифрования. Если же использовать в качестве шифратора плату, и  все ключи пропускать через оперативную  память в закрытом виде, то можно  обеспечить секретность ключей и  в частично контролируемой среде. Защититься же от попыток ознакомления с информацией  и от попыток несанкционированного использования ключей в момент работы приложения лицами, имеющими доступ на компьютер, с помощью одной системы  абонентского шифрования без надежной системы ЗНСД практически невозможно. Это вытекает из того, что приложение абонентского шифрования не изолировано от воздействия ненадежной ОС. Однако даже абонентское шифрование позволяет