Службы безопасности сети

Службы безопасности сети указывают направления нейтрализации возможных угроз безопасности. Службы безопасности находят свою практическую реализацию в различных механизмах безопасности. Одна и та же служба безопасности может быть реализована с использованием разных механизмов безопасности или их совокупности.

Различия в составе и особенностях служб безопасности. Протоколы информационного обмена в сетях делятся на две большие группы: типа виртуального соединения и дейтаграммные, в соответствии с которыми сети также принято делить на виртуальные и дейтаграммные.

В первых, виртуальных, передача информации между абонентами организуется по так называемому виртуальному каналу и происходит в три этапа: создание канала (соединение), собственно передача, уничтожение канала (разъединение). Сообщения разбиваются на блоки, которые передаются в порядке их следования в сообщении.

В дейтаграммных сетях пакеты (дейтаграммы) сообщения передаются от отправителя к получателю независимо друг от друга по различным маршрутам, в связи с чем порядок доставки пакетов может не соответствовать порядку их следования в сообщении. Виртуальная сеть в концептуальном плане реализует принцип организации телефонной связи, тогда как дейтаграммная — почтовой.

Международная организация стандартизации (МОС) определяет следующие службы безопасности:

  • 1) аутентификация (подтверждение подлинности);
  • 2) обеспечение целостности;
  • 3) засекречивание данных;
  • 4) контроль доступа;
  • 5) защита от отказов.

Две последние службы едины для дейтаграммных и виртуальных сетей. Первые три характеризуются определенными отличиями, обусловленными особенностями используемых в сетях протоколов.

Служба аутентификации. Данная служба применительно к виртуальным сетям называется службой аутентификации объекта (одноуровневого) и обеспечивает подтверждение того факта, что отправитель информации является именно тем, за кого он себя выдает. Применительно к дейтаграммным сетям служба аутентификации называется службой аутентификации источника данных.

Службы целостности. Под целостностью понимается точное соответствие отправленных и полученных данных между собой. Службы целостности для рассматриваемых сетей выглядят следующим образом:

  • • виртуальные сети:
  • • служба целостности соединения с восстановлением;
  • • служба целостности соединения без восстановления;
  • • служба целостности выборочных полей соединения;
  • • дейтаграммные сети:
  • • служба целостности без соединения;
  • • служба целостности выборочных полей без соединения.

Под полями понимаются отдельные определенные элементы блоков или пакетов передаваемых данных. Под восстановлением понимаются процедуры восстановления данных, уничтоженных или потерянных в результате обнаружения искажений, вставок или повторов в блоках или дейтаграммах. В службах целостности дейтаграммных сетей наличие процедур восстановления не предусматривается.

Службы засекречивания данных:

  • служба засекречивания соединения — обеспечивает секретность всех данных, пересылаемых объектами по виртуальному каналу;
  • служба засекречивания без соединения — обеспечивает секретность данных, содержащихся в каждой отдельной дейтаграмме;
  • • служба засекречивания отдельных полей соединения;
  • • служба засекречивания трафика — нейтрализует возможность получения сведений об абонентах сети и характере использования сети.

Механизмы безопасности

Среди механизмов безопасности сетей, предусмотренных МОС, обычно выделяют следующие основные:

  • • шифрование;
  • • контроль доступа;
  • • электронная подпись.

Шифрование применяется для реализации служб засекречивания и используется в ряде других служб.

Механизмы контроля доступа обеспечивают реализацию одноименной службы безопасности, осуществляют проверку полномочий объектов сети, т.е. программ и пользователей, на доступ к ресурсам сети. При доступе к ресурсу через соединение контроль выполняется в точке инициализации связи, в промежуточных точках, а также в конечной точке.

Механизмы контроля доступа делятся на две основные группы:

  • 1) аутентификация объектов, требующих ресурса, с последующей проверкой допустимости доступа, для которой используется специальная информационная база контроля доступа;
  • 2) использование меток безопасности, связываемых с объектами; наличие у объекта соответствующего мандата дает право на доступ к ресурсу.

Самым распространенным и одновременно самым ненадежным методом аутентификации является парольный доступ. Более совершенными являются пластиковые карточки и электронные жетоны. Наиболее надежными считаются методы аутентификации по особым приметам личности, так называемые биометрические методы.

Электронная подпись используется для реализации служб аутентификации и защиты от отказов. По своей сути она призвана служить электронным аналогом реквизита «подпись», используемого на бумажных документах. Механизм цифровой подписи базируется на использовании способа шифрования с открытым ключом. Знание соответствующего открытого ключа дает возможность получателю электронного сообщения однозначно опознать его отправителя.

Дополнительными механизмами безопасности являются следующие:

  • • обеспечение целостности данных;
  • • аутентификация;
  • • подстановка трафика;
  • • управление маршрутизацией;
  • • арбитраж.

Механизмы обеспечения целостности данных направлены на реализацию одноименной службы как применительно к отдельному блоку данных, так и к потоку данных. Целостность блока обеспечивается выполнением взаимосвязанных процедур шифрования и дешифрования отправителем и получателем. Возможны и более простые методы контроля целостности потока данных, например нумерация блоков, дополнение их меткой времени и т.д.

Механизмы обеспечения аутентификации используются для реализации одноименной службы, при этом различают одностороннюю и взаимную аутентификацию. В первом случае один из взаимодействующих объектов одного уровня проверяет подлинность другого, тогда как во втором проверка является взаимной. На практике механизмы аутентификации, как правило, совмещаются с контролем доступа, шифрованием, цифровой подписью и арбитражем.

Механизмы подстановки трафика используются для реализации службы засекречивания потока данных. Они основываются на генерации объектами сети фиктивных блоков, их шифровании и организации их передачи по каналам сети.

Механизмы управления маршрутизацией используются для реализации служб засекречивания. Эти механизмы обеспечивают выбор маршрутов движения информации по сети.

Механизмы арбитража обеспечивают подтверждение характеристик данных, передаваемых между объектами сети, третьей стороной. Для этого вся информация, отправляемая или получаемая объектами, проходит и через арбитра, что позволяет ему впоследствии подтвердить упомянутые характеристики.

В общем случае для реализации одной службы безопасности может использоваться комбинация нескольких механизмов безопасности.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ   След >