Главная Случайная страница


Полезное:

Как сделать разговор полезным и приятным Как сделать объемную звезду своими руками Как сделать то, что делать не хочется? Как сделать погремушку Как сделать так чтобы женщины сами знакомились с вами Как сделать идею коммерческой Как сделать хорошую растяжку ног? Как сделать наш разум здоровым? Как сделать, чтобы люди обманывали меньше Вопрос 4. Как сделать так, чтобы вас уважали и ценили? Как сделать лучше себе и другим людям Как сделать свидание интересным?


Категории:

АрхитектураАстрономияБиологияГеографияГеологияИнформатикаИскусствоИсторияКулинарияКультураМаркетингМатематикаМедицинаМенеджментОхрана трудаПравоПроизводствоПсихологияРелигияСоциологияСпортТехникаФизикаФилософияХимияЭкологияЭкономикаЭлектроника






Защищенность каналов информационного обмена на основе криптографических методов





 

В настоящее время оперативность получения информации и мобильность информационных и информационно-управляющих систем стали одними из основных требований в системах информационного обмена, вычислительных и информационно–справочных сетях, автоматизированных телекоммуникационных системах. Эти требования в достаточно полной мере реализуются в цифровых сетях на основе принципов беспроводного доступа (WLAN). Привлекательность применения таких сетей постоянно возрастает, что подтверждается прогнозными оценками, в соответствии с которыми в 2003 году общий объем затрат на них превысит 2 млрд. долларов, а общее число пользователей превысит несколько десятков миллионов.

Несмотря на быстрые темпы развития систем на основе принципов беспроводного доступа, которые достигнуты в основном за счет небольших фирм и индивидуальных потребителей, крупные корпоративные клиенты ведут себя осторожно и пока только изучают возможность использования подобных технологий для решения своих задач, требующих, как правило, достаточно высокой информационной надежности. Несмотря на активную маркетинговую деятельность производителей этого и аналогично сетевого оборудования, они не спешат приобретать продукты, использующие, в частности, стандарт IEEE 802.11b. Проведенный анализ такого положения показал, что основной причиной такой нерешительности являются не вполне объективные затраты, связанные с переходом на новые системы, а проблемы информационной безопасности, уровень которой как для отдельных линий, так и для системы в целом пока не определен даже на качественном уровне.

Это обусловлено, в первую очередь, неопределенной возможностью перехвата информации, передаваемой по эфиру, ее дешифрованию и организации несанкционированного доступа в информационную и/или информационно-управляющую систему через этот канал информационного обмена. Необходимо отметить, что это свойственно, практически, всем радиосистемам, поскольку в них, в отличие от проводных (кабельных) систем, доминируют демаскирующие признаки не в топологической области, а в информационно-сигнальной. Кроме того, до настоящего времени не разработана модель угроз в области цифровых сетей с беспроводным доступом с достаточно высоким уровнем достоверности и требованиями по регламенту обеспечения заданного конкретным пользователем уровня информационной безопасности, что также настораживает их потребителя.

На сегодняшний день основным средством мобильного компонента широкополосного доступа к цифровым сетям остается беспроводной вариант Ethernet (RadioEthernet), реализующий стандарт IEEE 802.11b. Этот стандарт предусматривает передачу данных в диапазоне 2,4 ГГц со скоростью до 11 Мбит/сек. При этом для организации широкополосного доступа мобильных пользователей к цифровым сетям применяются комбинированные решения: часть сети строится на кабельной основе, а в другой ее части задействуется беспроводная связь. Естественно, администратор сети заинтересован в том, чтобы беспроводной участок был защищен так же, как и кабельный. Однако трафик радиолинии доступен для прослушивания и анализа любым устройством, обеспечивающим прием и обработку сигнала стандартного протокола, в том числе и сигнала по стандарту 802.11b. Соответственно, операторы связи неохотно идут на включение в свою сеть беспроводных сегментов. Недоверие к комбинированным решениям также в немалой степени обусловлено постоянными публикациями об обнаружении новых уязвимых программных и технических элементов в продуктах различных производителей.

Наличие в системе таких уязвимых элементов на сигнальном уровне делает весьма проблематичной защиту на информационном уровне, основной целью которой является

Ø исключение перехвата информации, которая может быть использована во вред пользователю сети;

Ø исключение целенаправленного искажения передаваемых и получаемых данных;

Ø исключение перехвата управления системой управления связью и/или информационной системой, использующей эту связь.

Стандартизацией технических решений в области защиты канала передачи данных и обеспечением совместимости оборудования различных производителей занимается независимая организация WECA (Wireless Ethernet Compatibility Alliance). Продуктам, удовлетворяющим достаточно жестким требованиям WECA, присваивается марка Wi-Fi. В качестве защиты используют шифрование данных и их туннелирование (инкапсуляцию).

В основе одного из основных элементов обеспечения безопасности беспроводных сетей – шифрования данных, долгое время применялся стандарт DES (Data Encryption Standard) с 56-разрядными ключами. В то время как согласно современным требованиям к инфраструктуре информационных систем, следует использовать средства защиты, основанные на стандартных протоколах аутентификации и рассылки ключей, с алгоритмами шифрования с длиной ключа не менее 128 бит. Этим требованиям удовлетворяет усовершенствованная версия стандарта DES – Triple DES. Однако данному алгоритму требуется больше ресурсов питания процессора, поскольку данные передаются для шифрования не один раз, а три. Что делает его практически не применимым в мобильных вычислительных устройствах.

 

Таблица 2.2

Типовые источники угроз беспроводным сетям на сигнальном уровне

Угроза Условия реализации угрозы Уязвимый элемент системы Средства нейтрализации угрозы
       
Естественные
Электро-магнитное излучение Плохая экранировка приемной аппаратуры, побочные полосы Приемник Адаптивное управление параметрами приемного и передающего трактов
Интерференция Наличие отражающих поверхностей, низкое расположение антенн Приемник, передатчик Выбор рационального расположения антенны передатчика

Продолжение табл. 2.2

       
Механические перемещения Наличие незакрепленных деталей, зоны затенения Антенны Уменьшение вибраций, выбор рационального расположения антенн
Организованные
Нецеленаправленные Ошибки разработки аппаратные и программные Отсутствие полного тестирования аппаратуры Система в целом Проведение комплексной предэксплуатационной проверки
Ошибки протокола обмена Наличие пересечений в сигнальной и логической областях команд и директив Система управления Фильтрация сигналов и директив управления на информационном уровне
Нарушения регламента связи Неполная реализация протокола Система управления Дополнение регламентированных сигналов и директив управления
Ошибки при передаче и приеме сигнала Работа в условиях помех Приемная и передающая системы Повышение уровня фильтрации
Целенаправленные Перехват сигнала по основному каналу Наличие аппаратуры приема Канал передачи Изменение каналов в ходе сеанса
Перехват сигнала по побочным каналам Низкая фильтрация сигнала основного канала Цепи питания, цепи заземления Установка фильтров по дополнительным цепям
Перехват сигналов до и после шифрования Присутствие в каналах шифрованной и нешифрованной информации Приемные и передающие тракты Задержка при передаче шифрованного сигнала, повышение уровня фильтрации

Окончание табл. 2.2

       
  Перехват сопровождающих передачу акустических, вибрационных и других сигналов Доступность пунктов приема и передачи Система в целом Маскировка побочных сигналов, зашумление, создание помех аппаратуре перехвата
         

 

Таблица 2.3

Типовые источники угроз беспроводным сетям на информационном уровне

Угроза Условия реализации угрозы Уязвимый элемент Средства нейтрализации
       
Перехват информации
Выявление канала (передачи) для перехвата Наличие в передаваемых данных отличительных признаков объекта, работа на одном канале Система шифрования, управления каналами Исключение информационной окраски, изменение номера канала в течение сеанса связи
Определение формата данных Использование стандартных форматов без дополнительной коррекции Система кодирования, шифрования Использование оригинальных форматов, проведение проблемно ориентированной коррекции передаваемых данных
Восстановление пакетов (кадров) Отсутствие маскировки синхронизации и маркеров доступа Система управления обменом Применение адаптивного кодирования
Линейное декодирование Возможность сбора статистики передачи информации, использование при передаче открытых кодов Кодер / декодер Применение мер защиты на сигнальном уровне

Продолжение табл. 2.3

       
Дешифрование декодированных данных Наличие коррелянтов в базе принимаемого (перехваченного) сигнала, компрометация ключей, получение блока нешифрованного сигнала Система организации обмена данными Оптимизация регламента обмена по критериям времени работы, смена кодов и ключевых последовательностей
Искажение данных
Передача ложного сигнала путем имитации вызова Возможность определения протокола обмена Система приема и управления приемом Использование специальных маркеров идентификации и аутентификации в каждом кадре (блоке) сеанса связи
Передача ложного сигнала в ходе сеанса связи Возможность выделения и определения идентификационных преамбул Система приема и управления приемом Использование дополнительного канала для передачи служебных (идентификационных) маркеров, разнесенная во времени передача контрольных сумм и квитанций
Легальная передача ложной информации Наличие логического и/или физического адреса объекта воздействия Система в целом Проверка в процессе передачи подлинности адресных ссылок, аутентификация абонентов
Искажение сигнала передачи Возможность вскрытия синхронизации и входа в канал без ее нарушения Приемо–передающая система Использование двойной синхронизации, в частности, по дополнительному каналу

 


 

Окончание табл. 2.3

       
Перехват управления
Передача управляющих последовательностей абоненту Возможность получения мастер кодов, компрометация кодов систем защиты Система управления Отложенное до подтверждения выполнение команд, исключение возможности дистанционного перепрограммирования абонентского комплекта
Передача управляющих последовательностей на центральную станцию Возможность получения мастер кодов, компрометация кодов систем защиты, возможность доступа к процессору и программам управления Система управления связью и коммутации Организационные мероприятия, совершенствование программного обеспечения безопасности и защиты информации
Перепрограммирование системы управления Наличие команд дистанционного управления, возможность доступа к программному обеспечению Процессорные устройства центральной станции, система управления Организационные мероприятия, система двойного подтверждения перепрограммирования и выполнения команд управления

 

Тем не менее, высокий уровень защищенности канала на сигнально уровне не является гарантией обеспечения столь же высокого уровня информационной защищенности системы в целом. Это обусловлено тем, что критерием для системы выступает, как правило, вероятность реализации ею своей целевой функции и, соответственно, получение адекватного решения центральной задачи. В этом случае сигнальный уровень является нижним уровнем и обеспечивает нейтрализацию конфликтного компонента (или составляющей угрозы) только для информационных конфликтов первого рода, то есть на сигнальном уровне.

В настоящее время для обеспечения безопасности беспроводных сетей передачи данных стандарта 802.11 рабочим комитетом IEEE одобрены спецификации стандарта 802.11i, которыми определяется алгоритм защиты под названием TKIP (Temporal Key Integrity Protocol). Данный протокол предусматривает формирование новых ключей шифрования для каждых 10 Кбайт передаваемых данных. Одним из основных достоинств данного метода является то, что практически все известные программно–аппаратные комплексы беспроводных сетей передачи данных смогут быть дополнены поддержкой TKIP.

В тоже время протокол TKIP рассматривается лишь как промежуточное решение проблемы повышения безопасности беспроводных сетей, частично решающим проблему безопасности и защиты информации на сигнальном уровне. В настоящее время в нем ведется подготовка проекта спецификации нового алгоритма, основанного на американском правительственном стандарте шифрования данных AES (Advanced Encryption Standard) со 128-разрядным ключом. Этот метод шифрования считается более надежным, чем TKIP, и должен заменить его в течение ближайших 1–2 лет. Такой длительный процесс обусловлен, главным образом тем, что практическое внедрение AES потребует доработки не только программной, но и аппаратной части оборудования, поэтому во многих случаях интеграция AES в уже выпущенные изделия для сетей 802.11 будет затруднена. Новые устройства с поддержкой AES смогут работать в рамках одной сети со старым оборудованием, но при этом эффективность защиты на сигнальном и, как следствие, на информационном уровнях будет не столь высока. Ожидается, что первые устройства на основе этого стандарта появятся на рынке в начале 2003 г.

Кроме повышения защищенности системы на сигнальном уровне, широкое применение в различных системах обеспечения беспроводного доступа к цифровым сетям получает алгоритм WEP (Wired Equivalent Privacy), с помощью которого осуществляется шифрование трафика, затрудняющее анализ последнего сканирующей аппаратурой и решение приведенных в таблицах 1 и 2 задач по реализации угроз. В WEP используется симметричная схема шифрования с 40-битным ключом, построенная на алгоритме RC4. Согласно стандарту IEEE 802.11, который определяет механизм шифрования пакетов данных, передаваемых по беспроводным каналам, в состав WEP входят:

1. Ключ (WEP-ключ – распространяется среди всех абонентов сети).

2. Вектор инициализации длиной 24 бит. Он объединяется с WEP-ключом, в результате чего получается входная последовательность (в зависимости от используемого WEP-ключа длиной 64 или 128 бит) алгоритма RC4. При этом WEP случайным образом выбирает для любого передаваемого пакета уникальный вектор инициализации (в ряде вариантов для каждого последующего пакета его значение изменяется на единицу).

3. Алгоритмы шифрования и дешифрования, которые используют поточную схему на основе алгоритма RC4.

4. Инкапсуляция, передача вектора инициализации и закодированного сообщения от отправителя к адресату.

5. Проверка целостности. Ее результаты шифруются вместе с открытым текстом и передаются адресату в составе шифрованного сообщения.

Следует, однако, отметить, что столь простая (по нашим, российским, меркам) система защиты трафика недостаточно устойчива к некоторым вариантам воздействий как на сигнальном, так и на информационном уровнях. Поэтому можно считать, что система защиты беспроводной сети, основанная на WEP со статическими ключами и аутентификацией по MAC-адресу устройства, не удовлетворяет условиям обеспечения информационной безопасности при ее эксплуатации. Все это послужило стимулом к усовершенствованию процедур аутентификации и работы WEP. Одним из наиболее значимых достижений последнего времени стал переход на применение протокола EAP (Extensible Authentication Protocol) при выполнении процедуры взаимной аутентификации пользователя и точки доступа. В этом случае происходит динамическое распределение ключей, и такая схема называется динамическим WEP. Ее достоинство состоит в том, что промежуточная точка связи (точка доступа) не располагает какими-либо долговременными секретами (например, паролем пользователя). Кроме того, секретная информация не передается по радиоканалу. Использование динамического WEP исключает возможность несанкционированного доступа к беспроводной сети путем создания злоумышленником «ложной» точки доступа, а также повышает стойкость трафика к анализу по выявлению на основе специфических особенностей обмена защищаемых абонентов.

Другими важными элементами системы обеспечения безопасности беспроводной сети являются предотвращение несанкционированного доступа к ресурсам сети зарегистрированных потребителей, а также защита от подключения к сети нелегальных пользователей. Данные проблемы решаются с помощью аутентификации, авторизации и аудита.

Аутентификация представляет собой процесс установления подлинности абонента. Иными словами, во время аутентификации пользователь должен доказать, что он тот, за которого себя выдает. В качестве доказательства можно назвать пароль (кодовое слово), ответить на специальный вопрос или предъявить физический ключ (например, электронную карту). Следует отметить, что этот процесс бывает двусторонним (взаимным), поскольку для безопасной работы в беспроводных сетях необходима также аутентификация узла доступа. Сама процедура аутентификации предполагает участие в ней трех элементов − вызывающей (клиента), вызываемой (точки доступа) и сервера аутентификации. Это, однако, не уменьшает вероятности перехвата и искажения информации при входе в канал во время сеанса и/или в пределах одного кадра.

В стандарте IEEE 802.11b предусматриваются аутентификация сетевого устройства по ее MAC-адресу и аутентификация сети по ее названию, однако такую систему нельзя назвать надежно защищенной – к примеру, одно и то же устройство может обслуживать различных пользователей. Соответственно, необходима аутентификация пользователя. В беспроводных сетях эта задача осложняется тем, что до успешного ее завершения исключается передача потребителю ключей шифрования, а открытый трафик радиообмена легко прослушать с помощью любого устройства, работающего в том же стандарте. В результате злоумышленник способен получить пароль доступа путем простого прослушивания, в ряде случаев даже не дешифруя его, то есть без наличия ключа и/или другой атрибутики системы безопасности и защиты информации. Поэтому составной частью IEEE 802.1x является протокол EAP, который позволяет передавать пароли легальным пользователям с помощью открытых (незащищенных) каналов связи.

В этом смысле более надежна такая процедура обеспечения безопасности радиосетей, как авторизация. Она обеспечивает контроль доступа легальных пользователей к ресурсам сети. Успешно пройдя данную процедуру, потребитель получает только те права, которые предоставлены ему администратором сети. Причем, в данном случае информация о системе безопасности и защиты информации является внутренней по отношению к самой сети и не используется в каналах.

Не менее важная функция возложена на систему аудита: она фиксирует все события безопасности, происходящие в сети, в том числе доступ к защищаемым системным и сетевым ресурсам. Эта система регистрирует структурные особенности и количественные параметры ресурсов, используемых каждым пользователем, время его работы в сети и другие аналогичные характеристики, что необходимо в первую очередь для управления сетью, в том числе для контроля доступа. Кроме того, такие данные позволяют создавать биллинговые системы и системы электронной коммерции.

Типичным примером централизованной (то есть основанной на централизованном использовании сервера доступа) системы обеспечения безопасности служит сервер RADIUS (Remote Access Dial-In User Service). Процедура авторизации пользователя в данной системе совмещена во времени с процессом аутентификации. После успешной взаимной аутентификации сетевое устройство пользователя и сервер независимо друг от друга вычисляют один и тот же сессионный ключ, применяя специальную процедуру определения ключа. Потом сервер посылает сессионный ключ на точку доступа, которая загружает его для шифрования и дешифрования трафика данного пользователя. На следующем этапе сервер формирует WEP-ключ для широковещательных сообщений и передает его на точку доступа, которая шифрует этот ключ сессионным ключом и посылает пользователю. Такая схема распределения ключей также относится к рассмотренным выше динамическим WEP. Следует отметить, что данный сервер может использоваться как для беспроводных, так и для проводных сетей связи.

Особое внимание следует уделить существующим техническим системам анализа защищенности беспроводных сетей. Данные системы позволяют идентифицировать и устранять уязвимые программные или аппаратные элементы в продуктах, поддерживающих стандарт IEEE 802.11. Это позволяет минимизировать риски, связанные с применением беспроводных сетей.

Системы анализа защищенности беспроводных сетей должны удовлетворять ряду требований. Во-первых, данная система должна обнаруживать все точки доступа к беспроводной сети, включая несанкционированно установленные злоумышленниками. Исследование точек доступа включает в себя обнаружение уязвимых элементов, таких как некорректно настроенные параметры аутентификации, шифрования и аналогичные. Программное обеспечение систем анализа защищенности должно обладать мобильностью, возможность анализа событий безопасности на временном интервале не меньшем, чем время реконфигурации системы, и иметь систему временной пролонгации, что позволяет моделировать возможные действия потенциального нарушителя. Естественно, что данная система должна поддерживать, например, на основе принципов экспертных систем или систем с признаками искусственного интеллекта, полный набор процедур аутентификации, авторизации и аудита пользователей беспроводных сетей.

В качестве примера перспективной системы анализа защищенности беспроводных сетей можно привести Wireless Scanner, продукт компании Internet Security Systems (ISS). Данная система была представлена на конференции RSA Conference 2002, и ее появление на рынке ожидается в 2002 году.

В заключение этого раздела необходимо отметить, что, как известно сравнительно давно, идеальную систему безопасности и защиты информации, в частности, в системе обеспечения доступа к беспроводным сетям построить невозможно, точно также, как и разработать идеальное средство информационного воздействия несанкционированного доступа. Каждая разработанная система решает задачи защиты до момента выявления некоторых неточностей ее работы, что позволяет снизить эффективность ее функционирования. Только проводя комплексную политику обеспечения безопасности, включающую в себя организационно-правовые, технические, физические и другие мероприятия можно снизить вероятность несанкционированного доступа к сети и минимизировать возможные потери на каком-то конкретном отрезке времени. При распространении на более длительный период в ряде случаев приходится менять не только элементы системы, но разрабатывать новые принципы. В настоящее время в качестве такого принципа рассматривается возможность применения в системах безопасности и защиты информации технологии самообучающихся высокоуровневых адаптивных систем, которые способны обеспечить надежную защиту в течение достаточно длительного времени. Правда, если против них не будут использованы средства на основе аналогичной технологии.

Date: 2015-09-19; view: 263; Нарушение авторских прав; Помощь в написании работы --> СЮДА...



mydocx.ru - 2015-2024 year. (0.009 sec.) Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав - Пожаловаться на публикацию