Что такое IP-Security
и как его использовать в информационной системе предприятия
Автор: Кирилл Шагин
Содержание:
Появление компьютера оказало на жизнь человека огромное влияние. Сейчас компьютер, пусть самый маленький, используется почти во всех сферах деятельности. И если в начале они занимали целые здания и предназначались лишь для военных и сложных научных задач, то с появлением в начале 90-х IBM PC мир узнал, что же компьютер даёт на самом деле. За десять лет возможности и качество компьютеров несоизмеримо выросли. Теперь чуть ли не один и тот же процессор считает орбиту Земли через несколько сотен миллионов лет и, в то же время, кипятит чайник или греет сосиску в микроволновке.
В последнее время все больше высоких технологий проникают в нашу повседневную жизнь и все большее количество информации о нас хранится в цифровом виде. Чем глубже проникают компьютеры в нашу жизнь, тем больше возрастает важность того, чтобы мы могли им доверять.
Однако, мы все чаще слышим в СМИ слова "информационная безопасность", "произведена новая атака на компьютеры", "создан новый вирус", "ущерб от атаки составил ... " и далее приводятся все более ошеломляющие цифры.... Все эти проблемы связаны с низким и недостаточным уровнем обеспечения безопасности в информационных системах. Значит, необходимо обеспечивать безопасность тех данных, которые хранятся в наших компьютерах.
В этой статье я расскажу о протоколе, который позволяет обеспечить безопасность компьютерной сети на основе TCP/IP на уровне передачи данных по физическому каналу - о протоколе IPSec.
IPSec - это протокол транспортного уровня передачи данных, созданный для обеспечения безопасного соединения компьютеров по протоколу IP. Так как сам по себе протокол IP не имеет никаких механизмов безопасности, то при его использовании можно перехватывать IP-пакеты с последующим их анализом, уничтожением, изменением или фальсификацией. С целью предотвращения ситуаций подобного рода сообществом Internet Engineering Task Force (IETF) и был создан протокол IPSec.
IPSec устанавливает четыре основных признака безопасного соединения по IP и надежной передачи данных:
Какие технологии использует IPSec?
Для обеспечения этих требований в IPSec используются стандартные механизмы криптографии - информация защищается путем хэширования и шифрования. Для защиты информации в нем используется алгоритм и ключ.
Сейчас доступно для использования большое количество различных алгоритмов:
Способы безопасной передачи данных в IPSec
В IPSec возможно использование двух способов передачи: транспортного и туннельного. Перед передачей данных, IPSec согласовывает с партнером по сеансу связи уровень защиты, который будет использоваться в сеансе. Во время этого процесса определяются алгоритмы аутентификации, хэширования, туннелирования и шифрования. Туннелирование используется только в качестве дополнительной меры предосторожности только в тех случаях, если выбран туннельный способ передачи данных. Шифрование тоже не используется по умолчанию - его необходимо дополнительно определить с помощью политик IPSec. На этапе установления сеанса IPSec также создаются ключи, с помощью которых в дальнейшем будет проверяться подлинность данных. Ключи создаются только на локальных машинах и никогда не передаются по сети.
При транспортном способе передачи реальный IP-заголовок и IP-адрес не изменяется, а заголовок IPSec вставляется между заголовком IP и остальными заголовками или данными. В этом случае, данные могут быть защищены только аутентификацией и шифрованием.
При туннельном режиме заменяется весь заголовок IP-пакета вместе с IP-адресом, создается другой заголовок IP с другими IP-адресами.
Протоколы обеспечения безопасности IPSec
В IPSec используется два протокола(или иначе - два правила, по которым изменяются IP-пакеты) - AH и ESP.
Authentication Header (АН) позволяет проверять целостность данных и их аутентичность - авторство. Целостность данных проверяется с помощью стандартного CRC, авторство данных - с помощью цифровой подписи. Encapsulating Security Payload (ESP) позволяет проверять не только авторство и целостность данных, но и дает возможность обеспечивать им повышенную защиту с помощью кодирования. Оба протокола могут использоваться вместе или отдельно.
Как уже говорилось выше, в IPSec используется инфраструктура электронных подписей. Сама подпись представляется в компьютерах в виде электронных ключей. Для того, чтобы установить безопасное соединение между партнерами IPSec между ними должен произойти обмен ключами. В большинстве случаев это происходит автоматически с помощью протокола IKE (Internet Key Exchange). На данный момент допустимо использование 2048-битных ключей, что позволяет быть абсолютно уверенным в невозможности их дешифрования. Однако, возможен и ручной обмен ключами, который при недостаточной квалификации специалиста может быть проведен неверно, вследствие чего вся система IPSec может не работать. Поэтому рекомендуется использовать стандартную схему обмена ключами с помощью IKE.
На первом этапе установления соединения по IPSec с помощью IKE происходит идентификация партнеров и определение алгоритмов кодирования. Затем происходит определение способа шифрования для ассоциации безопасности IPSec и ее установление.
В компьютерных сетях постоянно передается конфиденциальная информация. В связи с этим, основные задачи специалисты должны обеспечить безопасность передаваемого трафика от:
Протокол IPSec был разработан специально для помощи службам безопасности в обеспечении такой защиты. IPSec является отраслевым стандартом в обеспечении безопасности на уровне передачи данных и механизмы его поддержки встроены во все современные операционные системы и другие компоненты сетевой инфраструктуры.
Однако и решения на базе IPSec имеют свои минусы. IPSec предусматривает исключительно взаимную аутентификацию партнеров на уровне системы - он не включает проверку идентичности пользователя этой системы. Таким образом, если злоумышленник получает доступ к системе от имени какого-либо пользователя, он может получить доступ и к данным, передаваемым с помощью IPSec. Данная проблема конечно же может быть решена многими стандартными способами идентификации пользователей системы - от смарт-карт и биометрии до различных расширений протокола IKE.
О проблемах применения IPSec на практике рекомендую прочитать следующую статью : IPSec, NAT, брандмауэры и VPN Альфреда Брота.
