Galihar23: Безопасность ЛВС

Классификация основных видов угроз в ЛВС

4 основных требования защиты:

· необходимо обеспечить конфиденциальность данных;

· обеспечить целостность и точность хранимой информации;

· обеспечить доступность систем;

· обеспечить соответствие с законодательной, этической и другими базами.

Аппаратные угрозы

С точки зрения безопасности могут нарушить конфиденциальность данных;

Вирус

Распространяется в локальной сети намного быстрее чем студенты разносят его по кафедре путем копирования;

Диверсия

Логическое или физическое действие - угроза целостности или доступности данных;

Излучение

Представляет собой угрозу конфиденциальности данных;

Искажение

Использование ЭВМ как средство введения в заблуждение или запугивания - это угроза конфиденциальности данных и законам;

Кража

Целостность данных, Кража некоторых элементов системы приводит к ее остановке;

Логические бомбы

Угроза целостности, конфиденциальности данных;

пример :If сетевой_адрес= = ххх then....

Мошенничество

Часто пользователь, который не имеет права доступа, залезает туда, куда не надо;

Небрежность

Около 50%-60% происходит по вине небрежности человека;

Неправильная маршрутизация

Когда информация попадает не по адресу; угроза- конфиденциальность данных;

Ошибки программирования

Программа корректно работает в локальной системе ,в распределенном виде работать не будет .Угроза- конфиденциальности данных, целостности ,доступности;

Перегрузка

Угроза доступности; Когда система перегружается, работа замедляется и программист делает несколько работ параллельно. Также угроза конфиденциальности данных;

Перехват

Угроза конфиденциальности данных. Можно подключится к линии связи для перехвата информации.

Пиратство

Для распределенных систем кроме незаконного копирования, использование копии без лицензии.

Подлог

Противозаконное изготовление документов или записей с целью использования их вместо действительных.

Пример: Один пользователь записывает информацию и подписывается другим именем.

Потайной вход

Дополнительный способ проникновения в систему, преднамеренно создаваемый разработчиком.

Препятствие использованию

Засорение ненужными данными.

Различные версии

В распределенной системе на разных машинах различные версии программного обеспечения, данные не всегда совместимы. Угроза доступности.

Сбор мусора

Собирают отработавшие распечатки и их анализируют.

Троянский конь

Умышленное повреждение данных и хищение.

Обзор существующих архитектур ЛВС с точки зрения обеспечения безопасности.

Архитектура включает в себя 4 понятия:

· топология;

· программные средства;

· комплекс технических средств;

· метод доступа и протоколы обмена.

ISO – международная организация по стандартизации

Приняла стандарт OSI- стандарт взаимодействия открытых систем. Он включает 7 уровней:

1. Физический

2. Канальный

3. Сетевой

4. Транспортный

5. Сеансовый

6. Представительский

7. Прикладной

1. Физический уровень . Задача сопряжение физического канала, т.е. определяет все параметры Физического канала

2. Канальный уровень. Управляет передачей информации по каналу. Определяются форматы кадров, контроль целостности, в некоторых случаях контроль передачи.

3. Сетевой уровень- отвечает за маршрутизацию пакетов.

4. Транспортный уровень- управление логическим каналом и контроль очередности прохождения компонент сообщения.

5. Сеансовый уровень- организация поддержки и проведения связи .

6. Представительский - уровень представления данных.

7. Прикладной уровень - решение информационно прикладных программ пользователя.

С точки зрения надежности кабель должен соответствовать предъявляемым требованиям.

Метод доступа CSMA/CD

CSMA/CD-случайный метод доступа с контролем несущей и обнаружением конфликтов: Идея метода доступа заключается в следующем: Перед началом передачи каждая станция прослушивает канал на наличие несущей. Сигнал включает некоторую постоянную несущую. Если она есть то канал - занят, иначе свободен.

Все станции имеют одинаковые права на занятие канала. При отсутствии сигнала станция начинает немедленно передавать. Сетевой адаптер каждой станции сравнивает адрес получателя с собственным и при совпадении принимает сигнал. При наличии несущей передача откладывается до освобождения канала.

Если две и более станции одновременно начинают передачу, то возникает конфликт. Конфликт легко обнаруживается по превышению постоянной составляющей. Передача прекращается и выполняется усеченный двоичный экспоненциальный алгоритм откатки.

Его суть: каждой станцией генерируется случайное число, которое определяет величину тайм аута до следующей передачи.

Станция, которая сгенерировала меньшее число, пытается начать передачу. Если две станции сгенерировали одно число, возникает новый конфликт. При возникновении повторных конфликтов в течении 10 попыток, интервал экспоненциально возрастает с 0,1 до 1023.Следующие 5 попыток выполняются на интервале от 0 до 1023. И если опять повторяется столкновение, то выдается сообщение об ошибке.

Недостатки.

1. низкая надежность кабельной системы обрыв приводит к остановке системы.

2. при увеличении числа машин уменьшается пропускная способность.

3. негарантированное время передачи.

4. любая станция может перехватить сигнал, передаваемый по сети.

Имеет шинно - звездообразную архитектуру. Используется маркерный метод доступа. В нем право на захват канала передается от узла к узлу организационным способом при помощи передачи маркера по логическому кольцу.

Логическое кольцо образуется на основе адресов рабочих станций.

С точки зрения безопасности.

1. Гарантированная среда передачи, но низкая скорость.

2. сложно перехватить сообщение.

Загрузка возрастает пропорционально количеству машин.

Имеет звездно-кольцевую архитектуру. MSAU-устройство доступа большого количества станций.

Достоинство :

высокая пропускная способность
детерминированный метод доступ
автоматический поиск неисправности
высокая отказоустойчивость

Недостатки:

сложность установк
дополнительные расходы на восстановление нормального состояния, так как сеть сама исправляет неисправности, снижается эффективность и чтобы ее восстановить нужны расходы.

MSAU строится на основе релейных схем и обеспечивает подключение рабочих станций и устойчивость кольца к отказам, когда станция подключится к кольцу, осуществляется процедура настройки адаптера, в ходе которой выполняется тестирование линии связи между адаптером и концентратором через петлю обратной связи. В результате тестирования в линии связи наводится фантомный ток, который активизирует релейные схемы , в результате чего происходит включение рабочей станции в общее кольцо.

Используется маркерный метод доступа, в котором маркер (кадр специального формата состоит из 3 байт) передается по физическому кольцу. Маркер может быть занят либо свободен. Станция, которая получила свободный маркер, имеет право на передачу. Если она имеет данные, то она соответственно вместо конечного ограничителя добавляет служебные поля и поле данных, и в конце ставится конечный ограничитель. Кадр данных передается по физическому кольцу. Станция - получатель принимает кадр и посылает кадр дальше по кольцу в качестве квитанции. Освободить маркер может только та станция, которая послала сообщение.

Иногда допускается процедура раннего освобождения маркера. После того как передается кадр, сразу передается маркер.

Технология волоконно - оптических сетей.

Центральная жила и внешнее покрытие имеют различные коэффициенты преломления. Высокая скорость передачи 10¹²бит/с, кабель очень легкий.

Маленький коэффициент затухания 0.22дец/км. Безопасны в электрическом отношении, так как не содержат токопроводящих деталей. Устойчивы к электромагнитным помехам. Повышенная конфиденциальность данных - нарушении кабеля уровень светового сигнала заметно уменьшится. Для снятия информации используется прибор - интерферометр. Интерферометр применяется для изучения длины волны светового пучка, его характеристик.

Существуют одномодовые и многомодовые линии связи.

В одномодовом волокне центральная жила 8-10 мкм и совместима с длинной волны.

Многомодовые - диаметр 50-60 мкм, в нем передается несколько световых лучей, с ним удобнее работать, но имеют высокий коэффициент затухания. В большинстве случаев используются когерентные источники света.

Стандарт FDDI

Эта сеть сначала разрабатывалась, как стандарт для шины данных персональных машин, но потом был сделан как стандарт для локальных сетей.

Строится на базе двойного оптического кольца и маркерного метода доступа.

Скорость 100 Мбит/с. Длина кольца 20 км. MAX удаление между концентраторами до 2 км, в кольце может быть до 1000 рабочих станций.

Но можно увеличить длину кольца до 200 км. При обрыве линии связи, оптические переключатели осуществляют восстановление кольца.

Используется маркерно временной протокол, в котором продолжительность времени удержания маркера при передаче кадров определенного класса зависит от продолжительности промежутка времени между последовательным получением маркера.

Сеть Fast Internet

Идея заключалась в том, чтобы повысить производительность сети и сохранить рынок, сделать так чтобы пользователи испытывали минимум неудобств. Метод доступа CSMA/CD. Используется звездная топология на витой паре.

100Base-TX - использует 2 витые пары 5-ой категории и длина (от концентратора до рабочей станции 100 м).

Концентраторы могут иметь только 10 мегабит порты, или универсальные, которые используют 100 и 10 Мбит.

100Base-T4 - использует 4 витые пары в кабеле и осуществляют параллельную передачу данных по всем парам.

100Base-FX - использует многомодовые оптические волокна, удаление до 2 км.

Стандарт 100 VG -AnyLAN

Идея была в том, чтобы захватить освободившийся рынок Ethernet. Идея - соединить простоту и надежность сети Ethernet с жестким управлением и определенностью Toking-Ring. Кроме того, она создавалась как система поддержки мультимедийных приложений. Имеет звездную архитектуру. На концентраторе 2 типа портов: Unlink -для подключения к концентратору более высшего уровня. DownLink - для подключения рабочих станций и концентраторов более низкого уровня Допускается 3 уровня каскадирования. Расстояние между концентраторами для кабеля:

· 3й категории 100м;

· 5ой категории 150м.

Сетевые адаптеры могут работать в 2-х режимах:

· общий, прием каждым терминальным узлом всех передаваемых сообщений.

· индивидуальный прием сетевым адаптером только тех сообщений, которые ему адресованы.

Каждый порт коммутатора могут работать в общем, либо конфиденциальном режиме.

Протокол приоритета запросов DPP

В этом случае основная роль по управлению отводится концентратору, который обеспечивает передачу пакетов на основе 2х критериев:

· приоритет запроса: обычный и высокий;

· физический: порядок портов.

В первом подключении рабочей станции к концентратору выполняется процедура подготовки канала к работе, в ходе которой осуществляется проверка целостности кабельного соединения, определяется тип подключенного узла, определяется МАС адрес, выясняется режим работы. Таким образом, концентратор обладает полной информацией о подключенном узле.

Управляющие сигналы

1. сигнал ПРОСТОЙ - указывает, что цикл кругового опроса завершен и не обслуженные пакеты отсутствуют.

2. сигнал ЗАПРОС - указывает, что терминальный узел запрашивает у концентратора разрешение на пересылку пакета.

3. сигнал ВХОДЯЩИЙ ПАКЕТ ДАННЫХ - указывает, что терминальному узлу может быть доставлен пакет, что он подготовился.

Последовательность событий при передаче данных:

1. Все рабочие станции и концентратор выдают сигнал ПРОСТОЙ;

2. Источник хочет передать данные и выдает сигнал ЗАПРОС;

3. Концентратор приняв сигнал ЗАПРОС, отвечает сигналом МОЛЧАНИЕ (сигнал который показывает, что все 4 пары освобождены для передачи данных), а всем остальным выдает сигнал ВХОД пакет данных.

4. Источник, получив сигнал МОЛЧАНИЕ, передает кадр данных, все остальные станции, получив сигнал ВХОДНОЙ ПАКЕТ ДАННЫХ, выдают сигнал МОЛЧАНИЕ.

5. Концентратор получает кадр данных, считывает адрес получателя и передает ему кадр. В индивидуальном режиме передает кадр, а всем остальным сигнал ПРОСТОЙ.

6. Источник, передав кадр данных, выдает сигнал ПРОСТОЙ. Рабочие станции, получив кадр, также выдают сигнал ПРОСТОЙ, концентратор закончив передачу выдает сигнал ПРОСТОЙ и ему рабочие станции отвечают сигналом ПРОСТОЙ.

Когда узел собирается пересылать данные, то он посылает запрос концентратору. Концентратор, если он низкого уровня транслирует запрос вышестоящему. При обработке запроса, концентратор осуществляет циклическую проверку своих портов на предмет того, готовы ли они к передаче. Если несколько терминальных узлов требует обслуживания, то выполняется процедура приоритетного кругового арбитража, который базируется на порядке следования портов и уровней приоритетов. Данная процедура выполняется каждым концентратором. Если к какому-то порту подключен концентратор низкого уровня, то проверяются его порты, а затем возвращаются на следующий порт более высокого концентратора.

Switch - технология.

Статическая	динамическая
Коммуникация портов модульная	Коммуникация порта Коммуникация сегмента

Статическая - предназначена для упрощения переконфигурации сети.

сегмент инженерного отдела сегмент маркетинга

Трафик отдела маркетинга не влияет на трафик инженерного отдела и наоборот.

Модульная коммутация обозначает тоже самое, но позволяет переместить несколько рабочих станций.

Динамическая коммутация в отличие от статической приводит к увеличению пропускной способности сети. Идея динамической коммутации основывается на автоматической телефонной станции. В сущности, динамическую коммутацию можно рассмотреть на примере:

пакет передаваемый рабочей станцией рассматривается коммутатором для выделения сетевого адреса получателя и адреса источника. Затем коммутатор создает выделенную линию по которой происходит передача пакета от источника к приемнику.

Рекомендации OSI по защите информации в телекоммуникационных каналах связи

Функция (или служба защиты)	Средства (или процедуры защиты)	Логические уровни 1 2 3 4 5 6 7
1. Аутентификация одноуровневых объектов	Шифрование Цифровая подпись			+	+
2. Аутентификация источника данных	Шифрование Цифровая подпись			+ +	+ +		+
3. Контроль доступа	Средства управления Доступом			+	+		+
4. Засекречивание соединения	Шифрование Управление маршрутом	+	+	+ +	+		+
5. Засекречивание в режиме без соединения	Шифрование Управление маршрутом		+	+	+ +	+	+
6. Засекречивание выборочных данных	Шифрование					+	+
7. Засекречивание потока данных	Шифрование Заполнение потока Управление маршрутом	+		+ +		+	+
8. Обеспечение целостности при соединении с восстановлением	Шифрование Процедура обеспечения целостности данных				+		+
9. Обеспечение целостности при соединении без восстановления	Шифрование Процедура обеспечения целостности данных			+	+		+
10. Обеспечение целостности выборочных полей данных	Шифрование Процедура обеспечения целостности данных						+
11. Обеспечение целостности без установления соединения	Шифрование Цифровая подпись			+	+ +		+
12. Обеспечение целостности полей без соединения	Цифровая подпись				+		+
13. Информирование об остановке	Цифровая подпись Подтверждения						+
14. Информирование о доставке	Цифровая подпись Подтверждения						+

Цифровая подпись - передаваемых сообщений служит для подтверждения правильности содержания сообщения, а также удостоверяет факт отправки именно отправителем. Цифровая подпись является функцией от содержания секретного сообщения и общей информации, которая доступна всем пользователям сети. Шифрование предназначено для закрытия данных или некоторых полей. Различают линейное или канальное и абонентское шифрование.

· Управление доступом к ресурсам сети выполняется на основании правил и формальных моделей, которые используют в качестве аргумента идентификатор абонента.

· Обеспечение целостности данных предполагает введение в каждое сообщение дополнительной информации, которая является функцией от содержания сообщения.

· Процедура аутентификации предназначена для защиты при передаче в сети паролей и других аутентификаторов логических объектов.

· Процедура заполнения потока данных служит для предотвращения возможности анализа трафика и эффективна при одновременном использовании линейного шифрования.

· Управление маршрутом предназначено для организации передачи данных только по надежным и безопасным маршрутов.

Подтверждение характеристик данных предполагает наличие арбитра, который является доверенным лицом абонента и может подтвердить ценность во время передачи сообщения.

Абонентское шифрование

Схема рассылки и изготовление ключей при симметричном шифровании.

Существует специальный центр, который изготавливает и развозит пользователям ключи и гарантирует их сохранность. Сообщение М шифруется (в виде С), передается и расшифровывается в первоначальный вид (М).

Проблемы:

· необходимость наличия большого количества ключей для каждой пары абонентов (ключи должны периодически меняться, хотя бы 1 раз в месяц).

· если отправитель и получатель не доверяет друг другу и даже способны на обман.

Диффи и Хеллман пришли к принципиально новым выводам, которые получили название

Система с открытым ключом

Схема формирования общего секретного ключа.

Главное отличие данной системы то, что открытые ключи могут передаваться по открытым каналам связи и могут быть доступны каждому пользователю.

f - программа шифрования

x и y - ключи пользователя

f(x) и f(y) - открытые ключи пользователей которыми они обмениваются

Односторонняя функция - некоторая функция f такая, что для любого x из её области определения легко находится f(x), однако, практически для всех y из её области значений нахождение x , для которого выполняется y = f(x) практически неосуществимо, т. е. прямую функцию можно легко вычислить, но вычислить её обратную сложно.

В качестве возможной односторонней функции предложим функцию дискретного возведения в степень, которая имеет следующий вид: f(x) = a^xmod p

где x - целое число, а 1<= x <= p-1

Вычисления производятся по модулю p , где p - очень большое простое число; a - целое число 1<= a <= p; a выбирают таким образом, чтобы

a, a ², a ³ ... a ^p-1 равнялось соответственно 1, 2, 3 ... p-1

Пример.

p = 7

a = 3

a² =2 a² mod7 =9-7=2

a³ =6 a³ mod7 = 3³ -7*3=27-21=6

a⁴ =4 a⁴ mod7 = 3⁴ -7*11=4

a⁵ =5 a⁵ mod7 = 243-7*34=5

a⁶ =729-7*104=1

a⁷ = не существует.

Число a - примитивный элемент конечного поля GF(p)

Если f(x) = a ^x,то обратная функция

x = log _a (f(x))

Если p - 1 имеет большой простой множитель, то обратная функция очень трудно вычислима. В качестве ключей x и y выбираются случайные числа по 512 бит каждое, и тогда для вычисления ключа k по f(x) = a^x mod p и f(y) = a^y mod p требуется проделать работу, которая составляет 10²⁴операций для этого требуется порядка 1000 лет работы ЭВМ.

Полагаем, что всем пользователям известны a и p. Пользователь А случайным образом выбирает целое число 1<= x <= p-1 и держит его в секрете. Далее он вычисляет f(x) = a^x mod p . Пользователь А помещает значение функции f(x) в заверенный открытый справочник. В дальнейшем если пользователь А и пользователь В захотят установить секретную связь, то пользователь А дает из открытого справочника значения f(y) , т.е. открытый ключ, который поместил туда пользователь В, и с помощью своего секретного ключа вычисляет ключ шифрования, который является

K_AB= f(y)^x = a ^x
y mod p

Таким же образом пользователь В получая секретное сообщение вычисляет ключ этого секретного сообщения, возводя открытый ключ пользователя А в степень своего секретного ключа, т.е.

K_B_А= f(x)^y = a ^x
y mod p

т.е. очевидно K_АВ = K_B_А

Криптосистема RSA с открытым ключом

Эта система была предложена Диффи и Хелманом и получила название открытое шифрование.

Схема

Пользователь А имеет программу шифрования V, секретный ключ X, и открытый ключ Y. Пользователь В имеет программу шифрования V и сообщение M.

Открытый ключ передаётся пользователю В, который осуществляет шифрование сообщения М при помощи открытого ключа Y и получаем зашифрованное сообщение С, которое передаётся по открытым каналам пользователю А. Пользователь А осуществляет дешифрацию сообщения С на основе ключа X и получает сообщение M. Т.е. для шифрации и дешифрации используются различные ключи, которые связаны между собой , но устроены так, что по одному нельзя вычислить другой.

Идея основывается на использовании:

Односторонняя функция с потайным входом - это семейство обратных функций f _zс параметром z таких, что при данном z можно найти алгоритмы Е _z и D _z,позволяющие легко вычислить функцию f _z (x) для всех x из области определения и f_z^-1 (y) для всех y из области значений. Однако, практически для всех z и практически для всех y из области значений f _zнахождение обратной функции f_z^-1 (y) вычислительно не осуществимо даже при известном Е_z .

Каждый пользователь, скажем пользователь А случайным образом выбирает значения z_aи держит его в секрете. Далее он формирует алгоритм Еz_a и публикует его в открытом справочнике кроме этого он также формирует алгоритм Dz_aи держит его в секрете. Если пользователь В хочет послать секретное сообщение М пользователю А, то он извлекает из открытого справочника алгоритм Е z_aи использует его для получения криптограммы С = f z_a (М) . а криптограмма передается пользователю А. Пользователь А на основе секретного алгоритма Dz_a выполняет обратную функцию f z_a(С) = М дешифрации сообщения.

Если f_z является действительно односторонней функцией с потайным входом (с лазейкой), то эта криптосистема обеспечивает безусловную практическую стойкость.

Ривест , Шамер , Аденшан

R S A - кодирование

Идея авторов состояла в том, что взяв целое число n в виде произведения двух больших простых целых числа p и q (n = p*q) можно легко подобрать пару чисел для любого целого числа m <n выполнять соотношение (m^d) = m mod n т.е. в качестве открытогоключа в системе R S A выступает пара y (n,e), а секретным ключом является число d .

Процедура шифрования сообщения М , которое рассматривается как целое число меньше n , состоит в вычислении следующего выражения:

C = M^emod n

Взаимно простые числа - это числа, которые не имеют ни одного общего делителя, кроме 1. Тогда последовательность действий выглядит следующим образом. Для того, чтобы создать свой секретный и открытый ключи, пользователь А случайным образом выбирает 2 очень больших простых числа, перемножает их с целью получения n , число n опубликовывает, а множители p и q держит в секрете, т.е. они составляют секретный ключ. Используя p и q пользователь может вычислить специальную функцию Эйлера, которая показывает количество целых чисел < n и взаимно-простых по отношению к n. Функция Эйлера : F(n) = (p-1) (q-1)

Затем пользователь случайным образом выбирает из интервала от 2 до F(n)-1 (2<=e<=F(n)-1) случайное число e , которое также опубликовывает.

Например F(6)= (3-1)(2-1)= 2

Очевидно, что для простого числа p функция Эйлера будит равна: F(p)=p-1

Для двух простых чисел вычисляется: F(p)= (p-1(q-1)

Т.о. любой пользователь , который знает число n и e может выполнить процедуру шифрования. Но только тот пользователь который знает p и q способен выполнить обратную процедуру.

C = M^emod n

Знаменитая теорема Эйлера гласит, что для любых чисел x и n (x<n) выполняется следующее выражение:

X^F⁽ⁿ⁾ = 1 mod n

при условии, что mod (x,n) = 1 т.е. если x и n взаимно просты между собой , то выполняется такое действие. Используя засекреченное число F(n) пользователь А может легко вычислить число d такое , что произведение

ed =1mod F(n).

Если е имеет общий множитель с F(n), то d не существует и надо выбрать другое e.

Эквивалентно ed =k * F(n)+1 , где к - любое число.

Последнее выражение Эвилид.

Отсюда видно, что е необходимо выбирать взаимно простым с (p-1)(q-1). А d может быть вычислено по так называемому расширенному алгоритму Евклида для нахождения mod

, тогда поскольку

X ^к^F(ⁿ⁾⁺¹ = x mod n

для всех целых чисел Х, лежащих между Q и (n-1) и для всех целых к

операцию дешифрации можно выполнить по средствам возведения шифрованного сообщения C в степень d

C^d = (M^e)^d = M^ed=M^{e F(n)+1}= Mmod n

Рассмотрим пример:

p=17

q=31 n=527 , тогда

F(n) = (p-1)(q-1) =480.

Теперь выбираем e=7 b d=343, т.к. 7*343 = 2401 = 5*480+1.

Пусть М = 2, тогда C = M^emod n = 2⁷ mod 527 = 128

Для дешифрации вычислим ключ m.

M= C^d mod n= 128³⁴³ mod 527

=128²⁵⁶ * 128⁶⁴*128¹⁶*128⁴*128²* 128¹*mod 527

Пусть требуется зашифровать следующее сообщение «САВ». Выберем р=3, q=11, тогда n= 33. Соответственно F(n)= 20

В качестве d выбираем любое число ,которое является взаимно простым с 20.

d = 3

В качестве e берем любое число , для которого выполняется соотношение:

(l*3) mod 20 = 1, e=7

Тогда представим сообщение:

А=1, В=2, С = 3 и т. д.

С1= 3⁷ mod 33

Безопасность ЛВС

Всегда в теме

Архив

Популярное

Поиск

Web-дизайн

Полезные ссылки