Теоретическая проработка схемы защищенной сети (построение сетевой и прикладной структуры защищенной сети)Виртуальная частная сеть ViPNet — сеть, состоящая из компьютеров, на которых установлено ПО ViPNet. Каждая сеть ViPNet имеет свой уникальный номер при поставке сети конкретному заказчику. При формировании идентификаторов объектов сети номер сети представляется в виде четырехзначного шестнадцатеричного числа. Каждая сеть должна содержать свой ЦУС и свой УКЦ. Сеть состоит из сетевых узлов (СУ), каждый из которых является либо Координатором (с установленным ПО ViPNet [Координатор]), либо Абонентским Пунктом (АП) (с установленным ПО ViPNet [Клиент]). Каждый АП привязан к одному серверу. Для размещения ЦУС и УКЦ в сети выделяются один или 2 АП - АП ЦУСа и АП УКЦ. Каждому СУ в ЦУСе присваивается уникальный 9 символьный идентификатор СУ NNNNPPPPO. Идентификатор образуется из номера сети NNNN и номера СУ в сети в шестнадцатеричном представлении РРРР. Девятый символ зарезервирован и в настоящее время равен '0' для всех СУ сети. На каждом СУ регистрируются один или несколько типов коллективов (TK). С точки зрения шифрования информации в сети ViPNet основными объектами адресации при шифровании являются коллективы. Коллективы образуются путем регистрации TK на СУ или группе СУ. TK, зарегистрированный на группе СУ, образует на каждом СУ этой группы коллектив с единым наименованием и обеспечивает удобство при конфигурации сети для коллективов одного типа, однозначно связанных между собой. Таким образом, коллектив - это всегда пара: (ТК, СУ). УКЦ производится только для коллективов в соответствии с заданными связями. Любые два СУ считаются связанными, если задана некоторая связь между любым ТК, зарегистрированном на одном СУ, и любым ТК, зарегистрированным на другом СУ. Если два СУ связаны, автоматически устанавливается связь и между общими коллективами данных СУ. Пользователи сети ViPNet регистрируются в ненулевых коллективах. Пользователь может входить в несколько коллективов, зарегистрированных на одном или нескольких СУ. Пользователь считается зарегистрированным на СУ только в том случае, если он зарегистрирован хотя бы в одном ненулевом ТК, зарегистрированном на данном СУ. При этом любой пользователь, зарегистрированный на СУ, автоматически регистрируется в общем коллективе СУ. Это означает, что все пользователи, зарегистрированные на СУ, имеют равный доступ к ключам общего коллектива.
Основные понятия сети ViPNet (Основные понятия адресной администрации, основные понятия прикладной администрации, идентификация объектов защищенной сети) Подсистема адресной администрации сети Функциональное назначение Подсистема адресной администрации решает следующие задачи: 1. Регистрация нового СМ в сети: - задание (уникального) мнемонического имени (50 символов); - выделение уникального номера СМ; - выделение уникального идентификатора СМ. 2. Регистрация нового АП в сети: - задание (уникального) мнемонического имени (50 символов); - подключение к определенному СМ (выделение индивидуального сетевого адреса); - выделение уникального идентификатора АП. 3. Регистрация новых сетевых групп (подгрупп) АП: - задание (уникального) мнемонического имени (50 символов); - выделение уникального номера группы (сетевого адреса группы); - выделение уникального идентификатора группы. 4. Модификация состава сетевой группы (подгруппы) АП: - включение в АП в группу; - удаление АП из группы. 5. Удаление СМ, АП, групп АП. 6. Добавление/удаление межсерверного канала. 7. Добавление/удаление межсетевого канала. 8. Выдача справочной информации (количество АП, СМ, групп АП, каналов). 9. Формирование для Серверов-маршрутизаторов таблиц маршрутизации. 10. Выдача в текстовый файл содержимого БД подсистемы. 11. Контроль корректности БД подсистемы.
Основные понятия прикладного уровня Прикладная задача Прикладная задача (ПЗ) – это совокупность программных средств, предназначенных для решения целевых и служебных задач сети. В настоящей версии поддерживаются следующие ПЗ: Деловая почта, Центр управления сетью, Ключевой центр, Защита трафика, Сервер IP-адресов, Центр регистрации, Секретный диск и др. Каждой ПЗ присвоен уникальный 4-символьный шестнадцатеричный идентификатор, который включается в транспортные конверты, генерируемые в рамках этих задач. На одной машине могут быть инсталлированы несколько ПЗ. По идентификатору ПЗ прикладная программа понимает, что конверт адресован именно ей.
Пользователь (Абонент) Абонентом (или пользователем) сети ViPNet называется владелец ключей пользователя для доступа в сеть. Пользователь несет всю полноту ответственности за действия, производимые в сети с использованием его ключей пользователя. Имя пользователя (56 символов) должно быть уникальным в сети. При необходимости это имя можно изменять. При регистрации пользователя автоматически создается уникальный 8-символьный шестнадцатеричный идентификатор пользователя. Пользователь может регистрироваться в составе одного или нескольких коллективов на одном или нескольких сетевых узлах.
Коллектив, тип коллектива и связь коллективов Отправителями и получателями почтовых сообщений в сети являются коллективы, в состав которых входят пользователи, имеющие одинаковые права. Поэтому на каждом сетевом узле (в том числе СМ) обязательно должен быть зарегистрирован хотя бы один коллектив, а в нем хотя бы один пользователь. На одном сетевом узле (АП) может быть создано несколько различных коллективов, имеющих свои ключи для шифрования конфиденциальной информации. Коллектив - это совокупность пользователей одного сетевого узла, имеющих одинаковые ключи для шифрования конфиденциальной информации. Каждый коллектив имеет уникальный 13-символьный шестнадцатеричный идентификатор, составленный из 4-символьного шестнадцатеричного идентификатора типа коллектива и 9-символьного шестнадцатеричного идентификатора сетевого узла. Включение пользователя в коллектив означает, что пользователь может расшифровать конфиденциальную информацию, отправленную этому коллективу или любому пользователю этого коллектива. Коллектив появляется в адресных справочниках АП, если в нем зарегистрирован хотя бы один пользователь.
Тип Коллектива Если на нескольких сетевых узлах должны быть коллективы с одинаковым именем и имеющих возможность связываться друг с другом, то такие сетевые узлы объединяются в одну сетевую группу, а на этой группе можно зарегистрировать один тип коллектива. Если тип коллектива зарегистрирован на одном АП, то этот тип коллектива совпадает с коллективом данного АП. Тип коллектива (ТК) регистрируется на определенном одном сетевом объекте (узле или группе). Этот сетевой объект называется ОБЛАСТЬЮ ДЕЙСТВИЯ ТК. При регистрации ТК ему автоматически выделяется уникальный 4-символьный шестнадцатеричный идентификатор. Это означает, что в сети допускается регистрация более 65 тыс. различных ТК. Регистрация ТК на сетевой группе означает автоматическую регистрацию коллективов этого типа на всех узлах и подгруппах этой сетевой группы. Это также автоматически означает, что коллектив определенного типа, действующий на одном сетевом объекте, имеет связь с любым коллективом этого же типа на любом другом сетевом объекте из области действия этого ТК.
Связь Коллективов Связь между коллективами означает, что эти коллективы видят друг друга в адресных справочниках своих АП и могут связываться между собой с помощью шифрованной связи на уникальных парных ключах, т.е. эту операцию могут осуществить любые пользователи, входящие в соответствующие коллективы. Связь между коллективами означает также, что в ключах узлов, на которых зарегистрированы данные коллективы, будут присутствовать ключи транспортного уровня для связи между АП данных коллективов. Для связи с СМ, на которых зарегистрированы данные АП, в ключи соответствующих Узлов на ключи транспортного уровня заносятся автоматически. В ключи узла АП с ЦУС автоматически, независимо от установленных связей, заносятся транспортные ключи для связи со всеми объектами сети (АП и СМ). Связь между коллективами может появиться только, если они не пустые, то есть после регистрации в каждом из них хотя бы одного пользователя. Связь между коллективами типа G1 с областью действия N1 и коллективами типа G2 с областью действия N2 автоматически означает, что коллектив типа G1 на любом сетевом объекте N1i из области действия группы N1, имеет связь с любым коллективом типа G2 на любом сетевом объекте N2j из области действия N2.При регистрации ТК вводится имя длиной до 50 символов. Это имя должно быть уникальным в сети. По желанию это имя можно изменять. Удаление ТК означает удаление его из каталога типов коллективов, а также удаление всех записей из каталога персональных списков коллективов этого типа. При создании каталога типов коллективов в него автоматически включается ТК с идентификатором ―0000‖, именем ―Пользователь деловой почты‖ и областью действия ―Вся сеть‖, имеющей идентификатор ―0000‖.Ключи коллектива этого типа используются для шифрования сообщений, адресуемых абонентскому пункту в целом, то есть всем пользователям данного АП.
Главный Коллектив Если пользователь входит в несколько коллективов, то среди них всегда выделяется один коллектив, называемый главным. Новые ключи пользователя отправляются только на тот АП, где зарегистрирован главный для данного пользователя коллектив. На другие АП ключи пользователя переносится им самостоятельно.
Открытые и Скрытые Коллективы Коллективы могут быть открытыми и скрытыми для данного пользователя. Если коллектив определен как открытый для пользователя, то другие пользователи могут видеть его в этом коллективе в адресном справочнике АП. Если коллектив определен как скрытый для пользователя, то другие пользователи не будут знать, что он входит в этот коллектив, хотя такому пользователю доступна вся информация, адресованная пользователям данного коллектива. 9. Особенности криптосистемы ViPNet. Криптоядро «Домен-К» Система защиты информации ViPNet использует комбинацию криптографических алгоритмов с симметричными и асимметричными ключами. Симметричные алгоритмы используются для шифрования и проверки целостности информации. Асимметричные алгоритмы используются для обмена ключами и создания электронной цифровой подписи. Особенность комбинирования криптографических алгоритмов с симметричными и асимметричными ключами заключается в том, что шифрование информации происходит на комбинации симметричного ключа, созданного администратором УКЦ, и ключа, созданного на основе асимметричных ключей, создаваемых пользователями. Такая схема позволяет ограничить доступ к информации со стороны администратора безопасности, которому известны все симметричные ключи в сети, но неизвестны асимметричные ключи пользователей.
Когда говорят, что какой-то объект (это может быть сеть, сетевой объект, коллектив, абонент) имеет асимметричный ключ, то это означает, что данный объект сам создал АСК (как случайную комбинацию путем использования ДСЧ) и хранит этот АСК в секрете наравне с остальными ключами. Кроме того, этот объект создает соответствующий АОК и помещает его в справочник. В системе ViPNet реализована строгая рассылка справочников открытых ключей. Во-первых, эти справочники рассылаются под защитой симметричных ключей, во-вторых, они рассылаются только тем, с кем разрешены связи. Это обеспечивает значительно более высокий уровень защиты справочников от подмены, по сравнению с системами, допускающими свободный доступ к справочникам открытых ключей. Когда говорят, что какой-то объект (это может быть сеть, сетевой объект, коллектив, абонент) имеет асимметричный ключ, то это означает, что данный объект сам создал АСК (как случайную комбинацию путем использования ДСЧ) и хранит этот АСК в секрете наравне с остальными ключами. Кроме того, этот объект создает соответствующий АОК и помещает его в справочник. В системе ViPNet реализована строгая рассылка справочников открытых ключей. Во-первых, эти справочники рассылаются под защитой симметричных ключей, во-вторых, они рассылаются только тем, с кем разрешены связи. Это обеспечивает значительно более высокий уровень защиты справочников от подмены, по сравнению с системами, допускающими свободный доступ к справочникам открытых ключей.
Криптоядро «Домен-К» СКЗИ «Домен-К» представляет собой пакет библиотек и программ, реализующих ключевой центр, прикладной криптографический интерфейс, криптографический драйвер. СКЗИ «Домен-К» при соблюдении правил пользования обеспечивают: 1. Высокую стойкость шифрования информации. 2. Гарантированное подтверждение авторства и подлинности электронных документов. 3. Обнаружение случайных или намеренных искажений защищаемой информации с вероятностью, не меньшей 1 - 10'9. 4. Защиту используемых ключей. 5. Контроль целостности программного обеспечения. 6. Надежное автоматизированное управление ключевой системой. Допускается использование программных средств СКЗИ «Домен-К» в операционных системах Windows 2000, Windows ХР, Linux Red Hat 7.2, FreeBSD 4.4, функционирующих на плат- форие Intel, и Solaris 8, функционирующей на платформе Sparc. В СКЗИ «Домен-К» используются алгоритмы: • Шифрование гаммированием с обратной связью в соответствии с ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования». Шифрование выполняется на ключах, которые надлежит хранить в тайне. • Вычисление имитозащитной вставки в соответствии с ГОСТ 28147-89. Предназначено для защиты передаваемой (или хранимой) информации от случайных или преднамеренных искажений. Выполняется на ключах, которые надлежит хранить в тайне. • Вычисление и проверка электронной цифровой подписи в соответствии с ГОСТ Р 34.10— 2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи». Вычисление ЭЦП производится с использованием секретных ключей. • Хэширование информации в соответствии с ГОСТ Р 34.11-94 «Информационная технология. Криптографическая защита информации. Функция хэширования». Представляет собой однонаправленное преобразование свертки, независящее от ключа. Используется в алгоритмах ЭЦП, а также для подтверждения достоверности данных (в частности, паролей). Размер секретных ключей шифрования, секретных ключей ЭЦП и секретных ключей Диффи-Хелмана (секретных ключей для открытого распределения ключей) составляет 256 битов (32 байта). Размер открытых ключей ЭЦП и открытых ключей для протокола Диффи- Хелмана составляет 1024 бита (128 байтов) при использовании 512 бит (64 байта) для ГОСТ Р 34.10-2001. Используемые в ViPNet алгоритмы шифрования, хеширования, ЭЦП. Схема открытого распределения симметричных ключей Диффи-Хелмана. Комбинация криптографических алгоритмов с симметричными и асимметричными ключами
|
