| Новые программы oszone.net |  |
Введение
Изначально, стандарты протокола TCP/IP не были предназначены для защиты IP-пакетов. Соответственно, по умолчанию пакеты IP можно легко интерпретировать, изменять и воспроизводить. Без какой-либо защиты данных пакетов IP, как общественные, так и частные сети оказываются уязвимыми для несанкционированного наблюдения и доступа. Протокол Internet Protocol Security (IPSec) представляет собой систему открытых стандартов, которые предложила Рабочая группа инженеров Интернета (IETF – Internet Engineering Task Force) IPSec, обеспечивающие защиту сетей, используя для этого криптографические протоколы безопасности и динамическое управление ключами. IPSec использует модель сквозной безопасности с установкой доверия и безопасности между исходным и конечным IP-адресами. IPSec позволяет защищать IP-трафик как от узла к узлу в том случае, когда два узла IPSec обмениваются данными, так и посреди сетевого пути в том случае, когда IPSec маршрутизаторы обеспечивают защиту трафика из Интернета. О защищаемом трафике должны знать только два компьютера — отправляющий и принимающий. Помимо этого, протокол IPSec можно использовать для обеспечения защиты всех коммуникаций между всеми сторонами при помощи проверки подлинности и шифрования без необходимости изменения каких-либо приложений или протоколов. То есть, если вам необходимо убедиться в том, что на выходе сообщения не изменяется и злоумышленник не может их прочитать, IPSec обеспечивает превосходное решения для обеспечения этих целей. Стоит запомнить, что протокол IPSec не является компонентом брандмауэра операционной системы. Но, несмотря на это, для снижения нагрузки на администраторов IPSec использует администрирование на основе политик. Данный протокол позволяет централизовано управлять политиками, предназначенными для разрешения, блокировки или назначения безопасности, для одноадресного IP-трафика, на основе конкретных адресов, протоколов и портов. Начиная с этой статьи, я расскажу вам об использовании, настройке и сценариях применения политики IPSec. Возможности протокола IPSecПротокол IPSec операционной системы Windows предоставляет следующие возможности:
Также, у данного протокола, начиная с операционной системы Windows Server 2008 присущи несколько значительных улучшений. Прежде всего, теперь правила безопасности подключений позволяют реализовать IPSec для сетевых коммуникаций с проверкой подлинности. Начиная с операционной системы Windows Vista, правила безопасности подключений теперь реализованы в виде опции, которые можно внедрять с помощью групповой политики в брандмауэре Windows в режиме повышенной безопасности. Заголовки IPSecВ операционных системах Windows протокол IPSec защищает данные, которые передаются по сети, инкапсулируя оригинальные полезные данные с заголовком IPSec режима транспорта (Authentication Header, AH или Encapsulating Security Payload, ESP) или заголовка IPSec и дополнительного заголовка IP для режима туннелирования. Как вы уже знаете, протокол IPSec обычно используется для преобразования UDP и TCP портов, которые используются приложениями и службами операционной системы в один поток безопасного трафика в обход незащищенной сети. Каждая политика безопасности IPSec состоит из одного или нескольких правил IPSec, определяющих защиту трафика IP. В свою очередь, каждое правило IPSec связано с одним списком фильтров IP и одним действием фильтра. Список фильтров IP содержит набор из одного или нескольких фильтров IP, которые захватывают трафик для политики IPSec. Фильтры IP определяют начальные и конечные адреса, диапазон адресов, имя компьютера, TCP или UDP порт, или тип сервера. Если трафик, добавляемый на компьютер с назначенной политикой, соответствует фильтру в одном из заданных правил политики, то выполняется действие фильтра, которое назначено для текущего правила. В зависимости от того, какой протокол используется, вы можете шифровать весь исходный пакет, только инкапсулированные полезные данные или оба пакета. Оба протокола описаны ниже:
Рис. 1. Структура заголовка AH Как видно на предыдущей иллюстрации, данный заголовок включает в себя следующие поля: Следующий заголовок. Однобайтовое поле, которое используется для определения следующего заголовка полезных данных. Длина полезной нагрузки. Однобайтовое поле, указывающее количество байт в предыдущем поле длины полезной нагрузки AH в 32-битовых (четырехбайтных) блоках, не считая первые два блока. Зарезервировано. Двухбайтовое поле, которое является зарезервированным и должно равняться 0. Зарезервированное поле включается в поле проверки подлинности данных. Индекс параметра безопасности. Четырехбайтовое поле, которое определяется в том случае, если для текущей датаграммы в IP-заголовке, в сочетании с полем адреса назначения и преобразования (АH) используется сопоставление безопасности (SA). Порядковый номер. Четырехбайтовое поле, содержащее счетчик, который начинается с 0 в случае создания сопоставления безопасности. Первый пакет сопоставления безопасности имеет порядковый номер 1. Поле «Порядковый номер» обеспечивает защиту от повтора, поскольку его значение защищает значение проверки подлинности (ICV). Когда порядковый номер достигает максимального значения (4,294,967,295 или 232 – 1), новые сопоставления безопасности IPsec устанавливаются для поддержания порядкового номера от повтора SA. Если устанавливаются новые сопоставления безопасности IPSec, то порядковый номер для сопоставления безопасности опять начинается с 0. Проверка подлинности данных. Поле переменной длины, которое содержит ICV расчета отправителя. В Windows Server 2008 это код проверки подлинности на основе хеша сообщения (hash-based message authentication code, HMAC) Digest 5 (MD5) или HMAC Secure Hash Algorithm 1 (SHA1) хеш-значения. Поле Проверка подлинности обеспечивает проверку подлинности источника данных и служб безопасности целостности данных. Размер поля Проверка подлинности для HMAC-MD5 и HMAC SHA1 составляет 12 байт (96 бит). Для алгоритма произвольных ICV размер поля проверки данных подлинности должно быть целым числом 32-разрядных (4-байтных) блоков.
Рис. 2. Структура заголовка ESP Заголовок ESP включает в себя следующие поля, причем, основными считаются только первые два: Индекс параметра безопасности. Четырехбайтовое поле, определяемое в сочетании с полем адреса назначения IP-заголовка и ESP, который считается специфическим SA для данной датаграммы. Порядковый номер. Четырехбайтовое поле, которое содержит то же поле, что и у поля «Порядковый номер» заголовка AH. Заполнение. Поле переменной длины (от 0 до 255 байт), которое используется для заполнения полезных данных соответствующей длины, в зависимости от используемого алгоритма шифрования, выравнивания части ESP пакета по 4 байта или умышленного скрытия длины зашифрованных полезных данных. Длина заполнения. Поле, длиной в один байт, которое задает количество байтов в поле заполнения. Следующий заголовок. Однобайтовое поле, которое используется для определения следующего заголовка в полезных данных. Данное поле использует те же значения, что и поле «Протокол» заголовка IP. Проверка подлинности данных. Поле переменной длины, которое содержит расчет ICV отправителя, то есть значение HMAC MD5 или HMAC SHA1. Так как используется уникальный алгоритм ICV, который согласовывается до отправки данных заголовка ESP и индекса завершения, то каждый одноранговый узел знает размер части данных проверки подлинности части индекса завершения ESP и может определить расположение окончания ESP-инкапсулирования полезных данных. Компоненты IPSecПротокол IPSec состоит из трех основных компонентов: службы агента политики IPSec, обмена ключами в Интернете, а также драйвера IPSec. Данные компоненты подробно расписаны в следующих подразделах. Агент политики IPSecДанный компонент предназначен для загрузки сведений политик IPSec, их передачи в другие компоненты IPSec, а также для обеспечения работы служб безопасности которых необходимы данные сведения. По сути, агент политики IPSec представляет собой службу, которая расположена на каждом компьютере с операционной системой Windows и в соответствующей оснастке, отображается в списке служб как «Служба IPSec», и выполняет следующие действия:
Стоит обратить внимание, что если компьютер является членом домена, то загрузка политики IPSec выполняется непосредственно при загрузке операционной системы через интерфейс опроса Winlogon, а также через интервал, который задается в политике IPSec. Служба политики IPSec показана на следующей иллюстрации. Рис. 3. Принцип работы агента политики IPSec Обмен ключами в ИнтернетеКак уже было сказано ранее, перед началом безопасного обмена данными, между двумя компьютерами должно быть усыновлено безопасное подключение. Для создания соглашения между двумя компьютерами существует метод сопоставления безопасности и разрешения обмена ключами, который называется обменом ключами в Интернете (Internet Key Exchange, IKE). Данный метод централизует управление сопоставлением безопасности, тем самым сокращая время подключения, а также создаёт общие секретные ключи, которые используются для защиты и управления данными. Сопоставление безопасности представляет собой сочетание согласованного ключа, протокола безопасности, а также индекса параметров безопасности, в совокупности определяющих механизмы безопасности, которые используются для защиты данных, передаваемых между сторонами соединения. Этот процесс не только защищает обмен данными между двумя компьютерами, но также защищает и удаленные компьютеры, которые запрашивают безопасный доступ к внутренней сети организации. Индекс параметра безопасности (Security Parameters Index, SPI) является уникальным определяющим значением в сопоставлении безопасности, которое используется для нескольких сопоставлений безопасности на принимающем компьютере. Для обеспечения успешной и безопасной связи IKE выполняет операцию в два этапа. На первом этапе два компьютера создают безопасный канал с проверкой подлинности, который называется сопоставлением безопасного режима. Во время этого этапа сначала выполняется согласование политики безопасности основного режима при помощи алгоритма шифрования (DES или 3DES), алгоритма проверки целостности (MD5 или SHA1), группы Дифи-Хелмана или метода проверки подлинности (Kerberos, сертификат или предварительный ключ). После этого на первом этапе осуществляется обмен сведениями, которые необходимы алгоритму определения ключа Дифи-Хелмана для создания общего секретного ключа. После обмена на каждом компьютере создается основной ключ, используемый для защиты проверки подлинности. Последним шагом на данном этапе является проверка подлинности. В этот момент компьютеры выполняют проверку подлинности при обмене ключами Дифи-Хелмана. Все сведения учетной записи хешируются и шифруются с помощью ключей, созданных по результатам обмена сведениями о группе Дифи-Хелмана на предыдущем шаге. На втором этапе обмена ключами в Интернете сопоставления безопасности согласуются от имени драйвера IPSec. Во время данного этапа выполняются следующие шаги: идет согласование политики, во время которого компьютеры IPSec обмениваются такими требованиями к защите передачи данных, как протокол IPSec, а именно AH или ESP, алгоритм хеширования для проверки подлинности (MD5 или SHA1), а также, если запрашивается, алгоритм шифрования (DES или 3DES). Далее происходит обновление или обмен материалом для создания ключа сеанса. В это время IKE обновляет сведения о ключе, после чего происходит создание новых общих ключей для проверки подлинности и шифрование пакетов. И, напоследок, идет процесс сопоставления безопасности, после чего ключи передаются в драйвер IPSec вместе с SPI. Данный процесс вкратце изображен на следующей иллюстрации: Рис. 4. Процесс обмена ключами в Интернете Драйвер IPSecПоследний компонент, драйвер IPSec получает список активных фильтров от агента политики IPSec, а после чего сверяет все входящие и исходящие пакеты с фильтрами в текущем списке. В том случае, если пакет полностью совпадает с данным фильтром, то к нему применяется действие самого фильтра. Если же пакет не соответствует ни одному доступному фильтру, то он возвращается в драйвер TCP/IP для приема или передачи без всяких изменений. Как для обработки входящего, так и исходящего трафика применяются ключи и сопоставление безопасности быстрого режима. В свою очередь, драйвер IPSec содержит в своей базе данных все текущие сопоставления безопасности быстрого режима и для правильного применения сопоставлений безопасности и пакетов использует индекс параметров безопасности. После того как согласование безопасности будет завершено, драйвер IPSec на отправляющем компьютере принимает от IKE сопоставление безопасности, которое содержит ключ сеанса. Затем драйвер IPSec в базе данных находит исходящее сопоставление безопасности и вставляет индекс параметров безопасности в заголовок AH или ESP. После этого он подписывает пакеты и отправляет их на уровень IP для пересылки на компьютер назначения. При получении IP-пакетов, которые считаются небезопасными, драйвер IPSec всегда их сверяет со списком фильтров, задающим туннели IPSec, а затем со всеми фильтрами передачи данных между сторонами подключения. Принцип работы драйвера IPSec вы можете просмотреть на следующей иллюстрации: Рис. 5. Принцип работы драйвера IPSec ЗаключениеВ этой статье была рассказана вводная часть о протоколе IPSec, который представляет собой систему открытых стандартов, обеспечивающих защиту сетей, используя для этого криптографические протоколы безопасности и динамическое управление ключами. Вы узнали о необходимости использования данной технологии в корпоративной среде, об основных возможностях данного протокола. Помимо этого были рассмотрены заголовки Authentication Header и Encapsulating Security Payload, посредством которых передаются защищенные данные по сети. Также, вкратце, были рассмотрены такие компоненты IPSec как агент политики IPSec, обмен ключами в Интернете, а также драйвер IPSec. В следующих статьях данного цикла вы узнаете о режиме транспорта, режиме туннелирования, сценариях использования, о настройке политик IPSec, а также о многом другом.
Теги:
Безопасность, IPsec, Дмитрий Буланов.
|
|
По каким-то причинам, так исторически сложилось, что многим организациям трудно найти удачное соотношение между защитой передачи своих данных и покрытием расходов, которые будут затрачены на поддержку такой защиты. К сожалению, чаще всего, только администраторы понимают, что обеспечение и поддержка безопасной инфраструктуры может повлечь расходы, превышающие затраты на сетевое оборудование. Все знают, что в свое время всемирная сеть Интернет была создана для открытого общения между удаленными компьютерами. Также все знают, что за последнее время много чего изменилось и сейчас Интернет считается довольно таки опасной сетевой средой. В сфере безопасности большинство сценариев нацелены на предотвращение атак злоумышленников, блуждающих по просторам Интернета. Компьютеры, которые имеют доступ в сеть Интернет нужно должным образом защищать от различных злоумышленников и вредоносных программ, которые несанкционированным образом пытаются получить доступ к данным и ресурсам пользовательских компьютеров. Сейчас брандмауэры, расположенные на клиентских компьютерах и серверах, межсетевые экраны, расположенные на периметре сети в демилитаризованной зоне, безопасные маршрутизаторы и строгие политики проверки подлинности для удаленных подключений практически безупречно выполняют свою работу. Возможно, кто-то из вас удивится, но укрепление периметра сети вашей организации является лишь частью обеспечения безопасности вашей организации, так как все указанные выше средства никак не могут вас защитить от атак, производимых внутри компании. Порой частные интрасети могут содержать как своего рода злоумышленников, так и вредоносные программы, из-за работы которых ваша организация может потерять значительно больше информации, так как такие атаки смоделированы внутренними сотрудниками вашей организации, причем, брандмауэры и прочие пограничные устройства никак не смогут защитить вашу организацию от таких угроз. Корпорация Microsoft предоставляет технологию IPSec, встроенную в операционную систему Windows, которая позволяет защищать сеть вашей организации, как от внешних, так и от возможных внутренних атак.
