Межсетевые экраны

Защита от несанкционированного доступа при взаимодействии с внешними сетями может быть решена с помощью специализированных программно-аппаратных комплексов, межсетевых экранов, брандмауэров или систем FireWall. Организационно экран входит в сосав защищаемой сети. Брандмауэр не является симметричным. Для него отдельно задаются правила, ограничивающие доступ из внутренней сети во внешнюю сеть и наоборот.

К основным функциям межсетевых экранов относят:

- идентификация и аутентификация пользователей;

- проверка подлинности передаваемых данных;

- разграничение доступа к ресурсам внутренней сети;

- разграничение доступа к ресурсам внешней сети;

- фильтрация и преобразование потока сообщений (динамический поиск вирусов, шифрование информации, …);

- трансляция внутренних сетевых адресов для исходящих пакетов сообщений;

- регистрация событий, реагирование на задаваемые события, а также анализ зарегистрированной информации и генерация отчетов;

- кэширование данных, запрашиваемых из внешней сети.

Брандмауэров при обработке информационных потоков использует следующие данные: информация о соединениях; история соединений; состояние приложения и агрегированные данные.

При выполнении фильтрации информационный поток проходит через последовательность фильтров, каждый из которых выполняет следующие функции:

- анализ информации и определение ее параметров для принятия решения о пропуске потока данных;

- принятие одного из четырех решений на основе правил: не пропустить данные; обработать данные от имени получателя и возвратить их отправителю; передать данные на следующий фильтр для продолжения анализа;

- пропустить данные, игнорируя следующие фильтры.

Криптография. Идентификация пользователей

Криптография – это область знаний о шифрах, методах их сознания им раскрытия. В настоящее время современные проблемы криптографии не ограничиваются только засекречиванием информации, а также включают разработку систем электронной подписи, тайного электронного голосования, методов защиты от ложных сообщений, идентификации пользователей и т.д.

Для осуществления идентификации пользователей используются криптосистемы, которые подразделяются на симметричные и несимметричные криптосистемы.

В симметричных криптосистемах для шифрования и для расшифровывания используют один и тот же ключ.

В несимметричных системах, с открытым ключом, используют два ключа открытый и закрытый, который связан с открытым ключом. Информация шифруется с помощью открытого ключа, который известен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения.

Система поддержки безопасности информации осуществляет распределение ключей и управление ключами.

Все симметричные криптосистемы относят к следующим классам:

- с моноалфавитными подстановками;

- с перестановками символов;

- с гаммированием (символы исходной последовательности складываются по модулю равному количеству символов в алфавите) с числами псевдослучайной последовательности.

Криптосистема с открытым ключом основывается на двух ключах k₁ и k₂ и определяется тремя алгоритмами: генерация ключей; шифрования и расшифрования. Один из ключей называют открытым, а второй секретным. Алгоритмы шифрования E и расшифрования D сообщения m таковы, что D(E(m))=m. Центральным понятием в теории асимметричных криптографических систем является понятие односторонней функции. Неформально под односторонней функцией понимают эффективно вычисляемая функция, для обращения которой (т. е. для поиска одного значения аргумента по заданному значению функции) не существует эффективных алгоритмов.

В 1978 г. Р.Риверст, А. Шамир, и Л.Адлеман предложили пример функции f для шифрования. На основе ее была построена система шифрования, получившая название RSA по первым буквам имен авторов.

Схема функционирования криптосистемы RSA выглядит следующим образом:

1. Выбираем два больших, не равных между собой простых числа p и q, находим n=pq, вычисляем f(n)=(p-1)(q-1).

2. Выбираем целое число e так, чтобы e < f(n), НОД(e, f(n))=1, и вычисляем d, удовлетворяющее условию ed=1(modf(n)).

3. Процедура подписывания сообщения M – это возведение числа M в степень d по модулю n. S =Md(modn). Число S есть цифровая подпись, которую может выработать только владелец секретного ключа d.

4. Процедура проверки подписи S, соответствующей сообщению M, это возведение числа S в целую степень e по модулю n: M’ =Se(modn). Если M=M’ то считается, что сообщение M подписано пользователем, который составил ранее открытый ключ e.

Рассмотрим алгоритмы системы криптографии с открытом ключом на примере. Необходимо, применив метод шифрования без ключа, зашифровать сообщение, состоящее из последовательности букв “RSA”. Для этого выполним следующие действия.

1 Выбираем два больших не равных между собой простых числа p и q:

P = 17; q = 31.

2 Находим n и функцию Эйлера (n):

n = p × q = 17 × 31 = 527; (n) = (p - 1) × (q - 1) = (17- 1) × (31 - 1)= 480.

3 Выбираем целое число e так, чтобы выполнялись условия:

e < (n) и НОД(e, (n)) =1.

Числом e может быть 7, так как 7 < 480 и числа 7 и 480 являются взаимно простыми.

4. Вычисляем d, удовлетворяющий условию ed=1(mod (n)). Используя алгоритм Евклида найдем целые числа u и v, такие что

eu + (n)v =1:

7×u = 480 × v =1; откуда u= - 137; v = 2.

Находим d из соотношения: u = d(mod((n)): -137 =d(mod(480)), d=343.

5 Закодируем исходное сообщение последовательностью двоичных цифр. Поставим в соответствие каждой букве исходного сообщения ее порядковый номер в латинском алфавите: R  18, S  19 и A  1. Переведем полученные десятичные числа в двоичную систему счисления и построим сообщение из двоичных цифр:

RSA  100101001100001.

6 Разобьем полученную последовательность на две под последовательности, таких, что из каждой можно образовать число не превышающее pq т.е. 527:

(100101001100001)  (100101001),(100001).

Первое число M₁ равно M₁=100101001=297<527; второе M₂ равно M₂ = 100001=33<527.

7 Произведем последовательно шифрование чисел M₁ и M₂ т.е. подпишем исходное сообщение. Для этого возведем числа M₁ M₂ в степень d по модулю n: S_i = M_i^e(mod n) (i=1,2).

7.1. Находим S₁ = M₁^e(mod n) = 297⁷ (mod 527) = 474.

7.2 Находим S₂ = M₂^e(mod n) = 33⁷ (mod 527) = 407.

Получаем зашифрованный текст из последовательности чисел: 474.

На основе система шифрования, RSA сформировалась технология электронной цифровой подписи. Электронная цифровая подпись – код, который однозначно идентифицирует автора и является электронным эквивалентом собственноручной письменной подписи, используемой для аутентификации автора документа, к которому приложена цифровая подпись, а также удостоверяет отсутствие изменений в документе с момента его подписания. Для формирования электронной подписи под документом владелец ключа сначала по стандартному алгоритму вычисляет свертку документа (синонимы – хэш, дайджест, уникальный идентифицирующий код документа), а затем зашифрованная закрытым ключом свертка помещается в конец документа. Свертка применяется для сокращения объема шифруемой информации. Получив документ, адресат выполняет свертку документа и расшифровывает подпись открытым ключом отправителя. Если результаты свертки и расшифровки совпали, то можно сделать два вывода: письмо составил именно владелец закрытого ключа и текст письма дошел до адресата в неизменном виде.

Для распространения открытых ключей используется центр сертификации, который освобождает клиентов от необходимости пересылать свои открытые ключи. Центр сертификации хранит сертификаты об открытых ключах и их владельцах (имя владельца, адрес, идентификатор алгоритма ЭЦП, открытый ключ владельца сертификата, срок действия сертификата, название центра сертификации, уникальный серийный номер сертификата, ЭЦП центра сертификации, область применения ключа и дополнительные сведения о владельце и издателе сертификата). Наиболее распространены сертификаты, определенные стандартом X 509. Сертификат является электронным аналогом удостоверения личности. Право выдавать сертификат имеют только центра сертификации. Сертификат также можно приложить к письму, тогда получатель письма не только убедится в том, что письмо пришло в неизменном виде, но и то, что отправитель является именно тем лицом за которое он себя выдает.