ПРОТОКОЛИ IPSEC І РОЗПОДІЛ КЛЮЧІВ

Протокол IPSec або, якщо точніше, набір протоколів, розроблений організацією IETF як базовий протокол забезпечення безпеки на рівні IP-з'єднання. Він є доповненням до що використовується зараз протоколу IP ver.4 і складовою частиною IP ver.6. Можливості, що надаються протоколами IPSec:

  • - контроль доступу;
  • - контроль цілісності даних;
  • - аутентифікація даних;
  • - захист від повторень;
  • - забезпечення конфіденційності.

Основне завдання IPSec - створення між двома комп'ютерами, пов'язаними через загальнодоступну (небезпечну) IP-мережу, безпечного тунелю (рис. 3.2), по якому передаються конфіденційні або чутливі до несанкціонованого зміни дані. Подібний тунель створиться з використанням криптографічних методів захисту інформації. Протокол працює на мережевому рівні моделі OSI, і, відповідно, він "прозорий" для додатків. Іншими словами, на роботу додатків (таких як web-сервер, браузер, СУБД і т. Д.) Не впливає, чи використовується захист переданих даних за допомогою IPSec чи ні.

тунель безпеки

Мал. 3.2. тунель безпеки

Архітектура IPSec є відкритою, що дозволяє використовувати для захисту даних, що передаються нові криптографічні алгоритми, наприклад, що відповідають національним стандартам. Для цього необхідно, щоб взаємодіючі сторони підтримували ці алгоритми, і вони були б стандартним чином зареєстровані в описі параметрів з'єднання.

Процес захищеної передачі даних регулюється правилами безпеки, прийнятими в системі. Параметри створюваного тунелю описує інформаційна структура, яка називається контекст захисту або асоціація безпеки (від англ. «Security Association», скор.

SA). Як вже зазначалося вище, IPSec є набором протоколів, і склад контексту захисту може різнитися. Залежно від конкретного протоколу в нього входить:

  • - IP-адреса одержувача;
  • - вказівка на протоколи безпечне ™, використовувані при передачі даних;
  • - ключі, необхідні для шифрування і формування імі- товставкі (якщо це потрібно);
  • - вказівка на метод форматування, що визначає, яким чином створюються заголовки;
  • - індекс параметрів захисту (від англ. «Security Parameter Index», скор. SPI) - ідентифікатор, що дозволяє знайти потрібний SA.

Зазвичай контекст захисту є односпрямованим, а для передачі даних по тунелю в обидва боки задіюються два SA. Кожен хост має свою базу контекстів захисту, з якої вибирається потрібний елемент або на підставі значення SPI, або по IP- адресою одержувача.

Два протоколу, що входять до складу IPSec, це:

  • 1) протокол аутентифицирующей заголовка - АН (від англ. «Authentication Header»), що забезпечує перевірку цілісності і аутентифікацію переданих даних; остання версія протоколу описана в документі RFC 4302 (попередні - RFC 1826 2402);
  • 2) протокол інкапсулюють захисту даних - ESP (від англ. «Encapsulating Security Payload»), що забезпечує конфіденційність і, опціонально, перевірку цілісності і аутентифікацію; описаний в RFC 4303 (попередні версії - RFC 1827 2406).

Обидва ці протоколу мають два режими роботи - транспортний і тунельний, останній визначено в якості основного. Тунельний режим використовується, якщо хоча б один з з'єднуються вузлів є шлюзом безпеки. У цьому випадку створюється новий IP- заголовок, а вихідний IP-пакет повністю инкапсулируется в новий.

Транспортний режим орієнтований на з'єднання хост-хост. При використанні ESP в транспортному режимі захищаються тільки дані IP-пакета, заголовок не зачіпається. При використанні АН захист поширюється на дані і частина полів заголовка. Більш докладно режими роботи описані нижче.

 
Переглянути оригінал
< Попер   ЗМІСТ   ОРИГІНАЛ   Наст >