Введение 4

Специальный раздел 7

Анализ методов реализации системы защиты сетевых соединений (Исследовательская часть) 8

Введение 8

Структура протокола ISAKMP 9

Фаза 1 (Main Mode) 9

Фаза 1 (Aggressive Mode) 12

Фаза 2 (Quick Mode) 14

Виды сетевых атак 16

Отказ в обслуживании (Denial of Service) 16

Человек посередине (Man-in-the-Middle) 17

Повтор посылки (Replay attack) 18

Заключение 18

Разработка программы 19

Определение места программы в системе защиты сетевого трафика 19

Модуль хранения основной ключевой информации 20

Модуль обработки сетевого трафика 20

Модуль ISAKMP 20

Модуль хранения ключевой информации ISAKMP 21

Разработка общей структуры программы 21

Что такое нить (thread)? 22

Механизм обмена информации между нитями 24

Нитевая структура программы 26

Таблицы поиска нитей 34

Входные и выходные данные 35

Алгоритм обработки входящего пакета 38

Написание программы и проведение тестирования 41

Служебные функции и модули. 41

Функции работы с памятью. 41

Функции работы с сетью. 42

Функции криптоалгоритмов. 42

Создание нитей и организации передачи данных между ними. 43

Модули реализации протокола ISAKMP 45

Тестирование с другими реализациями протокола ISAKMP 51

Заключение 52

Технологическая часть 53

Введение 54

Подготовительная часть 55

Реализация Main mode c методом аутентификации заранее известного секретного ключа 57

Реализация Quick mode 59

Реализация остальных методов аутентификации для Main mode 61

Реализация Aggressive mode со всеми методами аутентификации 62

Реализация New Group Mode 63

Выводы 64

Организационно-экономическая часть 65

Введение 66

Методика расчёта сегментации рынка 66

Поиск сегментов рынка для программы установки защищенных сетевых соединений с помощью протокола ISAKMP 69

Вывод 73

Производственная и экологическая безопасность 74

Введение 75

Электромагнитное излучение монитора ЭВМ 76

Электроопасность и пожароопасность 79

Требования к освещению при работе с монитором ПК 81

Выводы 84

Заключение 85

Литература 86

Приложения 87

Руководство оператора 88

Содержание 88

Назначение программы 88

Структура конфигурационного файла 88

Структура файла протокола 92

Сообщения об ошибках 93

Текст программы 95

Аннотация 95

Содержание 95

Internet в последнее время стал популярной, недорогой базовой инфраструктурой. Универсальный доступ к нему заставил многие компании рассмотреть возможность создания виртуальной защищенной сети (Virtual Private Network VPN) на основе глобальной сети Internet (которая, по сути, представляет собой совокупность сетей). Преимущества VPN заключается в использовании базовой инфраструктуры Internet и для коммуникаций внутри компании (включая ее различные отделения) и для связи между компаниями, причем защищенность данных соединений остается такой же, как и в локальных корпоративных сетях.

Корпоративная сеть характеризуется тем, что все ее управление находится в руках ее владельцев, данные, передаваемые по ней, проходят только через узлы входящие в эту сеть и взаимодействие с внешним миром выражается в небольшом объеме передаваемых данных (иногда и полном отсутствие). При таких самодостаточных условиях сеть можно было сделать защищенной. VPN переводит корпоративную сеть на базис Internet. При этом, однако, возникает ряд существенных трудностей. Ни один из узлов не может управлять Internet-ом. Данные из разных источников передаются посредством общей инфраструктуры. Также, благодаря развитию электронной коммерции и бурному росту сетевых технологий, значительно возрос объем данных передаваемых между компаниями. Исходя из всех вышеперечисленных особенностей, можно сделать вывод, что структура VPN существенно отличается от старой традиционной корпоративной сети.

Координационным советом IETF (Internet Engineering Task Force) был разработан и предложен набор протоколов защиты сетевых соединений [3]. IPSec протоколы обеспечивают целостность и конфиденциальность передаваемых данных, а также управление ключевой информацией и политикой защищенных соединений. Отличительной особенностью IPSec от более ранних подобных протоколов заключается в защите всего пути следования передаваемых данных (а не фрагмента, как это было раньше).

Для защиты трафика было предложено два протокола AH (Authentication Header) и ESP (Encapsulating Security Payload). Протокол AH (Authentication Header) заключается в подсчете и проверке значения хеш-функции с ключом от передаваемых данных. Протокол AH обеспечивает целостность и аутентичность данных и защищает от атак, основанных на переповторах пакетов (replay attack). В основе ESP протокола лежит шифрование и расшифрование данных, и он обеспечивает те же функции, что и AH, и дополнительно конфиденциальность передаваемой информации.

Эти две вышеуказанные особенности привели к возникновению проблемы управления ключевой информации и политик (параметров) соединений. Простейшим решением является ручное конфигурирование соединений, при котором параметры и секретные ключи жестко прописываются при запуске системы. К единственному достоинству можно отнести относительную простоту данного метода. Самым же большим недостатком данного метода можно считать отсутствие «масштабируемости». Это означает, что для установления секретного соединения ручным конфигурированием обе стороны должны договориться о ключе, используемом для защиты трафика и о параметрах его использования (выбор протокола, алгоритма и т.п.). Если речь идет о системе, состоящей из небольшого количества пользователей, то никаких проблем не возникает. Когда же количество пользователей составляет несколько тысяч (десятков, сотен …) процедура конфигурирования становится практически невыполнимой задачей. Другим недостатком ручного конфигурирования можно считать отсутствие простого механизма смены используемого ключевого материала. Т.е. ключ шифрование будет использоваться слишком долго (для слишком большого объема данных), что снижает защищенность передаваемых данных.

Другим способом конфигурирования соединений является использование специальных "key management" протоколов. Одним из таких протоколов явился ISAKMP. Данный протокол был также предложен координационным советом IETF. Протокол работает независимо от модуля осуществляющего защиту передаваемых данных. Результатом работы протокола является договоренные между двумя партнерами параметры защищенного соединения (включает в себя набор используемых протоколов защиты данных, алгоритмы, используемые в этих протоколах, параметры алгоритмов) и ключевая информация, для используемых алгоритмов. Полученная информация является выходными данными для протокола и должна быть передана модулю защиты передаваемых данных.

Протокол ISAKMP полностью решает проблему «масштабируемости». Ключевой материал высчитывается на основе данных, передаваемых в процессе аутентификации партнера и договора параметров соединения. При расчете также используется случайные величины, генерящиеся каждой из сторон для данного соединения, что обеспечивает разный ключевой материал при двух попытках установления соединения между одними и теми же партнерами. Данное свойство также позволяет не описывать правило секретного соединения для каждого из абонентов, а объединять их по какому-либо признаку (подсеть, диапазон IP адресов, определенный протокол и т.д.) и описать для них одно правило создания секретного соединения.

Протокол также решает и проблему времени жизни ключевой информации. Время жизни ключевой информации (в секундах и килобайтах) является одним из параметров договариваемого соединения. Таким образом, легко регулируется время использования ключа или объем данных, который можно этим ключом шифровать, и появляется механизм, позволяющий запустить создание нового соединения при истечении времени жизни ключевой информации.

1. Единая система программной документации ГОСТ 19.001-77, 19.002-80, 19.003-80, 19.101-77, 19.102-77, 19.505-79.

2. Зубов Н.Н., Пьянзин А.Я. Методические указания к дипломному проектированию по специальности «Программное обеспечение вычислительной техники и автоматизированных систем» /Под ред. В.Ф. Шаньгина; МИЭТ. М., 1990

3. “Security Architecture for the Internet Protocol” RFC2401 Ноябрь 1998г.

4. “Internet Security Association and Key Management Protocol (ISAKMP)” RFC2408 Ноябрь 1998 г.

5. “The Internet Key Exchange (IKE)” RFC2409 Ноябрь 1998г.

6. “The Internet IP Security Domain of Interpretation for ISAKMP” RFC2407 Ноябрь 1998г.

7. Bruce Schneier “Applied Cryptography Second Edition: protocols, algorithms, and source code in C” 1996г.

8. “Advanced Programming in the UNIX Environment” W. Richard Stevens 1994г.

9. “UNIX System V Network Programming” Stephen A. Rago 1994г.

10. “Programming with Threads” Steve Kleiman, Devang Shah, Bart Smaalders 1996г.

Примечаний нет.