В БЕЗОПАСНОСТИ –
БЕЗОПАСНОСТЬ
В IPСЕТЯХ
Г. Рыбаков
руководитель отдела разработки программных средств ООО «Итриум СПб»
АЛГОРИТМ БЕЗОПАСНОСТИ
(наверное, самый известный хакер КОНФИДЕНЦИАЛЬНОСТЬ
Предотвращение доступа к передаваемой ин &$@#№!
в мире) давал показания в Конгрес формации неуполномоченными лицами. Обыч
но достигается посредством шифрования пе
се США, он говорил о манипулирова редаваемых данных.
нии людьми: «Нападения этого ро
ДОСТУПНОСТЬ
да были столь успешны, что мне Обеспечение доступа к информации авторизо
ванным пользователям по мере надобности.
редко приходилось обращаться Достигается резервированием каналов пере Алиса Боб
дачи данных, физической защитой линий свя
зи, применением сетевых экранов, блокирую Алиса и Боб понимают друг друга,
к техническим средствам. Компа
щих вредоносный трафик. а мы их нет – это конфиденциальность
нии способны истратить миллионы
ЦЕЛОСТНОСТЬ Привет !
долларов на технические средства Неизменность информации в процессе ее пере Дай денег !
Привет !
екте. Вообще, в большинстве случаев причи байтовое маскирование данных. Само со требуется совсем немного времени. Пос
ной нарушения безопасности является «че бой, о соответствии ГОСТам в части защиты ле чего эта информация становится до
ловеческий фактор». Поэтому далее рас информации речи точно не идет. ступной всем желающим, а оборудование
сматриваются только аспекты защиты Вот соответствующий пример – извест уже установлено на большом количестве
каналов передачи данных по линиям связи. ная российская система охранной сигнали объектов и менять или обновлять его ник
Обеспечить выполнение соответству зации. Связь периферии с охранной панелью то не будет.
ющих требований можно в любых каналах осуществляется по RS485, связь охранной
передачи данных. Но в специализирован панели с компьютером – по RS232. Прото
ных шинах, не IPсетях, при проектирова кол, конечно, закрыт. Злоумышленник при Привет !
нии протоколов информационного обмена обретает систему, собирает статистику пере
их либо учитывают частично, либо просто даваемых сообщений, выясняет структуру
игнорируют. Поэтому в подобных системах протокола – «запрос/ответ». Защита при
информационная безопасность в первую митивная, не криптостойкая. Злоумышлен
очередь неявно обеспечивается двумя фак ник легко восстанавливает структуру паке
торами – секретностью протокола сетево тов данных, коды событий. Получив доступ
го взаимодействия и ограничением физи (например, атакой на «человеческий фак Алиса Боб
ческого доступа к каналам связи. тор») к линиям передачи данных в рабочее
Так, например, протокол LonTalk в сетях время (помещения сняты с охраны), осу Алису и Боба можно посадить
LonWorks определяет возможность выпол ществляет установку специального модуля в в одну комнату без окон и дверей
и никому не говорить,
нить цифровую подпись каждого переда разрыв линии, который до специальной ра
где эта комната.
ваемого сообщения с тем, чтобы получа диокоманды не вмешивается в коммуника Но надолго ли им хватит тем
тель мог авторизовать отправителя и ции периферии с панелью. Ночью активиру для разговоров?
проверить неизменность данных. Таким об ет модуль, проникает на объект – тревожные
разом достигаются имитостойкость и це сигналы не поступают на охранную панель…
лостность. Но критерий конфиденциаль конечно, это лишь теория. Предотвращение несанкционирован
ности не выполняется, данные передаются ного доступа к каналам связи – действен
в открытом виде. Причина проста – ограни УСЛОВНАЯ ная мера, рекомендуемая к применению
ченность производительности вычисли БЕЗОПАСНОСТЬ вне зависимости от типа сети. К сожале
тельных ресурсов. Закрытость протокола – наивная по нию, качественно осуществить ее почти
Вообще, использование устаревшей пытка производителя обеспечить без не представляется возможным. Ограни
и/или дешевой аппаратной базы во мно опасность системы, по крайней мере, в чить доступ к линиям коммуникации на
гих современных системах в принципе не глазах покупателя. Доступ к протоколу – всем пространстве сети, особенно в ус
позволяет качественно защитить инфор также вопрос атаки на «человеческий ловиях большой, децентрализованной
мационное взаимодействие – на шифро фактор». Наш опыт показывает, что по системы очень трудоемко. Эта мера чрез
вание и вычисление криптостойких хеш добный протокол элементарно можно вычайно уязвима к атакам типа «чело
функций в реальном времени банально не восстановить при наличии экземпляра веческий фактор» – одно нарушение
хватает процессорного времени. Максимум, продукта – правила взаимодействия в по пропускного режима, и вся система без
что применяют – цифровые подписи на ос добных системах настолько просты и од опасности объекта оказывается под угро
нове простых целочисленных полиномов, нотипны, что на сбор пакетов данных и зой. Лучше ситуация обстоит с радиока
примитивные контрольные суммы или по реверсивное проектирование протокола нальными системами – впрочем, лишь
№ 5, 2014
РЕШЕНИЕ
ДЛЯ IP
СЕТЕЙ
В IPсетях ситуация полностью про С помощью VPN TLS позволяет
тивоположная. Масштабность, пуб для Алисы и Боба можно создать виртуальную комнату
организовать виртуальную комнату для общения по аналогии с VPN,
личность и открытость IPсети Интернет
без окон и дверей, доступ к которой но только на время сеанса
привели к появлению различных стан строго ограничен средствами обмена данными
дартных механизмов обеспечения без криптографии
96 опасности на разных уровнях стека
TCP/IP. Ниже мы рассмотрим наиболее
популярные и проверенные временем и TLS НАЛОЖЕННЫЕ
бизнесом решения. TLS (Transport Layer Security), пришед СРЕДСТВА
ший на смену SSL (Secure Socket Layer), – Возможна ситуация, в которой IP
VPN криптографический протокол, обеспечи система уже построена, но существую
Virtual Private Network (виртуальная вающий защищенную передачу данных щее оборудование и программные сред
частная сеть) – обобщенное название между узлами в IPсети. Применяемый в ства не обеспечивают надлежащей
технологий, позволяющих обеспечить стеке TCP/IP поверх TCP он позволяет защиты информационного обмена.
одно или несколько сетевых соедине организовать безопасный канал инфор Для таких случаев на рынке
ний (логическую сеть) поверх другой мационного обмена между узлами на при представлено много «наложенных
сети. В рамках VPN конфиденциальность, кладном уровне взаимодействия. Приме средств» – продуктов (как програм
целостность, имитостойкость обеспечи няемые инструменты криптографии мных, так и технических средств),
ваются на нижних уровнях стека TCP/IP аналогичны VPN. Отличие в том, что под устанавливаемых в дополнение к
(обычно IP или Ethernet) благодаря ис держку TLS надо реализовывать непо средствам системы и обеспечиваю
пользованию средств криптографии средственно в прикладных программных щих их безопасный информационный
(шифрования, аутентификации, инфра средствах – не требуется установка специ обмен.
структуры открытых ключей, средств для ализированного ПО. Именно TLS является Кроме того, только такие средства
защиты от повторов и изменений пере стандартным протоколом обеспечения ин обычно сертифицированы по ГОСТ, и
даваемых по сети сообщений). формационной безопасности в сети Ин только их применение возможно в не
Основное преимущество VPN – на тернет. которых системах. Впрочем, такие сред
прикладном уровне информационного Благодаря такой популярности суще ства все равно «внутри» построены на
взаимодействия и в соответствующих ствует большое количество проверенных той же криптографической базе, что и
программных средствах можно не ду временем средств и библиотек, реализу VPN/TLS.
мать о защите информации, взаимодей ющих TLS и пригодных для повторного ис Минусом наложенных средств яв
ствие осуществляется как будто в от пользования в новых продуктах. ляется необходимость их приобрете
дельной, изолированной от внешнего Кстати, именно TLS заявлен основным ния и установки на каждом сетевом уз
мира сети. Ключевой недостаток – необ протоколом обеспечения информацион ле – потребитель несет дополнительные
ходимо на всех узлах будущей виртуаль ной безопасности в ONVIF – отраслевом издержки, пропорциональные размеру
ной сети развернуть соответствующее стандарте, определяющем протоколы вза сети. Кроме того, безопасность системы
программное обеспечение (обычно од имодействия в IPсистемах видеонаблю начинает зависеть от одного конкретно
но и то же) и осуществлять его админи дения, а с недавнего времени и в системах го продукта – сменить его так просто
стрирование. контроля и управления доступом. уже не получится.
ВЫВОД
Таким образом, высокая защищенность закрытых специализированных каналов и серийных систем, использую
щих такие каналы, является мифом. Ограниченные пропускная способность линий связи и вычислительные ресур
В то же время, бурное развитие IPсетей, в том числе сети Интернет, способствовало созданию и совершен
ствованию большого количества проверенных временем и бизнесом средств и механизмов обеспечения безопасно
сти. Их применение позволяет сделать информационный обмен по IPсетям намного более безопасным, чем пере