IPСЕТИ

В БЕЗОПАСНОСТИ –
БЕЗОПАСНОСТЬ
В IPСЕТЯХ
Г. Рыбаков
руководитель отдела разработки программных средств ООО «Итриум СПб»

овременная система безопас офисе, WiFi в ресторане, связь банкомата

ности – охранной, пожарной си с процессинговым центром или информация
гнализации, контроля и управ о пробках в коммуникаторе. Стек протоко
ления доступом или видеонаблюдения – лов TCP/IP – стандарт для сетей общего
это множество узлов (датчиков, извещате назначения. Поэтому IPсистемы обычно
лей, видеокамер, панелей или компьюте противопоставляют таким специализиро
ров), которые должны обмениваться ин ванным решениям, как LonWorks, Bacnet
формацией. Среда передачи данных или ModBus, и проприетарным системам,
отличается от системы к системе – это сеть построенным, например, на RS232 или RS
LonWorks, шина ModBus или проприетар 485. На первый взгляд, в сравнении с ними
ный протокол по RS485. С развитием циф IP предлагает много преимуществ – боль
ровых систем видеонаблюдения для задач ше объем и выше скорость передачи дан
обеспечения безопасности повсеместно ных, унифицированная сетевая инфраструк
стали применяться IPсети – с каждым го тура, большой выбор оборудования. Но
дом на рынке все больше появляется про насколько защищена IPсеть от внутрен
дуктов «с поддержкой IP». Для многих IP них и внешних угроз?
связано с Интернетом, открытой сетью, ви
русами и хакерами. Попробуем разобрать БЕЗОПАСНОСТЬ
ся, действительно ли передавать данные В СЕТИ
по специализированным линиям связи без Безопасность сети в целом складывает
опаснее, чем по IPсетям? ся из защищенности сетевых узлов и кана
лов передачи данных между ними. В части
ЧТО ТАКОЕ IP? узлов главным критерием безопасности яв
IPсеть – это сеть, построенная в рам ляется их надежность и защита от несанкци
ках стека протоколов TCP/IP. В повседнев онированного доступа, что в свою очередь
ной жизни мы сталкиваемся с IPсетям по определяется качеством продукта и пра
всеместно – Интернет, доступ к принтеру в вильной организацией деятельности на объ

Название TCP/IP происходит из двух В 1994 году французский хакер по

важнейших протоколов семейства – имени Антоний Зборальски позво!
Transmission Control Protocol (TCP) и нил в вашингтонский офис ФБР и
Internet Protocol (IP), которые были
представился представителем
разработаны и описаны первыми в
этой организации, работающим в
данном стандарте. Именно IP стал
американском посольстве в Пари!
тем протоколом, который объеди!
же. Он убедил собеседника на дру!
нил отдельные компьютерные се!
гом конце провода, и тот объяснил
ти во всемирную сеть Интернет.
ему, как подключиться к системе
Кроме IP и TCP стек образуют не!
сколько десятков протоколов раз! телеконференции ФБР. Его звонки

ных уровней – Ethernet, IEEE 802.11, за последующие семь месяцев стои!

UDP, ICMP, ARP и др. ли ФБР 250 000 долларов.

 № 5, 2014
КОМПЛЕКСНЫЕ СИСТЕМЫ

ИНФОРМАЦИОННУЮ БЕЗОПАСНОСТЬ КАНАЛОВ ПЕРЕДАЧИ

Когда в 2000 году Кевин Митник ДАННЫХ ОПРЕДЕЛЯЮТ ЧЕТЫРЕ КРИТЕРИЯ:

АЛГОРИТМ БЕЗОПАСНОСТИ
(наверное, самый известный хакер КОНФИДЕНЦИАЛЬНОСТЬ
Предотвращение доступа к передаваемой ин &$@#№!
в мире) давал показания в Конгрес формации неуполномоченными лицами. Обыч
но достигается посредством шифрования пе
се США, он говорил о манипулирова редаваемых данных.
нии людьми: «Нападения этого ро
ДОСТУПНОСТЬ
да были столь успешны, что мне Обеспечение доступа к информации авторизо
ванным пользователям по мере надобности.
редко приходилось обращаться Достигается резервированием каналов пере Алиса Боб
дачи данных, физической защитой линий свя
зи, применением сетевых экранов, блокирую Алиса и Боб понимают друг друга,
к техническим средствам. Компа
щих вредоносный трафик. а мы их нет – это конфиденциальность
нии способны истратить миллионы
ЦЕЛОСТНОСТЬ Привет !
долларов на технические средства Неизменность информации в процессе ее пере Дай денег !
Привет !

защиты, но все это будет напрасно,

дачи (невозможность изменить передаваемые 95
данные в процессе передачи по каналу связи).
Обычно обеспечивается применением цифро
если можно позвонить по телефону вой подписи транслируемых сообщений.
и убедить когонибудь сделать на ИМИТОСТОЙКОСТЬ
компьютере нечто, что ослабляет Способность противостоять вводу ложной ин
формации (например, ложного сигнала трево Алиса Фальшивый Боб (Враг) Боб
защиту или открывает доступ ги), обеспечение проверки подлинности пере
даваемых данных. Достигается посредством Враг меняет данные в процессе
к интересующей информации». передачи и проверки аутентификационных при передачи – это нарушение
знаков. целостности сообщения

екте. Вообще, в большинстве случаев причи байтовое маскирование данных. Само со требуется совсем немного времени. Пос
ной нарушения безопасности является «че бой, о соответствии ГОСТам в части защиты ле чего эта информация становится до
ловеческий фактор». Поэтому далее рас информации речи точно не идет. ступной всем желающим, а оборудование
сматриваются только аспекты защиты Вот соответствующий пример – извест уже установлено на большом количестве
каналов передачи данных по линиям связи. ная российская система охранной сигнали объектов и менять или обновлять его ник
Обеспечить выполнение соответству зации. Связь периферии с охранной панелью то не будет.
ющих требований можно в любых каналах осуществляется по RS485, связь охранной
передачи данных. Но в специализирован панели с компьютером – по RS232. Прото
ных шинах, не IPсетях, при проектирова кол, конечно, закрыт. Злоумышленник при Привет !
нии протоколов информационного обмена обретает систему, собирает статистику пере
их либо учитывают частично, либо просто даваемых сообщений, выясняет структуру
игнорируют. Поэтому в подобных системах протокола – «запрос/ответ». Защита при
информационная безопасность в первую митивная, не криптостойкая. Злоумышлен
очередь неявно обеспечивается двумя фак ник легко восстанавливает структуру паке
торами – секретностью протокола сетево тов данных, коды событий. Получив доступ
го взаимодействия и ограничением физи (например, атакой на «человеческий фак Алиса Боб
ческого доступа к каналам связи. тор») к линиям передачи данных в рабочее
Так, например, протокол LonTalk в сетях время (помещения сняты с охраны), осу Алису и Боба можно посадить
LonWorks определяет возможность выпол ществляет установку специального модуля в в одну комнату без окон и дверей
и никому не говорить,
нить цифровую подпись каждого переда разрыв линии, который до специальной ра
где эта комната.
ваемого сообщения с тем, чтобы получа диокоманды не вмешивается в коммуника Но надолго ли им хватит тем
тель мог авторизовать отправителя и ции периферии с панелью. Ночью активиру для разговоров?
проверить неизменность данных. Таким об ет модуль, проникает на объект – тревожные
разом достигаются имитостойкость и це сигналы не поступают на охранную панель…
лостность. Но критерий конфиденциаль конечно, это лишь теория. Предотвращение несанкционирован
ности не выполняется, данные передаются ного доступа к каналам связи – действен
в открытом виде. Причина проста – ограни УСЛОВНАЯ ная мера, рекомендуемая к применению
ченность производительности вычисли БЕЗОПАСНОСТЬ вне зависимости от типа сети. К сожале
тельных ресурсов. Закрытость протокола – наивная по нию, качественно осуществить ее почти
Вообще, использование устаревшей пытка производителя обеспечить без не представляется возможным. Ограни
и/или дешевой аппаратной базы во мно опасность системы, по крайней мере, в чить доступ к линиям коммуникации на
гих современных системах в принципе не глазах покупателя. Доступ к протоколу – всем пространстве сети, особенно в ус
позволяет качественно защитить инфор также вопрос атаки на «человеческий ловиях большой, децентрализованной
мационное взаимодействие – на шифро фактор». Наш опыт показывает, что по системы очень трудоемко. Эта мера чрез
вание и вычисление криптостойких хеш добный протокол элементарно можно вычайно уязвима к атакам типа «чело
функций в реальном времени банально не восстановить при наличии экземпляра веческий фактор» – одно нарушение
хватает процессорного времени. Максимум, продукта – правила взаимодействия в по пропускного режима, и вся система без
что применяют – цифровые подписи на ос добных системах настолько просты и од опасности объекта оказывается под угро
нове простых целочисленных полиномов, нотипны, что на сбор пакетов данных и зой. Лучше ситуация обстоит с радиока
примитивные контрольные суммы или по реверсивное проектирование протокола нальными системами – впрочем, лишь
№ 5, 2014

растет стоимость необходимого для взло

ма оборудования.
АЛГОРИТМ БЕЗОПАСНОСТИ

Почему столь «незащищенные» сис TLS

темы до сих пор применяются и пользу
ются популярностью? Потому что проще Привет!
не взламывать такие системы, а обхо VPN
дить их. Например, посредством атаки Враг
на все тот же «человеческий фактор». Алиса Боб Алиса Боб

РЕШЕНИЕ
ДЛЯ IP
СЕТЕЙ
В IPсетях ситуация полностью про С помощью VPN TLS позволяет
тивоположная. Масштабность, пуб для Алисы и Боба можно создать виртуальную комнату
организовать виртуальную комнату для общения по аналогии с VPN,
личность и открытость IPсети Интернет
без окон и дверей, доступ к которой но только на время сеанса
привели к появлению различных стан строго ограничен средствами обмена данными
дартных механизмов обеспечения без криптографии
96 опасности на разных уровнях стека
TCP/IP. Ниже мы рассмотрим наиболее
популярные и проверенные временем и TLS НАЛОЖЕННЫЕ
бизнесом решения. TLS (Transport Layer Security), пришед СРЕДСТВА
ший на смену SSL (Secure Socket Layer), – Возможна ситуация, в которой IP
VPN криптографический протокол, обеспечи система уже построена, но существую
Virtual Private Network (виртуальная вающий защищенную передачу данных щее оборудование и программные сред
частная сеть) – обобщенное название между узлами в IPсети. Применяемый в ства не обеспечивают надлежащей
технологий, позволяющих обеспечить стеке TCP/IP поверх TCP он позволяет защиты информационного обмена.
одно или несколько сетевых соедине организовать безопасный канал инфор Для таких случаев на рынке
ний (логическую сеть) поверх другой мационного обмена между узлами на при представлено много «наложенных
сети. В рамках VPN конфиденциальность, кладном уровне взаимодействия. Приме средств» – продуктов (как програм
целостность, имитостойкость обеспечи няемые инструменты криптографии мных, так и технических средств),
ваются на нижних уровнях стека TCP/IP аналогичны VPN. Отличие в том, что под устанавливаемых в дополнение к
(обычно IP или Ethernet) благодаря ис держку TLS надо реализовывать непо средствам системы и обеспечиваю
пользованию средств криптографии средственно в прикладных программных щих их безопасный информационный
(шифрования, аутентификации, инфра средствах – не требуется установка специ обмен.
структуры открытых ключей, средств для ализированного ПО. Именно TLS является Кроме того, только такие средства
защиты от повторов и изменений пере стандартным протоколом обеспечения ин обычно сертифицированы по ГОСТ, и
даваемых по сети сообщений). формационной безопасности в сети Ин только их применение возможно в не
Основное преимущество VPN – на тернет. которых системах. Впрочем, такие сред
прикладном уровне информационного Благодаря такой популярности суще ства все равно «внутри» построены на
взаимодействия и в соответствующих ствует большое количество проверенных той же криптографической базе, что и
программных средствах можно не ду временем средств и библиотек, реализу VPN/TLS.
мать о защите информации, взаимодей ющих TLS и пригодных для повторного ис Минусом наложенных средств яв
ствие осуществляется как будто в от пользования в новых продуктах. ляется необходимость их приобрете
дельной, изолированной от внешнего Кстати, именно TLS заявлен основным ния и установки на каждом сетевом уз
мира сети. Ключевой недостаток – необ протоколом обеспечения информацион ле – потребитель несет дополнительные
ходимо на всех узлах будущей виртуаль ной безопасности в ONVIF – отраслевом издержки, пропорциональные размеру
ной сети развернуть соответствующее стандарте, определяющем протоколы вза сети. Кроме того, безопасность системы
программное обеспечение (обычно од имодействия в IPсистемах видеонаблю начинает зависеть от одного конкретно
но и то же) и осуществлять его админи дения, а с недавнего времени и в системах го продукта – сменить его так просто
стрирование. контроля и управления доступом. уже не получится.

ВЫВОД

Таким образом, высокая защищенность закрытых специализированных каналов и серийных систем, использую

щих такие каналы, является мифом. Ограниченные пропускная способность линий связи и вычислительные ресур

сы «дешевых» систем делают невозможным обеспечение качественной защиты информационного обмена.

В то же время, бурное развитие IPсетей, в том числе сети Интернет, способствовало созданию и совершен

ствованию большого количества проверенных временем и бизнесом средств и механизмов обеспечения безопасно

сти. Их применение позволяет сделать информационный обмен по IPсетям намного более безопасным, чем пере

дачу данных по специализированным линиям связи.

Безопасность в IPсетях – это реальность.