Защита информации, виртуальные частные сети (VPN). Технология ViPNet.

Безопасность информационного взаимодействия локальных сетей и отдельных компьютеров через открытые сети, например, через сеть Internet, требует качественного решения двух базовых задач:

• защиты подключенных к публичным каналам связи локальных сетей и отдельных компьютеров от несанкционированных действий со стороны внешней среды;
• защиты информации в процессе передачи по открытым каналам связи.

Решение первой задачи основано на использовании рассмотренных выше межсетевых экранов (брандмауэров), поддерживающих безопасность информационного взаимодействия путем фильтрации двустороннего потока сообщений, а также выполнения функций посредничества при обмене информацией. Для защиты локальных сетей брандмауэр располагают на стыке между локальной и открытой сетью. Для защиты отдельного удаленного компьютера, подключенного к открытой сети, программное обеспечение межсетевого экрана устанавливается на этом же компьютере, а сам межсетевой экран в этом случае называют персональным.

Защита информации  в процессе передачи по открытым каналам связи основана на выполнении следующих функций:

• аутентификации взаимодействующих сторон;
• криптографическом закрытии передаваемых данных;
• подтверждении подлинности и целостности доставленной информации.
• защите от повтора, задержки и удаления сообщений;
• защите от отрицания фактов отправления и приема сообщений.

Перечисленные функции во многом связаны друг с другом, и их реализация основана на криптографической защите передаваемых данных. Высокая эффективность такой защиты обеспечивается за счет совместного использования симметричных и асимметричных криптографических систем .

Объединение локальных сетей и отдельных компьютеров через открытую внешнюю среду передачи информации в единую виртуальную  сеть, обеспечивающую безопасность циркулирующих данных, называют защищенной виртуальной сетью  (Virtual Private Network - VPN ). Виртуальная сеть формируется на основе каналов связи открытой сети. Сам термин «виртуальная» подчеркивает, что каналы связи виртуальной сети моделируются с помощью каналов связи реальной. Открытая сеть может служить основой для одновременного сосуществования множества виртуальных сетей, количество которых определяется пропускной способностью открытых каналов связи.

Открытую внешнюю среду передачи информации  можно разделить на среду скоростной передачи данных, в качестве которой может использоваться сеть Internet, а также более медленные общедоступные каналы связи, в качестве которых чаще всего применяются каналы телефонной сети. Наиболее эффективным способом объединения локальных сетей и удаленных компьютеров является объединение на основе глобальной сети Internet. В случае отсутствия непосредственного подключения доступ к Internet может осуществляться и через телефонную сеть. Организация виртуальных сетей на основе Internet обладает рядом преимуществ:

• гарантирует высокое качество информационного обмена, так как магистральные каналы и маршрутизаторы Internet имеют большую пропускную способность, и характеризуются надежностью передачи информации;
• обеспечивает масштабируемую поддержку удаленного доступа к ресурсам локальной сети, позволяя мобильным пользователям связываться по местным телефонным линиям с поставщиками услуг Internet и через них входить в свою корпоративную сеть;
• для организации удаленного доступа пользователей к локальной сети исключается необходимость в наличии модемных пулов, а трафиком дистанционного доступа можно управлять точно так же, как любым другим трафиком Internet;
• сокращаются расходы на информационный обмен через открытую внешнюю среду:

• использование Internet для объединения локальных сетей значительно дешевле аренды каналов связи телефонных и других глобальных сетей, например, сетей frame relay, не говоря уже о стоимости самостоятельного построения коммуникаций.

• при удаленном доступе вместо того, чтобы устанавливать дорогостоящие непосредственные соединения с локальной сетью по междугородной или международной телефонной связи, удаленные пользователи могут подключаться к Internet и, далее, связываться с сетью своей организации через эту глобальную сеть.

Виртуальную сеть, использующую в качестве внешней среды передачи информации глобальную сеть Internet, часто называют еще сетью Extranet .

Эффективность использования виртуальных сетей во многом определяется степенью защищенности информации, циркулирующей по открытым каналам связи. Безопасность информационного обмена необходимо обеспечить как в случае объединения локальных сетей, так и в случае доступа к локальным сетям удаленных пользователей.

Защита информации в процессе ее передачи по открытым каналам основана на построении защищенных виртуальных каналов связи, называемых криптозащищенными туннелями  или туннелями VPN . Каждый такой туннель представляет собой соединение, проведенное через открытую сеть, по которому передаются криптографически защищенные пакеты сообщений виртуальной сети.

Для защиты от повтора, удаления и задержек пакетов сообщений,  передаваемых по туннелю VPN, используются встроенные возможности стека протоколов TCP/IP. Для защиты от повтора, удаления и задержек на уровне отдельных сообщений в состав каждого сообщения подсистемой защиты прикладного уровня должна добавляться дополнительная информация. В качестве такой дополнительной информации могут использоваться номера, случайные числа, а также отметки времени.

С целью защиты от отказа получения сообщений  подсистема защиты прикладного уровня должна предусматривать при приеме каждого сообщения передачу отправителю уведомления о получении сообщения. Такое уведомление должно криптографически подписываться получателем сообщения. Защита от отказа отправления сообщения , т.е. защита от непризнания цифровой подписи может быть обеспечена только правовыми и организационными мерами по приданию цифровой подписи юридической силы. Чтобы предотвратить отказы от открытых ключей, а соответственно и отказы от цифровой подписи обмен открытыми ключами должен подкрепляться юридической процедурой.

Способы создания защищенных виртуальных каналов

Любой из двух узлов виртуальной сети, между которыми формируется защищенный туннель, может принадлежать конечной или промежуточной точке защищаемого потока сообщений. Соответственно возможны различные способы образования защищенного виртуального канала  

Вариант, когда конечные точки защищенного туннеля совпадают с конечными точками защищаемого потока сообщений, является с точки зрения безопасности лучшим.  В этом случае обеспечивается полная защищенность канала вдоль всего пути следования пакетов сообщений. Однако такой вариант ведет к децентрализации управления и избыточности ресурсных затрат. Требуется установка средств создания защищенных туннелей на каждый клиентский компьютер локальной сети, что усложняет централизованное управление доступом к компьютерным ресурсам и экономически не всегда оправдано. В большой сети отдельное администрирование каждого клиентского компьютера с целью конфигурирования в нем средств защиты является достаточно трудоемкой  процедурой.

Поэтому, если отсутствует необходимость защиты трафика внутри локальной сети, входящей в виртуальную сеть, то в качестве конечной точки защищенного туннеля целесообразно выбрать брандмауэр или пограничный маршрутизатор этой локальной сети. В случае же, когда внутри локальной сети поток сообщений также должен быть защищен, то в качестве конечной точки туннеля в этой сети должен выступать компьютер, представляющий одну из сторон защищенного взаимодействия. При доступе к локальной сети удаленного пользователя компьютер этого пользователя также должен быть конечной точкой защищенного виртуального канала.

Распространен также вариант, характеризующийся более низкой безопасностью, но более высоким удобством применения. Согласно данному варианту рабочие станции и серверы локальной сети, а также удаленные компьютеры не участвуют в создании защищенного туннеля, который прокладывается только внутри публичной сети с коммутацией пакетов, например, внутри Internet. В качестве конечных точек такого туннеля чаще всего выступают провайдеры Internet и/или пограничные маршрутизаторы (брандмауэры) локальной сети. При удаленном доступе к локальной сети туннель создается между сервером удаленного доступа провайдера Internet, а также пограничным провайдером Internet или маршрутизатором (брандмауэром) локальной сети. При объединении локальных сетей туннель формироваться только между пограничными провайдерами Internet и/или маршрутизаторами (брандмауэрами) локальной сети.

Аргументацией в пользу описанного варианта создания виртуальных сетей выступает тот факт, что уязвимыми для злоумышленников в большей степени являются сети с коммутацией пакетов, такие, как Internet, а не каналы телефонной сети или выделенные каналы связи. Виртуальные сети, построенные по данному варианту, обладают хорошей масштабируемостью и управляемостью. Для клиентских компьютеров и серверов локальной сети, входящей в виртуальную сеть, защищенные туннели полностью прозрачны и программное обеспечение этих узлов остается без изменений. Однако по причине того, что часть защищаемого трафика проходит в незащищенном виде по публичным каналам связи, данный вариант существенно снижает безопасность информационного взаимодействия. Кроме того, большая часть работы по созданию защищенных туннелей ложится на провайдеров, которым необходимо доверять и платить.

Создание защищенного туннеля выполняют компоненты виртуальной сети, функционирующие на узлах, между которыми формируется туннель. Эти компоненты принято называть инициатором и терминатором туннеля. Инициатор туннеля  инкапсулирует  (встраивает) пакеты в новый пакет, содержащий наряду с исходными данными новый заголовок с информацией об отправителе и получателе. Хотя все передаваемые по туннелю пакеты являются пакетами IP, инкапсулируемые пакеты могут принадлежать к протоколу любого типа, включая пакеты немаршрутизируемых протоколов, таких, как NetBEUI. Маршрут между инициатором и терминатором туннеля  определяет обычная маршрутизируемая сеть IP, которая может быть и сетью, отличной от Internet. Терминатор туннеля выполняет процесс, обратный инкапсуляции - он удаляет новые заголовки и направляет каждый исходный пакет в локальный стек протоколов или адресату в локальной сети.

Ау, хакеры!

Возрастающий интерес к онлайновым системам голосования наподобие Election.com вынуждает подобные компании 
совершенствовать безопасность. Компания SafeVote Inc. в рамках подготовки к онлайновому голосованию по Калифорнии 
пригласила желающих со всего мира поупражняться во взламывании своей системы. Чтобы облегчить хакерам задачу и не 
занимать их рутиной, компания предоставила в свободный доступ информацию о конфигурации сети, IP-адресах и т.д. 

"Для [квалифицированного] хакера добыть эту информацию не составит особого труда. Тест нацелен на обнаружение слабых 
мест в системе. Мы хотим, чтобы атакующие подобрались как можно ближе к внутреннему кольцу безопасности, кольцу, 
которое не должно подвести", — заявил Эд Герк (Ed Gerck), исполнительный директор компании. 

Этот тест проводится в рамках аттестации системы государственной комиссией на возможность проведения в будущем через 
нее интернет-голосований.
(источник - http://www.computerra.ru, опубликовано 01.11.20002)

Американские хакеры взламывают сайты для рекламы, а европейские - ради заработка 

Как сообщил новостной сайт ZDNet.com, на предстоящей на этой неделе первой международной конференции хакерского 
сообщества DEF CON в Амстердаме одной из важнейших тем заявлено обсуждение разницы между американским и 
европейским стилем хакинга. 

В Соединенных Штатах хакера традиционно представляют подростком с экзотическим цветом волос, который от нечего делать 
или для демонстрации собственной лихости разрисовывает сайты или взламывает NASA. Единственное, что может ему грозить, 
- это повестка в суд. Худший исход судебного заседания (которое, кстати, вполне может закончится в пользу хакера), – крупный 
штраф или несколько месяцев тюрьмы. 

В Европе компьютерный взлом – занятие серьезных и взрослых людей. Иногда оно, по сведениям ZDNet, кончается трагически, 
– как в случае с 27-летним хакером по имени Tron, членом организации Chaos Computer Club, председатель которой стал 
недавно одним из пяти вновь избранных директоров ICANN. Tron считался одним из наиболее одаренных компьютерщиков 
Европы: например, он был первым, кто догадался, как сделать ресурс телефонных карт неисчерпаемым. 

В 1998 году Tron - его настоящее имя было Борис Флорисик - был найден в Берлинском парке повешенным на собственном 
ремне. Полиция решила, что это самоубийство, но семья, друзья и остальные члены Chaos Computer Club решили, что это 
происки русской мафии. По словам одного из членов клуба, который пожелал остаться неизвестным, Tron либо отказался 
работать на мафию, либо взломал не тот компьютер. 

Нет никаких доказательств того, что в этом случае действительно была замешана мафия или крупные корпорации. Однако сама 
мысль о том, что за взлом компьютера могут убить, - а эта мысль, по мнению специалистов, даже не приходит в голову 
американским хакерам, – делает европейский компьютерный андеграунд более осторожным и рассудительным. 

Эксперты считают, что некоторое отставание Европы в компьютерных технологиях и программном обеспечении привело к 
тому, что хакерство в Европе стало искусством и серьезной профессией, а не развлечением. Например, практически все 
крупные хакеры Европы также являются и фрикерами. Канадский хакер по имени ktwo, который несколько месяцев работал в 
Восточной Европе, считает, что из-за крайне высокой по сравнению с Америкой стоимостью услуг телефонной связи этот вид 
деятельности получил широкое распространение среди европейских компьютерных специалистов. 

Отсутствие денег на доступ в Интернет, на новую технику и новое программное обеспечение также играет свою роль в развитии 
хакерства в Европе. Недостатки своих компьютеров европейские хакеры восполняют достоинствами своих мозгов. 

Европейские хакеры, согласно данным журналистов, чаще воздерживаются от взлома известных сайтов и саморекламы в 
средствах массовой информации. Также они гораздо реже сообщают о своих подвигах в чатах и веб-конференциях, как это 
зачастую проделывают их американские коллеги. Однако, по мнению американских специалистов, они гораздо чаще 
взламывают сайты в знак протеста против чего-либо или в защиту прав человека. 

Аналитик по вопросам компьютерной безопасности, сотрудник корпорации Gartner Group Уильям Малик считает, что 
американские хакеры гораздо чаще действуют из личных побуждений – например, по соображениям саморекламы, - чем 
европейские. Большинство американских хакеров – это подростки, которые выучили несколько приемов работы со скриптами и 
теперь изменяют главные страницы сайтов "ради тренировки". Такие выводы эксперты делают на основании статистики сайта 
Attrition.org, где видно, что с 1995 года подобным атакам подверглись около 3,5 тысяч сайтов в зоне .com и только 34 сайта в 
зоне .fr (Франция), 98 в зоне .de (Германия) и 22 в зоне .ie (Ирландия). 

По мнению аналитиков, европейские хакеры более склонны учиться самостоятельно, разрабатывать уникальные методики 
взлома и обнаружения "дыр" в программном обеспечении. Поэтому они считаются наиболее опасными в среде специалистов по 
компьютерной безопасности. Особенной славой пользуются хакеры из России и Болгарии. 

Американские специалисты также считают, что на хакерство в Европе большое воздействие оказывают как мафия, так и 
правительственные организации. По мнению Уильяма Малика, "наиболее плотная концентрация хакеров – на Балканах, где 
остались наиболее квалифицированные кадры бывшего Совестского Союза". 

Обычно власти европейских стран помогают американским властям проводить расследования о взломах компьютеров в США. 
Однако в некоторых случаях такого рода власти на местах не горят энтузиазмом и мало помогают американцам. Для последних 
это служит подтверждением того, что в Европе покрывают хакеров и более того – делают им заказы. 
(источник - http://www.netoscope.ru, опубликовано 27.10.2000)

Компания "Инфотекс" организует беспрецедентную акцию "Работая удаленно - будь рядом".

В рамках акции, проводящейся с 16 октября по 31 декабря 2000 года, любой желающий сможет получить удаленный доступ в корпоративную сеть компании "Инфотекс" и, используя все функции, доступные сотрудникам компании, оценить возможности ПО ViPNet.

Каждый, участник акции сможет воспользоваться следующими функциями ПО ViPNet:

 - Защищенная деловая почта -  позволяет клиентам сети осуществлять обмен электронной почтой в защищенном виде

 - Защищенный доступ к базам данных - позволяет поставщикам и пользователям ценной деловой информации защитить ее от несанкционированного доступа

 - Защищенный файловый обмен - позволяет клиентам сети обмениваться файлами в режиме on-line в защищенном виде

 - Защищенная конференция – позволяет организовать диалог двух или более клиентов сети в реальном времени в защищенном режиме

 - Мониторинг и идентификация – позволяет блокировать попытки постороннего доступа к защищенным ресурсам и идентифицировать несанкционированные обращения по IP адресам и доменным именам.

Если Вы желаете принять участие в нашей акции, Вам необходимо:

*Мы рекомендуем организациям для участия в акции присылать заявки на 2-3 участников. 

Подробности на сайте компании "Инфотекс" - http://www.infotecs.ru

Полнофункциональные демо-версии продуктов ViPNet Desk, ViPNet Office, ViPNet Tunnel находятся по адресу 
http://www.infotecs.ru/demo.htm

Если у вас есть какие-нибудь пожелания или вопросы по поводу дальнейших выпусков рассылки, мы с удовольствием 
рассмотрим их.