Защита информации, виртуальные частные сети (VPN). Технология ViPNet.

Технически реализация защищенных виртуальных сетей стала возможной уже достаточно давно. Инкапсуляция  использовалась раньше и применяется сейчас для передачи немаршрутизируемого трафика через маршрутизируемые сети, а также для ограничения многопротокольного трафика одним протоколом. Технологии шифрования также появились задолго до широкого внедрения глобальных сетевых технологий. Однако общепринятые протоколы для создания защищенных виртуальных сетей  разработаны недавно и сейчас продолжается работа над их совершенствованием и расширением. Они являются открытыми, т.е. свободными для распространения и реализации.

Для независимости от прикладных протоколов и приложений защищенные виртуальные сети формируются на одном из более низких уровней модели OSI - канальном, сетевом или сеансовом. Канальному (второму) уровню соответствуют такие протоколы реализации VPN, как  PPTP , L2F  и L2TP , сетевому (третьему) уровню  - IPSec , SKIP , а сеансовому (пятому) уровню – SSL /TLS и SOCKS . Чем ниже уровень эталонной модели, на котором реализуется защита, тем она прозрачнее для приложений и незаметнее для пользователей. Однако при снижении этого уровня уменьшается набор реализуемых услуг безопасности и становится сложнее организация управления. Чем выше защитный уровень в соответствии с моделью OSI, тем шире набор услуг безопасности, надежнее контроль доступа и проще конфигурирование системы защиты. Однако в этом случае усиливается зависимость от используемых протоколов обмена и приложений.

В виртуальной сети криптозащита может одновременно выполняться на нескольких уровнях эталонной модели. При этом увеличивается криптостойкость, но по причине снижения общей скорости криптографических преобразований уменьшается пропускная способность виртуальной сети. Поэтому на практике защищенные виртуальные сети формируются на одном уровне модели OSI (канальном, сетевом, транспортном или сеансовом).

Канальный уровень модели OSI

Для стандартного формирования криптозащищенных туннелей на канальном уровне  модели OSI компанией Microsoft при поддержке компаний Ascend Communications, 3Com/Primary Access, ECI-Telematics и US Robotics был разработан протокол туннелирования PPTP  (Point-to-Point Tunneling Protocol), представляющий собой расширение протокола PPP (Point-to-Point Protocol) . В протоколе PPTP не специфицируются конкретные методы аутентификации и шифрования. Клиенты удаленного доступа в Windows NT 4.0 и Windows 98 с Dial-Up Networking поставляются с версией шифрования DES компании RSA Data Security , получившей название "шифрование двухточечной связи Microsoft" (Microsoft Point-to-Point Encryption - MPPE).

Канальному уровню модели OSI соответствует также протокол туннелирования L2F  (Layer-2 Forwarding), разработанный компанией Cisco Systems при поддержке компаний Shiva и Northern Telecom. В данном протоколе также не специфицируются конкретные методы аутентификации и шифрования. В отличие от протокола PPTP протокол L2F позволяет использовать для удаленного доступа к провайдеру Internet не только протокол PPP, но и другие протоколы, например, SLIP. При формировании защищенных каналов по глобальной сети провайдерам Internet не нужно осуществлять конфигурацию адресов и выполнять аутентификацию. Кроме того, для переноса данных через защищенный туннель могут использоваться различные протоколы сетевого уровня, а не только IP, как в протоколе PPTP. Протокол L2F стал компонентом операционной системы IOS  (Internetwork Operating System) компании Cisco и поддерживается во всех выпускаемых ею устройствах межсетевого взаимодействия и удаленного доступа.

Протоколы PPTP и L2F  были представлены в организацию Internet Engineering Task Force (IETF ) и в 1996 году соответствующие комитеты решили их объединить. Получившийся в результате протокол, включивший все лучшее из PPTP и L2F, был назван протоколом туннелирования второго уровня (Layer-2 Tunneling Protocol - L2TP). Его поддерживают компании Cisco, Microsoft, 3Com, Ascend и многие другие производители. Как и предшествующие протоколы канального уровня, спецификация L2TP не описывает методы аутентификации и шифрования. Протокол L2TP является расширением PPP на канальном уровне и может поддерживать любые высокоуровневые протоколы.

Протоколы формирования защищенного туннеля на канальном уровне независимы от протоколов сетевого уровня модели OSI, по которым функционируют локальные сети, входящие в состав виртуальных сетей. Они позволяет создавать защищенные каналы для обмена данными между удаленными компьютерами и локальными сетями, функционирующими по различным протоколам сетевого уровня - IP, IPX или NetBEUI. Пакеты этих протоколов криптографически защищаются и инкапсулируются в IP-пакеты сети Internet, которые и переносятся к месту назначения, образуя защищенные виртуальные каналы. Многопротокольность - основное преимущество инкапсулирующих протоколов канального уровня.

Вместе с тем формирование криптозащищенных туннелей между объединяемыми локальными сетями на основе протоколов канального уровня приводит к сложности конфигурирования и поддержки виртуальных каналов связи. Туннели на основе PPP требуют, чтобы конечные точки поддерживали информацию о состоянии каждого канала (например, такую, как тайм-ауты), и, следовательно, не обладают хорошей масштабируемостью при необходимости иметь несколько туннелей с общими конечными точками. Кроме того, протоколы формирования защищенных туннелей на канальном уровне не специфицируют конкретные методы шифрования, аутентификации, проверки целостности каждого передаваемого пакета, а также средств управления ключами.

Исходя из вышесказанного, можно сделать вывод, что протоколы создания защищенных виртуальных каналов на канальном уровне лучше всего подходят для защиты информационного взаимодействия при удаленном доступе к локальной сети. Учитывая, что в состав операционных систем Windows 98/NT включена реализация протокола PPTP, этот протокол для организации защищенного удаленного доступа получил наиболее широкое распространение. В ближайшее время ожидается переориентация средств удаленного доступа на более совершенный протокол L2TP.

Сетевой уровень модели OSI

Спецификацией, где описаны стандартные методы для всех компонентов и функций защищенных виртуальных сетей, является протокол Internet Protocol Security (IPSec ), соответствующий сетевому уровню модели OSI и входящий в состав новой версии протокола IP – IPv6. Протокол IPSec иногда еще называют протоколом туннелирования третьего уровня (Layer-3 Tunneling) . IPSec предусматривает стандартные методы аутентификации пользователей или компьютеров при инициации туннеля, стандартные способы шифрования конечными точками туннеля, формирования и проверки цифровой подписи, а также стандартные методы обмена и управления криптографическими ключами между конечными точками. Этот гибкий стандарт предлагает несколько способов для выполнения каждой задачи. Выбранные методы для одной задачи обычно не зависят от методов реализации других задач. Для функций аутентификации IPSec поддерживает цифровые сертификаты популярного стандарта X.509 .

Туннель IPSec между двумя локальными сетями может поддерживать множество индивидуальных каналов передачи данных, в результате чего приложения данного типа получают преимущества с точки зрения масштабирования по сравнению с технологией второго уровня. Протокол IPSec может использоваться совместно с протоколом L2TP. Совместно эти два протокола обеспечивают наиболее высокий уровень гибкости при защите виртуальных каналов. Дело в том, что спецификация IPSec ориентирована на протокол IP и, таким образом, бесполезна для трафика любых других протоколов сетевого уровня. Протокол L2TP отличается независимостью от транспортного уровня, что может быть полезно в гетерогенных сетях, состоящих из IP-, IPX- и AppleTalk-сегментов. IPSec стремительно завоевывает популярность и станет, вероятно, доминирующим стандартом по созданию и поддержке защищенных виртуальных сетей.

Для управления криптографическими ключами  на сетевом уровне модели OSI наиболее широкое распространение получили такие протоколы, как SKIP  (Simple Key management for Internet Protocols) и ISAKMP  (Internet Security Association and Key Management Protocol). SKIP проще в реализации, но он не поддерживает переговоров по поводу алгоритмов шифрования. Если получатель, использующий SKIP, не в состоянии расшифровать пакет, он уже не сможет согласовать метод шифрования с противоположной стороной. Протокол ISAKMP поддерживает такие переговоры и выбран в качестве обязательного протокола для управления ключами в IPSec для IPv6. Другими словами протокол ISAKMP является составной частью протокола IPSec. В текущей четвертой версии протокола IP (в протоколе IPv4) может применяться как протокол ISAKMP, так и протокол SKIP.

Сеансовый уровень модели OSI

Защищенные виртуальные каналы могут быть сформированы и на сеансовом уровне модели OSI . Для этого применяются так называемые "посредники каналов " (circuit proxy ). Посредник функционирует над транспортным уровнем, шифрует и ретранслирует трафик из защищенной сети в общедоступную сеть Internet для каждого сокета в отдельности. При приеме выполняется обратная процедура. Сокет IP идентифицируется комбинацией TCP-соединения и конкретного порта или заданным портом UDP.

Для шифрования информации на сеансовом уровне наибольшую популярность получил протокол SSL /TLS (Secure Sockets Layer/ Transport Layer Security), разработанный компанией Netscape Communications . Этот протокол создает защищенный туннель между конечными точками виртуальной сети, обеспечивая взаимную аутентификацию абонентов, а также конфиденциальность, подлинность и целостность циркулирующих по туннелю данных. Ядром протокола SSL/TLS является технология комплексного использования асимметричных и симметричных криптосистем компании RSA Data Security. Для аутентификации взаимодействующих сторон и криптозащиты ключа симметричного шифрования используются цифровые сертификаты  открытых ключей пользователей (клиента и сервера), заверенные цифровыми подписями специальных Сертификационных Центров. Поддерживаются цифровые сертификаты, соответствующие общепринятому стандарту  X.509.

С целью стандартизации процедуры взаимодействия клиент-серверных приложений TCP/IP через сервер-посредник (брандмауэр) комитет IETF утвердил протокол под названием SOCKS , и в настоящее время пятая версия данного протокола (SOCKS 5) применяется для стандартизованной реализации посредников каналов. SOCKS поддерживает приложения, требующие контроля над направлениями информационных потоков и настройки условий доступа в зависимости от атрибутов пользователя и/или информации.

В соответствии с SOCKS 5 клиентский компьютер устанавливает аутентифицированный сеанс с сервером, исполняющим роль посредника (proxy ). Использование этого посредника является единственным способом связи через брандмауэр. Посредник, в свою очередь, проводит любые операции, запрашиваемые клиентом. Поскольку посреднику известно о трафике на уровне сеанса (сокета), он может осуществлять тщательный контроль, например, блокировать конкретные приложения пользователей, если они не имеют необходимых полномочий.

В отличие от виртуальных сетей, защищенных на сеансовом уровне модели OSI, виртуальные сети, защищенные на канальном или сетевом уровне, обычно просто открывают или закрывают канал для всего трафика по аутентифицированному туннелю. Это может представлять проблему, если локальная сеть на другом конце туннеля является неблагонадежной. Кроме того, созданные туннели канального и сетевого уровня функционируют одинаково в обоих направлениях, а виртуальные сети, защищенные на сеансовом уровне, допускают независимое управление передачей в каждом направлении.

Виртуальные сети с посредником канала типа IPSec ориентированы на протокол IP. Если IPSec, по существу, разграничивает защищенные виртуальные каналы между разными парами взаимодействующих сторон, то протокол SOCKS 5 обеспечивает создание защищенных туннелей для каждого приложения и сеанса в отдельности. Аналогично протоколу IPSec и протоколам туннелирования канального уровня, виртуальные сети сеансового уровня можно использовать с другими типами виртуальных частных сетей, поскольку данные технологии не являются взаимоисключающими.

Разведка ФРГ предупреждает об опасности информационной войны в Интернете

ФРАНКФУРТ-НА-МАЙНЕ, 8 ноября. /Корр. ИТАР-ТАСС Олег Артюшин/. Германская Федеральная разведывательная служба 
/БНД/ выступила с предупреждением об опасности информационной войны в глобальной компьютерной сети Интернет. Как 
сообщают германские СМИ, эта проблема обсуждалась на симпозиуме в штаб-квартире БНД в Пуллахе /Бавария/. 

По словам выступившего там руководителя БНД Августа Ханнинга, сегодня в Германии на повестку дня встает защита баз 
данных и средств связи, а также противодействие "экономически или политически мотивированным компьютерным атакам". 
Эта работа, по мнению Августа Ханнинга, требует консолидации усилий государственных органов, полиции и спецслужб ФРГ. 
Только таким образом, подчеркнул он, можно обеспечить "безопасность Федеративной Республики". В будущих кризисных 
ситуациях, по оценке БНД, нужно готовиться к попыткам противника нарушить работу или же полностью вывести из строя 
систему коммуникаций в стране. 

Это весьма наглядно показала война НАТО против Югославии. Американцам удавалось сбивать с толку сербские средства 
ПВО, "внедряя" на экраны локаторов несуществующие воздушные цели. В свою очередь, связанные с Интернетом компьютеры 
НАТО часто подвергались атакам извне и блокировались на несколько часов. Об опасности такого развития событий 
свидетельствует также нарастание "компьютерного пиратства". В 1999 году в ФРГ было зафиксировано 46 тыс. случаев 
криминального вторжения в базы данных германских фирм. Самой крупной "компьютерной аферой" стала манипуляция с 
кредитными карточками в системе электронных банковских операций "онлайн". 

Глава БНД Август Ханнинг уверен, что для эффективной борьбы с надвигающейся из Интернета угрозы его ведомству 
необходимы новые технические средства и специалисты, а также дополнительные ассигнования. Пока же, констатировал 
главный разведчик Германии, бюджет БНД не увеличивается вот уже целое десятилетие. По оценкам специалистов, в БНД 
работает около 6 тыс. кадровых сотрудников, а годовой бюджет спецслужбы составляет 700-800 млн. марок.
(источник - http://www.safety-net.ru, опубликовано 15.11.20002)

9 ноября 2000 года состоялось очередное совещание Ассоциации документальной электросвязи, в котором традиционно приняло участие ОАО Инфотекс. Совещание было посвящено обеспечению информационной безопасности при работе в сети Интернет.

На совещании были рассмотрены актуальные вопросы обеспечения информационной безопасности в сети Интернет. Участники совещания затронули в обсуждении вопросы терминологии, в частности, особый интерес вызвала дискуссия о подмене термина "информационная безопасность" термином "безопасность информации". Многие докладчики отмечали важную роль АДЭ в процессе создания нормативно-правовой базы информационной безопасности. На совещании представители Госдумы России, Минсвязи России, Совета безопасности Российской Федерации рассказали об основных вопросах, проблемах и перспективах развития информационной безопасности в России.

На двух круглых столах были обсуждены вопросы, связанные с нормативной базой в области обеспечения информационной безопасности, а также конкретными программно-аппаратными решениями систем обеспечения информационной безопасности как российского, так и зарубежного производства. Представителем Гостехкомиссии России было рассказано о технических методиках проведения испытаний сертифицируемого оборудования на предмет защиты и выявления недекларированных возможностей.

В рамках совещания специалисты компании Инфотекс познакомили участников с предлагаемой ею технологией защиты IP-трафика, передаваемого по открытым каналам связи, уделив особое внимание популярной ныне технологии IP-телефонии.  В ходе презентации системы ViPNet, созданной ОАО Инфотекс, было отмечено, что современные технологии сделали возможным организовать территориально-распределенные сети, не прибегая к организации дорогостоящих выделенных каналов связи, которые, впрочем, также не решают вопроса обеспечения конфиденциальности информации, столь актуального в настоящее время. Универсальность технологии ViPNet, продемонстрированная участникам совещания, состоит и в том, что эта система позволяет не только защитить передаваемую информацию, но и создать полнофункциональную виртуальную частную сеть (VPN). Особо было отмечено, что наряду с крупными проектами, требующими реинжиниринга и индивидуального подхода, компания Инфотекс разработала и с успехом реализует «коробочные» решения для предприятий малого и среднего бизнеса, не требующие крупных денежных затрат, но в то же время позволяющих построить надежно защищенную виртуальную сеть.  

здесь можно загрузить презентацию "ViPNet - решения для построения виртуальных частных сетей (VPN)" и доклад к ней в формате .ppt

Два лидера рынка информационных технологий решили объединить свои усилия с целью продвижения новейших  технологий по защите информации и организации распределенных сетей – виртуальных частных сетей (VPN).

Обе компании не один год работают на IT-рынке, среди их клиентов государственные структуры, крупные коммерческие компании, банки. Качество предоставляемых партнерами услуг подтверждено соответствующими сертификатами Гостехкомиссии и других компетентных структур. 

Сочетание услуг и оборудования, предоставляемых компанией Рэйс Коммуникейшн на рынке системной интеграции, и сервисов защиты конфиденциальной информации и создания виртуальных частных сетей (VPN) на базе продуктов ViPNet компании Инфотекс позволит предложить клиентам компаний надежные, современные и в то же  время недорогие решения.  

Акция призвана продемонстрировать отечественному рынку возможности VPN в части сервисов, предоставляемых удаленным и мобильным клиентам сети. В ходе этого мероприятия любое заинтересованное лицо или организация могут получить доступ непосредственно в корпоративную сеть компании Инфотекс, организованную и защищенную с помощью  ПО ViPNet – оригинальной разработки компании Инфотекс, - и воспользоваться ее ресурсами, предоставляемыми в рамках акции.

Подробности и инструкция для желающих принять участие в акции здесь.

Полнофункциональные демо-версии продуктов ViPNet Desk, ViPNet Office, ViPNet Tunnel находятся по адресу 
http://www.infotecs.ru/demo.htm

Если у вас есть какие-нибудь пожелания или вопросы по поводу дальнейших выпусков рассылки, мы с удовольствием 
рассмотрим их.