Slutten av det 20. århundre var preget av en skredlignende spredning av Internett: tilgangshastighetene vokste eksponentielt, flere og flere nye territorier ble dekket, nesten alle to punkter i verden kunne raskt kobles sammen via nettverket. Men overføringen av informasjon var ikke sikker; angripere kunne avskjære, stjele, endre den. På dette tidspunktet begynte ideen om å organisere en pålitelig kanal å få popularitet, som ville bruke offentlig kommunikasjon for kommunikasjon, men beskytte de overførte dataene ved bruk av kryptografiske metoder. Kostnaden for å organisere en slik kanal var mange ganger mindre enn kostnadene ved å legge og vedlikeholde en dedikert fysisk kanal... Dermed ble organiseringen av en sikker kommunikasjonskanal tilgjengelig for mellomstore og små bedrifter og til og med enkeltpersoner.

ViPNet system

ViPNet-systemet gir transparent beskyttelse av informasjonsflyter for alle applikasjoner og eventuelle IP-protokoller for individuelle arbeidsstasjoner, filservere, applikasjonsservere, rutere, fjerntilgangsservere, etc., samt segmenter av IP-nettverk. Samtidig fungerer den som en personlig brannmur for hver datamaskin og en brannmur for IP-nettverkssegmenter.

Nøkkelstrukturen er av kombinert natur, har både et symmetrisk nøkkelfordelingsskjema, som gjør det mulig å gi en stiv sentralisert system administrasjon og distribusjonssystem for offentlig nøkkel, og brukes som et pålitelig miljø for PKI-drift. ViPNet-systemapplikasjoner gir i tillegg sikre sanntidstjenester for sirkulære meldinger, konferanser, forhandlinger; for tjenester med garantert levering av postkorrespondanse med elektroniske signaturprosedyrer og differensiering av tilgang til dokumenter; for autobehandlingstjenester for automatisk fillevering. I tillegg separat innredet kryptografiske funksjoner kjerner (signatur og kryptering) og implementert støtte for MS Crypto API, om nødvendig, kan bygges inn direkte i ulike applikasjonssystemer (for eksempel systemer elektronisk dokumenthåndtering).

ViPNet-systemprogramvaren fungerer i driftsmiljøer Windows, Linux.

VIPNet TILPASSET

Hver ViPNet CUSTOM-komponent inneholder en innebygd brannmur og et system for overvåking av nettverksaktivitet av applikasjoner, som lar deg få et pålitelig distribuert system av brannmurer og personlige brannmurer.

For å løse mulige konflikter av IP-adresser i lokale nettverk inkludert i et enkelt sikkert nettverk, tilbyr ViPNet CUSTOM et avansert system med virtuelle adresser. I mange tilfeller gjør dette det mulig å forenkle konfigurasjonen av brukerens applikasjonsprogramvare, siden det overlagrede virtuelle nettverket med sitt virtuelle adresser vil skjule den virkelig komplekse strukturen til nettverket. ViPNet CUSTOM støtter muligheten til å samhandle, noe som lar deg etablere de nødvendige sikre kommunikasjonskanalene mellom et vilkårlig antall beskyttede nettverk bygget ved hjelp av ViPNet CUSTOM. I tillegg gir systemet informasjonsbeskyttelse i moderne mulsom tilbyr IP-telefoni og lyd- og videokonferansetjenester. Trafikkprioritering og H.323, Skinny-protokoller støttes.

OAO "VOLZHA UNIVERSITET OPPNETT ETTER V.N. TATISCHEVA "

FAKULTET FOR INFORMATIKK OG TELEKOMMUNIKASJON

Institutt for informatikk og kontrollsystemer

KURSARBEID

etter disiplin: "Metoder og midler for å beskytte datainformasjon"

tema: " Beskyttelse av kommunikasjonskanaler»

Student av gruppe IS-506

A.A. Utyatnikov

Lærer:

M.V. Samokhvalova

Togliatti 2007

Introduksjon

Beskyttelse av informasjon i kommunikasjonskanaler og opprettelse av sikre telekommunikasjonssystemer

Fjerntilgang til informasjonsressurser... Beskyttelse av informasjon som overføres gjennom kommunikasjonskanaler

1 Løsninger basert på sertifiserte kryptoporter

2 Løsninger basert på IPSec-protokoll

teknologier informasjonssikkerhet i informasjons- og telekommunikasjonssystemer (ITS)

Konklusjon

Introduksjon

Beskyttelse (sikkerhet) av informasjon er en integrert del av det generelle problemet med informasjonssikkerhet, hvis rolle og betydning i alle livssfærer og aktiviteter i samfunnet og staten øker jevnt på nåværende stadium.

Produksjon og ledelse, forsvar og kommunikasjon, transport og energi, bank, finans, vitenskap og utdanning, media er i økende grad avhengig av intensiteten av informasjonsutveksling, fullstendighet, aktualitet, pålitelighet og informasjonssikkerhet.

I denne forbindelse har problemet med informasjonssikkerhet blitt gjenstand for akutt bekymring for lederne av statsmyndigheter, foretak, organisasjoner og institusjoner, uavhengig av deres organisatoriske og juridiske former og former for eierskap.

Den raske utviklingen av datateknologi har åpnet opp enestående muligheter for menneskeheten til å automatisere mentalt arbeid og ført til opprettelsen av et stort antall forskjellige typer automatiserte informasjons- og telekommunikasjons- og kontrollsystemer, til fremveksten av fundamentalt nye, såkalte informasjonsteknologier.

Når man utvikler tilnærminger for å løse problemet med data- og informasjonssikkerhet, bør man alltid gå ut fra det faktum at beskyttelse av informasjon og et datasystem ikke er et mål i seg selv. Det endelige målet med å lage et datasikkerhetssystem er å beskytte alle kategorier av subjekter, direkte eller indirekte involvert i prosessene for informasjonsinteraksjon, fra å forårsake dem materiell, moralsk eller annen skade som følge av utilsiktet eller bevisst påvirkning på informasjon og dens informasjon. prosesserings- og overføringssystemer.

1. Beskyttelse av informasjon i kommunikasjonskanaler og opprettelse av sikker

telekommunikasjonssystemer

I sammenheng med økende integrasjonsprosesser og opprettelsen av ett enkelt informasjonsrom i mange organisasjoner, foreslår LANIT å jobbe med å skape en sikker telekommunikasjonsinfrastruktur som kobler de eksterne kontorene til selskaper til en enkelt helhet, i tillegg til å sikre et høyt nivå sikkerhet for informasjonsflyten mellom dem.

Den anvendte teknologien til virtuelle private nettverk gjør det mulig å kombinere geografisk distribuerte nettverk både ved hjelp av sikre dedikerte kanaler, og virtuelle kanaler som går gjennom de globale offentlige nettverkene. En konsistent og systematisk tilnærming til å bygge sikre nettverk innebærer mer enn bare å beskytte eksterne kanaler kommunikasjon, men også effektiv beskyttelse av interne nettverk ved å tildele lukkede interne VPN-kretser. Dermed lar bruken av VPN-teknologi deg organisere sikker brukertilgang til Internett, beskytte serverplattformer og løse problemet med nettverkssegmentering i samsvar med organisasjonsstrukturen.

Informasjonsbeskyttelse under overføring mellom virtuelle undernett implementeres ved hjelp av asymmetriske nøkkelalgoritmer og en elektronisk signatur som beskytter informasjon mot forfalskning. Faktisk er datasubjektet for overføring mellom segmenter kodet ved utgangen fra ett nettverk og dekodet ved inngangen til et annet nettverk, mens nøkkeladministrasjonsalgoritmen sikrer sikker distribusjon mellom terminalenheter. All datamanipulering er gjennomsiktig for applikasjoner som kjører på nettverket.

2. Fjerntilgang til informasjonsressurser. Beskyttelse

informasjon som overføres gjennom kommunikasjonskanaler

På internettarbeid mellom geografisk avsidesliggende objekter i selskapet, oppstår problemet med å sikre sikkerheten for informasjonsutveksling mellom klienter og servere til ulike nettverkstjenester. Lignende problemer oppstår i trådløse LAN ( Trådløst lokalt Area Network, WLAN), samt når eksterne abonnenter har tilgang til ressursene til bedriftens informasjonssystem. Hovedtrusselen her regnes som uautorisert tilkobling til kommunikasjonskanaler og implementering av avlytting (lytting) av informasjon og modifikasjon (erstatning) av data som overføres over kanalene ( e-postmeldinger, filer osv.).

For å beskytte dataene som overføres gjennom de spesifiserte kommunikasjonskanalene, er det nødvendig å bruke passende midler kryptografisk beskyttelse... Kryptotransformasjoner kan utføres både på applikasjonsnivå (eller på nivåene mellom applikasjonsprotokollene og TCP/IP-protokollen), og på nettverksnivå (transformerer IP-pakker).

I den første varianten bør kryptering av informasjon beregnet for transport via en kommunikasjonskanal gjennom et ukontrollert territorium utføres ved avsendernoden (arbeidsstasjon - klient eller server), og dekryptering - ved mottaksnoden. Dette alternativet innebærer å gjøre betydelige endringer i konfigurasjonen til hver samhandlende part (kobler kryptografiske beskyttelsesverktøy til applikasjonsprogrammer eller kommunikasjonsdelen av operativsystemet), som som regel krever mye penger og installasjon av passende sikkerhetstiltak på hver node i det lokale nettverket. Løsningene til dette alternativet inkluderer protokollene SSL, S-HTTP, S / MIME, PGP / MIME, som gir kryptering og digital signatur av e-postmeldinger og meldinger som overføres ved hjelp av http-protokollen.

Det andre alternativet innebærer installasjon av spesialverktøy som utfører kryptotransformasjoner ved tilkoblingspunktene til lokale nettverk og eksterne abonnenter til kommunikasjonskanaler (offentlige nettverk) som går gjennom det ukontrollerte territoriet. Når du løser dette problemet, er det nødvendig å sikre det nødvendige nivået av kryptografisk databeskyttelse og minst mulig ekstra forsinkelser under overføringen, siden disse betyr å tunnelere den overførte trafikken (legge til en ny IP-header til den tunnelerte pakken) og bruke krypteringsalgoritmer for ulike styrker. På grunn av det faktum at midlene som gir kryptografiske transformasjoner på nettverksnivå er fullt kompatible med alle applikasjonsundersystemer som opererer i bedriftens informasjonssystem (de er "gjennomsiktige" for applikasjoner), brukes de oftest. Derfor vil vi dvele videre ved disse måtene å beskytte informasjon som overføres gjennom kommunikasjonskanaler (inkludert over nettverk generell tilgang for eksempel Internett). Det bør tas i betraktning at hvis midlene for kryptografisk beskyttelse av informasjon er planlagt brukt i statlige strukturer, da bør spørsmålet om deres valg avgjøres til fordel for produkter sertifisert i Russland.

.1 Løsninger basert på sertifiserte kryptoporter

For å implementere det andre alternativet og sikre konfidensialitet og pålitelighet av informasjon som overføres mellom selskapets objekter gjennom kommunikasjonskanaler, kan du bruke sertifiserte kryptoporter (VPN-porter). For eksempel, Continent-K, VIPNet TUNNEL, ZASTAVA-kontoret til selskapene NIP "Informzashita", Infoteks, Elvis +. Disse enhetene gir kryptering av overførte data (IP-pakker) i samsvar med GOST 28147-89, samt skjuler strukturen til det lokale nettverket, beskytter mot ekstern inntrenging, rutetrafikk og er sertifisert av Statens tekniske kommisjon i Den russiske føderasjonen og FSB (FAPSI).

Krypto-porter lar eksterne abonnenter gi sikker tilgang til ressursene til bedriftens informasjonssystem (fig. 1). Tilgang gjøres ved hjelp av spesiell programvare som er installert på brukerens datamaskin (VPN-klient) for sikker kommunikasjon mellom ekstern og mobilbrukere med en kryptogateway. Krypto-gateway-programvare (tilgangsserver) identifiserer og autentiserer brukeren og kommuniserer med ressursene til det beskyttede nettverket.

Figur 1. - "Fjerntilgang via en sikker kanal med

bruke en kryptoport"

Ved hjelp av kryptoporter kan du lage virtuelle sikre kanaler i offentlige nettverk (for eksempel Internett), garantere konfidensialitet og pålitelighet av informasjon, og organisere virtuelle private nettverk (Virtual Private Network - VPN), som er en kombinasjon av lokale nettverk eller individuelle datamaskiner koblet til et offentlig nettverk.bruk i et enkelt sikkert virtuelt nettverk. For å administrere et slikt nettverk brukes vanligvis spesiell programvare (kontrollsenter), som gir sentralisert styring lokale politikere sikkerhet for VPN-klienter og kryptoporter, sender dem nøkkelinformasjon og nye konfigurasjonsdata, sikrer vedlikehold systemlogger... Krypto gatewayer kan leveres som programvareløsninger, samt maskinvare og programvaresystemer. Dessverre støtter de fleste av de sertifiserte kryptogatewayene ikke IPSec-protokollen, og derfor er de funksjonelt inkompatible med maskinvare- og programvareprodukter fra andre produsenter.

.2 IPSec-løsninger

IP Security (IPSec) er den grunnleggende protokollen for å bygge sikkerhetssystemer nettverkslaget, er et sett med åpne internasjonale standarder og støttes av de fleste leverandører av beskyttelsesløsninger for nettverksinfrastruktur. IPSec-protokollen lar deg organisere strømmer av beskyttede og autentiske data (IP-pakker) på nettverksnivå mellom ulike samvirkende prinsipper, inkludert datamaskiner, brannmurer, rutere, og gir:

· Autentisering, kryptering og integritet av overførte data (IP-pakker);

· Beskyttelse mot re-overføring av pakker (replay angrep);

Oppretting, automatisk oppdatering og sikker distribusjon kryptografiske nøkler;

· Bruk av et bredt spekter av krypteringsalgoritmer (DES, 3DES, AES) og kontrollmekanismer for dataintegritet (MD5, SHA-1). Det er programvareimplementeringer av IPSec-protokollen som bruker russiske krypteringsalgoritmer (GOST 28147-89), hashing (GOST R 34.11-94), elektronisk digital signatur (GOST R 34.10-94);

· Autentisering av objekter for nettverksinteraksjon basert på digitale sertifikater.

Det gjeldende settet med IPSec-standarder inkluderer basisspesifikasjonene definert i RFC-er (RFC-er 2401-2412, 2451). Request for Comments (RFC) er en serie dokumenter fra Internet Engineering Task Force (IETF), startet i 1969, som beskriver Internett-protokollpakken. Systemarkitekturen er definert i RFC 2401 "Security Architecture for Internet Protocol", og de grunnleggende protokollspesifikasjonene i følgende RFC-er:

· RFC 2402 "IP Authentication Header" - spesifikasjon av AH-protokollen, som sikrer integriteten og autentiseringen av kilden til overførte IP-pakker;

· RFC 2406 "IP Encapsulating Security Payload" er en ESP-protokollspesifikasjon som gir konfidensialitet (kryptering), integritet og autentisering av kilden til overførte IP-pakker;

RFC 2408 "Internet Security Association og nøkkel Management Protocol "- en spesifikasjon av ISAKMP-protokollen, som gir forhandling av parametere, opprettelse, modifikasjon, ødeleggelse av sikre virtuelle kanaler (Security Association - SA) og administrasjon nødvendige nøkler;

· RFC 2409 "The Internet Key Exchange" - spesifikasjon av IKE-protokollen (inkluderer ISAKMP), som gir parameterforhandling, opprettelse, modifikasjon og ødeleggelse av SA-er, forhandling, generering og distribusjon av nøkkelmateriale som kreves for SA-oppretting.

AH- og ESP-protokollene kan brukes sammen eller hver for seg. IPSec bruker symmetriske krypteringsalgoritmer og matchende nøkler... Mekanismene for å generere og distribuere slike nøkler leveres av IKE-protokollen.

En sikker virtuell kanal (SA) er et viktig konsept innen IPSec-teknologi. SA er en rettet logisk forbindelse mellom to systemer som støtter IPSec-protokollen, som er unikt identifisert av følgende tre parametere:

· Sikkerhetsparameterindeks (SPI - 32-bits konstant brukt til å identifisere forskjellige SA-er med samme mottakers IP-adresse og sikkerhetsprotokoll);

· IP-adressen til mottakeren av IP-pakker (IP-destinasjonsadresse);

· Sikkerhetsprotokoll (Security Protocol - en av AH- eller ESP-protokollene).

Som et eksempel viser figur 2 en Cisco Systems IPsec-basert sikker kanalløsning for fjerntilgang. En spesiell Cisco VPN Client-programvare er installert på den eksterne brukerens datamaskin. Det finnes versjoner av denne programvaren for ulike operativsystemer - MS Windows, Linux, Solaris.

Figur 2. - "Fjerntilgang via en sikker kanal med

bruke en VPN-konsentrator "

VPN-klienten samhandler med Cisco VPN Series 3000 Concentrator og oppretter en sikker forbindelse, kalt en IPSec-tunnel, mellom brukerens datamaskin og privat nettverk bak VPN-konsentratoren. En VPN Concentrator er en enhet som terminerer IPSec-tunneler fra eksterne brukere og administrerer etableringen av sikre tilkoblinger til VPN-klienter installert på brukernes datamaskiner. Ulempene med denne løsningen inkluderer mangelen på støtte fra Cisco Systems for russisk kryptering, hashing og elektroniske digitale signaturalgoritmer.

3. Teknologier for informasjonssikkerhet i informasjon og

telekommunikasjonssystemer (ITS)

telekommunikasjon beskyttelse informasjonskanal kommunikasjon

Effektiv prosessstøtte regjeringskontrollert bruk av midler og informasjonsressurser (IRR) er bare mulig hvis systemet har egenskapen "sikkerhet", som er sikret ved implementering av et integrert informasjonsbeskyttelsessystem, inkludert de grunnleggende beskyttelseskomponentene - et tilgangskontrollsystem for ITS-anlegg, en videoovervåkingssystem og et informasjonssikkerhetssystem ...

Hjørnesteinen i et integrert beskyttelsessystem er et informasjonssikkerhetssystem, hvis konseptuelle bestemmelser følger av systemets særegenheter og dets konstituerende delsystemer og konseptet med et "beskyttet" system, som kan formuleres som følger:

Protected ITS er et informasjons- og telekommunikasjonssystem som sikrer stabil ytelse av målfunksjonen innenfor rammen av en gitt liste over sikkerhetstrusler og en inntrengers handlingsmodell.

Listen over sikkerhetstrusler og en modell av en inntrengers handlinger bestemmes av et bredt spekter av faktorer, inkludert ITS-operasjonsprosessen, mulige feilaktige og uautoriserte handlinger fra servicepersonell og brukere, utstyrsfeil og funksjonsfeil, passive og aktive handlinger fra inntrengere.

Når du bygger en ITS, er det tilrådelig for statlige myndigheter (OGV) å vurdere tre grunnleggende kategorier informasjonssikkerhetstrusler som kan føre til brudd på hovedmålfunksjonen til systemet - effektiv støtte til offentlige administrasjonsprosesser:

Feil og feil i systemmaskinvaren, nødsituasjoner, etc. (arrangementer uten menneskelig deltakelse);

· Feilaktige handlinger og utilsiktede uautoriserte handlinger fra servicepersonell og systemabonnenter;

Uautoriserte handlinger fra inntrengeren kan referere til passive handlinger (avskjæring av informasjon i kommunikasjonskanalen, avskjæring av informasjon i tekniske lekkasjekanaler) og til aktive handlinger (avlytting av informasjon fra media med et klart brudd på reglene for tilgang til informasjonsressurser, forvrengning av informasjon i kommunikasjonskanalen, forvrengning, inkludert ødeleggelse av informasjon på media med et klart brudd på reglene for tilgang til informasjonsressurser, innføring av desinformasjon).

Lovbryteren kan også iverksette aktive handlinger rettet mot å analysere og overvinne informasjonssikkerhetssystemet. Det er tilrådelig å dele denne typen handling i en egen gruppe, siden inntrengeren etter å ha overvunnet beskyttelsessystemet kan utføre handlinger uten eksplisitt å bryte reglene for tilgang til informasjonsressurser.

I den ovennevnte typen handlinger er det tilrådelig å fremheve mulige handlinger som tar sikte på å introdusere maskinvare- og programvarefaner i ITS-utstyr, som først og fremst bestemmes av bruk av utenlandsk utstyr, maskinvarekomponenter og programvare.

Basert på analysen av ITS-arkitekturen og truslene kan det dannes en generell arkitektur av informasjonssikkerhetssystemet, som inkluderer følgende hoveddelsystemer:

· Et undersystem for styring av informasjonssikkerhetssystem;

· Et sikkerhetsundersystem i informasjonsundersystemet;

· Sikkerhetsdelsystem i telekommunikasjonsundersystemet;

· Et sikkerhetsundersystem for internettarbeid;

· Et delsystem for å identifisere og motvirke de aktive handlingene til overtreders;

· Et delsystem for å oppdage og motvirke mulige maskinvare- og programvarebokmerker.

Det skal bemerkes at de tre siste delsystemene, i det generelle tilfellet, er komponenter i det andre og tredje delsystemet, men med tanke på funksjonene formulert ovenfor, er det tilrådelig å betrakte dem som separate delsystemer.

Grunnlaget for informasjonssikkerhetssystemet i ITS og hvert av dets undersystemer er sikkerhetspolicyen i ITS og dets undersystemer, hvis nøkkelbestemmelser er kravene for bruk av følgende grunnleggende mekanismer og midler for å sikre informasjonssikkerhet:

· Identifikasjon og autentisering av ITS-abonnenter, ITS-utstyr, behandlet informasjon;

· Kontroll av informasjonsflyt og informasjons livssyklus basert på sikkerhetsetiketter;

Kontroll av tilgang til ITS-ressurser basert på en kombinasjon av skjønnsmessige, obligatoriske og rollebaserte retningslinjer og brannmur;

· Kryptografisk informasjonsbeskyttelse;

· tekniske midler beskyttelse;

· Organisatoriske og sikkerhetsmessige tiltak.

Listen ovenfor over beskyttelsesmekanismer bestemmes av målene for i ITS, blant dem vil vi skille ut følgende fem hovedmål:

· Kontroll av tilgang til informasjonsressurser til ITS;

· Sikre konfidensialiteten til beskyttet informasjon;

· Kontroll over integriteten til den beskyttede informasjonen;

· Ikke-nektelse av tilgang til informasjonsressurser;

· Beredskap for informasjonsressurser.

Implementeringen av de spesifiserte mekanismene og beskyttelsesmidlene er basert på integrering av maskinvare- og programvarebeskyttelsesmidler i maskinvaren og programvaren til ITS og den behandlede informasjonen.

Merk at begrepet "informasjon" i ITS betyr følgende typer informasjon:

· Brukerinformasjon (informasjon nødvendig for ledelse og beslutningstaking);

· Tjenesteinformasjon (informasjon som gir kontroll over ITS-utstyr);

· Spesiell informasjon (informasjon som sikrer styring og drift av verneutstyr);

· teknologisk informasjon(informasjon som sikrer implementering av all i ITS).

I dette tilfellet er alle de oppførte typene informasjon underlagt beskyttelse.

Det er viktig å merke seg at uten å søke automatiserte verktøy administrere informasjonssikkerhetssystemet, er det umulig å sikre stabil drift av sikkerhetssystemet i et geografisk distribuert informasjonsbehandlingssystem som samhandler med både beskyttede og ikke-beskyttede systemer i ITS-sløyfen og behandler informasjon på ulike nivåer av konfidensialitet.

Hovedmålene for styringsundersystemet for informasjonssikkerhet er:

· Dannelse, distribusjon og regnskapsføring av spesiell informasjon brukt i beskyttelsesundersystemer (nøkkelinformasjon, passordinformasjon, sikkerhetsetiketter, tilgangsrettigheter til informasjonsressurser, etc.);

· Konfigurasjon og administrasjon av informasjonssikkerhetsmidler;

· Koordinering av sikkerhetspolitikk i samvirkende systemer, inkludert spesiell informasjon;

· Overvåking av sikkerhetssystemet;

· Oppdatering av sikkerhetspolitikken i ITS, med hensyn til ulike driftsperioder, innføring av nye ini ITS.

Implementeringen av styringsundersystemet for informasjonssikkerhet krever opprettelsen av et enkelt kontrollsenter som samhandler med lokale sikkerhetskontrollsentre for telekommunikasjon og informasjonsundersystemer til ITS, kontrollsentre for informasjonssikkerhet i samvirkende nettverk og informasjonssikkerhetsagenter ved systemobjekter.

Arkitekturen til styringssystemet for informasjonssikkerhet bør være praktisk talt identisk med arkitekturen til selve ITS, og med tanke på implementeringen bør følgende prinsipper overholdes:

Infoog lokale kontrollsentre bør implementeres på dedikert maskinvare og programvare ved hjelp av innenlandske midler;

· Agenter for sikkerhetsstyring bør integreres i maskinvaren og programvaren til arbeidsstasjonene i systemet med mulighet for uavhengig kontroll fra dem av senteret og lokale sentre.

Infi ITS informasjonsundersystemet er et av de mest komplekse undersystemene både når det gjelder beskyttelsesmekanismer og deres implementering.

Kompleksiteten til dette delsystemet bestemmes av det faktum at det er i dette delsystemet at hoveddelen av informasjonsbehandlingen utføres, mens det konsentrerer hovedressursene for å få tilgang til informasjonen til systemabonnenter - abonnenter har direkte autorisert tilgang til både informasjon og dens behandlingsfunksjoner. Det er derfor grunnlaget for dette delsystemet er kontrollsystemet for tilgang til informasjon og funksjonene til behandlingen.

Den grunnleggende mekanismen for implementering av autorisert tilgang til informasjon og funksjonene til dens behandling er en mekanisme for å beskytte informasjonsressurser mot uautoriserte handlinger, hvis hovedkomponenter er:

· Organisatoriske og tekniske midler for tilgangskontroll til systemobjekter, informasjon og funksjoner i behandlingen;

· System for registrering og regnskap for systemdrift og systemabonnenter;

· Delsystem for å sikre integritet;

· Kryptografisk delsystem.

Grunnlaget for implementeringen av den bemerkede beskyttelsen er den arkitektoniske konstruksjonen av informasjonskomponenten til ITS - opprettelsen av logisk og informasjonsmessig adskilte objekter av informasjonskomponenten til ITS (databanker, informasjons- og referansekomplekser, situasjonssentre). Dette vil gjøre det mulig å implementere kryptografisk uavhengige isolerte objekter som opererer ved hjelp av klient-server-teknologi og ikke gir direkte tilgang til informasjonslagre og prosesseringsfunksjoner - all behandling utføres på autorisert forespørsel fra brukere på grunnlag av myndighetene gitt til dem .

For autorisert levering av informasjonsressurser til abonnenter, brukes følgende metoder og mekanismer:

· Informasjonssikkerhetsetiketter;

· Identifikasjon og autentisering av abonnenter og systemutstyr;

· Kryptografisk beskyttelse av informasjon under lagring;

· Kryptografisk kontroll av informasjonsintegritet under lagring.

Når du implementerer sikkerhetsdelsystemet i telekommunikasjonskomponenten til ITS, er det nødvendig å ta hensyn til tilgjengeligheten av kommunikasjonskanaler både i kontrollerte og ukontrollerte territorier.

En rimelig måte å beskytte informasjon i kommunikasjonskanaler på er kryptografisk beskyttelse av informasjon i kommunikasjonskanaler i et ukontrollert territorium i kombinasjon med organisatoriske og tekniske midler for å beskytte informasjon i kommunikasjonskanaler i et kontrollert område, med utsikter til å gå over til kryptografisk beskyttelse av informasjon i alle kommunikasjonskanaler til ITS, inkludert bruk av VPN-teknologimetoder. En ressurs for å beskytte informasjon i telekommunikasjonsundersystemet (under hensyntagen til tilstedeværelsen av overtredere med lovlig tilgang til telekommunikasjonsressurser) er avgrensningen av tilgang til telekommunikasjonsressurser med registrering av informasjonsstrømmer og abonnentenes arbeidsregler.

En typisk løsning for å beskytte informasjon i kommunikasjonskanaler er bruken av abonnent- og lineære beskyttelseskretser i kombinasjon med algoritmiske og tekniske beskyttelsesmidler som gir (både direkte og indirekte) følgende beskyttelsesmekanismer:

· Beskyttelse mot informasjonslekkasje til kommunikasjonskanaler og tekniske kanaler;

· Kontroll over sikkerheten til informasjon under overføring via kommunikasjonskanaler;

· Beskyttelse mot mulige angrep fra en inntrenger gjennom kommunikasjonskanaler;

· Identifikasjon og autentisering av abonnenter;

· Kontroll av tilgang til systemressurser.

Sikkerhetsundersystemet for samhandling i ITS er basert på følgende sikkerhetsmekanismer:

· Kontroll av tilgang til ressurser til sammenkoblingen (brannmur);

· Identifikasjon og autentisering av abonnenter (inkludert kryptografiske autentiseringsmetoder);

· Identifikasjon og autentisering av informasjon;

· Kryptografisk beskyttelse av informasjon i kommunikasjonskanaler i ukontrollert territorium, og i fremtiden - i alle kommunikasjonskanaler;

· Kryptografisk isolasjon av samvirkende systemer.

Av stor betydning i det betraktede delsystemet er implementeringen av virtuelle private nettverk (VPN) teknologi, hvis egenskaper i stor grad løser problemene med både informasjonsbeskyttelse i kommunikasjonskanaler og mot angrep fra inntrengere fra kommunikasjonskanaler.

· En av funksjonene til ITS er å ta beslutninger om styring av både individuelle avdelinger og virksomheter, og staten som helhet på grunnlag av analytisk behandling av informasjon;

· Eksistensen av overtredere blant abonnenter som samhandler med ITS-systemer er ikke utelukket.

Undersystemet for å oppdage og motvirke inntrengerens aktive handlinger er implementert på to hovedkomponenter: maskinvare- og programvareverktøy for å oppdage og motvirke mulige inntrengerangrep via kommunikasjonskanaler og arkitekturen til et sikkert nettverk.

Den første komponenten er en komponent for å identifisere mulige angrep, beregnet for beskyttelse i de ITS-delsystemene der handlingene til en inntrenger i form av angrep på informasjonsressurser og ITS-utstyr i prinsippet er mulig, den andre komponenten er utformet for å utelukke slike handlinger eller komplisere dem betydelig.

Hovedmidlene til den andre komponenten er maskinvare- og programvareverktøy som sikrer implementering av beskyttelsesmetoder i samsvar med teknologien til virtuelle private nettverk (VPN) både i samspillet mellom forskjellige ITS-objekter i samsvar med deres struktur, så vel som innenfor individuelle objekter og undernett basert på brannmurer eller brannmurer med innebygd kryptografisk beskyttelse.

Vi understreker at den mest effektive motvirkningen mot mulige angrep gis av kryptografiske midler i form av en lineær beskyttelsessløyfe og en kryptografisk gateway for eksterne inntrengere og midler for å kontrollere tilgangen til informasjonsressurser for lovlige brukere som tilhører inntrengerens kategori.

Undersystemet for å identifisere og motvirke mulig sikkerhetskopiering av maskinvare og programvare er implementert av et sett med organisatoriske og tekniske tiltak i produksjon og drift av ITS-utstyr, som inkluderer følgende hovedaktiviteter:

· Spesiell inspeksjon av utstyr og elementbase for utenlandsk produksjon;

· Programvarestandardisering;

· Kontrollere egenskapene til elementbasen som påvirker effektiviteten til beskyttelsessystemet;

· Kontrollere integriteten til programvare ved hjelp av kryptografiske algoritmer.

Sammen med andre oppgaver er problemet med å motvirke mulige maskinvare- og programvarebokmerker gitt av andre beskyttelsesmidler:

· Lineær krets for kryptografisk beskyttelse, som gir beskyttelse mot aktivering av mulige programvarebokmerker gjennom kommunikasjonskanaler;

· Arkivering av informasjon;

· Redundans (duplisering av maskinvare).

Ved hjelp av ITS ved ulike objekter i systemet kan brukere av OGV gis ulike tjenester for overføring av informasjon og informasjonstjenester, inkludert:

· Beskyttet delsystem for dokumentsirkulasjon;

· Sertifiseringssentre;

· Et sikkert undersystem for overføring av telefoninformasjon, data og organisering av videokonferanser;

· Et beskyttet delsystem av offisiell informasjon, inkludert opprettelse og vedlikehold av offisielle nettsider til ledere for føderalt og regionalt nivå.

Merk at det beskyttede arbeidsflytundersystemet er stivt forbundet med sertifiseringssentre som sikrer implementeringen av den digitale signaturmekanismen.

La oss vurdere mer detaljert integreringen av informasjonssikkerhetsmidler i det elektroniske dokumenthåndteringssystemet, i undersystemet for telefoninformasjonsoverføring, det offisielle informasjonsundersystemet og det offisielle nettstedet til ledere på forskjellige nivåer.

Den grunnleggende mekanismen for å beskytte informasjon i det elektroniske dokumenthåndteringssystemet er en digital elektronisk signatur, som gir identifikasjon og autentisering av dokumenter og abonnenter, samt kontroll over deres integritet.

Siden funksjonene til ITS dokumenthåndteringssystem bestemmes av tilstedeværelsen av informasjonsutveksling mellom ulike gjenstander og avdelinger (inkludert mulig informasjonsutveksling mellom beskyttede og ubeskyttede systemer), samt bruk av ulike dokumentbehandlingsteknologier i ulike avdelinger, krever implementeringen av en sikker dokumentflyt, tatt i betraktning de angitte faktorene, følgende tiltak:

· Ensretting av formatet på dokumenter i ulike avdelinger;

· Koordinering av sikkerhetspolitikk i ulike avdelinger.

Selvfølgelig kan de angitte kravene delvis løses ved å bruke gatewayer mellom samvirkende systemer.

Sertifiseringssentre er i hovedsak en distribuert database som sikrer implementering av digitale signaturer i arbeidsflytsystemet. Uautorisert tilgang til informasjonsressursene til denne databasen ødelegger sikkerhetsegenskapene til elektronisk dokumenthåndtering fullstendig. Derfor følger hovedtrekkene til informasjonssikkerhetssystemet på sertifiseringssentre:

· Administrasjon av tilgang til ressursene til databasen for sertifiseringssentre (beskyttelse mot uautorisert tilgang til ressurser);

· Sikre stabil drift av sertifiseringssentre i forhold til mulige feil og feil, nødsituasjoner (beskyttelse mot ødeleggelse av databaseinformasjon).

Implementeringen av disse mekanismene kan utføres i to trinn: i det første trinnet implementeres beskyttelsesmekanismer ved hjelp av organisatoriske og tekniske beskyttelsestiltak og sikkerhetstiltak, inkludert bruk av et nasjonalt sertifisert operativsystem, og i andre trinn, kryptografiske beskyttelsesmetoder er integrert i maskinvare og programvare under lagring og behandling av informasjon på sertifiseringssentre.

Beskyttelsesfunksjonene til ulike typer trafikk som overføres i ITS (telefontrafikk, data- og videokonferansetrafikk) kan deles inn i to klasser:

Beskyttelsesfunksjoner abonnentutstyr, som er bestemt av behovet for å beskytte informasjon av ulike typer, inkludert samtidig (videoinformasjon og tale, og eventuelt data), samt behovet for å beskytte informasjon av ulike typer mot lekkasje til tekniske kanaler.

· Sikkerhetsfunksjoner til utstyret til en viss type informasjonsoverføringssystem, som bestemmes av behovet for å beskytte mot uautorisert tilgang til telefontjenester, dataoverføring, konferansesamtaler og dets ressurser.

For disse klassene er de grunnleggende beskyttelsesmekanismene:

· Tekniske midler for å beskytte informasjon mot lekkasje til tekniske kanaler, implementert med standard midler;

· Kontroll av tilgang til ressurser, gir organisering av kommunikasjon av ulike typer, som er basert på identifikasjon og autentisering av mulige tilkoblinger av ulike brukere og utstyr til kommunikasjonsutstyr.

Et trekk ved det beskyttede delsystemet av offisiell informasjon er tilstedeværelsen av informasjonsstrømmer i to retninger - fra ITS til eksterne systemer, inkludert individuelle borgere i landet, så vel som fra eksterne systemer til ITS (informasjonsutveksling med ubeskyttede objekter).

Basert på informasjonen som kommer fra eksterne systemer, utvikles beslutninger i interessene til både enkeltorganisasjoner, avdelinger og regioner, og staten som helhet, og gjennomføringen av beslutningene som tas på alle myndighetsnivåer avhenger av informasjonen som mottas av eksterne systemer.

Derfor, i det første tilfellet, er hovedkravene for systemets funksjon fra et sikkerhetssynspunkt integriteten til informasjonen som gis, hurtigheten til å gi informasjon, inkludert oppdateringen, påliteligheten til informasjonskilden, og kontroll med å levere informasjon til mottaker.

I det andre tilfellet - påliteligheten til informasjonen som er gitt, påliteligheten til informasjonskilden, hurtigheten til levering av informasjon, samt kontroll over levering av informasjon til mottakeren. I utgangspunktet er de oppførte kravene gitt av standard beskyttelsesmekanismer (kryptografiske metoder for kontroll av informasjonsintegritet, identifikasjon og autentisering av abonnenter og informasjon).

Et særtrekk ved dette delsystemet er behovet for å kontrollere påliteligheten til informasjon som kommer fra eksterne systemer og som er kildematerialet for å ta beslutninger, inkludert i statens interesse. Denne oppgaven løses ved hjelp av analytiske metoder for å kontrollere informasjonens pålitelighet, sikre stabiliteten til løsningene som utvikles ved mottak av unøyaktig informasjon, og organisatoriske og tekniske tiltak som sikrer bekreftelse av den innkommende informasjonen.

Hovedmålene for på nettsiden til lederne for det føderale og regionale nivået er å utelukke informasjon på nettstedet som ikke er ment for dette, samt å sikre integriteten til informasjonen som presenteres på nettstedet.

Den grunnleggende beskyttelsesmekanismen implementert på nettstedet skal gi kontroll over tilgang til nettstedet fra siden av det interne systemet som gir informasjon til nettstedet, samt kontroll over tilgang fra eksterne systemer til ressursene til nettstedet.

Implementeringen av beskyttelse er basert på opprettelsen av en "demilitarisert" sone basert på brannmurer (gatewayer) som gir:

Filtrering av informasjon i retning fra det interne systemet til nettstedet med kontroll over tilgangen til nettstedet av det interne systemet (identifikasjon og autentisering av informasjonskilden) og filtrering av informasjon ved hjelp av sikkerhetsetiketter;

Overvåke integriteten til informasjonsressurser på nettstedet og sikre stabil drift av nettstedet under forhold med mulig forvrengning av informasjon;

tilgangskontroll fra eksterne systemer til nettstedsressurser;

filtrering av forespørsler som kommer til nettstedet fra eksterne systemer.

En av kritiske spørsmål ved løsning av problemer med informasjonssikkerhet er det nødvendig å forbedre regelverket når det gjelder informasjonssikkerhet.

Behovet for å forbedre regelverket bestemmes av to hovedfaktorer - tilgjengeligheten av informasjonsutveksling mellom ulike avdelinger, tilstedeværelsen et stort antall typer og typer informasjon som sirkulerer i ITS.

Når det gjelder å sikre informasjonssikkerheten i ITS, bør forbedringen av regelverket utføres på følgende områder:

· Oppretting av enhetlige krav for å sikre informasjonssikkerhet og, på grunnlag av dem, et enhetlig sikkerhetskonsept, som sikrer muligheten for å harmonisere sikkerhetspolitikk i ulike avdelinger og ITS som helhet, inkludert ulike driftsperioder;

· Oppretting av en enhetlig standard for dokumentarinformasjon, som sikrer implementering av enhetlige sikkerhetsetiketter og reduserer kostnadene for kringkasting av dokumenter i interbyrået interaksjon;

· Oppretting av bestemmelser for interdepartemental interaksjon, som sikrer konstant overvåking av informasjonssikkerhet under tverretatlig samarbeid.

Konklusjon

I dette semesteroppgave følgende prinsipper ble vurdert:

ITS arkitektur og grunnleggende teknologier informasjonsbehandling i ITS bør opprettes under hensyntagen til den evolusjonære overgangen til midlene for innenlandsk utvikling;

· Automatiserte arbeidsstasjoner for ITS-informasjonssikkerhetssystemet bør opprettes på maskinvare- og programvareplattformen til innenlandsk produksjon (datamaskiner for innenlandsk montering, innenlandsk operativsystem, innenlandsk programvare);

· ITS-arkitektur og grunnleggende ini ITS bør opprettes under hensyntagen til muligheten for å bruke i første fase av eksisterende maskinvare- og programvarebeskyttelsesverktøy med påfølgende erstatning med lovende informasjonsbeskyttelsesverktøy.

Oppfyllelse av disse kravene vil sikre kontinuiteten og spesifisert effektivitet av informasjonsbeskyttelsen i overgangsperiode fra bruk av ini ITS i kombinasjon med inftil bruk av beskyttede ini ITS.

Bibliografi

1. Konstantin Kuzovkin. Fjerntilgang til informasjonsressurser. Godkjenning. // Regissør informasjonstjeneste - 2003 - №9.

2. Konstantin Kuzovkin. En sikker plattform for webapplikasjoner. // Åpne systemer - 2001 - №4.

Alexey Lukatsky. Ukjent VPN. // Datamaskin-presse - 2001 - №10.

Internettressurser: http://www.niia.ru/document/Buk_1, www.i-teco.ru/article37.html.

I enhver organisasjons arbeid er det ofte behov for utveksling av konfidensiell informasjon mellom to eller flere personer. Den enkleste løsningen er å overføre den muntlig eller personlig til papirskjema... Men dersom dette ikke er mulig, samt om det er nødvendig å overføre informasjon nøyaktig til i elektronisk format kryptografiske transformasjoner er ofte brukt. Til tross for den utbredte bruken, har kryptografi sine ulemper - faktumet med overføring er ikke skjult, og hvis krypteringsalgoritmen ikke er sterk nok, blir det mulig for en inntrenger å gjenopprette informasjon. I tillegg, på grunn av kompleksiteten til kryptografiske transformasjoner, pålegges det en begrensning på dataoverføringshastigheten, som kan være kritisk når man kringkaster store mengder dokumentar- eller multimedieinformasjon (video eller lyd) over en åpen kanal, for eksempel i en telekonferanse. modus.

Etter forfatternes mening kan et alternativ til kryptografiske transformasjoner i dette tilfellet være En kompleks tilnærming til organisering av utveksling av konfidensiell informasjon, inkludert steganografiske transformasjoner (som involverer skjul av selve overføringen av konfidensiell informasjon) og bruk av ulike metoder autentisering og nettverksbelastningsbalansering.

Formålet denne studien er utviklingen av en teknikk for skjult overføring av informasjon i en videostrøm og dens implementering i form Software pakke... Metodikken er basert på prioritering av trafikk til noen brukere i forhold til andre. I løpet av arbeidet ble det laget en proprietær trafikkkontrollalgoritme, som brukes i denne teknikken for å organisere en sikker utveksling av informasjon.

Mulige anvendelsesområder for algoritmen er nettverksbelastningsbalansering, privilegert tilgang til ressurser, organisering av en skjult meldingsoverføringskanal.

TIL programvareimplementering Algoritmen har følgende krav:

Åpenhet for brukeren;

Feiltoleranse;

- sikker lagring hemmelige nøkler og systemdata med begrenset tilgang;

Gjennomførbarhet av søknad, det vil si gevinst i hastighet, kvalitet på tjenesten eller sikkerhet;

Kompatibel med diverse nettverksutstyr.

La oss vurdere "Privilege Label"-algoritmen mer detaljert. I normal modus blir pakker overført direkte fra kilden til adressaten, utenom serveren. Dette er organisasjonens vanlige lokalnettverk. Før den tiltenkte starten av ad hoc-modus, starter administratoren tjenesten på serveren. Nettverket går i standby-modus.

Pakken mottas, det kontrolleres om det er et merke for begynnelsen av spesialmodusen, hvis det er en, utføres overgangen til spesialmodusen, ellers leveres pakken til adressaten og en ny mottas . Pakkestrukturen er vist i figur 1.

Spesialmodus. Autentiseringsinformasjonen til pakkeavsenderen kontrolleres. Serverens arbeid er tydelig vist i form av et blokkdiagram i figur 2.

Figur 3 viser opplegget for å sende pakker til adressaten. Alle pakker går gjennom serveren, hvor etiketten leses tilsvarende mottakeradressen. Hvis autentiseringen er vellykket, videresendes pakken til adressaten.

Klienten starter tjenesten på datamaskinen sin. Tjenesten sjekker om serveren kjører. Hvis serveren ikke kjører, logger programmet en registrering av feilen som har oppstått og bytter til kildedestinasjonsmodus. Hvis serveren kjører, sjekkes det om det finnes en maskinvarenøkkel. Hvis det ikke er noen maskinvarenøkkel, registreres en feil og en retur til kildedestinasjonsmodus skjer. Hvis maskinvarenøkkelen er til stede, utføres overgangen til kilde-server- og destinasjonsserver-modusene.

I kilde-server- og destinasjonsserver-modus sendes meldinger som følger. Brukerinformasjon, rettighetsetikett og skjulte data legges til pakken. Pakken blir sendt. Mottak av meldinger utføres som følger: den mottatte meldingen skrives til bufferen; i henhold til tabellen over steganografiske transformasjoner, tildeles pakker med skjult informasjon; det er en samling av konfidensiell informasjon (fig. 4).

Metodikk for å organisere en sikker kanal

En sikker informasjonsoverføringskanal løser problemet med beskyttelse mot uautorisert tilgang til nettverksnoder som informasjon overføres mellom, og selve informasjonen i ferd med overføring over åpne kommunikasjonskanaler.

Basert på «Privilege Label»-algoritmen ble det utviklet en metode for å organisere en sikker informasjonsoverføringskanal med trafikkkontroll under overføring.

La oss vurdere trinnene som denne metoden for å utveksle konfidensiell informasjon for brukeren inkluderer.

1. En autentisering ( elektronisk nøkkel).

2. Hvis autentiseringen er vellykket, legges den nødvendige konfidensielle informasjonen inn i programmet.

3. Videokonferansen starter (og underveis sending av konfidensiell informasjon).

4. Under videokonferansen mottas og gjenkjennes også informasjon fra en annen deltaker i datautvekslingen.

5. Konferansen avsluttes.

Derfor, for å organisere en sikker kanal, må brukeren ha installert program"Privilege label", elektronisk nøkkel med autentiseringsdata, webkamera og nettverkstilgang for organisering av kommunikasjon.

Godkjenning

I denne teknikken brukes autentiseringsprosedyren for å autorisere bruker-operatøren før du starter arbeidet med klienten programvaremodul og autentisering av meldingen med rettighetsetiketten fra klienten til systemserveren.

Derfor er det nødvendig å bruke et ett-trinns autentiseringsskjema med maskinvarenøkkel og datafelt i overskriften TCP-pakke... Den enkleste og mest effektive måten å løse dette problemet på vil være å bruke algoritmen for å beregne innsettingsimitasjonen i samsvar med GOST 28147-89, siden den gir høy kryptografisk styrke, lar deg variere lengden på autentiseringsfeltet i pakken og er effektivt implementert på moderne PC-maskinvareplattformer generelt formål... I dette tilfellet, for å løse begge problemene, kan den samme nøkkelen brukes, lagret på nøkkelholderen presentert av operatøren. Når en bruker er autentisert til å gå inn i systemet (når klientapplikasjonen startes), sendes en testmelding til serveren, kryptert på nøkkelen fra den presenterte nøkkelbærer... Hvis serveren var i stand til å dekryptere den med en nøkkel som tilsvarer den lovlige brukeren til den gitte verten, anses autentiseringen som bestått og serveren rapporterer dette til klientapplikasjonen.

Overførte TCP-pakker autentiseres ved hjelp av standard ordning, når informasjonsfeltet til pakken er kryptert i imiterende innsettingsmodus og lagt til autentiseringsfeltet, og serveren kontrollerer riktigheten av det beregnede imiterende innlegget ved å bruke krypteringsnøkkelen lagret i databasen.

Det bør bemerkes at for å sikre påliteligheten til en slik ordning med høy belastning nettverk, må krypteringsnøkler for alle brukere endres minst en gang i måneden, noe som i tilfelle bruk av systemet når du jobber i en organisasjons lokale nettverk ikke er vanskelig og løses av organisatoriske og administrative metoder.

Steganografi

Med steganografisk transformasjon må tillegget av beholdere skje i sanntid, og nøkkelstyrken må sikres.

Oftest brukes metoden med minst signifikante biter for å modifisere videotrafikk og bygge inn stegocontainere. Denne metoden er ustabil for forvrengning av informasjon som overføres i stegocontainere, for eksempel kan du tilbakestille alle siste slag, som vil ødelegge all konfidensiell informasjon. Du kan også gjenopprette skjult informasjon ved hjelp av statistiske mønstre.

Funksjonene ved bruken av steganografi i den utviklede teknikken for videokonferanser er som følger:

Stegocontainere er innebygd i sanntid;

Åpen overført informasjon Det har stor størrelse- belastningen på kanalen øker;

I stegocontainere er det nødvendig å overføre autentiseringstokener;

Å legge til beholdere må være gjennomsiktig for brukeren;

Autentisering bør være brukervennlig og automatisert;

Overføringen av autentiseringstokener må være kontinuerlig.

Informasjon om pakkenummer kan overføres forskjellige måter... Essensen av den første overføringsmetoden: den første pakken inkluderer en offset til neste pakke med konfidensiell informasjon, etc., det vil si at hver pakke med en stego-beholder i begynnelsen av datafeltet vil inneholde informasjon om nummeret til den neste pakke med en stego-beholder. Det er viktig at forskyvningen er spesifisert, ikke pakkenummeret, siden forskyvningskodingen generelt vil kreve færre biter.

I programinnstillingene må du bestemme hvor mange biter i begynnelsen av pakken som skal tildeles adressen til neste pakke. For eksempel, hvis avstanden mellom pakker ikke overstiger 100, må 7 biter tildeles for offsetkoding. Hver bit som tildeles for offset kan øke avstanden mellom pakker betydelig og dermed jevne ut de statistiske egenskapene til videostrømmen.

Ulempen med denne metoden er at, ved å avskjære den første pakken, lærer angriperen nummeret på den neste pakken og kan dermed gradvis gjenopprette hele sekvensen.

Den andre overføringsmetoden er å skrive en tabell som inneholder antall pakker med konfidensiell informasjon til maskinvarenøklene før starten av videokonferansen. Alle trafikktransformasjoner skjer på klientmaskiner, og gir dermed ekstra sikkerhet, siden informasjon i klar form ikke går over nettverket.

Feil denne metoden det faktum at en angriper skaffer seg en maskinvarenøkkel tillater ham å gjenopprette den overførte konfidensielle informasjonen.

Den tredje måten å overføre bordet på er å overføre det til materiale medium, for eksempel i papirform. Ulemper med denne metoden: klienten legger inn tabellen manuelt i programmet og muligheten for å avskjære nøkkelinformasjon av inntrengeren.

Programvareimplementering

La oss vurdere driften av et program som implementerer denne algoritmen. Det skal bemerkes at den består av klient- og serverdelen.

Klientdelen kjører i bakgrunnen og gir minimumssettet med funksjoner:

Delta i en videokonferanse;

Send konfidensiell informasjon til adressaten;

Godta og gjenkjenne konfidensiell informasjon.

Dessuten bør brukeren ikke tenke på å velge nødvendig skjult informasjon fra videostrømmen - innsamlingen av data fra forskjellige pakker skjer automatisk av klientdelen av applikasjonen. Denne prosessen utføres på klientmaskinen slik at informasjon ikke kjøres i nettverket i klartekst, siden hvis du gjenoppretter den på serveren og deretter overfører den, vil seksjonen fra adressaten til serveren være potensielt farlig.

Serverdelen er ment for administratoren. Ved første start legger administratoren til IP-adressene til nettverket manuelt, og fortsetter deretter med å tildele etiketter. Et hakemerke settes ved siden av den privilegerte adressen. Administratoren setter også forskyvningsstørrelsen (antall biter som tildeles i begynnelsen av pakken), siden hvis den angis av klientsiden av applikasjonen, kan kollisjoner oppstå når forskyvningsstørrelsene for forskjellige brukere samsvarer ikke.

Dermed utfører administratoren manuelt følgende handlinger:

Oppgi IP-adressen til videokonferansebrukerne;

Velge størrelsen på offset for adressen;

Tast inn brukernøkler for autentisering.

Tjenesteinformasjon som kreves for driften av programmet, konfidensiell informasjon og selve nøklene lagres både på serveren og på klientarbeidsstasjonene.

Serveren lagrer informasjon om brukerens maskinvarenøkler, brukerpassord, størrelsen på forskyvningene for adressen, IP-adressene til brukerne, samt startmerket for spesialmodusen.

Klientarbeidsstasjonen lagrer maskinvarenøkkelen, passordet, konfidensiell informasjon, informasjon om IP-adressene til andre deltakere i informasjonsutvekslingen.

Det skal bemerkes at grensesnittet til dette programmet ikke innebærer mange fine innstillinger. Programmet er utviklet for å gi administratoren en enkel oversikt over etiketttildelingen. Den vil utføre alle transformasjoner på pakkenivå på egen hånd.

Programmet forutsetter tilstedeværelsen av to typer brukere - klient og administrator.

Klienten, som bruker klientdelen av applikasjonen og autentiseringsverktøyet, er autorisert i systemet og får tilgang til videokonferansen, hvor han sender og mottar konfidensiell informasjon. Han har ikke tilgang til nettverksinnstillingene, han kjenner nøkkelen som han kan tildele stego-beholdere med og samle inn konfidensiell informasjon i sin opprinnelige tilstand.

Administratoren administrerer nettverksinnstillingene ved å bruke bakenden av applikasjonen. Den legger til og fjerner brukere, tillater IP-adresser, har ikke tilgang til konfidensiell informasjon som sådan, og kjenner ikke nøkkelen som kan brukes til å skille stegocontainere fra den generelle strømmen.

Programmet må støtte Windows og Linux operativsystemer. Det er viktig at systemet er på tvers av plattformer, da nettverket kan være heterogent, spesielt for eksterne brukere.

For å implementere "Privilege Labels"-algoritmen, er det nødvendig å endre overskriftene til TCP-pakker. Først ble RFC 793-spesifikasjonen (som beskriver strukturen til en TCP-pakke) studert og verktøyene ble valgt - PCAP- og libnet-bibliotekene. Begge bibliotekene er på tvers av plattformer. Med deres hjelp kan du lage eget program, som implementerer funksjonene for behandling av TCP-hoder.

Som en prototype ble det laget en tilpasset implementering av programmet som lar deg lage en socket enten i servertilstanden (venter på at klienten skal koble seg til) eller i klienttilstanden (prøver å koble til serveren). Resultatene av tidligere utvikling ved universitetet på relaterte temaer ble tatt i betraktning.

Det opprettede TCP-programmet gir en stabil tilkobling, pakker dannes uavhengig. Som et resultat er det mulig å legge til tilpasset informasjon i TCP-hodealternativfeltet. For å lage hovedprogrammet gjenstår det å lage en server og en klient på denne prototypen, legg til brukergrensesnitt, ta hensyn til kravene i standarder og forskrifter.

Serverens jobb er å videresende pakker til klienter. Du må angi en liste over IP-adresser som du kan koble til serveren fra. I tillegg må administratoren konfigurere konferanser og spesifisere klientene som skal delta i dem. Serverkonfigurasjon er satt inn tekstfil og selve serveren kjører som en konsollapplikasjon.

Avslutningsvis kan du gjøre følgende konklusjoner... Hensikten med arbeidet - utvikling av en metodikk for å organisere en sikker kanal for overføring av konfidensiell informasjon ved å legge inn stegocontainere i en videostrøm - er oppnådd. En algoritme for å organisere en logisk kanal basert på rettighetsetiketter er utviklet, og autentiseringsmetoder er valgt. Krav til programvareimplementering ble definert. En mekanisme for steganografiske transformasjoner er opprettet. Generelt er arbeidet en trafikkprioriteringsalgoritme "Label of privileges", en liste over nødvendige komponenter for organisering av en sikker kanal, en metode for å bygge inn stegocontainere, en beskrivelse av kravene til programvareimplementering, den første versjonen av programvareproduktet. Det er planlagt å forbedre algoritmen ytterligere, legge til nye funksjoner og et mer brukervennlig grensesnitt, samt implementere alt det ovennevnte i form av en fullverdig programvarepakke.

Litteratur

1. Litvinenko V.A., Khovanskov S.A. Distribuert databehandling i et nettverk ved metoden for kollektiv beslutningstaking // Izv. SFedU. Teknisk vitenskap: tematisk. Problemstilling: Sikkerhet av telekommunikasjonssystemer. Taganrog: Forlag til TTI SFU, 2008. Nr. 3 (80). S. 110-113.

2. Sventusov S.V. Metoder for å redusere belastningen på lydkonferanseservere // Izv. SPbGEU (LETI), 2008. 2.S. 25-30.

3. Sheida V.V. Bruk TCP-protokoller Og UDP for sikker overføring av informasjon over SSL-VPN-tunneler: Dokl. TSUSUR, 2010.S. 225-229.

4. Samuilov K.E. En metode for å løse problemet med å dele ressurser til et multitjenestenettverk mellom virtuelle private nettverk med unicast- og multicast-forbindelser // Vestn. RUDN. Ser .: Matematikk, informatikk, fysikk. 2010. nr. 2 (1). S. 42-53.

5. Antamoshkin A.N., Zolotarev V.V. Algoritme for beregning av predikert trafikk ved design av distribuerte systemer for behandling og lagring av informasjon // Vestn. SibGAU, Krasnoyarsk, 2006. Nr. 1. S. 5-10.

6. Bondar IV, Zolotarev VV, Popov AM. Metoder for å vurdere sikkerheten til et informasjonssystem i henhold til kravene i // Informatikk og kontrollsystemer. 2010. Utgave. 4 (26). S. 3-12.