Основы построения и эксплуатации защищенных телекоммуникационных систем

При этом с точки зрения построения и эксплуатации защищенных систем особый интерес представляют прежде всего стандарты информационной безопасности, обзору которых посвящены следующие разделы.

1.4. Обзор  рекомендаций ISO 7498-2

Стандарт ISO 7498-2 посвящен архитектурным  вопросам построения открытых информационных сетей на основе модели взаимодействия открытых систем (ВОС). В его состав включены обзор вопросов безопасности, определение услуг и механизмов обеспечения безопасности, а также анализ существующих опасностей (угроз) нарушения работы информационных сетей. Стандарт также приводит рекомендации по контролю или оценке предлагаемых средств обеспечения безопасности для открытых сетей на основе модели ВОС³ (ISO 7498-1). В частности, предлагается соответствие между используемых механизмов обеспечения безопасности и конкретных услуг безопасности, а также рекомендации, какие услуги безопасности могут быть реализованы конкретными протоколами на каждом из семи уровней модели ВОС.

Архитектурная концепция  безопасности ISO включает пять основных компонентов:

• определение услуг безопасности;
• определение механизмов безопасности;
• уровневая модель построения услуг безопасности;
• соотнесение услуг безопасности к уровневой модели;
• соотнесение механизмов безопасности к услугам.

Услуги безопасности представляют собой абстрактные понятия, которые могут быть использованы для характеристики требований безопасности. Услуги отличаются от механизмов безопасности, которые являются конкретными мерами для реализации этих услуг. Важнейшим архитектурным элементом стандарта является определение, какие услуги безопасности должны обеспечиваться на каждом уровне эталонной модели. Основой для такого определения являются следующие принципы построения уровневой модели безопасности.

1. Число альтернативных способов обеспечения безопасности должно быть минимизировано. Стандарт не устанавливает строгие рекомендации следовать этому принципу, однако данная рекомендация направлена на минимизацию стоимости разработки как самих безопасных услуг и протоколов, так и приложений на основе их.
2. Услуги безопасности могут работать более чем на одном уровне при построении безопасной системы, то есть услуги могут появляться на многих уровнях в уровневой модели безопасности. Этот принцип является противоположным первому принципу и в реальной системе должен достигаться обоснованный баланс или компромисс.
3. Функции безопасности по возможности не должны дублировать существующие аналогичные коммуникационные функции, то есть использовать эти функции, где это возможно без нарушения безопасности системы.
4. Рекомендуется не нарушать независимость уровней. Опасность, возникающая в случае несоблюдения этого принципа, состоит в том, что, если разработчик протокола будет предполагать наличие определенного протокола (сервиса) безопасности на соседнем уровне, но потом это предположение окажется ошибочным, то это приведет к нарушению архитектурной (уровневой) целостности системы безопасности. Это не запрещает использовать для обеспечения безопасности механизмы более низкого уровня, однако это должно производиться в рамках хорошо специфицированных межуровневых интерфейсов. Такая проблема особенно явно проявляется в маршрутизаторах и мостах, которые могут анализировать информацию о протоколах более высокого уровня для лучшего контроля трафика и доступа. Эти функции могут быть серьезно нарушены, если используется криптография или изменяются протоколы высшего уровня.
5. Количество неконтролируемых (доверительных, trusted) функций должно быть минимизировано. Следуя этому принципу, необходимо выделять компоненты, которые собственно определяют безопасность системы, т.е. на которых основана безопасность системы. Этот принцип инициирует обеспечение безопасных услуг между конечными точками быстрее, чем с использованием доверительных промежуточных компонентов. Это стимулирует использование средств безопасности на более высоких уровнях. Однако принципы 1 и 3 возражают против исключения безопасных услуг на промежуточных уровнях. Следствием этого является появление элементов обеспечения безопасности для различных приложений на межсетевом и транспортном уровнях, что в дальнейшем приводит к естественной интеграции протоколов обеспечения безопасности в саму операционную систему и порождает свой собственный набор проблем.
6. Если какой-либо защитный механизм одного уровня базируется на использовании услуг более низкого уровня, то не должно существовать никаких промежуточных уровней, запрещающих или не гарантирующих такую связь. Этот принцип апеллирует к принципу 4, так как невозможность установить независимость уровней может легко нарушить межуровневую безопасность. Эта рекомендация определенным образом соотносится с некоторыми другими. Так, минимизация доверительной функциональности (Принцип 5) рекомендует перемещение безопасных услуг на более высокие уровни, но использование механизмов безопасности на одном уровне для обеспечения безопасных услуг на более высоких уровнях позволяет избежать дублирования (Принципы 1 и 3).
7. Безопасные услуги, реализуемые на каждом уровне, должны быть определены таким образом, чтобы допускать модульное дополнение к базовым коммуникационным услугам. Этот принцип ориентирован на очень практичный подход, так как не все реализации уровневых протоколов и сервисов требуют и/или предлагают все безопасные услуги. Таким образом, модульность должна способствовать облегчению разработки конечных приложений. Этот принцип имеет особое значение для Интернет, где уже имеется огромная база установленного оборудования и существующих услуг, в которые необходимо внедрять средства обеспечения безопасности.

Стандарт ISO 7498-2 определяет пять базовых услуг для обеспечения безопасности компьютерных систем и сетей: конфиденциальность (Confidentiality), аутентификация (Authentication), целостность (Integrity), контроль доступа (Access Control), причастность (буквально "неотпирательство", Nonrepudiation). Для всех этих услуг определены также варианты, как например, для коммуникаций с установлением соединения и без установления соединения, или обеспечения безопасности на уровнях коммуникации, пакетов или отдельных полей. Этот набор услуг не является единственно возможным, однако он является общепринятым. Далее описаны услуги и варианты их реализации, а также их соотношение между собой и в контексте модели ВОС.

Конфиденциальность

В стандарте ISO 7498-2 конфиденциальность определена как «свойство, которое гарантирует, что информация не может быть доступна или раскрыта для неавторизованных (неуполномоченных) личностей, объектов или процессов». Вопросам обеспечения конфиденциальности уделяется наибольшее внимание в системах, где раскрытие информации возможно во многих точках по пути передачи.

Для этой услуги определяется четыре версии: для систем с установлением  связи; для систем без установления связи; защита отдельных информационных полей; защита от контроля трафика. Первые две версии относятся к соответствующим протоколам с установлением или без установления связи. Конфиденциальность с установлением связи может быть обеспечена на любом уровне, кроме сеансового или представительного. Это согласуется с моделью ВОС, где коммуникационные услуги предлагаются на всех уровнях. Конфиденциальность без установления связи может реализовываться на всех уровнях, кроме физического, сеансового и представительного, причем физический уровень исключен потому, что он по своей природе требует установления связи.

Третья версия конфиденциальных услуг, предназначенных для защиты отдельных информационных полей, используется для обоих типов сетей (с установлением связи и без) и требует, чтобы только отдельные поля в пакетах были защищены. Эта услуга предлагается только для прикладного уровня, где необходимое поле может иметь другой способ кодирования, чем обеспечивает стандартный протокол.

Защита от контроля трафика должна предотвращать возможность анализа  и контроля трафика. Это достигается  за счет кодирования информации об источнике-назначении, количестве передаваемых данных и частоты передачи. Эти внешние характеристики могут быть доступны для злоумышленника, даже если пользовательские данные будут защищены. Например, легко различить трафик Telnet и FTP в зависимости от размера пакетов, даже если информация о порте сервиса и данных выше уровня IP будут защищены. Наиболее легко данная услуга реализуется на физическом уровне, но отдельные компоненты данной услуги могут предлагаться и на Сетевом и Прикладном уровнях. В этом плане естественную большую защищенность имеет широко внедряющаяся сейчас технология ATM (Asynchronous Transfer Mode), которая обеспечивает фиксированный размер пакетов и стандартную инкапсуляцию пакетов протоколов различного уровня.

Аутентификация

В стандарте ISO 7498-2 определяется два типа услуг аутентификации: достоверность происхождения (источника) данных и достоверность собственно источника соединения или объекта коммуникации (peer-entity).

Достоверность источника данных предполагает подтверждение того, что «источник полученных данных именно тот, который указан или объявлен». Эта услуга существенна для коммуникации без установления связи, при которой каждый пакет является независимым от других, и единственное, что может быть гарантировано с точки зрения аутентификации – это то, что источник пакета именно тот, который указан в заголовке пакета. Эта услуга очень близка к обеспечению целостности данных (смотрите ниже) в сетях без установления связи, когда установление подлинности источника не очень существенно, если нарушена целостность данных.

В системах с установлением связи, аутентификация объекта коммуникаций является необходимой функцией, определенной как «подтверждение того, что объект коммуникации при соединении именно тот который объявлен». Эта форма аутентификации подразумевает установление своевременности или фактора времени за счет включению идентификации объекта коммуникации для конкретного случая соединения, которые недостижимы при помощи простой проверки происхождения данных. Таким образом, атака, использующая воспроизведение данных, связанных с другим сеансом связи, даже между теми же объектами коммуникации, может быть нарушена/предотвращена, благодаря использованию этой услуги.

Обе формы аутентификации определены для сетевого, транспортного и  прикладного уровней, на которых реализуются протоколы с установлением связи и без установления связи. Существует расхождение между стандартами IEEE и ISO в вопросах применения аутентификации на уровне данных. Комитет IEEE 802.10 Secure Interoperable LAN Standards (SLIS) по стандартизации вопросов безопасности для локальных вычислительных сетей (ЛВС) определил Безопасный протокол Обмена Данными (БОД, SDE- Secure Data Exchange), который работает между подуровнем управления логическим звеном (УЛЗ, LLC - Logical Link Control) и подуровнем Управления Доступом к Среде (УДС, MAC - Media Access Control) и обеспечивает услугу контроля происхождения данных.

Благодаря тому, что SDE может быть использован  с различными протоколами более  высокого уровня – OSI, TCP/IP, а также  нестандартными, – многие специалисты считают целесообразным применение этой услуги на уровне МАС, так как этот уровень является одинаковым для протоколов IEEE/ISO (802.3, 802.5, 802.6). Это один из случаев, когда стандарты ISO входят в противоречие с существующим опытом и целесообразностью.

Целостность

Согласно стандарту ISO 7498-2 целостность  имеет две базовые реализации: для сетей с установлением  связи и без установления связи, каждая из которых может применяться  для избранных групп информационных полей. Однако услуги защиты целостности в сетях с установлением связи могут дополнительно включать функции восстановления данных в случае, если нарушена их целостность. Таким образом, обеспечение целостности данных в сетях с установлением связи предполагает обнаружение «любой модификации, включения, удаления, или повторной передачи данных в последовательности (пакетов)». Использование услуг обеспечения целостности данных в сетях с установлением связи совместно с идентификацией объекта коммуникаций (peer-entity) позволяет достичь высокой степени защищенности. Эта услуга используется на следующих уровнях: сетевом, транспортном и прикладном, при этом средства восстановления данных возможны только на двух верхних уровнях.

Целостность в сетях без установления связи ориентирована на определение модификаций каждого пакета, без анализа большего объема информации, например, сеанса или цикла передачи. Таким образом, эта услуга не предотвращает умышленное удаление, включение или повторную передачу пакетов и является естественным дополнением аутентификации источника данных. Эта услуга также доступна на уровнях сетевом, транспортном и прикладном. Здесь также возможно применение протокола IEEE802.10 SDE для обеспечения целостности на уровне данных при коммуникации без установления связи.

Контроль доступа

В стандарте ISO 7498-2 контроль доступа  определен как «предотвращение  неавторизованного использования ресурсов, включая предотвращение использования ресурсов недопустимым способом». То есть данная услуга не только обеспечивает доступ только авторизованных пользователей (и процессов), но и гарантирует только указанные права доступа для авторизованных пользователей. Таким образом, эта услуга предотвращает неавторизованный доступ как «внутренних», так и «внешних» пользователей.

Контроль доступа часто путается с аутентификацией и конфиденциальностью, но на самом деле эта услуга предоставляет более широкие возможности. Услуга контроля доступа используется для установления политики контроля/ограничения доступа. Политика контроля доступа (или авторизации) согласно ISO7498-2 устанавливается в двух измерениях: критерии для принятия решения о доступе и средства, при помощи которых регулируется контроль. Два типа политики доступа в зависимости от используемых критериев принятия решения могут быть основаны на идентичности явлений и объектов (identity-based) или на правилах (последовательности) доступа (rule-based). Первый тип политики контроля доступа основан на использовании услуги аутентификации для проверки идентичности субъекта доступа (пользователя, процесса, промежуточной или конечной системы, или сети) прежде, чем предоставить им доступ к ресурсам. Форма идентичности зависит от различия и типа аутентификации для различных уровней, на которых эта услуга обеспечивается. Так, например, пользователь и процесс является объектом контроля доступа на прикладном уровне, но не на сетевом уровне.

Политика, использующая регламентированные правила доступа, предполагает принятие решения о доступе на основе последовательности правил, которые соотносят аутентификацию с точностью. Например, правила могут быть выражены в терминах времени и даты доступа или «благонадежности», которую имеет данный пользователь.

Два типа политики управления доступом определены в ISO7498-2: определяемые пользователем и определяемые администратором. Большинство операционных систем реализуют первый вариант, но второй вариант часто реализуется в сетях общего пользования, как например, X.25, UUCP и другие.

Услуга контроля доступа может  использоваться на следующих уровнях: сетевом, транспортном и прикладном, а также использовать протокол IEEE802.10 SDE на MAC-уровне для обеспечения контроля доступа в динамически устанавливаемых цепях, как в случае коммутируемых линий или соединений.

Причастность

Данная услуга относится только к прикладному уровню и, обычно, широко не обсуждается. В стандарте ISO 7498-2 причастность определяется, как «предотвращение возможности отказа одним из реальных участников коммуникаций от факта его полного или частичного участия в передаче данных». Две формы причастности определены: причастность к посылке сообщения и подтверждение (доказательство) получения сообщения.

Первая форма данной услуги предоставляет  получателю доказательства, что сообщение  было послано источником и его целостность не нарушена, на случай отказа отправителя от этого факта. Вторая форма причастности предоставляет источнику доказательства того, что данные были получены получателем, в случае попыток последнего отказаться от этого факта. Обе формы являются более мощными по сравнению с аутентификацией происхождения данных. Отличием здесь является то, что получатель или отправитель данных может доказать третьей стороне факт посылки (получения) данных и невмешательства посторонних. Основными объектами реализации данных сервисов являются протоколы обмена данными, как например, Electronic Data Interchange.

Доступность

Доступность может быть определена как дополнительная услуга обеспечения  защищенности сетей. Доступность, как одна из услуг обеспечения безопасности, может быть предметом атаки с целью сделать ресурсы или сервисы компьютерной системы недоступными (или сделать их «качество» неудовлетворительным) для пользователя.

Доступность может быть характеристикой  качества данного ресурса или  услуги, или, частично, определяться услугой  контроля доступа. Однако характер атак с целью ограничения доступа пользователя и средства борьбы с ними не относятся к собственно услугам и ресурсам или не обеспечиваются услугами контроля доступа. Поэтому целесообразно выделение отдельно услуги обеспечения доступности, который должен реализовываться специальными механизмами на сетевом уровне (как например, возможность использования альтернативного пути при атаке на доступную полосу основного канала) или прикладном уровне.