Брандмауэр-системы. Шифрование. Часть 2

Окончание. Начало в КГ №38

Безопасность электронной почты

Электронная почта, пожалуй, является одним из наиболее используемых сервисов в сети интернет. При этом в электронных письмах передается все начиная от обычных сообщений и заканчивая контрактами, номерами счетов и т.д. Т.к. в большинстве случаев не проводится никаких процедур по обеспечению безопасности информации, находящейся в письме, то, соответственно, "изъять" ее при передаче совсем просто. Вот сейчас мы и попытаемся построить систему безопасности электронной почты в составе брандмауэр-системы.

Подписание документа

Пользователь, набрав определенный текст/информацию, в обычном текстовом процессоре может воспользоваться функцией подписи. Для этого он активизирует смарт-карту при помощи пароля, известного только ему. На смарт-карте хранится секретный RSA-код. Затем с помощью односторонней хэш- функции функция подписи вычисляет криптографическую контрольную сумму (рис. 1). Эта сумма получает цифровую подпись с помощью системы открытого ключа с использованием закрытого ключа, хранящегося на смарт-карте. В результате получится подпись, которая прикрепляется к документу в качестве дополнительной информации. При необходимости подписания документа несколькими пользователями сразу информация добавляется в сам документ.

Цифровая временная отметка

Цифровые документы проще воспроизвести, чем физические. Это отражает важность некоторых применений документов — как пример можно привести применение их в правовых приложения и т.д. Очевидно, что значимость некоторых цифровых документов зависит напрямую от времени их создания. Т.к. изменение даты и времени в обычных документах производить более чем просто, это нельзя рассматривать как надежное свидетельство относительно времени создания документов/цифровых подписей. Таким образом, для определения точной даты/времени создания документа используется сертификат, выдаваемый бюро сертификации при регистрации созданного документа.

Шифрование и отсылка документов

После завершения подписания документа пользователями он должен быть зашифрован для дальнейшей передачи (рис. 2). В качестве ключа безопасности система вычисляет произвольное число. После этого документ шифруется с помощью этого ключа по алгоритму шифрования с закрытым ключом — например, DES. Ключ же, в свою очередь, шифруется с помощью алгоритма шифрования с открытым ключом. Зашифрованный ключ прикрепляется к документу и передается с ним в виде дополнительной информации. После этого документ может быть отослан.

Проверка достоверности документа и его расшифровка

По прибытии документа пользователь может с легкостью определить по сопровождающей информации, подписан ли документ, и если да, то кем, а также был ли он зашифрован, и если да, то кто может расшифровать его. После этого он активизирует свою смарт-карту с помощью пароля — на смарт-карте хранится ключ, при помощи которого извлекается из сопровождающей информации и расшифровывается ключ документа. Потом при помощи ключа документа пользователь расшифровывает сам документ и получает его в текстовом формате, пригодном для чтения.

Проверка подписей

Когда документ представлен в текстовом формате, можно проверить и цифровые подписи (рис. 3). Для этого используется функция проверки: односторонняя хэш-функция вычисляет криптографическую контрольную сумму, после чего из сопровождающей информации берутся подписи, и их контрольные суммы вычисляются так же. После всех этих процедур подписи сравниваются. В случае идентичности документ признается действительным.

Службы обеспечения безопасности электронной почты

После успешной проверки подписи необходимо убедиться в том, что целостность документа сохранена. Документ с ненарушенной целостностью должен отвечать следующим критериям:

1. Дата и время подписи документа не изменены, что означает отсутствие модификации после создания.
2. Никто из посторонних не мог ознакомиться с содержимым документа.
3. Только указанные в сопровождающей информации пользователи имеют право на обмен информацией.

Объектное шифрование

Объектное шифрование обеспечивает передачу файлов через электронную почту или FTP-канал в зашифрованном виде. Объектное шифрование делает доступными на пользовательском уровне через брандмауэр-систему службы, которые обеспечивают целостность данных, подтверждение авторства и шифрование данных.

Другие концепции безопасности

Многоцелевое защищенное использование электронной почты в сети Internet (Security Multi-Purpose Internet Mail Extension — S/MIME)* и система PGP* (Pretty Good Privacy) — концепции, которые наиболее часто используются в объектноориентированной безопасности. Обе процедуры основаны на шифровании сообщения перед прохождением через незащищенную сеть, но имеют разные процедуры обработки ключей. Т.к. права на распространение PGP принадлежат компании Network Associates*, то операции над ключами в определенной степени совпадают в обеих системах, но все же есть значительные отличия. Как PGP, так и S/MIME используют технологию открытого ключа. В обеих системах используется совокупность различных криптографических средств. Целостность и подлинность достигаются путем генерирования криптографической контрольной суммы из текста и подписания с помощью секретного ключа. После окончания процедуры шифрования система генерирует случайное число для создания ключа, подходящего только к этому сообщению. После этого сообщение шифруется по алгоритму симметричного шифрования при использовании ключа документа. Ключ документа шифруется с помощью открытого ключа и передается в сообщении. Только определенный человек может реконструировать ключ документа с помощью своего секретного ключа и расшифровать текст самого документа.

VPN

Сущность виртуальных частных сетей (Virtual Private Network — VPN) заключается в использовании преимуществ открытой коммуникационной инфраструктуры — например, разделенной инфраструктуры сети интернет. ВПН должна обеспечить безопасность данных при их передаче через сеть, чтобы только пользователи, которым эта информация необходима и которым разрешен доступ к ней, получили его. Включение подуровня безопасности в коммутационный стек позволяет сделать из незащищенной сети защищенную. Этот же подуровень безопасности добавляется и в коммутационную архитектуру компьютерной системы. В большинстве случаев практически идеально подходит один из методов реализации такого подуровня — использование IPSec* в системах безопасности типа "черный ящик". Данное решение мы и рассмотрим. Решения типа "черный ящик" реализуются с помощью портативных устройств, которые размещены между системами и сетями. Функциональная простота делает их независимыми от остальных устройств. В "черном ящике" реализованы все задачи, которые необходимы для обеспечения безопасности, при этом все незаметно для пользователя и происходит без активного вмешательства. Размещенный перед каждой системой "черный ящик" выполняет функцию моста, через который проходят конфиденциальные данные (рис. 4). Работа с таким же устройством на другом конце сети позволяет организовать криптографический канал данных. "Черный ящик" может предоставить различные службы защиты информации включая следующие:

. Управление доступом (уровень пакетов/пользователей).
. Конфиденциальность.
. Аутентификация (скрытая, с использование шифрования/явная).
. Управление правами доступа коммуникационных протоколов и служб.
. Анализ протокола.
. Сохранение доказательств.

Также гарантируется выполнение некоторых условий:

. Используются только те протоколы/службы, которые разрешены.
. Данные не могут быть почитаны в текстовом формате.
. Устанавливаются только разрешенные логические соединения.
. Третьи лица не могут получить доступ.
. События безопасности могут быть запротоколированы и проанализированы.

Система "черный ящик" значительно проще, чем специальное ПО, которое необходимо устанавливать на компьютерах. Защита не зависит от решения задач, и другие компоненты защиты не влияют на реализацию ее процесса.

Вот, пожалуй, и все про шифрование в брандмауэр-системах.

Евгений Кучук, руководитель SASecurity gr.