Проблема защиты информации в сети интернет

В процессе аутентификации с использованием S/Key участвуют две стороны - клиент и сервер. При регистрации в системе, использующей схему аутентификации S/Key, сервер присылает на клиентскую машину приглашение, содержащее зерно, передаваемое по сети в открытом виде, текущее значение счётчика итераций и запрос на ввод одноразового пароля, который должен соответствовать текущему значению счётчика итерации. Получив ответ, сервер проверяет его и передаёт управление серверу требуемого пользователю сервиса.

4. Защита сетей.

В последнее время корпоративные  сети всё чаще включаются в Интернет или даже используют его в качестве своей основы. Учитывая то, какой  урон может принести незаконное вторжение  в корпоративную сеть, необходимо выработать методы защиты. Для защиты корпоративных информационных сетей  используются брандмауэры. Брандмауэры - это  система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, эта граница проводится между локальной сетью предприятия и INTERNETOM, хотя её можно провести и внутри. Однако защищать отдельные компьютеры невыгодно, поэтому обычно защищают всю сеть. Брандмауэр пропускает через себя весь трафик и для каждого проходящего пакета принимает решение - пропускать его или отбросить. Для того чтобы брандмауэр мог принимать эти решения,  для него определяется набор правил [10, С.16].

Брандмауэр может быть реализован как аппаратными средствами (то есть как отдельное физическое устройство), так и в виде специальной  программы, запущенной на компьютере.

Как правило, в операционную систему, под управлением которой  работает брандмауэр, вносятся изменения, цель которых - повышение защиты самого брандмауэра. Эти изменения затрагивают как ядро ОС, так и соответствующие файлы конфигурации. На самом брандмауэре не разрешается иметь разделов пользователей, а следовательно, и потенциальных дыр - только раздел администратора. Некоторые брандмауэры  работают только в однопользовательском режиме, а многие имеют систему проверки целостности программных кодов.

Брандмауэр обычно состоит  из нескольких различных компонентов, включая фильтры или экраны, которые  блокируют передачу части трафика.

Все брандмауэры можно  разделить на два типа:

• пакетные фильтры, которые осуществляют фильтрацию IP-пакетов средствами фильтрующих маршрутизаторов;
• серверы прикладного уровня, которые блокируют доступ к определённым сервисам в сети.
• Таким образом, брандмауэр можно определить как набор компонентов или систему, которая располагается между двумя сетями и обладает следующими свойствами:
• весь трафик из внутренней сети во внешнюю и из внешней сети во внутреннюю должен пройти через эту систему;
• только трафик, определённый локальной стратегией защиты, может пройти через эту систему;
• система надёжно защищена от проникновения.

 

 

2.3. Защита web-серверов

 

 Сервер Web организации обеспечивает ее присутствие в Internet. Однако распространяемые этим сервером данные могут содержать сведения частного характера, не предназначенные для чужих глаз. К сожалению, серверы Web представляют собой лакомую приманку для злоумышленников. Широкую огласку получили случаи «нападения» на серверы Министерства юстиции и даже ЦРУ: злоумышленники подменяли домашние страницы этих организаций на непристойные карикатуры. Поборники прав животных проникли на сервер Kriegsman Furs и заменили домашнюю страницу ссылкой на узлы, посвященные защите братьев наших меньших. Схожая судьба постигла серверы Министерства юстиции США, ЦРУ, Yahoo! и Fox. Дэн Фармер, один из создателей программы SATAN, для поиска брешей в защите сетей использовал еще не завершенную официально версию своего сканера для зондирования Web-серверов Internet и установил, что почти две трети из них имеют серьезные изъяны в защите.

 Очевидно, что серверы  Web защищены далеко не так надежно, как хотелось бы. В некоторых простых случаях все дело в незаметных, но небезопасных огрехах в сценариях CGI. В других ситуациях угрозу представляет недостаточная защита операционной системы хоста.

 Простейший способ  укрепить защиту сервера Web состоит в размещении его за брандмауэром. Однако, действуя таким образом, пользователь как бы переносит проблемы защиты во внутрикорпоративную сеть, а это не самый удачный выход. Пока сервер Web располагается «по другую сторону» брандмауэра, внутренняя сеть защищена, а сервер - нет. Побочным эффектом от такого шага является усложнение администрирования сервера Web [16, С.283].

 Лучшим выходом было  бы компромиссное решение: размещение  сервера Web в его собственной сети, запрет внешних соединений или ограничение доступа к внутренним серверам.

   Наряду с обеспечением  безопасности программной среды,  важнейшим будет вопрос о разграничении  доступа к объектам Web-сервиса.  Для решения этого вопроса  необходимо уяснить, что является  объектом, как идентифицируются  субъекты и какая модель управления  доступом - принудительная или произвольная - применяется.

   В Web-серверах объектами  доступа выступают универсальные  локаторы ресурсов (URL - Uniform (Universal) Resource Locator). За этими локаторами могут стоять различные сущности - HTML-файлы, CGI-процедуры и т.п.

Как правило, субъекты доступа  идентифицируются по IP-адресам и/или  именам компьютеров и областей управления. Кроме того, может использоваться парольная аутентификация пользователей  или более сложные схемы, основанные на криптографических технологиях.

   В большинстве  Web-серверов права разграничиваются  с точностью до каталогов (директорий) с применением произвольного  управления доступом. Могут предоставляться  права на чтение HTML-файлов, выполнение CGI-процедур и т.д.

   Для раннего выявления  попыток нелегального проникновения  в Web-сервер важен регулярный  анализ регистрационной информации.

   Разумеется, защита  системы, на которой функционирует  Web-сервер, должна следовать универсальным  рекомендациям, главной из которых  является максимальное упрощение.  Все ненужные сервисы, файлы,  устройства должны быть удалены.  Число пользователей, имеющих  прямой доступ к серверу, должно  быть сведено к минимуму, а  их привилегии - упорядочены в  соответствии со служебными обязанностями.

   Еще один общий  принцип состоит в том, чтобы  минимизировать объем информации  о сервере, которую могут получить  пользователи. Многие серверы в случае обращения по имени каталога и отсутствия файла index.HTML в нем, выдают HTML-вариант оглавления каталога. В этом оглавлении могут встретиться имена файлов с исходными текстами CGI-процедур или с иной конфиденциальной информацией. Такого рода “дополнительные возможности” целесообразно отключать, поскольку лишнее знание (злоумышленника) умножает печали (владельца сервера).

1. Ограничения доступа в WWW серверах

Рассмотрим два из них:

• Ограничить доступ по IP адресам клиентских машин;
• ввести идентификатор получателя с паролем для данного вида документов.

 Такого рода ввод  ограничений стал использоваться  достаточно часто, т.к.  многие  стремятся в Internet, чтобы использовать  его коммуникации для доставки  своей информации потребителю.  С помощью такого рода механизмов  по разграничению прав доступа  удобно производить саморассылку информации на получение которой существует договор.

Ограничения по IP адресам

Доступ к приватным  документам можно разрешить, либо наоборот запретить используя IP адреса конкретных машин или сеток.

Ограничения по идентификатору получателя

Доступ к приватным  документам можно разрешить, либо наоборот запретить используя присвоенное имя и пароль конкретному пользователю, причем пароль в явном виде нигде не хранится.

2. World wide web серверы и проблема безопасности информации.

Среди WWW серверов отличаются отсутствием известных проблем  с безопаcностью  Netscape серверы, WN и apache.

WN сервер.

 Это свободно распространяемый  сервер, доступный для множества  UNIX платформ. Основными целями при  его создании были безопасность  и гибкость. WN сервер содержит  в каждой директории маленькую  базу данных (список) документов содержащихся в ней. Если документ не перечислен в базе данных, клиент получить его не может. Базы данных либо генерируется специальной программой автоматически для всех файлов в дереве директорий, либо другой программой создаются из текстовых описаний, которые создаются вручную. В эти файлы, кроме перечисления документов можно вставлять HTML текст, т.к это аналог index.html в этом сервере [9, С.591].

 Администратору web узла разбираться в сгенерированных файлах особой необходимости нет, но в принципе они аналогичны .cache файлам gopher. Сам сервер имеет разновидность для одновременной обработки gopher и http запросов к одним и тем же документам.

 Безопасность выполнения CGI приложений обеспечивается выставлением  uid/gid для нужного файла этой базы данных. Безо всякого программирования и особой настройки WN сервер обеспечивает 8 возможностей поиска внутри документов, имеет интерфейс к WAIS серверу. Вы можете включать одни документы внутрь других на серверной стороне (например, стандартные сообщения вначале и в конце документа). Можете применять фильтры к любому документу, для получения необходимого документа на выходе (например, подстановка слов). Для обращения к документу можно использовать URL типа <http://host/dir/foo;lines=20-30, чтобы получить строки с 20 по 30. Документация к серверу очень хорошая, устанавливается он быстро, обнаруженные ошибки исправляются в течении нескольких дней.

 Apache сервер - это свободно распространяемый WWW сервер для различных UNIX платформ и Windows NT, один из самых популярных в мире. Сейчас apache работает на 36 процентах от общего количества всех HTTP серверов в мире. Это быстрый и стабильный сервер. В сервер можно встроить SSL протокол, рассмотренный ниже на примере Netscape сервера.

Netscape Enterprise сервер.

Netscape Enterprise Server - это высокопроизводительный, защишенный World Wide Web сервер для создания, распространения, публикации информации в Интернете и выполнения сетевых интернетовских приложений, используя средства, базирующиеся на языках Java и JavaScript.

Netscape FastTrack сервер.

Netscape FastTrack сервер - это решение для тех, кого не устраивает цена и сложность Netscape Enterprise сервера. Он прост в использовании, разработанного чтобы позволить новичкам создавать и администрировать WWW сервер.

 Серверы Netscape имеют встроенные средства безопасности коммерческой информации и коммуникаций. Гибкая авторизация пользователя контролирует доступ к отдельным файлам и директориям, используя имя пользователя и пароль, имя домена, имя машины, IP адрес, клиентские сертификаты (client-side certificates ), именованные группы. Дополнительные черты безопасности обеспечиваются протоколом Secure Socket Layer 3.0 (SSL 3.0) и механизмом открытых ключей.

SSL 3.0 - это последняя версия  широко распространенного в Интернете  стандарта, разработанного Netscape Communications corporation.

SSL протокол обеспечивает  конфиденциальность, целостность и  аутентичность информации.

 Конфиденциальность и  целостность информации обеспечивается  посредством шифрования с открытым  ключом. Аутентификация обеспечивается  посредством цифровых сертификатов, которые почти невозможно подделать.  Сертификат необходимо получать  от третьей стороны, которой  обе стороны доверяют.

SSL протокол - это схема  шифрования низкого уровня, используемая  для шифрования транзакций в  протоколах высокого уровня, таких  как HTTP, NNTP и FTP. SSL протокол содержит  методы для идентификации сервера  для клиента, шифрование данных  при передаче и дополнительно,  верификации клиента для сервера.  Из коммерческих систем SSL протокол  сейчас реализован в Netscape навигаторах и Netscape серверах. ( Реализованы шифрование данных и авторизация сервера, авторизация клиента нет).

 Существует также свободно  распространяемая версия SSL, называемая  SSLeay. Она содержит исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP. Поддерживаются также свободно распространяемые Unix Web серверы Apache и NCSA httpd и несколько Web клиентов, включая Mosaic. Этот пакет может быть использован бесплатно для коммерческих и некоммерческих приложений.

Механизм открытых ключей обеспечивает шифрование данных при  помощи открытого ключа(public key). В традиционных системах шифрования один и тот же ключ использовался для шифрования и дешифрования. В новом открытом или асимметричных системах шифрования ключи идут парами: один ключ используется для кодирования, другой для декодирования. Один из этих ключей, называемый открытым ключом, свободно распространяемый и используется для кодирования сообщений. Другой ключ, называемый личным ключом (private key) засекречен и используется для декодирования поступающего сообщения. В этой системе пользователь, посылающий сообщение второму пользователю может зашифровать сообщение открытым ключом второго пользователя.