Конфиденциальность, аутентификация и целостность сообщения уже довольно давно считаются ключевыми компонентами безопасной связи. В последние годы доступность и управление доступом стали также считаться компонентами безопасной связи, что, безо всякого сомнения, обусловливается соображениями усиления защиты сетевой инфраструктуры от возможных атак злоумышленников. Наиболее верный способ гарантировать, что злоумышленники не смогут причинить вреда, — это предотвратить попадание их пакетов в сеть. Брандмауэр представляет собой устройство, располагаемое между внутренними и внешними сетями и защищающее их друг от друга. Это устройство управляет доступом пакетов в сеть и отправкой пакетов из сети. Брандмауэры быстро стали обязательным сетевым компонентом, начиная от небольших домашних сетей и заканчивая сетями самых больших корпораций. Мы поговорим о том, как брандмауэры обеспечивают управление доступом, в разделе «Управление доступом с помощью брандмауэров».

Наше определение безопасной связи, главным образом, фокусировалось на защите сетевых и коммуникационных ресурсов. На практике сетевая безопасность включает не только механизмы защиты, но и механизмы обнаружения атак, а также механизмы ответных действий. Во многих случаях в ответ на атаку администратор сети может установить дополнительные механизмы защиты. В этом смысле сетевая безопасность достигается с помощью непрерывного цикла: защита, обнаружение, ответ. (Несколько устаревшей, но все еще полезной книгой, посвященной аспектам этого цикла, является.)

Итак, дав определение сетевой безопасности, рассмотрим, к какой информации может получить доступ злоумышленник и какие действия он может предпринять. Схема диалога Алисы и Боба с участием в нем злоумышленника изображена на рис.1. Алиса хочет отправить данные Бобу. Чтобы обмениваться данными безопасным образом, а также выполнить требования конфиденциальности, аутентификации и целостности данных, Алиса и Боб обмениваются управляющими и информационными сообщениями (подобно тому, как ТСР-отправители и ТСР-получатели обмениваются управляющими и информационными сегментами). Все или некоторые из этих сегментов, как правило, зашифровываются. Пассивный злоумышленник может прослушивать линию и перехватывать управляющие и информационные сообщения, передаваемые по каналу. Как мы увидим, если не предпринимать соответствующих контрмер, злоумышленник сможет прибегнуть к весьма изощренным атакам, начиная от прослушивания переговоров (при этом возможно похищение злоумышленником паролей и данных) до выдачи себя за одного из собеседников и нарушения работы системы путем ее перегрузки. Эти и другие разновидности атак будут обсуждаться в разделе «Атака и оборона». Отчеты о замеченных атаках содержатся на web-сайте координационного центра CERT (Computer Emergency Response Team — бригада компьютерной «скорой помощи») по адресу http://www.cert.org/advisories

Злоумышленник Отправитель, получатель и злоумышленник
Кем могут быть реальные Алиса и Боб? Это могут быть два пользователя на двух оконечных системах, желающие обменяться письмами по электронной почте. Это также могут быть участники коммерческой сделки. Например, Алиса может пожелать переслать номер своей кредитной карты на web-сервер для осуществления покупки. Кроме того, Алиса может захотеть связаться по сети со своим банком. Однако, как отмечается в RFC 1636, безопасная связь может быть также организована между отдельными частями сетевой инфраструктуры.
Перейдем теперь к обсуждению криптографии, темы, представляющей особую важность для большинства аспектов сетевой безопасности.

Your comment:

Name:
E-mail/HTTP:
How do you spell fire?

Remember Me