Криптографическая защита

Выше мы говорили, что основными требованиями к реализации криптографической защиты виртуальных каналов корпоративной сети являются: "прозрачное" автоматическое (принудительное для пользователя) шифрование виртуальных каналов корпоративной сети, централизованное генерирование ключей шифрования администратором (пользователь должен быть исключен из схемы администрирования и управления VPN), отсутствие ключа шифрования виртуальных каналов связи у пользователя и соответственно, невозможность доступа пользователя к ключам шифрования.

Важным условием эффективности защиты беспроводных сетей является необходимость частой смены ключей шифрования виртуальных каналов, что обусловливается простотой перехвата информации, передаваемой по радиоканалу. Это, с учетом необходимости централизованного генерирования ключей для всех субъектов/объектов (определяемых идентификаторами) корпоративной сети, существенно усложняет задачу администрирования VPN.

Подход к реализации ключевой политики, реализованный в ПО "Корпоративная VPN "Панцирь" для ОС Windows 2000/XP/2003", состоит в следующем.

Каждый субъект/объект VPN характеризуется парой признаков: идентификатор и ключ шифрования взаимодействия с сервером VPN (каждый субъект VPN имеет свой ключ шифрования взаимодействия с сервером VPN). Данная пара генерируется администратором при создании субъекта/объекта. Если субъектом/объектом VPN выступает компьютер, то идентификатор и ключ шифрования взаимодействия с сервером VPN заносятся на компьютер (в файл, либо в реестр) администратором при установке клиентской части (в процессе эксплуатации по усмотрению администратора данные параметры могут быть изменены), если же субъектом/объектом VPN выступает пользователь, то сгенерированная администратором пара признаков: идентификатор и ключ шифрования взаимодействия с сервером VPN, выдаются пользователю администратором на внешнем носителе (Flash-устройство, электронный ключ, смарт-карта).

До момента идентификации субъекта/объекта клиентской частью VPN на сервере, на компьютере не хранится какой-либо информации о ключах шифрования виртуальных каналов. Ключи шифрования виртуальных каналов генерируются сервером при идентификации субъектов/объектов VPN автоматически, т.е. даже администратор безопасности не обладает ключевой информацией. Осуществляется это следующим образом. При идентификации субъекта/объекта VPN на сервере, для идентифицируемого субъекта/объекта сервером автоматически генерируются ключи шифрования (каждая пара взаимодействующих субъектов/объектов VPN имеет свой ключ шифрования) с другими субъектами/объектами VPN. Данная информация (ключи шифрования данного компьютера с другими активными компьютерами в составе VPN) сервером в зашифрованном виде передается на идентифицированный компьютер (идентифицированному пользователю), где хранится в оперативной памяти – эта информация не доступна пользователю. Одновременно на все остальные активные (идентифицированные ранее) компьютеры из состава VPN сервером выдаются сгенерированные ключи шифрования для взаимодействия с вновь идентифицированным субъектом/объектом. Таким образом, в каждый момент времени в оперативной памяти идентифицированного компьютера в составе VPN хранится таблица с ключами шифрования трафика с другими активными (идентифицированными) компьютерами в составе VPN (для каждой пары этот ключ свой). Данная таблица пополняется после идентификации каждого последующего субъекта/объекта. Смена ключа шифрования осуществляется сервером автоматически при каждой последующей идентификации субъекта/объекта.

Таким образом, вся процедура генерации ключевых пар полностью автоматизирована, не требует участия администратора безопасности, ключи шифрования виртуальных каналов VPN не доступны не только пользователям корпоративной сети, но и администратору.

Разграничение же доступа между субъектами/объектами в составе VPN (о чем упоминалось ранее) реализуется тем, что при идентификации субъекта/объекта ему передаются ключи шифрования виртуальных каналов только с теми активными субъектами/объектами, с которыми администратором разрешено взаимодействие данному субъекту/объекту. Клиентская же часть VPN, установленная на компьютере в составе VPN, позволит осуществлять с него взаимодействие только с теми активными субъектами/объектами, для взаимодействия с которыми получены соответствующие ключи шифрования с сервера VPN.

Что же мы получаем в результате реализации данного решения. В состав VPN вводится сервер, который также может взаимодействовать только с компьютерами из состава VPN. Данный сервер может резервироваться с автоматической репликацией базы и автоматическим включением при недоступности основного сервера. На сервере VPN автоматически генерируются ключи шифрования для каждой пары компьютеров из состава VPN, при каждой идентификации данных компьютеров. Данные ключи для каждого компьютера (его ключи для взаимодействия с другими компьютерами VPN) загружаются с сервера автоматически при идентификации компьютера. На компьютере VPN и хранятся в оперативной памяти – они недоступны пользователю. Трафик при обращении к компьютеру из состава VPN автоматически шифруется – пользователь не может передать данные внутри VPN в открытом виде. Весь трафик между компьютером из состава VPN и сервером VPN шифруется ключом шифрования взаимодействия с сервером VPN (каждый субъект VPN имеет свой ключ шифрования взаимодействия с сервером VPN, который генерируется на сервере автоматически при создании администратором субъекта VPN, этот ключ в любой момент может быть изменен администратором). Остаются вопросы, каким образом могут храниться идентификаторы, какова криптостойкость защиты (какие подключаются алгоритмы шифрования) и один из ключевых вопросов для средств защиты, предназначенных для корпоративных приложений – насколько сложно администрирование системы. Все эти вопросы рассмотрим далее.

www.security-bridge.com