|
19.09.2001, среда |
Континент-К
|
 |
| Раздел 1. Назначение |
|
В современных информационных системах (ИС) в последнее время широкое распространение получили виртуальные частные сети (Virtual Private Network - VPN).
Технология VPN позволяет формировать виртуальные защищенные каналы связи в сетях общего пользования (например, Internet), гарантирующие конфиденциальность и достоверность информации. VPN-сеть представляет собой объединение локальных сетей (ЛВС) или отдельных компьютеров, подключенных к сети общего пользования, в единую защищенную виртуальную сеть.
Растущий интерес к данной технологии обусловлен следующими факторами:
- низкой стоимостью эксплуатации за счет использования сетей общего пользования вместо собственных или арендуемых линий связи;
- практически неограниченной масштабируемостью;
- простотой изменения конфигурации и наращивания корпоративной сети;
- "прозрачностью" для пользователей и приложений.
Но использование сетей общего пользования для организации VPN предъявляет дополнительные требования к обеспечению защиты информационных ресурсов предприятия от несанкционированного доступа (НСД).
Для надежной защиты информации в VPN предназначен аппаратно-программный комплекс "Континент-К", разработанный НИП "Информзащита". Этот комплекс обеспечивает защиту конфиденциальной информации в корпоративных VPN-сетях, использующих протоколы семейства TCP/IP. В качестве составных частей VPN могут выступать ЛВС предприятия или их отдельные фрагменты.
Аппаратно-программный комплекс "Континент-К" обеспечивает:
- защиту внутренних сегментов сети от несанкционированного доступа со стороны пользователей сетей общего пользования;
- скрытие внутренней структуры защищаемых сегментов сети;
- криптографическую защиту данных, передаваемых по каналам связи сетей общего пользования между защищаемыми сегментами сети (абонентскими пунктами);
- безопасный доступ пользователей VPN к ресурсам сетей общего пользования;
- централизованное управление настройками VPN-устройств сети.
|
| Раздел 2. Состав комплекса |
|
2.1. СОСТАВ КОМПЛЕКСА
Комплекс "Континент-К" включает в свой состав следующие компоненты:- центр управления сетью криптографических шлюзов;
- криптографический шлюз;
- программа управления сетью криптографических шлюзов;
- сервер доступа;
- абонентский пункт;
- программа управления сервером доступа.
Криптографический шлюз (КШ) обеспечивает криптографическую защиту информации при ее передаче по открытым каналам сетей общего пользования и защиту внутренних сегментов сети от проникновения извне.
Программа управления обеспечивает отображение состояний КШ, просмотр содержимого системных журналов КШ, изменение настроек маршрутизации и правил фильтрации пакетов.
Абонентский пункт (АП) осуществляет доступ удаленных пользователей к ресурсам защищаемых сетей по выделенным и коммутируемым каналам связи.
Сервер доступа обеспечивает связь между удаленным абонентским пунктом и защищаемой сетью, проводит идентификацию и аутентификацию пользователя, определяет его уровень доступа.
Программа управления сервером доступа (ПУ СД) обеспечивает настройку Сервера доступа, регистрацию пользователей АП и установку прав доступа пользователей АП к ресурсам защищаемых сетей, а также мониторинг подключенных пользователей АП.
2.2. КЛЮЧЕВАЯ СИСТЕМА
В аппаратно-программном комплексе используется симметричная ключевая система. Криптографическое соединение между КШ в сети осуществляется на ключах парной связи. Шифрование каждого пакета производится на индивидуальном ключе, который формируется из ключа парной связи. Для шифрования данных используется алгоритм ГОСТ 28147-89 в режиме гаммирования с обратной связью. Имитозащита данных осуществляется с использованием алгоритма ГОСТ 28147-89 в режиме имитовставки.Ключи парной связи генерируются центром управления сетью для каждого КШ сети. Передача ключей на КШ с ЦУС производится по защищенному каналу связи (на ключе связи с ЦУС). В качестве ключевого носителя для ключа связи с ЦУС используется дискета.
Ключи парной связи хранятся на диске в зашифрованном виде (на ключе хранения). Ключ хранения находится в защищенной энергонезависимой памяти ЭЗ "Соболь".
Для защиты соединения между управляющей консолью и ЦУС используется специальный административный ключ. Этот ключ хранится на ключевом диске администратора системы.
Плановая смена ключей на КШ осуществляется из ЦУС по каналу связи в защищенном виде на ключе связи с ЦУС.
АПК "Континент-К" использует протокол криптографической защиты разработки НИП "Информзащита". Он разработан на основе известного протокола IPSec. Разработчикам удалось существенно снизить накладные расходы при туннелировании трафика. Они составляют от 26 до 36 байт на пакет (в зависимости от режимов сжатия пакета) против 86 байт у IPSec.
Это преимущество позволяет использовать "Континент-К" в сетях, использующих короткие IP пакеты, например, IP-телефонии или передачи трафика телеконференций.
|
| Раздел 3. Основные функции и возможности |
|
3.1. КРИПТОГРАФИЧЕСКИЙ ШЛЮЗ
Криптографический шлюз представляет собой специализированное программно-аппаратное устройство, функционирующее под управлением ОС FreeBSD в сокращенной версии, обеспечивающей высокий уровень безопасности.Криптошлюз обеспечивает:
- прием и передачу пакетов по протоколам семейства TCP/IP (статическая маршрутизация);
- шифрование передаваемых и принимаемых IP-пакетов (ГОСТ 28147-89, режим гаммирования с обратной связью);
- сжатие защищаемых данных;
- защиту данных от искажения (ГОСТ 28147-89, режим имитовставки);
- фильтрацию IP-пакетов в соответствии с заданными правилами фильтрации;
- скрытие внутренней структуры защищаемого сегмента сети;
- криптографическую аутентификацию удаленных абонентов (при установлении на КШ сервера доступа);
- периодическое оповещение ЦУС о своей активности;
- регистрацию событий, связанных с работой КШ;
- оповещение администратора в режиме реального времени о событиях, требующих оперативного вмешательства;
- идентификацию и аутентификацию администратора при запуске КШ (средствами ЭЗ "Соболь");
- контроль целостности программного обеспечения КШ до загрузки операционной системы (средствами ЭЗ "Соболь").
Обработка исходящих IP-пакетов представлена на Рис.4. Все IP-пакеты, поступившие от внутренних абонентов защищаемого сегмента, вначале подвергаются фильтрации.
Фильтрация IP-пакетов осуществляется в соответствии с установленными администратором правилами на основе IP-адресов отправителя и получателя, допустимых значений полей заголовка, используемых портов UDP/TCP и флагов TCP/IP-пакета. Если пакет не удовлетворят правилам фильтрации, он отвергается. Отправитель пакета получает ICMP-сообщение о недоступности абонента.
При установке КШ автоматически генерируются правила, необходимые для обеспечения защищенного взаимодействия с ЦУС, корректной работы механизма маршрутизации пакетов, обработки управляющего трафика коммуникационного оборудования и обеспечения возможности начала работы VPN-функций без дополнительного конфигурирования.
IP-пакеты, удовлетворяющие правилам фильтрации, обрабатываются блоком криптографической защиты и передаются на внешний интерфейс КШ. КШ-отправитель обеспечивает его сжатие, зашифрование и имитозащиту, инкапсуляцию в новый IP-пакет, в котором в качестве IP-адреса приемника выступает IP-адрес КШ-получателя, а в качестве IP-адреса источника выступает IP-адрес КШ-отправителя.
IP-пакеты, адресованные абонентам, внешним по отношению к VPN-сети (Web-сайты, ftp-серверы), передаются в открытом виде. Это позволяет использовать КШ при доступе к общедоступным ресурсам сетей общего пользования в качестве межсетевого экрана пакетного уровня.
Входящие IP-пакеты от открытых абонентов блоком криптографической защиты не обрабатываются и поступают непосредственно в фильтр IP-пакетов.
Для пакетов, полученных от абонентов VPN, блок криптографической защиты осуществляет проверку целостности и расшифровывает их, после чего пакеты поступают в фильтр IP-пакетов. Если целостность пакета нарушена, то он отбрасывается без расшифрования и без оповещения отправителя, с генерацией сообщения о НСД.
IP-пакеты, удовлетворяющие правилам фильтрации, передаются через внутренний интерфейс внутренним абонентам.
Криптографический шлюз осуществляет регистрацию следующих событий:
- загрузку и инициализацию системы и ее программный останов;
- вход (выход) администратора КШ в систему (из системы);
- запросы на установление виртуальных соединений между криптошлюзами, между КШ и Центром управления;
- результат фильтрации входящих/исходящих пакетов;
- попытки НСД;
- любые внештатные ситуации, происходящие при работе КШ;
- информацию о потере и восстановлении связи на физическом уровне протоколов.
- дата, время и код регистрируемого события;
- адрес источника и адрес получателя (при фильтрации), включая порты протоколов IP,TCP, UDP;
- результат попытки осуществления регистрируемого события - успешная или неуспешная (или результат фильтрации);
- идентификатор администратора КШ, предъявленный при попытке осуществления регистрируемого события (для событий локального/удаленного управления).
Локальная сигнализация о событиях, требующих вмешательства администратора, осуществляется путем вывода соответствующих сообщений на монитор криптошлюза.
Технические характеристики
- Общая пропускная способность КШ (имитовставка, шифрование, туннелирование) - 30 Мбит/с (Celeron/500).
- Увеличение размера пакета - 26-36 байт (в зависимости от степени сжатия пакета).
- Максимальное количество КШ в сети с одним ЦУС - не более 5000;
- Максимальное количество установленных программ управления - не ограничено;
Предусматривается три варианта комплектации криптографического шлюза:
- На базе стандартного IBM-совместимого компьютера;
- На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 2U.
- На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 4U.
- плата Электронного замка "Соболь";
- считыватель Touch Memory;
- электронные идентификаторы Touch Memory DS1992 (2 шт);
- сетевые платы Ethernet (от 2 до 16 портов).
3.2. ЦЕНТР УПРАВЛЕНИЯ СЕТЬЮ
Центр управления сетью осуществляет управление работой всех КШ, входящих в состав системы защиты. ЦУС осуществляет контроль состояния всех зарегистрированных КШ, проводит рассылку ключевой информации, предоставляет администратору функции удаленного управления КШ, обеспечивает получение и хранение содержимого системных журналов КШ, а также ведение журнала событий НСД. ЦУС обеспечивает:- аутентификацию КШ и консолей управления;
- контроль текущего состояния всех КШ системы;
- хранение информации о состоянии системы защиты (сети КШ);
- централизованное управление криптографическими ключами и настройками каждого КШ сети;
- взаимодействие с программой управления;
- регистрацию событий по управлению и изменению параметров КШ;
- получение журналов регистрации от всех имеющихся КШ и их хранение.
3.4. ПРОГРАММА УПРАВЛЕНИЯ
Программа управления предназначена для централизованного управления всеми КШ, работающими под управлением одного ЦУС. Эта программа позволяет:- отображать информацию о текущем состоянии всех имеющихся КШ;
- добавлять в систему новые КШ, изменять сведения о существующих КШ или удалять КШ;
- централизованно управлять настройками КШ;
- управлять правилами маршрутизации КШ;
- управлять ключами шифрования;
- анализировать содержание журналов регистрации КШ.
Аппаратно-программный комплекс "Континент-К" отличает:
- эффективная и надежная защита информации в гетерогенных сетях;
- отсутствие вмешательства в существующие технологии обработки информации, полная прозрачность для приложений и пользователей;
- централизованное управление настройками системы и оперативный мониторинг ее состояния;
- совмещение в одном устройстве функций межсетевого экрана и криптографического маршрутизатора;
- возможность разграничивать доступ от нескольких внутренних защищаемых сегментов;
- удобный графический интерфейс программы управления;
- простота в настройке и обслуживании.
3.4. СЕРВЕР ДОСТУПА
Сервер доступа - программное обеспечение, позволяющее устанавливать защищенное соединение с удаленными абонентами. Сервер доступа (СД) устанавливается на один из криптошлюзов "Континент-К". После запроса на соединение СД проводит идентификацию и аутентификацию удаленного пользователя, и определяет его уровень доступа, устанавливаемый администратором "Континент-К". На основании этой информации осуществляется подключение абонента к ресурсам сети. СД позволяет осуществить до 500 одновременных сеансов связи с удаленными пользователями.В системе используется аутентификация пользователей при помощи сертификатов открытых ключей. В дальнейшем планируется разработка программного обеспечения, реализующего технологию PKI при использовании сторонних сертификационных центров.
Сервер доступа предустанавливается на ЦУС и КШ, что позволяет организовывать гибкую схему подключения абонентских пунктов к сегментам защищаемой сети.
Управление настройками СД, выработка правил и ключевой информации для абонентов осуществляется через программу управления.
3.4. АБОНЕНТСКИЙ ПУНКТ.
Абонентский пункт (АП) - программное обеспечение, позволяющее удаленному пользователю связываться по защищенному каналу с сетью АПК "Континент-К". АП устанавливается на компьютер клиента и позволяет осуществить:- удаленный доступ к ресурсам защищаемой сети по шифрованному каналу
- функционирование под управлением ОС Windows 95/98/NT/2000
- связь с сервером доступа "Континент-К" со скоростью до 2 Мб/с в шифрующем режиме
- идентификацию и аутентификацию пользователя
- функционирование с динамическим распределением IP адресов - возможность удаленного доступа мобильных пользователей
Установка и конфигурирование абонентского пункта непосредственно на рабочем месте включает:
- установку программного обеспечения СКЗИ "КриптоПро CSP" и абонентского пункта
- определение места хранения ключевых материалов;
- указания IP-адреса сервера доступа (одного или нескольких), с которым устанавливается защищенное взаимодействие.
|
| Раздел 4. Варианты применения |
|
4.1. СОЗДАНИЕ КОРПОРАТИВНОЙ VPN
АПК "Континент-К" является средством создания виртуальных частных сетей на основе сетей TCP/IP. В качестве транспортной среды может быть использована любая сеть, работающая по протоколу TCP/IP, например, Интернет. Такой вариант существенно дешевле использования сети на основе выделенных каналов при сохранении высокого уровня безопасности.При связывании локальных сетей предприятия "Континент-К", как правило, подключается к LAN порту внешнего маршрутизатора. К внутренним портам криптошлюза подключаются локальные сети предприятия. Наличие нескольких внутренних интерфейсов позволяет гибко осуществлять изменение конфигурации сети. Одним из вариантов, повышающих общую безопасность сети, является вынос управляющих консолей для "Континент-К", для управления маршрутизатором и т.д. на отдельный внутренний интерфейс КШ.
При создании VPN на основе "Континент-К" через внешние сети по умолчанию пропускается только зашифрованный трафик. Администратор может создавать на криптошлюзе правила, разрешающие прохождение трафика наружу в открытом виде, т.е. возможность работать с внешними ресурсами - серверами, web-хостами и т.д. (Схема 2)
4.2. ЗАЩИЩЕННОЕ УПРАВЛЕНИЕ МАРШРУТИЗАТОРАМИ
АПК "Континент-К" позволяет также реализовать функцию защищенного управления удаленными маршрутизаторами. Управление ведется "реверсным" методом, когда управляющий трафик, зашифрованный в ядре, проходит через маршрутизатор на "Континент-К", где расшифровывается и направляется обратно на маршрутизатор (Схема 4). Таким образом, открытый трафик не проходит через сеть общего пользования (исходим из того, что кабель между "Континент-К" и маршрутизатором контролируется администратором. На практике, как правило, они находятся рядом).
4.3. УДАЛЕННЫЙ ДОСТУП ПО ЗАЩИЩЕННОМУ КАНАЛУ.
АПК "Континент" позволяет осуществлять защищенный доступ удаленных абонентов к ресурсам VPN. Доступ производится при помощи специальной программы - абонентского пункта устанавливаемой на компьютер пользователя. Запрос на соединение осуществляется на сервере доступа, установленном на одном из криптошлюзов. Сервер доступа проводит идентификацию и аутентификацию пользователя, и осуществляет его связь с ресурсами защищаемой сети (Схема 5).Данную схему выгодно используется, когда требуется связь с офисом мобильных сотрудников через Интернет. Для организации доступа достаточно установить АП на любой компьютер, например, ноутбуке, и получить доступ в Интернет.
|
| Заключение |
|
АПК "Континент-К" позволяет создавать виртуальные частные сети, обладающие большими возможностями в конфигурировании и управлении. При помощи "Континент-К" реализуются функции передачи шифрованного трафика через сеть общего пользования, защиты локальных сетей от проникновения извне, сокрытия внутренней структуры сети, работы по открытым каналам с внешними ресурсами, создания параллельных сетей в пределах одной VPN, защищенного управления удаленными маршрутизаторами. Эти возможности делают "Континент-К" удобным и эффективным инструментом создания VPN.
