Potrzeba zabezpieczeń sieci opartych na protokole internetowym jest właściwie powszechna w aktualnym przenikającym się środowisku biznesowym Internetu, Intranetów, oddziałów i dostępu zdalnego. Ponieważ w sieciach ciągle krążą wrażliwe informacje, przed administratorami sieci i innymi pracownikami działów informatycznych stoją wyzwania związane z zapewnieniem, że przepływające dane będą:
-
Chronione przed modyfikacjami podczas przesyłania.
-
Chronione przed przechwyceniem, przeglądaniem i kopiowaniem.
-
Chronione przez zawłaszczeniem przez nieupoważnione podmioty.
-
Chronione przed przechwyceniem i późniejszym odtworzeniem w celu uzyskania dostępu do poufnych zasobów; zazwyczaj w ten sposób może być użyte zaszyfrowane hasło.
Te usługi zabezpieczeń są znane jako integralność danych, poufność danych, uwierzytelnianie danych oraz ochrona przed odtwarzaniem.
Dlaczego zabezpieczenie protokołu internetowego jest
konieczne
Protokół IP nie ma domyślnego Mechanizmu zabezpieczeń i pakiety IP można łatwo
odczytywać, modyfikować, odtwarzać i fałszować. Bez odpowiednich zabezpieczeń
zarówno sieci prywatne, jak i publiczne są narażone na monitorowanie i
uzyskiwanie dostępu przez osoby nieuprawnione. O ile ataki wewnętrzne mogą być
wynikiem minimalnych zabezpieczeń intranetu lub nawet braku takich
zabezpieczeń, zewnętrzne ryzyko dla sieci prywatnych wynika z połączenia
zarówno z Internetem, jak i ekstranetami. Kontrola dostępu użytkownika przy
użyciu hasła nie zapewni ochrony danych przesyłanych w sieci.
W efekcie zespół Internet Engineering Task Force (IETF) opracował mechanizm IPSec, zapewniającą uwierzytelnianie danych, integralność danych, poufność danych oraz ochronę przed odtwarzaniem. Funkcja IPSec integrują się z Mechanizmami zabezpieczeń w systemach Windows 2000 i Windows XP Professional, zapewniając idealną platformę zabezpieczenia komunikacji w intranetach i Internecie. Funkcja wykorzystuje stosowane powszechnie w informatyce algorytmy szyfrowania oraz rozbudowane mechanizmy zarządzania zabezpieczeniami, zapewniając bezpieczeństwo całej komunikacji realizowanej za pośrednictwem protokołu TCP/IP po obu stronach zapory firewall istniejącej w organizacji. Efektem jest kompleksowa strategia zabezpieczeń systemów Windows 2000 i Windows XP Professional, zapewniająca ochronę przed atakami zarówno zewnętrznymi, jak i wewnętrznymi.
Zabezpieczenie protokołu internetowego jest wdrażane poniżej warstwy transportu, co pozwala uniknąć niedogodności i nakładów związanych z wdrażaniem i koordynacją zabezpieczeń w sposób etapowy, dla kolejnych aplikacji. Wdrożenie rozwiązania IPSec dla systemów Windows XP Professional i Windows 2000 zapewnia warstwę zabezpieczenia całej sieci, gdzie aplikacje są automatycznie chronione przez serwery i komputery klienckie obsługujące Mechanizm IPSec.
Ustawienia
mechanizmu IPSec pokazano na rysunku.
Jak mechanizm zabezpieczenia protokołu internetowego
pozwala uniknąć ataków z sieci
W przypadku braku mechanizmów zabezpieczających dane mogą być narażone na
ataki. Niektóre ataki są pasywne, tzn. informacje są jedynie monitorowane.
Inne ataki są aktywne, tzn. informacje są modyfikowane w celu uszkodzenia lub
zniszczenia danych lub samej sieci.
W tabeli zestawiono najczęstsze typu zagrożeń bezpieczeństwa spotykane w obecnych sieciach oraz opisano sposoby unikania tych zagrożeń przy użyciu mechanizmu IPSec.
|
Typ ataku |
Opis |
Jak IPSec zapobiega atakowi |
|---|---|---|
|
Podsłuchiwanie (zwane również węszeniem lub podglądaniem) |
Monitorowanie pakietów zwykłego tekstu lub danych niezaszyfrowanych. |
Dane przed przesłaniem są szyfrowane, co uniemożliwia uzyskanie dostępu do oryginalnych danych nawet w przypadku monitorowania lub przechwycenia pakietu. Klucz szyfrowania znają tylko odpowiednie osoby. |
|
Modyfikacja danych |
Zmiana i przesyłanie zmodyfikowanych pakietów. |
Mechanizm sumy kontrolnej danych powoduje dołączenie kryptograficznej sumy kontrolnej do każdego pakietu, który jest sprawdzany przez komputer odbierający w celu wykrycia ewentualnych modyfikacji. |
|
Podawanie się kogoś innego |
Wykorzystanie utworzonych lub przechwyconych pakietów w celu przejęcia tożsamości prawidłowego adresu. |
Protokół Kerberos wersja 5, certyfikaty klucza publicznego lub wstępnie udostępnione klucze umożliwiają uwierzytelnienie parterów przed rozpoczęciem bezpiecznej komunikacji. |
|
Odmowa świadczenia usług |
Uniemożliwianie uzyskanie dostępu do sieci przez uprawnionych użytkowników. Przykładem może być zalanie sieci przesyłanymi pakietami. |
Można blokować porty lub protokoły. |
|
Intruz w środku |
Przekazywanie pakietów IP do niezamierzonej trzeciej osoby; pakiet będzie monitorowany i najprawdopodobniej modyfikowany. |
Uwierzytelnianie komputerów w otoczeniu. |
|
Znany klucz |
Używany do odszyfrowywania lub modyfikowania danych. |
W systemie Windows XP Professional klucze szyfrowania są okresowo odświeżane, co ogranicza ryzyko wykorzystania przechwyconego klucza w celu uzyskania dostępu do zabezpieczonych informacji. |
|
Atak w warstwie aplikacji |
Kierowany głównie do serwerów aplikacji, atak ten ma za zadanie spowodowanie błędu w systemie operacyjnym sieci lub w aplikacjach, lub też wprowadzenie wirusów do sieci. |
Ponieważ mechanizm IPSec jest wdrażany na poziomie sieci, pakiety nie spełniające kryteriów określonych w filtrach zabezpieczeń na tym poziomie nigdy nie zostają przesłane do aplikacji, co zapewnia ochronę aplikacji i systemów operacyjnych. |
Mechanizmy oparte na szyfrowaniu
Funkcja IPSec zapobiega atakom dzięki wykorzystaniu mechanizmów szyfrowania.
Szyfrowanie pozwala na bezpieczne przesyłanie informacji dzięki określeniu ich
sumy kontrolnej i zaszyfrowaniu.
Informacje są zabezpieczane przy użyciu kombinacji algorytmu i klucza:
-
Algorytm to matematyczny proces, za pośrednictwem którego zabezpieczane są informacje.
-
Klucz to tajny kod lub numer niezbędny do odczytania, zmodyfikowania lub zweryfikowania zabezpieczonych danych.
Funkcja IPSec wykorzystuje mechanizmy oparte na zasadach w celu określenia poziomu zabezpieczeń wymaganych podczas sesji komunikacyjnej. Zasady mogą być rozróżniane w całej sieci za pośrednictwem kontrolerów domen systemu Windows® 2000 lub tworzone i przechowywane lokalnie w rejestrze komputera wyposażonego w system Windows XP Professional.
Jak działa mechanizm IPSec
Przed przesłaniem jakichkolwiek danych komputer obsługujący mechanizm IPSec
uzgadnia poziom zabezpieczeń, jaki ma zostać zapewniony podczas sesji
komunikacyjnej. W czasie procesu uzgadniania następuje określenie metody
uwierzytelniania, metody określania sumy kontrolnej, metody tunelowania
(opcjonalnie) oraz metody szyfrowania (również opcjonalnie). Tajne klucze
szyfrowania są określane lokalnie na każdym komputerze przy użyciu aktualnie
wymienianych informacji. Rzeczywiste klucze nigdy nie są przesyłane. Po
wygenerowaniu klucza następuje uwierzytelnienie tożsamości, po czym może
rozpocząć się bezpieczna wymiana danych.
Powstały poziom zabezpieczeń może być niski lub wysoki, zależnie od zasad zabezpieczeń protokołu IP dependent określonych w wysyłającym lub odbierającym komputerze. Na przykład sesja komunikacyjna między komputerem wyposażonym w system Windows XP Professional a hostem nie obsługującym mechanizmu IPSec może nie wymagać bezpiecznego kanału komunikacji. Z drugiej strony, sesja komunikacyjna między serwerem Windows 2000 zawierającym poufne informacje a hostem w intranecie może wymagać wysokiego poziomu zabezpieczeń.
