Криптографические протоколы

- протокол, в основе которого лежит криптографический алгоритм. Цель криптограф протокола: сохранение инф в тайне от посторонних; ЭЦП.

Протокол SSL обеспеч шифрование, аутентификацию на базе сертификатов и согласование безопасности; был разработан в 1996 году.

Для осуществления SSL соединения необходимо, чтобы сервер имел инсталлированный цифровой сертификат (файл, который уникальным образом идентифицирует пользователей и серверы). Данные, перемещающиеся между клиентом и сервером, шифруются симметричным алгоритмом. Для цифровых подписей и обмена ключами шифрования используется алгоритм с открытым ключом (RSA). Подключение по SSL всегда инициируется клиентом вызовом URL-адреса, начинающегося с https:// вместо http://. Процесс установления защищённой сессии проиллюстрирован далее:

Решение о применении SSL сертификата исходит из важности обеспечения конфид-ой передачи данных в сети Интернет. Напр, при проведении через web-сайт финансовых транзакций вопрос о применении SSL сертификата очевиден. Если обрабатывают значимую персональную инф о клиентах (номер социального страхования или др подобную инф), то применение SSL сертификата имеет серьезные основания. Особенно если вопросы конфиденциальности и ИБ клиентов имеют высокий приоритет.

IPSec - набор протоколов для обеспеч защиты данных, передаваемых по межсет пр IP. Позволяет осуществлять подтв-ие подлинности (аутент), проверку целостности и/или шифрование IP-пакетов. IPsec включает в себя пр для защищённого обмена ключами в сети Интернет. В основном, применяется для организации vpn-соед. Его ядро составляют 3 протокола: 1) АН обеспеч целостность vpn-соед (передаваемых данных), аутент источника инф и функцию по предотвращению повторной передачи пакетов. 2) ESP обеспеч конфид-сть (шифрование) передаваемой инф, ограничение потока конфид трафика. М исполнять функции AH. При исп ESP в обязательном порядке д указываться набор услуг по обеспеч безоп-сти: каждая из его функций м включаться опционально. 3) ISAKMP - пр, используемый для первичной настройки соед, взаимной аутент конечными узлами друг друга и обмена секретными ключами. Предусматривает исп различных механизмов обмена ключами, включая задание фиксированных ключей.

IKE - протокол, связывающий все компоненты IPsec в работающее целое, обеспечивает первоначальную аутент сторон, а также их обмен общими секретными ключами, работает через порт 500 UDP. Процесс работы IKE: 1) IKE создает безопасный канал между двумя узлами. 2 узла согласуют сессионный ключ по алгоритму Диффи-Хеллмана. 2) согласует общую политику IPsec, получает общие секретные ключи для алгоритмов протоколов IPsec (AH или ESP).

В работе протоколов IPsec можно выделить пять этапов: Первый начинается с создания на каждом узле, поддерживающим стандарт IPsec, политики безопасности, определяется, какой трафик подлежит шифрованию, какие функции и алгоритмы могут быть использованы. Второй. Цель - организовать безопасный канал между сторонами для второй фазы IKE (аутент и защита идентификационной информации узлов). Третий (вторая фаза IKE) - создание IPsec-туннеля: согласуются параметры соед IPsec по защищаемому каналу, созданному в первой фазе IKE; периодически осуществляется пересмотр IPsec SA, чтобы убедиться в её безопасности. Рабочий этап. Начинается обмен инфй между узлами через IPsec-туннель, исп-ся протоколы и параметры, установленные в наборе параметров соед. Пятый. Прекращают действовать текущие IPsec SA. Это происходит при их удалении или при истечении t жизни, значение кото содержится в SAD на каждом узле. Процесс создания нового набора пара-ов соед м происходить и до завершения действия текущих, если требуется непрерывная передача данных.

IPsec м функционировать в 2 режимах: транспортном и туннельном.

В транспортном шифруются только данные IP-пакета, исходный заголовок сохраняется. Транспортный режим исп-ся для установления соед между хостами. Он м также исп-ся между шлюзами для защиты туннелей, организованных каким-нибудь другим способом.

В туннельном режиме шифруется весь исходный IP-пакет: данные, заголовок, маршрутная информация, а затем он вставляется в поле данных нового пакета (инкапсуляция). Туннельный режим м исп-ся для подключения удалённых комп к vpn или для организации безопасной передачи данных через открытые каналы связи (напр, Интернет) между шлюзами для объединения разных частей виртуальной частной сети.

Режимы IPsec не являются взаимоисключающими для одного узла.

Протоколы IGRP, EIGRP

- протоколы маршрутизации. Протокол IGRP предназначен для определения маршрутов, которые расположены внутри автономных систем. По способу сбора инф о маршрутах внутри автономной системе этот протокол относится к типу вектор расстояния. Наиболее существенным отличием протокола IGRP от первой версии RIP являлось наличие комплексного критерия оценки качества маршрута – метрики. Исп IGRP позволяет определять и обслуживать несколько || маршрутов, которые связывают одну пару источник - приемник. Для обеспечения min t реагирования протокола на ∆, которые происходят в системе, и предотвращения образования циклов маршрутизации, в протоколе IGRP использованы след решения: Flash updates - управляемые обновления передаются в момент возникновения ∆ в сети; Hold down timers – специальные таймеры исп-ся для того, чтобы из-за разницы во t прохождения управляемых обновлений по сети в ней не возникли петли маршрутизации. «Свежие» маршруты не используются для передачи пакетов до истечения интервала t, величина которого определяется данным таймером; Split horizon – для предотвращения возникновения циклов обновления для маршрутов, кот были получены с опред направления, не должны передаваться в этом направлении; Poison reverse – ↑ метрики маршрута обычно явл следствием существования петли маршрутизации. Для блокирования маршрутов, метрика которых начинает неуклонно ↑, им обычно присваивается значение метрики, которое соответствует .

Протокол маршрутизации Enhanced IGRP был разработан специалистами компании Cisco, и представляет собой дальнейшее развитие принципов, которые были заложены в IGRP. В частности, по отношению к протоколу IGRP обеспечиваются следующие доп возможности:

- Поддержка внеклассовых IP-сетей;

- Передача частичных обновлений таблицы маршрутов;

- Поддержка различных протоколов сетевого уровня.

Формально протокол EIGRP относится к алгоритмам маршрутизации типа distant – vector, однако этот протокол сочетает в себе лучшие качества протокола типа link- state (алг состояния каналов) и поэтому м б отнесен к особому типу пр маршрутизации – к гибридным протоколам.

Для ¯ временного интервала, отделяющего ∆ которое произошло в структуре сети, от соответ ∆ инф о маршрутах в системе в протоколе маршрутизации EIGRP исп-ся спецх механизм передачи частичных обновлений и алгоритм DUAL – использование данного алгоритма предполагает определение (для представления маршрута) для каждой сети двух специальных маршр-ов – successor и feasible successor .

Доставка дейтаграмм в сеть N маршрутизатором A.

Последующим маршрутизатором (successor) для сети N считается тот маршрутизатор, из числа непосредственных соседей A, через который проходит маршрут до данной сети, которому соответствует минимальное значение Advertised Distance. Этот маршрутизатор используется в качестве next hop для доставки пакетов в данную сеть.

Представляемая дистанция(Advertised Distance) представляет собой метрику маршрута, который проходит через одного из непосредственных соседей данного маршрутизатора по сети до искомой сети (N). При вычислении Advertised Distance не учитывается стоимость последнего участка маршрута (А).

Ожидаемая дистанция(Feasible Distance) представляет собой метрику, которая соответствует значению Advertised Distance для данного маршрута увеличенную на стоимость последнего участка маршрута – от представляющего маршрутизатора до конечного – в данном случае – A.

Потенциальным последующим маршр-ом (feasible successor) для сети N считается тот маршрутизатор из числа непосредственных соседей A, через который проходит маршрут до данной сети, которому соответствует значение Advertised Distance меньшее, чем значение Feasible Distance маршрута, проходящего через Successor.

В качестве последующего маршрутизатора (successor) для сети N и маршрутизатора A в данном случае будет выбран маршрутизатор C, через который проходит маршрут, имеющий минимальное значение Advertised Distance – 35. Потенциальным последующим маршр-ом в данном случае б выбран маршрутизатор B, у которого значение Advertised Distance – 40 меньше, чем значение Feasible Distance для маршрута через C – 45.

Маршрут, который проходит через Feasible Successor используется в системе качестве резервного маршрута. В том случае, если маршрут через successor по каким – либо причинам не может быть использован для передачи данных, маршрутизатор A должен произвести переключение на резервный маршрут.