| … | … | … | … | … | … |
24.4.6 Сценарий 3
Сценарий 3 показан на рис. 24.4. Цель состоит в том, чтобы сделать невидимым для внешнего мира весь трафик, который компания XYZ посылает через недоверенную сеть. Для этого используется инкапсуляция в
Рис. 24.4. Трафик в туннеле между двумя сетями
Когда датаграмма с точкой назначения в сети 193.40.3 достигает граничного маршрутизатора для сети 130.15, он зашифровывает всю эту датаграмму, включая заголовки. Он подставляет временный (открытым текстом) IP-заголовок и пересылает датаграмму через сеть провайдера на граничный маршрутизатор сети 193.40.3. Можно подставить и другие заголовки (например, отдельный заголовок аутентификации для взаимодействия маршрутизатор-маршрутизатор). В маршрутизаторе-приемнике временный заголовок удаляется, датаграмма дешифрируется и отправляется в истинную точку назначения. В данном случае ассоциации безопасности устанавливаются между двумя граничными маршрутизаторами.
24.4.7 Обобщение
Мы рассмотрели некоторые конкретные примеры, чтобы познакомится с основной структурой безопасности. В целом можно использовать обычный набор механизмов для защиты пересылаемого трафика:
■ Между хостами
■ Между маршрутизаторами
■ Между хостом и маршрутизатором
■ Между маршрутизатором и хостом
Если хост назначения имеет более одного IP-адреса, следует установить отдельные параметры ассоциации безопасности для каждого адреса. Не существует никаких ограничений на реализацию аутентификации, целостности данных и конфиденциальности.
В сценарии 2 безопасность определена для уровней пользователя и роли. При необходимости можно еще глубже структурировать безопасность. Более того, параметры безопасности могут конфигурироваться на основе важности информации (например, 'не секретно' или 'совершенно секретно'). Обслуживание множества различных параметров следует переложить на хорошее приложение.
24.5 Элементы протокола безопасности
Рассмотрим реализацию безопасности более детально.
24.5.1 Ассоциации безопасности
Безопасность одновременно управляет только одним направлением обмена. Для обеспечения безопасности коммуникации источника и получателя каждый из них должен хранить набор параметров, например:
■ Адрес источника
■ Используемый алгоритм аутентификации и целостности данных
■ Используемый алгоритм конфиденциальности
■ Секретные ключи и другую необходимую для алгоритмов информацию
■ Ограничения по времени на ключи
■ Ограничение по времени на ассоциации безопасности
■ Гриф секретности (например, 'не секретно' или 'совершенно секретно')
■ Хост источника может применять один набор параметров для пересылки данных в точки назначения.
■ Хост может использовать несколько ассоциаций безопасности для различных хостов точек назначения. Ассоциации выбираются на основе идентификатора пользователя, роли или важности информации.
Каждому набору параметров безопасности в каждой из точек назначения присваивается цифровой идентификатор, называемый индексом параметров безопасности (Securuty Parameter Index — SPI). Некоторым наборам стандартных параметров значение SPI присваивает IANA.
Одинаковые SPI могут использоваться для различных точек назначения. Наборы параметров (Назначение=A, SPI=300) и (Назначение=В, SPI=300), скорее всего, будут различными. Другими словами, набор параметров идентифицируется как SPI, так и точкой назначения.
Для реализации безопасности в IP версий 4 и 6 применяются заголовки
24.5.2 Authentication Header
Если для аутентификации используется резюме сообщения, заголовок
■ Проверяет отправителя, поскольку настоящий отправитель должен знать секретный ключ для вычисления резюме сообщения.
■ Проверяет, не были ли данные изменены при пересылке.
Формат Authentication Header показан на рис. 24.5. Получатель использует SPI для выбора требуемого протокола и ключа аутентификации. Ключ служит для вычисления приемником резюме по алгоритму MD5.
