Виртуальные частные сети

Другое решение проблемы защиты электронного доку­ментооборота — построение виртуальных частных сетей (VРN — Virtual Private Network). VРN представляет собой защищенную корпоративную сеть, использующую лю­бую ГВС (в частности, Internet) для передачи защищен­ных данных между сегментами VРN. Сегментами VРN могут быть как ЛВС предприятия или его удаленного подразделения, так и мобильные или удаленные пользо­ватели, клиенты или ЛВС предприятий-партнеров.

Защита сегментов VPN происходит, например, с по­мощью межсетевых экранов (рис. 4).

Межсетевой экран представляет собой выделенный компьютер, который выполняет следующие действия:

• фильтрует передаваемую через него информацию со­гласно определенным правилам и таблицам адресов пользователей VPN;

• обеспечивает шифрование передаваемой информа­ции на определенном ключе. Шифрование информа­ции может происходить и на конкретном рабочем месте абонента сети;

• при получении информации из внешней сети прове­ряет ее целостность, расшифровывает и передает кон­кретному абоненту сети;

• позволяет изолировать внутреннее адресное про­странство путем замены внутренних адресов сети в за­головках передаваемых пакетов.

Защита документооборота с удаленными или мобиль­ными пользователями происходит путем шифрования пе­редаваемой информации, обычно на парносвязном ключе удаленного пользователя и адресата (или отправителя).

Рис.4. Виртуальная частная сеть (VPN)

Использование VPN имеет следующие преимущества:

• обмен только защищенной информацией между ав­торизованными пользователями;

• изолированность от ГВС внутренней сети и ее топо­логии;

• прозрачность для абонентов сети.

К недостаткам использования VРN можно отнести не­которое замедление передачи информации в ГВС.

Использование криптосервера

Шифрование информации в различных системах доку­ментооборота осуществляется как программными, так и ап­паратными средствами. Аппаратные средства шифрования имеют ряд преимуществ по сравнению с программными:

• защищенность и неизменность алгоритма шифрования;

• возможность загрузки ключей шифрования непосредственно в устройство криптографической защи­ты данных (УКЗД);

• возможность одновременного использования УКЗД в системе ЗНСД.

К недостаткам аппаратных средств можно отнести несколько более низкую скорость обработки данных и бо­лее высокую стоимость.

Использование криптосервера решает ряд проблем, свя­занных с выбором шифратора. Криптосервер представля­ет собой отдельный компьютер в ЛВС, оснащенный аппаратным шифратором и используемый для шифрова­ния информации для абонентов сети по их запросам. Зашифрованная информация может впоследствии ис­пользоваться абонентом по его усмотрению, в том числе для передачи по ГВС. Информация абонента может быть также автоматически подписана криптосервером.

Порядок работы криптосервера может быть следующим:

1. абонент направляет на криптосервер открытые данные;

2. происходит взаимная аутентификация абонента и криптосервера. Для идентификации абонента используется его персональная смарт-карта, содержащая используемые для аутентификации СК абонента и ОК крип­тосервера;

3. после успешной аутентификации криптосервер зашифровывает данные на персональном ключе абонента (выбираемом из хранящейся на сервере таблицы ключей абонентов) и подписывает их;

4. абонент получает зашифрованные и подписанные данные.

Преимущества использования криптосервера:

• использование одного шифратора вместо нескольких (по числу абонентов);

• хранение всех ключей для передачи документов в ГВС только на криптосервере;

• упрощение администрирования — все полномочия абонентов определяются администратором и хранятся только на криптосервере;

• использование микропроцессорной смарт-карты в качестве носителя ключей аутентификации исключает возмож­ность несанкционированного использования храня­щихся на криптосервере ключей.

Следует учесть, что, как и у любого другого дешевого решения, у криптосервера есть некоторые недостатки. Прежде всего, это необходимость защиты такой сети от попыток доступа из ГВС, поскольку информация посы­лается на криптосервер в незащищенном виде. Кроме то­го, криптосервер обязательно должен быть защищен сис­темой от несанкционированного доступа (ЗНСД), поскольку он содержит все ключевые эле­менты пользователей такой ЛВС.