Основные компоненты межсетевых экранов

Большинство компонентов межсетевых экранов можно отнести к одной из трехкатегорий:

•  фильтрующие маршрутизаторы;

•  шлюзы сетевого уровня;

•  шлюзы прикладного уровня.

Эти категории можно рассматривать как базовые компо­ненты реальных межсетевых экранов. Лишь немногие межсетевые экраны включают только одну из перечисленных категорий. Тем не менее, эти категории отражают ключевые возможности, отличаю­щие межсетевые экраны друг от друга.

Одним из важных компонентов концепции межсетевых экранов является аутентификация (проверка подлинности пользователя). Прежде чем пользователю будет предоставлено право воспользоваться, тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого себя выдает.

Одним из способов аутентификации является использова­ние стандартных UNIX-паролей. Однако эта схема наиболее уяз­вимо с точки зрения безопасности - пароль может быть перехва­чен и использован другим лицом. Многие инциденты в сети Internet произошли отчасти из-за уязвимости традиционных паролей. Зло­умышленники могут наблюдать за каналами в сети Internet и пере­хватывать передающиеся в них открытым текстом пароли, поэтому схему аутентификации с традиционными паролями следует признать устаревшей.

Для преодоления этого недостатка разработан ряд средств усиленной аутентификации; смарт-карты, персональные жетоны, биометрические механизмы и т.п. Хотя в них задействованы раз­ные механизмы аутентификации, общим для них является то, что пароли, генерируемые этими устройствами, не могут быть повторно использованы нарушителем, наблюдающим за установлением связи. Поскольку проблема с паролями в сети Internet является постоянной, межсетевой экран для соединения с Internet , не располагающий средствами усиленной аутентификации или не ис­пользующий их, теряет всякий смысл .

Ряд наиболее популярных средств усиленной аутентификации, применяемых в настоящее время, называются системами с одноразовыми паролями. Например, смарткарты или жетоны аутентификации генерируют информацию, которую хост-компьютер использует вместо традиционного пароля Результатом является одноразовый пароль, который, даже если он будет перехвачен, не может быть использован злоумышленником под видом пользователя для установления сеанса с хост- компьютером.

Так как межсетевые экраны могут централизовать управление доступом в сети, они являются подходящим местом для у­становки программ или устройств усиленной аутентификации. Хотя средства усиленной аутентификации могут использоваться на каждом хост-компьютере, более практично их размещение на межсе­тевом экране. Если хост-компьютеры не применяют мер усиленной аутентификации, злоумышленник может попытаться взломать пароли или перехватить сетевой трафик с целью найти в нем сеансы, в ходе которых передаются пароли.