Защита данных на канальном уровне в vpn. Протокол l2tp.
Layer Two Tunneling Protocol
В гибридном протоколе L2TP не только объединены лучшие черты протоколов PPTP и L2TP, но и добавлены новые функции.
Как и РРТР, новая спецификация не нуждается во встроенной аппаратной поддержке, хотя оборудование, специально предназначенное для нее, повысит производительность и защищенность системы. В L2TP есть ряд отсутствующих в спецификации PPT В L2TP добавлена важная функцию управления потоками данных, которая не допускает в систему больше информации, чем та способна обработать. Кроме того, в отличие от своих предшественников, L2TP позволяет открывать между конечными абонентами сразу несколько туннелей, каждый из которых администратор может выделить для того или иного приложения. Эти особенности обеспечивают безопасность и гибкость туннелирования, а также существенно повышает качество обслуживания виртуальных каналов связи. P функций защиты, включая возможность работы с протоколом IPsec.
Сообщение L2TP шифруется с использованием стандарта DES (Data Encryption Standard — стандарт шифрования данных) или 3DES при помощьи ключей шифрования, созданных в процессе согласования IKE (Internet Key Exchange — обмен ключами в Интернете).
Защита данных на сетевом уровне в VPN. Протокол IPSec.
IP Security — это комплект протоколов, касающихся вопросов шифрования, аутентификации и обеспечения защиты при транспортировке IP-пакетов.
К IP-данным, готовым к передаче по виртуальной частной сети, IPSec добавляет заголовок для идентификации защищенных пакетов. Перед передачей по Internet эти пакеты инкапсулируются в другие IP-пакеты. IPSec поддерживает несколько типов шифрования, в том числе Data Encryption Standard (DES) и Message Digest 5 (MD5).
Чтобы установить защищенное соединение, оба участника сеанса должны иметь возможность быстро согласовать параметры защиты, такие как алгоритмы аутентификации и ключи. IPSec поддерживает два типа схем управления ключами, с помощью которых участники могут согласовать параметры сеанса.
В работе протоколов IPsec можно выделить пять этапов:[14]
1.Первый этап начинается с создания на каждом узле, поддерживающим стандарт IPsec, политики безопасности. На этом этапе определяется какой трафик подлежит шифрованию, какие функции и алгоритмы могут быть использованы.
2.Второй этап является по сути первой фазой IKE. Ее цель — организовать безопасный канал между сторонами для второй фазы IKE. На втором этапе выполняются:
-Аутентификация и защита идентификационной информации узлов
-Проверка соответствий политик IKE SA узлов для безопасного обмена ключами
-Обмен Диффи-Хеллмана, в результате которого у каждого узла будет общий секретный ключ
-Создание безопасного канала для второй фазы IKE
3.Третий этап — является второй фазой IKE. Его задачей является создание IPsec туннеля. На третьем этапе выполняются следующие функции:
-Согласуются параметры IPsec SA по защищаемому IKE SA каналу, созданному в первой фазе IKE
-Устанавливается IPsec SA
-Периодически осуществляется пересмотр IPsec SA, чтобы убедиться в ее безопасности
-(Опционально) выполняется дополнительный обмен Диффи-Хеллмана
4.Рабочий этап. После создания IPsec SA начинается обмен информацией между узлами через IPsec-туннель, используются протоколы и параметры, установленные в SA.
5.Прекращают действовать текущие IPsec SA.
Классификация компьютерных вирусов. Л11 стр 2
Средства антивирусной защиты Л11 стр 10
Классификация технических каналов утечки информации Л12 стр 2
Каналы утечки информации за счет информативных побочных электромагнитных излучений и наводок Л12 стр3,4
Физическая сущность «эффекта рассеяния» как основы образования каналов утечки информации за счет ПЭМИН Л12 стр 7
Физическая сущность паразитных связей и наводок как основы образования каналов утечки информации за счет ПЭМИН Л12 стр 9
Пассивный перехват и физическая сущность «микрофонного эффекта» Л12 стр 11
Классификация средств технической защиты информации Л13 стр 1
Анализаторы телефонных линий.
Как следует из названия, эти приборы предназначены для измерения и анализа параметров телефонных линий, каковыми являются значения постоянной составляющей напряжения на телефонной линии, величина постоянного тока, возникающего в телефонном канале связи во время разговора. Анализу могут быть подвергнуты изменения активной и реактивной составляющих импеданса линии.
Интересным для анализа является характер изменения напряжения на линии в момент снятия трубки. Кроме того, возможен анализ переменной составляющей сигнала на линии. Например, при появлении сигнала с частотой более 50 кГц может быть сделан вывод о том, что к линии, возможно, подключена аппаратура ВЧ навязывания, или по линии передается модулированный высокочастотный сигнал. На основе измерений перечисленных параметров и их анализа прибор "принимает" решение о наличии несанкционированных подключений, сигнализирует об изменении параметра линии или наличии в ней посторонних сигналов. Есть приборы, которые кроме блока измерения и анализа параметров, имеют в своем составе и блок для постановки активной заградительной помехи.
Более сложные и дорогие приборы - кабельные радары и системы нелинейной локации в кабельных линиях, которые позволяют приблизительно измерять расстояния до подозрительных мест на телефонной линии. Системы контроля за радиоизлучением в статье не рассматриваются.
В настоящее время на рынке представлено много моделей анализаторов в ценовом диапазоне от десятков до нескольких тысяч и даже десятков тысяч долларов.
Для того, чтобы противодействовать анализатору телефонных линий, злоумышленнику придется использовать системы перехвата, которые не изменяют или незначительно изменяют параметры линии. Возможно использование систем перехвата с компенсацией изменений. В любом случае это повышает стоимость оборудования для перехвата информации, снижает удобство и повышает риск операции.
Методы выявления устройств перехвата информации Л13 стр 6
Методы закрытия речевых сигналов (скремблирование).
Работа таких систем делится на несколько этапов. На первом этапе речевое сообщение абонента обрабатывается по какому-либо алгоритму (кодируется) так, чтобы злоумышленник, перехвативший обработанный сигнал, не смог разобрать смысловое содержание исходного сообщения. Затем обработанный сигнал направляется в канал связи ( телефонную линию). На последнем этапе сигнал, полученный другим абонентом, преобразуется по обратному алгоритму (декодируется) в речевой сигнал.
Для того, чтобы раскрыть смысловое содержание защищенного криптографическим способом телефонного разговора, злоумышленнику потребуются:
наличие криптоаналитика;
дорогостоящее оборудование;
время для проведения криптоанализа.
Информационное скрытие речевой информации обеспечивается техническим закрытием (аналоговым скремблированием) и шифрованием сигналов речевой информации, передаваемых по кабелям и радиоканалам.
При аналоговом скремблировании изменяются характеристики исходного речевого сообщения таким образом, что преобразованное сообщение становится нераспознаваемым «на слух», но занимает ту же частотную полосу. Это позволяет передавать скремблированные сигналы по обычным коммерческим телефонным каналам связи.
В скремблерах с временной перестановкой кадр речевого сообщения делится на отрезки (сегменты) длительностью тс каждый. Последовательность передачи в линию сегментов определяется ключом, который должен быть известен приемной стороне
К основным средствам информационного скрытия речевой информации от подслушивания относятся
Скремблеры
реализующие инверсию спектра (маскиратор)
выполняющие частотные перестановки (с поддержкой динамического закрытия или без)
с временной перестановкой
комбинированные (частотно-временные)