16.3.2.2. Угрозы безопасности vpls на абонентском участке ce–pe и механизм защиты

В настоящем разделе приведены угрозы безопасности на абонентском участке CE-PE и предлагаемый механизм защиты. Источниками угроз ИБ на этом участке является возможность пользователя VPLS обманным способом получить легитимные адреса пользователей других VPLS. Другим источником является угроза «человек посередине» для открытых данных кадров Ethernet. При реализации этих угроз на участке абонентской линии между граничными маршрутизаторами пользователя и провайдера CE–PE возможны следующие последствия:

• передача кадра пользователю перехваченного адреса;

• прием кадра пользователя перехваченного адреса;

• вставка фиктивных кадров;

• изменение содержания кадра;

• незаконный повтор кадра;

• использование нелегитимных и легитимных СE при реализации угроз.

В основу механизма защиты от этих угроз предлагается методика, основанная на рекомендации ETSI ITU-T Х.509 [10] и используемая в рекомендации для обеспечения информационной безопасности сети связи ISDN [11,12]. При установлении соединения для каждого вызова производится взаимная аутентификация CE-PE и PE-CE. Одновременно с процедурой аутентификации выполняется функция по созданию общего секретного ключа шифрования сообщений этого соединения. С помощью этого секретного ключа производится шифрование/дешифрование кадра Ethernet. Детальное описание механизма ИБ в сети связи ISDN приведено в следующей главе.

СПИСОК ЛИТЕРАТУРЫ

1. Гольдштейн Ф.Б., Гольдштейн Б.С. Технология и протоколы MPLS. СПБ.: БХВ-Петербург, 2005. 304 с.

2. Оливейн В. Структура и реализация современной технологии MPLS. М.:Вильямс, 2004. 480 с.

3. Бельфер Р.А., Петрухин И.С. Анализ источников угроз информационной безопасности виртуальных частных сетей VPRN на базе сети MPLS Вестник МГТУ им. Н.Э. Баумана сер. «Приборостроение», 2013, №4. C. 79-89.

4. Бельфер Р.А. Угрозы безопасности VPN MPLS на участке между соседними маршрутизаторами и защита с помощью IPSec, Электросвязь № 4, 2013, С. 25-27.

5. Таненбаум Э., Уэзеролл Д. Компьютерные сети, 5-е издание – СПБ.: Питер, 2012 954 с.

6. IEEE 802.1d. Media Access Control Bridges. 2011.IE

7. IEEE 802.1q. Media Access Control Bridges and Virtual Bridged Local Area Networks. 2013.

8. http://xgu.ru/wiki/DHCP_snooping.

9. Michael H. Behringer, Monique J. Morrow. MPLS VPN Security Cisco Press, 2005, P. 312.

10. ITU-T Recommendation X.509. Information technology – Open Systems Interconnection. The Directory: Authentication framework (1993 edition – version 2, 1997 edition version 3

11. ETSI ETS 300 841. Telecommunications Security; Integrated Services digital Network (ISDN); Encryption Key management system for audio-visual services, 1998.

12. Бельфер Р.А. Сети и системы связи (технологии, безопасность): учебное пособие по дисциплине «Сети и системы связи»: электронное учебное издание: ФГБОУ ВПО “ МГТУ им. Н. Э. Баумана, 2012, 738 с.