5.3.12. Интеллектуальные сети связи

Интеллектуальной сетью связи называют сеть, обеспечивающую доступ пользователей телефонной сети к расширенной совокупности услуг. Примерами услуг служат переадресация вызова, определение номера вызывающего абонента, получение информации о стоимости услуги и т.п. Доступ обеспечивается серверами коммутации SSP и управления услугами SCP. SSP устанавливает соединения между абонентом и банком данных услуг в соответствии с набранным номером. SCP выполняет функции обработки вызовов по предоставлению той или иной услуги.

5.3.13. Функциональные серверы

Функциональные серверы в сетях "клиент/сервер" выделяют для сосредоточения некоторых функций, требующихся многим узлам, в одном узле, что устраняет дублирование тех или иных программно-аппаратных средств во многих узлах.

В зависимости от потребностей в таких функциях и стоимости серверных средств в сетях могут быть выделены серверы следующего назначения:

• серверы, управляющие разделяемыми периферийными устройствами (например, принтером);

• файл-серверы с общими данными, представленными в виде файловой системы;

• серверы баз данных с общими данными, представленными в виде банка данных;

• почтовые серверы для обмена сообщениями (в режимах электронной почты, телеконференций и т.п.);

• серверы приложений, специализирующиеся на выполнении определенных процедур.

Последний из указанных типов серверов лежит в основе сетей распределенных вычислений (сетей DCE - Distributed Computing Environment).

5.3.14. Информационная безопасность в сетях

Назначение систем информационной безопасности (ИБ) сводится к защите от несанкционированных доступа и модификации информации, восстановлению после разрушений информации. Функции систем ИБ: аутентификация, разграничение доступа, защита на сетевом уровне.

Аутентификация чаще всего выполняется через пароли. Разработан сервер Kerberos, предназначенный для аутентификации пользователя, выходящего в сеть с любого узла. Целесообразна периодическая смена паролей, доступ к файлам пароля должен быть только у администратора и т.п. Разграничение доступа должно обеспечиваться на нескольких уровнях. Так, есть четырехуровневая модель. На внешнем уровне устанавливаются права доступа извне и выхода изнутри корпоративной сети. На сетевом, системном и прикладном уровнях регламентируются права доступа к сетевым информационным ресурсам, ресурсам ОС и к пользовательским данным соответственно. Другая модель устанавливает уровни входа в систему, доступа к БД, доступа к приложениям. Права доступа часто выражаются трехразрядным восьмеричным кодом ABC, в котором A - права владельца, B - членов группы, C - остальных пользователей, а три бита выражают право чтения, записи и исполнения соответственно.

Между общедоступными и секретными объектами в сети можно установить специальное программное обеспечение, называемое брандмауэром (или firewall), которое либо запрещает выполнение определенных действий на сервере, либо фильтрует пакеты, разрешая проход только от оговоренных узлов.

Борьба с перехватом сообщений на сетевом уровне - шифрование при передаче через канал (криптография). Разработан стандарт шифрования DES (Data Encryption Standard).

Различают симметричную и асимметричную схемы шифрования. В симметричных схемах секретный ключ должен быть известен как отправителю, так и получателю. Это затрудняет смену ключей, полезность которой очевидна.

В асимметричных схемах шифрование производится открытым ключом, а дешифрование - секретным ключом, известным только получателю. Случайно подобрать секретный ключ злоумышленник не может, так как это требует громадного перебора вариантов.

Все большее распространение получает комбинация симметричных и асимметричных схем. При этом сообщение кодируется закрытым ключом А по симметричной схеме, но сам ключ А для каждого сообщения новый и передается в закодированном по асимметричной схеме виде вместе с сообщением. Получатель декодирует сначала ключ А своим закрытым ключом В, а затем и все сообщение ключом А. Такая комбинация выгодна, во-первых, тем, что труднее взломать защиту, во-вторых, получатель быстрее дешифрирует сообщения, так как алгоритмы симметричного дешифрирования заметно более экономичны.

Одним из применений шифрования является электронная подпись, предназначенная для удостоверения подлинности документа, пересылаемого по сети. Документ (чаще его аннотация) перед отправкой шифруется секретным ключом отправителя, а дешифруется открытым ключом получателя.

В качестве примера рассмотрим механизмы защиты, используемые в системах сотовой связи по стандарту GSM.

Для аутентификации абонента используется симметричная схема с секретным ключом Кi. По сети от абонента к коммутационному центру MSC передается некоторое случайное число Ч. В MSC и в станции абонента над Кi и Ч выполняется алгоритм шифрования А3, результат которого - 32-битный код SRES. Совпадение двух вычисленных значений SRES есть положительный результат аутентификации. Отметим, что определение Кi по известным SRES и Ч - задача, не имеющая эффективного алгоритма, что и обеспечивает надежность аутентификации.

При передаче сообщений по радиоканалу между базовой станцией BTS и абонентом шифрование выполняется по ключу Кс, значение которого меняется при каждой новом сеансе связи, что также способствует надежности защиты. Передавать по сети Кс не требуется, так как согласованные значения Кс в BTS и мобильной станции получаются по алгоритму А8 аналогично тому, как определяется SRES.