Зважаючи на стрімкий ріст популярності пристроїв з доступом до мережі інтернет, набирають актуальності питання захищеності передачі даних по радіоканалу, та енергетичної ефективності портативних пристроїв, для збільшення часу їх автономної роботи. Обмеженість обчислювальних ресурсів портативних пристроїв не дозволяє використати класичні методи захисту інформації, такі як повноцінне шифрування, а тому необхідно використовувати нові методи передавання даних в радіоканалах, які б забезпечили баланс між параметрами енергетичної та спектральної ефективності, а також захищеністю каналів зв’язку на фізичному рівні.

Методи захищеної передачі даних у безпровідних мережах відрізняються від тих що у провідних. Важко сказати які мережі безпечніші, адже при правильній організації мережі, використанню інструментів захисту, таких як: брандмауер, служби ідентифікації та керування правами доступу, використання SSL для передачі (шифрування), апаратне шифрування на рівні системи та ін.

Мета роботи: Аналіз методів передачі даних в захищених мережах.

1.     Тенденції розвитку безпровідних мереж

Мережі мобільного зв’язку стрімко розвиваються протягом останнього часу, що зумовлено великою популярністю смартфонів та планшетів на ринку обчислювальної техніки. Ця тенденція очікувано буде зберігатися у найближчому майбутньому, а також буде збільшуватися кількість пристроїв інтернет-речей та портативної носимої електроніки (смарт-годинники, фітнес-браслети, безпровідні гарнітури та кільця з RFID-чіпом для оплати). Відповідно, стрімке зростання обсягів трафіку у мережах мобільного зв’язку ставить нові вимоги до їх пропускної спроможності. Провідні компанії на ринку технології мереж мобільного зв’язку узгодили вимоги щодо підвищення інформаційної ємності у мережах п’ятого покоління. Ключовими факторами, які впливають на інформаційну ємність мереж мобільного зв’язку є кількість базових станцій, доступні ресурси спектру та спектральна ефективність каналів безпровідного зв’язку.

Отже у найближчому майбутньому очікується ріст максимальної пропускної здатності безпровідних мереж Wi-Fi та мобільних мереж. На даний час вже існують у вільному продажі пристрої з підтримкою новітніх стандартів: Wi-Fi 6, Bluetooth 5.1, 5G. Звичайно вони поки що не набули  масової популярності, але це питання часу.

2.     Загальна характеристика системи безпеки. Рівні захисту мережевих систем

Гарантувати безпеку даних покликаний адміністратор мережі. У великих мережах з цією метою передбачені спеціальні посади (security officers). Для гарантування безпеки даних розробляють багаторівневу систему захисту:

­  вбудовані засоби захисту – програмно-системні (паролі, права доступу);

­  фізичні засоби захисту – замки, двері, охорона, сигналізація тощо;

­  адміністративний контроль – організаційні заходи, накази адміністрації;

­  законодавство та соціальне оточення – закони про захист авторських та майнових прав, нетерпимість до комп'ютерного піратства.

3.     Рівні захисту інформаційних систем

Міністерство оборони США у книзі "Критерії оцінки безпеки комп'ютерів", (Оранжева книга), визначило сім рівнів безпеки комп'ютерних та мережевих систем. Ця розробка стала загальноприйнятою в світі для класифікації ступеня захищеності системи. Визначено такі рівні захисту:

­  D – рівень мінімального захисту (Minimal Protection). Зарезервовано для систем, які за іншими рівнями не гарантують потрібного рівня безпеки;

­  С1 – рівень вибіркового захисту (Discretionary Protection). Дає змогу користувачам застосовувати обмеження доступу для захисту приватної інформації;

­  С2 – рівень керованого доступу (Controlled Access Protection). Містить вимоги рівня С1, а також захист процесу реєстрації у системі, облік подій захисту, ізоляцію ресурсів різних процесів;

­  В1 – рівень захисту за категоріями (Labeled Protection). До вимог рівня С2 додається можливість захисту окремих файлів, записів у файлах, інших об'єктів системи спеціальними позначками безпеки, що зберігаються разом з цими об'єктами. Вважають, що подолати такий захист може добре підготовлений хакер, а звичайний користувач - ні;

­  В2 – рівень структурованого захисту (Structured Protection). До вимог рівня В1 додається повний захист усіх ресурсів системи прямо чи посередньо доступних користу­вачу. Вважають, що хакери не зможуть проникнути у систему з таким захистом;

­  В3 – рівень доменів безпеки (Security Domains). До вимог рівня В2 додається явна специфікація користувачів, яким заборонено доступ до певних ресурсів, повніша реєстрація потенційно небезпечних подій. Вважають, що навіть досвідчені зламщики не в стані подолати систему з таким рівнем безпеки;

­  А1 – рівень верифікованої розробки (Verified Design). Повний захист інформації. Специфіковані та верифіковані механізми захисту. Вважають, що у систему з таким рівнем захисту без дозволу не може проникнути ніхто (навіть спеціалісти спецслужб).

4.     Персональна ідентифікація

У деяких системах (наприклад, банківських чи податкових) потрібна ідентифікація не користувача, а фізичної особи. Розрізнюють кілька способів такої ідентифікації.

За персональними фізичними ознаками (біометрія). Знімають відбиток пальця, або геометрію руки, сітківку ока, зіницю, риси обличчя, а потім аналізують. Інший спосіб: система пропонує повторити певну кількість випадково ви­браних слів та аналізує особливості голосу.

За предметом, який особа-користувач носить з собою. Таким предметом може бути спеціальний значок, магнітна картка з кодом. Цей спосіб є дешевим, проте ненадійним, предмет можна підробити, вкрасти тощо.

За тим, що особа повинна знати або пам'ятати. Треба пам'ятати пароль або пра­вильно відповісти на низку запитань. Цей метод найдешевший і найпоширеніший, однак ненадійний (пароль можна підібрати, відповіді вгадати).

5.     Надання права на доступ, автентифікація і реєстрація підключень.

Безпека використання мережі забезпечується шляхом надання права на доступ, автентифікації і реєстрації підключень. Процес ідентифікації користувача називається автентифікацією. Сам процес автентифікації – порівняння переданої пари ідентифікаторів із записами таблиці, що знаходиться на сервері, – виконується відповідно до протоколу автентифікації по паролю (Password Authentication Protocol, PAP). Записи, що зберігаються, зашифровані, на відміну від передаваної пари ідентифікаторів, і це є слабкою стороною даного методу автентифікації.

Більш вдосконалена система запит-відповідь функціонує відповідно до протоколу автентифікації за запитом при встановленні зв'язку (Challenge Handshake Authentication Protocol, CHAP). Згідно цьому протоколу, агент автентифікації (ПЗ, що знаходиться на сервері) передає користувачеві ключ, за допомогою якого той шифрує своє ім'я і пароль і пересилає цю інформацію назад на сервер. Авторизація – процес надання користувачеві права доступу до засобів системи, під час якого ім'я користувача і призначений йому пароль записуються в спеціальну таблицю системи.

Широко поширена система, що забезпечує високий рівень захисту при автентифікації, система запит-відповідь, в якій використовуються смарт-карти.

Реєструючи спроби доступу до мережі, можна легко визначити, чи не намагався неавторизований користувач проникнути у систему, а також дізнатися, чи не втратив свій пароль хто-небудь з співробітників.

Важливим поняттям проблематики захисту даних у мережах є розпізнавання. Розпізнавання – це гарантування, що інформація (пакет) надійшла від законного джерела законному одержувачу.

Справді, однією з найпоширеніших практик зловмисників у мережах є перехоплення пакетів та підміна їх своїми або скерування їх іншому адресату. Тому всі сучасні мережеві протоколи, зазвичай, оснащені засобами розпізнавання. Одним з механізмів розпізнавання пакетів є розміщення у відправника та одержувача однакових генераторів псевдовипадкових чисел. Кожен пакет позначають псевдовипадковим числом, яке порівнюється з таким же числом одержувача.

Аналогічне завдання виконує електронний підпис - послідовність байтів, які формують спеціальними алгоритмами та автентичність яких можна перевірити.

Для розпізнавання використовують окремі сервери, які видають електронні сертифікати. Сервери сертифікації застосовують у всіх достатньо потужних операційних системах.

Одним з найвідоміших вирішень є система централізованого розпізнавання Kerberos (вона реалізована програмним шляхом та сумісна з усіма типами систем. Працює система у клієнт-серверній парадигмі. Вона складається з програм-клієнтів, розміщених на робочих станціях користувачів, та серверних програм. Є три типи серверних програм: сервер розпізнавання, сервер надання дозволів та сервер адміністрування. У процесі розпізнавання клієнта беруть участь перші два з цих серверів. Кожен сервер має свою сферу дії, визначену змістом його бази даних користувачів).

6.     Захищені з’єднання та віртуальні приватні мережі.

Одним із недоліків базового стеку протоколів мережі Internet є відсутність криптогра­фічного захисту та автентифікації передавань. Водночас такий захист потрібний у роботі корпоративних мереж, особливо для об'єднання мереж філій з головною мережею, а також для зовнішнього доступу у мережу з окремих комп'ютерів. Завдання захисту можна вирішити шляхом побудови окремої приватної мережі корпорації. Використання Internet є дешевою альтернативою побудові приват­них захищених мереж.

Для забезпечення захисту передавань через Internet розроблено велику кількість різноманітних протоколів, які розміщені на декількох рівнях, починаючи з прикладного і закінчуючи канальним. Можливості та обмеження окремих протоколів залежать від протокольного рівня, до якого вони належать. Наприклад, захищені протоколи прикладного рівня пов'язані з конкретним прикладним протоколом, і з іншими протоколами не працюють. Отже, сполучення інших протоколів є незахищеними.

Протоколи сеансового та рівня відображення надають сервіс всім прикладним протоколам, однак застосування, що працюють з ними, все одно доводиться переписувати, проставляючи звертання до захищеного протоколу, що незручно. Протоколи мережного рівня не потребують переписування застосувань і тому, напевно, найзручніші. Захищені протоколи канального рівня, відповідно, пов'язані з мережевими технологіями канального рівня, їх використовують для вирішення обмеженого кола завдань, таких як захист віддаленого доступу до корпоративної мережі.

Розглянемо головні протокольні рішення, які використовують для створення захищених сполучень:

SSL (Secure Socket Layer - рівень захищених сокетів). Щоб забезпечити можливість використовувати в операціях купівлі-продажу в мережі, корпорацією Netscape був розроблений протокол передачі закритих даних між web-серверами і web-браузерами.

SSL є протоколом рівня відображення, він надає протоколам прикладного рівня сервіс зі створення захищених застосувань. Цей протокол використовує протокольний стек TCP/IP. Відкритою реалізацією SSL є протокол TLS (Transport Layer Security- безпека транспортного рівня). По протоколу SSL відкритий ключ передається браузером через SSL-з'єднання. Потім він використовується для отримання з сервера секретного ключа, за допомогою якого шифруються дані. Протокол SSL підтримується всіма найбільш популярними браузерами.

SSL вирішує наступні задачі:

­   розпізнавання сервера на запит клієнта. Це особливо актуально, якщо клієнт передає конфіденційну інформацію, наприклад, номер кредитної картки;

­   розпізнавання клієнта на запит сервера;

­   захищене, зашифроване сполучення.

Другим протоколом, що визначає порядок захищеної передачі даних через мережу, є захищений HTTP – S-HTTP, на відміну від SSL, яким передбачається створення безпечного з'єднання між клієнтом і сервером, S-HTTP призначений для передачі індивідуальних повідомлень Цей протокол створює захищені канали на прикладному рівні, даючи змогу шифрувати повідомлення. Він пов'язаний з HTTP та кожне http-повідомлення шифрує окремо.

Повідомлення S-HTTP складається з трьох частин: HTTP-повідомлення та криптогра­фічних вимог відправника й одержувача. Відправник використовує відомі йому вимоги від­правника та одержувача для шифрування повідомлення, а одержувач–для його дешифрування.

S-HTTP не потребує отримання відкритого ключа клієнтом і використовує тільки метод роботи з симетричними ключами. Це дуже важливо, тому що уможливлює надсилання запиту клієнтом без попереднього отримання відкритого ключа (спонтанну комунікацію). Використання захи­щеного протоколу відображене у заголовках запиту та статусу відповіді. Водночас S-HTTP є достатньо гнучким та може застосовувати багато різноманітних механізмів шифрування й розпізнавання. Протокол S-HTTP передбачає попередню домовленість між відправником та одержувачем про параметри захищеного сполучення. Ще однією перевагою S-HTTP є змога використання електронного підпису. Можливе передавання і без шифрування, однак з підписуванням.

7.     Шифрування даних

При передачі інформації застосовуються два методи шифрування даних: з використанням секретного ключа і з використанням відкритого ключа. В першому випадку відправник і одержувач виконують шифрування і розшифровку повідомлення за допомогою одного і того ж ключа, в другому - із застосуванням двох ключів: відкритого, який відомий кожному і служить для шифрування даних, і секретного, відомого тільки одержувачеві повідомлення. При розшифруванні повідомлення виконуються складні математичні обчислення, в яких беруть участь обидва ключі.

В обох системах для шифрування і розшифровки даних застосовується операція додавання по модулю 2. Шифрування повідомлення виконується таким чином: спочатку з використанням ключа генерується псевдовипадковий потік даних, який потім складається по модулю 2 з відкритим текстом. Той же ключ використовується одержувачем повідомлення для його розшифровки.

З таблиці 1 видно, що при обміні даними виконується наступна послідовність дій: на передавачі для отримання потоку зашифрованих даних генерується псевдовипадковий рядок (PN-дані), який потім складається по модулю 2 з відкритим текстом. На приймачі за допомогою того ж ключа генеруються ті ж PN-дані, які складаються по модулю 2 з отриманими зашифрованими даними для отримання відкритого тексту.

Таблиця 13.1 – Шифрування і розшифровка даних

Головні проблеми системи шифрування з використанням секретного ключа пов'язані з адмініструванням і розподілом ключів. Оскільки обидві сторони, що беруть участь в обміні даними, використовують однаковий ключ, існує вірогідність того, що із збільшенням числа користувачів, що беруть участь в обміні, ключ перестане бути таємним. Крім того, великі проблеми виникають при адмініструванні і розподілі секретних ключів, оскільки для кожної пари (відправник і одержувач) потрібний свій секретний ключ. Внаслідок цих причин система шифрування з використанням секретного ключа не набула широкого поширення в середовищі World Wide Web. У системі з використанням відкритого ключа будь-який користувач, звертаючись на захищений web-вузол, отримує відкритий ключ, за допомогою якого шифрує свої дані і відправляє їх на вузол, де вони будуть розшифровані із застосуванням секретного ключа, який відомий тільки на цьому вузлів.

Системи з використанням секретного ключа називають також системами симетричної криптографії, оскільки для шифрування і розшифровки даних використовується один і той же ключ. Такі системи вважаються відносно нескладними в роботі і не вимагають виконання великого об'єму обчислень. Недоліки – проблеми, пов'язані з адмініструванням і розподілом ключів. Кожен ключ потрібно якимсь способом  передати одній або обом сторонам, що беруть участь в обміні даними. Системи шифрування з використанням відкритого ключа позбавлені проблем, пов'язаних з розповсюдженням ключа (відкритий ключ доступний для всіх), проте, як це нерідко буває, вирішення однієї проблеми породжує іншу. У цих системах при розшифровці повідомлень виконуються дуже складні математичні обчислення, де задіяні обидва ключі, як відкритий, так і секретний, що вимагає наявність на комп'ютері одержувача достатньо потужного процесора. В деяких випадках використовуються обидві системи – відкритий ключ застосовується для передачі другій стороні секретного ключа, за допомогою якого потім шифруються передаванні дані.

8.     Захист з використанням маршрутизаторів

Головною функцією, що виконується маршрутизаторами, була і залишається передача пакетів з однієї мережі в іншу. Але оскільки одна з цих мереж може бути приватною, а інша, скажімо, Інтернетом, маршрутизатори виступають в ролі першої лінії оборони, захищаючи дані закритої мережі.

Будь-який користувач, що має доступ до Інтернету, здатний проникнути в корпоративну мережу. Таким користувачем може бути потенційний покупець товарів, пропонованих через Інтернет, або просто цікава людина. Але, на жаль, це може бути і користувач, що намагається проникнути в корпоративну мережу з певною метою, їх саме прийнято називати хакерами. Для захисту корпоративних мереж застосовуються різні методи і використовуються різні типи мережного обладнання. Одним з таких методів захисту є обробка списку доступу, що виконується на маршрутизаторі.

9.     Списки доступу

Список доступу АСL (Access Control List) містить декілька операторів, призначених для управління потоком пакетів, які приходять на порт маршрутизатора. Більшість виробників маршрутизаторів підтримують два типи списків доступу: стандартний і розширений.

Стандартні списки доступу. У стандартному, або базисному, списку доступу є один або більше  операторів, що складаються з IP-адреси джерела і ключового слова permit або deny. Під час вступу пакету на порт маршрутизатора, де задіяна функція захисту за списком доступу, перевіряється IP-адреса джерела. Якщо вона співпадає з адресою, що міститься в операторові списку доступу, і в цьому операторові вказано ключове слово permit, маршрутизатор пропускає пакет в мережу, що захищається. Але якщо в операторові вказано ключове слово deny, пакет відкидається.

У маршрутизаторах Cisco стандартний список доступу має наступний формат: access-list номер_списку {permit/deny} IP-адреса маска_адреси. Номером списку може бути будь-яке значення з діапазону від 1 до 99, що ідентифікує групу операторів, що належать одному списку доступу. Маска адреси, що складається з 32 біт, вказаних в десятковому вигляді, служить як спеціальний оператор, що ідентифікує конкретну IP-адресу або групу адрес. На відміну від маски підмережі значення бітів маски адреси трактуються протилежним чином. Тобто біти, що мають значення 0, повинні співпадати з бітами, що знаходяться на цих же позиціях в адресі, що перевіряється, а біти, що мають значення 1, можуть не співпадати.

Списки доступу на маршрутизаторах, на жаль,  не завжди  ефективні. Існує можливість імітувати з'єднання і тим самим подолати бар'єр, встановлений за допомогою списку доступу. З таким методом злому можна боротися, заборонивши, наприклад, пропуск всіх пакетів, але це рівносильне відключенню від Інтернету. Крім того, при фільтрації пакетів за допомогою списків доступу не перевіряється їх вміст. Це означає, що хто-небудь може спробувати проникнути в закриту призначену для користувача групу на сервері шляхом послідовного перебору різних паролів. Дана технологія злому називається атакою із словником. Для подолання подібних проблем були розроблені пристрої мережного захисту ще одного типу – брандмауери.

Однією з функцій брандмауера, є вибіркове шифрування, що дозволяє шифрувати тільки ті дані, які на шляху до пункту призначення проходять через певні мережі, залишаючи інші дані незашифрованими. Використовуючи вибіркове шифрування і автентифікацію, можна створити логічний тунель, що з'єднує віддалені мережі організації через Інтернет. Створювані таким чином VPN стали альтернативою дорогим виділеним лініям.

Висновки. Оглянуті методи захисту інформації відповідають сучасним вимогам. Використання застарілих протоколів шифрування чи передачі інформації – небезпечно. Для протидії з неавторизованим доступом до безпровідної мережі використовується метод аутентифікації, який здійснюється між клієнтськими пристроями і точками доступу. У провідних необхідно на фізичному рівні забезпечити недоступність для сторонніх осіб.

захищені мережі, передача даних, інтернет, брандмауер, SSH, SSL, HTTPS, ключі доступу, безпека даних.