Протокол аутентификации

ПРОТОКОЛЫ СЕТЕВОЙ БЕЗОПАСНОСТИ.

ЛЕКЦИЯ №6.

PPTP – туннельный протокол «точка-точка» является расширением протокола PPP. Данный протокол является стандартным встроенным (клиент удаленного доступа Windows XP).

L2PP. Более современный протокол, образовавшийся в результате объединения двух протоколов L2F и L2TP и обеспечивает более защищенное соединение. Также является встроенным.

При автоматическом определении типа подключения клиент пытается соединиться с сервером по данному протоколу, далее передает управление пользователю. Это более предпочтительнее с точки зрения безопасности.

SKIP управляет ключами шифрования и обеспечивает для приложения прозрачную криптозащиту IP-пакета. Данный протокол предусматривает самостоятельное формирование противоположными сторонами общего секретного ключа на основе ранее распределенных или переданных друг другу открытых ключей сторон. Выборка общего секретного ключа осуществляется в рамках протокола Диффи-Хелмана. Общий секретный ключ не используется для шифрования трафика между узлами.

Для шифрования конкретного пакета передающая сторона вырабатывает случайный временный пакетный ключ. Далее выполняются следующие действия:

1) исходный IP-пакет шифруется на пакетном ключе и инкапсулируется в защищенный SKIP-пакет

2) пакетный ключ шифруется на общем секретном ключе и помещается в SKIP-заголовок

3) полученный SKIP-пакет инкапсулируется в результирующий IP-пакет

4) для результирующего IP-пакета с помощью некой криптографической функции кэширования рассчитывается на пакетном ключе иммитовставка

Применение для криптозащиты трафика не общего секретного ключа, а случайного пакетного повышается безопасность защищенного туннеля. Это связано с тем, что долговременный секретный ключ не сможет быть определен на основании анализа трафика, т.к. вероятный противник не будет иметь достаточно материала для проведения быстрого криптоанализа.

CHAP – аутентификация пользователя при подключении по PPP-соединениям. Генерирует случайное число и шифрует его на клиентскую машину в качестве пароля пользователя, затем передает зашифрованный блок на сервер.

Radius – протокол проверки аутентичности пользователя функционирующий между граничными сетевыми устройствами и сервером аутентификации, хранящим базу данных паролей. В качестве дополнительной функции в протоколе есть возможность собирать данные статистики работы пользователей.

TACACS – протокол проверки аутентичности пользователя с возможностью авторизации каждой его команды, выполненной терминальной сессией. Функционирует между компьютером, в котором открыта эта сессия и сервером аутентификации, хранящим базу данных паролей и список разрешений и запретов для каждого пользователя на выполнение той или иной терминальной сессии.

Socks – универсальный протокол для прокси-серверов, выполняющих функции обычного прокси-сервера с возможностью аутентификации пользователя и открытия от его имени прокси-соединений на любой тип серверов.

SSL – протокол, реализующий прозрачную для приложений прослойку между интерфейсом и более высокими уровнями модели OSI. Обеспечивает конфиденциальность и целостность сетевого трафика.

IPSec – тоже самое, что SSL, только на сетевом уровне.

Протоколы управления криптографическими ключами:

1) TSAKMP – протокол управления ключами

2) OAKCLY – в алгоритме Диффи-Хелмана

В системах, основанных на протоколах TACACS и Radius администратор может управлять базой данных идентификаторов и паролей пользователей, предоставлять им привилегии доступа и нести учет обращений к системным ресурсам в рамках данных протоколов. Сервер аутентификации может иметь как собственную базу данных, так и использовать службу каталогов. Сервер аутентификации обычно использует роль посредника во взаимодействии между серверами удаленного доступа и центральной базой данных системы защиты.

Централизованный контроль удаленного доступа к ресурсам сети выполняется с помощью специализированных протоколов (TACACS и Radius). Эти протоколы объединяют серверы удаленного доступа и серверы аутентификации в единую подсистему, и соединяет их с центральной базой данных. Сервер аутентификации в данном случае создает единую точку наблюдения и проверки всех удаленных пользователей и контролирует доступ к ресурсам с заданными правилами.

Дата добавления: 2014-01-07