Защита на транспортном уровне

Для защиты на транспортном уровне применяются протоколы TLS и SSL. Особенностью защиты на данном уровне является независимость от при- кладного уровня, однако чаще всего технология применяется для защиты дан- ных, передаваемых по протоколу HTTP (режим HTTPS).

Подробнее  рассмотрим  функционирование протокола  SSL.  Протокол часто применяется для установки защищенного соединения, когда пользова- тель, обратившийся к web-серверу, передает или получает конфиденциальные сведения, например об объеме и стоимости покупки в Интернет-магазине, ли- бо  получает статистику своих соединений у  Интернет-провайдера. В  этом случае web-клиент, например Internet Explorer, автоматически переходит в за- щищенный режим, о чем свидетельствует пиктограмма «замок» в правой ниж- ней части окна.

Рис. 5.37. Сетевой пакет с сертификатом открытого ключа сервера

Протокол SSL предусматривает функции аутентификации, шифрования данных и обеспечения целостности данных. Аутентификация осуществляется путем обмена цифровыми сертификатами при установлении соединения (сес- сии). Так как web-сервер обычно принимает запросы от произвольных клиен-

тов, то чаще всего аутентифицируется только сервер. Для шифрования дан- ных применяется стандартный для VPN-соединений подход: для шифрования данных применяется симметричный сеансовый ключ. Обмен симметричными сеансовыми ключами происходит при установлении соединения, при передаче сеансовые ключи шифруются с помощью открытых ключей. Для обеспечения целостности к сообщению добавляется его хэш-код.

Рассмотрим этапы установки SSL-соединения. Сначала устанавливается стандартное TCP-соединение с портом сервера 443. Далее клиент передает со- общение «Client-Hello»,   в котором сообщает поддерживаемую им версию

протокола SSL и случайную последовательность «Challenge_Data». В ответ сервер передает сообщение «Server-Hello», в котором указывает версию SSL, идентификатор соединения «Connection_id», список базовых шифров (прото-

колов) и сертификат сервера (подписанный открытый ключ).

Цель  следующего  сообщения,  отправляемого  клиентом  (сообщение

«Client_Master_Key»), — передача симметричного сеансового ключа, зашиф-

рованного открытым ключом сервера. Таким образом, только сервер может расшифровать переданный симметричный ключ.

Рис. 5.38. Зашифрованный HTTP-трафик

Получив ключ, сервер зашифровывает этим ключом отправленную  ра-

нее последовательность «Challenge_Data» и передает ее в сообщении «Server-

Verify». Получив и расшифровав данное сообщение, клиент уверен, что сеан- совый ключ получен и расшифрован сервером правильно. Для того чтобы сервер также мог убедиться в правильности полученного им сеансового клю- ча,   клиент   зашифровывает   этим   ключом   идентификатор   соединения

«Connection_id», полученный от сервера, и передает его в сообщении «Client- Finished».

Таким образом, соединение установлено, сервер проверен, сеансовый ключ передан. Теперь весь трафик может передаваться в зашифрованном ви- де. Для внешнего наблюдателя виден трафик, идущий по 443 TCP-порту  ме-

жду двумя узлами с известными IP-адресами.

Предположим, нам необходимо организовать защищенный обмен ин- формацией между web-сервером и произвольным клиентом. Для организации воспользуемся ОС Windows Server 2003, в качестве web-сервера будем ис- пользовать встроенный в ОС компонент IIS (Internet Information Services).

Поставленная задача разбивается на три этапа: активизация IIS, генера-

ция   сертификата   открытого   ключа   для   web-севера   и   настройка   SSL-

соединения.

Источник: Андрончик А. Н., Богданов В. В., Домуховский Н. А., Коллеров А. С., Синадский Н. И., Хорьков Д. А., Щербаков М. Ю., Защита информации в компьютерных сетях. Практический курс