Какой из протоколов не является защищенным

Обновлено: 25.06.2024

Чтобы двое людей могли разговаривать, они должны владеть одним и тем же языком. Однако им не требуется строго придерживаться грамматике и формальных языковых структур, чтобы понимать друг друга. Для обмена информации между компьютерами все должно быть четко определено и структурировано. Поэтому следует использовать стандарты передачи и обработки различных видов информации. Протоколы установлены международным соглашением и гарантируют обмен информацией между любыми компьютерами в любом месте. Существует множество различных протоколов для различных нужд и типов информации.

IP, ICMP, TCP и UDP

IP (Internet Protocol – интернет протокол) и TCP (Transmission Control Protocol – протокол управления передачей) — это два совершенно различных протокола, которые обычно связывают друг с другом. Часто употребляются комбинации сразу нескольких протоколов, так как функции различных протоколов могут быть совмещены таким образом, чтобы получить решение поставленной задачи. В комбинации каждый протокол выполняет операции на своем уровне.

При передачи информации по интернету, её разбивают на мелкие части – интернет пакеты, которые передаются независимо друг от друга. Это существенно ускоряет передачу информации за счет того, что различные части могут передаваться по разным маршрутам, после чего вновь собираются на месте получения в единое целое. Это также мера предотвращения потери информации в процессе передачи. Протокол TCP отвечает за создание интернет пакетов и из обратную сборку в нужном порядке в месте получения, а также проверяет целостность информации. Если часть пакетов утеряна в процессе передачи, они передаются повторно.

Интернет протокол (IP) используется для доставки информации по нужному адресу. Каждый компьютер, который имеет подключение к интернету имеет свой уникальный адрес – IP-адрес. Каждый отправленный пакет содержит адрес доставки. Интернет пакет может пройти через много маршрутизаторов прежде, чем достигнет своего места назначения. Интернет протокол отвечает за маршрутизацию пакета к указанному компьютеру. IP не создает физических подключений между компьютерами. Он может быть использован совместно с другими протоколами, которые создают подключения.

Для передачи малых кусков информации можно использовать протокол UDP (User Datagram Protocol – протокол пользовательских дейтаграмм). Он также используется совместно с интернет протоколом, но намного проще чем TCP. В отличии от TCP, UDP не гарантирует доставку пакетов в нужной последовательности и не дублирует передачу утерянных пакетов, соответственно он потребляет меньше системных ресурсов, а скорость передачи существенно выше. Он применяется в приложениях которым, требуется большая пропускная способность линий связи, либо малое время доставки данных, например для аудио или видео связи.

Почтовые протоколы – SMTP, POP, IMAP

Для передачи и получения электронной почты требуются свои собственные протоколы. Почту обычно отправляют по протоколу SMTP (Simple Mail Transfer Protocol – простой протокол передачи почты). Его также используют для передачи почты между почтовыми серверами. При настройке почтовых клиентов (например, Outlook Express) требуется указывать адрес SMTP сервера. Для получения почты с сервера почтового ящика почтовые клиенты обычно используют протокол POP (Post Office Protocol – протокол почтового отделения). На текущий момент действует его третья редакция (версия), которая называется POP3 (Post Office Protocol Version 3 – протокол почтового отделения, версия 3). Для возможности получения почты при настройке в почтовом клиенте необходимо указать адрес POP3 сервера. Адреса SMTP и POP3 серверов могут совпадать, а могут и не совпадать, их следует уточнить у почтового провайдера. Протоколы SMTP и POP3 работают совместно с TCP протоколом для передачи и доставки почты через интернет.

Существует и более функциональный, но менее известный протокол для чтения электронной почты – IMAP (Internet Message Access Protocol – протокол доступа к электронной почте интернета). Данный протокол позволяет получить доступ к письмам хранящимся в почтовом ящике на сервере без необходимости загрузки её на локальный компьютер. Это очень удобно, когда требуется доступ к письмам почтового ящика с нескольких компьютеров. IMAP также работает совместно с протоколом TCP.

Протокол передачи файлов – FTP

Протокол передачи файлов (FTP – File Transfer Protocol) предназначен для передачи файлов в компьютерных сетях с одного компьютера на другой. Он обеспечивает возможность простого управления файлами на удаленном компьютере. Это достаточно старый протокол, который был введен в эксплуатацию до всемирной паутины (WWW – World Wide Web). В настоящее время он используется в основном для загрузки файлов на веб сервера, однако существуют и файловые хранилища, работающие по протоколу FTP. Он работает совместно с протоколом TCP. Адреса URL использующие FTP протокол начинаются с „ftp:”.

Общая черта этих протоколов видна в реализации организации защищенного многопротокольного удаленного доступа к ресурсам сети через открытую сеть. Для передачи конфиденциальной информации из одной точки в другую сначала используется протокол РРР, а затем уже протоколы шифрования.

Протокол PPTP

Протокол PPTP определяет реализацию криптозащищенного туннеля на канальном уровне OSI. В свое время операционные системы Win NT/2000 поддерживали этот протокол. Сегодня его поддерживают многие межсетевые экраны и VPN. PPTP отлично работает с протоколами Ip, IPX или NETBEUI. Пакеты, которые передаются в сессии PPTP, имеют следующую структуру (рис.1).

Рисунок — 1, структура пакета для передачи по туннелю PPTP

Универсальность этого протокола отлично подходит для локальных сетей, где реализованы протоколы IPX или NetBEUI. Для таких сетей уже невозможно использовать IPSec или SSL.

Архитектура протокола PPTP видна на рис.2. Схема туннелирования при прямом соединении компьютера удаленного пользователя к Интернету видно на рис.3.

Рисунок — 2, архитектура протокола PPTP

Рисунок — 3, схема туннелирования при прямом подсоединении компьютера

Протокол L2TP и L2f

Протокол L2TP основан на протоколе L2F, который был создан компанией Cisco Systems, как альтернатива протоколу PPTP. L2F — старая версия L2TP. Протокол L2TP был создан как протокол защищенного туннелирования PPP-трафика через сети с произвольной средой. Этот протокол не привязан к протоколу IP, а поэтому может работать в сетях ATM или же в сетях с ретрансляцией кадров. Архитектура протокола видна на рис.4.

Рисунок — 4, архитектура протокола L2TP

L2TP являет собой расширение протокола PPP с возможностью аутентификации удаленных пользователей, реализации защищенного виртуального коннекта и управления потоком информации.

Протокол L2TP использует для передачи данных UDP. На рис.5 видна структура пакета для передачи по туннелю L2TP.

Рисунок — 5, структура пакета для передачи по туннелю L2TL

Протокол L2TP использует схемы, где туннель создается между сервером удаленного доступа провайдера и маршрутизатором локальной сети. Также протокол может открывать несколько туннелей, каждый из которых может использоваться для конкретного приложения. Протокол PPTP не имеет такой возможности. В роли сервера удаленного доступа провайдера должен быть концентратор доступа LAC, который создает клиентскую часть протокола L2TL и реализует удаленному пользователю доступ к локальной сети через интернет. Схема показана на рис.6.

Рисунок — 6, схема туннелирования по протоколу L2TL

Соединение реализуется в 3 этапа:

1 этап: установка соединения с сервером удаленного доступа локальной сети. Пользователь создает PPP-соединение с провайдером ISP. Концентратор доступа LAC принимает соединение, и создает канал PPP. Также концентратор выполняет аутентификацию пользователя и конечного узла. На основе имя пользователя, провайдер ISP решает, нужно ли ему туннель на основе L2TP, если нужно — создается туннель.
2 этап: сервер LSN локальной сети реализует аутентификацию пользователя. Для этого может быть использован любой протокол аутентификации пользователя.
3 этап: при успешной аутентификации, создается защищенный туннель между концентратором доступа LAC и сервером LNS локальной сети.

Протокол L2TP работает поверх любого транспорта с коммуникацией пакетов. Также L2TP не определяет конкретные методы криптозащиты.

Протоколы защиты на сетевом уровне

протокол IPSec

Главная задача протокола IPSec это реализация безопасности передачи информации по сетям IP. IPSec гарантирует:

целостность — при передачи данные не будут искажены, дублированы и потеряны
конфиденциальность — предотвращает от несанкционированного просмотра
аутентичность отправителя

Доступность — протокол не реализует, это входит в задачу протоколов транспортного уровня TCP. Реализуемая защиты на сетевом уровне делает такую защиту невидимой для приложений. Протокол работает на основе криптографических технологий:

Протокол IPSec имеет следующие компоненты:

Компоненты ESP и АН, работают с заголовками и взаимодействуют с базами данных SAD и SPD для обозначения политики безопасности для данного пакета
Компонент обмена ключевых данных IKE
SPD — база данных политик безопасности
SAD — хранит список безопасных ассоциаций SA для исходящей и входящей информации

Ядро протокола IPSec составляет 3 протокола: AH (протокол аутентифицирующего заголовка), ESP (протокол инкапсулирующей защиты) и IKE (протокол согласования параметров управления ключами и виртуального канала). Архитектура стека протоколов IPSec показана на рис.7.

Рисунок — 7, архитектура стека протоколов IPSec

Протокол АН ответственен только за реализацию аутентификации и целостности информации, в то время как протокол ESP и реализует функции АН и алгоритмы шифрования. Протоколы IKE, AH и ESP работают следующим образом.

С помощью протокола IKE создается логическое соединение между 2 точками, которое имеет название безопасная ассоциация SA. При реализации такого алгоритма, происходит аутентификация конечных точек линии, и выбираются параметры защиты информации. В рамках созданной безопасной ассоциации SA стартует протокол AH или ESP, которые реализуют нужную защиту и передачу данных.

Нижнй уровень архитектуры основан на домене интерпретации DOI. Протоколы AH и ESP основаны на модульной структуре, разрешая выбор пользователю относительно используемых алгоритмов шифрования и аутентификации. Именно DOI согласует все моменты, и адаптирует IPSec под выбор пользователя.

Формат заголовка пакета AH и ESP показаны на рис.8. Протокол АН защищает весь IP-пакет, кроме полей в Ip-заголовке и поля TTL и типа службы, которые могут модифицироваться при передаче в сети.

Рисунок — 8, формат заголовков AH и ESP

Рисунок — 9, режимы применения заголовка АН

Рисунок — 10, режимы применения ESP

IPSec разрешает защитить сеть от множества сетевых атак, откидывая чужие пакеты до того, как они дойдут к уровню IP на узле. На узел могут войти те пакеты, которые приходят от аутентифицированных пользователей.

Протоколы защиты на сеансовом уровне

Сеансовый уровень — самый высокий уровень, на котором можно создать защищенный виртуальных канал.

Протоколы SSL и TLS

Сразу нужно отметить, что это один и тот же протокол. Сначала был SSL, но его однажды взломали. Его доработали и выпустили TLS. Конфиденциальность реализуется шифрованием данных с реализацией симметричных сессионных ключей. Сессионные ключи также шифруются, только на основе открытых ключей взятых из сертификатов абонентов. Протокол SSL предполагает следующие шали при установки соединения:

аутентификация сторон
согласование криптоалгоритмов для реализации
создание общего секретного мастер-ключа
генерация сеансовых ключей на основе мастер-ключа

Процесс аутентификации клиента сервером с помощью протокола SSL виден на рис.11.

К недостаткам TLS и SSL относят то, что они работают только с одним протоколом сетевого уровня — IP.

Протокол SOCKS

Протокол SOCKS реализует алгоритмы работы клиент/серверных связей на сеансовом уровне через сервер-посредник или прокси-сервер. Изначально этот протокол создавался для перенаправления запросов к серверам от клиентских приложений, и возврата ответа. Такой алгоритм уже разрешает создавать функцию трансляции сетевых IP-адресов NAT. Замена у исходящих пакетов внутренних IP-адресов отправителей разрешает скрыть топологию сети от 3 лиц, тем самым услажняя задачу несанкционированного доступа.

С помощью этого протокола межсетевые экраны и VPN могут реализовывать безопасное соединение между разными сетями. Также с помощью этого протокола, можно управлять этими системами на основе унифицированной стратегии. Относительно спецификации протокола SOCKS разделяют SOCKS-сервер, который ставят на шлюзы сети, и SOCKS-клиент, который ставят на конечные узлы.

Схема создания соединения по протоколу SOCKS v5 описана следующими шагами:

Запрос клиента перехватывает SOCKS-клиент на компьютере
После соединения с SOCKS-сервером, SOCKS-клиент отправляет все идентификаторы всех методов аутентификации, которые он может поддержать
SOCKS-сервер выбирает один метод. Если сервер не поддерживает ни один метод, соединение разрывается
Происходит процесс аутентификации
После успешной аутентификации SOCKS-клиент отправляет SOCKS-серверу IP или ВТЫ нужного узла в сети.
Далее сервер выступает в роли ретранслятора между узлом сети и клиентом

Схема работы по протоколу SOCKS показана на рис.12. Также SOCKS-серверу можно прописывать правила на контроль доступа к внешней сети шлюза. Подходят все правила, которые работают на обычном межсетевом экране.

Рисунок — 12, схема работы по протоколу socks

Протоколы защиты прикладного уровня

Протокол SSH

SSh — это протокол разрешающий реализовывать удаленное управление ОС и туннелирование ТСР-соединений. Протокол похож на работу Telnet, но в отличии от них, шифрует все, даже пароли. Протокол работает с разными алгоритмами шифрования. SSH-соединение может создаваться разными способами:

реализация socks-прокси для приложений, которые не умеют работать с ssh-туннелями
VPN-туннели также могут использовать протокол ssh

Обычно протокол работает с 22 портом. Также протокол использует алгоритмы электронно-цифровой подписи для реализации аутентификации. Также протокол подразумевает сжатия данных. Сжатие используется редко и по запросу клиента.

Советы по безопасности реализации SSH:

запрещение подключение с пустым паролем
выбор нестандартного порта для ssh-сервера
использовать длинные ключи более 1024 бит
настроить файервол
установка IDS

Рисунок — 13, ssh

В основе функционирования интернета лежит работа различных протоколов (TCP, IP и других). Все они работают сообща и каждый из них выполняет конкретную функцию.

В 1995 году был внедрён SSL (англ. Secure Sockets Layer) — криптографический протокол, обеспечивающий безопасную связь между пользователем и сервером. Благодаря его работе можно было безопасно передавать информацию или обмениваться данными. Однако в 2014 году в его работе обнаружили уязвимости. И на основе SSL 3.0 был разработан новый стандарт — TLS.

Протокол TLS (англ. Transport Layer Security) — криптографический протокол, который обеспечивает защищённый обмен данными между сервером и клиентом. Протокол работает на трёх уровнях защиты:

отвечает за конфиденциальность передаваемых от компьютера к компьютеру данных,
проводит аутентификацию,
следит за целостностью передаваемой информации.

При разработке были учтены и исправлены все ошибки предшественника. В отличие от SSL новый протокол регулярно обновляется и продолжает развитие. В настоящее время для защиты соединения применяется только TLS-протокол. Поэтому, когда речь идёт о протоколе SSL, на самом деле подразумевается протокол TLS.

Защита данных c SSL

Параметры безопасности протокола TLS

Любое действие в сети представляет собой обмен данными между компьютером (сервером) пользователя и сервером, на котором хранится информация. При каждом вводе запроса в поисковую строку, авторизации в аккаунте или переходе с одной страницы сайта на другую, пользователь и сервер взаимодействуют друг с другом. Такие взаимодействия называются транзакциями, а их совокупность — сессией. TLS отвечает за безопасность транзакций и сессии в целом.

Протокол TLS обеспечивает защиту в три этапа:

Handshake,
False Start,
Chain of trust.

На этапе TLS Handshake (рукопожатие) происходит согласование параметров соединения (версии протокола, способа шифрования и соединения) между клиентом и сервером. Для этого используется обмен ключами по алгоритму RSA:

Для каждой такой проверки требуется большое количество вычислительных ресурсов. Чтобы не устанавливать новое соединение и не проверять сертификат повторно каждую транзакцию, была разработана процедура TLS False Start.

TLS False Start (фальстарт) — процедура возобновления сессии. Если транзакции выполняются в пределах одной запущенной сессии, данный этап позволяет пропустить процедуру Handshake. Протокол повторно использует те данные, которые уже были обработаны и подтверждены в начале сессии. При этом каждая сессия имеет свой срок жизни. Как только срок сессии истекает, с помощью TLS Handshake запускается новая сессия.

Таким образом, при передаче данных сначала вызывается процедура Handshake или False Start, которая согласовывает параметры, а затем Chain of trust, которая обеспечивает аутентификацию (проверку авторства передаваемой информации). Подробнее о принципах работы TLS читайте в официальной документации Datatracker.

Влияние SSL/TLS на SEO

SEO (Search Engine Optimization, поисковая оптимизация) – это всестороннее развитие и продвижение сайта для его выхода на первые позиции в результатах выдачи поисковых систем (SERPs). Поисковая оптимизация способствует увеличению посещаемости сайта.

Установка SSL/TLS

Если вам не удалось создать защищенный канал SSL/TLS или у вас возникли проблемы с настройкой протокола SSL, обратитесь за помощью к нашим специалистам через заявку в службу поддержки.

Проверка сайта на SSL/TLS

Помимо быстрой проверки через поисковую строку браузера, любой сайт можно дополнительно проверить на наличие безопасного соединения через специальные сервисы. В статье Как проверить SSL-сертификат мы подробно рассказали про самые популярные сервисы проверки. С их помощью также можно точно определить, по какому протоколу работает сайт.

Рассмотрим вариант проверки сайта с помощью сервиса SSL Server Test. Для этого:

В открытом доступе был размещен проект постановления Правительства Российской Федерации “О порядке принятия национальным органом по аккредитации решения о признании недействительными результатов деятельности испытательных лабораторий”.

Под результатами деятельности испытательной лаборатории в настоящем проекте следует понимать документы, выданные испытательными лабораториями (центрами), аккредитованными в национальной системе аккредитации, в результате их деятельности (протокол испытаний / отчет об испытаниях).

В соответствии с проектом решение о признании недействительным отчета испытательной лаборатории принимается национальным органом по аккредитации (Росаккредитацией). Сведения о признании недействительными результатов деятельности испытательных лабораторий будут вноситься Росаккредитацией во ФГИС.

Основания для признания отчетов испытательных лабораторий недействительными:

а) несоответствие отчета испытательной лаборатории обязательным требованиям к отчетам, установленным законодательством Российской Федерации о техническом регулировании, законодательством Российской Федерации об аккредитации в национальной системе аккредитации, нормативными документами и правом Евразийского экономического союза;

б) выдача испытательной лабораторией отчета без фактического проведения исследований (испытаний) и измерений, экспертизы или иных видов работ;

в) установление факта отсутствия испытательной лаборатории по месту или местам осуществления деятельности, указанным в реестре аккредитованных лиц;

г) проведение испытательной лабораторией исследований (испытаний) и измерений, иных видов работ вне области аккредитации;

д) проведение испытательной лабораторией исследований (испытаний) и измерений, иных видов работ в период приостановления действия аккредитации;

ж) наличие в реестре сертификатов соответствия и деклараций о соответствии сведений о признании сертификата соответствия или декларации о соответствии, выданных на основании отчета испытательной лаборатории, недействительными в связи с нарушением процедур, связанных с проведением исследований (испытаний) и измерений и (или) выдачей отчета испытательной лаборатории;

з) прекращение действия аккредитации в случае, если в ходе контрольного (надзорного) мероприятия установлены факты, указанные в пунктах 5 и (или) 8 части 1 статьи 22 Федерального закона от 28.12.2013 № 412-ФЗ “Об аккредитации в национальной системе аккредитации”;

и) неисполнение аккредитованным лицом (или лицом, чья аккредитация была прекращена) решения национального органа по аккредитации о признании недействительными результатов своей деятельности в качестве аккредитованного лица;

к) проведение исследований (испытаний) и измерений продукции не в полном объеме, с нарушением методик исследований (испытаний) и измерений или с использованием ненадлежащих методов испытаний, с применением ненадлежащего испытательного оборудования, неутвержденного типа или непроверенных средств измерений.

Следует отметить, что в случае наличия оснований, предусмотренных пунктами “в”, “ж”, “з”, “и”, признанию недействительными подлежат все отчеты, выданные испытательной лабораторией за период со дня завершения предшествующей процедуры подтверждения компетентности или контрольного (надзорного) мероприятия (в зависимости от того, что наступило позднее), по результатам которых не было выявлено соответствующих случаев. Во всех остальных случаях недействительными признаются только отчеты (протоколы), в отношении которых выявлены соответствующие случаи.

Отчет испытательной лаборатории должен быть признан недействительным с даты его выдачи испытательной лабораторией.

Выявлять основания для признания отчетов недействительными предлагается посредством:

– проведения контрольных (надзорных) мероприятий;

– выявления подобных оснований в рамках прохождения аккредитованным лицом процедуры подтверждения компетентности;

– структурного, форматно-логического и иных видов контроля соответствия сведений, содержащихся в едином реестре.

В случаях признания отчетов испытательных лабораторий недействительными предлагается информировать саму испытательную лабораторию, органы по сертификации, выдавшие сертификаты соответствия или зарегистрировавшие декларации о соответствии на основании признанных недействительными отчетов испытательной лаборатории, органы государственного контроля (надзора) за соблюдением требований технических регламентов и заявителей.

Общественное обсуждение проекта проходит с 12 по 30 апреля 2021 года.

О Порядке принятия национальным органом

по аккредитации решения о признании недействительными документов, выданных аккредитованными испытательными лабораториями в результате их деятельности

В соответствии с пунктом 2 статьи 31 Федерального закона

1. Утвердить прилагаемый Порядок принятия национальным органом по аккредитации решения о признании недействительными документов, выданных аккредитованными испытательными лабораториями в результате их деятельности (далее – Порядок).

2. До 1 марта 2022 г. информирование о признании отчетов испытательных лабораторий недействительными, предусмотренное пунктом 11 Порядка, может осуществляться заказным почтовым отправлением с уведомлением о вручении или на адрес электронной почты, указанный в реестре аккредитованных лиц или при оформлении документа об оценке соответствия.

3. Настоящее постановление вступает в силу с 1 сентября 2021 года.

Российской Федерации М.Мишустин

принятия национальным органом

I. Общие положения

1. Настоящий Порядок определяет случаи и правила принятия национальным органом по аккредитации решения о признании недействительными документов, выданных испытательными лабораториями (центрами), аккредитованными в национальной системе аккредитации (далее – испытательная лаборатория), в результате их деятельности, в том числе порядок информирования заинтересованных лиц о принятом решении национального органа по аккредитации.

2. Для целей настоящего Порядка под документом, выдаваемым испытательной лабораторией в результате ее деятельности, понимается отчет об испытаниях (протокол испытаний), выданный испытательной лабораторией, выполняющей работы по исследованиям (испытаниям) и измерениям в области аккредитации, указанной в реестре аккредитованных лиц, а также документ, выданный испытательной лабораторией по итогам проведения экспертизы или иных видов работ, в отношении которых законодательством Российской Федерации о техническом регулировании или правом Евразийского экономического союза установлено требование о проведении таких работ испытательной лабораторией (далее – отчет испытательной лаборатории).

3. Признание недействительным отчета испытательной лаборатории осуществляется путем принятия соответствующего решения руководителем (уполномоченным лицом) национального органа по аккредитации.

Случаи признания недействительными отчетов
испытательной лаборатории

4. Решение о признании недействительным отчета испытательной лаборатории принимается национальным органом по аккредитации
в следующих случаях:

б) выдача испытательной лабораторией отчета без фактического проведения исследований (испытаний) и измерений, экспертизы или иных видов работ, в отношении которых законодательством Российской Федерации о техническом регулировании или правом Евразийского экономического союза установлено требование о проведении таких работ испытательной лабораторией (далее – иные виды работ);

г) проведение испытательной лабораторией исследований (испытаний) и измерений, иных видов работ вне области аккредитации, определенной при аккредитации, расширении, сокращении
или актуализации области аккредитации;

д) проведение испытательной лабораторией исследований (испытаний) и измерений, иных видов работ и (или) выдача испытательной лабораторией отчета в период приостановления действия аккредитации
в национальной системе аккредитации;

е) проведение исследований (испытаний) и измерений, иных видов работ и (или) выдача отчета испытательной лабораторией, не включенной в единый реестр органов по оценке соответствия Евразийского экономического союза, в случаях, когда в соответствии с законодательством Российской Федерации о техническом регулировании, законодательством Российской Федерации об аккредитации в национальной системе аккредитации или правом Евразийского экономического союза для проведения исследований (испытаний) и измерений, иных видов работ испытательная лаборатория должна быть включена в единый реестр органов по оценке соответствия Евразийского экономического союза;

к) проведение испытаний исследований (испытаний) и измерений продукции не в полном объеме, с нарушением методик исследований (испытаний) и измерений или с использованием ненадлежащих методов испытаний, с применением ненадлежащего испытательного оборудования, неутвержденного типа или неповеренных средств измерений.

III. Правила принятия национальным органом
по аккредитации решения о признании недействительными отчетов испытательных лабораторий

5. Выявление случаев, указанных в пункте 4 настоящего Порядка, осуществляется по результатам проведения в порядке, установленном Законом об аккредитации:

а) контрольных (надзорных) мероприятий по осуществлению федерального государственного контроля (надзора) за деятельностью аккредитованных лиц, в том числе наблюдения за соблюдением обязательных требований (мониторинг безопасности);

б) процедуры подтверждения компетентности испытательной лаборатории;

в) структурного, форматно-логического и иных видов контроля соответствия сведений, содержащихся в едином реестре требованиям настоящего Порядка, законодательства Российской Федерации и права Евразийского экономического союза, направленных на обеспечение качества государственных данных и сервисов.

10. Сведения о принятии национальным органом по аккредитации решения о признании отчета испытательной лаборатории недействительным вносятся в федеральную государственную систему в области аккредитации (далее – ФГИС Росаккредитации) уполномоченным должностным лицом национального органа
по аккредитации в течение 3 рабочих дней со дня принятия соответствующего решения.

11. Отчет испытательной лаборатории признается недействительным с даты его выдачи испытательной лабораторией.

12. О признании отчетов испытательных лабораторий недействительными информируются: в автоматическом режиме:

а) испытательная лаборатория, отчет которой признан недействительным, – посредством личного кабинета испытательной лаборатории во ФГИС Росаккредитации;

б) органы по сертификации, выдавшие сертификаты соответствия или зарегистрировавшие декларации о соответствии на основании признанных недействительными отчетов испытательной лаборатории, – посредством личного кабинета органа по сертификации во ФГИС Росаккредитации;

в) органы государственного контроля (надзора) за соблюдением требований технических регламентов, – посредством единой системы межведомственного электронного взаимодействия;

13. Ответственность за убытки, причиненные решением о признании отчетов испытательной лаборатории недействительными третьим лицам, подлежит урегулированию между участниками процедуры по оценке соответствия продукции в соответствии с законодательством Российской Федерации.

Содержание

Протокол прикладного уровня PGP

Протокол сетевого уровня IPSeс

Настоящий раздел посвящен алгоритму протокола IPSec, механизмы реализации которого расположены ниже транспортного уровня эталонной модели TCP/IP на сетевом уровне . Главным достоинством протокола IPSec, позволяющего поддерживать самые разнообразные приложения, является возможность шифрования и аутентификации всего потока данных на уровне IP. Защита может быть обеспечена любому приложению, т.е. протокол IPSec является прозрачным средством защиты для прикладных программ.

Механизмы защиты на уровне IP по протоколу IPSec обеспечивают ИБ не только сетевых приложений, имеющих свои встроенные средства, но и приложений, не обладающих такими возможностями.

Протокол IPSec обеспечивает защиту обмена данными в различных компьютерных сетях: локальных, корпоративных и открытых глобальных сетях типа Internet. Приведем два примера применения IPSec, для которых в настоящем разделе дается описание использования этого протокола безопасности.

Защищенный доступ к филиалу организации или к сети другой организации через Internet

Протокол IPSec позволяет объединить в единую защищенную сеть компьютеры центрального офиса и его филиалов. Такая сеть, связанная с помощью общедоступной сети Internet, является виртуальной частной сетью VPN (Virtual Private Network).

Усиление защиты протоколов ИБ прикладного уровня

Защищенный канал, реализованный на прикладном уровне, защищает только определенную службу (файловую, гипертекстовую, почтовую и др.). При этом для каждого прикладного протокола необходимо разрабатывать собственные средства защиты. Использование IPSec усиливает защиту механизмов обеспечения ИБ, встроенных в протоколы прикладного уровня (такие, как протоколы электронной коммерции и другие).

На рис. 5 показан пример использования IPSec. Здесь приведена корпоративная сеть из двух локальных вычислительных сетей, находящихся в разных местах. Под полезным грузом здесь понимается поле данных, в которое входят заголовки и информация уровней выше сетевого (т.е. транспортного и прикладного). Поле заголовка IPSec предназначено для аутентификации и конфиденциальности информации полезного груза. В рамках локальных сетей трафик IP корпоративной сети не защищается. Локальные вычислительные сети подключены через маршрутизаторы к сети Internet, через которую обмениваются IP-текстами абоненты этих локальных сетей. Протокол IPSec обеспечивает ИБ этих пакетов. Эти протоколы установлены в маршрутизаторы по периметру сети. В маршрутизаторах производится шифрование потока данных, отправляемых в Internet, и расшифрование данных, приходящих из Internet. Все выполняемые при этом операции не заметны для рабочих станций и серверов локальных сетей.

Заголовки IPSec

Протокол AH обеспечивает только аутентификацию. Ес¬тественно, подобная защита данных во многих случаях оказывается недостаточной. Принимающая сторона в этом случае получает лишь возможность проверить, что данные были отправлены именно тем узлом, от которого они ожидаются и дошли в том виде, в котором были отправлены. Однако от несанкционированного просмотра данных на пути их следования по сети протокол AH защитить не может, так как не шифрует их. Для шифрования данных необходим протокол ESP.

Протокол AH

Протокол ESP

Рис. 7. Область действия шифрования и аутентификации ESP:
а) в транспортном режиме,
б) в режиме туннелирования

ESP в транспортном режиме шифрование (и, как опция, аутентификация) осуществляет непосредственно между двумя оконечными компьютерами пользователей (рис.7, а). ESP, как и АН, обеспечивает проверку целостности при помощи НМАС, однако вместо того, чтобы включать хеш в заголовок, его вставляют после поля полезной нагрузки. Это видно на рис. 7, а). Такое расположение полей дает преимущество при аппаратной реализации метода. Оно заключается в том, что НМАС может подсчитываться во время передачи битов полезной нагрузки по сети и добавляться к ним в конец. Именно поэтому в Ethernet и других стандартах локальных сетей циклический код вставляется в концевик, а не в заголовок. При применении заголовка АН пакет приходится буферизовать и вычислять подпись, только после этого его можно отправлять. Это потенциально приводит к уменьшению числа пакетов, которые можно передать за единицу времени.

В транспортном режиме выполняются следующие операции.

В узле источника блок данных, состоящий из концевика ESP и всего сегмента транспортного уровня, шифруется, и открытый текст этого блока заменяется шифрованным текстом, в результате чего формируется пакет IP для пересылки. Если выбрана опция аутентификации, то добавляется поле аутентификации.
Пакет направляется адресату. Каждый промежуточный маршрутизатор должен проверить и обработать заголовок IP. Шифрованный текст при этом остается неизменным.
Узел адресата проверяет и обрабатывает незашифрованный заголовок IP-пакета. Затем на основе информации индекса параметров защиты в заголовке ESP дешифруются остальные части пакета, в результате чего становится доступным сегмент транспортного уровня в виде открытого текста.

Транспортный режим обеспечивает конфиденциальность для любого использующего этот режим приложения, что позволяет избежать необходимости реализации функций защиты в каждом отдельном приложении. Этот режим достаточно эффективен, а объем добавляемых к пакету IP данных при этом невелик. Недостатком этого режима является то, что IP-адреса пользователей являются открытыми и поэтому не исключается возможность анализа трафика пересылаемых пакетов. Например, если во время военного кризиса трафик между Пентагоном и Белым домом резко снижается и при этом так же резко растет трафик между Пентагоном и какой-нибудь военной базой в Колорадо, перехватчик может сделать из этого далеко идущие выводы.

Туннельный режим ESP в отношении возможности анализа трафика имеет преимущество перед транспортным режимом. Туннельный режим ESP предлагает шифрование всего пакета IP (рис. 7, б). В этом режиме заголовок ESP добавляется к пакету как префикс, а затем пакет вместе с концевиком ESP шифруются. Данный метод можно использовать, когда требуется исключить возможность проведения атак, построенных на анализе трафика.

Поскольку заголовок IP содержит адрес пункта назначения, нельзя просто передать шифрованный пакет IP с добавленным к нему в виде префикса заголовком ESP. Промежуточные маршрутизаторы не смогут обработать такой пакет. Таким образом, необходимо включить весь блок (заголовок ESP, шифрованный текст и данные аутентификации, если они есть) во внешний пакет IP с новым заголовком, который будет содержать достаточно информации для маршрутизации, но не для анализа трафика.

Рассмотрим случай, когда внешний узел (граничный маршрутизатор) соединяется с узлом внутренней сети, защищенной шлюзом и ESP, используется внешним узлом и шлюзом защиты. Тогда при пересылке сегмента транспортного уровня от внешнего узла к узлу внутренней сети выполняются следующие действия.

Источник готовит внутренний пакет IP с указанием адреса пункта назначения, являющегося узлом внутренней сети. К этому пакету в виде префикса добавляется заголовок ESP. Затем пакет шифруется и к нему могут быть добавлены данные аутентификации. Полученный блок заключается во внешний пакет IP с новым заголовком IP, в котором адресом пункта назначения является адрес шлюза защиты.
Внешний пакет отправляется шлюзу защиты сети пункта назначения. Каждый промежуточный маршрутизатор должен проверить и обработать внешний заголовок IP и все внешние заголовки расширений IP, оставляя при этом шифрованный текст неизменным.
Шлюз защиты, получив пакет, проверяет и обрабатывает внешний заголовок IP. Затем на основе информации, предоставляемой индексом параметров защиты в заголовке ESP, шлюз защиты расшифровывает остальные части пакета, в результате чего становится доступным внутренний пакет IP в виде открытого текста. Этот пакет потом передается по внутренней сети.
Внутренний пакет передается маршрутизатору внутренней сети или непосредственно узлу-адресату.

Транспортный и туннельный режимы

Заголовки AH и ESP поддерживают два режима использования: транспортный и туннельный. Суть этих двух режимов лучше всего понять в контексте описаний заголовков AH и ESP, о которых пойдет речь позже. Здесь же ограничимся кратким определением этих режимов.

Транспортный режим

Транспортный режим обеспечивает защиту для протоколов верхних уровней. Это значит, что защита транспортного режима распространяется на полезный груз пакета IP. Примерами могут быть сегменты TCP или UDP, размещающиеся в стеке протоколов хоста непосредственно над IP. Транспортный режим обеспечивает сквозную связь двух узлов (например, клиента и сервера).

ESP в транспортном режиме шифрует и, если нужно, аутентифицирует полезный груз IP, но не заголовок IP. AH в транспортном режиме предполагает аутентификацию полезного груза IP и некоторых частей заголовка IP.

Туннельный режим

Рассмотрим пример использования туннельного режима IPSec. Узел А сети генерирует пакет IP с адресом узла назначения В другой сети. Этот пакет направляется от создавшего пакет узла к маршрутизатору на границе сети А. Этот маршрутизатор выясняет, нужно ли пакет защищать с помощью IPSec. Если направляющийся от А в B через IP-сеть пакет требует применения IPSec, маршрутизатор на границе с сетью А выполняет функции IPSec и инкапсулирует этот IP-пакет во внешний пакет IP. Адресом отправителя этого внешнего пакета будет данный граничный маршрутизатор, а адресом получателя – граничный маршрутизатор IP-сети и сети получателя В. Теперь пакет направляется этому граничному маршрутизатору, а промежуточные маршрутизаторы будут иметь дело только с внешним заголовком IP. В граничном маршрутизаторе сети узла B и IP-сети внешний заголовок IP удаляется, а внутренний пакет доставляется узлу B. ESP в туннельном режиме шифрует и, если нужно, аутентифицирует весь внутренний пакет IP, включая внутренний заголовок IP. АН в туннельном режиме аутентифицирует весь внутренний пакет IP и некоторые части внешнего заголовка IP. Таким образом, при туннельном режиме все задачи по обеспечению информационной безопасности ложатся на IP-сеть общего пользования.

Защищенные связи

В механизмах аутентификации и конфиденциальности для передачи данных между двумя компьютерами протокол IPSec предусматривает предварительное выполнение следующих двух шагов (фаз) [2] .

Параметры защищенной связи

Защищенная связь характеризуется следующими основными параметрами.

Счетчик порядкового номера, 32-битовое значение, используемое при генерировании значений поля порядкового номера в заголовках AH или ESP.
Окно защиты от угрозы повтора. Используется для выявления воспроизведенных пакетов среди прибывающих пакетов AH или ESP.
Информация AH. Алгоритм аутентификации, ключи, параметры продолжительности жизни ключей и другие необходимые параметры, используемые в рамках AH.
Продолжительность жизни данной защищенной связи.
Информация ESP. Алгоритм шифрования и аутентификации, ключи, значения инициализации, параметры продолжительности жизни ключей и другие необходимые параметры, используемые в рамках ESP.
Режим протокола IPSec. Туннельный или транспортный. Режимы описаны в этом разделе ниже.
Максимальная единица передачи (Maximum Transmission Unit – MTU). Максимальная единица передачи (максимальный размер пакета, который может быть передан без фрагментации) для всех участков маршрута и переменные времени существования.

В следующей главе, посвященной другому протоколу TLS обеспечения ИБ (на транспортном уровне TCP/IP), приводится описание алгоритма установления защищенной связи.

Виртуальная частная сеть VPN-IPSec

На рис. 8 приведен пример структуры двух виртуальных частных сетей, построенных с помощью протокола ESP в туннельном режиме.

VPN A пользователей локальных сетей А1, А2, и А3;
VPN В пользователей локальных сетей В1, В2, и В3.

В новом незашифрованном заголовке содержится адрес граничного маршрутизатора Интернета, соединенного с локальной сетью. Адрес пользователя расшифровывается в этом граничном маршрутизаторе.

Протокол транспортного уровня TLS

Настоящее приложение посвящено протоколу обеспечения ИБ, который применяется для аутентификации беспроводных пользователей (клиентов) в в беспроводных пользователей (клиентов) в IP-телефонии, беспроводных сетях доступа WiFi, WiMAX. Аутентификацию в этих сетях выполняет RADIUS-сервер. Протокол защиты транспортного уровня TLS (Transport Layer Security), стандартизирован в документе RFC 2246. Этот механизм расположен в виде подуровня между транспортным и прикладным уровнями TCP/IP (см. главу 12). TLS является версией протокола защищенных сокетов SSL (Security Sockets Layer). Под сокетом понимается совокупность номера порта транспортного уровня и IP-адреса. Сокет однозначно идентифицирует прикладной процесс в Internet. Преимуществом использования протоколов ИБ на прикладном уровне является возможность оптимального построения механизма защиты в зависимости от требований конкретного приложения. Преимуществом протоколов SSL/TLS является обеспечение прозрачности средств защиты для прикладных программ.

TLS состоит из двух субпротоколов, один из которых предназначен для передачи данных по установленной защищенной связи, а второй для установления защищенной связи. Эта процедура установления защищённой связи SA (Security Association) является такой же ключевой, как и в IPSec. В отличие от описания установления SA в разделе протокола IPSec здесь приводится описание Интернет-протоколов обмена ключами IKE (Internet Key Exchange).

Передача данных при использовании TLS

Следующим шагом, как видно из рис. 9, является шифрование блока данных вместе с добавленным к нему значением MAC. Шифрование производится с помощью криптографии с симметричным ключом.

Завершающим шагом в работе SSL/TLS является добавление заголовка, включающего:

идентификатор протокола прикладного уровня, блоки данных которого передаются по TCP – соединению;
длина сжатого фрагмента
и др.

Установление защищенной связи

Этап 1. Определение характеристики защиты

Идентификатор сеанса.
Работа TLS описывается в двух важных понятиях – сеанс и соединение. Сеанс определяет набор параметров защиты, которые могут использоваться несколькими соединениями. Идентификатор сеанса говорит о намерении клиента создать новый сеанс или создать новое соединение в рамках того же сеанса.

алгоритм шифрования (RC4, тройной DEA, IDEA и др.);
алгоритм хеш-функции (SHA-1, MD5);
тип шифра (поточный, блочный);
длина хеш-кода;
длина вектора инициализации (IV) режима блочных кодов и др.

Протокол TLS поддерживает следующие методы обмена ключей для шифрования с общим ключом и вычисления значений открытых ключей по протоколу HMAC (приложение Д, раздел Д2).

Этап 2. Аутентификация и обмен ключами сервера

RSA, только для подписи.
RSA для метода Диффи-Хеллмана с одноразовыми параметрами.

Этап 3. Аутентификация и обмен ключами клиента

Этап 4. Завершение

Протоколы ИБ при маршрутизации

Читайте также: