Διασφάλιση ασφάλειας στο σύστημα IP τηλεφωνίας. Ασφάλεια IP τηλεφωνίας. Ασφάλεια τηλεφωνίας IP – μια ολοκληρωμένη προσέγγιση
Ένα σύστημα τηλεφωνίας IP πρέπει να παρέχει δύο επίπεδα ασφάλειας: σύστημα και κλήση.
Οι ακόλουθες λειτουργίες χρησιμοποιούνται για τη διασφάλιση της ασφάλειας του συστήματος:
Αποτροπή μη εξουσιοδοτημένης πρόσβασης στο δίκτυο χρησιμοποιώντας μια κοινόχρηστη κωδική λέξη. Μια κωδική λέξηυπολογίζεται ταυτόχρονα χρησιμοποιώντας τυπικούς αλγόριθμους στα συστήματα εκκίνησης και τερματισμού και συγκρίνονται τα αποτελέσματα που λαμβάνονται. Όταν δημιουργείται μια σύνδεση, καθένα από τα δύο συστήματα τηλεφωνίας IP αρχικά προσδιορίζει το άλλο σύστημα. Εάν προκύψει τουλάχιστον ένα αρνητικό αποτέλεσμα, η σύνδεση τερματίζεται.
- Πρόσβαση σε λίστες που περιλαμβάνουν όλες τις γνωστές πύλες τηλεφωνίας IP.
- Καταγράψτε τις αρνήσεις πρόσβασης.
- Λειτουργίες ασφαλείας της διεπαφής πρόσβασης, συμπεριλαμβανομένου του ελέγχου του αναγνωριστικού χρήστη και του κωδικού πρόσβασης με περιορισμένη πρόσβαση ανάγνωσης/εγγραφής, ελέγχου των δικαιωμάτων πρόσβασης σε ειδικό διακομιστή WEB για διαχείριση.
- Λειτουργίες ασφαλείας κλήσεων, όπως επαλήθευση ταυτότητας χρήστη και κωδικού πρόσβασης (προαιρετικό), κατάσταση χρήστη, προφίλ συνδρομητή.
Όταν μια πύλη δημιουργεί μια σύνδεση με μια άλλη πύλη στη ζώνη της, εκτελείται μια προαιρετική επαλήθευση του αναγνωριστικού χρήστη και του κωδικού πρόσβασης. Ο χρήστης μπορεί να στερηθεί των δικαιωμάτων πρόσβασης ανά πάσα στιγμή.
Πράγματι, κατά την ανάπτυξη του πρωτοκόλλου IP, δεν δόθηκε η δέουσα προσοχή σε θέματα ασφάλειας πληροφοριών, αλλά με την πάροδο του χρόνου η κατάσταση άλλαξε και οι σύγχρονες εφαρμογές που βασίζονται σε IP περιέχουν επαρκείς μηχανισμούς ασφαλείας. Και λύσεις στον τομέα της τηλεφωνίας IP δεν μπορούν να υπάρξουν χωρίς την εφαρμογή τυπικών τεχνολογιών ελέγχου ταυτότητας και εξουσιοδότησης, ελέγχου ακεραιότητας και κρυπτογράφησης κ.λπ. τα ακουστικά του τηλεφώνου και τελειώνει με σήμα τερματισμού.
1. Τηλέφωνο.
Στην τηλεφωνία IP, πριν το τηλέφωνο στείλει σήμα για τη δημιουργία σύνδεσης, ο συνδρομητής πρέπει να εισάγει το αναγνωριστικό και τον κωδικό πρόσβασής του για πρόσβαση στη συσκευή και τις λειτουργίες της. Αυτός ο έλεγχος ταυτότητας σάς επιτρέπει να αποκλείετε τυχόν ενέργειες από ξένους και να μην ανησυχείτε ότι οι χρήστες άλλων θα καλέσουν άλλη πόλη ή χώρα με δικά σας έξοδα.
2. Δημιουργία σύνδεσης.
Μετά την κλήση του αριθμού, το σήμα για τη δημιουργία σύνδεσης αποστέλλεται στον κατάλληλο διακομιστή διαχείρισης κλήσεων, όπου διενεργείται ένας αριθμός ελέγχων ασφαλείας. Το πρώτο βήμα είναι να επαληθεύσετε την αυθεντικότητα του ίδιου του τηλεφώνου, τόσο μέσω της χρήσης του πρωτοκόλλου 802.1x όσο και μέσω πιστοποιητικών δημόσιου κλειδιού που είναι ενσωματωμένα στην υποδομή τηλεφωνίας IP. Αυτός ο έλεγχος σάς επιτρέπει να απομονώσετε μη εξουσιοδοτημένα τηλέφωνα IP που είναι εγκατεστημένα στο δίκτυο, ειδικά σε ένα δίκτυο με δυναμική διευθυνσιοδότηση. Φαινόμενα παρόμοια με τα περιβόητα τηλεφωνικά κέντρα του Βιετνάμ είναι απλά αδύνατα στην τηλεφωνία IP (φυσικά, με την προϋπόθεση ότι τηρούνται οι κανόνες κατασκευής ασφαλούς τηλεφωνικού δικτύου).
Ωστόσο, το θέμα δεν περιορίζεται στον έλεγχο ταυτότητας τηλεφώνου - είναι απαραίτητο να μάθετε εάν ο συνδρομητής έχει το δικαίωμα να καλέσει τον αριθμό που κάλεσε. Δεν πρόκειται τόσο για μηχανισμό ασφαλείας όσο για μέτρο πρόληψης της απάτης. Εάν ένας μηχανικός της εταιρείας δεν επιτρέπεται να χρησιμοποιήσει επικοινωνία από απόσταση, τότε ο αντίστοιχος κανόνας καταγράφεται αμέσως στο σύστημα διαχείρισης κλήσεων και από ποιο τηλέφωνο κι αν γίνει μια τέτοια προσπάθεια, θα σταματήσει αμέσως. Επιπλέον, μπορείτε να καθορίσετε μάσκες ή εύρος αριθμών τηλεφώνου που έχει το δικαίωμα να καλέσει ένας συγκεκριμένος χρήστης.
Στην περίπτωση της τηλεφωνίας IP, προβλήματα επικοινωνίας, όπως υπερφόρτωση γραμμής αναλογική τηλεφωνία, είναι αδύνατον: με σωστή σχεδίαση του δικτύου με εφεδρικές συνδέσεις ή αντιγραφή του διακομιστή ελέγχου κλήσεων, η αστοχία στοιχείων υποδομής τηλεφωνίας IP ή η υπερφόρτωσή τους δεν επηρεάζει αρνητική επιρροήσχετικά με τη λειτουργία του δικτύου.
3. Τηλεφωνική συνομιλία.
Στην IP τηλεφωνία δόθηκε εξαρχής λύση στο πρόβλημα της προστασίας από υποκλοπές. Υψηλό επίπεδοΤο απόρρητο των τηλεφωνικών επικοινωνιών διασφαλίζεται από δοκιμασμένους αλγόριθμους και πρωτόκολλα (DES, 3DES, AES, IPSec, κ.λπ.) χωρίς σχεδόν κανένα κόστος για την οργάνωση αυτής της προστασίας - όλους τους απαραίτητους μηχανισμούς (κρυπτογράφηση, έλεγχος ακεραιότητας, κατακερματισμός, ανταλλαγή κλειδιών κ.λπ.) έχουν ήδη εφαρμοστεί σε στοιχεία υποδομής, που κυμαίνονται από ένα τηλέφωνο IP έως ένα σύστημα διαχείρισης κλήσεων. Ταυτόχρονα, η προστασία μπορεί να χρησιμοποιηθεί με την ίδια επιτυχία τόσο για εσωτερικές όσο και για εξωτερικές συνομιλίες (στην τελευταία περίπτωση, όλοι οι συνδρομητές πρέπει να χρησιμοποιούν τηλέφωνα IP).
Ωστόσο, υπάρχουν ορισμένα ζητήματα που σχετίζονται με την κρυπτογράφηση που πρέπει να έχετε υπόψη κατά την υλοποίηση μιας υποδομής VoIP. Πρώτον, υπάρχει μια επιπλέον καθυστέρηση λόγω κρυπτογράφησης/αποκρυπτογράφησης και δεύτερον, τα γενικά έξοδα αυξάνονται ως αποτέλεσμα της αύξησης του μήκους των μεταδιδόμενων πακέτων.
4. Αόρατη λειτουργικότητα.
Μέχρι τώρα, έχουμε εξετάσει μόνο εκείνους τους κινδύνους στους οποίους εκτίθεται η παραδοσιακή τηλεφωνία και οι οποίοι μπορούν να εξαλειφθούν με την εισαγωγή της τηλεφωνίας IP. Αλλά η μετάβαση στο πρωτόκολλο IP φέρνει μαζί της μια σειρά από νέες απειλές που δεν μπορούν να αγνοηθούν. Ευτυχώς, υπάρχουν ήδη αποδεδειγμένες λύσεις, τεχνολογίες και προσεγγίσεις για την προστασία από αυτές τις απειλές. Τα περισσότερα από αυτά δεν απαιτούν καμία οικονομική επένδυση, καθώς έχουν ήδη εφαρμοστεί σε δικτυακό εξοπλισμό, ο οποίος αποτελεί τη βάση οποιασδήποτε υποδομής τηλεφωνίας IP.
Το απλούστερο πράγμα που μπορεί να γίνει για να βελτιωθεί η ασφάλεια των τηλεφωνικών συνομιλιών όταν μεταδίδονται μέσω του ίδιου καλωδιακού συστήματος με τα κανονικά δεδομένα είναι η τμηματοποίηση του δικτύου χρησιμοποιώντας Τεχνολογίες VLANγια να εξαλειφθεί η πιθανότητα οι απλοί χρήστες να παρακολουθούν συνομιλίες. Καλά αποτελέσματαεπιτρέπει τη χρήση χωριστού χώρου διευθύνσεων για τμήματα τηλεφωνίας IP. Και, φυσικά, δεν πρέπει να κάνετε έκπτωση στους κανόνες ελέγχου πρόσβασης σε δρομολογητές (Λίστα Ελέγχου Πρόσβασης, ACL) ή τείχη προστασίας, η χρήση των οποίων καθιστά δύσκολη τη σύνδεση των εισβολέων σε τμήματα φωνής.
5. Επικοινωνία με τον έξω κόσμο.
Όποια και αν είναι τα οφέλη που παρέχει η IP τηλεφωνία εντός του εσωτερικού εταιρικού δικτύου, θα είναι ελλιπή χωρίς τη δυνατότητα πραγματοποίησης και λήψης κλήσεων προς σταθερούς αριθμούς. Σε αυτήν την περίπτωση, κατά κανόνα, προκύπτει το καθήκον της μετατροπής της κίνησης IP σε σήμα που μεταδίδεται μέσω του τηλεφωνικού δικτύου κοινή χρήση(PSTN). Επιλύεται με τη χρήση ειδικών πυλών φωνής, οι οποίες υλοποιούν επίσης ορισμένες προστατευτικές λειτουργίες, και η πιο σημαντική από αυτές είναι το μπλοκάρισμα όλων των πρωτοκόλλων τηλεφωνίας IP (H.323, SIP κ.λπ.) εάν τα μηνύματά τους προέρχονται από τμήμα μη φωνητικής .
Για την προστασία στοιχείων της φωνητικής υποδομής από πιθανές μη εξουσιοδοτημένες επιρροές, μπορούν να χρησιμοποιηθούν εξειδικευμένες λύσεις - τείχη προστασίας (FWE), πύλες επιπέδου εφαρμογής (ALG) και ελεγκτές συνόρων συνεδρίας (Session Border Controller). Συγκεκριμένα, το RTP χρησιμοποιεί δυναμικές θύρες UDP, οι οποίες όταν ανοίγονται σε ένα τείχος προστασίας δημιουργεί ένα κενό κενό ασφαλείας. Επομένως, το τείχος προστασίας πρέπει να προσδιορίζει δυναμικά τις θύρες που χρησιμοποιούνται για την επικοινωνία, να τις ανοίγει τη στιγμή της σύνδεσης και να τις κλείνει όταν ολοκληρωθεί. Ένα άλλο χαρακτηριστικό είναι ότι ορισμένα πρωτόκολλα, για παράδειγμα, το SIP, τοποθετούν πληροφορίες σχετικά με τις παραμέτρους σύνδεσης όχι στην κεφαλίδα του πακέτου, αλλά στο σώμα δεδομένων. Επομένως, η συσκευή ασφαλείας πρέπει να μπορεί να αναλύει όχι μόνο την κεφαλίδα, αλλά και το σώμα δεδομένων του πακέτου, εξάγοντας από αυτό όλες τις απαραίτητες πληροφορίες για την οργάνωση μιας φωνητικής σύνδεσης. Ένας άλλος περιορισμός είναι η δυσκολία χρήσης δυναμικών θυρών και NAT μαζί.
Πολύ ενδιαφέρον άρθροσχετικά με την ασφάλεια στην τηλεφωνία IP, που δημοσιεύεται στον ιστότοπο linkmeup.ru. Το δημοσιεύουμε χωρίς αλλαγές, ας πούμε, από τον συγγραφέα.
=======================
Γεια σας, συνάδελφοι και φίλοι, εγώ, ο Vadim Semenov, μαζί με την ομάδα έργου network-class.net, παρουσιάζουμε ένα άρθρο ανασκόπησης που αγγίζει τις κύριες τάσεις και απειλές στην τηλεφωνία IP, και το πιο σημαντικό, τα εργαλεία προστασίας που προσφέρει επί του παρόντος ο κατασκευαστής ως προστασία (στη γλώσσα των ειδικών ασφαλείας, ας εξετάσουμε ποια εργαλεία προσφέρει ο κατασκευαστής για να μειώσει τα τρωτά σημεία που θα μπορούσαν να εκμεταλλευτούν παράνομα άτομα). Οπότε, λιγότερα λόγια - ας ασχοληθούμε.
Για πολλούς αναγνώστες, ο όρος IP τηλεφωνία έχει διαμορφωθεί εδώ και καιρό, και επίσης το γεγονός ότι αυτή η τηλεφωνία είναι «καλύτερη», φθηνότερη σε σύγκριση με τη δημόσια τηλεφωνία (PSTN), είναι πλούσια σε διάφορα πρόσθετες λειτουργίεςκαι τα λοιπά. Και αυτό ισχύει, όμως... εν μέρει. Καθώς προχωράμε από την αναλογική (ψηφιακή) τηλεφωνία με το δικό μας συνδρομητικές γραμμές(από το τηλέφωνο του συνδρομητή μέχρι την επέκταση του σταθμού ή του σταθμού) και οι γραμμές σύνδεσης (γραμμή επικοινωνίας μεταξύ σταθμών) ήταν μόνο στη ζώνη πρόσβασης και ελέγχου του παρόχου τηλεφωνίας. Με άλλα λόγια, οι απλοί άνθρωποι δεν είχαν πρόσβαση εκεί (ή πρακτικά, αν δεν λάβετε υπόψη τον αγωγό καλωδίων). Θυμάμαι μια ερώτηση στο παλιό καλό φόρουμ χάκερ: «Πες μου πώς να αποκτήσω πρόσβαση στο PBX; - Απάντηση: «Λοιπόν, παίρνετε μια μπουλντόζα, χτυπάτε τον τοίχο του κτιρίου του τηλεφωνικού κέντρου και voila». Και αυτό το αστείο έχει το μερίδιο της αλήθειας) Ωστόσο, με τη μεταφορά της τηλεφωνίας σε ένα φτηνό περιβάλλον IP, λάβαμε επιπλέον και τις απειλές που θέτει ένα ανοιχτό περιβάλλον IP. Ένα παράδειγμα επίκτητων απειλών είναι το ακόλουθο:
- Σνιφάροντας θύρες σηματοδότησης για να πραγματοποιήσετε κλήσεις με διόδια με έξοδα κάποιου άλλου
- Υποκλοπή μέσω υποκλοπής πακέτων φωνής IP
- Υποκλοπή κλήσεων, παράνομος χρήστης που παρουσιάζεται ως νόμιμος χρήστης, επίθεση man-in-the-middle
- Επιθέσεις DDOS σε διακομιστές σηματοδότησης σταθμών προκειμένου να απενεργοποιηθεί όλη η τηλεφωνία
- Επιθέσεις ανεπιθύμητης αλληλογραφίας, αποστολή μεγάλου αριθμού φανταστικών κλήσεων σε έναν σταθμό προκειμένου να καταλάβουν όλους τους δωρεάν πόρους του
Παρά την προφανή ανάγκη εξάλειψης όλων των πιθανών τρωτών σημείων προκειμένου να μειωθεί η πιθανότητα μιας συγκεκριμένης επίθεσης, στην πραγματικότητα, η εφαρμογή ορισμένων μέτρων προστασίας πρέπει να ξεκινήσει με την κατάρτιση ενός χρονοδιαγράμματος που να λαμβάνει υπόψη το κόστος εφαρμογής προστατευτικών μέτρων έναντι μιας συγκεκριμένης απειλής και τις απώλειες της επιχείρησης από την εφαρμογή αυτής της απειλής από τους επιτιθέμενους. Εξάλλου, είναι ανόητο να ξοδεύουμε περισσότερα χρήματα για την ασφάλεια ενός περιουσιακού στοιχείου από την αξία του ίδιου του περιουσιακού στοιχείου που προστατεύουμε.
Έχοντας καθορίσει τον προϋπολογισμό ασφαλείας, θα αρχίσουμε να εξαλείφουμε ακριβώς εκείνες τις απειλές που είναι πιο πιθανές για την εταιρεία, για παράδειγμα, για έναν μικρό οργανισμό, το πιο επώδυνο πράγμα θα είναι να λάβουμε έναν μεγάλο λογαριασμό για ατελείς υπεραστικές και διεθνείς κλήσεις. ενώ για κρατικές εταιρείεςΤο πιο σημαντικό πράγμα είναι να κρατάτε τις συνομιλίες εμπιστευτικές. Ας ξεκινήσουμε τη σταδιακή μας εξέταση στο τρέχον άρθρο με βασικά πράγματα - αυτή είναι η διάταξη με ασφαλή τρόποπαράδοση δεδομένων υπηρεσίας από σταθμό σε τηλέφωνο. Στη συνέχεια, θα εξετάσουμε τον έλεγχο ταυτότητας των τηλεφώνων πριν τα συνδέσουμε με το σταθμό, τον έλεγχο ταυτότητας του σταθμού από τα τηλέφωνα και την κρυπτογράφηση της κυκλοφορίας σηματοδότησης (για απόκρυψη πληροφοριών σχετικά με το ποιος καλεί και πού) και την κρυπτογράφηση της κίνησης συνομιλίας.
Πολλοί κατασκευαστές φωνητικού εξοπλισμού (συμπεριλαμβανομένης της Cisco Systems) διαθέτουν ήδη ενσωματωμένα εργαλεία ασφαλείας, από τον συνήθη περιορισμό του εύρους των διευθύνσεων IP από τις οποίες μπορούν να πραγματοποιηθούν κλήσεις έως τον έλεγχο ταυτότητας των τελικών συσκευών με χρήση πιστοποιητικού. Για παράδειγμα, ο κατασκευαστής Cisco Systems με τη σειρά προϊόντων φωνής του CUCM (Cisco Unified CallManager) άρχισε να ενσωματώνει τη λειτουργία "Ασφάλεια από προεπιλογή" από την έκδοση προϊόντος 8.0 (ημερομηνία κυκλοφορίας Μάιος 2010, έκδοση 10.5 με ημερομηνία Μαΐου 2014 είναι προς το παρόν διαθέσιμη). Τι περιλαμβάνει:
- Έλεγχος ταυτότητας όλων των αρχείων που έχουν ληφθεί μέσω/από TFTP (αρχεία διαμόρφωσης, αρχεία υλικολογισμικού για τηλέφωνα κ.λπ.)
- Κρυπτογράφηση αρχείων διαμόρφωσης
- Έλεγχος του πιστοποιητικού με το τηλέφωνο που προετοιμάζει τη σύνδεση HTTPS
Ας δούμε ένα παράδειγμα επίθεσης "άνθρωπος στη μέση", όταν ένα παράνομο άτομο παρεμποδίζει αρχεία ρυθμίσεων για τηλέφωνα, από τα οποία το τηλέφωνο μαθαίνει σε ποιο σταθμό να εγγραφεί, σε ποιο πρωτόκολλο να εργαστεί, ποιο υλικολογισμικό να κατεβάσει κ.λπ. Έχοντας υποκλέψει το αρχείο, ο εισβολέας θα μπορεί να κάνει τις δικές του αλλαγές σε αυτό ή να διαγράψει εντελώς το αρχείο διαμόρφωσης, εμποδίζοντας έτσι τα τηλέφωνα ολόκληρου του γραφείου (βλ. εικόνα) να εγγραφούν στο σταθμό και, κατά συνέπεια, να στερήσει το γραφείο τη δυνατότητα πραγματοποίησης κλήσεων.
Εικ.1 Επίθεση Man-in-the-Middle
Για να προστατευτούμε από αυτό, θα χρειαστούμε γνώση ασύμμετρης κρυπτογράφησης, υποδομής δημόσιου κλειδιού και κατανόηση των στοιχείων της Ασφάλειας από προεπιλογή, τα οποία θα εισαγάγουμε τώρα: Λίστα αξιοπιστίας ταυτότητας (ITL) και Υπηρεσία επαλήθευσης αξιοπιστίας (TVS). Το TVS είναι μια υπηρεσία που έχει σχεδιαστεί για την επεξεργασία αιτημάτων από τηλέφωνα IP που δεν διαθέτουν αρχείο ITL ή CTL στην εσωτερική μνήμη. Το τηλέφωνο IP επικοινωνεί με την TVS εάν χρειάζεται να βεβαιωθεί εάν μπορεί να εμπιστευτεί μια συγκεκριμένη υπηρεσία πριν αρχίσει να έχει πρόσβαση σε αυτήν. Ο σταθμός λειτουργεί επίσης ως αποθήκη που αποθηκεύει πιστοποιητικά αξιόπιστων διακομιστών. Με τη σειρά του, το ITL είναι μια λίστα με δημόσια κλειδιά των στοιχείων που συνθέτουν το σύμπλεγμα σταθμών, αλλά για εμάς είναι σημαντικό το δημόσιο κλειδί να είναι αποθηκευμένο εκεί Διακομιστές TFTPκαι το δημόσιο κλειδί της υπηρεσίας TVS. Κατά την αρχική εκκίνηση του τηλεφώνου, όταν το τηλέφωνο λάβει τη διεύθυνση IP και τη διεύθυνση διακομιστή TFTP, ζητά την παρουσία ενός αρχείου ITL (Εικ. 2). Εάν βρίσκεται στον διακομιστή TFTP, τότε, με τυφλή εμπιστοσύνη, το ανεβάζει στον δικό του εσωτερική μνήμηκαι αποθηκεύεται μέχρι την επόμενη επανεκκίνηση. Μετά τη λήψη του αρχείου ITL, το τηλέφωνο ζητά ένα υπογεγραμμένο αρχείο διαμόρφωσης.
Τώρα ας δούμε πώς μπορούμε να χρησιμοποιήσουμε εργαλεία κρυπτογραφίας - υπογραφή ενός αρχείου χρησιμοποιώντας τις συναρτήσεις κατακερματισμού MD5 ή SHA και κρυπτογράφηση χρησιμοποιώντας το ιδιωτικό κλειδί του διακομιστή TFTP (Εικ. 3). Το ιδιαίτερο με τις συναρτήσεις κατακερματισμού είναι ότι είναι μονόδρομες συναρτήσεις. Με βάση τον κατακερματισμό που έχει ληφθεί από οποιοδήποτε αρχείο, είναι αδύνατο να εκτελέσετε την αντίστροφη λειτουργία και να λάβετε ακριβώς αρχικό αρχείο. Όταν αλλάζει ένα αρχείο, αλλάζει και ο κατακερματισμός που λαμβάνεται από αυτό το αρχείο. Αξίζει να σημειωθεί ότι το hash δεν γράφεται στο ίδιο το αρχείο, αλλά απλώς προσαρτάται σε αυτό και μεταδίδεται μαζί του.
Εικ.3 Υπογραφή του αρχείου διαμόρφωσης τηλεφώνου
Κατά το σχηματισμό μιας υπογραφής, λαμβάνεται το ίδιο το αρχείο διαμόρφωσης, ο κατακερματισμός εξάγεται από αυτό και κρυπτογραφείται με το ιδιωτικό κλειδί του διακομιστή TFTP (το οποίο έχει μόνο ο διακομιστής TFTP).
Κατά την παραλαβή αυτού του αρχείουμε τις ρυθμίσεις, το τηλέφωνο το ελέγχει αρχικά για ακεραιότητα. Θυμόμαστε ότι ο κατακερματισμός είναι μια μονόδρομη συνάρτηση, επομένως το τηλέφωνο δεν έχει τίποτα άλλο να κάνει εκτός από το να διαχωρίσει τον κατακερματισμό που έχει κρυπτογραφηθεί από τον διακομιστή TFTP από το αρχείο διαμόρφωσης, να το αποκρυπτογραφήσει χρησιμοποιώντας το δημόσιο κλειδί TFTP (και πώς το γνωρίζει το τηλέφωνο IP ? - και μόνο από το αρχείο ITL ), από ένα καθαρό αρχείο διαμόρφωσης, υπολογίστε τον κατακερματισμό και συγκρίνετε τον με αυτό που λάβαμε κατά την αποκρυπτογράφηση. Εάν ο κατακερματισμός ταιριάζει, σημαίνει ότι δεν έγιναν αλλαγές στο αρχείο κατά τη μετάδοση και ότι μπορεί να χρησιμοποιηθεί με ασφάλεια στο τηλέφωνο (Εικ. 4).
Εικ.4 Έλεγχος του αρχείου διαμόρφωσης με τηλέφωνο IP
Το υπογεγραμμένο αρχείο διαμόρφωσης για το τηλέφωνο φαίνεται παρακάτω:
Ρύζι. 5 Υπογεγραμμένο αρχείο IP τηλεφώνου στο Wireshark
Με την υπογραφή του αρχείου διαμόρφωσης, μπορέσαμε να διασφαλίσουμε την ακεραιότητα του μεταφερόμενου αρχείου ρυθμίσεων, αλλά δεν το προστατέψαμε από την προβολή. Από το αρχείο διαμόρφωσης που καταγράφηκε μπορείτε να λάβετε πολλές χρήσιμες πληροφορίες, για παράδειγμα, διεύθυνση IP τηλεφωνικό κέντρο(στο παράδειγμά μας αυτό είναι 192.168.1.66) και ανοιχτές θύρεςστο σταθμό (2427) κ.λπ. Δεν είναι αρκετό αυτό; σημαντικές πληροφορίες, που δεν θα θέλατε απλώς να «λάμπει» στο Διαδίκτυο; Για την απόκρυψη αυτών των πληροφοριών, οι κατασκευαστές παρέχουν τη χρήση συμμετρική κρυπτογράφηση(το ίδιο κλειδί χρησιμοποιείται για κρυπτογράφηση και αποκρυπτογράφηση). Σε μια περίπτωση, το κλειδί μπορεί να εισαχθεί στο τηλέφωνο με μη αυτόματο τρόπο, σε μια άλλη περίπτωση, το αρχείο διαμόρφωσης του τηλεφώνου κρυπτογραφείται στο σταθμό χρησιμοποιώντας το δημόσιο κλειδί του τηλεφώνου. Πριν στείλει το αρχείο στο τηλέφωνο, ο διακομιστής tftp στον οποίο είναι αποθηκευμένο αυτό το αρχείο το κρυπτογραφεί χρησιμοποιώντας το δημόσιο κλειδί του τηλεφώνου και το υπογράφει χρησιμοποιώντας το ιδιωτικό του κλειδί (έτσι διασφαλίζουμε όχι μόνο το απόρρητο, αλλά και την ακεραιότητα μεταφερθέντα αρχεία). Το κύριο πράγμα εδώ είναι να μην μπερδευτούμε σχετικά με το ποιος χρησιμοποιεί ποιο κλειδί, αλλά ας το πάρουμε με τη σειρά: ο διακομιστής tftp, κρυπτογραφώντας το αρχείο με το δημόσιο κλειδί του τηλεφώνου IP, εξασφάλισε ότι μόνο ο κάτοχος του αντιστοιχισμένου δημόσιου κλειδιού μπορεί να ανοίξει αυτό το αρχείο. Υπογράφοντας το αρχείο με το ιδιωτικό του κλειδί, ο διακομιστής tftp επιβεβαιώνει ότι ήταν αυτός που το δημιούργησε. Το κρυπτογραφημένο αρχείο φαίνεται στην Εικόνα 6:
Εικ.6 Κρυπτογραφημένο αρχείο IP τηλεφώνου
Σε αυτό το σημείο, λοιπόν, εξετάσαμε την προστασία των αρχείων διαμόρφωσης του τηλεφώνου μας από την προβολή και τη διασφάλιση της ακεραιότητάς τους. Εδώ τελειώνει η λειτουργία Security by Default. Για να διασφαλιστεί η κρυπτογράφηση της φωνητικής κίνησης, η απόκρυψη πληροφοριών σηματοδότησης (σχετικά με το ποιος καλεί και πού να καλέσει), είναι απαραίτητο πρόσθετα εργαλεία, με βάση τη λίστα των αξιόπιστων πιστοποιητικών - CTL, τα οποία θα εξετάσουμε στη συνέχεια.
Έλεγχος ταυτότητας τηλεφωνικού κέντρου
Όταν ένα τηλέφωνο χρειάζεται να επικοινωνήσει με ένα τηλεφωνικό κέντρο (για παράδειγμα, για να διαπραγματευτεί μια σύνδεση TLS για ανταλλαγή σήματος), το τηλέφωνο IP πρέπει να ελέγξει την ταυτότητα του κέντρου. Όπως μπορείτε να μαντέψετε, τα πιστοποιητικά χρησιμοποιούνται επίσης ευρέως για την επίλυση αυτού του προβλήματος. Αυτή τη στιγμή, οι σύγχρονοι σταθμοί IP αποτελούνται από μεγάλο αριθμό στοιχείων: αρκετούς διακομιστές σηματοδότησης για την επεξεργασία κλήσεων, έναν αποκλειστικό διακομιστή διαχείρισης (νέα τηλέφωνα, χρήστες, πύλες, κανόνες δρομολόγησης κ.λπ. προστίθενται μέσω αυτού), έναν αποκλειστικό διακομιστή TFTP για αποθήκευση αρχείων διαμόρφωσης και λογισμικού για τηλέφωνα, διακομιστή για μετάδοση μουσικής σε αναμονή κ.λπ., επιπλέον, η φωνητική υποδομή μπορεί να έχει φωνητικό ταχυδρομείο, διακομιστής για τον προσδιορισμό της τρέχουσας κατάστασης του συνδρομητή (online, offline, "κατά το μεσημεριανό γεύμα") - η λίστα είναι εντυπωσιακή και, το πιο σημαντικό, κάθε διακομιστής έχει το δικό του αυτο-υπογεγραμμένο πιστοποιητικό και ο καθένας λειτουργεί ως αρχή πιστοποίησης root (Εικ. 7). Για το λόγο αυτό, οποιοσδήποτε διακομιστής στην υποδομή φωνής δεν θα εμπιστεύεται το πιστοποιητικό άλλου διακομιστή, για παράδειγμα, ένας διακομιστής φωνής δεν εμπιστεύεται έναν διακομιστή TFTP, το φωνητικό ταχυδρομείο δεν εμπιστεύεται έναν διακομιστή σηματοδότησης και, επιπλέον, τα τηλέφωνα πρέπει να αποθηκεύουν τα πιστοποιητικά του όλα τα στοιχεία που συμμετέχουν στην ανταλλαγή της κυκλοφορίας σηματοδότησης. Τα πιστοποιητικά τηλεφωνικού κέντρου φαίνονται στο σχήμα 7.
Εικ.7 Αυτο-υπογεγραμμένα πιστοποιητικά σταθμού IP Cisco
Για τις εργασίες δημιουργίας σχέσεων εμπιστοσύνης μεταξύ των προαναφερθέντων στοιχείων στις υποδομές φωνής, καθώς και για την κρυπτογράφηση της κίνησης φωνής και σηματοδότησης, τίθεται σε εφαρμογή η λεγόμενη Λίστα Εμπιστοσύνης Πιστοποιητικών (CTL). Το CTL περιέχει όλα τα αυτο-υπογεγραμμένα πιστοποιητικά όλων των διακομιστών στο σύμπλεγμα φωνητικών σταθμών, καθώς και εκείνων που συμμετέχουν στην ανταλλαγή μηνυμάτων σηματοδότησης τηλεφωνίας (για παράδειγμα, ένα τείχος προστασίας) και αυτό το αρχείο υπογράφεται με το ιδιωτικό κλειδί μιας αξιόπιστης αρχής πιστοποίησης (Εικ. 8). Το αρχείο CTL είναι ισοδύναμο με τα εγκατεστημένα πιστοποιητικά που χρησιμοποιούνται σε προγράμματα περιήγησης ιστού κατά την εργασία με το πρωτόκολλο https.
Εικ.8 Λίστα αξιόπιστων πιστοποιητικών
Για να δημιουργήσετε ένα αρχείο CTL στο Εξοπλισμός Cisco, θα χρειαστείτε έναν υπολογιστή με υποδοχή USB, το πρόγραμμα-πελάτη CTL εγκατεστημένο σε αυτόν και το ίδιο το Site Administrator Security Token (SAST) (Εικ. 9), που περιέχει ένα ιδιωτικό κλειδί και ένα πιστοποιητικό X.509v3 υπογεγραμμένο από τον έλεγχο ταυτότητας του κατασκευαστή κέντρο (Cisco).
Εικ.9 eToken Cisco
Το πρόγραμμα-πελάτης CTL είναι ένα πρόγραμμα που είναι εγκατεστημένο σε έναν υπολογιστή με Windows και με το οποίο μπορείτε να μεταφέρετε ΟΛΟΚΛΗΡΟ το τηλεφωνικό κέντρο στη λεγόμενη μικτή λειτουργία, δηλαδή σε μια μικτή λειτουργία που υποστηρίζει την εγγραφή τελικών συσκευών σε ασφαλείς και μη ασφαλείς λειτουργίες. Εκκινούμε τον πελάτη, υποδεικνύουμε τη διεύθυνση IP του τηλεφωνικού κέντρου, εισάγουμε τη σύνδεση/κωδικό πρόσβασης διαχειριστή και τις εγκαταστάσεις του προγράμματος-πελάτη CTL Σύνδεση TCPμέσω της θύρας 2444 με το σταθμό (Εικ. 10). Μετά από αυτό, θα προσφέρονται μόνο δύο ενέργειες:
Εικ.10 Πελάτης Cisco CTL
Μετά τη δημιουργία του αρχείου CTL, το μόνο που μένει είναι να επανεκκινήσετε τους διακομιστές TFTP, ώστε να κατεβάσουν το νέο αρχείο CTL που δημιουργήθηκε και, στη συνέχεια, να επανεκκινήσετε τους διακομιστές φωνής, ώστε να επανεκκινήσουν και τα τηλέφωνα IP και να κατεβάσουν το νέο αρχείο CTL (32 kilobyte). Το ληφθέν αρχείο CTL μπορεί να προβληθεί από τις ρυθμίσεις του τηλεφώνου IP (Εικ. 11)
Εικ. 11 Αρχείο CTL σε τηλέφωνο IP
Έλεγχος ταυτότητας τελικού σημείου
Για να διασφαλιστεί ότι συνδέονται και καταχωρούνται μόνο αξιόπιστα τελικά σημεία, πρέπει να εφαρμοστεί έλεγχος ταυτότητας συσκευής. Σε αυτήν την περίπτωση, πολλοί κατασκευαστές χρησιμοποιούν μια ήδη αποδεδειγμένη μέθοδο - έλεγχο ταυτότητας συσκευής με χρήση πιστοποιητικών (Εικ. 12). Για παράδειγμα, στην αρχιτεκτονική φωνής Cisco αυτό υλοποιείται ως εξής: υπάρχουν δύο τύποι πιστοποιητικών για έλεγχο ταυτότητας με αντίστοιχα δημόσια και ιδιωτικά κλειδιά που αποθηκεύονται στο τηλέφωνο:
Εγκατεστημένο πιστοποιητικό κατασκευαστή – (MIC). Το πιστοποιητικό που έχει εγκαταστήσει ο κατασκευαστής περιέχει ένα κλειδί 2048-bit, το οποίο υπογράφεται από την αρχή πιστοποίησης του κατασκευαστή (Cisco). Αυτό το πιστοποιητικό δεν είναι εγκατεστημένο σε όλα τα μοντέλα τηλεφώνων και εάν είναι εγκατεστημένο, τότε δεν χρειάζεται να έχετε άλλο πιστοποιητικό (LSC).
Τοπικά Σημαντικό Πιστοποιητικό – (LSC) Ένα τοπικά σημαντικό πιστοποιητικό περιέχει το δημόσιο κλειδί του τηλεφώνου IP, το οποίο υπογράφεται από το ιδιωτικό κλειδί του τοπικού κέντρου ελέγχου ταυτότητας, το οποίο εκτελείται στο ίδιο το τηλεφωνικό κέντρο, τη Λειτουργία διακομιστή μεσολάβησης της αρχής έκδοσης πιστοποιητικών (CAPF).
Έτσι, εάν έχουμε τηλέφωνα με προεγκατεστημένο πιστοποιητικό MIC, τότε κάθε φορά που το τηλέφωνο εγγράφεται σε σταθμό, ο σταθμός θα ζητά ένα προεγκατεστημένο πιστοποιητικό από τον κατασκευαστή για έλεγχο ταυτότητας. Ωστόσο, εάν το MIC έχει παραβιαστεί, για την αντικατάστασή του απαιτείται επικοινωνία με το κέντρο πιστοποίησης του κατασκευαστή, κάτι που μπορεί να απαιτεί πολύ χρόνο. Προκειμένου να μην εξαρτάται από τον χρόνο απόκρισης της αρχής πιστοποίησης του κατασκευαστή για την επανέκδοση ενός παραβιασμένου πιστοποιητικού τηλεφώνου, είναι προτιμότερο να χρησιμοποιήσετε τοπικό πιστοποιητικό.
Εικ. 12 Πιστοποιητικά για έλεγχο ταυτότητας τελικών συσκευών
Από προεπιλογή, το πιστοποιητικό LSC δεν είναι εγκατεστημένο στο τηλέφωνο IP και η εγκατάστασή του είναι δυνατή χρησιμοποιώντας πιστοποιητικό MIB (εάν υπάρχει) ή μέσω σύνδεσης TLS (Transport Layer Security) μέσω κοινόχρηστου κοινόχρηστο κλειδί, δημιουργείται χειροκίνητα από τον διαχειριστή στο σταθμό και εισάγεται στο τηλέφωνο.
Η διαδικασία εγκατάστασης ενός τοπικά σημαντικού πιστοποιητικού (LSC) στο τηλέφωνο που περιέχει το δημόσιο κλειδί του τηλεφώνου υπογεγραμμένο από μια τοπική αρχή πιστοποίησης φαίνεται στην Εικόνα 13:
Εικ.13 Διαδικασία εγκατάστασης ενός τοπικά έγκυρου πιστοποιητικού LSC
1. Μετά τη φόρτωση του τηλεφώνου IP, ζητά μια αξιόπιστη λίστα πιστοποιητικών (αρχείο CTL) και ένα αρχείο διαμόρφωσης
2. Ο σταθμός στέλνει τα ζητούμενα αρχεία
3. Από τη διαμόρφωση που έλαβε, το τηλέφωνο καθορίζει εάν χρειάζεται λήψη ενός τοπικά σημαντικού πιστοποιητικού (LSC) από το σταθμό
4. Εάν στο σταθμό ρυθμίσαμε το τηλέφωνο να εγκαταστήσει ένα πιστοποιητικό LSC (δείτε παρακάτω), το οποίο θα χρησιμοποιήσει ο σταθμός για τον έλεγχο ταυτότητας αυτού του τηλεφώνου IP, τότε πρέπει να βεβαιωθούμε ότι κατόπιν αιτήματος έκδοσης πιστοποιητικού LSC, ο σταθμός το εκδίδει στο πρόσωπο στο οποίο προορίζεται. Για τους σκοπούς αυτούς, μπορούμε να χρησιμοποιήσουμε ένα πιστοποιητικό MIC (εάν υπάρχει), να δημιουργήσουμε κωδικός μιάς χρήσηςσε κάθε τηλέφωνο και εισάγετέ το χειροκίνητα στο τηλέφωνο ή μην χρησιμοποιήσετε καθόλου εξουσιοδότηση.
Το παράδειγμα δείχνει τη διαδικασία εγκατάστασης LSC χρησιμοποιώντας το παραγόμενο
Με την υποστήριξη του SEO CMS έκδοση: 23.1 TOP 2 (opencartadmin.com)
Το άρθρο γράφτηκε ειδικά για το linkmeup.
=======================
Γεια σας, συνάδελφοι και φίλοι, εγώ, ο Vadim Semenov, μαζί με την ομάδα έργου network-class.net, παρουσιάζουμε ένα άρθρο ανασκόπησης που αγγίζει τις κύριες τάσεις και απειλές στην τηλεφωνία IP, και το πιο σημαντικό, τα εργαλεία προστασίας που προσφέρει επί του παρόντος ο κατασκευαστής στην ποιότητα της προστασίας (στη γλώσσα των ειδικών σε θέματα ασφάλειας, ας εξετάσουμε ποια εργαλεία προσφέρει ο κατασκευαστής για τη μείωση των τρωτών σημείων που μπορούν να εκμεταλλευτούν παράνομα άτομα). Οπότε, λιγότερα λόγια - ας ασχοληθούμε.
Για πολλούς αναγνώστες, ο όρος IP τηλεφωνία έχει διαμορφωθεί εδώ και καιρό, καθώς και το γεγονός ότι αυτή η τηλεφωνία είναι «καλύτερη», φθηνότερη σε σύγκριση με τη δημόσια τηλεφωνία (PSTN), πλούσια σε διάφορες πρόσθετες λειτουργίες κ.λπ. Και αυτό ισχύει, όμως... εν μέρει. Καθώς περάσαμε από την αναλογική (ψηφιακή) τηλεφωνία, με τις γραμμές συνδρομητών (από το τηλέφωνο συνδρομητή στην επέκταση του σταθμού ή σταθμού) και οι γραμμές σύνδεσης (γραμμή επικοινωνίας μεταξύ σταθμών) δεν ήταν λιγότερες παρά μόνο στη ζώνη πρόσβασης και ελέγχου της τηλεφωνίας. προμηθευτής. Με άλλα λόγια, οι απλοί άνθρωποι δεν είχαν πρόσβαση εκεί (ή πρακτικά, αν δεν λάβετε υπόψη τον αγωγό καλωδίων). Θυμάμαι μια ερώτηση στο παλιό καλό φόρουμ χάκερ: «Πες μου πώς να αποκτήσω πρόσβαση στο PBX; - Απάντηση: «Λοιπόν, παίρνετε μια μπουλντόζα, χτυπάτε τον τοίχο του κτιρίου του τηλεφωνικού κέντρου και voila». Και αυτό το αστείο έχει το μερίδιο της αλήθειας) Ωστόσο, με τη μεταφορά της τηλεφωνίας σε ένα φτηνό περιβάλλον IP, λάβαμε επιπλέον και τις απειλές που θέτει ένα ανοιχτό περιβάλλον IP. Ένα παράδειγμα επίκτητων απειλών είναι το ακόλουθο:
- Σνιφάροντας θύρες σηματοδότησης για να πραγματοποιήσετε κλήσεις με διόδια με έξοδα κάποιου άλλου
- Υποκλοπή μέσω υποκλοπής πακέτων φωνής IP
- Υποκλοπή κλήσεων, παράνομος χρήστης που παρουσιάζεται ως νόμιμος χρήστης, επίθεση man-in-the-middle
- Επιθέσεις DDOS σε διακομιστές σηματοδότησης σταθμών προκειμένου να απενεργοποιηθεί όλη η τηλεφωνία
- Επιθέσεις ανεπιθύμητης αλληλογραφίας, αποστολή μεγάλου αριθμού φανταστικών κλήσεων σε έναν σταθμό προκειμένου να καταλάβουν όλους τους δωρεάν πόρους του
Έχοντας καθορίσει τον προϋπολογισμό ασφαλείας, θα αρχίσουμε να εξαλείφουμε ακριβώς εκείνες τις απειλές που είναι πιο πιθανό για την εταιρεία, για παράδειγμα, για έναν μικρό οργανισμό, θα είναι πιο οδυνηρό να λάβουμε έναν μεγάλο λογαριασμό για ατελείς υπεραστικές και διεθνείς κλήσεις, ενώ. για τις δημόσιες εταιρείες είναι πολύ σημαντικό να τηρείται το απόρρητο των συνομιλιών. Ας ξεκινήσουμε τη σταδιακή μας εξέταση στο τρέχον άρθρο με βασικά πράγματα - αυτός παρέχει έναν ασφαλή τρόπο παράδοσης δεδομένων υπηρεσίας από το σταθμό στο τηλέφωνο. Στη συνέχεια, θα εξετάσουμε τον έλεγχο ταυτότητας των τηλεφώνων πριν τα συνδέσουμε με το σταθμό, τον έλεγχο ταυτότητας του σταθμού από τα τηλέφωνα και την κρυπτογράφηση της κυκλοφορίας σηματοδότησης (για απόκρυψη πληροφοριών σχετικά με το ποιος καλεί και πού) και την κρυπτογράφηση της κίνησης συνομιλίας.
Πολλοί κατασκευαστές φωνητικού εξοπλισμού (συμπεριλαμβανομένης της Cisco Systems) διαθέτουν ήδη ενσωματωμένα εργαλεία ασφαλείας, από τον συνήθη περιορισμό του εύρους των διευθύνσεων IP από τις οποίες μπορούν να πραγματοποιηθούν κλήσεις έως τον έλεγχο ταυτότητας των τελικών συσκευών με χρήση πιστοποιητικού. Για παράδειγμα, ο κατασκευαστής Cisco Systems με τη σειρά προϊόντων φωνής του CUCM (Cisco Unified CallManager) άρχισε να ενσωματώνει τη λειτουργία "Ασφάλεια από προεπιλογή" από την έκδοση προϊόντος 8.0 (ημερομηνία κυκλοφορίας Μάιος 2010, έκδοση 10.5 με ημερομηνία Μαΐου 2014 είναι προς το παρόν διαθέσιμη). Τι περιλαμβάνει:
- Έλεγχος ταυτότητας όλων των αρχείων που έχουν ληφθεί μέσω/από TFTP (αρχεία διαμόρφωσης, αρχεία υλικολογισμικού για τηλέφωνα κ.λπ.)
- Κρυπτογράφηση αρχείων διαμόρφωσης
- Έλεγχος του πιστοποιητικού με το τηλέφωνο που προετοιμάζει τη σύνδεση HTTPS
Εικ.1 Επίθεση Man-in-the-Middle
Για να προστατευτούμε από αυτό, θα χρειαστούμε γνώση ασύμμετρης κρυπτογράφησης, υποδομής δημόσιου κλειδιού και κατανόηση των στοιχείων της Ασφάλειας από προεπιλογή, τα οποία θα εισαγάγουμε τώρα: Λίστα αξιοπιστίας ταυτότητας (ITL) και Υπηρεσία επαλήθευσης αξιοπιστίας (TVS). Το TVS είναι μια υπηρεσία που έχει σχεδιαστεί για την επεξεργασία αιτημάτων από τηλέφωνα IP που δεν διαθέτουν αρχείο ITL ή CTL στην εσωτερική μνήμη. Το τηλέφωνο IP επικοινωνεί με την TVS εάν χρειάζεται να βεβαιωθεί εάν μπορεί να εμπιστευτεί μια συγκεκριμένη υπηρεσία πριν αρχίσει να έχει πρόσβαση σε αυτήν. Ο σταθμός λειτουργεί επίσης ως αποθήκη που αποθηκεύει πιστοποιητικά αξιόπιστων διακομιστών. Με τη σειρά του, το ITL είναι μια λίστα με τα δημόσια κλειδιά των στοιχείων που συνθέτουν το σύμπλεγμα σταθμών, αλλά είναι σημαντικό για εμάς να αποθηκεύονται εκεί το δημόσιο κλειδί του διακομιστή TFTP και το δημόσιο κλειδί της υπηρεσίας TVS. Κατά την αρχική εκκίνηση του τηλεφώνου, όταν το τηλέφωνο λάβει τη διεύθυνση IP και τη διεύθυνση διακομιστή TFTP, ζητά την παρουσία ενός αρχείου ITL (Εικ. 2). Εάν βρίσκεται στον διακομιστή TFTP, τότε, με τυφλή εμπιστοσύνη, τον φορτώνει στην εσωτερική του μνήμη και τον αποθηκεύει μέχρι την επόμενη επανεκκίνηση. Μετά τη λήψη του αρχείου ITL, το τηλέφωνο ζητά ένα υπογεγραμμένο αρχείο διαμόρφωσης.
Ας δούμε τώρα πώς μπορούμε να χρησιμοποιήσουμε εργαλεία κρυπτογραφίας - υπογράφοντας ένα αρχείο χρησιμοποιώντας τις συναρτήσεις κατακερματισμού MD5 ή SHA και κρυπτογράφηση χρησιμοποιώντας το ιδιωτικό κλειδί του διακομιστή TFTP (Εικ. 3). Το ιδιαίτερο με τις συναρτήσεις κατακερματισμού είναι ότι είναι μονόδρομες συναρτήσεις. Με βάση τον κατακερματισμό που λαμβάνεται από οποιοδήποτε αρχείο, είναι αδύνατο να πραγματοποιηθεί η αντίστροφη λειτουργία και να ληφθεί ακριβώς το αρχικό αρχείο. Όταν αλλάζει ένα αρχείο, αλλάζει και ο ίδιος ο κατακερματισμός που λαμβάνεται από αυτό το αρχείο. Αξίζει να σημειωθεί ότι το hash δεν γράφεται στο ίδιο το αρχείο, αλλά απλώς προσαρτάται σε αυτό και μεταδίδεται μαζί του.
Εικ.3 Υπογραφή του αρχείου διαμόρφωσης τηλεφώνου
Κατά το σχηματισμό μιας υπογραφής, λαμβάνεται το ίδιο το αρχείο διαμόρφωσης, ο κατακερματισμός εξάγεται από αυτό και κρυπτογραφείται με το ιδιωτικό κλειδί του διακομιστή TFTP (το οποίο έχει μόνο ο διακομιστής TFTP).
Κατά τη λήψη αυτού του αρχείου ρυθμίσεων, το τηλέφωνο το ελέγχει αρχικά για ακεραιότητα. Θυμόμαστε ότι ο κατακερματισμός είναι μια μονόδρομη συνάρτηση, επομένως το τηλέφωνο δεν έχει τίποτα άλλο να κάνει εκτός από το να διαχωρίσει τον κατακερματισμό που έχει κρυπτογραφηθεί από τον διακομιστή TFTP από το αρχείο διαμόρφωσης, να το αποκρυπτογραφήσει χρησιμοποιώντας το δημόσιο κλειδί TFTP (και πώς το γνωρίζει το τηλέφωνο IP ? - και μόνο από το αρχείο ITL ), από ένα καθαρό αρχείο διαμόρφωσης, υπολογίστε τον κατακερματισμό και συγκρίνετέ τον με αυτό που λάβαμε κατά την αποκρυπτογράφηση. Εάν ο κατακερματισμός ταιριάζει, σημαίνει ότι δεν έγιναν αλλαγές στο αρχείο κατά τη μετάδοση και ότι μπορεί να χρησιμοποιηθεί με ασφάλεια στο τηλέφωνο (Εικ. 4).
Εικ.4 Έλεγχος του αρχείου διαμόρφωσης με τηλέφωνο IP
Το υπογεγραμμένο αρχείο διαμόρφωσης για το τηλέφωνο φαίνεται παρακάτω:
Ρύζι. 5 Υπογεγραμμένο αρχείο IP τηλεφώνου στο Wireshark
Με την υπογραφή του αρχείου διαμόρφωσης, μπορέσαμε να διασφαλίσουμε την ακεραιότητα του μεταφερόμενου αρχείου ρυθμίσεων, αλλά δεν το προστατέψαμε από την προβολή. Από το αρχείο διαμόρφωσης που καταγράφηκε μπορείτε να λάβετε πολλές χρήσιμες πληροφορίες, για παράδειγμα, τη διεύθυνση IP του τηλεφωνικού κέντρου (στο παράδειγμά μας είναι 192.168.1.66) και τις ανοιχτές θύρες στο κέντρο (2427) κ.λπ. Δεν είναι πολύ σημαντικές πληροφορίες που δεν θα θέλατε απλώς να «λάμψουν» στο Διαδίκτυο; Για την απόκρυψη αυτών των πληροφοριών, οι κατασκευαστές παρέχουν τη χρήση συμμετρικής κρυπτογράφησης (το ίδιο κλειδί χρησιμοποιείται για κρυπτογράφηση και αποκρυπτογράφηση). Σε μια περίπτωση, το κλειδί μπορεί να εισαχθεί στο τηλέφωνο με μη αυτόματο τρόπο, σε μια άλλη περίπτωση, το αρχείο διαμόρφωσης του τηλεφώνου κρυπτογραφείται στο σταθμό χρησιμοποιώντας το δημόσιο κλειδί του τηλεφώνου. Πριν στείλει ένα αρχείο στο τηλέφωνο, ο διακομιστής tftp στον οποίο είναι αποθηκευμένο αυτό το αρχείο το κρυπτογραφεί χρησιμοποιώντας το δημόσιο κλειδί του τηλεφώνου και το υπογράφει χρησιμοποιώντας το ιδιωτικό του κλειδί (έτσι διασφαλίζουμε όχι μόνο το απόρρητο, αλλά και την ακεραιότητα των μεταφερόμενων αρχείων). Το κύριο πράγμα εδώ είναι να μην μπερδευτούμε σχετικά με το ποιος χρησιμοποιεί ποιο κλειδί, αλλά ας το πάρουμε με τη σειρά: ο διακομιστής tftp, κρυπτογραφώντας το αρχείο με το δημόσιο κλειδί του τηλεφώνου IP, εξασφάλισε ότι μόνο ο κάτοχος του αντιστοιχισμένου δημόσιου κλειδιού μπορεί να ανοίξει αυτό το αρχείο. Υπογράφοντας το αρχείο με το ιδιωτικό του κλειδί, ο διακομιστής tftp επιβεβαιώνει ότι ήταν αυτός που το δημιούργησε. Το κρυπτογραφημένο αρχείο φαίνεται στην Εικόνα 6:
Εικ.6 Κρυπτογραφημένο αρχείο IP τηλεφώνου
Σε αυτό το σημείο, λοιπόν, εξετάσαμε την προστασία των αρχείων διαμόρφωσης του τηλεφώνου μας από την προβολή και τη διασφάλιση της ακεραιότητάς τους. Εδώ τελειώνει η λειτουργία Security by Default. Για να διασφαλιστεί η κρυπτογράφηση της φωνητικής κίνησης και η απόκρυψη πληροφοριών σηματοδότησης (σχετικά με το ποιος καλεί και πού καλεί), χρειάζονται πρόσθετα εργαλεία με βάση τη λίστα αξιόπιστων πιστοποιητικών - CTL, τα οποία θα εξετάσουμε περαιτέρω.
Έλεγχος ταυτότητας τηλεφωνικού κέντρου
Όταν ένα τηλέφωνο χρειάζεται να επικοινωνήσει με ένα τηλεφωνικό κέντρο (για παράδειγμα, για να διαπραγματευτεί μια σύνδεση TLS για ανταλλαγή σήματος), το τηλέφωνο IP πρέπει να ελέγξει την ταυτότητα του κέντρου. Όπως μπορείτε να μαντέψετε, τα πιστοποιητικά χρησιμοποιούνται επίσης ευρέως για την επίλυση αυτού του προβλήματος. Αυτή τη στιγμή, οι σύγχρονοι σταθμοί IP αποτελούνται από μεγάλο αριθμό στοιχείων: αρκετούς διακομιστές σηματοδότησης για την επεξεργασία κλήσεων, έναν αποκλειστικό διακομιστή διαχείρισης (νέα τηλέφωνα, χρήστες, πύλες, κανόνες δρομολόγησης κ.λπ. προστίθενται μέσω αυτού), έναν αποκλειστικό διακομιστή TFTP για αποθήκευση αρχείων διαμόρφωσης και λογισμικού για τηλέφωνα, διακομιστή για μετάδοση μουσικής σε αναμονή κ.λπ., επιπλέον, η φωνητική υποδομή μπορεί να περιλαμβάνει φωνητικό ταχυδρομείο, διακομιστή για τον προσδιορισμό της τρέχουσας κατάστασης του συνδρομητή (online, offline, "κατά το μεσημεριανό γεύμα") - η λίστα είναι εντυπωσιακή και, το πιο σημαντικό, κάθε διακομιστής έχει το δικό του αυτο-υπογεγραμμένο πιστοποιητικό και ο καθένας λειτουργεί ως αρχή πιστοποίησης root (Εικ. 7). Για το λόγο αυτό, οποιοσδήποτε διακομιστής στην υποδομή φωνής δεν θα εμπιστεύεται το πιστοποιητικό άλλου διακομιστή, για παράδειγμα, ένας διακομιστής φωνής δεν εμπιστεύεται έναν διακομιστή TFTP, το φωνητικό ταχυδρομείο δεν εμπιστεύεται έναν διακομιστή σηματοδότησης και, επιπλέον, τα τηλέφωνα πρέπει να αποθηκεύουν τα πιστοποιητικά του όλα τα στοιχεία που συμμετέχουν στην ανταλλαγή της κυκλοφορίας σηματοδότησης. Τα πιστοποιητικά τηλεφωνικού κέντρου φαίνονται στο σχήμα 7.
Εικ.7 Αυτο-υπογεγραμμένα πιστοποιητικά σταθμού IP Cisco
Για τις εργασίες δημιουργίας σχέσεων εμπιστοσύνης μεταξύ των προαναφερθέντων στοιχείων στις υποδομές φωνής, καθώς και για την κρυπτογράφηση της κίνησης φωνής και σηματοδότησης, τίθεται σε εφαρμογή η λεγόμενη Λίστα Εμπιστοσύνης Πιστοποιητικών (CTL). Το CTL περιέχει όλα τα αυτο-υπογεγραμμένα πιστοποιητικά όλων των διακομιστών στο σύμπλεγμα φωνητικών σταθμών, καθώς και εκείνων που συμμετέχουν στην ανταλλαγή μηνυμάτων σηματοδότησης τηλεφωνίας (για παράδειγμα, ένα τείχος προστασίας) και αυτό το αρχείο υπογράφεται με το ιδιωτικό κλειδί μιας αξιόπιστης αρχής πιστοποίησης (Εικ. 8). Το αρχείο CTL είναι ισοδύναμο με τα εγκατεστημένα πιστοποιητικά που χρησιμοποιούνται σε προγράμματα περιήγησης ιστού κατά την εργασία με το πρωτόκολλο https.
Εικ.8 Λίστα αξιόπιστων πιστοποιητικών
Για να δημιουργήσετε ένα αρχείο CTL σε εξοπλισμό Cisco, θα χρειαστείτε έναν υπολογιστή με υποδοχή USB, το πρόγραμμα-πελάτη CTL εγκατεστημένο σε αυτό και το ίδιο το Site Administrator Security Token (SAST) (Εικ. 9), που περιέχει ένα ιδιωτικό κλειδί και πιστοποιητικό X.509v3 υπογεγραμμένο από κατασκευαστή κέντρου ελέγχου ταυτότητας (Cisco).
Εικ.9 eToken Cisco
Το πρόγραμμα-πελάτης CTL είναι ένα πρόγραμμα που είναι εγκατεστημένο σε έναν υπολογιστή με Windows και με το οποίο μπορείτε να μεταφέρετε ΟΛΟΚΛΗΡΟ το τηλεφωνικό κέντρο στη λεγόμενη μικτή λειτουργία, δηλαδή σε μια μικτή λειτουργία που υποστηρίζει την εγγραφή τελικών συσκευών σε ασφαλείς και μη ασφαλείς λειτουργίες. Εκκινούμε τον πελάτη, καθορίζουμε τη διεύθυνση IP του τηλεφωνικού κέντρου, εισάγουμε το login/password του διαχειριστή και ο πελάτης CTL δημιουργεί μια σύνδεση TCP στη θύρα 2444 με το σταθμό (Εικ. 10). Μετά από αυτό, θα προσφέρονται μόνο δύο ενέργειες:
Εικ.10 Πελάτης Cisco CTL
Μετά τη δημιουργία του αρχείου CTL, το μόνο που μένει είναι να επανεκκινήσετε τους διακομιστές TFTP, ώστε να κατεβάσουν το νέο αρχείο CTL που δημιουργήθηκε και, στη συνέχεια, να επανεκκινήσετε τους διακομιστές φωνής, ώστε να επανεκκινήσουν και τα τηλέφωνα IP και να κατεβάσουν το νέο αρχείο CTL (32 kilobyte). Το ληφθέν αρχείο CTL μπορεί να προβληθεί από τις ρυθμίσεις του τηλεφώνου IP (Εικ. 11)
Εικ. 11 Αρχείο CTL σε τηλέφωνο IP
Έλεγχος ταυτότητας τελικού σημείου
Για να διασφαλιστεί ότι συνδέονται και καταχωρούνται μόνο αξιόπιστα τελικά σημεία, πρέπει να εφαρμοστεί έλεγχος ταυτότητας συσκευής. Σε αυτή την περίπτωση, πολλοί κατασκευαστές χρησιμοποιούν μια ήδη αποδεδειγμένη μέθοδο - έλεγχο ταυτότητας συσκευής με χρήση πιστοποιητικών (Εικ. 12). Για παράδειγμα, στην αρχιτεκτονική φωνής Cisco αυτό υλοποιείται ως εξής: υπάρχουν δύο τύποι πιστοποιητικών για έλεγχο ταυτότητας με αντίστοιχα δημόσια και ιδιωτικά κλειδιά που αποθηκεύονται στο τηλέφωνο:Εγκατεστημένο πιστοποιητικό κατασκευαστή - (MIC). Το πιστοποιητικό που έχει εγκαταστήσει ο κατασκευαστής περιέχει ένα κλειδί 2048-bit, το οποίο υπογράφεται από την αρχή πιστοποίησης του κατασκευαστή (Cisco). Αυτό το πιστοποιητικό δεν είναι εγκατεστημένο σε όλα τα μοντέλα τηλεφώνων και εάν είναι εγκατεστημένο, τότε δεν χρειάζεται να έχετε άλλο πιστοποιητικό (LSC).
Τοπικά Σημαντικό Πιστοποιητικό – (LSC)Ένα τοπικά έγκυρο πιστοποιητικό περιέχει το δημόσιο κλειδί του τηλεφώνου IP, το οποίο υπογράφεται από το ιδιωτικό κλειδί του τοπικού κέντρου ελέγχου ταυτότητας, το οποίο εκτελείται στο ίδιο το τηλεφωνικό κέντρο, τη Λειτουργία διακομιστή μεσολάβησης της αρχής έκδοσης πιστοποιητικών (CAPF).
Έτσι, εάν έχουμε τηλέφωνα με προεγκατεστημένο πιστοποιητικό MIC, τότε κάθε φορά που το τηλέφωνο εγγράφεται σε σταθμό, ο σταθμός θα ζητά ένα προεγκατεστημένο πιστοποιητικό από τον κατασκευαστή για έλεγχο ταυτότητας. Ωστόσο, εάν το MIC έχει παραβιαστεί, για την αντικατάστασή του απαιτείται επικοινωνία με το κέντρο πιστοποίησης του κατασκευαστή, κάτι που μπορεί να απαιτεί πολύ χρόνο. Για να μην εξαρτάται από τον χρόνο απόκρισης της αρχής πιστοποίησης του κατασκευαστή για την επανέκδοση ενός παραβιασμένου πιστοποιητικού τηλεφώνου, είναι προτιμότερο να χρησιμοποιείτε ένα τοπικό πιστοποιητικό.
Εικ. 12 Πιστοποιητικά για έλεγχο ταυτότητας τελικών συσκευών
Από προεπιλογή, το πιστοποιητικό LSC δεν είναι εγκατεστημένο στο τηλέφωνο IP και η εγκατάστασή του μπορεί να γίνει χρησιμοποιώντας ένα πιστοποιητικό MIB (εάν υπάρχει) ή μέσω μιας σύνδεσης TLS (Transport Layer Security) χρησιμοποιώντας ένα κοινόχρηστο δημόσιο κλειδί που δημιουργείται με μη αυτόματο τρόπο από τον διαχειριστή στο σταθμό και μπήκε στο τηλέφωνο.
Η διαδικασία εγκατάστασης ενός τοπικά σημαντικού πιστοποιητικού (LSC) στο τηλέφωνο που περιέχει το δημόσιο κλειδί του τηλεφώνου υπογεγραμμένο από μια τοπική αρχή πιστοποίησης φαίνεται στο Σχήμα 13:
Εικ.13 Διαδικασία εγκατάστασης ενός τοπικά έγκυρου πιστοποιητικού LSC
1. Μετά τη φόρτωση του τηλεφώνου IP, ζητά μια αξιόπιστη λίστα πιστοποιητικών (αρχείο CTL) και ένα αρχείο διαμόρφωσης
2. Ο σταθμός στέλνει τα ζητούμενα αρχεία
3. Από τη διαμόρφωση που έλαβε, το τηλέφωνο καθορίζει εάν χρειάζεται λήψη ενός τοπικά σημαντικού πιστοποιητικού (LSC) από το σταθμό
4. Εάν στο σταθμό ρυθμίσαμε το τηλέφωνο να εγκαταστήσει ένα πιστοποιητικό LSC (δείτε παρακάτω), το οποίο θα χρησιμοποιήσει ο σταθμός για τον έλεγχο ταυτότητας αυτού του τηλεφώνου IP, τότε πρέπει να βεβαιωθούμε ότι κατόπιν αιτήματος έκδοσης πιστοποιητικού LSC, ο σταθμός το εκδίδει στο πρόσωπο στο οποίο προορίζεται. Για τους σκοπούς αυτούς, μπορούμε να χρησιμοποιήσουμε ένα πιστοποιητικό MIC (εάν υπάρχει), να δημιουργήσουμε έναν κωδικό πρόσβασης μίας χρήσης για κάθε τηλέφωνο και να τον εισάγουμε χειροκίνητα στο τηλέφωνο ή να μην χρησιμοποιήσουμε καθόλου εξουσιοδότηση.
Το παράδειγμα δείχνει τη διαδικασία εγκατάστασης του LSC χρησιμοποιώντας το κλειδί που δημιουργήθηκε.
Στο σταθμό στη λειτουργία ρυθμίσεων τηλεφώνου IP, υποδεικνύουμε ότι θέλουμε να εγκαταστήσουμε ένα πιστοποιητικό LSC στο τηλέφωνο και η εγκατάσταση θα είναι επιτυχής εάν εισάγουμε το κλειδί ελέγχου ταυτότητας στο τηλέφωνο, το οποίο ορίσαμε ως 12345 (Εικ. 14) .
Εικ.14 Λειτουργία ρυθμίσεων CAPF στο τηλέφωνο
Μπαίνουμε στη λειτουργία ρύθμισης τηλεφώνου και εισάγουμε το κλειδί μας (Εικ. 15):
Εικ.15 Κλειδί ελέγχου ταυτότητας για εγκατάσταση LSC
Μετά από αυτό, η εγκατάσταση του πιστοποιητικού LSC στο τηλέφωνο ήταν επιτυχής (Εικ. 16):
Εικ.16 Ρυθμίσεις ασφαλείας στο τηλέφωνο IP
Η ιδιαιτερότητα της χρήσης πιστοποιητικού LSC για τον έλεγχο ταυτότητας τελικών συσκευών είναι ότι εάν το ίδιο το πιστοποιητικό παραβιαστεί, μπορεί να υπογραφεί εκ νέου με ένα νέο ιδιωτικό κλειδί από την αρχή πιστοποίησης CAPF του τηλεφωνικού κέντρου.
Έτσι, αυτή τη στιγμή έχουμε επιτύχει την ασφάλεια όχι μόνο των ληφθέντων αρχείων, αλλά και τον έλεγχο ταυτότητας των διακομιστών σηματοδότησης από τις τελικές συσκευές (τηλέφωνα IP), καθώς και τις ίδιες τις τελικές συσκευές από το σταθμό. Ας εξετάσουμε τώρα τη διατήρηση της εμπιστευτικότητας των συνομιλιών κρυπτογραφώντας την κίνηση φωνής και απόκρυψη πληροφοριών σηματοδότησης.
Κρυπτογράφηση συνομιλίας - SRTP
Ας εξετάσουμε τι προσφέρει επί του παρόντος ο κατασκευαστής για να εκτελέσει την πιο δημοφιλή εργασία - τη διασφάλιση του απορρήτου των συνομιλιών.Ως στάνταρ, όλα τα μηνύματα συναγερμού και φωνής μεταδίδονται σε ανοιχτή μορφή, όπως φαίνεται στο Σχήμα 17:
Εικ.17 Άνοιγμα μηνύματοςΓΟΥΛΙΑ
Ασφαλές πρωτόκολλο σε πραγματικό χρόνο (SRTP)είναι ένα ειδικά σχεδιασμένο πρωτόκολλο RTP σχεδιασμένο για μετάδοση φωνής και βίντεο, αλλά συμπληρώνεται με μηχανισμούς που διασφαλίζουν την εμπιστευτικότητα και την ακεραιότητα μεταδιδόμενες πληροφορίεςόχι μόνο μέσω RTP, αλλά και RTCP. Μια εφαρμογή φωνής που υποστηρίζει SRTP πρέπει να μετατρέψει πακέτα RTP σε SRTP πριν τα στείλει μέσω του δικτύου. Η αντίστροφη λειτουργία πρέπει να γίνει στην πλευρά λήψης. Η αρχιτεκτονική SRTP ορίζει δύο τύπους κλειδιών: ένα κύριο κλειδί και ένα κλειδί συνεδρίας (για κρυπτογράφηση και έλεγχο ταυτότητας) (Εικόνα 18). Ωστόσο, το SRTP δεν ρυθμίζει τη διαδικασία ανταλλαγής βασικών κλειδιών για αυτούς τους σκοπούς, είναι απαραίτητο να χρησιμοποιήσετε TLS ή IPSec. Για την ανταλλαγή κλειδιών, η τυποποιημένη λύση για το SRTP είναι το MIKEY (Κλειδιοποίηση Διαδικτύου Πολυμέσων), αλλά μπορούν επίσης να χρησιμοποιηθούν πρωτόκολλα όπως το SDES και το ZRTP.
Εικ.18 Πραγματοποίηση κλήσης με χρήση SRTP
Διαδικασία ανταλλαγής μηνυμάτων SRTP:
- Το τηλέφωνο και ο διακομιστής ανταλλάσσουν πιστοποιητικά.
- Το τηλέφωνο και ο διακομιστής ελέγχουν ο ένας τον άλλον.
- Το τηλέφωνο δημιουργεί κλειδιά TLS για έλεγχο ταυτότητας SHA και κρυπτογράφηση AES.
- Το τηλέφωνο κρυπτογραφεί τα κλειδιά χρησιμοποιώντας το δημόσιο κλειδί του σταθμού και στέλνει. Ο σταθμός αποκρυπτογραφεί χρησιμοποιώντας το ιδιωτικό του κλειδί.
- Ο σταθμός ανταλλάσσει κλειδιά TLS με καθένα από τα τηλέφωνα και ξεκινά ασφαλής ανταλλαγήμηνύματα τηλεφωνικής σηματοδότησης (κουδουνίζει το τηλέφωνο του καλούμενου συνδρομητή).
- Ο σταθμός δημιουργεί κλειδιά περιόδου λειτουργίας για έλεγχο ταυτότητας SRTP SHA και κρυπτογράφηση SRTP AES.
- Ο σταθμός διανέμει κλειδιά συνεδρίας και στα δύο τηλέφωνα μέσω μιας ασφαλούς σύνδεσης σηματοδότησης.
- Τα τηλέφωνα αρχίζουν να ανταλλάσσουν κίνηση φωνής μέσω μιας ασφαλούς σύνδεσης SRTP (το καλούμενο άτομο σηκώνει το ακουστικό).
Εικ.19 Προφίλ ασφαλείας στο Cisco CallManager
Σε αυτό καθορίζουμε σε ποιο τρόπο θα εγγραφούν και θα λειτουργήσουν οι τελικές συσκευές (τηλέφωνα). Όταν επιλέγετε την επιλογή Non Secure, ούτε τα δεδομένα σήματος ούτε η φωνή κρυπτογραφούνται. Έλεγχος ταυτότητας – τα μηνύματα σηματοδότησης είναι κρυπτογραφημένα, αλλά η φωνή δεν είναι κρυπτογραφημένη. Κρυπτογραφημένο – τόσο η σηματοδότηση όσο και η φωνή είναι κρυπτογραφημένα. Είναι δυνατή η επιλογή κρυπτογράφησης των δεδομένων διαμόρφωσης. Αφού δημιουργήσετε ένα προφίλ, πρέπει να το αντιστοιχίσετε στο τηλέφωνό σας (Εικ. 20).
Εικ.20 Προφίλ ασφαλείας τηλεφώνου στο Cisco CallManager
Προς το παρόν, έχουμε εξετάσει τα κύρια σημεία της ασφάλειας της τηλεφωνίας IP, τα οποία μας επιτρέπουν να καταπολεμήσουμε τις κύριες απειλές για την τηλεφωνία, ωστόσο, αυτό είναι μόνο η κορυφή του παγόβουνου ολόκληρης της ασφάλειας της φωνητικής υποδομής) Ξεχωριστή σκέψη είναι απαραίτητο σωματική ασφάλειαυποδομή (για παράδειγμα εδώ: GOST R ISO/IEC 17799-2005 Πρακτικοί κανόνες για τη διαχείριση της ασφάλειας πληροφοριών), και ξεχωριστό θέμαμπορεί να αφιερωθεί ασφάλεια δικτύου. Ελπίζω όσοι διάβασαν το άρθρο μέχρι το τέλος να έμειναν ικανοποιημένοι και οι πληροφορίες ήταν χρήσιμες.
Είμαι έτοιμος να απαντήσω σε οποιαδήποτε ερώτηση μέσω ταχυδρομείου: [email προστατευμένο]
Με την υποστήριξη του έργου network-class.net
Η τηλεφωνία IP χρησιμοποιείται όλο και περισσότερο σε εταιρείες. Αυξάνει την αποτελεσματικότητα της επιχειρηματικής δραστηριότητας και σας επιτρέπει να πραγματοποιήσετε πολλές προηγουμένως αδύνατες λειτουργίες (για παράδειγμα, ενοποίηση με CRM και άλλες επιχειρηματικές εφαρμογές, μείωση του κόστους κατασκευής και λειτουργίας τηλεπικοινωνιακής υποδομής, δημιουργία αποτελεσματικών τηλεφωνικών κέντρων, μείωση του συνολικού κόστους του συστήματος ιδιοκτησία κ.λπ.). Ωστόσο, ενεργητική ανάπτυξηΗ τηλεφωνία IP παρεμποδίζεται από το γεγονός ότι πολλές φήμες για τη χαμηλή ασφάλειά της κυκλοφορούν γύρω από αυτήν την τεχνολογία. Η Cisco Systems έχει αποδείξει ότι αυτό δεν συμβαίνει και αυτή η δημοσίευση έχει σκοπό να καταρρίψει τους υπάρχοντες μύθους σχετικά με την ανασφάλεια της τηλεφωνίας IP.
Θα πρέπει να σημειωθεί αμέσως ότι η Cisco είναι ο μόνος κατασκευαστής που παρέχει προστασία για την υποδομή IP τηλεφωνίας σε όλα τα επίπεδα, από το περιβάλλον μεταφοράς έως φωνητικές εφαρμογές. Αυτό επιτυγχάνεται με την εφαρμογή λύσεων στο πλαίσιο της πρωτοβουλίας Cisco Self-Defending Network. Το υψηλό επίπεδο ασφάλειας των λύσεων της Cisco Systems επιβεβαιώνεται από ανεξάρτητα εργαστήρια δοκιμών. Συγκεκριμένα, το περιοδικό NetworkWorld (http://www.nwfusion.com/reviews/2004/0524voipsecurity.html) δοκίμασε αρκετές λύσεις IP τηλεφωνίας και μόνο η Cisco έδωσε την υψηλότερη δυνατή βαθμολογία «SECURE» («ασφαλής»).
1. Η IP τηλεφωνία δεν προστατεύει από την υποκλοπή
Οι λύσεις τηλεφωνίας IP της Cisco χρησιμοποιούν διάφορες τεχνολογίες και μηχανισμούς για τη διασφάλιση του απορρήτου των συναλλαγών. Πρώτον, κατανέμει την κίνηση φωνής σε ένα αποκλειστικό τμήμα δικτύου και περιορίζει την πρόσβαση στη ροή φωνής χρησιμοποιώντας κανόνες ελέγχου πρόσβασης σε δρομολογητές και τείχη προστασίας. Δεύτερον, όλα φωνητική κυκλοφορίαμπορεί να προστατεύεται από μη εξουσιοδοτημένη υποκλοπή χρησιμοποιώντας τεχνολογία εικονικού ιδιωτικού δικτύου (VPN). Πρωτόκολλο IPSecσας επιτρέπει να προστατεύετε τις τηλεφωνικές συνομιλίες ακόμη και μέσω δικτύων ανοιχτής πρόσβασης, όπως το Διαδίκτυο. Και τέλος, η Cisco έχει εφαρμόσει στα τηλέφωνα IP της το πρωτόκολλο SecureRTP (SRTP), ειδικά σχεδιασμένο για να διασφαλίζει το απόρρητο της ροής φωνής, το οποίο δεν επιτρέπει σε ξένους να διεισδύσουν στα μυστικά των τηλεφωνικών συνομιλιών.
2. Η τηλεφωνία IP είναι επιρρεπής σε μόλυνση από σκουλήκια, ιούς και Trojans
Για την προστασία της υποδομής IP τηλεφωνίας από μόλυνση από διάφορα κακόβουλα προγράμματα, η Cisco προσφέρει μια σειρά από προστατευτικά μέτρα που σας επιτρέπουν να δημιουργήσετε μια πολυεπίπεδη άμυνα που αποτρέπει όχι μόνο την εισαγωγή, αλλά και την εξάπλωση σκουληκιών, ιών, δούρειων ίππων και άλλων τύπων κακόβουλων δραστηριότητα. Η πρώτη γραμμή άμυνας είναι η χρήση τείχους προστασίας και συστημάτων ανίχνευσης και πρόληψης επιθέσεων, μαζί με λογισμικό προστασίας από ιούς από συνεργαζόμενες εταιρείες της Cisco, για περιορισμό της πρόσβασης στην υποδομή τηλεφωνίας IP.
Η δεύτερη γραμμή άμυνας βασίζεται στη χρήση αντιιών και συστημάτων πρόληψης επιθέσεων σε τερματικούς κόμβους που συμμετέχουν στην υποδομή τηλεφωνίας IP - Cisco IP SoftPhone, Cisco CallManager, Cisco Unity, Cisco IP Contact Center (IPCC) Express, Cisco Προσωπικός βοηθός, Cisco IP Interactive Voice Response, κ.λπ.
Η τελευταία, αλλά όχι η λιγότερο σημαντική γραμμή άμυνας είναι η πρωτοβουλία Network Admission Control που προτείνει η Cisco Systems. Ως μέρος αυτής της πρωτοβουλίας, όλοι οι σταθμοί εργασίας και οι διακομιστές που δεν συμμορφώνονται με την πολιτική ασφαλείας (συμπεριλαμβανομένων εκείνων με απεγκατεστημένο λογισμικό προστασίας από ιούς) δεν θα μπορούν να έχουν πρόσβαση στο εταιρικό δίκτυο και να προκαλέσουν ζημιά στους πόρους του.
3. Η τηλεφωνία IP δεν προστατεύει από πλαστογράφηση τηλεφώνων και διακομιστών ελέγχου
Για προστασία από συσκευές που προσπαθούν να μεταμφιεστούν ως εξουσιοδοτημένα τηλέφωνα IP ή συνδεδεμένες σε μη εξουσιοδοτημένες συσκευές. υποδομή δικτύου, η Cisco προσφέρει τη χρήση όχι μόνο των κανόνων ελέγχου πρόσβασης που αναφέρθηκαν παραπάνω σε δρομολογητές και τείχη προστασίας, αλλά και αναπτυγμένα εργαλεία ισχυρός έλεγχος ταυτότηταςόλοι οι συνδρομητές της υποδομής τηλεφωνίας IP (συμπεριλαμβανομένου του διακομιστή διαχείρισης κλήσεων), για τον έλεγχο ταυτότητας του οποίου χρησιμοποιούνται διάφορα τυποποιημένα πρωτόκολλα, συμπεριλαμβανομένων των πιστοποιητικών RADIUS, PKI X.509 κ.λπ.
4. Ένας εισβολέας με δικαιώματα διαχείρισης μπορεί να διαταράξει τη λειτουργία της υποδομής τηλεφωνίας 1P
Το CallManager παρέχει προηγμένες δυνατότητες για την εκχώρηση διαφόρων διαχειριστές συστήματοςμόνο εκείνα τα δικαιώματα που χρειάζονται για να ασκήσουν τα καθήκοντά τους. Τέτοια δικαιώματα μπορεί να περιλαμβάνουν - πρόσβαση σε συγκεκριμένες ρυθμίσειςμόνο για ανάγνωση πλήρης απουσίαπρόσβαση σε αυτά, πρόσβαση σε αλλαγές, κ.λπ.). Επιπλέον, όλες οι ενέργειες που εκτελούνται από τον διαχειριστή καταγράφονται σε ειδικό αρχείο καταγραφής και μπορούν να αναλυθούν ανά πάσα στιγμή για αναζήτηση ιχνών μη εξουσιοδοτημένης δραστηριότητας.
Η διαχείριση της διαμόρφωσης των τηλεφώνων IP και της αλληλεπίδρασής τους με το CallManager γίνεται μέσω ενός καναλιού που προστατεύεται από μη εξουσιοδοτημένη πρόσβαση, αποτρέποντας τυχόν προσπάθειες ανάγνωσης ή τροποποίησης εντολών ελέγχου. Για την προστασία του καναλιού ελέγχου, χρησιμοποιούνται διάφορα τυποποιημένα πρωτόκολλα και αλγόριθμοι - IPSec, TLS, SHA-1 κ.λπ.
5. Το CallManager δεν είναι ασφαλές επειδή είναι εγκατεστημένο στο πλατφόρμα Windows
Παρά το γεγονός ότι ο διακομιστής διαχείρισης υποδομής τηλεφωνίας IP CallManager είναι εγκατεστημένος στην πλατφόρμα Windows, δεν έχει εγγενείς αδυναμίες σε αυτήν την πλατφόρμα. Αυτό οφείλεται στο γεγονός ότι το CallManager εκτελείται σε μια ασφαλή και βελτιστοποιημένη έκδοση των Windows στην οποία:
- όλοι ανάπηροι περιττές υπηρεσίεςκαι λογαριασμούς,
- έχουν εγκατασταθεί όλες οι απαραίτητες και τακτικά ενημερωμένες ενημερώσεις κώδικα,
- η πολιτική ασφαλείας έχει ρυθμιστεί.
6. Η τηλεφωνία IP είναι εύκολο να αποτύχει
Παρόλο που διάφορα στοιχεία της τηλεφωνίας IP είναι δυνητικά επιρρεπή σε επιθέσεις άρνησης υπηρεσίας, οι λύσεις της Cisco Systems προσφέρουν μια σειρά προστατευτικών μέτρων για την πρόληψη τόσο των επιθέσεων DoS όσο και των συνεπειών τους. Για να το κάνετε αυτό, μπορείτε να χρησιμοποιήσετε τόσο τους μηχανισμούς ασφάλειας πληροφοριών που είναι ενσωματωμένοι στον εξοπλισμό δικτύου και πρόσθετες λύσειςπροσφέρεται από την Cisco Systems:
- Διαίρεση του εταιρικού δικτύου σε μη επικαλυπτόμενα τμήματα μετάδοσης φωνής και δεδομένων, που αποτρέπει την εμφάνιση κοινών επιθέσεων στην ενότητα «φωνή», συμπεριλαμβανομένου. και DoS.
- Εφαρμογή ειδικών κανόνων ελέγχου πρόσβασης σε δρομολογητές και τείχη προστασίας που προστατεύουν την περίμετρο του εταιρικού δικτύου και τα επιμέρους τμήματα του.
- Εφαρμογή συστήματος πρόληψης επιθέσεων σε κόμβους Cisco Secure Agent.
- Εφαρμογή εξειδικευμένου συστήματος προστασίας από επιθέσεις DoS και DDoS Cisco Guard και Cisco Traffic Anomaly Detector.
- Εφαρμογή ειδικών ρυθμίσεων σε εξοπλισμό δικτύου Cisco που αποτρέπουν την πλαστογράφηση διευθύνσεων, η οποία χρησιμοποιείται συχνά σε επιθέσεις DoS, και περιορίζουν το εύρος ζώνης, που αποτρέπει την καταστροφή των πόρων που έχουν επιτεθεί από μια μεγάλη ροή άχρηστης κυκλοφορίας.
Τα ίδια τα τηλέφωνα IP περιέχουν μια σειρά από ειδικές ρυθμίσεις που αποτρέπουν τη μη εξουσιοδοτημένη πρόσβαση σε αυτά. Τέτοιες ρυθμίσεις περιλαμβάνουν, για παράδειγμα, πρόσβαση σε λειτουργίες τηλεφώνου μόνο μετά την παρουσίαση ενός αναγνωριστικού και κωδικού πρόσβασης ή την απαγόρευση τοπική αλλαγήρυθμίσεις κ.λπ.
Προκειμένου να αποτραπεί η φόρτωση μη εξουσιοδοτημένου τροποποιημένου λογισμικού και αρχείων διαμόρφωσης στο τηλέφωνο IP, η ακεραιότητά τους ελέγχεται από ηλεκτρονική ψηφιακή υπογραφή και πιστοποιητικά X.509.
8. Το CallManager μπορεί να υπερφορτωθεί με μεγάλο αριθμό κλήσεων
Ο μέγιστος αριθμός κλήσεων ανά ώρα ανά διακομιστή CallManager είναι έως και 100.000 (ανάλογα με τη διαμόρφωση) και αυτός ο αριθμός μπορεί να αυξηθεί σε 250.000 όταν χρησιμοποιείτε ένα σύμπλεγμα CallManager. Ταυτόχρονα, υπάρχουν ειδικές ρυθμίσεις στο CallManager που περιορίζουν τον αριθμό των εισερχόμενων κλήσεων στην απαιτούμενη τιμή. Επιπλέον, σε περίπτωση απώλειας σύνδεσης με ένα από τα CallManager, είναι δυνατή η αυτόματη επανεγγραφή του τηλεφώνου IP στο εφεδρικό CallManager, καθώς και αυτόματη αλλαγήδιαδρομή κλήσης.
9. Είναι εύκολο να διαπράξεις απάτη στην τηλεφωνία IP
Ο διακομιστής διαχείρισης υποδομής τηλεφωνίας IP CallManager περιέχει μια σειρά από λειτουργίες που συμβάλλουν στη μείωση της πιθανότητας τηλεφωνικής απάτης ανάλογα με τον τύπο της (κλοπή υπηρεσιών, παραποίηση κλήσεων, άρνηση πληρωμής κ.λπ.). Ειδικότερα, για κάθε συνδρομητή μπορείτε:
- αποκλεισμός κλήσεων προς και από συγκεκριμένες ομάδες αριθμών,
- αποκλεισμός της δυνατότητας προώθησης κλήσεων σε διάφορους τύπους αριθμών - σταθερό, κινητό, υπεραστικό, διεθνή κ.λπ.,
- φιλτράρισμα κλήσεων με βάση διάφορες παραμέτρους,
- και τα λοιπά.
10.Η παραδοσιακή τηλεφωνία είναι πιο ασφαλής από την IP τηλεφωνία
Αυτός είναι ο πιο διαδεδομένος μύθος που υπάρχει στον χώρο της τηλεφωνίας. Η παραδοσιακή τηλεφωνία, που αναπτύχθηκε πριν από δεκαετίες, είναι πολύ λιγότερο ασφαλής με τη νέα και πιο προηγμένη τεχνολογία IP τηλεφωνίας. Στην παραδοσιακή τηλεφωνία, είναι πολύ πιο εύκολο να συνδεθείς με τη συνομιλία κάποιου άλλου, να πλαστογραφήσεις έναν αριθμό, να «πλημμυρίσεις» κλήσεις και πολλές άλλες απειλές, μερικές από τις οποίες δεν έχουν ανάλογες στην τηλεφωνία IP (για παράδειγμα, κλήση πολέμου). Η ασφάλεια της παραδοσιακής τηλεφωνίας παρέχεται από πολύ πιο ακριβά εργαλεία και μηχανισμούς από ό,τι στην τηλεφωνία IP, στην οποία τα εργαλεία αυτά είναι ενσωματωμένα στα ίδια τα συστατικά στοιχεία αυτής της τεχνολογίας. Για παράδειγμα, για την προστασία από την υποκλοπή, η παραδοσιακή χρησιμοποιεί ειδικές συσκευές - κρυπτογράφηση, ο κεντρικός έλεγχος των οποίων είναι αδύνατος. για να μην αναφέρουμε το κόστος αγοράς και εγκατάστασης τους μπροστά από κάθε τηλεφωνική συσκευή.
Τηλεφωνία IP:- Ακούγοντας. Όταν μεταδίδονται εμπιστευτικές πληροφορίες σχετικά με χρήστες (αναγνωριστικά, κωδικοί πρόσβασης) ή ευαίσθητα δεδομένα μέσω μη ασφαλών καναλιών, υπάρχει πιθανότητα υποκλοπής και κατάχρησης για ιδιοτελείς σκοπούςπαρείσακτος.
- ΧΕΙΡΑΓΩΓΗΣΗ ΔΕΔΟΜΕΝΩΝ. Τα δεδομένα που μεταδίδονται μέσω καναλιών επικοινωνίας μπορούν, καταρχήν, να αλλάξουν.
- Αντικατάσταση δεδομένωνσχετικά με έναν χρήστη εμφανίζεται όταν γίνεται προσπάθεια να περάσει ένας χρήστης δικτύου ως άλλος. Αυτό δημιουργεί τη δυνατότητα μη εξουσιοδοτημένης πρόσβασης σε σημαντικές λειτουργίεςσυστήματα.
- Άρνηση υπηρεσίας (DoS)είναι ένας από τους τύπους επιθέσεων από παραβάτες, με αποτέλεσμα ορισμένοι κόμβοι ή ολόκληρο το δίκτυο να απενεργοποιούνται. Πραγματοποιείται πλημμυρίζοντας το σύστημα με περιττή κίνηση, η οποία οδηγεί τους πάντες στην επεξεργασία. πόρους του συστήματος. Για να αποτρέψετε αυτήν την απειλή, πρέπει να χρησιμοποιήσετε ένα εργαλείο για να αναγνωρίσετε τέτοιες επιθέσεις και να περιορίσετε τον αντίκτυπό τους στο δίκτυο.
Τα βασικά στοιχεία στον τομέα της ασφάλειας είναι:
- αυθεντικοποίηση;
- ακεραιότητα;
- ενεργός έλεγχος.
Χρήση προηγμένων εργαλείων αυθεντικοποίησηβοηθά να διατηρήσετε την ταυτότητα και τα δεδομένα σας ασφαλή. Τέτοια μέσα μπορεί να βασίζονται σε πληροφορίες που γνωρίζει ο χρήστης (ο κωδικός πρόσβασης).
Ακεραιότητα πληροφοριών- είναι η ικανότητα των μέσων τεχνολογία υπολογιστώνή αυτοματοποιημένο σύστημαδιασφαλίζει την ακεραιότητα των πληροφοριών σε συνθήκες τυχαίας και (ή) σκόπιμης παραμόρφωσης (καταστροφής). Κάτω από απειλή παραβίασης της ακεραιότηταςαναφέρεται σε οποιαδήποτε σκόπιμη τροποποίηση των πληροφοριών που είναι αποθηκευμένες σε υπολογιστικό σύστημαή μεταφέρονται από το ένα σύστημα στο άλλο. Όταν οι εισβολείς αλλάζουν σκόπιμα πληροφορίες, λέγεται ότι διακυβεύεται η ακεραιότητα των πληροφοριών. Η ακεραιότητα θα τεθεί επίσης σε κίνδυνο εάν ένα τυχαίο σφάλμα λογισμικού ή υλικού προκαλέσει τη μη εξουσιοδοτημένη αλλαγή.
Και τελικά ενεργός έλεγχοςσημαίνει έλεγχος της σωστής εφαρμογής των στοιχείων τεχνολογίας ασφαλείας και βοηθά στον εντοπισμό μη εξουσιοδοτημένης διείσδυσης δικτύου και επιθέσεων DoS. Ενεργός έλεγχοςΤα δεδομένα λειτουργούν ως σύστημα έγκαιρης προειδοποίησης για διάφορους τύπους προβλημάτων και επομένως επιτρέπουν τη λήψη προληπτικών μέτρων πριν από την εμφάνιση βλάβης. σοβαρή ζημιά.
8.2. Μέθοδοι προστασίας κρυπτογραφικών πληροφοριών
Η βάση κάθε ασφαλούς επικοινωνίας είναι κρυπτογράφηση. Η κρυπτογραφία είναι ένα σύνολο μεθόδων για την προστασία των αλληλεπιδράσεων πληροφοριών, δηλαδή, αποκλίσεις από την κανονική, τυπική πορεία τους, που προκαλούνται από κακόβουλες ενέργειες διαφόρων θεμάτων, μέθοδοι που βασίζονται σε μυστικούς αλγόριθμους για τη μετατροπή πληροφοριών. Επιπλέον, η κρυπτογραφία είναι ένα σημαντικό συστατικό για μηχανισμούς ελέγχου ταυτότητας, ακεραιότητας και εμπιστευτικότητας. Ο έλεγχος ταυτότητας είναι ένα μέσο επιβεβαίωσης της ταυτότητας του αποστολέα ή του παραλήπτη των πληροφοριών. Ακεραιότητα σημαίνει ότι τα δεδομένα δεν έχουν αλλάξει και εμπιστευτικότηταδημιουργεί μια κατάσταση στην οποία τα δεδομένα δεν μπορούν να γίνουν κατανοητά από κανέναν άλλο εκτός από τον αποστολέα και τον παραλήπτη τους. Συνήθως, κρυπτογραφικοί μηχανισμοί υπάρχουν στη μορφή αλγόριθμος(μαθηματική συνάρτηση) και μυστική τιμή ( κλειδί). Επιπλέον, όσο περισσότερα bits σε ένα τέτοιο κλειδί, τόσο λιγότερο ευάλωτο είναι.
Κατάλληλες μέθοδοι για την αξιολόγηση της αποτελεσματικότητας των κρυπτογραφικών συστημάτων δεν έχουν ακόμη αναπτυχθεί.
Το απλούστερο κριτήριο για μια τέτοια αποτελεσματικότητα είναι πιθανότητα ανακάλυψης κλειδιού, ή ισχύς πολλαπλών πλήκτρων (M). Ουσιαστικά αυτό είναι το ίδιο με κρυπτογραφική ισχύς. Για να το υπολογίσετε αριθμητικά, μπορείτε επίσης να χρησιμοποιήσετε την πολυπλοκότητα της επίλυσης του κρυπτογράφησης δοκιμάζοντας όλα τα πλήκτρα.
Ωστόσο, αυτό το κριτήριο δεν λαμβάνει υπόψη άλλα σημαντικά απαιτήσεις για κρυπτοσυστήματα:
- την αδυναμία αποκάλυψης ή ουσιαστικής τροποποίησης πληροφοριών βάσει ανάλυσης της δομής τους·
- τελειοποίηση των πρωτοκόλλων ασφαλείας που χρησιμοποιούνται·
- τον ελάχιστο αριθμό βασικών πληροφοριών που χρησιμοποιούνται·
- ελάχιστη πολυπλοκότητα υλοποίησης (σε αριθμό εργασιών μηχανής), κόστος.
- υψηλής απόδοσης.
Είναι, φυσικά, επιθυμητό να χρησιμοποιηθούν ορισμένοι αναπόσπαστοι δείκτες που λαμβάνουν υπόψη αυτούς τους παράγοντες.
Τρεις κύριες μέθοδοι κρυπτογράφησης χρησιμοποιούνται στα συστήματα ασφαλείας:
- συμμετρική κρυπτογράφηση;
- ασύμμετρη κρυπτογράφηση ;
- μονόδρομες συναρτήσεις κατακερματισμού.
Ολα υπάρχουσες τεχνολογίεςΟ έλεγχος ταυτότητας, η ακεραιότητα και η εμπιστευτικότητα δημιουργούνται με βάση αυτές τις τρεις μεθόδους.
Τεχνολογία κρυπτογράφησης μυστικού κλειδιού ( συμμετρικόςαλγόριθμος) απαιτεί και οι δύο συμμετέχοντες σε μια κρυπτογραφημένη συνομιλία να έχουν πρόσβαση στο ίδιο κλειδί. Αυτό είναι απαραίτητο επειδή ο αποστολέας χρησιμοποιεί το κλειδί για την κρυπτογράφηση του μηνύματος και ο παραλήπτης χρησιμοποιεί το ίδιο κλειδί για την αποκρυπτογράφηση του. Κατά συνέπεια, προκύπτει το πρόβλημα της ασφαλούς μετάδοσης αυτού του κλειδιού. Συμμετρικοί αλγόριθμοι κρυπτογράφησηςμη χρησιμοποιείτε πολύ καλά τα κλειδιά μεγάλο μήκοςκαι μπορεί γρήγορα να κρυπτογραφήσει μεγάλες ποσότητες δεδομένων. Η διαδικασία για τη χρήση συμμετρικών συστημάτων κλειδιών είναι η εξής:
- Ένα συμμετρικό μυστικό κλειδί δημιουργείται, διανέμεται και αποθηκεύεται με ασφάλεια.
- Ο αποστολέας χρησιμοποιεί συμμετρικός αλγόριθμος κρυπτογράφηση μαζί με μυστικό συμμετρικό κλειδί για να λάβετε το κρυπτογραφημένο κείμενο.
- Ο αποστολέας μεταδίδει το κρυπτογραφημένο κείμενο. Ένα συμμετρικό μυστικό κλειδί δεν μεταδίδεται ποτέ μέσω μη ασφαλών καναλιών επικοινωνίας.
- Για την ανάκτηση του αρχικού κειμένου, ο παραλήπτης εφαρμόζει το ίδιο συμμετρικός αλγόριθμοςκρυπτογράφηση μαζί με το ίδιο συμμετρικό κλειδί, που έχει ήδη ο παραλήπτης.
Η πιο ευρέως χρησιμοποιούμενη κρυπτογράφηση συμμετρική κρυπτογράφησηείναι DES(Δεδομένα Πρότυπο κρυπτογράφησης), που αναπτύχθηκε από την IBM το 1976 και προτείνεται από το Εθνικό Γραφείο Προτύπων των ΗΠΑ για χρήση σε ανοιχτούς τομείς της οικονομίας.
Ο αλγόριθμος DES λειτουργεί ως εξής. Τα δεδομένα παρουσιάζονται ψηφιακά και χωρίζονται σε μπλοκ 64-bit, στη συνέχεια κρυπτογραφημένα μπλοκ προς μπλοκ. Το μπλοκ χωρίζεται σε αριστερά και δεξιά μέρη. Στο πρώτο στάδιο της κρυπτογράφησης, αντί για το αριστερό μέρος του μπλοκ, γράφεται το δεξί μέρος και αντί για το δεξί, γράφεται το sum modulo 2 (λειτουργία XOR) του αριστερού και του δεξιού μέρους. Στο δεύτερο στάδιο, οι αντικαταστάσεις και οι μεταθέσεις διενεργούνται σύμφωνα με ένα συγκεκριμένο σχήμα. Ένα κλειδί DES έχει μήκος 64 bit, εκ των οποίων τα 56 είναι τυχαία bit και τα 8 είναι bit υπηρεσίας που χρησιμοποιούνται για τον έλεγχο του κλειδιού.
Ρύζι. 8.1.
Το DES έχει δύο τρόπους λειτουργίας: ECB (Ηλεκτρονικό Βιβλίο Κωδικών) και CBC (Cipher Block Chaining). Η λειτουργία SBC διαφέρει από τη συνηθισμένη στο ότι πριν από την κρυπτογράφηση του επόμενου μπλοκ, της λειτουργίας "αποκλειστικό Ή"με το προηγούμενο μπλοκ. Σε καταστάσεις όπου η αξιοπιστία Αλγόριθμος DESφαίνεται ανεπαρκής, χρησιμοποιείται η τροποποίησή του - Triple DES (triple DES). Αυστηρά μιλώντας, υπάρχουν αρκετές παραλλαγές του Triple DES. Το πιο απλό είναι η επανακρυπτογράφηση: απλό κείμενοκρυπτογραφείται με το πρώτο κλειδί, το κρυπτογραφημένο κείμενο που προκύπτει με το δεύτερο και τέλος τα δεδομένα που λαμβάνονται μετά το δεύτερο βήμα με το τρίτο. Και τα τρία πλήκτρα επιλέγονται ανεξάρτητα το ένα από το άλλο.
Το IDEA (International Data Encryption Algorithm) είναι άλλο ένα κρυπτογράφηση μπλοκμε μήκος κλειδιού 128 bit. Αυτό το ευρωπαϊκό πρότυπο (από την ETH, Ζυρίχη) προτάθηκε το 1990. αλγόριθμος IDEAΌσον αφορά την ταχύτητα και την αντίσταση στην ανάλυση, δεν είναι κατώτερο από τον αλγόριθμο DES.
Το CAST είναι ένας κρυπτογράφησης μπλοκ που χρησιμοποιεί ένα κλειδί 128 bit στις ΗΠΑ και ένα κλειδί 40 bit στην έκδοση εξαγωγής. Το CAST χρησιμοποιείται από τη Northern Telecom (Nortel).
Ο κρυπτογράφησης Skipjack αναπτύχθηκε από τον Οργανισμό Εθνική ασφάλειαΗΠΑ (National Security Agency - NSA), χρησιμοποιεί κλειδιά 80-bit. Αποτελεί μέρος του Capstone Project, το οποίο στοχεύει στην ανάπτυξη ενός δημοσίως διαθέσιμου προτύπου κρυπτογράφησης που πληροί τις απαιτήσεις της κυβέρνησης των ΗΠΑ. Το Capstone έχει τέσσερα κύρια στοιχεία: τον κρυπτογράφηση Skipjack. αλγόριθμος ψηφιακής υπογραφήςμε βάση το πρότυπο DSS (Digital Signature Standard)· συνάρτηση κατακερματισμού που βασίζεται στον αλγόριθμο SHA (Secure Hash Algorithm). ένα τσιπ που υλοποιεί όλα τα παραπάνω (για παράδειγμα, πλακέτα Fortezza - PCMCIA που βασίζεται σε αυτό το τσιπ).
Οι κρυπτογράφηση RC2 και RC4 αναπτύχθηκαν από τον Ron Reivest, έναν από τους ιδρυτές της RSA Data Security, και κατοχυρώθηκαν με δίπλωμα ευρεσιτεχνίας από αυτήν την εταιρεία. Χρησιμοποιούν κλειδιά διαφορετικού μήκους και αντικαθιστούν το DES σε εξαγόμενα προϊόντα. Ο κρυπτογράφησης RC2 είναι ένας κρυπτογράφησης μπλοκ, με μήκος μπλοκ 64 bit. Ο κρυπτογράφησης RC4 είναι κρυπτογράφηση ροής. Σύμφωνα με τους προγραμματιστές, εκτέλεσηΤα RC2 και RC4 δεν πρέπει να είναι λιγότερα από αυτά του αλγορίθμου DES.
Όλα τα ανοιχτά συστήματα κρυπτογράφησης έχουν τα ακόλουθα κύρια μειονεκτήματα. Πρώτον, η αξιοπιστία του καναλιού για τη μετάδοση του κλειδιού στον δεύτερο συμμετέχοντα στις μυστικές διαπραγματεύσεις είναι θεμελιώδης. Με άλλα λόγια, το κλειδί πρέπει να μεταδίδεται μέσω ενός μυστικού καναλιού. Δεύτερον, στην υπηρεσία γενιά κλειδιώνεπιβάλλονται αυξημένες απαιτήσεις λόγω του γεγονότος ότι για n συνδρομητές στο σχήμα αλληλεπίδρασης «όλοι με όλους», απαιτούνται n x (n-1)/2 κλειδιά, δηλαδή η εξάρτηση του αριθμού των κλειδιών από τον αριθμό των συνδρομητών είναι τετραγωνικός.
Για την επίλυση των παραπάνω προβλημάτων συμμετρική κρυπτογράφησηΤα συστήματα με ασύμμετρη κρυπτογράφηση ή κρυπτογράφηση δημόσιου κλειδιού έχουν σχεδιαστεί που χρησιμοποιούν τις ιδιότητες των μυστικών συναρτήσεων που αναπτύχθηκαν από τους Diffie και Hellman.
Αυτά τα συστήματα χαρακτηρίζονται από την παρουσία δύο κλειδιών για κάθε συνδρομητή: δημόσιου και ιδιωτικού (μυστικό). Σε αυτή την περίπτωση, το δημόσιο κλειδί μεταδίδεται σε όλους τους συμμετέχοντες στις μυστικές διαπραγματεύσεις. Έτσι, επιλύονται δύο προβλήματα: δεν υπάρχει ανάγκη για μυστική παράδοση του κλειδιού (καθώς χρησιμοποιώντας ένα δημόσιο κλειδί είναι αδύνατο να αποκρυπτογραφηθούν μηνύματα κρυπτογραφημένα για το ίδιο δημόσιο κλειδί και, επομένως, δεν υπάρχει λόγος να υποκλαπούν το δημόσιο κλειδί) ; Επίσης, δεν υπάρχει τετραγωνική εξάρτηση του αριθμού των κλειδιών από τον αριθμό των χρηστών - για n χρήστες απαιτούνται 2n κλειδιά.
Η πρώτη κρυπτογράφηση αναπτύχθηκε με βάση τις αρχές ασύμμετρη κρυπτογράφηση, είναι ένας κρυπτογράφηση RSA.
Ο κρυπτογράφηση RSA πήρε το όνομά του από τα πρώτα γράμματα των επωνύμων των εφευρετών του: Ron Rivest (Rivest), Adi Shamir και Leonard Eldeman (Aldeman) - οι ιδρυτές της εταιρείας RSA Data Security. Το RSA δεν είναι μόνο ο πιο δημοφιλής από τους ασύμμετρους κρυπτογράφησης, αλλά ίσως ο πιο γνωστός κρυπτογράφηση γενικά. Η μαθηματική λογική για το RSA είναι η εξής: η εύρεση διαιρετών ενός πολύ μεγάλου φυσικού αριθμού που είναι το γινόμενο δύο πρώτων είναι μια εξαιρετικά απαιτητική διαδικασία. Χρησιμοποιώντας ένα δημόσιο κλειδί, είναι πολύ δύσκολο να υπολογίσετε ένα αντίστοιχο ιδιωτικό κλειδί. Ο κρυπτογράφηση RSA έχει μελετηθεί εκτενώς και έχει βρεθεί ότι είναι ισχυρός όταν το μήκος του κλειδιού είναι αρκετό. Για παράδειγμα, τα 512 bit δεν είναι αρκετά για να διασφαλιστεί η ανθεκτικότητα, αλλά τα 1024 bit θεωρούνται αποδεκτή επιλογή. Κάποιοι υποστηρίζουν ότι καθώς αυξάνεται η ισχύς του επεξεργαστή, το RSA θα γίνεται λιγότερο ανθεκτικό στις επιθέσεις. πλήρης αναζήτηση. Ωστόσο, η αύξηση της ισχύος του επεξεργαστή θα καταστήσει δυνατή τη χρήση μακρύτερων πλήκτρων, γεγονός που θα αυξήσει την ισχύ του κρυπτογράφησης.
Ρύζι. 8.2.
Η κρυπτογράφηση λειτουργεί σύμφωνα με τον ακόλουθο αλγόριθμο:
- Πρώτο βήμα: επιλέγονται τυχαία δύο απλοί πολύ μεγάλοι αριθμοί p και q.
- Δεύτερο βήμα: υπολογίζονται δύο γινόμενα: n = pq m = (ρ-1)(q-1).
- Τρίτο βήμα: επιλέγεται ένας τυχαίος ακέραιος αριθμός Ε που δεν έχει κοινούς παράγοντες με το m.
- Τέταρτο βήμα: βρείτε το D έτσι ώστε DE = 1 modulo m.
- Πέμπτο βήμα: πρωτότυπο κείμενοχωρίζεται σε μπλοκ μήκους X όχι περισσότερο από n.
- Έκτο βήμα: για να κρυπτογραφήσετε ένα μήνυμα, πρέπει να υπολογίσετε το C = XE modulo n.
- Έβδομο βήμα: για αποκρυπτογράφηση, υπολογίστε X = CD modulo n.
Για κρυπτογράφηση πρέπει να γνωρίζετε ένα ζεύγος αριθμών E, n, για αποκρυπτογράφηση - D, n. Το πρώτο ζεύγος είναι το δημόσιο κλειδί, το δεύτερο είναι το ιδιωτικό κλειδί. Γνωρίζοντας το δημόσιο κλειδί, μπορείτε να υπολογίσετε την τιμή του ιδιωτικού κλειδιού. Μια απαραίτητη ενδιάμεση δράση αυτού του μετασχηματισμού είναι να βρεθούν οι παράγοντες p και q, για τους οποίους είναι απαραίτητο να συντελεστεί ο παράγοντας n σε παράγοντες. αυτή η διαδικασία διαρκεί πολύ. Η κρυπτογραφική ισχύς του κρυπτογράφησης RSA συνδέεται με την τεράστια υπολογιστική πολυπλοκότητα.
Ένας άλλος κρυπτογράφηση που χρησιμοποιεί ασύμμετρη κρυπτογράφηση, είναι