рук. 2. ViPNet_Client_4_Руководство_пользователя. Руководство пользователя ао ИнфоТеКС
 Скачать 7.67 Mb.
|
|
1 Выберите одно из предложенных действий, чтобы настроить напоминание. 2 Обратитесь к администратору вашей сети ViPNet, чтобы получить сертификат издателя и затем установите его в системное хранилище Доверенные корневые сертификаты. Для этого дважды щелкните по сертификату и следуйте указаниям мастера установки сертификатов (см. Установка в хранилище вручную на стр. 240). Текущий сертификат аутентификации не найден Если устройство, используемое для аутентификации с помощью сертификата, не подключено, появится соответствующее предупреждение. Рисунок 151: Предупреждение о ненайденном сертификате, используемом при аутентификации При появлении окна с таким предупреждением: 1 Выберите одно из предложенных действий, чтобы настроить напоминание. ViPNet Client 4. Руководство пользователя | 304 2 Подключите внешнее устройство с сертификатом, который используется для аутентификации. ViPNet Client 4. Руководство пользователя | 305 Предупреждения об угрозах Предупреждения об угрозах предназначены для своевременного информирования пользователя о снижении уровня безопасности сетевого узла. Нарушена целостность файла Для обеспечения безопасности сетевого узла каждый раз при запуске программы ViPNet Client выполняется проверка целостности всех модулей и компонентов ПО. При обнаружении неполадок, появится сообщение о нарушении целостности файла. Программа ViPNet Client будет переведена в аварийный режим работы, при котором: заблокирован доступ к ресурсам защищенной сети; разрешен доступ к открытой сети в соответствии с настроенными сетевыми фильтрами. Восстановление работы ПО ViPNet Client выполняется в ручном режиме. Для этого воспользуйтесь одним из способов: выполните восстановление программы (см. Добавление, удаление и восстановление компонентов на стр. 47); обратитесь к администратору сети ViPNet за обновлением программы (см. Обновление, отправленное из ViPNet Центр управления сетью на стр. 43); проведите обновление самостоятельно (см. Обновление с помощью установочного файла на стр. 44). Обнаружена попытка нарушения сетевых фильтров Для безопасной работы в сети необходимы корректно настроенные правила фильтрации трафика. Если по какой-то причине сетевые фильтры будут искажены, появится соответствующее сообщение. При этом фильтры заменяются на предустановленные. Чтобы при нарушении целостности фильтров автоматически блокировать трафик, выполните необходимые настройки в режиме администратора (см. Параметры защиты трафика на стр. 218). ViPNet Client 4. Руководство пользователя | 306 B Общие сведения о сертификатах и ключах ViPNet Client 4. Руководство пользователя | 307 Основы криптографии Криптография используется для решения трех основных задач: обеспечение конфиденциальности данных; контроль целостности данных; обеспечение подлинности авторства данных. Первая задача решается с помощью симметричных алгоритмов шифрования. Для решения второй и третьей задач требуется использование асимметричных алгоритмов и электронной подписи. В данном разделе содержится упрощенное описание алгоритмов с симметричным ключом, с асимметричным ключом, электронной подписи, а также приводятся примеры использования этих алгоритмов в информационных системах (приведенные примеры не относятся к технологии ViPNet). Симметричное шифрование В симметричных алгоритмах для зашифрования и расшифрования применяется один и тот же криптографический ключ. Для того чтобы и отправитель, и получатель могли прочитать исходный текст (или другие данные, не обязательно текстовые), обе стороны должны знать ключ алгоритма. На схеме ниже изображен процесс симметричного зашифрования и расшифрования. Рисунок 152. Зашифрование и расшифрование на симметричном ключе Симметричные алгоритмы шифрования способны обрабатывать большое количество данных за короткое время благодаря использованию для зашифрования и расшифрования одного и того же ViPNet Client 4. Руководство пользователя | 308 ключа, а также благодаря простоте симметричных алгоритмов по сравнению с асимметричными. Поэтому симметричные алгоритмы часто используют для шифрования больших массивов данных. Для шифрования данных с помощью симметричного алгоритма криптографическая система использует симметричный ключ. Длина ключа (обычно выражаемая в битах) зависит от алгоритма шифрования и программы, которая использует этот алгоритм. С помощью симметричного ключа исходный (открытый) текст преобразуется в шифрованный (закрытый) текст. Затем шифрованный текст отправляется получателю. Если получателю известен симметричный ключ, на котором зашифрован текст, получатель может преобразовать шифрованный текст в исходный вид. Примечание. На практике симметричный ключ нужно передать получателю каким-либо надежным способом. Обычно создается симметричный ключ парной связи, который передается получателю лично. Затем для шифрования используются случайные (сессионные) симметричные ключи, которые зашифровываются на ключе парной связи и в таком виде передаются по различным каналам вместе с шифрованным текстом. Наибольшую угрозу безопасности информации при симметричном шифровании представляет перехват симметричного ключа парной связи. Если он будет перехвачен, злоумышленники смогут расшифровать все данные, зашифрованные на этом ключе. Асимметричное шифрование Асимметричные алгоритмы шифрования используют два математически связанных ключа: открытый ключ и закрытый ключ. Для зашифрования применяется открытый ключ, для расшифрования — закрытый ключ. Открытый ключ распространяется свободно. Закрытым ключом владеет только пользователь, который создает пару асимметричных ключей. Закрытый ключ следует хранить в секрете, чтобы исключить возможность его перехвата. Использование двух различных ключей для зашифрования и расшифрования, а также более сложный алгоритм делают процесс шифрования с помощью асимметричных ключей гораздо более медленным, чем шифрование с помощью симметричных ключей. Открытый ключ может быть использован любыми лицами для отправки зашифрованных данных владельцу закрытого ключа. При этом парой ключей владеет только получатель зашифрованных данных. Таким образом, только получатель может расшифровать эти данные с помощью имеющегося у него закрытого ключа. ViPNet Client 4. Руководство пользователя | 309 Рисунок 153. Зашифрование и расшифрование на асимметричном ключе Примечание. На практике асимметричные алгоритмы в чистом виде используются очень редко. Обычно данные зашифровываются с помощью симметричного алгоритма, а затем с помощью асимметричного алгоритма зашифровывается только симметричный ключ. Комбинированные (гибридные) криптографические алгоритмы рассматриваются ниже (см. Сочетание симметричного и асимметричного шифрования на стр. 309). Сочетание симметричного и асимметричного шифрования В большинстве приложений симметричные и асимметричные алгоритмы применяются совместно, что позволяет использовать преимущества обоих алгоритмов. В случае совместного использования симметричного и асимметричного алгоритмов: Исходный текст преобразуется в шифрованный с помощью симметричного алгоритма шифрования. Преимущество этого алгоритма заключается в высокой скорости шифрования. Для передачи получателю симметричный ключ, на котором был зашифрован текст, зашифровывается с помощью асимметричного алгоритма. Преимущество асимметричного алгоритма заключается в том, что только владелец закрытого ключа сможет расшифровать симметричный ключ. На следующем рисунке изображен процесс шифрования с помощью комбинированного алгоритма. ViPNet Client 4. Руководство пользователя | 310 Рисунок 154. Шифрование с помощью комбинированного алгоритма 1 Отправитель запрашивает открытый ключ получателя из доверенного хранилища. 2 Отправитель создает симметричный ключ и зашифровывает с его помощью исходный текст. 3 Симметричный ключ зашифровывается на открытом ключе получателя, чтобы предотвратить перехват ключа во время передачи. 4 Зашифрованный симметричный ключ и шифрованный текст передаются получателю. 5 С помощью своего закрытого ключа получатель расшифровывает симметричный ключ. 6 С помощью симметричного ключа получатель расшифровывает шифрованный текст, в результате он получает исходный текст. Сочетание хэш-функции и асимметричного алгоритма электронной подписи Электронная подпись защищает данные следующим образом: Для подписания данных используется хэш-функция, с помощью которой определяется хэш-сумма исходных данных. По хэш-сумме можно определить, имеют ли место какие-либо изменения в этих данных. ViPNet Client 4. Руководство пользователя | 311 Полученная хэш-сумма подписывается электронной подписью, позволяя подтвердить личность подписавшего. Кроме того, электронная подпись не позволяет подписавшему лицу отказаться от авторства, так как только оно владеет ключом электронной подписи, использованным для подписания. Невозможность отказаться от авторства называется неотрекаемостью. Большинство приложений, осуществляющих электронную подпись, используют сочетание хэш-функции и асимметричного алгоритма подписи. Хэш-функция позволяет проверить целостность исходного сообщения, а электронная подпись защищает полученную хэш-функцию от изменения и позволяет определить личность автора сообщения. Приведенная ниже схема иллюстрирует применение хэш-функции и асимметричного алгоритма в электронной подписи. Рисунок 155. Применение хэш-функции и асимметричного криптографического алгоритма в электронной подписи 1 Отправитель создает файл с исходным сообщением. 2 Программное обеспечение отправителя вычисляет хэш-сумму исходного сообщения. 3 Полученная хэш-сумма зашифровывается с помощью ключа электронной подписи отправителя. 4 Исходное сообщение и зашифрованная хэш-функция передаются получателю. Примечание. При использовании электронной подписи исходное сообщение не зашифровывается. Само сообщение может быть изменено, но любые изменения сделают хэш-сумму, передаваемую вместе с сообщением, недействительной. 5 Получатель расшифровывает хэш-сумму сообщения с помощью ключа проверки электронной подписи отправителя. Ключ проверки электронной подписи может быть передан вместе с сообщением или получен из доверенного хранилища. ViPNet Client 4. Руководство пользователя | 312 6 Получатель использует ту же хэш-функцию, что и отправитель, чтобы вычислить хэш-сумму полученного сообщения. 7 Вычисленная хэш-сумма сравнивается с хэш-суммой, полученной от отправителя. Если эти хэш-суммы различаются между собой, то сообщение или хэш-сумма были изменены при передаче. ViPNet Client 4. Руководство пользователя | 313 Общие сведения о сертификатах ключей проверки электронной подписи Определение и назначение Сертификат ключа проверки электронной подписи является одним из объектов криптографии с ключом проверки электронной подписи, в которой для прямого и обратного преобразований используются разные ключи: Ключ электронной подписи — для формирования электронной подписи (см. глоссарий, стр. 387) и расшифрования сообщения. Ключ электронной подписи хранится в тайне и не подлежит распространению. Ключ проверки электронной подписи — для проверки электронной подписи и зашифрования сообщения. Ключ проверки электронной подписи известен всем участникам информационного обмена и может передаваться по незащищенным каналам связи. Таким образом, криптография с ключом проверки электронной подписи позволяет выполнять следующие операции: Подписание сообщения — формирование электронной подписи, прикрепление ее к сообщению и проверка электронной подписи на стороне получателя; Шифрование — зашифрование документа с возможностью расшифрования на стороне получателя. Ключи электронной подписи и проверки электронной подписи являются комплементарными по отношению друг к другу — только владелец ключа электронной подписи может подписать данные, а также расшифровать данные, которые были зашифрованы ключом проверки электронной подписи, соответствующим ключу электронной подписи владельца. Простой аналогией может служить почтовый ящик: любой может кинуть письмо в почтовый ящик («зашифровать»), но только владелец секретного ключа (ключа электронной подписи) может извлечь письма из ящика («расшифровать»). Поскольку ключ проверки электронной подписи распространяется публично, существует опасность того, что злоумышленник, подменив ключ проверки электронной подписи одного из пользователей, может выступать от его имени. Для обеспечения доверия к ключам проверки электронной подписи создаются удостоверяющие центры (согласно Федеральному закону РФ № 63 «Об электронной подписи» от 6 апреля 2011 года), которые играют роль доверенной третьей стороны и заверяют ключи проверки электронной подписи каждого из пользователей своими электронными подписями — иначе говоря, сертифицируют эти ключи. ViPNet Client 4. Руководство пользователя | 314 Сертификат ключа проверки электронной подписи (далее — сертификат) представляет собой цифровой документ, заверенный электронной подписью удостоверяющего центра и призванный подтверждать принадлежность ключа проверки электронной подписи определенному пользователю. Примечание. Несмотря на то, что защита сообщений выполняется фактически с помощью ключа проверки электронной подписи, в профессиональной речи используются выражения «подписать сертификатом (с помощью сертификата)», «зашифровать на сертификате (с помощью сертификата)». Сертификат включает ключ проверки электронной подписи и список дополнительных атрибутов, принадлежащих пользователю (владельцу сертификата). К таким атрибутам относятся: имена владельца и издателя сертификата, номер сертификата, время действия сертификата, предназначение ключа проверки электронной подписи (электронная подпись, шифрование) и так далее. Структура и протоколы использования сертификатов определяются международными стандартами (см. Структура на стр. 316). Различаются следующие виды сертификатов: Сертификат пользователя — для зашифрования исходящих сообщений и для проверки электронной подписи на стороне получателя. Сертификат издателя — сертификат, с помощью которого был издан текущий сертификат пользователя. Помимо основных возможностей, которые предоставляет сертификат пользователя, сертификат издателя позволяет также проверить все сертификаты, подписанные с помощью ключа электронной подписи, соответствующего этому сертификату. Корневой сертификат — самоподписанный сертификат издателя, являющийся главным из вышестоящих сертификатов. Корневой сертификат не может быть проверен с помощью другого сертификата, поэтому пользователь должен безусловно доверять источнику, из которого получен данный сертификат. Кросс-сертификат — это сертификат администратора удостоверяющего центра, изданный администратором другого удостоверяющего центра. Таким образом, для кросс-сертификата значения полей «Издатель» и «Субъект» различны и определяют разные удостоверяющие центры. С помощью кросс-сертификатов устанавливаются доверительные отношения между различными удостоверяющими центрами. В зависимости от модели доверительных отношений, установленной между удостоверяющими центрами (см. PKI и асимметричная криптография на стр. 318), может использоваться либо как сертификат издателя (в иерархической модели), либо для проверки сертификатов пользователей другой сети (в распределенной модели). ViPNet Client 4. Руководство пользователя | 315 Рисунок 156. Типы сертификатов Используя корневой сертификат, каждый пользователь может проверить достоверность сертификата, выпущенного удостоверяющим центром, и воспользоваться его содержимым. Если проверка сертификата по цепочке сертификатов, начиная с корневого, показала, что он является законным, действующим, не был просрочен или аннулирован, то сертификат считается действительным. Документы, подписанные действительным сертификатом и не изменявшиеся с момента их подписания, также считаются действительными. Таким образом, криптография с ключом проверки электронной подписи и инфраструктура обмена сертификатами ключей проверки электронной подписи (см. PKI и асимметричная криптография на стр. 318) позволяют выполнять шифрование сообщений, а также предоставляют возможность подписывать сообщения с помощью электронной подписи. Посредством шифрования конфиденциальная информация может быть передана по незащищенным каналам связи. В свою очередь, электронная подпись позволяет обеспечить: Подлинность (аутентификация) — возможность однозначно идентифицировать отправителя. Если сравнивать с бумажным документооборотом, то это аналогично собственноручной подписи отправителя. Целостность — защиту информации от несанкционированной модификации как при хранении, так и при передаче. Неотрекаемость — невозможность для отправителя отказаться от совершенного действия. Если сравнивать с бумажным документооборотом, то это аналогично предъявлению отправителем паспорта перед выполнением действия. ViPNet Client 4. Руководство пользователя | 316 Структура Чтобы сертификат можно было использовать, он должен обладать доступной универсальной структурой, позволяющей извлечь из него нужную информацию и легко ее понять. Например, благодаря тому, что паспорта имеют простую однотипную структуру, можно легко понять информацию, изложенную в паспорте любого государства, даже если вы никогда не видели раньше таких паспортов. Так же дело обстоит и с сертификатами: стандартизация форматов сертификатов позволяет читать и понимать их независимо от того, кем они были изданы. Один из форматов сертификата определен в рекомендациях Международного Союза по телекоммуникациям (International Telecommuncations Union, ITU) X.509 | ISO/IEC 9594–8 и документе RFC 3280 Certificate & CRL Profile Организации инженерной поддержки интернета (Internet Engineering Task Force, IETF). В настоящее время наиболее распространенной версией X.509 является версия 3, позволяющая задать для сертификата расширения, с помощью которых можно разместить в сертификате дополнительную информацию (о политиках безопасности, использовании ключа, совместимости и так далее). Сертификат содержит элементы данных, сопровождаемые электронной подписью издателя сертификата. В сертификате имеются обязательные и дополнительные поля. К обязательным полям относятся: номер версии стандарта X.509, серийный номер сертификата, идентификатор алгоритма подписи издателя, идентификатор алгоритма подписи владельца, имя издателя, период действия, ключ проверки электронной подписи владельца, имя владельца сертификата. |