Bakalavr bitiruv ishi

Himoyalangan korporativ tarmoqda ma‟lumotlar uzatish qismini

himoyalash

Kompyuter tarmoqlarining ochiq kanallari orqali axborotni uzatish jaroyanidagi axborot xafvsizligi kripto himoyalangan tunellar yoki VPN tunellar deb nomlanuvchi himoyalangan virtual kanallarni qurishga asoslangan. Bu tunnellarning har biri shunday ulanishni nazarda tutadiki, bunday ulanish ochiq tarmoq orqali o‘tkaziladi va u orqali virtual tarmoqning kriptografik himoyalangan paket xabarlari uzatiladi.

VPN (Virtual Private Network) — virtual xususiy tarmoq mantiqiy tarmoq bo‗lib, o‗zidan yuqoridagi boshqa tarmoq, masalan, internet asosida quriladi. Bu tarmoqda kommunikatsiyalardan umumiy xavfsiz bo‗lmagan tarmoq protokollaridan foydalanilishiga qaramay, shifrlashdan foydalangan holda, axborot almashinishda bеgonalarga bеrk bo‗lgan kanallar tashkil qilinadi. VPN tashkilotning bir nеcha ofislarini ular o‗rtasida nazorat qilinmaydigan kanallardan foydalangan holda, yagona tarmoqqa birlashtirish imkonini bеradi. Har qaysi
«ma‘lumot jo‗natuvchi, qabul qiluvchi» juftligi o‗rtasida ma‘lumotlarni bir protokoldan ikkinchi protokolga inkapsulyatsiya qilish imkonini bеruvchi o‗ziga hos tunnеl xavfsiz mantiqiy bog‗lanish o‗rnatiladi. Tunnеllashtirish mеtodi yordamida ma‘lumotlar pakеti umumiy foydalanish tarmog‗i orqali xuddi oddiy ikki nuqtali bog‗lanishdagi kabi translyatsiya qilinadi. VPN tarmog‘i arxitekturasi

2. 
   rasmda keltirilgan. VPN ning uchta asosiy ko‗rinishi qabul qilingan:
   
   • 
     masofadan turib foydalanish imkoniyati mavjud bo‗lgan VPN (Remote Access VPN);
     
   • 
     tashkilot ichidagi VPN (Intranet VPN);
     
   • 
     tashkilotlararo VPN (Extranet VPN).
     

2. 
   rasm. VPN tarmog‘i arxitekturasi
   

O‗z novbatida, VPN alohida tarmoq xususiyatlarini qamrab olgan, lеkin bu tarmoq umumiy foydalanish tarmog‗i, masalan, intеrnеt orqali amalga oshiriladi. Shunday qilib VPN bu:

• 
  kriptografiyaga asoslangan trafik himoyasi;
  
• 
  dunyoning istalgan nuqtasidan ichki rеsurslardan foydalanish imkonini bеruvchi kafolatlangan himoyalovchi kommunikatsiya vositasi;
  
• 
  korporatsiyaning kommunikatsiya tizimini alohida ajratilgan liniya qurishga sarf etiladigan vositalarni ishlatmasdan rivojlanishidir.
  

Korporatsiyaning mavjud tarmoq infratuzilmasi VPN dan foydalanishga dasturiy ta‘minot yordamida yoki qurilma ta‘minoti yordamida tayyorlangan bo‗lishi mumkin. Foydalanuvchi dasturiy vositalari odatda masofadan turib ulanishda kanal darajasidagi standart PPP (Point-to-Point Protocol) protokolidan
foydalanadi. PPTP va L2TP protokollari PPP protokoli asosida qurilgan bo‘lib, uning kengaytirilgan variantlari hisoblanadi.
L2TP protokoli esa tunnellashtiruvchi protokol hisoblanadi, chunki faqatgina tunnellashtirish funksiyasini qo‘llab – quvvatlaydi. Ma‘lumotlarni himoyalash (shifrlash, butunlik, autentifikatsiya) funksiyalari bu protokolda qo‘llab – quvvatlanmaydi. L2TP protokolida tunnellashtiriladigan ma‘lumotlarni himoyalash uchun qo‘shimcha IPSec protokolini ishlatish kerak. L2TP protokolli asosidagi tarmoq 2.3 rasmda keltirigan.

2. 
   rasm. L2TP-protokolli asosidagi tarmoq arxitekturasi
   

Konfidensial ma‘lumotlarni bir nuqtadan ikkinchisiga umumiy foydalaniladigan tarmoq orqali yetkazish uchun dastlab ma‘lumotlar PPP protokoli yordamida inkapsulyatsiya qilinadi, keyin esa PPTP va L2TP protokollari ma‘lumotlarni shifrlashadi va xususiy inkapsulyatsiyalarini amalga oshiradilar. Tunnel protokoli paketlarni tunnelling chiquvchi nuqtasidan yakuniy nuqtasiga yetkazib bo‘lganidan so‘ng deinkapsulyatsiya amalga oshiriladi.

PPTP (Point-to-Point Tunneling Protocol) protokoli va L2TP (Layer-2 Tunneling Protocol) OSI modeli kanal darajasining tunnellashtiruvchi protokollari hisoblanadi. Bu protokollarning umumiy xususiyati shundan iboratki, ular korporativ tarmoq resurslariga, himoyalangan ko‘p protokolli masofadan turib, ochiq tarmoq orqali, masalan, internet orqali, ulanishni tashkil etish uchun ishlatiladi.
PPTP protokolida quyidagi autentifikatsiya protokollari qo‘llab quvvatlanadi:

• 
  PAP (Password Authentication Protocol) parol bo‘yicha protokolli ishlatiladigan identifikatorlar va parollar aloqa liniyalari shifrlanmagan holda uzatiladi, va faqat sever mijoz autentifikatsiyasini amalga oshiradi;
  
• 
  CHAP (Challenge Handshaking Authentication Protocol) ikki tomonlama qo‘l siqish protokoli;
  
• 
  EAP-TLS (Extensible Authentication Protokol – Transport Layer Security) protokoli. CHAP, EAP va TLS protokollari ishlatilganda yovuz niyatli shaxslar tomonidan qo‘lga kiritilgan shifrlangan paketlarning qayta ishlatilishidan himoya, mijoz va VPN server o‘rtasida ikki tomonlama autentifikatsiya ta‘minlanadi. PPTP protokolli asosida qurilgan tarmoq 2.4 rasmda keltirilgan.
  

2. 
   rasm. PPTP-protokolli asosida qurilgan tarmoq arxitekturasi
   

Ikkala protokol ham PPTP va L2TP odatda himoyalangan kanalni yaratish protokollariga kiritiladi, ammo bunday aniqlanishga faqat PPTP protokoli to‘gri keladi, chunki u uzatiladigan ma‘lumotlarni tunnellashtirish va shifrlashni ta‘minlaydi.

Ma‘lumotlarni uzatish qismini himoyalashda yana bir protokoll IPSec (Internet Protokol Security) protokollar steki ishlatiladi.Bu protokoll ma‘lumot almashinuv jarayonida qtnashadigan ishtirokchilar autentifikatsiyasi, trafikni tunnellashtirish va IP paketlarni shifrlash uchun ishlatiladi. IPSec protokolining asosiy vazifasi IP tarmoq bo‘yicha ma‘lumotlarni xavfsiz yetkazishni ta‘minlash. IPSec protokolli trafik himoyasini joriy IPv4 protokolida, shuningdek hozirgi kunda internet texnologiyasida keng tarqalayotgan IPv6 protokoli versiyasida ham ta‘minlay oladi. IPSec protokollarining asosiy vazifasi IP tarmoqlar bo‘yicha xavfsiz ma‘lumot almashinuvini ta‘minlash. IPSec ni qo‘llash quyidagilarni kafolatlaydi:

• 
  uzatiladigan ma‘lumotlar butunligini, ya‘ni ma‘lumot uzatilishda hech qanday buzulishlar, yo‘qitishlar va qaytarilishlar bo‘lmasligi;
  
• 
  uzatuvchi autentifikatsiyalanganligi, ya‘ni ma‘lumotlar haqiqatdan ham aniq va to‘g‘ri manzilga uzatilishi;
  
• 
  uzatiladigan ma‘lumotlar konfidensialligi, ya‘ni ruxsat etilmagan hollarda ma‘lumotni o‘qiy olmaslik.
  

IPSec protokolli asosan quyidagi komponentalardan tashkil topgan bo‘ladi:

• 
  asosiy protokol, ESP (Encapsulating Security Payload) va AH (Authentication Header);
  
• 
  IKE (Internet Key Exchange);
  
• 
  SPD (Security Policy Database);
  
• 
  SAD (Security Association Database).
  

IPSec protokolida ma‘lumotlarni shifrlash uchun maxfiy kalitlarni ishlatadigan istalgan simmetrik shifrlash algoritmi qo‘llanilishi mumkin. Himoyalangan virtual kanallarni tashkil etish mumkin bo‘lgan OSI modelining eng yuqori darajasi bu seans darajasi bo‘lib hisoblanadi. Seans darajasidagi tashkil etiladigan himoyalangan virtual kanallar protokollari himoyaning amaliy protokollari, shningdek, turli xil xizmatlarni ko‘rsatuvchi yuqori darajali protokollar:

• 
  HTTP;
  
• 
  FTP;
  
• 
  POP3;
  
• 
  SMTP va boshqa protokollar uchun shaffof. IPSec protokolli strukturasi 2.5 rasmda keltirilgan.
  

2. 
   rasm. IPSec protokolli strukturasi
   

Ma‘lumotlarning butunligi va autentligini ta‘minlash uchun (AH va ESP protokollarida) shifrlashning bir turidan foydalaniladi. Bir tomonlama shifrlovchi funksiya (One way function), xesh funksiya (Hash function) deb ham yuritiladi, yoki dayjest – funksiya (Digest Function). Ma‘lumotlarni bu funksiya yordami bilan shifrlaganda katta bo‘lmagan chegaralangan baytlardan iborat dayjest qiymat qaytaradi. Ayni vaqtda AH va ESP protokollari uchun ikkita autentifikatsiyalash algoritmlari HMAC-MD5 va HMAC-SHA-1 qabul qilingan. HMAC (Keyed- Hashing for Message Authentication Code) algoritmi RFC 2104 standartida aniqlangan. MD5 (Message Digest version 5, RFC 1321 standarti) va SHA-1 (Secure Hash Algorith version 1, standart FIPS 180-1) funksiyalari umumiy maxfiy kalitli xesh funksiyalar hisoblanadi. IPSec quyidagi himoya funksiyalarini ta‘minlaydi:

• 
  autentifikatsiya;
  
• 
  ma‘lumotlar butunligi;
  
• 
  konfidensiallik;
  
• 
  kalitlarni ishonchli boshqarish;
  
• 
  tunnellashtirish.
  

Sarlavhani autentifikatsiyalaydigan AH protokoli autentlik tekshiruvini va IP paketlar butunligin ta‘minlaydi. AH protokoli qabul qiluvchi quyidagilarga ishonch hosil qilishiga imkon beradi:

• 
  paket aynan kerakli, ya‘ni joriy ulanish o‘rnatilgan tomondan uzatilgan;
  
• 
  paket ma‘lumotlari tarmoq orqali uzatish vaqtida hech qanday buzilishlarga uchramagan;
  
• 
  paket oldinroq qabul qilingan biror–bir paketning dublikati emas.
  

Ammo, seans darajasida yuqori darajali protokollar amalga oshiradigan dasturlar bilan bevosita bo‘gliqligi boshlanadi. Shuning uchun ushbu darajaga tegishli ma‘lumot almashinuvi himoya protokollarini tashkil etish, odatda yuqori darajalardagi tarmoq dasturlariga o‘zgartirishlar kiritishni talab qiladi. Seans darajasidagi ma‘lumot almashinuvi himoyasi uchun SSL protokoli keng ko‘lamda qo‘llaniladi. SSL (Secure Socket Layer – himoyalangan soketlar protokollari) protokoli Netscape Communications tashkiloti tomonidan va RSA Data Security tashkiloti hamkorligida mijoz/server dasturlarida himoyalangan ma‘lumot almashinuvini tashkil etish uchun ishlab chiqarilgan. SSL protokolining yadrosini assimmetrik va simmetrik kriptosistema texnologiyalarining kompleks ishlatilishi tashkil qiladi. SSL protokolida ikkala tomon autentifikatsiyasi foydalanuvchilarning (mijoz va server) maxsus sertifikatlash markazlari tomonidan raqamli imzolar bilan tasdiqlangan ochiq kalitlar sertifikatlari almashinuvi yo‘li bilan bajariladi. Serverning SSL autentifikatsiyasi mijozga serverning haqiqiyligini tekshirish imkonini beradi. SSL-sessiyasi o‘rnatilganda quyidagi masalalar yechiladi:

• 
  tomonlar autentifikatsiyasi;
  
• 
  tomonlarning himoyalangan ma‘lumot almashinuvida ishlatiladigan kriptografik algoritmlar va siqish algoritmlari mosligi va kelishuvi;
  
• 
  umumiy maxfiy maxsus kalitni tashkillashtirish;
  
• 
  umumiy maxfiy maxsus kalit asosida ma‘lumot almashinuvining kripto himoyasi uchun umumiy maxfiy seans kalitlarni generatsiyalash.
  

Mijoz va sever orasidagi xavfsiz ulanishni tashkil etilishi va ular orasidagi autentifikatsiya jarayoni 2.6 rasmda keltirilgan.

2. 
   rasm. Mijoz va sever orasidagi xavfsiz ulanishni tashkil etilishi
   

Hozirgi vaqtda SSL protokoli OSI modelining seans darajasidagi himoyalangan kanal protokoli sifatida qo‘llaniladi. SSL protokoliga asosan kripto himoyalangan tunnellar virtual tarmoqning yakuniy nuqtalari orasida yasaladi. Ulanishnig bir tomonida server, ikkinchi tomonida mijoz faoliyat ko‘rsatadi.
SSL protokolida autentifikatsiyaning ikki xil usuli mavjud:

• 
  serverning mijoz bilan autentifikatsiyasi;
  
• 
  mijozning server bilan autentifikatsiyasi.
  

SSL protokoli X.509 standartiga mos keluvchi sertifikatlarni, shuningdek ochiq kalitlar infrastrukturasi standarti PKI (Public Key Infrastructure) ni qo‘llab quvvatlaydi. Bu standartlar yordamida sertifikatlarning yetkazilishi va haqiqiyligini tekshirish amalga oshiriladi [3].

3.