Протоколы защиты трафика IP

Uyless Black, «Internet Security Protocols: Protecting IP Traffic».

Протоколы защиты IP-трафика составляют ядро технологии виртуальных частных сетей (VPN), позволяющей передавать данные безопасным способом через незащищенные сети. Книга Улисса Блэка, автора большого количества монографий по сетевой и компьютерной тематике (многие из которых стали бестселлерами), несмотря на свое достаточно общее название, фокусирует внимание на одном из наиболее перспективных средств обеспечения безопасности — системе протоколов IPSec. Именно эти протоколы, которым отведено более трети объема книги, исследуются с высокой степенью детализации. Другие средства защиты трафика в Internet, такие, как протокол SSL, используемый сегодня повсеместно при защищенном доступе пользователей с помощью браузеров к страницам Web, или протокол защищенной почты PGP, рассмотрены гораздо более схематично — и это нужно учесть читателям, которые, возможно, надеются в одной книге найти исчерпывающую информацию обо всех аспектах безопасности Internet и сетей IP.

Акцент на протоколах IPSec, безусловно, оправдан, и не только потому, что «нельзя объять необъятное» и нужно сосредоточиться на чем-то одном (хотя и это обстоятельство, вероятно, также повлияло на автора). Просто система стандартов IPSec обладает свойствами, благодаря которым она способна в скором времени стать средством №1 для защиты данных, передаваемых по Internet и IP-сетям. Во-первых, средства IPSec позволяют защитить трафик любых приложений, в том числе и унаследованных, а не только тех, которые написаны специальным образом и явно обращаются к протоколу безопасности, как это делают браузеры, использующие протокол SSL. Во-вторых, протоколы IPSec являются стандартами Internet, причем сама система IPSec построена так, что допускает расширение за счет добавления новых протоколов аутентификации, шифрования и распределения ключей. И, наконец, очень важно, что средства IPSec уже нашли практическое признание — как в продуктах VPN ведущих производителей, так и во многих реализациях, например в очень крупной сети ANX, построенной автомобильными гигантами США.

Книга «Internet Secu-rity Protocols: Protec-ting IP Traffic» написана, как и большинство книг Улисса Блэка, на основе системного подхода — все протоколы, алгоритмы и технологии рассматриваются сначала на концептуальном уровне, далее объясняется их назначение и место в общей системе безопасности Internet, изучаются связи с другими технологиями и внутренние взаимосвязи и только потом исследуются детали каждого протокола.

Первые пять глав книги составляют вводную часть, которую должен прочитать каждый, кто слабо знаком с проблемами безопасности Internet, основными понятиями защиты данных и базовыми алгоритмами аутентификации и шифрования. Автор последовательно наращивает сложность излагаемого материала, так что читатель, не имеющий подготовки в области криптографии, сможет к концу раздела понять принципы, на которых основаны такие широко используемые в безопасности процедуры, как DES, RSA, MD5, SHA и OAKLEY.

Основная часть книги, посвященная системе протоколов IPSec, состоит из четырех глав. В первой главе этого раздела рассматривается общая архитектура IPSec и поясняются базовые понятия: туннель IPSec, безопасная ассоциация, транспортный и туннельный режимы и т. п. В следующей главе детально рассматриваются два основных протокола IPSec — AH и ESP, — обеспечивающие целостность, аутентичность и шифрование данных. Автор иллюстрирует описание протоколов различными примерами их применения, что существенно облегчает понимание особенностей многочисленных режимов работы, зачастую ускользающих при сухом изложении назначения полей пакетов.

Основную часть книги завершает рассмотрение алгоритмов и процедур, формально не входящих в IPSec, но составляющих тем не менее важную часть этой системы — средств установления защищенных ассоциаций на основе механизмов распределения открытых ключей. Здесь достаточно подробно описывается стандарт Internet Key Exchange (IKE), а также используемые им процедуры ISAKMP и OAKLEY.

Несколько особняком стоят в книге главы, в которых рассматриваются протоколы PPP, CHAP, PAP, RADIUS, DIAMETER, а также протокол IS-41-C, используемый для защиты данных в мобильных и беспроводных сетях в Северной Америке — данный материал носит достаточно обзорный характер и никак не используется в основной части книги.

В целом новая книга Улисса Блэка может стать хорошим пособием для тех, кто начинает серьезно заниматься проблемами безопасности в Internet и конкретно вопросами построения виртуальных частных сетей на основе перспективных стандартов.