RU16962U1 - Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий - Google Patents

Description

Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий.

Предлагаемая полезная модель относится к вычислительной технике, в частности к системам обеспечения безопасности процесса передачи данных в сетях передачи данных общего пользования с коммутацией пакетов Х.25, Frame Relay и др.

Известны сети передачи данных общего пользования с коммутацией пакетов Х.25, Frame Relay и др., соединяющие пользователей информационных систем с помощью аппаратнопрограммных средств связи, которые обеспечивают защиту передаваемых данных от модификации вследствие случайных помех, но не обеспечивают защиту от преднамеренных несанкционированных воздействий. Г.Н. Устинов. Основы информационной безопасности систем и сетей передачи данных, Москва, «СРШТЕГ, 2000г., стр. 26-56, 59.

Наиболее близкой к предлагаемому техническому решению является сеть передачи данных общего пользования с коммутацией пакетов, содержащая абонентские линии, центры коммутации пакетов, и центр управления сетью и линии связи, их связывающие. Г.Н. Устинов. Основы информационной безопасности систем и сетей передачи данных, Москва, «СИНТЕГ, 2000г., стр.26, прототип.

Недостатком этой сети является отсутствие в ней механизмов защиты от несанкционированного доступа к предоставляемым ею услугам по передаче данных, защиты передаваемых пакетов данных

МКИООбР 15/16

пользователей от искажений вследствие несанкционированных воздействий в процессе передачи пакетов данных по сети передачи данных общего пользования с коммутацией пакетов и защиты информационной сферы сети передачи данных общего пользования с коммутацией пакетов от удаленных несанкционированных воздействий информационным оружием.

Предлагаемая полезная модель рещает техническую задачу обеспечения достоверности передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов, защиты информационной сферы выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов от удаленных несанкционированных воздействий, защиты выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов от несанкционированного доступа к предоставляемым выделенным защищаемым фрагментом этой сети услугам передачи данных и локализации участков выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов (абонентская линия или участок между абонентскими линиями), подвергнутых воздействию нарушителя.

Поставленная техническая задача решается тем, что система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, содержащем абонентские линии, центры коммутации пакетов, центр управления сетью и соединяющие их линии связи, дополнительно содержит центр управления безопасностью, включенный в центр управления сетью, и связанные с ним абонентские серверы безопасности, установленные на выходе терминала пользователя в

начале абонентской линии, а также сетевые серверы безонасности, установленные в конце абонентской линии на входе в порты центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, при этом каждый абонентский сервер безопасности содержит блок приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блок получения из центра управления безопасностью и хранения ключей шифрования для взаимодействия абонентского сервера безопасности со всеми сетевыми серверами безопасности, блок щифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блок добавления имитационной вставки к защифрованному пакету данных с формированием преобразованного пакета данных, блок передачи преобразованного пакета данных, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блок выдачи расшифрованного пакета данных пользователю, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью, который содержит блок формирования и распределения ключей шифрования, блок приема сообщений о пакетах данных, принятых с неправильным значением имитационной вставки, блок принятия решений по локализации несанкционированных воздействий и ликвидации последствий

несанкционированных воздействий и блок взаимодействия с центром управления сетью передачи данных общего пользования с коммутацией пакетов, при этом каждый сетевой сервер безопасности содержит блок из центра управления безопасностью и хранения ключей шифрования для взаимодействия с каждым абонентским сервером безопасности, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок-буфер для помещения принятого преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки в соответствии с алгоритмом, и ключом шифрования, соответствующим адресу передающего абонентского сервера безопасности, блок определения адреса принимающего пользователя и формирований в соответствии с ним либо команды на выдачу содержащегося в блоке-буфере пакета данных в центр коммутации пакетов, либо команды на шифрование и формирование имитационной вставки принятого и расшифрованного пакета данных для выдачи его абонентскому серверу безопасности принимающего пользователя, блок передачи преобразованного пакета данных из блока-буфера в центр коммутации пакетов, блок шифрования содержимого поля данных принятого и расшифрованного пакета данных в соответствии с ключом шифрования сетевого сервера безопасности с абонентским сервером безопасности принимающего пользователя, полученным из центра управления безопасностью, и формирования имитационной вставки для неизменяемой в процессе передачи части пакета данных, блок добавления имитационной вставки к зашифрованному пакету данных и формирования преобразованного пакета данных, блок передачи преобразованного пакета данных в абонентский сервер

безопасности принимающего пользователя, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью.

Такое выполнение системы защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий позволяет рещить поставленную техническую задачу за счет дополнительно введенных в систему защиты пакетов данных, передаваемых в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, центра управления безопасностью и взаимодействующих с ним абонентских серверов безопасности и сетевых серверов безопасности, выполняющих функции защиты пакетов данных без изменения функций, выполняемых основными компонентами сети передачи данных общего пользования с коммутацией пакетов.

При передаче в сетевой сервер безопасности выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов каждого пакета данных абонентским сервером безопасности передающего пользователя шифруется неизменяемая в процессе передачи часть пакета данных и по данным, содержащимся в поле данных принятого пакета данных, формируется имитационная вставка в соответствии с используемым алгоритмом шифрования, например, по ГОСТ 28147-89, и ключом щифрования, полученным из центра управления безопасностью для взаимодействия данного абонентского сервера безопасности со

всеми сетевыми серверами безопасности выделенного защищаемого фрагмента сети передачи данных, т.е. к передаваемому в сетевой сервер безопасности зашифрованному пакету данных длины k двоичных символов добавляется сформированная имитационная вставка длины m двоичных символов, в результате чего образуется преобразованный пакет данных длины двоичных символов, поступающий в сетевой сервер безопасности, установленный на входе в порт доступа центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, который обеспечивает дополнительную защиту от несанкционированного доступа в порт центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов за счет контроля подлинности принятого преобразованного пакета данных путем расшифрования принятого пакета данных, фиксирования адреса передающего пользователя и проверки правильности содержащейся в преобразованном пакете данных имитационной вставки в соответствии с ключом щифрования «сетевые серверь безопасности - передающий абонентский сервер безопасности полученным из центра управления безопасностью, при этом в случае положительного результата проверки имитационной вставки, принятый преобразованный пакет данных, содержащийся в блокебуфере, передается в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных с коммутацией пакетов, в случае же отрицательного результата проверки имитационной вставки преобразованный пакет данных, содержащийся в блок-буфере сетевого сервера безопасности, стирается.

Из центра коммутации пакетов сообщение, содержащее преобразованный пакет данных, передается в сетевой сервер безопасности принимающего пользователя, где на сетевом уровне выделяется преобразованный пакет данных, который расщифровывается с проверкой правильности содержащейся в нем имитационной вставки в соответствии с адресом передающего пользователя и ключом щифрования «сетевые серверы безопасности - передающий абонентский сервер безопасности и в случае правильной имитационной вставки принятое поле данных

расщифрованного пакета данных вновь зашифровывается, но уже на ключе шифрования для пары «сетевые серверы безопасности принимающий абонентский сервер безопасности с формированием новой имитационной вставки для неизменяемой части пакета данных, имитационная вставка добавляется к зашифрованному пакету данных с образованием преобразованного пакета данных, который и передается в абонентский сервер безопасности принимающего пользователя. При отрицательном результате проверки имитационной вставки принятый пакет данных стирается и сетевой сервер безопасности формирует и передает в центр управления безопасностыосообщение о принятом пакете данных с не нрощедшей контроля уц итационной вставкой.

В абонентском сервере безопасности принимающего пользователя на сетевом уровне в соответствии с используемым алгоритмом расщифрования, и ключом щифрования для пары «сетевые серверы безопасности - принимающий абонентский сервер безопасности, полученным из центра управления безопасностьН5 происходит расшифрование принятого из сетевого сервера безопасности преобразованного пакета данных и проверка правильности значения имитационной вставки, содержащейся в

принятом преобразованном пакете данных, и выдача в случае правильного значения имитационной вставки расшифрованного и без имитационной вставки пакета данных пользователю; при неправильном значении имитационной вставки принятый преобразованный пакет данных стирается. Принятые абонентским и сетевым серверами безопасности пакеты данных регистрируются с отметкой пакетов данных, не прошедших контроля правильности

значения имитационной вставки, там же формируются сообщения о

пакете данных с не прошедшем проверку имитационной вставки, которое передается в центр управления безопасностью, при этом передаваемое сообщение защищается выбранным протоколом защиты от его неприема. Распределение ключей щифрования по абонентским и сетевым серверам безопасности в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов при использовании одноключевой системы щифрования организуется центром управления безопасностью либо с использованием ручного режима на базе смарт-карт, либо с использованием защищаемого протокола взаимодействия центра управления безопасностью с абонентскими и сетевыми серверами безопасности по каналам связи, наряду с этим центр управления безопасностью совместно с центром управления сетью и другими организационными стр)тстурами сети передачи данных общего пользования с коммутацией пакетов рещает задачи по локализации несанкционированных воздействий и ликвидации их последствий на основе информации, полученной от абонентских и сетевых серверов безопасности.

Формирование ключей щифрования центром управления безопасностью при использовании системы щифрования с симметричными ключами происходит для следующих пар

i,n(t4e.Hue,f

взаимодействующих серверов: «i-тый - абонентский сервер безопасности - все сетевые серверы безопасности, т.е. все сетевые серверы безопасности имеют одинаковые ключи шифрования для взаимодействия с данным i-тым абонентским сервером безопасности.

Таким образом, протокол защиты, реализуемый абонентскими серверами безопасности и сетевыми серверами безопасности, а также функции, обеспечивающие выполнение предлагаемого протокола защиты, позволяют обнаружить модификацию передаваемых пакетов данных и совместно с центром управления безопасностью и центром управления сетью обеспечить заданную достоверность и надежность доставки до пользователя передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов, защиту информационной сферы этого фрагмента от удаленных несанкционированных воздействий и защиту от несанкционированного доступа к услугам сети передачи данных и локализации участков выделенного защищаемого фрагмента этой сети, где произопшо несанкционированное воздействие. Гарантированная достоверность каждого передаваемого пакета данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов определяется значением вероятности

появления не обнаруживаемого абонентскими или сетевыми серверами безопасности искажения поля данных в пакете данных

вследствие несанкционированных воздействий, равным р -„

г,„ 2

пользователей, показанной на фиг. 1. Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий содержит абонентские линии 1 и 2, связывающие терминалы пользователей 3 и 4 через абонентские серверы безопасности 5 и 6, установленные в начале абонентских линий, с сетевыми серверами безопасности 7 и 8, установленными в конце абонентских линий 1 и 2 и связанными с портами центра коммутации пакетов 9 выделенного защищаемого фрагмента 10 сети передачи данных общего пользования с коммутацией пакетов, содержащего центр управления сетью И и центр управления безопасностью 12, при

этом. абонентские сервед безопасности 5 и 6 соответственно

содержат блоки 13 и 14 приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блоки 15 и 16 получения из центра управления безопасностью 12 и хранения ключей щифрования, блоки 17 и 18 щифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блоки 19 и 20 добавления имитационной вставки к передаваемому пакету данных с формированием преобразованного пакета данных, блоки 21 и 22 передачи преобразованного пакета данных, блоки 23 и 24 приема и выделения на сетевом уровне преобразованного пакета данных, блоки 25 и 26 расщифрования преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блоки 27 и 28 выдачи расщифрованного пакета данных пользователю, блоки 29 и 30 регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной

вставки, блоки 31 и 32 формирования и передачи сообщения о принятом пакете данных, с неправильным значением имитационной вставки в центр управления безопасностью 12, который содержит блок 33 формирования и распределения по абонентским серверам безопасности ключей шифрования, блок 34 приема сообщений о пакетах данных с неправильным значением имитационной вставки, блок 35 принятия рещений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок 36 взаимодейсгвия с центром управления сетью И, сетевые серверы безопасности 7 и 8 соответственно содержат блоки 37 и 38 получения из центра управления безопасностью 12 и хранения ключей щифрования, блоки 39 и 40 приема и выделения на сетевом уровне преобразованного пакета данных, блоки-буферы 41 и 42 для хранения принятого преобразованного пакета данных, блоки 43 и 44 расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки в соответствии с используемыми ключом и алгоритмом шифрования, блоки 45 и 46 определения адреса принимающего пользователя и формирования в соответствии с ним либо команды на выдачу содержащегося в блоках-буферах 41 и 42 пакета данных в центр коммутации пакетов 9, либо команды на перезашифрование принятого пакета данных, блоки 47 и 48 передачи преобразованного пакета данных из блоков-буферов 41 и 42 в центр коммутации пакетов 9, блоки 49 и 50 шифрования содержимого поля данных принятого и расшифрованного пакета данных в соответствии с ключом щифрования и формирования имитационной вставки для неизменяемой в процессе передачи части пакета данных, блоки 51 и 52 добавления имитационной вставки к защифрованному пакету данных и формирования преобразованного пакета данных, блоки 53

и 54 передачи преобразованного пакета данных, блоки 55 и 56 регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной встаЬки, блоки 57 и 58 формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью 12.

Предлагаемая система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных с коммутацией пакетов работает следующим образом.

При передаче пакета данных от пользователя 3 к пользователю 4 блок 13 абонентского сервера безопасности 5 принимает и выделяет на сетевом уровне из принятого пакета данных содержимое поля данных, блок 15 получает из блока 33 центра управления безопасностью 12 ключи щифрования, блок 17 выбирает из блока 15 ключ щифрования для взаимодействия с сетевым сервером безопасности 7 и в соответствии с ним и алгоритмом шифрования, например, по ГОСТ 28147-89, шифрует содержимое поля данных принятого пакета данных и формирует для неизменяемой в процессе передачи части пакета данных имитационную вставку, блок 19 добавляет имитационную вставку к передаваемому пакету данных с формированием преобразованного пакета данных, блок 21 передает преобразованный пакет данных в блок 39 сетевого сервера безопасности 7, из которого преобразованный пакет данных передается в блок-буфер 41, блок 43 расшифровывает принятый преобразованный пакет данных и проверяет правильность принятого значения имитационной вставки в соответствии с ключом шифрования, полученным блоком 37 из центра управления безопасностью 12, при отрицательном результате проверки правильности принятого значения имитационной вставки

содержащийся в блоке-буфере 41 пакет данных стирается. В слзд1ае правильности принятого значения имитационной вставки блок 47 передает преобразованный пакет из буфера 41 в центр коммутации пакетов 9, блок 55 регистрирует входящие пакеты данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, а блок 57 формирует и передает сообщение о принятом пакете данных с неправильным значением имитационной вставки в центр управления безопасность 12. Из центра коммутации пакетов 9 преобразованный пакет данных на сетевом уровне поступает в блок 40 приема и выделения на сетевом уровне преобразованного пакета данных сетевого сервера безопасности 8, из которого преобразованный пакет данных поступает в блок 44, где происходит расщифрование принятого преобразованного пакета данных и проверка правильности имитационной вставки в соответствии с используемыми ключом и алгоритмом щифрования, в слзд1ае неправильного значения имитационной вставки принятый пакет данных стирается, а в случае правильного значения имитационной вставки и установления блоком 46 адреса абонентского сервера безопасности, как получателя пакета данных, содержимое поля данных принятого и расщифрованного пакета данных в блоке 50 щифруется и формируется имитационная вставка для неизменяемой в процессе передачи части пакета данных в соответствии с ключом щифрования для пары «сетевые серверы безопасности-абонентский сервер безопасности 6 принимающего пользователя 4, блок 52 добавляет имитационную вставку к защифрованному пакету данных, . блок 54 передает преобразованный пакет данных в абонентский сервер безопасности 6 принимающего пользователя 4, при этом блок 56 регистрирует входящие пакеты данных с отметкой пакетов данных, принятых с

неправильным значением имитационных вставок, а блок 58 формирует и передает сообщение о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью 12.

Блок 24 абонентского сервера безопасности 6 принимает и выделяет на сетевом уровне преобразованный пакет данных, блок 26 в соответствии с ключом шифрования, полученным из блока 16, и используемым алгоритмом расшифрования, например по ГОСТ 28147-89, расшифровывает принятый преобразованный пакет данных и проверяет правильность принятой имитационной вставки, а блок 28 при правильном значении имитационной вставки выдает принятый пакет данных без имитационной вставки пользователю 4. При фиксировании неправильного значения имитационной вставки в принятом пакете данных пакет данных стирается, блок 30 регистрирует входящие пакеты да1шых с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок 32 формирует и передает сообщение о принятом пакете данных с неправильным значением имитационной вставки в блок 34 центра управления безопасностью 12, блок 35 которого совместно с центром управления сетью 11 и другими организационными структурамипринимает рещение о локализации

несанкционированных воздействий и ликвидации их последствий.

Claims (1)

1. Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, содержащем абонентские линии, центры коммутации пакетов, центр управления сетью и соединяющие их линии связи, отличающаяся тем, что предлагаемая система защиты пакетов данных дополнительно содержит центр управления безопасностью, включенный в центр управления сетью, и связанные с ним абонентские серверы безопасности, установленные на выходе терминала пользователя в начале абонентской линии, а также сетевые серверы безопасности, установленные в конце каждой абонентской линии на входе в порты центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, при этом каждый абонентский сервер безопасности содержит блок приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блок получения из центра управления безопасностью и хранения ключа шифрования для взаимодействия абонентского сервера безопасности со всеми сетевыми серверами безопасности, блок шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блок добавления имитационной вставки к зашифрованному пакету данных с формированием преобразованного пакета данных, блок передачи преобразованного пакета данных, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блок выдачи расшифрованного пакета данных пользователю, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью, который содержит блок формирования и распределения ключей шифрования, блок приема сообщений о пакетах данных, принятых с неправильным значением имитационной вставки, блок принятия решений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок взаимодействия с центром управления сетью передачи данных общего пользования с коммутацией пакетов, при этом каждый сетевой сервер безопасности содержит блок получения из центра управления безопасностью и хранения ключей шифрования для взаимодействия с каждым абонентским сервером безопасности, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок-буфер для помещения принятого преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки в соответствии с алгоритмом и ключом шифрования, соответствующим адресу передающего абонентского сервера безопасности, блок определения адреса принимающего пользователя и формирования в соответствии с ним либо команды на выдачу содержащегося в блоке-буфере пакета данных в центр коммутации пакетов, либо команды на шифрование и формирование имитационной вставки принятого и расшифрованного пакета данных для выдачи его абонентскому серверу безопасности принимающего пользователя, блок передачи преобразованного пакета данных из блока-буфера в центр коммутации пакетов, блок шифрования содержимого поля данных принятого и расшифрованного пакета данных в соответствии с ключом шифрования сетевого сервера безопасности с абонентским сервером безопасности принимающего пользователя, полученным из центра управления безопасности, и формирования имитационной вставки для неизменяемой в процессе передачи части пакета данных, блок добавления имитационной вставки к зашифрованному пакету данных и формирования преобразованного пакета данных, блок передачи преобразованного пакета данных в абонентский сервер безопасности принимающего пользователя, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью.