OSI / RM de ISO es un modelo de arquitectura de red bien conocido, sin embargo, OSI / RM no está diseñado específicamente para la seguridad, por lo que la seguridad del modelo en sí es muy débil. Para mejorar el estado de seguridad de la red y aumentar la fuerza de la seguridad de la red, ISO ha propuesto un conjunto de arquitectura de seguridad OSI basada en OSI / RM para fortalecer la seguridad de la red.
1 arquitectura de seguridad OSI
La arquitectura de seguridad OSI es una estructura multinivel orientada a objetos y cree que las aplicaciones de red seguras se implementan mediante servicios seguros y los servicios de seguridad se implementan mediante mecanismos de seguridad.
1.1 Servicio de seguridad OSI
En vista de la tecnología y el entorno del sistema de red, la arquitectura de seguridad OSI propone cinco tipos de servicios de seguridad para la seguridad de la red, a saber, servicio de autenticación de objetos, servicio de control de acceso, servicio de confidencialidad de datos, servicio de integridad de datos y servicio de denegación de prohibición.
(1) Servicio de autenticación de objetos
Los servicios de autenticación de objetos se pueden dividir en autenticación de entidad par y autenticación de fuente, que se utilizan para identificar la identidad de la entidad o fuente par, y para verificar la autenticidad y validez de la identidad. Entre ellos, la autenticación de la entidad par se utiliza para verificar que los reclamos de ambas partes en un par de entidades relacionadas en un determinado proceso de comunicación sean consistentes y para confirmar que no existe una identidad falsa en la entidad par. La autenticación de la fuente puede verificar si la información recibida realmente tiene la fuente que afirma.
(2) Servicio de control de acceso
El servicio de control de acceso evita el uso no autorizado de recursos en la red de comunicaciones. Los servicios de control de acceso se pueden dividir en control de acceso autónomo, control de acceso obligatorio y control de acceso basado en roles. Debido a las debilidades inherentes de DAC y MAC, así como a las ventajas excepcionales de RBAC, RBAC se ha convertido en el método de control de acceso más popular en el diseño tan pronto como aparece. El contenido específico del control de acceso se ha descrito anteriormente, por lo que no lo repetiré aquí.
(3) Servicio de confidencialidad de datos
Los servicios de confidencialidad de datos son medidas defensivas que se toman contra la fuga de información, incluida la confidencialidad de la información, la confidencialidad de un segmento seleccionado y la confidencialidad del flujo comercial. El servicio de confidencialidad de los datos se realiza cifrando los datos transmitidos en la red.
(4) Servicio de integridad de datos
Los servicios de integridad de datos incluyen la prevención de la manipulación ilegal de información, como la modificación, eliminación, inserción y copia.
(5) Se prohíbe la denegación de servicio.
La prohibición de negar el servicio puede evitar que el remitente de la información niegue la operación que ha realizado posteriormente, es decir, evitar la negación verificando todas las operaciones que se han producido. Específicamente, se puede dividir en varios aspectos, como evitar el envío de rechazo, evitar el envío de rechazo y notarizar.
1.2 mecanismo de seguridad OSI
Para implementar los cinco servicios de seguridad OSI mencionados anteriormente, la arquitectura de seguridad OSI recomienda los siguientes ocho mecanismos de seguridad: mecanismo de cifrado, mecanismo de firma digital, mecanismo de control de acceso, mecanismo de integridad de datos, mecanismo de intercambio de autenticación, mecanismo de llenado de flujo, mecanismo de verificación de ruta , Solo mecanismo.
(1) Mecanismo de cifrado
El mecanismo de encriptación consiste en encriptar la información transmitida en la red mediante varios algoritmos de encriptación, y es la medida más utilizada para proteger la información. Hay muchos tipos de algoritmos de cifrado, que se pueden dividir aproximadamente en dos categorías: cifrado de clave simétrica y cifrado de clave pública. Algunos de estos algoritmos de cifrado (por ejemplo, DES, etc.) ya se pueden implementar por hardware y tienen una alta eficiencia.
(2) Mecanismo de firma digital
El mecanismo de firma digital es un método en el que se utiliza una clave privada para la firma digital y se utiliza un algoritmo de cifrado de clave pública para verificar la firma digital. Se utiliza para ayudar al receptor de la información a confirmar si la información recibida es enviada por el remitente que reclama, y también puede verificar si la información ha sido manipulada e implementar servicios como la prohibición de denegación.
(3) Mecanismo de control de acceso
El mecanismo de control de acceso puede juzgar si el acceso del sujeto al objeto es legal de acuerdo con una serie de reglas de acceso prediseñadas en el sistema, si es legal, continuar la operación de acceso, en caso contrario denegar el acceso. El mecanismo de control de acceso es el método más básico de protección de seguridad y la barrera fronteriza de la seguridad de la red.
(4) Mecanismo de integridad de datos
El mecanismo de integridad de los datos incluye dos aspectos: la integridad de la unidad de datos y la integridad de la secuencia de la unidad de datos. Garantiza que los datos estén siempre completos y correctos durante la transmisión y el uso. El mecanismo de integridad de los datos está estrechamente relacionado con el mecanismo de cifrado de datos.
(5) Mecanismo de intercambio de identificación
El mecanismo de intercambio de autenticación confirma la identidad de una entidad mediante el intercambio de información y generalmente se usa para la autenticación entre entidades comunicantes en el mismo nivel. Para lograr el intercambio de autenticación, a menudo se utilizan las siguientes técnicas. ① Contraseña: enviada por el remitente y verificada por el receptor. ② Cifrado: Cifre la información intercambiada para que solo los usuarios legítimos puedan interpretarla. ③ Las características o titularidad de la entidad: por ejemplo, identificación de huellas dactilares, identificación mediante tarjeta de identificación, etc.
(6) Mecanismo de llenado de flujo empresarial
El mecanismo de llenado del flujo de servicio intenta hacer que el dispositivo de cifrado envíe continuamente secuencias pseudoaleatorias a la línea de comunicación de cierta manera cuando no hay una transmisión de datos efectiva, y las secuencias pseudoaleatorias enviadas aquí también están cifradas. De esta manera, un interceptor ilegal no puede distinguir cuál de la información monitoreada es válida y cuál no, de modo que se puede evitar que los atacantes ilegales monitoreen datos, analicen el tráfico, el flujo, etc., para lograr el propósito de proteger la seguridad de las comunicaciones.
(7) Mecanismo de control de enrutamiento
En una red grande, a menudo hay varias rutas desde el nodo de origen al nodo de destino, algunas de las cuales son seguras, mientras que otras pueden ser inseguras. Al transmitir datos confidenciales entre el nodo de origen y el nodo de destino, es necesario seleccionar una ruta segura específica para transmitirlos solo en una ruta segura, garantizando así la seguridad de la comunicación de datos.
(8) Mecanismo de notarización
En un sistema de información complejo, debe haber muchos usuarios, recursos y otras entidades. Debido a varias razones, es difícil garantizar que todos los usuarios sean honestos y que todos los recursos sean confiables. Al mismo tiempo, la información puede demorarse o perderse debido a fallas del sistema y otras razones. Es probable que causen disputas o disputas de responsabilidad. Una institución notarial es una institución autorizada en la que confían todas las partes en el sistema de comunicación. Antes de comunicarse entre las partes, intercambian información con esta institución, confiando así en este tercero de confianza para garantizar que la comunicación sea creíble, incluso si En caso de disputa, también se puede arbitrar a través de un notario.
1.3 La relación entre los servicios de seguridad OSI y los mecanismos de seguridad
No existe una correspondencia uno a uno entre los servicios de seguridad de OSI y los mecanismos de seguridad. Algunos servicios necesitan depender de múltiples mecanismos para solidificarse y, al mismo tiempo, algunos mecanismos pueden proporcionar múltiples servicios. En términos generales, existe una relación entre los servicios de seguridad de OSI y los mecanismos de seguridad como se muestra en la tabla, y estos mecanismos de seguridad pueden usarse como referencia en el diseño para proporcionar los servicios de seguridad correspondientes.
| Mecanismo de seguridad \ Servicio de seguridad | Autenticación de objetos | Control de acceso | Confidencialidad de los datos | Integridad de los datos | Prevenir la negación |
|---|---|---|---|---|---|
| cifrado | √ | √ | √ | ||
| Firma de datos | √ | √ | √ | √ | |
| Control de acceso | √ | ||||
| Integridad de los datos | √ | √ | |||
| Intercambio de autenticación | √ | ||||
| Llenado de flujo empresarial | √ | ||||
| Control de enrutamiento | √ | ||||
| notarización | √ |
2 Aplicación de VPN en seguridad de redes
Red Privada Virtual (Red Privada Virtual, VPN) se refiere al uso de redes públicas inseguras como Internet como medio de transmisión, a través de una serie de procesamiento de tecnología de seguridad, para lograr un desempeño de seguridad similar a una red privada, para garantizar la transmisión segura de información importante. tecnología de redes.
2.1 Ventajas de la tecnología VPN
La tecnología VPN tiene ventajas muy destacadas, que incluyen:
(1) Seguridad de las comunicaciones de red
La VPN utiliza túneles seguros y otras tecnologías para proporcionar servicios de conexión seguros de extremo a extremo. Cuando los usuarios de ambos extremos de la VPN se comunican en Internet, la información que transmiten se cifra mediante el algoritmo de cifrado asimétrico RSA y su clave se transmite Se calcula el algoritmo Diffie-Hellman, que puede garantizar completamente la seguridad de la comunicación de datos.
(2) Escalabilidad conveniente
El uso de la tecnología VPN para realizar la red privada interna de la empresa y el acceso remoto del personal comercial en lugares remotos, etc., tiene una escalabilidad conveniente y flexible. La primera es que la reconstrucción es muy conveniente y la red se puede reconstruir solo ajustando la configuración, y la segunda es la conveniencia de expandir la red, solo se necesitan configurar unos pocos nodos y no es necesario realizar ajustes de ingeniería en la red ya construida.
(3) Gestión conveniente
Al utilizar redes VPN, una gran cantidad de tareas de administración de la red se pueden colocar en el lado del proveedor de servicios de Internet para una implementación unificada, reduciendo así la carga de la administración de la red interna en la empresa. Al mismo tiempo, VPN también proporciona funciones inteligentes como transmisión y enrutamiento de información, y funciones independientes de otros equipos de red, y también proporciona a los usuarios medios flexibles de gestión de la red.
(4) Ahorros de costes significativos
La utilización de la omnipresente Internet existente para construir una red empresarial privada puede ahorrar una gran cantidad de costos de inversión y costos posteriores de operación y mantenimiento. En el pasado, para lograr la interconexión de dos redes remotas, la forma principal era utilizar una conexión de línea dedicada. Este método es demasiado costoso. VPN es una red privada virtual con mejor seguridad establecida en Internet, por lo que el costo es relativamente bajo, y parte del trabajo de operación y mantenimiento se puede poner en el lado del proveedor de servicios y se puede ahorrar parte del costo de mantenimiento.
2.2 Principio de VPN
Se necesitan una serie de tecnologías de seguridad clave para implementar VPN, que incluyen:
(1) Tecnología de túnel seguro
Es decir, la información transmitida es cifrada y encapsulada por el protocolo, y luego anidada en un paquete de datos de otro protocolo y enviada a la red, y se transmite como un paquete de datos normal. Después de dicho procesamiento, solo los usuarios en la fuente y el destino pueden extraer y procesar la información encriptada y encapsulada, mientras que para otros usuarios, la información es simplemente basura sin sentido.
(2) Tecnología de autenticación de usuarios
Confirme la identidad del usuario antes de que comience la conexión, y luego el sistema realiza la autorización correspondiente y el control de acceso a los recursos de acuerdo con la identidad del usuario.
(3) Tecnología de control de acceso
El proveedor del servicio VPN y el proveedor del recurso de información de red final negocian conjuntamente para determinar la autoridad de acceso del usuario al recurso, realizando así el control de acceso basado en el usuario y realizando la protección de los recursos de información.
En la figura anterior, el agente de túnel seguro y el centro de gestión forman un plano de transmisión segura (STP), que implementa la transmisión segura en Internet y las funciones de gestión del sistema correspondientes. El centro de gestión de autenticación de usuarios y el centro de distribución de claves forman un plano de función común (Common Function Plane, CFP), que es un plano auxiliar del plano de transmisión segura, que proporciona principalmente autenticación y gestión de identidad de usuario, distribución de claves y gestión a agentes de usuario relativamente independientes. Caracteristicas.
Al establecer la comunicación VPN, el agente de usuario de VPN solicita al agente de túnel seguro que establezca un túnel seguro. Una vez que el agente de túnel seguro lo acepta, establece un túnel seguro en Internet bajo el control y la gestión del centro de gestión, y luego proporciona a los usuarios una transmisión de red transparente. El agente de usuario de VPN incluye tres partes: una función de terminal de túnel seguro, una función de autenticación de usuario y una función de control de acceso, que en conjunto proporcionan un servicio VPN completo a la aplicación superior.
(1) Plano de transmisión seguro
El plano de transmisión segura realiza la transmisión segura y las funciones de gestión del sistema correspondientes en Internet, que se completa conjuntamente con el agente de túnel seguro y el centro de gestión.
① Agente de túnel seguro. El agente de túnel seguro puede conectar múltiples rutas seguras de punto a punto en un túnel seguro de extremo a extremo bajo el control del centro de gestión.
Es el cuerpo principal de VPN y su función principal es establecer y liberar un túnel seguro. Según la solicitud del agente de usuario, se establece un canal seguro punto a punto entre el agente de usuario y el agente de túnel seguro, y en este canal seguro se realizan interacciones como la autenticación de usuario y la negociación del nivel de servicio. El proceso de inicialización en el canal seguro puede proteger completamente la seguridad de información importante, como la autenticación de usuarios. Luego, bajo el control del centro de gestión, se establece un túnel seguro de extremo a extremo entre el extremo emisor y el extremo receptor mediante una serie de canales seguros punto a punto conectados en secuencia. Una vez finalizada la transmisión de información, el agente de cualquiera de las partes de la comunicación puede solicitar la liberación de la conexión del túnel para finalizar la conexión segura del túnel. Verificación de la identidad del usuario.
En el proceso de inicialización para establecer un túnel seguro, el agente de túnel seguro requiere que el agente de usuario envíe un certificado proporcionado por el centro de gestión de autenticación de usuarios, y la identidad del agente de usuario se puede confirmar verificando el certificado. Si es necesario, el agente de usuario puede realizar una autenticación inversa en el agente de túnel seguro para mejorar aún más la seguridad del sistema. Negociación de nivel de servicio. Una vez que se verifica la identidad del usuario, el agente del túnel de seguridad negocia el nivel de servicio con el agente del usuario, determina el nivel de servicio proporcionado de acuerdo con sus requisitos y la situación real del sistema VPN en ese momento, y lo informa al centro de gestión. Transmisión transparente de información.
Una vez establecido el túnel seguro, el agente del túnel seguro es responsable de la transmisión de información entre las partes que se comunican y realiza el control correspondiente de acuerdo con los parámetros de servicio acordados, y proporciona servicios de transmisión VPN transparentes para sus aplicaciones. Controle y gestione túneles seguros. Durante el mantenimiento de la conexión segura del túnel, el agente del túnel seguro también necesita gestionar y ajustar el rendimiento de la red y el nivel de servicio del túnel seguro establecido de acuerdo con el comando de gestión del centro de gestión.
② Centro de gestión de VPN. El centro de gestión de VPN es la parte central de toda la VPN, se pone en contacto directamente con el agente de túnel seguro y es responsable de coordinar el trabajo entre los agentes de túnel seguro en el plano de transmisión segura.
Las funciones específicas incluyen: gestión y control de túneles seguros. Determine la mejor ruta y emita un comando a todos los agentes de túnel seguros incluidos en la ruta para establecer una conexión de túnel segura. Una vez establecido el túnel, el centro de gestión continúa monitoreando el estado de funcionamiento de cada conexión del túnel. Para el túnel de seguridad defectuoso, el centro de gestión es responsable de volver a seleccionar la ruta y reemplazar la conexión con una nueva ruta. Durante el proceso de comunicación, los comandos de gestión también se pueden enviar a los agentes en los túneles de seguridad correspondientes según sea necesario para optimizar el rendimiento de la red y ajustar los niveles de servicio. Seguimiento y gestión del rendimiento de la red. El centro de gestión supervisa constantemente el estado de funcionamiento de cada agente de túnel de seguridad, recopila varios parámetros de rendimiento de VPN y completa funciones como la optimización del rendimiento de VPN y la resolución de problemas en función de los datos recopilados. Al mismo tiempo, el centro de administración también es responsable de completar las funciones comunes de administración de la red, como el registro de varios eventos de VPN, facturación de usuarios, auditorías de seguimiento e informes de fallas.
(2) Plano funcional público
El plano de función pública es un plano auxiliar del plano de transmisión segura, que proporciona funciones de administración y autenticación de identidad de usuario, distribución de claves y administración relativamente independientes para el agente de usuario de VPN, que son completadas respectivamente por el centro de administración de autenticación de usuarios y el centro de distribución de claves de VPN.
① Centro de gestión de certificaciones. El centro de gestión de autenticación proporciona autenticación de identidad de usuario y gestión de usuarios. La autenticación de usuario es proporcionar objetivamente autenticación de usuario a uno o ambos del agente de usuario de VPN y el agente de túnel seguro como un tercero, de modo que puedan confirmar mutuamente la identidad del otro. La gestión de usuarios se refiere a la parte de gestión de usuarios directamente relacionada con la función de autenticación de la identidad del usuario, es decir, los registros de la credibilidad y el estado de autenticación de cada usuario (incluidos los agentes de usuario, agentes de túnel de seguridad y centros de gestión de autenticación, etc.), y se puede utilizar en VPN y establecimiento. Consulte cuando las dos partes del túnel de seguridad negocian el nivel de servicio. La gestión aquí está orientada al servicio y las funciones de gestión de usuarios relacionadas con los derechos de los usuarios, el control de acceso, etc. no se incluyen aquí.
② Centro de distribución de llaves. El centro de distribución de claves proporciona funciones de administración, recuperación y distribución de claves para ambas partes que necesitan realizar la verificación de identidad y el cifrado de información. En el sistema VPN, los agentes de usuario, los agentes de túnel seguro y los centros de gestión de autenticación son todos usuarios del centro de distribución de claves.
El uso de la tecnología VPN no solo puede garantizar la conectividad y el intercambio de datos de toda la red empresarial, sino que también garantiza la seguridad de datos importantes, como las finanzas. Es una buena solución para la interconexión de redes locales dentro de la empresa.
