RU16964U1 - Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий - Google Patents

Description

Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий.

Предлагаемая полезная модель относится к вычислительной технике, в частности к системам обеспечения безопасности процесса передачи данных в сетях передачи данных общего пользования с коммутацией пакетов Х.25, Frame Relay и др.

Известны сети передачи данных общего пользования с коммутацией пакетов Х.25, Frame Relay и др., соединяющие пользователей информационных систем с помощью аппаратнопрограммных средств связи, которые обеспечивают защиту передаваемых данных от модификации вследствие случайных помех, но не обеспечивают защиту от преднамеренных несанкционированных воздействий Г.Н. Устинов. Основы информационной безопасности систем и сетей передачи данных, Москва, «СИНТЕГ, 2000г., стр. 26-56,.59,

Наиболее близкой к предлагаемому техническому рещению является сеть передачи данных общего пользования с коммутацией пакетов, содержащая абонентские линии, центры коммутации пакетов, центр управления сетью и линии связи их связывающие. Г.Н. Устинов. Основы информационной безопасности систем и сетей передачи данных, Москва, «СИНТЕГ, 2000г.,стр. 26, прототип.

Недостатком этой сети является отсутствие механизмов защиты передаваемых пакетов данных пользователей от искажений вследствие несанкционированных воздействий в процессе передачи

пакетов данных по сети передачи данных общего пользования с коммутацией пакетов и защиты информационной сферы сети передачи данных общего пользования с коммутацией пакетов от удаленных несанкционированных воздействий информационным оружием.

Предлагаемая полезная модель рещает техническую задачу обеспечения достоверности передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов и защиты информационной сферы выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов от удаленных несанкционированных воздействий.

Поставленная техническая задача рещается тем, что система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, включающая выделенный защищаемый фрагмент сети передачи данных общего пользования с коммутацией пакетов, содержащий абонентские линии, центры коммутации пакетов, центр управления сетью и связывающие их линии связи, дополнительно содержит центр управления безопасностью, включенный в центр управления сетью, и связанные с ним абонентские серверы безопасности, установленные либо на выходе терминала пользователя в начале абонентской линии, либо на входе в порт центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с комм)пгацией пакетов в конце абонентской линии пользователей выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, при этом каждый абонентский сервер безопасности содержит блок

fc tJ-t//

приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блок получения из центра управления безопасностью и хранения ключей шифрования для каждой пары взаимодействующих абонентских серверов безопасности, блок шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блок добавления имитационной вставки к передаваемому пакету данных с формированием преобразованного пакета данных, блок передачи преобразованного пакета данных, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блок выдачи расшифрованного пакета данных пользователю, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообшения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью, который содержит блок формирования и распределения по абонентским серверам безопасности ключей шифрования, блок приема сообщений о пакетах данных, принятых с неправильным значением имитационной вставки, блок принятия решений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий, и блок взаимодействия с центром управления сетью передачи данных обшего пользования с коммутацией пакетов, при этом абонентский сервер безопасности, установленный в начале абонентской линии, с одной стороны связан с терминалом пользователя, с другой стороны связан с абонентской линией, а абонентский сервер безопасности.

установленный в конце абонентской линии, связан с одной стороны с абонентской линией, а с другой стороны с портом доступа в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов.

Такое выполнение системы защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммзп:ацией пакетов от несанкционированных воздействий позволяет рещить поставленную техническую задачу за счет дополнительно введенных в систему защиты пакетов данных, передаваемых в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, центра управления безопасностью и взаимодействующих с ним абонентских серверов безопасности, выполняющих функции защиты пакетов данных без изменения функций, выполняемых основными компонентами сети передачи данных общего пользования с коммутацией пакетов. При передаче в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов каждого пакета данных абонентским сервером безопасности передающего пользователя щифруется неизменяемая в процессе передачи часть пакета данных и по данным, содержащимся в поле данных принятого пакета данных, формируется имитационная вставка в соответствии с используемым алгоритмом щифрования, например, по ГОСТ 2814789, и ключом щифрования, выбранным для данной пары взаимодействующих абонентских серверов безопасности, т.е. к передаваемому в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных пакету данных длины k двоичных символов добавляется сформированная

имитационная вставка длины m двоичных символов, в результате чего образуется преобразованный пакет данных длины двоичных символов. В абонентском сервере безопасности принимающего пользователя на сетевом уровне в соответствии с алгоритмом расшифрования, например по ГОСТ 28147-89, происходит расшифрование принятого из центра коммутации пакетов преобразованного пакета данных и проверка правильности значения имитационной вставки, содержащейся в принятом преобразованном пакете данных, и выдача в случае правильного значения имитационной вставки расшифрованного пакета данных пользователю; при неправильном значении имитационной вставки принятый преобразованный пакет данных стирается. Принятые на сетевом уровне пакеты данных регистрируются с отметкой не прошедших контроль правильности значения имитационной вставки пакетов данных, формируется сообшение о не прошедшем проверку пакете данных, которое передается в центр управления безопасностью, при этом передаваемое сообщение защищается выбранным протоколом защиты от его неприема. Распределение ключей шифрования для каждой пары абонентских серверов безопасности, взаимодействующих в процессе передачи пакета данных в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов, при использовании одноключевой системы шифрования организуется центром управления безопасностью либо с использованием ручного режима на базе смарт-карт, либо с использованием защишаемого протокола взаимодействия центра управления безопасностью с абонентскими серверами безопасности по каналам связи, наряду с этим центр управления безопасностью совместно с центром управления сетью и другими организационными структурами сети

передачи данных общего пользования с комм)т ацией пакетов решает задачи по локализации несанкционированных воздействий и ликвидации их последствий на основе информации, полученной от абонентских серверов безопасности.

Таким образом, протокол защиты, реализуемый абонентскими серверами безопасности, а также функции, обеспечивающие выполнение внедряемого протокола защиты, позволяют обнаружить модификацию передаваемых пакетов данных и совместно с центром Зшравления безопасностью и центром управления сетью обеспечить заданную достоверность и надежность доставки до пользователя передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов и защиту информационной сферы этого фрагмента от удаленных несанкционированных воздействий. Гарантированная достоверность каждого передаваемого пакета данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов определяется значением вероятности „ появления не обнаруживаемого

абонентским сервером безопасности искажеьшя поля данных в каждом пакете данных вследствие несанкционированных

воздействии, равным „ -„

JT то 2

Сущность предлагаемого технического решения поясняется схемой для двух взаимодействующих абонентских серверов безопасности, показанной на фиг. 1. Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий содержит абонентские линии 1 и 2, связывающие соответственно

терминалы пользователей 3 и 4 с через абонентские серверы безопасности 5 и 6, установленные в начале абонентских линий 1 и 2, с центром коммутации пакетов 7 выделенного защищаемого фрагмента 8 сети передачи данных общего пользования с коммутацией пакетов, содержащего центр управления сетью 9 и центр управления безопасностью 10, при этом абонентские серверы безопасности 5 и 6 соответственно содержа т блоки 11 и 12 приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блоки 13 и 14 получения из центра управления безопасностью 10 и хранения ключей шифрования для каждой пары взаимодействующих пользователей, блоки 15 и 16 шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блоки 17 и 18 добавления имитационной вставки к передаваемому пакету данных с формированием преобразованного пакета данных, блоки 19 и 20 передачи преобразованного пакета данных, блоки 21и22приема и выделения на сетевом уровне преобразованного пакета данных, блоки 23 и 24 расшифровки преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блоки 25 и 26 выдачи расшифрованного пакета данных пользователю, блоки 27 и 28 регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блоки 29 и ЗОформирования и передачи сообщения о принятом пакете данных с неправильным значением имитационной вставки в центр управления безопасностью 10, который содержит блок 31 формирования и распределения по абонентским серверам безопасности ключей щифрования, блок 32 приема сообщений о пакетах данных с неправильным значением

имитационной вставки, блок 33 принятия решений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок 34 взаимодействия с центром управления сетью 9 передачи данных общего пользования с коммутацией пакетов.

На фиг. 2 показана схема системы защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, отличающаяся от схемы, показанной на фиг. 1 только тем, что абонентские серверы безопасности 5 и 6 установлены в конце абонентских линий 1 и 2 непосредственно у портов соответствующих центров 7 коммутации пакетов выделенного защищаемого фрагмента 8 сети передачи данных общего пользования с коммутацией пакетов.

Предлагаемая система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных с коммутацией пакетов работает следующим образом.

При передаче пакета данных от пользователя 3 к пользователю 4 блок 11 абонентского сервера безопасности 5 принимает и выделяет на сетевом уровне из принятого пакета данных содержимое поля данных, блок 13 получает из блока 31 центра управления безопасностью 7 ключи щифрования для всех пар взаимодействующих с данным абонентским сервером безопасности абонентских серверов безопасности, блок 15 выбирает из блока 13 ключ шифрования для взаимодействующей пары абонентских серверов безопасности 5 и 6 и в соответствии с ним и с алгоритмом щифрования, например, по ГОСТ 28147-89, щифрует содержимое поля данных принятого пакета данных и формирует для неизменяемой в процессе передачи части пакета данных

J / 2i 39имитационную вставку, блок 17 добавляет имитационную вставку к передаваемому пакету данных с формированием преобразованного пакета данных, блок 19 передает преобразованный пакет данных в центр 7 коммутации пакетов выделенного защищаемого фрагмента 8 сети передачи данных общего пользования с коммутацией пакетов, откуда преобразованный пакет данных поступает в абонентский сервер безопасности 6 пользователя 4. Блок 22 абонентского сервера безопасности 6 принимает и выделяет на сетевом уровне преобразованный пакет данных, блок 24 в соответствии с ключом шифрования, полученным из блока 14, и алгоритмом расшифрования, например по ГОСТ 28147-89, расшифровывает принятый преобразованный пакет данных и проверяет правильность принятой имитационной вставки, а блок 26 при правильном значении имитационной вставки выдает принятый пакет данных без имитационной вставки пользователю 4. При фиксировании неправильного значения имитационной вставки в принятом пакете данных пакет данных стирается, блок 28 регистрирует входящие пакеты данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок 30 формирует и передает сообщение о принятом пакете данных с неправильным значением имитационной вставки в блок 32 центра управления безопасностью 10, блок 33 которого совместно с центром управления сетью 9 и другими организационными структурами принимает рещение о локализации несанкционированных воздействий и ликвидации их последствий.

Показанная на фиг. 2 схема системы защиты

J3 прои,ессе их пакетов данных в выделенном защищаемом фрагменте

от несанкционированных воздействий работает аналогичным образом.

Предлагаемая система защитыпакетов

,Б процессе цх г ер&длчи данник выделенном защищаемом фрагменте сети передачи

данных общего пользования с коммутацией пакетов от несанкционированного воздействий при установке абонентских серверов безопасности на выходе терминала пользователя в начале абонентских линий выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов включает в контур защиты и абонентские линии, т.е. расширяется область защиты выделенного защищаемого фрагмента сети передачи данных общего пользования с кoм(Iyтaциeй пакетов, при этом в данном случае абонентские серверы безопасности устанавливаются по желанию пользователей выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов на охраняемой территории пользователей.

Claims (1)

1. Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, включающая выделенный защищаемый фрагмент сети передачи данных общего пользования с коммутацией пакетов, содержащий абонентские линии, центры коммутации пакетов, центр управления сетью и линии связи, их связывающие, отличающаяся тем, что она дополнительно содержит центр управления безопасностью, включенный в центр управления сетью, и связанные с ним абонентские серверы безопасности, установленные либо на выходе терминала пользователя в начале абонентской линии, либо на входе в порт центра коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов в конце абонентской линии выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, при этом каждый абонентский сервер безопасности содержит блок приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блок получения из центра управления безопасностью и хранения ключей шифрования для каждой пары взаимодействующих абонентских серверов безопасности, блок шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блок добавления имитационной вставки к зашифрованному пакету данных с формированием преобразованного пакета данных, блок передачи преобразованного пакета данных, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блок выдачи расшифрованного пакета данных пользователю, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью, который содержит блок формирования и распределения по абонентским серверам безопасности ключей шифрования, блок приема сообщений о пакетах данных, принятых с неправильным значением имитационной вставки, блок принятия решений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок взаимодействия с центром управления сетью передачи данных общего пользования с коммутацией пакетов, при этом абонентский сервер безопасности, установленный в начале абонентской линии, с одной стороны связан с терминалом пользователя, а с другой стороны связан с абонентской линией, а абонентский сервер безопасности, установленный в конце абонентской линии, связан с одной стороны с абонентской линией, а с другой стороны с портом доступа в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов.