Факультет ИСиТ Вторник, 05.07.2022, 19:00
Приветствую Вас Гость | RSS
[ Персональный раздел · Новые сообщения · Участники · Правила форума · Поиск · RSS ]
  • Страница 1 из 3
  • 1
  • 2
  • 3
  • »
Модератор форума: lamama  
Факультет ИСиТ СыктГУ - Форум » Компьютеры / Интернет / Информационные системы и технологии » Информационная безопасность и криптология » Передача шифрованной информации (Способы передачи шифрованной информации)
Передача шифрованной информации
vitalyu Дата: Вторник, 22.04.2008, 23:44 | Сообщение # 1
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
Очень важный вопрос, ИМХО.
В упрощенном варианте такая задача: есть 2 точки, между которыми необходимо обеспечить передачу информации в шифрованном виде.
Так вот, как вы считаете, как грамотно обменяться ключами ( если это симметричный шифр ) и каким криптоалоритмом это наиболее быстро и надежно это реализовать?

Добавлено (22.04.2008, 23:44)
---------------------------------------------
Закину первый вариант, как пищу для фантазии:

Этап 1
- На одной точке (скажем, Сервер) хранится список пользователей и паролей.
- На второй точке ( Клиент ) вводится имя пользователя и пароль.

Этап 2
- Клиент высылает имя пользователя на Сервер
- Сервер создает произвольное слово, скажем "Привет ФИСиТ" и щифрует это слово по алгоритму, скажем, RC4, с ключем, соответсвующим этому паролю этого пользователя.
- Сервер отсылает "Привет ФИСиТ" (не шифрованное) Клиенту.
- Клиент шифрует слово по тому же RC4 своим паролем и отсылает шифрованное сообщение серверу

Этап 3
- Сервер сравнивает свою шифровку с шифровкой Клиента, и если true - значит доступ разрешен

----------------------------
Вот такая вот реализация ))) Зато пароль в явном виде не передается )


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...
 
Expert Дата: Среда, 23.04.2008, 06:25 | Сообщение # 2
Главный
Группа: Администраторы
Сообщений: 6115
Награды: 1
Статус: Offline
vitalyu, спасибо за интересную тему. В принципе, теоретические и прикладные классики криптологии используют в данном случае следующие подходы.

Во-первых, идентификация пользователя на рабочей станции может быть выполнена следующим образом:

1.Запрос на ввод идентификатора со стороны системы защиты.
2.Ввод пользователем своего идентификатора (имени) NAME.
3.Запрос на ввод пароля со стороны системы защиты.
4.Ввод пользователем пароля P.
5.Вычисление системой защиты значения односторонней функции y = F(x), соответствующей значению аргумента x = P.
6.Сравнение системой защиты значения F(P) со значением образа S пароля, соответствующего пользователю с идентификатором NAME.
7.Если F(P) = S, то система защиты предоставляет пользователю права доступа, соответствующие идентификатору NAME. В противном случае в журнале регистрируется информация о попытке несанкционированного доступа.

Во-вторых, для взаимной идентификации удаленных рабочих станций принципиальным является предположение, что потенциальный злоумышленник прослушивает канал связи, а следовательно, описанный выше способ идентификации неприемлем, поскольку недопустима передача пароля по незащищенному каналу.

Идентификация удаленных рабочих станций может быть выполнена по следующей схеме, основанной на использовании алгоритма шифрования Еk и общего секретного ключа k для удаленных станций A и B (одна из них, к примеру, в вашей постановке задачи - сервер):

Алгоритм идентификации удаленных рабочих станций
1.Станция А посылает запрос на соединение со станцией В.
2.Станция В посылает А случайное число R.
3.Станция А зашифровывает R по секретному ключу k, получая шифртекст Ca = Еk (R, k), и направляет станции В значение Са.
4.Станция В вычисляет Сb = ЕК (R, K) и сравнивает значения Cb и Ca. Если они равны, то принимается решение, что запрос на установление сеанса связи отправлен станцией А, иначе связь прерывается.

Еще могу привести порядок использования систем с симметричными ключами:
1.Безопасно создается, распространяется и сохраняется симметричный секретный ключ.
2.Отправитель создает электронную подпись с помощью расчета хэш-функции для текста и присоединяет ее к тексту.
3.Отправитель использует симметричный алгоритм шифрования/дешифрования вместе с секретным симметричным ключом к полученному пакету (тексту с присоединенной электронной подписью) для получения шифртекста. Таким образом, неявно производится аутентификация, так как только отправитель знает симметричный секретный ключ. Только получатель знает симметричный секретный ключ и может расшифровать этот пакет.
4.Отправитель передает шифртекст. Симметричный секретный ключ никогда не передается по незащищенным каналам связи.
5.Получатель использует тот же самый симметричный алгоритм шифрования/дешифрования вместе с тем же самым симметричным ключом для восстановления исходного текста и электронной подписи. Его успешное восстановление аутентифицирует кого-то, кто знает секретный ключ (иными словами отправителя).
6.Получатель отделяет электронную подпись от текста.
7.Получатель создает другую электронную подпись с помощью расчета хэш-функции для полученного текста.
8.Получатель сравнивает две этих электронных подписи для проверки целостности сообщения (отсутствия его искажения).

P/S/ Здесь в Ek k - это нижний индекс. В других обозначениях также. Очень сложно формулы тут писать wink
P/S/S/ Речь шла об использовании симметрии. При асимметричной криптографии все гораздо легче wink Вернее при правильном использоании и того, и другого


Блог декана

Уведомление для прессы и всех пользователей сети интернет: администрация форума может не заметить вовремя нецензурных слов и других, возможно, оскорбительных выражений/картинок/прочих материалов. Если вы заметили косвенный либо прямой факт оскорбления кого бы то ни было, пожалуйста, сообщите об этом администратору форума для принятия решения об удалении/модерировании соответствующего сообщения. Полный текст уведомления см. здесь.
 
vitalyu Дата: Среда, 23.04.2008, 23:04 | Сообщение # 3
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
Воот! Это как раз то что я и пытался описать, только красиво все выглядит, более структурировано ) Скопировал в блокнот - поможет однозначно )

Quote (Expert)
Еще могу привести порядок использования систем с симметричными ключами:

Эта схема очень напоминает методику работы Удостоверяющих центров сертификации. РУНЦ у нас по похожей работает ..
Кстати, с одногрупниками как-то активно обсуждали схему взлома данной системы .. Нашли вариант с внедрением промежуточного звена в цепочке передачи .. Сложно, но в теории возможно ..


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...
 
eXceed Дата: Суббота, 26.04.2008, 12:32 | Сообщение # 4
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
Есть хорошие методы обмена ключами между клиентами. Один из них: Использование отпечатков. Например в протоколе ssh2 использую отпечатки стека ssh2 для идентификации клиентов. Довольно хорошее решение. Например когда первый раз клиент подключается к серверу, сервер делает отпечаток стека клиента. Далее отпечаток используется для идентификации клиента. Можно ввести дополнительные проверки и прочие привязки. Вообщем быстро и эффективно.

bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.
 
maestRo Дата: Суббота, 26.04.2008, 22:08 | Сообщение # 5
Магистр
Группа: Актив
Сообщений: 228
Награды: 0
Статус: Offline
Quote (vitalyu)
РУНЦ у нас по похожей работает ..

Виталик, РУНЦ по этой схеме не работает! wink


Хотел поставить в подписи рекламу, почитал правила форума :)
Так что: ==Тут могла быть наша реклама==
 
vitalyu Дата: Суббота, 26.04.2008, 22:58 | Сообщение # 6
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
maestRo, я имел ввиду не один-в-один повторение РУНЦом подобных действий, тем более что уж точно не с симметричными алгоритмами, а то что идет защита двойной подписью ..

Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...
 
eXceed Дата: Воскресенье, 27.04.2008, 01:05 | Сообщение # 7
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
Ох. А зачем мы велик изобретаем? Тов. Полуботко закупил крипто - шлюзы! Данные идут зашифрованные от клиента к клиенту по своему тоннелю. Расшифровка прозрачная для пользователя. Ну или можно использовать модули STERRA на Cisco 3845 =). Это избавит нас от изобретения велосипедов.

bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.
 
vitalyu Дата: Воскресенье, 27.04.2008, 13:53 | Сообщение # 8
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
А я хз, но мне он сказал, что в проге ( в т.ч. "Абитуриент","Контингент" ) ОБЯЗАТЕЛЬНА шифрованная передача данных, реализованная непосредственно самим ПО .. Вот и думаю как грамотней все это сделать ..

Добавлено (27.04.2008, 13:53)
---------------------------------------------
Кста, вопросик,

Quote (eXceed)
Данные идут зашифрованные от клиента к клиенту по своему тоннелю.

есть примеры подобных реализаций? в исходниках .. Только не через WinPCap ..
А то штука интересная, и хз как поток ловить.. единственный вариант вижу, писать драйвер и натягивать его как фаерволл .. но хз как это сделать, через стандартные WinSock точно не вариант ..


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...
 
Expert Дата: Воскресенье, 27.04.2008, 13:54 | Сообщение # 9
Главный
Группа: Администраторы
Сообщений: 6115
Награды: 1
Статус: Offline
Quote (vitalyu)
но мне он сказал

да, есть инструкции на эту тему, но я не уверен, что именно шифровать ее надо. Достаточно, по-моему, защищенного канала. Или пакеты все-таки передаваемые шифровать надо? Надо будет у В.А. спросить, что имел ввиду.


Блог декана

Уведомление для прессы и всех пользователей сети интернет: администрация форума может не заметить вовремя нецензурных слов и других, возможно, оскорбительных выражений/картинок/прочих материалов. Если вы заметили косвенный либо прямой факт оскорбления кого бы то ни было, пожалуйста, сообщите об этом администратору форума для принятия решения об удалении/модерировании соответствующего сообщения. Полный текст уведомления см. здесь.
 
eXceed Дата: Понедельник, 28.04.2008, 12:38 | Сообщение # 10
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
vitalyu
Ты не понял =) Для пользовательских задач все абсолютно прозрачно! Это как VPN для тебя прозрачно, а для пользователей обычной LAN ты невидим.


bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.
 
vitalyu Дата: Понедельник, 28.04.2008, 18:47 | Сообщение # 11
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
eXceed, это я прекрасно понимаю. Но это требует дополнительных, как програмных, так и временных затрат. В идеале любого ПО - самостоятельная защита своего контента, так сказать защита "сразу с пакета" ..

VPN то это ясно понятно! Своя подстеть в тунеле основной - это бесспорно круто. Можно еще и его, как доп. защиту нацепить.

Но ты сам знаешь наших пользователей того же Контингента, уходят от компа при установленном соединении. У нас базу на студентов стырить - не вопрос вообще - вот она защита конфиденциальной информации ..

А так поставил снифер, и с таким же "прозрачным" успехом ловишь нешифрованную инфу! Вот в чем трабла! ИНСАЙДЕРЫ - ГЛАВНАЯ УГРОЗА!

-----------------

Кстати, у нас же не однократно кто-то говорил про создание VPN'a для текущего Контингента .. но по каким-то причинам так и не ввели .. И вариант установки на Сервер Терминалов тоже "сдулся" .. sad

Подожди пару месяцев, к сентябрю, если лето будет творческое, выплюну новую версию Контингента, дам покрячить biggrin


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...


Сообщение отредактировал vitalyu - Понедельник, 28.04.2008, 18:59
 
eXceed Дата: Понедельник, 28.04.2008, 22:07 | Сообщение # 12
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
vitalyu
Quote
В идеале любого ПО - самостоятельная защита своего контента, так сказать защита "сразу с пакета"

Это хорошо, но тебе знакомо такое высказывание: Один в поле не воин? wink
Я могу в течении дня перевести Контингент + Абитуриент в ОТДЕЛЬНУЮ VPN подсеть и разграничить пользователей внутри тоннеля таким образом, что они смогут работать только с сервером и не смогут взаимодействовать друг с другом в пределах тоннеля.

Ну чтож, жду твой Контингент на своем операционном столе wink


bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.

Сообщение отредактировал eXceed - Понедельник, 28.04.2008, 22:08
 
Expert Дата: Понедельник, 28.04.2008, 22:47 | Сообщение # 13
Главный
Группа: Администраторы
Сообщений: 6115
Награды: 1
Статус: Offline
Quote (vitalyu)
У нас базу на студентов стырить - не вопрос вообще - вот она защита конфиденциальной информации ..

Плохо. Очень плохо. Надо что-то делать...

P/S/ Сори, за оффтоп, но проблема действительно серьезная, и спасибо vitalyu и eXceed, что они поднимают эту проблему.


Блог декана

Уведомление для прессы и всех пользователей сети интернет: администрация форума может не заметить вовремя нецензурных слов и других, возможно, оскорбительных выражений/картинок/прочих материалов. Если вы заметили косвенный либо прямой факт оскорбления кого бы то ни было, пожалуйста, сообщите об этом администратору форума для принятия решения об удалении/модерировании соответствующего сообщения. Полный текст уведомления см. здесь.
 
vitalyu Дата: Понедельник, 28.04.2008, 23:28 | Сообщение # 14
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
Quote (eXceed)
Я могу в течении дня перевести Контингент + Абитуриент в ОТДЕЛЬНУЮ VPN подсеть и разграничить пользователей внутри тоннеля

Ты не понял главной проблемы. VPN то подняли бы уже давным давно, это любой у нас в отделе сделать может. НО! Проблема то не в том, чтобы отделить в подсеть. Доступ к БД то осуществляется файл-серверным способом, а то что ты поставишь подседь, никак не защитит САМУ БАЗУ! Для работы программы ПАПКА С БД ДОЛЖНА БЫТЬ РАСШАРЕНА!
Проблема то не в том, что злоумышленник воткнется в нашу .2 подсеть и сможет слить данные - не сможет он! На сервер доступ разграничен правами, а то что в тех же деканатах идет полное НЕСОБЛЮДЕНИЕ правил работы с конфиденциальной информацией, и то что работники оставляют свои рабочие места с подключенными под ИХ пользователем и паролем базой, и ситуация не изменится если ты засадишь это все в тоннель!
В своей реализации я использую трехзвенную архитектуру Клиент <~~~~~~~~> Сервер Приложений <> Сервер БД. Сервер будет вещать в сеть на определенном порту, и если соединение произойдет, то оно будет щифроваться! Таким образом ты не имеешь и не видишь реальную структуру и саму БД!!! VPN здесь совсем не причем!!!

фуф, надеюсь теперь понятно, что в первую очередь я хочу защитить компы самих клиентов, от их собственной неусмотрительности, а VPN в данном случае ситуацию не спасет ..

P.S. уже оффтоп идет .. тема то не так называлась ..

Добавлено (28.04.2008, 23:28)
---------------------------------------------
Форум просматривают: vitalyu, eXceed
wink


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...


Сообщение отредактировал vitalyu - Понедельник, 28.04.2008, 23:12
 
BoSSurman Дата: Понедельник, 28.04.2008, 23:35 | Сообщение # 15
Корифей
Группа: Модераторы
Сообщений: 674
Награды: 0
Статус: Offline
Может быть я чего-то не понимаю, но какой смысл того, чтобы была расшарена папка с БД? Разве твои клиенты обращаются напрямую к ней?

:-P
 
eXceed Дата: Понедельник, 28.04.2008, 23:37 | Сообщение # 16
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
vitalyu
Quote
VPN в данном случае ситуацию не спасет ..

Не спасет, ты прав. Но значительно улучшит. Наша сеть элементарно снифается и любая инфа перехватывается. Хотя ты это писал выше.
Кулхацкер может воткнуться в любую подсеть, т.к. Контингент доступен из всех подсетей. Отснифать пароли дело техники.
VPN закроет хотя бы эту лазейку.
А нерадивым юзерам бить по рукам линейкой! Ввести контроль и етц. Ну и меры принимать вплоть до лишения премии! Незнаю насколько эффективно будет. Да, предлагаю на Совет по информатизации вынести этот вопрос.
Это недостаток архитектуры проектирования(дабы избежать такого в дальнейшем -> усиленно "курим" раздел про архитектуру).
Меня лично раздражает наплевательское отношение твоего отдела к безопастности. Если в ОСТ все более или менее секурно, то увас бардак полнейший. Сервер с Контингентом просто валяется на столе у Смирнова(лично я бы уволил такого работника, причем в трудовой книжке бы указал причину вместо стандартного: По собственному желанию). Бардак? Бардак! Университет готовит специалистов по ИБ, но не заботится о собственной безопастности. Вот это поворот!


bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.
 
vitalyu Дата: Понедельник, 28.04.2008, 23:38 | Сообщение # 17
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
BoSSurman, ты не ф теме. Прочти полностью.

[] В ТЕКУЩЕМ Контингенте файл-серверная архитектура, требуется шарить папку, как у нас и сделано.
[] В моей проге ничего шарить не надо! Указал IP сервера и порт, и поехали. Ну как в ICQ, ты же указываешь сервер и порт .. и MD5 для безопасного соединения .. dry

-----------------------------------------------------

eXceed, думаю мы сошлись на общем решении. Пишу прогу, обворачиваем в VPN и будет нам счастье. А пользователям системы В ОБЯЗАТЕЛЬНОМ ПОРЯДКЕ провести курсы и под расписку.
С Денисом говорили не раз, пару подзатыльников, и на сколько я знаю, сервер наконец-то в серверной. Крайне недоволен фактом утечки и лично дам по мозгам тому, кто посягнет на святое! angry


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...


Сообщение отредактировал vitalyu - Понедельник, 28.04.2008, 23:45
 
BoSSurman Дата: Понедельник, 28.04.2008, 23:50 | Сообщение # 18
Корифей
Группа: Модераторы
Сообщений: 674
Награды: 0
Статус: Offline
vitalyu, я так и представлял ситуацию, только из написанного выше не совсем это ясно было, так что пришлось уточнить)

В случае перехода на твой вариант особых проблем с решением всех вопросов безопасности не вижу))


:-P
 
eXceed Дата: Понедельник, 28.04.2008, 23:56 | Сообщение # 19
Профессор
Группа: СуперАктив
Сообщений: 5569
Награды: 0
Статус: Online
vitalyu
Еще надо отобрать базу у типо программистов Юрия Албу и Вани Зюзева, а даже у всех людей задействованных на ранних стадиях разработки.
Вообще разговор касается не только Контингента, но и в целом всего парка компьютеров, т.к. конфиденциальная информация есть не только в Контингенте. Например компьютер через который сдается отчетность БУГАГАлтерами. Стоит в 402 кабинете. Пришел, включил... Пароля на учетке нет. В домен не включен компьютер. Каспер, судя по старости баз, превратился в дефекации мамонта. Меня допустили к этой машине как нефиг делать! Дали ключи от кабинета даже =) Хорошо, что я не инсайдер, а в кабинет нужно было попасть, чтоб сменить пароль на VPN юзеру.
Как тебе такой расклад? Крррруто! Я тащусь. А файла бухгалтерского я там нашел ой как много(хорошо, что я в этом не шарю wink )
Что будем делать уважаемые? Кому бить по рукам?
з.ы. Это конечно оффтоп, но не такой злостный. Прошу администрацию быть по мягче при выборе наказания =)
512 гет! Эпик вин!

BoSSurman
Плохо, что не видишь. Видимо на КЗОИ тебя плохо учили. 3х звенная архитектура хорошо, но никто не защитит ее от атак виде man in middle.
В СГУ такое легко провернуть. Есть еще пара методик позволяющих скомуниздить важную инфу.


bda-expert.ru — это система форумов, где можно общаться быстро и свободно, где любая точка зрения имеет право на жизнь.

Сообщение отредактировал eXceed - Вторник, 29.04.2008, 00:01
 
vitalyu Дата: Вторник, 29.04.2008, 00:08 | Сообщение # 20
Преподаватель
Группа: СуперАктив
Сообщений: 852
Награды: 0
Статус: Offline
Quote (BoSSurman)
только из написанного выше не совсем это ясно было, так что пришлось уточнить)

Упс. Как уж получилось wink

Quote (eXceed)
Прошу администрацию быть по мягче при выборе наказания =)

УДАЛИТЬ ЕГО С ФОРУМА!!! biggrin :D lol ха ха

Я также сколько раз сталкивался с подобной халатностью, когда идешь за техников поставить мышку, а там весь компьютер и кабинет тебе на распашку, и не спрашивают кто я такой, откуда взялся, а я ведь вообще из другого отдела .. sad

Ситуация уже просто вышла из под контроля. К сожалению, подавляющее большинство софта написано в прошлом тысячелетии и о продвинутых мерах борьбы тогда и речь еще не шла, особенно когда компов было 10 штук на деревне, а про интернет в книжках читали ..

Мое мнение - однозначно выдвинуть тезис на ближайшем совете по Информатизации и, возможно, выделить для соблюдения всех положений по защите отдельное подразделение.. ну, или отвественных лиц от начальников каждого отдела.
За свой отдел могу заступиться, все подписывались под соблюдением конфиденциальности при работе с системой. Не факт что все это выполняют ..


Бог сумел сотворить мир всего за 6 дней только потому, что ему не нужно было решать проблемы совместимости с предыдущей версией.
...
Автомат Калашникова - это средство для превращения стэка в очередь...


Сообщение отредактировал vitalyu - Вторник, 29.04.2008, 00:12
 
Факультет ИСиТ СыктГУ - Форум » Компьютеры / Интернет / Информационные системы и технологии » Информационная безопасность и криптология » Передача шифрованной информации (Способы передачи шифрованной информации)
  • Страница 1 из 3
  • 1
  • 2
  • 3
  • »
Поиск:



Copyright bda-expert.ru © 2008-2022Хостинг от uCoz