Операционная система

Протокол безопасности IP

для Microsoft® Windows® 2000 Server

Информационный документ

Аннотация

Операционная система Microsoftâ Windowsâ 2000 Server содержит протокол безопасности IP Security Protocol, предложенный рабочей группой по инженерным проблемам Интернета (Internet Engineering Task Force, IETF). Протокол безопасности Windows IP Security служит основным средством защиты сетей для администраторов сети. Протокол Windows IP Security расположен ниже транспортного уровня, и поэтому приложения «прозрачно» наследуют его услуги по обеспечению безопасности. Переход к Windows 2000 Server обеспечивает защиту целостности данных, проверку прав доступа и конфиденциальность, не требуя модернизации приложений или переподготовки пользователей.


© 1999 Корпорация Microsoft. Все права защищены.

Информация, включенная в настоящий документ, отражает текущую точку зрения корпорации Microsoft по обсуждаемым вопросам на момент публикации. Корпорации Microsoft приходится реагировать на постоянно меняющиеся условия рынка, поэтому изложенная информация не должна восприниматься как обязательство со стороны Microsoft. Кроме того, корпорация Microsoft не может гарантировать, что вся представленная информация сохранит точность после даты публикации.

Настоящий документ предназначен только для информационных целей. MICROSOFT НЕ ДАЕТ В ЭТОМ ДОКУМЕНТЕ НИКАКИХ ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ ГАРАНТИЙ.

Логотипы Microsoft, BackOffice, Windows и Windows NT служат зарегистрированными товарными знаками или товарными знаками корпорации Microsoft в США и/или других странах.

Другие упоминаемые в документе названия продуктов и компаний могут представлять собой товарные знаки соответствующих владельцев.

Microsoft Corp. • One Microsoft Way • Redmond, WA 98052-6399 • USA

0399


Содержание


введение. 1

Преимущества от использования ip sECURITY.. 3

Разработка на основе IP Security. 3

Полная поддержка промышленных стандартов. 4

Метод Диффи-Хеллмана (Diffie-Hellman, DH) 4

Код аутентификации хеш-сообщения (HMAC) 4

HMAC-MD5. 4

HMAC-SHA. 4

DES-CBC. 4

Поддерживаемые стандарты и ссылки. 5

Гибкие протоколы безопасности. 5

Набор параметров безопасности Интернета и протокол управления ключом  5

Oakley. 5

Заголовок аутентификации IP. 6

Протокол инкапсулированной безопасности IP. 6

Экономия затрат. 6

Обновление программ. 6

Обучение персонала. 6

Управление криптографическими ключами. 6

Реализация Windows IP Security.. 8

Оценка информации. 8

Создание сценариев. 8

Определение необходимых уровней безопасности. 8

Построение стратегии безопасности администратором сети. 9

Гибкая стратегия безопасности. 9

Гибкая политика переговоров. 9

Фильтры. 9

Создание стратегии безопасности. 9

Создание диаграмм базового размещения. 11

Несколько слов о совместимости. 13

заключение. 14

дополнительная информация.. 15

 


введение


Операционная система Microsoft® Windows® 2000 Server упрощает реализацию и управление безопасностью сетей благодаря реализации протокола безопасности IP Security Protocol (IPSec) – Windows® IP Security.

Необходимость в обеспечении безопасности сетей на основе протокола Internet Protocol (IP) постоянно возрастает. В современном, сильно связанном мире бизнеса при наличии Интернета, интрасетей, дочерних отделений и удаленного доступа критически важная информация постоянно перемещается через границы сетей. Задача сетевых администраторов и других профессионалов информационных служб (IS) состоит в том, чтобы этот трафик не допускал:

·         модификацию данных во время их передачи по каналам,

·         перехват, просмотр или копирование,

·         доступ к данным со стороны пользователей с неподтвержденным правом доступа.

Указанные проблемы известны как целостность данных, конфиденциальность и аутентификация. Кроме того, защита воспроизведения информации предотвращает прием повторно пересылаемого пакета.

Протокол IPSec, разработанный группой IETF для протокола IP, поддерживает аутентификацию, целостность данных и их шифрование на сетевом уровне. Для создания идеальной платформы, обеспечивающей безопасную связь с интранет или Интернетом, IPSec интегрируется со средствами безопасности, входящими в состав Windows 2000 Server.

Для обеспечения безопасности всех передач по протоколу TCP/IP с обеих сторон межсетевого устройства защиты организации в протоколе Microsoft Windows IP Security использованы принятые в качестве отраслевых стандартов алгоритмы шифрования и комплексный подход к управлению безопасностью. Результатом явилась комплексная стратегия безопасности Windows 2000 Server, которая может противостоять как внешним, так и внутренним попыткам нарушения защиты.

Поскольку средства безопасности Windows IP Security размещены ниже транспортного уровня, администраторы сетей (и производители программного обеспечения) могут уделить внимание и направить свои усилия на придание и координацию безопасности каждой отдельной программе. Используя Windows 2000 Server, администраторы сетей обеспечивают сильную защиту для всей сети в целом, а приложения автоматически наследуют защитные меры системы безопасности Windows 2000 Server. Поддержка шифрования Windows IP Security распространяется также и на виртуальные частные сети (Virtual Private NetworksVPN).

Администраторы и менеджеры сетей выигрывают от интеграции IPSec с Windows 2000 Server по нескольким причинам, в том числе:

·         Открытый промышленный стандартIPSec обеспечивает открытый промышленный стандарт в качестве альтернативы «доморощенному» способу шифрования IP. Менеджеры сетей при этом получают выигрыш от получаемой функциональной совместимости.

·         ПрозрачностьIPSec существует под транспортным уровнем, что делает его прозрачным для приложений и пользователей; а это означает, что при реализации IPSec в брандмауэре или маршрутизаторе нет необходимости вносить изменения в сетевые приложения настольного ПК.

·         Проверка прав доступа – Мощная служба аутентификации предотвращает возможность перехвата данных при использовании неправильно объявленных данных идентификации.

·         Конфиденциальность – Службы конфиденциальности предотвращают несанкционированный доступ к уязвимым данным при передаче их между взаимодействующими сторонами.

·         Целостность данных – При передачах заголовки аутентификации IP и различные коды аутентификации хеш-сообщений обеспечивают целостность данных.

·         Динамический повторный ввод (с клавиатуры) – Динамический повторный ввод во время непрерывной связи помогает противостоять попыткам нарушения защиты.

·         Безопасные сквозные связи – Windows IP Security обеспечивает наличие надежных, обозначаемых только конечными точками связей для пользователей частной сети внутри одного домена или между любыми доменами, с которыми установлены доверительные отношения на предприятии.

·         Централизованное управление — Администраторы сетей пользуются стратегией безопасности и фильтрами для обеспечения требуемых уровней безопасности для каждого пользователя, группы или выбираемой по другим критериям. Централизованное управление уменьшает административные накладные расходы.

·         Гибкость –Протокол Windows IP Security дает возможность распространить политику обеспечения безопасности на все предприятие или на отдельную рабочую станцию.

Все это является хорошими новостями для администраторов сетей или других работников информационных служб, на которых возложены функции по обеспечению защиты информации. Бурный рост интрасетей и возрастающая интеграция корпоративных сетей с Интернетом вызвали огромную потребность в безопасности. Хотя классическая концепция безопасности состоит в защите данных от посторонних пользователей, система Windows IP Security обеспечивает также защиту от более вероятного источника вторжений, т.е. от несанкционированного доступа собственных внутренних пользователей.

Преимущества от использования ip sECURITY


В большинстве стратегий безопасности сетей основное внимание уделяется предотвращению внешних атак на сеть предприятия. Примерами таких попыток предотвращения внешних угроз может служить создание брандмауэров, маршрутизаторов, обеспечивающих безопасность, и телефонного доступа с маркерной аутентификацией. Но «ужесточение» защиты на периметре сети не предохраняет от попыток вторжений изнутри.

Действительно, организация может потерять значительное количество критически важной информации из-за внутренних вторжений, и против таких внутренних угроз брандмауэры беззащитны.

Одно из самых больших преимуществ объединения Windows 2000 Server с протоколом безопасности IP Security состоит в способности противостоять как внутренним, так и внешним угрозам. Кроме того, это выполняется совершенно «прозрачно», не требуя никаких усилий или дополнительных расходов от пользователей.

Разработка на основе IP Security

Протокол безопасности IP Security, как определила группа IETF, использует заголовок аутентификации (authentication headerAH) и инкапсулированную нагрузку безопасности (an encapsulated security payloadESP). Заголовок AH обеспечивает возможность обмена данными с аутентификацией источника и сохранением их целостности. Инкапсулированная нагрузка безопасности, дополнительно к аутентификации и целостности данных, служит для обеспечения конфиденциальности. При использовании пароля IP Security секретный ключ известен только отправителю и получателю. Когда защищенные данные аутентифицированы, получатель знает, что сообщение поступило от отправителя и во время передачи не подвергалось изменениям.

Протокол Windows IP Security строится на основе модели IETF при совместном использовании криптографии с открытым и секретным ключами и путем автоматического управления ключами для обеспечения максимальной секретности и высокой пропускной способности. Этим достигается сочетание аутентификации, целостности, защиты от несанкционированного воспроизведения информации и (дополнительно) конфиденциальности, для обеспечения безопасной передачи информации. Поскольку протокол Windows IP Security находится ниже сетевого уровня, он прозрачен для пользователей и существующих приложений, а организации автоматически получают высокие уровни безопасности сети.

Свойства Windows IP Security включают:

·         Полную поддержку промышленных (IETF) стандартов

·         Гибкие протоколы обеспечения безопасности

·         Простоту реализации и управления

·         Гибкую политику обеспечения безопасности

·         Гибкую политику взаимодействия

·         Экономию затрат

Полная поддержка промышленных стандартов

Windows 2000 дает возможность полностью использовать мощные стандартные криптографические алгоритмы и методы аутентификации. Они включают следующие:

·         Метод Диффи-Хеллмана (Diffie-Hellman) для соглашения о совместно используемом ключе.

·         Код аутентификации хеш-сообщения (HMAC) и его разновидности для обеспечения целостности и защиты от несанкционированного воспроизведения.

·         Стандарт шифрования данных ¾Цепочка цифровых блоков для обеспечения конфиденциальности.

Метод Диффи-Хеллмана (Diffie-Hellman, DH)

Метод Диффи-Хеллмана (Diffie-Hellman), названный так по именам своих изобретателей Whitfield Diffie и Martin Hellman, представляет собой алгоритм криптографии с открытым ключом, который позволяет двум обменивающимся сообщениями сторонам договариваться о совместно используемом ключе. Метод Диффи-Хеллмана начинается с обмена общедоступной информацией между двумя объектами. Затем каждый объект объединяет общедоступную информацию, полученную от другого объекта, со своей собственной секретной информацией для получения совместно используемого секретного значения.

Код аутентификации хеш-сообщения (HMAC)

HMAC представляет собой алгоритм с секретным ключом, обеспечивающий целостность и возможность аутентификации. Аутентификация, использующая случайные вводимые с клавиатуры данные, приводит к созданию цифровой сигнатуры пакета, правильность которой может быть подтверждена на принимающей стороне. Если при передаче сообщение было изменено, то значение хеш-функции изменится и IP-пакет будет отвергнут.

HMAC-MD5

Дайджест-функция сообщения 95 (Message Digest function 95 – MD5) представляет собой хеш-функцию, формирующую 128-битовое значение.

HMAC-SHA

Алгоритм хеш-безопасности (Secure Hash AlgorithmSHA) представляет собой хеш-функцию, формирующую 160-битовое значение. Хотя алгоритм HMAC-SHA несколько медленнее, чем HMAC-MD5, он обеспечивает большую безопасность.

DES-CBC

Стандарт шифрования данных (Data Encryption StandardDES) – Цепочка цифровых блоков (CBC) представляет алгоритм секретного ключа, служащий для обеспечения конфиденциальности. Для шифрования данных используется случайное число и секретный ключ.

Поддерживаемые стандарты и ссылки

Все протоколы, опубликованные группой IETF, полностью поддерживаются и используются Windows 2000. Они реализуются согласно последним предварительным сообщениям IEFT, предложенным рабочей группой IPSec, которые, дополнительно к предварительным документам ISAKMP/Oakley, включают документы по общей архитектуре и документы, определяющие форматы заголовка и преобразований.

Система безопасности IP Windows 2000 реализует протокол Ассоциации безопасности Интернета и управления ключами (Internet Security Association/Key Management ProtocolISAKMP), используя протокол определения ключа Oakley, который допускает динамическое повторное использование ключа.

Гибкие протоколы безопасности

Протоколы безопасности выполняют различные сервисные действия для обеспечения безопасных передач в сети. В Windows 2000 используются следующие протоколы безопасности:

·         Протокол Ассоциации безопасности Internet и управления ключами (Internet Security Association / Key Management Protocol)

·         Протокол определения ключа Oakley

·         Заголовок аутентификации IP

·         Протокол инкапсулированной безопасности IP

Набор параметров безопасности Интернета и протокол управления ключом

Перед тем, как IP-пакеты начнут передаваться с одного компьютера на другой, должна быть установлена ассоциация безопасности (SA). Ассоциация безопасности представляет собой набор параметров, определяющих услуги и механизмы, как, например, ключи, необходимые для защиты передачи сообщения протоколом безопасности. Ассоциация безопасности должна существовать между двумя любыми взаимодействующими сторонами, использующими протокол безопасности IP. Протокол Ассоциации безопасности Интернета и управления ключами (Internet Security Association/Key Management Protocol – ISAKMP) определяет общие основы, на которых основывается образование ассоциаций безопасности. Протокол ISAKMP не связан с каким-либо одним определенным алгоритмом, методом генерации ключа или протоколом безопасности.

Oakley

Протокол Oakley – это протокол определения ключа, использующий алгоритм замены ключа Диффи-Хеллмана. Протокол Oakley поддерживает идеальную прямую безопасность (Perfect Forward SecrecyPFS), при реализации которой разрешается доступ к данным, защищенным только одним ключом, когда сомнение вызывает единственный ключ. При этом для вычисления значений дополнительных ключей этот ключ защиты повторно никогда не используется; кроме того, для этого не используется и исходный материал, послуживший для вычисления данного ключа защиты.

Заголовок аутентификации IP

Заголовок аутентификации (authentication headerAH) IP обеспечивает целостность, аутентификацию и защиту от воспроизведения информации. Заголовок AH не обеспечивает конфиденциальности. Для каждого IP-пакета вычисление ключа хеш-сообщения (HMAC) выполняется заголовком аутентификации по особому алгоритму.

Протокол инкапсулированной безопасности IP

Дополнительно к перечисленным выше услугам заголовка АН, конфиденциальность обеспечивается протоколом инкапсулированной безопасности IP (IP Encapsulating Security ProtocolESP) с помощью алгоритма DES-CBC.

Экономия затрат

Исторически организации должны были постоянно «балансировать» между желанием защитить канал передачи данных и высокой стоимостью реализации и поддержания такой защиты. Затраты на защиту могут превосходить затраты на оборудование целиком всей сети. Эти затраты распределяются по следующим категориям:

·         Обновление программ

·         Обучение персонала

·         Управление ключами защиты

Обновление программ

Поскольку безопасность Windows IP Security реализуется на транспортном уровне, она «прозрачна» для существующих прикладных программ. Так как безопасность сети обеспечивается с помощью Windows IP Security, то безопасность реализуется для всех приложений, и нет необходимости вносить изменения в отдельные приложения. Безопасность на уровне сети обеспечивает большую экономию, так как не требует модификации пользовательских программ.

Обучение персонала

Поскольку безопасность Windows 2000 IP Security «прозрачна» для пользователей, то она не требует их обучения и, соответственно, этот источник затрат устраняется.

Управление криптографическими ключами

Для сохранения безопасности нужно регулярно менять криптографические ключи. Если эта работа выполняется администратором сети вручную, то управление (и замена) ключами занимает очень много времени. Из-за этого ключи в организации не меняются так часто, как этого требует обстановка, или они меняются только на нескольких жизненно важных компьютерах. Windows IP Security выполняет управление ключами автоматически, при этом устраняются затраты на замену ключей вручную, обеспечивается и поддерживается максимальная защита информации на всем предприятии.

Реализация Windows IP Security


Операционная система Windows 2000 Server проектировалась так, чтобы обеспечить исключительно высокую степень безопасности данных, а также простоту реализации и администрирования. В результате достигнута очень высокая степень безопасности информации на всем предприятии при низких затратах на закупку и эксплуатацию средств обеспечения безопасности. Windows 2000 Server предоставляет большую гибкость, обеспечивая безопасность для каждого пользователя или определенной области. Администратор сети может использовать эту стратегию безопасности для всего предприятия, для отдельного пользователя или рабочей станции. Стратегия безопасности может быть реализована совершенно «прозрачно» и не требует вмешательства со стороны администратора сети или переподготовки пользователей.

Чтобы заложить безопасность, администратор сети выполняет следующую четырехэтапную последовательность действий:

·         Оценивает информацию, передаваемую по сети и Интернету.

·         Формирует сценарии обмена информацией.

·         Определяет уровни секретности, необходимые для каждого сценария.

·         Строит стратегию безопасности, используя Windows Security Manager.

Оценка информации

Вся информация, передаваемая по сетям или по Интернету, может быть перехвачена, изучена или модифицирована. Администратор сети может определить, какие виды информации наиболее ценны и какие сценарии организации связи наиболее уязвимы.

Создание сценариев

В организациях существует определенный порядок передачи информационных потоков. Администратор системы может определить такие «предсказуемые» порядки. Например, удаленные пункты продаж могут пересылать в центральный офис данные о предполагаемых продажах, заказы на покупку оборудования и другую финансовую информацию. Каждый из таких сценариев передачи информации может характеризоваться различной стратегией безопасности IP Security. Администратор системы может также решить, например, что все передачи информации из отдела кадров должны быть секретными.

Определение необходимых уровней безопасности

Необходимые уровни безопасности меняются в зависимости от «чувствительности» этой информации и от относительной уязвимости канала передачи. Менеджер безопасности Windows 2000 Security Manager позволяет администратору сети быстро и просто установить нужный уровень безопасности.

Построение стратегии безопасности администратором сети

Менеджер безопасности Windows 2000 Server Security Manager позволяет администратору сети выбрать алгоритмы безопасности и назначить их выполнение для определенных групп компьютеров или отдельных компьютеров. Выбор и назначение алгоритмов безопасности производится с помощью мыши операциями типа «укажи-и-щелкни» (point-and-click).

Гибкая стратегия безопасности

Каждый набор атрибутов Windows IP Security носит название стратегии безопасности (security policy). Стратегия безопасности строится на основе соответствующей политики взаимодействия и IP-фильтров. Стратегия безопасности (или набор атрибутов) может быть назначена определенной принятой по умолчанию области политики, локальной политике или создаваемой вами заказной политике. Компьютеры, входящие в эту область, автоматически приобретают свойства стратегии для принятой по умолчанию области или локальной политики, включая стратегию безопасности IP, приписанную данной области.

Гибкая политика переговоров

Политика переговоров определяет те службы безопасности, которые вы хотели бы включить для каждого типа предполагаемых сценариев на предприятии. Администратор сети может выбрать службы, как реализующие конфиденциальность, так и не реализующие ее. Для каждой политики переговоров администратор сети может выбрать множество методов обеспечения безопасности. Если первый метод оказывается неприемлемым по соображениям безопасности, то служба ISAKMP/Oakley продолжает последовательно выбирать методы из списка, пока не найдет тот, который она сможет использовать.

Фильтры

Фильтрация позволяет Windows 2000 Server применять различные стратегии безопасности к разным компьютерам. IP-фильтры определяют, какие действия следует предпринять в зависимости от назначения и протокола отдельных IP-пакетов.

Создание стратегии безопасности

Примером создания стратегии безопасности может стать организация с центральным юридическим отделом. Администраторы сети могут принять решение, что связь внутри отдела должна быть безопасной, но не конфиденциальной. Однако связь между юридическим отделом предприятия и другими отделами организации должна быть как безопасной, так и конфиденциальной. Средства обеспечения безопасности Windows IP Security позволяют применять фильтрацию к соответствующей стратегии безопасности обменов, инициированных внутри юридического отдела. Если пункт назначения информации находится вне этого отдела, то Windows IP Security использует стратегию безопасности, включающую как безопасность, так и конфиденциальность. Но если пакет просто передается другому адресату внутри юридического отдела, то применяются просто средства безопасности, но не средства обеспечения конфиденциальности.

Для реализации плана обеспечения безопасности в юридическом отделе администратор должен выполнить следующее:

1.  Создать стратегию безопасности, называемую Legal, и приписать ее к принимаемой по умолчанию области политики. Поскольку каждый компьютер компании зарегистрирован в данной области, программный агент политики компьютера выберет стратегию безопасности юридического отдела из службы каталога. Стратегия безопасности юридического отдела будет обладать следующей политикой переговоров и связанными с ней IP-фильтрами:

2.  Создать две политики переговоров и связать с ними стратегию безопасности юридического отдела:

Первая политика переговоров (Legal NP 1) устанавливается для службы, обеспечивающей конфиденциальность при обменах данными между пользователями в юридическом отделе и пользователями, находящимися вне его. (“Передаваемая информация конфиденциальна, аутентична и не может подвергаться модификациям”: Протокол безопасности ESP)

Вторая политика переговоров (Legal NP 2) устанавливается для службы, обеспечивающей только аутентификацию и защиту информации от возможных модификаций при обменах данными между пользователями, находящимися исключительно внутри юридического отдела. (“Передаваемая информация аутентична и не может подвергаться модификациям”: Протокол безопасности AH)

3.     Создать два IP-фильтра и связать каждый из них с соответствующей политикой переговоров:

Пользователи в юридическом отделе подключены к сети 157.55.0.0 с маской подсети 255.255.0.0. Пользователи вне этого отдела подключены к сети 147.20.0.0 с маской подсети 255.255.0.0. Первый IP-фильтр, Legal IP Filter 1, предназначен для пользователей внутри юридического отдела, поддерживающими связь с пользователями, находящимися за его пределами. Он связан с политикой переговоров Legal NP1. Администратор устанавливает следующие характеристики фильтра:

Специфицированный IP-адрес источника (отправителя данных) – 157.55.0.0. Этот адрес согласуется с любым IP-адресом в сети юридического отдела, поскольку он представляет собой адрес IP-подсети.

Специфицированный IP-адрес приемника (получателя данных) – 147.20.0.0.

Поскольку план обеспечения безопасности компании обуславливает защиту любых данных, пересылаемых по протоколу IP, то тип протокола будет любой (Any).

Пользователи юридического отдела, связывающиеся с другими пользователями в том же отделе, используют второй IP-фильтр, а именно фильтр Legal IP Filter 2. Он ассоциируется с политикой переговоров Legal NP 2, и устанавливаются следующие характеристики фильтра:

·           Специфицированный IP-адрес источника – 157.55.0.0.

·           Специфицированный IP-адрес приемника – 157.55.0.0.

·           Тип установленного протокола – любой.

При отправлении информации пользователем из юридического отдела любому другому пользователю, адреса источника и получателя IP-пакетов проверяются на совпадение с адресами выбранных IP-фильтров стратегии безопасности. Если эти адреса совпадают с адресом одного из фильтров, то соответствующая политика переговоров определяет уровень безопасности IP Security таких переговоров.

Например, если пользователь юридического отдела с адресом IP, равным 157.55.2.1, посылает данные пользователю 147.20.4.5, это соответствует фильтру Legal IP Filter 2. А это значит, что данные передаются с уровнем безопасности, установленным при политике переговоров Legal NP1, который обеспечивает аутентификацию, защиту от модификации и конфиденциальность во время переговоров.

Создание диаграмм базового размещения

Приведенный ниже пример иллюстрирует передачу данных от пользователя хост-компьютера A к пользователю компьютера B. В обоих компьютерах реализована безопасность Windows IP Security.

Рис. 2. Пример размещения средств обеспечения безопасности Windows IP Security.

На рисунке:

Directory Service – Служба каталога

IP Security Policy – Политика безопасности IP

Policy Agent – Агент безопасности

ISAKMP/Oakley Service – Служба ISAKMP/Oakley

SA Negotiation Key Exchange – Обмен ключами при безопасных переговорах

Application – Приложение

Transport Layer TCP/UDP – Транспортный уровень TCP/UDP

Internet Layer – Уровень Интернета

Encrypted IP packets – Зашифрованные IP-пакеты

На пользовательском уровне процесс «засекречивания» IP-пакетов совершенно прозрачен. Пользователь 1 запускает приложение, использующее протокол TCP/IP, например, FTP, и пересылает данные пользователю 2.

Политика безопасности, назначенная администратором для компьютеров А и В, определяет уровень безопасности передачи информации между ними. Эти уровни воспринимаются агентом политики и передаются службе ISAKMP/Oakley и драйверу IPSEC. Для установления ключа и общего метода переговоров (безопасное соединение) служба ISAKMP/Oakley каждого компьютера использует политику переговоров, связанную с приписанной политикой безопасности. Результаты политики переговоров ISAKMP между двумя компьютерами передаются драйверу IPSEC, использующему ключ для шифрования данных. Наконец, драйвер IPSEC посылает зашифрованные данные в компьютер B. Драйвер IPSEC компьютера B расшифровывает переданные данные и направляет их принимающей программе.

Несколько слов о совместимости

Для обеспечения полной совместимости с Windows 9x и ранними версиями Windows NT, работающий под управлением Windows 2000 и сконфигурированный средствами безопасности IP Security компьютер посылает данные на компьютер, в котором не используется Windows 2000, без шифрования.

Любые маршрутизаторы или коммутаторы, через которые осуществляется обмены между компьютерами (будь то два пользователя или пользователь и файл-сервер), должны просто направлять зашифрованные IP-пакеты к месту их назначения. Если между машинами, обменивающимися сообщениями, расположен брандмауэр или какой-либо иной шлюз безопасности, то нужно разрешить продвижение данных IP или специальную фильтрацию, которая обеспечит правильную передачу пакетов IP Security к месту назначения.

заключение


Windows IP Security, встроенная в Windows 2000 Server, обеспечивает администраторов сети очень важными средствами для обеспечения безопасности. Поскольку средства Windows IP Security располагаются ниже транспортного уровня, то их безопасность значительно упрощается. Переход к использованию Windows 2000 Server обеспечивает целостность, аутентичность и конфиденциальность, не требуя обновления приложений и переподготовки пользователей.

Протокол Windows IP Security представляет собой реализацию протокола безопасности IP, предложенную рабочей группой по инженерным проблемам Интернета и обеспечивающую максимальную совместимость с используемыми в других сетях решениями IPSec.

Гибкость и централизованное управление упрощает использование Windows IP Security администраторами сети: теперь администраторы сети могут формировать собственную политику безопасности и фильтры для отдельных пользователей, рабочих групп или устанавливать их по другим критериям.

Комплексная безопасность гарантирует, что пересылаемые по сети (независимо от вида сети – локальная сеть, глобальная сеть или Интернет) данные сохраняют при передаче целостность и секретность; кроме того, также гарантируется, что данные будут доступны только пользователям, имеющим соответствующее разрешение.

В случаях, когда безопасность сети становится жизненно важной, Windows 2000 Server упрощает администраторам сети создание мощного слоя защиты информационных ресурсов их организации.

дополнительная информация


Самую свежую информацию о Windows 2000 Server можно найти по адресу http://www.microsoft.com/ntserver или на форуме Windows NT Server Forum в сети Microsoft (GO WORD: MSNTS).

Для получения информации IETF о IPSec обращайтесь по адресу www.ietf.org/html.charters/ipsec-charter.html