Обзор рынка сетевых адаптеров на основе IPSec технологии

См. введение и содержание (в архиве текст курсовой +презентация к ней) ...

Оглавление
Введение 2
1. Теоретическая часть 4
1.1 Возможности IPsec 4
1.2 Заголовки IPSec 5
1.3 Компоненты IPSec 10
1.3.1 Агент политики IPSec 10
1.3.2 Обмен ключами в Интернете 11
1.3.3 Драйвер IPSec 13
2. Обзор рынка 18
2.1 Сравнительный анализ 18
3. Рекомендации по выбору 23
Список использованных источников 24

Для эффективной работы любого офиса и поддержания его конкурентости в условиях рыночной экономики современный офис обязательно должен быть оснащен компьютерной техникой. И чем серьезнее компания, тем больше сотрудников трудится в офисе этой компании, а значит и большее количество компьютерной техники используется компанией. Чтобы офис компании функционировал как единое целое необходимо обеспечить связь между всеми рабочими местами сотрудников, а также связь между структурными единицами офиса. Для этих целей используется локальная вычислительная сеть. Однако, часто бывает, что офис компании разбит на несколько структурных единиц, который физически расположены в разных зданиях, в разных городах, и даже разных странах. Для взаимодействия между такими географически удаленными друг от друга фил иалами компании используются возможности всемирной сети Интернет.
Передача данных через всемирную сеть является небезопасным, т.к. данные могут перехватить злоумышленники и воспользоваться ими для получения собственной прибыли, соответственно компания, чьи данные были перехвачены, будет терпеть потери. Для защиты данных используются различные технологии, в числе которых и технология IPsec.
Целью данного курсового проекта является анализ сетевых адаптеров, использующей технологию IPSec для составления рекомендаций по выбору наиболее оптимальной модели в соотношении цена/качество.
Для достижения поставленной цели необходимо решить следующие задачи:
• Проанализировать принцип действия и особенности взаимодействия IPSec сетевых адаптеров с другой офисной техникой
• Выявить основные характеристики данных сетевых адаптеров
• Выявить основных производителей данных сетевых адаптеров
• Произвести сравнительный анализ 6 наиболее популярных моделей сетевых адаптеров
• На основе анализа выбрать наиболее оптимальную модель в соотношении цена/качество

Размер поля Проверка подлинности для HMAC-MD5 и HMAC SHA1 составляет 12 байт (96 бит). Для алгоритма произвольных ICV размер поля проверки данных подлинности должно быть целым числом 32-разрядных (4-байтных) блоков.ESP. Заголовок Encapsulating Security Payload (ESP) является комбинацией заголовка и индекса завершения, который обеспечивает проверку подлинности, целостности, защиту от повторов и параметры конфиденциальности только полезных данных IP с помощью вычисления и включения хеша с ключом для каждого пакета. При использовании ESP в хеш включаются только заголовок, трейлер и полезные данные ESP, причем хеширование не применяется для защиты заголовка IP. На следующей иллюстрации изображена структура ESP: Рис. 2. Структура заголовка ESPЗаголовок ESP включает в себя следующие поля, причем, основными считаются только первые два:Индекс параметра безопасности. Четырехбайтовое поле, определяемое в сочетании с полем адреса назначения IP-заголовка и ESP, который считается специфическим SA для данной датаграммы.Порядковый номер. Четырехбайтовое поле, которое содержит то же поле, что и у поля «Порядковый номер» заголовка AH.Заполнение. Поле переменной длины (от 0 до 255 байт), которое используется для заполнения полезных данных соответствующей длины, в зависимости от используемого алгоритма шифрования, выравнивания части ESP пакета по 4 байта или умышленного скрытия длины зашифрованных полезных данных.Длина заполнения. Поле, длиной в один байт, которое задает количество байтов в поле заполнения.Следующий заголовок. Однобайтовое поле, которое используется для определения следующего заголовка в полезных данных. Данное поле использует те же значения, что и поле «Протокол» заголовка IP.Проверка подлинности данных. Поле переменной длины, которое содержит расчет ICV отправителя, то есть значение HMAC MD5 или HMAC SHA1.Так как используется уникальный алгоритм ICV, который согласовывается до отправки данных заголовка ESP и индекса завершения, то каждый одноранговый узел знает размер части данных проверки подлинности части индекса завершения ESP и может определить расположение окончания ESP-инкапсулирования полезных данных.1.3 Компоненты IPSecПротокол IPSec состоит из трех основных компонентов: службы агента политики IPSec, обмена ключами в Интернете, а также драйвера IPSec. Данные компоненты подробно расписаны в следующих подразделах.1.3.1 Агент политики IPSecДанный компонент предназначен для загрузки сведений политик IPSec, их передачи в другие компоненты IPSec, а также для обеспечения работы служб безопасности которых необходимы данные сведения. Агент политики IPSec выполняет следующие действия:Загружает назначенную политику IPSec из Active Directory в том случае, если данный компьютер является членом домена или, в том случае, если компьютер не является членом домена – из локального системного реестра;Опрашивает о наличии изменений в конфигурации самой политики;Отправляет сведения назначенной политики IPSec в драйвер IPSec.Стоит обратить внимание, что если компьютер является членом домена, то загрузка политики IPSec выполняется непосредственно при загрузке операционной системы через интерфейс опроса Winlogon, а также через интервал, который задается в политике IPSec.Служба политики IPSec показана на следующей иллюстрации.Рис. 3. Принцип работы агента политики IPSec1.3.2 Обмен ключами в ИнтернетеКак уже было сказано ранее, перед началом безопасного обмена данными, между двумя устройствами должно быть установлено безопасное подключение. Для создания соглашения между двумя устройствами существует метод сопоставления безопасности и разрешения обмена ключами, который называется обменом ключами в Интернете (Internet Key Exchange, IKE). Данный метод централизует управление сопоставлением безопасности, тем самым сокращая время подключения, а также создаёт общие секретные ключи, которые используются для защиты и управления данными. Сопоставление безопасности представляет собой сочетание согласованного ключа, протокола безопасности, а также индекса параметров безопасности, в совокупности определяющих механизмы безопасности, которые используются для защиты данных, передаваемых между сторонами соединения. Этот процесс не только защищает обмен данными между двумя компьютерами, но также защищает и удаленные компьютеры, которые запрашивают безопасный доступ к внутренней сети организации. Индекс параметра безопасности (Security Parameters Index, SPI) является уникальным определяющим значением в сопоставлении безопасности, которое используется для нескольких сопоставлений безопасности на принимающем компьютере.Для обеспечения успешной и безопасной связи IKE выполняет операцию в два этапа. На первом этапе два компьютера создают безопасный канал с проверкой подлинности, который называется сопоставлением безопасного режима. Во время этого этапа сначала выполняется согласование политики безопасности основного режима при помощи алгоритма шифрования (DES или 3DES), алгоритма проверки целостности (MD5 или SHA1), группы Дифи-Хелмана или метода проверки подлинности (Kerberos, сертификат или предварительный ключ). После этого на первом этапе осуществляется обмен сведениями, которые необходимы алгоритму определения ключа Дифи-Хелмана для создания общего секретного ключа. После обмена на каждом компьютере создается основной ключ, используемый для защиты проверки подлинности. Последним шагом на данном этапе является проверка подлинности. В этот момент компьютеры выполняют проверку подлинности при обмене ключами Дифи-Хелмана. Все сведения учетной записи хешируются и шифруются с помощью ключей, созданных по результатам обмена сведениями о группе Дифи-Хелмана на предыдущем шаге.На втором этапе обмена ключами в Интернете сопоставления безопасности согласуются от имени драйвера IPSec. Во время данного этапа выполняются следующие шаги: идет согласование политики, во время которого компьютеры IPSec обмениваются такими требованиями к защите передачи данных, как протокол IPSec, а именно AH или ESP, алгоритм хеширования для проверки подлинности (MD5 или SHA1), а также, если запрашивается, алгоритм шифрования (DES или 3DES). Далее происходит обновление или обмен материалом для создания ключа сеанса. В это время IKE обновляет сведения о ключе, после чего происходит создание новых общих ключей для проверки подлинности и шифрование пакетов. И, напоследок, идет процесс сопоставления безопасности, после чего ключи передаются в драйвер IPSec вместе с SPI.Данный процесс вкратце изображен на следующей иллюстрации:Рис. 4. Процесс обмена ключами в Интернете1.3.3 Драйвер IPSecПоследний компонент, драйвер IPSec получает список активных фильтров от агента политики IPSec, а после чего сверяет все входящие и исходящие пакеты с фильтрами в текущем списке. В том случае, если пакет полностью совпадает с данным фильтром, то к нему применяется действие самого фильтра. Если же пакет не соответствует ни одному доступному фильтру, то он возвращается в драйвер TCP/IP для приема или передачи без всяких изменений. Как для обработки входящего, так и исходящего трафика применяются ключи и сопоставление безопасности быстрого режима. В свою очередь, драйвер IPSec содержит в своей базе данных все текущие сопоставления безопасности быстрого режима и для правильного применения сопоставлений безопасности и пакетов использует индекс параметров безопасности.После того как согласование безопасности будет завершено, драйвер IPSec на отправляющем компьютере принимает от IKE сопоставление безопасности, которое содержит ключ сеанса. Затем драйвер IPSec в базе данных находит исходящее сопоставление безопасности и вставляет индекс параметров безопасности в заголовок AH или ESP. После этого он подписывает пакеты и отправляет их на уровень IP для пересылки на компьютер назначения.