Информационная безопасность транспортных протоколов телекоммуникационных сетей тема диссертации и автореферата по ВАК РФ 05.12.13, кандидат технических наук Карпухин, Евгений Олегович

• Карпухин, Евгений Олегович
• кандидат технических наук
• 2011

Оглавление диссертации кандидат технических наук Карпухин, Евгений Олегович

Оглавление

Список терминов, условных сокращений и обозначений

Введение

1. Постановка задачи

1.1. Основные транспортные протоколы телекоммуникационных сетей

1.1.1. Протокол TCP

1.1.2. Протокол UDP

1.1.3. Протокол SCTP

1.1.4. Сравнительный анализ протоколов транспортного уровня

1.2. Анализ проблем оптимизации транспортных протоколов

1.2.1. Низкая производительность в беспроводных сетях

1.2.2. Проблемы безопасного функционирования основных транспортных протоколов

1.3. Особенности решения задачи оптимизации открытых транспортных протоколов

1.3.1. Совершенствование протокола TCP для улучшения производительности при передаче данных по сети

1.3.2. Варианты оптимизации протокола TCP в беспроводных сетях

1.3.3. Способы обеспечения безопасности транспортных протоколов

1.3.3.1. Шифрующие протоколы 3

1.3.3.2. Технология MD5 Authentication

1.4. Направления и методы оптимизации протоколов информационного взаимодействия

1.4.1. Параметрическое направление оптимизации протоколов

информационного взаимодействия

1.4.1.1. Максимальный размер окна получателя

1.4.1.2. Опция «временные метки»

1.4.1.3. Опция «выборочные подтверждения»

1.4.1.4. Параметр TcpFinWait2Delay

1.4.1.5. Параметры KeepAliveTime и KeepAlivelnterval

1.4.1.6. TcpAckFrequency и DelayedACK

1.4.1.7. Защита от syn-flood атак

1.4.2. Внутриуровневое направление оптимизации протоколов информационного взаимодействия

1.4.2.1. Метод оптимизации протокола

1.4.2.2. Метод оптимизации алгоритма

1.4.2.3. Метод оптимизации событий протокола

1.4.3. Межуровневое направление оптимизации протоколов информационного взаимодействия

1.4.3.1. Оптимизация двух и более уровней путем создания новых интерфейсов между ними

1.4.3.2. Оптимизация взаимодействия уровней путем централизации управления ими

1.4.3.3. Создание новых протокольных элементов (компонентов)

1.4.4. Сравнительный анализ направлений и методов оптимизации открытых транспортных протоколов

1.4.5. Анализ направлений и методов оптимизации протокола TCP для повышения его безопасности

1.5. Варианты реализации атак на протокол TCP

1.5.1. Атака типа «угадывание»

1.5.2. Атака типа «прогнозирование идентификатора»

1.5.3. Атаки типа «повторная отправка пакета»

1.6. Обоснование способа решения поставленной задачи

1.7. Формулировка проблем в границах поставленной задачи

2. Математические методы описания злоумышленника

2.1. Формализованный подход к описанию модели злоумышленникабЗ

2.1.1. Граф атак

2.1.2. Сети Петри

2.2. Вероятностный подход к моделированию процессов компьютера злоумышленника

2.2.1. Статистические модели

2.2.2. Марковские модели

2.2.3. Модели массового обслуживания

2.3. Имитационные методы моделирования компьютера злоумышленника

2.4. Обоснование выбора математической модели злоумышленника. 75 3. Разработка методов решения задачи

3.1. Обоснование метода рандомизации последовательности пакетов и управления процессом их сборки

3.2. Модель защищающейся стороны

3.2.1. Способы безопасного обмена ключами

3.2.2. Синхронизация подсистем идентификации защищающейся стороны

3.3. Модель злоумышленника

3.3.1. Влияние этапа привязки адаптера на длину очереди

3.3.1.1. Использование свободного ресурса компьютера злоумышленника

3.3.1.2. Влияние протокола TCP на уменьшение очереди

3.3.1.3. Результаты и выводы

3.3.2. Определение среднего времени нахождения пакета в очереди

3.3.2.1. Тип поступления заявок на вход сетевого адаптера злоумышленника

3.3.2.2. Тип обслуживания заявок компьютером злоумышленника

3.3.2.3. Среднее время пребывания пакета в очереди

3.4. Оценка эффективности предложенного метода рандомизации

последовательности пакетов и управления процессом их сборки

4. Апробация результатов разработки

4.1. Разработка компьютерных (имитационных) моделей атак и защиты

4.1.1. Модель для оценки условий реализуемости атаки класса hijacking

4.1.2. Модель для оценки производительности защитного преобразования идентификатора пакета

4.1.3. Модель для оценки реализуемости метода рандомизации последовательности пакетов

4.1.4. Модель для оценки времени передачи пакета от отправителя до получателя и количества узлов между ними

4.2. Планирование эксперимента

4.2.1. Набор программ и программных компонент для выполнения экспериментальной части

4.2.1.1. Программы для реализации атаки класса hijacking

4.2.1.2. Программа для модификации идентификатора ТСР-пакета

4.2.1.3. Модуль генерации хеш-функции по алгоритму MD5

4.2.1.4. Модуль генерации псевдослучайных чисел на основе М-последовательности

4.2.2. Планирование эксперимента по оценке условий реализуемости атаки класса hijacking

4.2.3. Планирование эксперимента по оценке производительности защитного преобразования идентификатора пакета

4.2.4. Планирование эксперимента по оценке реализуемости метода рандомизации последовательности пакетов

4.2.5. Планирование эксперимента по оценке времени передачи пакета от отправителя до получателя и количества узлов между ними

4.3. Результаты эксперимента

4.3.1. Результаты эксперимента по оценке условий реализуемости атаки класса hijacking

4.3.2. Результаты эксперимента по оценке производительности защитного преобразования идентификатора пакета

4.3.3. Результаты эксперимента по оценке реализуемости метода рандомизации последовательности пакетов

4.3.4. Результаты эксперимента по оценке времени передачи пакета от отправителя до получателя и количества узлов между ними

4.4. Результаты и рекомендации по применению метода рандомизации последовательности пакетов в различных областях

4.4.1. Области, пригодные для применения метода рандомизации последовательности пакетов и управления процессом их сборки

4.4.1.1. Пассивные оптические сети с архитектурой FTTx

4.4.1.2. Беспроводные сети с централизованной архитектурой

Заключение

Список используемой литературы

Приложение 1

Приложение 2

Приложение 3

Приложение 4

Приложение 5

Список терминов, условных сокращений и обозначений

АН (Authentication Header) - протокол, входящий в состав технологии IPSec;

AN (Acknowledgment number) - порядковый номер подтверждения TCP-пакета;

BGP (Border Gateway Protocol) - протокол граничного шлюза, предназначенный для обмена информацией о маршрутах между автономными системами;

CPN (Colored Petri Net) - раскрашенные сети Петри;

CRC (Cyclic Redundancy Check) - алгоритм вычисления контрольной суммы, предназначенный для проверки целостности передаваемых данных;

CWND (Congestion Window) - окно отправителя;

DCCP (Datagram Congestion Control Protocol) - протокол транспортного уровня модели OSI, разрабатываемый IETF и предоставляющий механизмы для отслеживания перегрузок в сети, но не гарантирующий доставку пакетов в нужном порядке;

DUPACK (duplicate АСК) - повторная отправка квитанции;

ЕАР (Extensible Authentication Protocol) - расширяемый протокол аутентификации;

FEC (Forward Error Correction) - техника кодирования/декодирования, позволяющая исправлять ошибки;

FTP (File Transfer Protocol) - протокол передачи файлов;

HTML (HyperText Markup Language) - язык разметки гипертекста;

HTTP (Hypertext Transport Protocol) - протокол передачи гипертекста;

ICMP (Internet Control Message Protocol) - протокол межсетевых управляющих сообщений;

IETF (Internet Engineering Task Force) - специальная комиссия Интернет-разработок;

IKE (Internet Key Exchange) - протокол, используемый для защищенного согласования и доставки идентифицированного материала;

IP (Internet Protocol) - межсетевой протокол Интернета;

IPSec (Internet Protocol Security) - набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP;

LFSR (Linear Feedback Shift Registers) - регистр сдвига с линейной обратной связью;

MAC (Media Access Control) - управление доступом к среде;

MD5 (Message Digest 5) - 128-битный алгоритм хеширования, разработанный профессором Рональдом JI. Ривестом;

MIC (Message Integrity Code) - специальный набор символов, который добавляется к сообщению, и предназначенный для обеспечения его целостности и аутентификации источника данных;

MSS (Maximum Segment Size) - параметр, определяющий максимальный размер блока данных в байтах для ТСР-пакета;

MTU (Maximum Transmission Unit) - единица измерения максимального размера блока (в байтах), который может быть передан на канальном уровне сетевой модели OSI;

NDIS (Network Driver Interface Specification) - спецификация интерфейса сетевых драйверов;

RFC (Request for Comments) - запрос комментариев (общепринятый вид представления электронных спецификаций);

RTO (Retransmission Timeout) - окончание времени на осуществление попыток по передачи пакета с данными;

RTT (Round Trip Time) - время, затраченное на передачу пакета до получателя и квитанции до отправителя;

RWIN (Receive Window) - окно получателя;

SACK (Selective Acknowledgement) - опция выборочного подтверждения потерянных пакетов;

SCTP (Stream Control Transmission Protocol) - протокол транспортного уровня в компьютерных сетях, реализующий надежную передачу данных;

SMTP (Simple Mail Transfer Protocol) - простой протокол передачи почты;

SN (Sequence number) - порядковый номер TCP-пакета;

TCP (Transmission Control Protocol) - протокол управления передачей;

UDP (User Datagram Protocol) - протокол пользовательских дейтаграмм;

Модель OSI (Open Systems Interconnection basic reference model) -абстрактная сетевая модель для коммуникаций и разработки сетевых протоколов;

ОС - операционная система;

ПИВ - протоколы информационного взаимодействия;

ПО - программное обеспечение;

ПОА - программное обеспечение атакующего;

ПСЧ - псевдослучайное число;

СИВ - система информационного взаимодействия;

СМО - система массового обслуживания;

ТКС - телекоммуникационная система.

Введение диссертации (часть автореферата) на тему «Информационная безопасность транспортных протоколов телекоммуникационных сетей»

Введение

Актуальность темы.

Роль транспортных протоколов в надежном, скоростном и безопасном информационном взаимодействии весьма высока: для выполнения своей главной функции - доставки и сборки пакетов - они используют плохо защищенные открытые служебные процедуры, методы и алгоритмы. Применение открытых, в том числе и транспортных, протоколов обладает весомыми достоинствами, главным из которых является гарантия совместимости информационных процессов в оговоренных протоколами границах.

Среди стандартных протоколов, широко поддерживаемых производителями, наибольшей производительностью и надежностью, а следовательно, и наибольшей популярностью, пользуется протокол TCP. Однако протокол TCP подвержен атакам, наиболее распространенной и опасной из которых является hijacking, что подтверждается ежеквартальным отчетом компании Cisco [1], признанного мирового лидера в области сетевых технологий.

Известны пути, которые направлены на оптимизацию производительности протокола TCP. Вопросами улучшения производительности протоколов информационного взаимодействия, в том числе и протокола TCP, занимались Ю.А. Семенов, V. Jacobson, A. Grieco, S. Mascolo, G. Huston, S. Charoenpanyasak, X. Cui, L. Cui и другие.

К сожалению, любые предлагаемые способы и методы повышения производительности обеспечиваются за счет снижения безопасности. Однако исследование количественных характеристик в известных работах отсутствует.

Существует единственный способ защиты транспортных протоколов от деструктивных действий злоумышленника - шифрование всего потока данных с помощью технологии IPSec, которая стандартизирована на сетевом

уровне протокола IP 6-ой версии. Недостатком технологии IPSec являются дополнительные накладные расходы на формирование служебных пакетов и данных, а также на само шифрование, что приводит к увеличению трафика и снижению производительности компьютеров.

Таким образом, разработка методов повышения защищенности процессов информационного взаимодействия в высокопроизводительных открытых телекоммуникационных системах и сетях является важной и актуальной задачей, не решенной в полной мере на сегодняшний день.

Объект исследования - открытые информационно-телекоммуникационные сети, а предмет исследования - безопасность транспортных протоколов открытых телекоммуникационных сетей и методы управления протокольными процедурами.

Целью работы является повышение защищенности транспортных протоколов открытых телекоммуникационных систем путем управления протокольными процедурами.

Для достижения поставленной в работе цели использовались следующие методы исследования: методы и подходы на основе теории вероятностей, математической статистики, теории массового обслуживания, имитационного и полунатурного моделирования.

Научная новизна исследования состоит в том, что предложены:

1. Модель злоумышленника, модифицирующая пакеты отправителя, особенностью которой является то, что идентификатор атакующего пакета экстраполируется на величину, равную объему данных, переданных за время формирования деструктивного пакета.

2. Новый метод формирования TCP-пакетов, отличающийся от стандартного тем, что идентификаторы последовательных пакетов рандомизируются по заданному правилу, в соответствии с которым на приемной стороне осуществляется сборка пакетов, а поле «Options» содержит закодированные синхроданные.

3. Модель оценки временных задержек сетевой архитектуры, отличительной особенностью которой является то, что для рассылки пакетов используются стандартные программные средства, а для точной регистрации событии применяется модифицированный протокольный драйвер сетевой архитектуры.

4. Модель СМО злоумышленника, отличающаяся тем, что в качестве характеристики потока заявок используется найденное из регистрации событий модифицированного драйвера распределение задержек обработки пакетов драйвером сетевой архитектуры.

Практическая значимость исследования.

1. Разработан драйвер-фильтр сетевой архитектуры, генерирующий и регистрирующий значимые события при приемо-передаче пакета на канальном уровне.

2. Создана имитационная модель атак класса hijacking, используемая для определения условий их реализуемости.

3. Выработаны рекомендации по рандомизации идентификаторов пакетов и исследована их эффективность при использовании рандомизированной последовательности пакетов в современных телекоммуникационных сетях.

Положения, выносимые на защиту.

1. Модель злоумышленника, модифицирующего пакеты отправителя и устанавливающего значение идентификатора атакующего пакета путем экстраполяции идентификатора перехваченного пакета на величину, равную объему данных, переданных за время формирования деструктивного пакета. Модель гарантирует формирование пакета, атакующего стандартного абонента за минимально возможное время.

2. Метод формирования идентификаторов последовательных рандомизированных TCP-пакетов, гарантирующих при сборке пакетов на приемной стороне защиту от атаки класса hijacking типа «прогнозирование идентификатора».

3. Модель системы массового обслуживания злоумышленника для оценки среднего времени реализации атаки на стандартного абонента, использующая в качестве характеристики потока заявок полученное распределение задержек обработки пакетов драйвером сетевой архитектуры.

4. Имитационная модель атаки, включающая компьютеры отправителя и злоумышленника, реализующего метод рандомизации последовательности пакетов, получателя, объединенные компьютерной сетью с регулируемой пропускной способностью для оценки результативности атаки класса hijacking типа «повторная отправка пакета».

Область применения результатов. Проведенный анализ показал, что полученные результаты могут быть применены в сетях со следующей архитектурой: пассивные оптические сети FTTx и беспроводные сети с централизованной архитектурой.

Достоверность.

Достоверность полученных результатов обоснована адекватным применением математических методов, корректностью постановок решаемых задач, практической реализацией и апробацией результатов работы.

Структура диссертационной работы.

В разделе 1 проведен анализ существующих транспортных протоколов телекоммуникационных сетей, методов оптимизации протоколов информационного взаимодействия, выявлены их недостатки, проанализированы атаки класса hijacking на протокол TCP. Сформулирована задача разработки способа защиты от наиболее опасного вида атаки, а также предложен метод защиты от такого типа атаки.

В разделе 2 выполнен анализ модели злоумышленника с точки зрения описания её временных характеристик путем использования различных математических моделей. По результатам анализа был выбран подход на основе теории массового обслуживания как адекватно описывающий

временные процессы, происходящие в сетевой архитектуре компьютера злоумышленника.

В разделе 3 предложена формальная модель защищающейся стороны и атакующего, произведен анализ факторов, влияющих на эффективность атаки, проведен эксперимент по получению временных характеристик сетевой архитектуры, приведена оценка эффективности предлагаемого метода.

В разделе 4 разработаны имитационные модели для подтверждения эффективности предложенного метода, произведено планирование эксперимента, выполнена апробация, а также выработаны рекомендации по использованию предложенного метода защиты в системах различного класса.

1. Постановка задачи

1.1. Основные транспортные протоколы телекоммуникационных сетей

Как указывалось в [2], проектирование новых, модернизация существующих СИВ должны учитывать современную опасность, «враждебность» и «агрессивность» информационной среды. Причинами этого является множество факторов, из которых хотелось бы выделить применение стандартных (базовых) протоколов информационного взаимодействия всех уровней OSI, «по рождению» не отвечающих требованиям безопасности.

Среди протоколов стека TCP/IP можно выделить протоколы, наиболее широко используемые в СИВ. К ним относятся такие протоколы транспортного уровня, как TCP и UDP, и прикладного уровня — HTTP. Транспортные протоколы решают задачу предоставления надежной и экономичной передачи данных от источника к получателю вне зависимости от физических характеристик использующихся сетей.

Далее будет приведено несколько протоколов, работающих на транспортном уровне.

1.1.1. Протокол TCP

Протокол TCP предназначен для организации надежного обмена данными между процессами в разнородных сетевых средах. Это протокол общего применения в различных сетях для обмена информацией между хостами. С одной стороны, он взаимодействует с пользовательскими или прикладными процессами, с другой - с протоколами нижележащего уровня (такими, как IP) [3]. Формат заголовка TCP пакета приведен на рис. 1.1.

16

32 бита

Порт отправителя

Порт получателя

Порядковый номер

Номер подтверждения

Длина ТСР-заголовка

Зарезервированное поле

Контрольная сумма

и А Р R S

R С S S Y

G К Н Т N

Размер окна

Указатель на срочные данные

Параме+ры (0 или более 32-х разрядных слов)

Данные

6 бит

Рис. 1.1. Заголовок протокола TCP Интерфейс между прикладным и транспортным уровнем хорошо известен. Этот интерфейс содержит набор процедур, подобных процедурам операционной системы, используемых для работы с файлами. Например, существуют процедуры открытия и закрытия соединений, а также приема данных через организованное соединение. Предполагается также, что TCP может обмениваться данными с прикладными программами в асинхронном режиме. Хотя разработчикам TCP предоставляется разумная свобода выбора реализации интерфейса, существует минимальный набор функций для интерфейса между TCP и пользовательским уровнем, который должен присутствовать во всех реализациях протокола.

Интерфейс между TCP и протоколом нижележащего уровня задается менее детально, за исключением предположения о наличии механизма асинхронного обмена информацией между уровнями. Предполагается также, что спецификация взаимодействия будет задаваться стандартом для протокола нижележащего уровня. Протокол TCP разработан для использования в разнотипных сетевых средах. В качестве протокола нижележащего уровня предполагается использование протокола IP.

Задача протокола TCP - обеспечение надежных и потенциально безопасных логических устройств или соединений между парами процессов. Для обеспечения такого сервиса на базе менее надежных коммуникационных систем Internet требуется поддержка следующих функций:

• базовый обмен данными (Basic Data Transfer);

• надежность (Reliability);

• управление потоком данных (Flow Control);

• мультиплексирование (Multiplexing);

• поддержка соединений (Connections);

• предпочтения и безопасность (Precedence and Security).

На базе TCP построено большинство протоколов прикладного уровня модели OSI, таких как FTP, HTTP, SMTP и многие другие.

1.1.2. Протокол UDP

UDP - это простой протокол транспортного уровня. Приложение записывает в сокет UDP дейтаграмму (datagram), которая инкапсулируется (упаковывается) в дейтаграмму IP и посылается получателю. При этом не гарантируется, что дейтаграмма UDP когда-нибудь дойдет до указанного получателя.

Структура заголовка UDP представлена на рис. 1.2.

32 бита

-—. ...............

Порт отправителя Порт получателя

Длина UDP Контрольная сумма

Рис. 1.2. Заголовок протокола UDP

С помощью ПОР передаются сегменты, состоящие из 8-байтного заголовка, за которым следует поле полезной нагрузки. Два номера портов служат для идентификации служб (приложений), использующих данный протокол. Протокол ЦЕ)Р не занимается контролем потока, контролем ошибок, повторной передачей после приема искаженного сегмента. Все эти функции перекладываются на пользовательский уровень.

Каждая дейтаграмма UDP имеет конкретную длину, и мы можем рассматривать дейтаграмму как запись (record). Если дейтаграмма корректно (без ошибки) доходит до конечного получателя, длина дейтаграммы передается принимающему приложению.

UDP предоставляет сервис, не ориентированный на установление соединения (connectionless), поскольку в установлении долгосрочной связи между клиентом и сервером UDP нет необходимости. Например, клиент UDP может создать сокет и послать дейтаграмму данному серверу, а затем сразу же послать через тот же сокет дейтаграмму другому серверу. Аналогично сервер UDP может получить пять дейтаграмм подряд через один и тот же сокет UDP от пяти различных клиентов [4, с. 66].

UDP используют в приложениях, где потеря данных не так важна:

• сбор данных (с выхода датчиков);

• распространение данных (широковещательная передача сообщений пользователей сети, объявлений, а также передача в режиме реального времени);

• приложения реального времени (телеметрия, передача аудио-, видеоинформации).

В случае передачи потоковой аудио-, видеоинформации ошибки могут не быть критичными и требовать дополнительной реализации механизмов защиты в протоколах прикладного уровня. Если же происходит широковещательная передача данных по сети, то абонент, которому данные были доставлены с ошибкой или не доставлены вовсе, может выполнить запрос на повторную передачу утраченной информации (реализуется в протоколе прикладного уровня). В случае датчиков нужно повторно опросить только тот, от которого данные не были получены по истечению определенного интервала времени, или дождаться новой информации от него.

Протоколы TCP и UDP являются «стандартными» протоколами транспортного уровня. Далее будет рассмотрен протокол SCTP, который в

данный момент хотя и не столь распространен, но вполне возможно, что в будущем ему уделят должное внимание.

1.1.3. Протокол SCTP

SCTP — протокол транспортного уровня в компьютерных сетях,

появившийся в 2000 году в IETF.

Как и любой другой протокол передачи данных транспортного уровня, SCTP работает аналогично TCP или UDP. Но на самом деле SCTP имеет широкий спектр приятных новшеств, таких как многопоточность, защита от SYN-flood атак, синхронное соединение между двумя хостами по двум и более независимым физическим каналам (multi-homing) [5].

TCP управляет последовательностью байт: данные, посланные приложением-отправителем, должны поступать приложению-получателю строго в том же порядке (в то время как протокол IP способен поменять последовательность пакетов; кроме того, пропавшие пакеты посылаются повторно и обычно прибывают к получателю с нарушением последовательности; для борьбы с этими явлениями данные накапливаются в буфере). SCTP может транспортировать данные между двумя точками одновременно по нескольким потокам данных. SCTP, в противоположность к TCP, обрабатывает целые сообщения, а не обычные байты информации. Это означает, что если отправитель отсылает серверу сообщение, состоящее из 100 байт за первый шаг, а за ним ещё 50 байт, то получатель за первый шаг получит первые 100 байт в первом сообщении, а только затем 50 байт на второй операции чтения из сокета.

По сравнению с протоколом TCP поддержка протоколом SCTP множественной адресации обеспечивает приложениям повышенную готовность. Хост, подключенный к нескольким сетевым интерфейсам и потому имеющий несколько IP адресов, называется multi-homed хостом. В протоколе TCP соединением называется канал между двумя конечными точками. Протокол SCTP вводит понятие ассоциации, которая

устанавливается между двумя хостами и в рамках которой возможна организация взаимодействия между несколькими интерфейсами каждого хоста (рис. 1.3).

Интерфейс Интерфейс

клиента сервера

Рис. 1.3. Сравнение соединения протокола TCP с ассоциацией протокола

SCTP

В верхней части рисунка показано соединение протокола TCP. Каждый хост имеет один сетевой интерфейс, соединение устанавливается между одним интерфейсом на клиенте и одним интерфейсом на сервере. Установленное соединение привязано к конкретному интерфейсу.

В нижнеи части рисунка представлена архитектура, в которой каждый хост имеет два сетевых интерфейса. Обеспечивается два маршрута по независимым сетям: один от интерфейса СО к интерфейсу SO, другой - от интерфейса С1 к интерфейсу S1. В протоколе SCTP два этих маршрута объединяются в ассоциацию.

Протокол SCTP отслеживает состояние маршрутов в ассоциации с помощью встроенного механизма контрольных сообщений; при нарушении маршрута передача данных продолжается по альтернативному маршруту.

При этом приложению даже не обязательно знать о фактах нарушения и восстановления маршрута.

Переключение на резервный канал также может обеспечивать непрерывность связи для сетевых приложений. Для примера рассмотрим ноутбук, который имеет беспроводной интерфейс 802.11 и интерфейс Ethernet. Пока компьютер имеет связь через кабельное соединение, предпочтительнее использовать более скоростной интерфейс Ethernet (в протоколе SCTP применяется термин основной адрес); при нарушении этого соединения (в случае отключения соединения, использующего Ethernet), информация будет передана через соединение по беспроводному интерфейсу. При повторном подключении обнаружится соединение по интерфейсу Ethernet, через который будет продолжен обмен данными. Таким образом, протокол SCTP реализует эффективный механизм, обеспечивающий высокую готовность и повышенную надежность.

Каждому потоку ассоциации присваивается номер, который включается в передающиеся пакеты SCTP. Важность многопотоковой передачи обусловлена тем, что блокировка какого-либо потока (например, из-за ожидания повторной передачи при потере пакета) не влияет на другие потоки в ассоциации. В общем случае данная проблема получила название блокировки головы очереди (head-of-line blocking). Протокол TCP уязвим для подобных блокировок.

Каким образом множество потоков обеспечивают лучшую оперативность при передаче данных? Например, в протоколе HTTP данные и служебная информация передаются по одному и тому же сокету. Web-клиент запрашивает файл, и сервер посылает файл назад к клиенту по тому же самому соединению. Многопотоковый HTTP-сервер сможет обеспечить более быструю передачу, так как множество запросов обслуживается по независимым потокам одной ассоциации. Такая возможность позволяет распараллелить ответы сервера. Это если и не повысит скорость отображения

страницы, то позволит обеспечить ее лучшее восприятие благодаря одновременной загрузке кода HTML и графических изображений.

Многопотоковая передача — это важнейшая особенность протокола SCTP, проявляющаяся в способности одновременной передачи данных и служебной информации в рамках протокола. В протоколе TCP данные и служебная информация передаются по одному соединению. Это может стать причиной проблем, так как служебные пакеты из-за передачи данных будут передаваться с задержкой. Если служебные пакеты и пакеты данных передаются по независимым потокам, то служебная информация будет обрабатываться своевременно, что в свою очередь приведет к лучшему использованию доступных ресурсов (рис. 1.4)

Абонент

Заключение диссертации по теме «Системы, сети и устройства телекоммуникаций», Карпухин, Евгений Олегович

Заключение.

В диссертации получены следующие результаты:

1. Разработан метод внутриуровневой оптимизации протокола информационного взаимодействия, состоящий в рандомизации последовательности пакетов и управления процессом их сборки, позволяющий повысить уровень защищенности процессов информационного взаимодействия.

Предложен новый метод формирования идентификаторов ТСР-пакетов. Изменение идентификаторов пакетов по некоторому рандомизированному правилу, известному отправителю и получателю, существенно улучшает безопасность протокола TCP.

2. Предложена модель оценки временных задержек сетевой архитектуры, состоящая из программных компонентов, автоматизирующих рассылку и регистрацию событий сетевой архитектуры на уровне драйвера, основанного на регистрации низкоуровневых событий.

При разработке модели оценки временных задержек использовались особенности архитектуры NDIS, связанные с безопасной обработкой пакетов. Были найдены основные задержки, которые вносят значимый вклад в длительность обработки пакетов компьютером злоумышленника.

3. Получена модель СМО злоумышленника, использующая в качестве характеристики потока заявок найденную оценку времен обслуживания.

На основании полученных значений задержек сетевой архитектурой, была найдена характеристика потока заявок. Используя данную характеристику, был получен тип обслуживания заявок компьютером злоумышленника с NDIS архитектурой.

4. Предложена модель злоумышленника, состоящая в анализе идентификаторов пакетов с последующей генерацией атакующего пакета, которая гарантирует осуществление деструктивного воздействия за минимально возможное время при условии, что абоненты используют детерминированный алгоритм формирования идентификаторов пакетов.

Проведя анализ вариантов реализации атак, была разработана модель злоумышленника, реализующего деструктивное воздействие на получателя за минимально возможное время. Это связано с тем, что стандартный алгоритм формирования идентификаторов пакетов носит детерминированный характер с линейным увеличением номера пакета, а достаточно большой размер окна получателя упрощает реализацию атаки.

5. Создана модель атак класса hijacking, заключающаяся в анализе идентификаторов TCP-пакетов на одном сетевом интерфейсе с последующей отправкой деструктивного пакета на другой сетевой интерфейс, и используемая для определения условий, при которых реализуется данная атака.

Использование модели атак класса hijacking позволило подтвердить реализуемость данной атаки в случае, когда пропускная способность канала между отправителем и получателем меньше пропускной способности канала между злоумышленником и получателем.

6. Разработано программное обеспечение, позволяющее оценить время передачи пакета от одного сетевого интерфейса к другому на уровне NDIS путем регистрации событий в реализации драйвера NDIS, используемого для оценки временных характеристик.

Программное обеспечение, реализующее отправку пакета, совместно с драйвером сетевой архитектуры, дало возможность оценить время передачи пакета с одного сетевого интерфейса на другой на канальном уровне. На основании полученных данных было определено распределение задержек обработки пакетов драйвером сетевой архитектуры.

Список литературы диссертационного исследования кандидат технических наук Карпухин, Евгений Олегович, 2011 год

Список используемой литературы

1. Cisco 2Q11. Global Threat Report [Электронный ресурс]. Режим дocтyпa:http://www.cisco.com/en/US/prod/collateral/vpndevc/cisco_gl obal_threat_report_2q2011.pdf, свободный. - Загл. с экрана. - Яз. англ.

2. Витомский Е.В., Корнилов A.M., Красильникова О.С., Неволин А.О. Проблемы безопасного информационного взаимодействия в распределенной среде. Под ред. Р.Б. Мазепы и В.Ю. Михайлова. — М.: Изд-во МАИ-ПРИНТ, 2009

3. RFC-793: Программная спецификация протокола DARPA INTERNET [Электронный ресурс]. Режим доступа: http://rfc.com.ru/rfc793.htm, свободный. - Загл. с экрана. - Яз. англ.

4. Стивене У.P. Unix. Разработка сетевых приложений. — СПб.: Питер, 2003. — 1088 е.: ил.

5. Борискина Е.П., Витомский Е.В., Карпухин Е.О., Корнилов A.M., Неволин А.О. Безопасное информационное взаимодействие. Под редакцией Мазепы Р.Б., Михайлова В.Ю., М.: МАИ-ПРИНТ, 2010 г. - раздел 2, с.44-76.

6. Джонс М.Т. Надежная передача данных по протоколу SCTP [Электронный ресурс]. Режим доступа: http://www.ibm.com/developerworks/ru/library/l-sctp/index.html, свободный. - Загл. с экрана. - Яз. рус.

7. Стюарт Р., Метц К. SCTP: новый транспортный протокол для TCP/IP [Электронный ресурс]. Режим flocTyna:http://www.osp.ru/os/2002/02/181115/ , свободный. - Загл. с экрана. - Яз. рус.

8. Карпухин Е.О. Анализ эффективности применения протоколов информационного взаимодействия // Межвузовский сборник

научных трудов «Информационные технологии и системы» - М.: МИЭТ, 2009.-с. 10-21

9. Танненбаум Э. Компьютерные сети. 4-е изд. — СПб.: Питер, 2003. — 991 е.: ил.

10.М Мамаев, С. Петренко. Технологии защиты информации в Интернете — СПб: «Питер», 2001. — 848 е.: ил.

1 l.O. Zheng, J. Poon, К. Beznosov. Application-based TCP hijacking // in Proc. EUROSEC, 2009, pp.9-15.

12. Taylor Т., Rytina I., Kalla M., Zhang L., V. Paxson. Stream Control Transmission Protocol, RFC-2960, 2000 http://www.ietf.org/rfc/rfc2960.txt

13. Kohler E., Handley M., S. Floyd. Datagram Congestion Control Protocol (DCCP), RFC-4340, 2006 http://www.rfc-editor.org/rfc/rfc4340.txt

14. Т. V. Lakshman, Upamanyu Madhow. The performance of TCP/IP for networks with high bandwidth-delay products and random loss // IEEE/ACM Trans. Networking, V5, N3, p.336-350, June 1997

15.Huston G. TCP Performance // The Internet Protocol Journal, Vol. 3, No. 2, Cisco Systems, June 2000

16. V. Jacobson. Berkeley TCP evolution from 4.3-tahoe to 4.3-reno // Proc. of the 18th Internet Engineering Task Force, Vancouver, August, 1990

17. RFC-3782: The NewReno Modification to TCP's Fast Recovery Algorithm [Электронный ресурс]. Режим доступа: http://www.ietf.org/rfc/rfc3782.txt, свободный. - Загл. с экрана. - Яз. англ.

18.L. A. Grieco, S. Mascolo. Performance evaluation and comparison of Westwood+, New Reno and Vegas TCP congestion controls // ACM Computer Communication Review, April 2004, Vol. 34(2)

19. С. Casetti, М. Gerla, S. Mascolo, M. Y. Sanadidi, R. Wang. TCP Westwood: Bandwidth Estimation for Enhanced Transport over Wireless Links // In Proceedings of ACM Mobicom 2001, pp 287-297, Rome, Italy, July 16-21 2001

20. A. Bakre, B. R. Badrinath. I-TCP : Indirect TCP for Mobile Hosts // Proceeding 15th International Conference on Distributed Computing Systems (ICDCS), May 1995

21. H. Balakrishnan, S. Seshan, R. H. Katz. Improving Reliable Transport and Handoff Performance in Cellular Wireless Networks // ACM Wireless Networks, 1995

22. E. Ayanoglu, S. Paul, T. F. LaPorta, К. K. Sabnani, R. D. Gitlin. AIRMAIL: A link-layer protocol for wireless networks // ACM Wireless Networks, 1995

23.С. Коротыгин. IPSec — протокол защиты сетевого трафика на IP-уровне, [Электронный ресурс]. Режим доступа: http://www.ixbt.com/comm/ipsecure.shtml, свободный. - Загл. с экрана. - Яз. рус.

24.Heffernan A., Protection of BGP Sessions via the TCP MD5 Signature Option. - RFC-2385, August 1998 http://www.ietf.org/rfc/rfc2385.txt

25.Bellovin. S., A. Zinin. Standards Maturity Variance Regarding the TCP MD5 Signature Option (RFC-2385) and the BGP-4 Specification. -RFC-4278, January 2006 http://tools.ietf.org/html/rfc4278

26. Leech. M. Key Management Considerations for the TCP MD5 Signature Option. - RFC-3562, July 2003 http://www.ietf.org/rfc/rfc3562.txt

27. Touch. J. Report on MD5 Performance. - RFC-1810, June 1995 http://tools.ietf.org/html/rfc 1810

28. Семенов Ю.А. Алгоритмы телекоммуникационных сетей. Часть 2. Протоколы и алгоритмы маршрутизации в Internet — Бином.

Лаборатория знаний, Интернет-университет информационных технологий, 2007 г.

29. Д. Комер. Будущее TCP и его производительность. [Электронный ресурс]. Режим доступа: http://www.soslan.ru/tcp/tcp24.html, свободный. - Загл. с экрана. - Яз. рус.

30. К. Fall, S. Floyd. Simulation-based Comparisons of Tahoe, Reno and SACK TCP // Computer Communication Review, 26(3), July 1996

31.П. Мак-Манус, Потери производительности при выборочном подтверждении TCP. [Электронный ресурс]. Режим доступа: http://www.ibm.com/developerworks/ru/library/l-tcp-sack/index.html?ca=drs-ru, свободный. - Загл. с экрана. - Яз. рус.

32.0. Andreasson, Ipsysctl tutorial 1.0.4. [Электронный ресурс]. Режим flocTyna:http://www.opennet.ru/docs/RUS/ipsysctl, свободный. -Загл. с экрана. - Яз. рус.

33.J. Chen, М. Gerla, У. Lee, M.Y. Sanadidi. TCP with delayed ack for wireless networks // presented at Ad Hoc Networks, 2008, pp. 10981116

34.Карпухин E.O. Анализ способов оптимизации транспортных протоколов в открытых телекоммуникационных системах // Журнал «Телекоммуникации», №9, 2011 г. - М.: ООО «Наука и технологии», 2011г. - с. 15-21

35. X. Cui, L. Cui. A Cross-Layer Optimization between FEC and TCP over Satellite Networks // Wireless Communications, Networking and Mobile Computing, 2008. WiCOM '08. 4th International Conference

36.S. Charoenpanyasak. Optimisation inter-couches du protocole SCTP en reseaux ad hoc // dissertation - Toulouse: INP Toulouse, 2009, 1 vol. (XII-142 p.)

37.Карпухин E.O. Методы оптимизации транспортных протоколов в системах информационного взаимодействия. Научно-практическая

конференция студентов и молодых ученых МАИ. Сборник тезисов, 2010, с.86.

38. Карпухин Е.О. Использование методов оптимизации протоколов информационного взаимодействия в открытых телекоммуникационных системах. Научно-практическая конференция студентов и молодых ученых МАИ «Инновации в авиации и космонавтике-2011», с.51.

39.Карпухин Е.О., Сееднов А.С., Смирнов С.Н. Применение методов оптимизации протоколов в современных информационно-телекоммуникационных системах // Журнал «Информационно-измерительные и управляющие системы», №8, 2011 г. - М.: «Радиотехника», 2011г. - с. 44-48

40.С. Wegener, W. Dolle. Understanding and preventing TCP attacks hijack prevention, [Электронный ресурс]. Режим доступа: http ://www.linux-magazine .com/w3/issue/5 8/TCP_Hij acking.pdf, свободный. - Загл. с экрана. — Яз. англ.

41.J. Padhye, V. Firoiu, D. Towsley, J. Kurose. Modeling TCP throughput: A simple model and its empirical validation // in Proceedings of the ACM SIGCOMM, 1998

42. Д. Дэвис. Автоматическая настройка окна приема TCP, [Электронный ресурс]. Режим доступа: http://technet.microsoft.com/ru-ru/magazine/2007.01 .cableguy.aspx, свободный. - Загл. с экрана. - Яз. рус.

43. Е. Weigle, W. Feng. A Comparison of TCP Automatic Tuning Techniques for Distributed Computing // in Proc. HPDC, 2002, pp.265265

44.Sheyner O. Automated Generation and Analysis of Attack Graphs /Oleg Sheyner, Joshua Haines, Somesh Jha, Richard Lippmann, Jeannette M. Wing // Proceedings of the IEEE Symposium on Security and Privacy. Oakland, CA, USA, 2002. P. 273 - 284

45.Тумоян Е.П. Методы формального моделирования сетевых атак // Известия Южного федерального университета. Технические науки, т.78, №1, 2008г., с. 107-111

46.Jha, S. Two Formal Analyses of Attack Graphs /S. Jha , O. Sheyner, J. Wing // Proceedings of the 15th IEEE Computer Security Foundations Workshop. Nova Scotia, Canada, June 2002. P. 49-63

47.Sheyner, O. AttackGraph Tool 0.5 [Электронный ресурс]. Режим flOCTyna:http://www.cs.cmu.edu/~odobzins/scenariograph/as_files/Atta ckGraph-0.5 .tar.gz

48.McDermott, J. P. Attack Net Penetration Testing /J. P. McDermott // Proc. of the 2000 Workshop on NewSecurity Paradigm. New York : ACM Press, 2000. P. 15-21

49.Colored Petri Net Based Attack Modeling / Shijie Zhou, Zhiguang Qin, Feng Zhang et al. // Rough Sets, Fuzzy Sets, Data Mining, and Granular Computing : Proc. of the 9th Intern. Conf. Chongqing, China, 2003. P. 715-718

50.Modeling and Execution of Complex Attack Scenarios using Interval Timed Colored Petri Nets / О. M. Dahl, S. D. Wolthusen // Proc. of the 4th IEEE Intern. Inform. Workshop. Royal Holloway, UK, 2006. P. 157-168

51. Калинина H.A. Моделирование атакующих воздействий и средств защиты корпоративной сети с помощью сетей Петри // Вестник Сибирского государственного аэрокосмического университета им. академика М.Ф. Решетнева №2, 2009г., с. 147-151.

52.Ларионов A.M., Майоров С.А., Новиков Г.И. Вычислительные комплексы, системы и сети. - Л.: Энергоатомиздат, 1987. - 178 с.

53.NdisMSendComplete function [электронный ресурс]. - Режим доступа: http://msdn.microsoft.com/en-us/library/ff553613 .aspx, свободный. - Загл. с экрана. - Яз. англ.

54.RFC-5996: Internet Key Exchange Protocol Version 2 (IKEv2), [Электронный ресурс]. Режим доступа: http://tools.ietf.org/html/rfc5996, свободный. - Загл. с экрана. - Яз. англ.

55.RFC-3748: Extensible Authentication Protocol (ЕАР), [Электронный ресурс]. Режим доступа: http://tools.ietf.org/html/rfc3748, свободный. - Загл. с экрана. - Яз. англ.

56.М. Bellare, R. Canetti, and Н. Krawczyk. Keyed Hash Functions and Message Authentication // Proceedings of Crypto'96, LNCS 1109, pp. 1-15

57.Шелухин О.И., Тенякшев A.M., Осин A.B. Фрактальные процессы в телекоммуникациях. Монография./Под ред. О.И. Шелухина. -М.: Радиотехника, 2003. - 480 с.

58.Крылов В.В., Самохвалова С.С. Теория телетрафика и ее приложения. - СПб.: БХВ-Петербург, 2005. - 288 с.

59.Walter Willinger, Murad S. Taqqu, Robert Sherman and Daniel V. Wilson. Self-Similarity Through High-Variability: Statistical Analysis of Ethernet LAN Traffic at the Source Level // IEEE/ACM Transactions on Networking, Vol. 5, No. 1, 1997

60.Дэвид Соломон, Марк Руссинович. Внутреннее устройство Microsoft Windows: Windows Server 2003, Windows XP и Windows 2000. СПб.:Питер, 2005 - 992 стр.: ил.

61.Ермолаев О. Ю. Математическая статистика для психологов. Учебник / О. Ю. Ермолаев - 2е изд. испр. - М.: Московский психолого-социальный институт Флинта 2003. - 336 с.

62.Пилюгин А.В. Разработка метода оценки параметров качества обслуживания HTTP-трафика в мультисервисных сетях доступа. Автореферат диссертации на соискание ученой степени кандидата технических наук по специальности 05.12.13 - системы, сети и устройства телекоммуникаций, [Электронный ресурс]. Режим

доступа:1тйр ://www.mtuci .ru/science/dissovet/candidate/files/232.pdf, свободный. - Загл. с экрана. - Яз. рус.

63. WinPcap, [Электронный ресурс]. Режим

дocтyпa:http://www.winpcap.org/install/default.htm

64.SharpPcap, [Электронный ресурс]. Режим доступа: http://sourceforge.net/proj ects/sharppcap/

65.Traffic Inspector FSTEC, [Электронный ресурс]. Режим доступа: http://www.smart-soft.ru/more.asp?product=fstec

66. Iptables, [Электронный ресурс]. Режим доступа: http://www.netfilter.org/

67.Карпухин Е.О., Витомский Е.В. Использование технологии фильтрации при разработке защищенных телекоммуникационных систем // Журнал «Вестник Московского авиационного института», т. 16, №7, 2009 г. - М.: МАИ, 2009. - с. 57-60

68.WinpkFilter 3.0, [Электронный ресурс]. Режим доступа: http://ntkernel.com/w&p.php?id=7

69.1perf, [Электронный ресурс]. Режим доступа: http://sourceforge.net/projects/iperf/

70.В. Preneel, А. Bosselaers, Н. Dobbertin: The cryptographic hash function RIPEMD-160 // CryptoBytes, Vol. 3, No. 2, 1997, 9-14.

71.MD5CryptoServiceProvider - класс, [Электронный ресурс]. Режим доступа: http://msdn.microsoft.com/ru-ru/library/system.security.cryptography.md5cryptoserviceprovider.aspx

72. Microsoft Network Monitor, [Электронный ресурс]. Режим доступа: http://www.microsoft.com/ru/ru/softmicrosoft/netmonitor.aspx

73. Wireshark, [Электронный ресурс]. Режим доступа: http://www.wireshark.org

74. Пассивные оптические сети (PON/EPON/GEPON), [Электронный ресурс]. Режим floc'ryna:http://book.itep.ra/4/41 /pon.htm, свободный. - Загл. с экрана. - Яз. рус.

75.Архитектура оптических сетей доступа FTTH (Fiber-to-the-Home), [Электронный ресурс]. Режим доступа: http://fibertool.ru/articles/pon/ftth-fiber-to-the-home.html, свободный. - Загл. с экрана. - Яз. рус.

76.Карпухин Е.О. Способ защиты TCP-соединений от деструктивных действий злоумышленника при передаче данных по пассивным оптическим сетям с архитектурой FTTO // 10-я Международная конференция «Авиация и космонавтика - 2011 ».8-10 ноября 2011 года. Москва. Тезисы докладов. - СПб.: Мастерская печати, 2011. -с. 214-215

77. Windows Driver Kit, [Электронный ресурс]. Режим дocтyпa:http://msdn.microsoft.com/library/windows/hardware/ff55757 3%28v=VS.85%29.aspx