Устройство контроля целостности и конфиденциальности сетевого кадра

Предлагаемое устройство относится к области средств вычислительной техники, а именно к системам защиты информации от несанкционированного доступа. Одной из основных угроз несанкционированного доступа к информации, передаваемой по локальной вычислительной сети (ЛВС), является неправомерное использование анализаторов протоколов. Анализаторы протоколов подключаются к ЛВС также как и рабочие станции и имеют функциональную возможность копировать весь сетевой трафик. Особенностью, затрудняющей противодействие злонамеренному использованию анализаторов протоколов, является их пассивность по отношению к среде распространения. Применяемые способы защиты информации от несанкционированного доступа в среде распространения ЛВС основываются в основном на криптографической защите файлов и пакетов, предназначенных для передачи. Предлагаемое устройство предоставляет дополнительную услугу в обеспечении безопасности информации при сетевом обмене. В основу технического решения положен принцип расчета контрольной суммы сетевого кадра по алгоритму CRC-32 с изменяемым значением полинома. Изменение значения полинома осуществляется предлагаемым устройством на легитимных рабочих станциях ЛВС в установленные моменты синхронизированного системного времени по единому правилу. При этом схема контроля целостности сетевого кадра дополнительно используется для обеспечения конфиденциальности информации. Передача сетевого кадра осуществляется по среде распространения ЛВС со значением контрольной суммы отличным от того, которое может быть рассчитано на нелегитимной рабочей станции с использованием стандартного значения полинома. В результате этого, при попытке несанкционированного перехвата сетевой кадр будет идентифицирован как сбойный и не будет рассматриваться в качестве объекта перехвата. Знание злоумышленником правил, по которым формируются значения полинома, а также наличие в его распоряжении образца предлагаемого устройства не являются достаточными условиями реализации несанкционированного доступа к информации через среду распространения ЛВС. Необходимым условием является синхронизация системного времени на нелегитимной станции и на сервере ЛВС. При попытке синхронизации нелегитимная станция может быть обнаружена специальными программными средствами контроля, что обеспечивает принятие адекватных организационных мер противодействия.

Предлагаемое устройство относится к области средств вычислительной техники, а именно к системам защиты информации от несанкционированного доступа.

Одним из распространенных средств, используемым для несанкционированного доступа к информации, передаваемой по локальной вычислительной сети, является анализатор протоколов. Анализатор протоколов представляет собой программно-аппаратное средство, подключаемое к среде распространения локальной вычислительной сети и предназначенное для локализации неисправностей и нештатных режимов работы сетевого оборудования посредством перехвата и анализа сетевого графика. Большинство известных анализаторов протоколов имеет функциональную возможность копировать как весь сетевой график, так и сетевые кадры, удовлетворяющие заданным критериям фильтрации, а также осуществлять буферизацию захваченных сетевых кадров, их визуализацию и анализ с целью восстановления исходной информации (файлов).

Противоправное использование анализаторов протоколов является реальной угрозой конфиденциальности информации, передаваемой по локальной вычислительной сети. Анализатор протоколов подключается к сети также как и рабочая станция. Отличие состоит в том, что если обычная рабочая станция сети способна получать лишь широковещательные сетевые кадры, либо сетевые кадры, адресованные непосредственно ей, то анализатор протоколов способен копировать весь сетевой график среды распространения локальной вычислительной сети. Для этого в анализаторах

протоколов используются сетевые адаптеры, поддерживающие на аппаратном или программном уровне режим "беспорядочного" захвата (promiscuous mode) сетевых кадров.

Наибольшее распространение в настоящее время нашли анализаторы протоколов Network Monitor производства Microsoft, WinPcap, ScoopLm, WinDump, THC-parasite, SpyNet, Sniffer Pro LAN, Sniffer Basic, Packet Tracer, Iris, Hoppa Analyzer, CommView, ASniffer.

Применяемые способы защиты информации от несанкционированного доступа в среде распространения локальной вычислительной сети (см., например, А.В.Соколов, О.М.Степанюк "Защита от компьютерного терроризма", Справочное пособие - СПб.: БХВ - Петербург: Арлет, 2002) основываются в основном на использовании средств криптографической защиты информации.

Особенностью анализаторов протоколов, в значительной степени затрудняющей противодействие их злонамеренному использованию, является их пассивность по отношению к среде распространения сигналов. Для обнаружения нелегитимного анализатора в локальной вычислительной сети используются специальные программные средства контроля (см., например, Джон Чирилло "Защита от хакеров" - СПб.: издательский дом "Питер", 2002, стр.249). Однако, если на нелегитимной рабочей станции деинсталлировать все стандартные протоколы сетевого уровня и выше, то анализатор протоколов, установленный на этой станции, будет работать только в режиме перехвата и накопления перехваченных сетевых кадров на канальном уровне. При этом анализатор во время своей работы не будет откликаться на управляющие сетевые кадры сетевого уровня. В этом случае специальные программные средства контроля не способны обнаружить нелегитимный анализатор протоколов.

Для обеспечения сетевого обмена в локальной вычислительной сети Ethernet используются сетевые адаптеры, поддерживающие стандарты IEEE 802.2 и 802.3 (см., например, В.Г.Олифер, Н.А.Олифер, "Компьютерные сети.

Принципы, технологии, протоколы: учебник для вузов. 2-е издание" - СПб.: издательский дом "Питер", 2003). Указанные стандарты предполагают контроль целостности сетевых кадров, передаваемых в среде распространения локальной вычислительной сети, с помощью контрольной суммы, рассчитываемой по алгоритму 32-разрядного циклического избыточного кодирования Cyclic Redundancy Code (CRC-32) со значением полинома степени 32, равным G(x)=х³²+х²⁶ +х²³+х²²+х ¹⁶+х¹²+х¹¹+х ¹⁰+х⁸+ х⁷+х ⁵+x⁴+x²+x+1. В тех случаях, когда контрольная сумма, рассчитанная для принятого сетевым адаптером в соответствующий буфер сетевого кадра, не соответствует значению контрольной суммы, размещенному в поле Frame Check Sequence сетевого кадра, последний помечается сетевым адаптером как сбойный и не передается для дальнейшей обработки протоколам сетевого обмена канального уровня. Информация о том, что сетевой кадр забракован, передается протоколам канального уровня посредством передачи слова состояния сетевого кадра, которое формируется сетевым адаптером в соответствующем регистре.

Сетевые адаптеры обслуживают интерфейс между программами протоколов сетевого обмена и средой распространения и используют как программное, так и микропрограммное управление. При обмене сетевыми кадрами между программами, реализующими сетевые протоколы, и сетевыми адаптерами, последние используют главным образом программное управление от драйверов операционных систем. При обмене сетевыми кадрами между средой распространения и сетевыми адаптерами, последние используют главным образом микропрограммное управление от собственных схем управления, размещенных в сетевых адаптерах. Как программное, так и микропрограммное управление сетевыми адаптерами может быть перехвачено, что использовано в предлагаемом устройстве с целью реализации дополнительной функции обеспечения безопасности информации.

Целью разработанного устройства является противодействие несанкционированному копированию и модификации сетевых кадров в среде распространения локальной вычислительной сети, сбору сетевых пакетов, сегментов и файлов из несанкционированно перехваченных в среде распространения сетевых кадров.

Указанная цель достигается тем, что при расчете контрольной суммы сетевого кадра по алгоритму CRC-32 используется динамическое изменение значения полинома степени 32. Указанное изменение осуществляется предлагаемым устройством на легитимных рабочих станциях локальной вычислительной сети в установленные моменты синхронизированного системного времени по единому правилу. Перед передачей сетевого кадра устройство осуществляет расчет контрольной суммы с использованием текущего значения полинома. При приеме сетевого кадра из среды распространения устройство рассчитывает контрольную сумму для принятого сетевого кадра с использованием текущего значения полинома. Устройство учитывает возможность смены значения полинома за время передачи сетевого кадра по сети распространения. Для этого предусмотрена возможность проверки контрольной суммы для принятого сетевого кадра по предыдущему значению полинома. Устройство проверяет целостность и легитимность полученного сетевого кадра посредством проверки идентичности полученной в сетевом кадре и рассчитанной для сетевого кадра контрольных сумм. Передача сетевого кадра на подуровень MAC канального уровня осуществляется устройством в случае совпадения контрольных сумм. При несовпадении контрольных сумм устройство формирует признак сбойного кадра, что блокирует передачу сетевого кадра на подуровень MAC канального уровня.

Предлагаемое устройство обеспечивает активное противодействие несанкционированному копированию сетевого кадра из среды распространения локальной вычислительной сети. Обеспечивается указанная функция безопасности тем, что передача сетевого кадра осуществляется по

среде распространения локальной вычислительной сети со значением контрольной суммы не соответствующим тому, которое будет рассчитано на нелегитимной рабочей станции локальной вычислительной сети, использующей при расчете контрольной суммы сетевого кадра стандартное значение полинома G(x)=х³²+х ²⁶+х²³+х²²+х ¹⁶+х¹²+x¹¹+х ¹⁰+х⁸+х⁷+х ⁵+ x⁴+x²+x+1. В результате этого, при попытке несанкционированного перехвата сетевой кадр будет идентифицирован на нелегитимной станции как сбойный и не будет рассматриваться как объект перехвата.

Устройство косвенно проверяет то, что контрольная сумма сетевого кадра рассчитана с использованием полинома, сгенерированного по установленным правилам на легитимной станции, что обеспечивает своевременное обнаружение факта модификации сетевых кадров и блокирование трансляции несанкционированно модифицированных сетевых кадров с физического уровня на подуровень MAC канального уровня.

Вышеуказанный механизм защиты информации, реализованный в предлагаемом устройстве, в известных средствах и системах защиты информации от несанкционированного доступа в локальной вычислительной сети не применяется, что позволяет сделать вывод о соответствии заявляемого технического решения критерию "новизна".

Предлагаемое устройство реализует установленный стандартом IEEE 802.3 (Ethernet) алгоритм контроля целостности сетевого кадра дополнительно и для обеспечения конфиденциальности информации, передаваемой по среде распространения. Знание злоумышленником правил, по которым формируются значения полинома, а также наличие в его распоряжении образца предлагаемого устройства не являются достаточными условиями реализации несанкционированного доступа к информации через среду распространения локальной вычислительной сети. Необходимым условием является синхронизация системного времени на нелегитимной станции и на сервере ЛВС. При попытке синхронизации нелегитимная станция может быть обнаружена специальными программными средствами

контроля, что позволит администратору безопасности принять адекватные организационные меры противодействия.

Указанное свойство позволяет сделать вывод о соответствии предлагаемого технического решения критерию "изобретательский уровень".

Принцип работы предлагаемого устройства поясняется графическими материалами, где на Фиг.1 показана блок-схема устройства.

На Фиг.1 обозначено:

1 - сетевой адаптер, в состав которого входят:

2 - регистр состояния сетевого кадра;

3 - буфер сетевого кадра;

4 - устройство контроля целостности и конфиденциальности сетевого кадра, включающее:

5 - блок анализа условий смены полинома;

6 - линия задержки;

7 - формирователь полинома;

8 - регистр полинома;

9 - дополнительный регистр полинома;

10 - селектор полинома;

11 - блок управления;

12 - блок расчета контрольной суммы, включающий:

13 - сдвиговый регистр накопления контрольной суммы;

14 - сдвиговый регистр данных;

15 - сумматор;

16 - схема сравнения.

Предлагаемое устройство имеет следующие функциональные связи. Устройство контроля целостности и конфиденциальности сетевого кадра 4 подключается навесным монтажом к сетевому адаптеру 1, в состав которого входят регистр состояния сетевого кадра 2 и буфер сетевого кадра 3.

Блок анализа условий смены полинома 5 через последовательно включенные формирователь полинома 7, регистр полинома 8, селектор полинома 10, сумматор 15, сдвиговый регистр накопления контрольной суммы 13, схему сравнения 16 и блок управления 11 соединен с селектором полинома 10, через линию задержки 6, регистр полинома 8 - с дополнительным регистром полинома 9, а через последний - с одним из входов селектора полинома 10. Выход блока управления 11 через последовательно включенный сдвиговый регистр данных 14, сдвиговый регистр накопления контрольной суммы 13 соединен со входом сумматора 15. Буфер сетевого кадра 3 сетевого адаптера 1 соединен со входами сдвигового регистра данных 14, блока управления 11, схемы сравнения 16. Один из выходов сдвигового регистра накопления контрольной суммы 13 соединен со входом буфера сетевого кадра 3 сетевого адаптера 1. Один из выходов блока управления 11 соединен со входом регистра состояния сетевого кадра 2 сетевого адаптера 1.

Устройство контроля целостности и конфиденциальности сетевого кадра 4 работает следующим образом.

Блок анализа условий смены полинома 5 осуществляет проверку выполнения условий смены полинома, определенных администратором безопасности и зависящих от состояния устройства. Блок анализа условий смены полинома 5 работает в двух режимах.

Первый режим работы блока анализа условий смены полинома 5 устанавливается автоматически при инициализации устройства. Длительность работы блока анализа условий смены полинома 5 в первом режиме задается в параметрах настройки устройства и может принимать значение от одной до тридцати минут. Конкретное значение устанавливается администратором безопасности при настройке устройства исходя из анализа времени, необходимого для загрузки операционных систем и синхронизации системного времени на рабочих станциях и сервере ЛВС.

В первом режиме работы блок анализа условий смены полинома 5 блокирует формирователь полинома 7, в результате чего регистр полинома 8 содержит константу 04C11DB7 _16cc, соответствующую стандартному для протоколов Ethernet полиному степени 32:

G(x)=х³²+х ²⁶+х²³+х²²+х ¹⁶+х¹²+х¹¹+х ¹⁰+х⁸+х⁷+х ⁵+х⁴+x²+x+1.

Второй режим работы блока анализа условий смены полинома 5 устанавливается автоматически по истечении времени, установленного для первого режима. Работа блока анализа условий смены полинома 5 во втором режиме осуществляется вплоть до отключения или инициализации устройства.

Во втором режиме работы блок анализа условий смены полинома 5 по истечении длительности интервала времени, заданного в параметрах устройства, и при условии, что устройство не занято расчетом контрольной суммы сетевого кадра, вырабатывает сигнал смены полинома. Величина указанного интервала времени выбирается администратором безопасности при настройке устройства и может принимать значения от одной до шестидесяти минут. В случае, если на момент завершения установленного интервала времени устройство занято расчетом контрольной суммы сетевого кадра, сигнал смены полинома вырабатывается после завершения текущей обработки кадра. С выхода блока анализа условий смены полинома 5 сигнал смены полинома поступает на вход формирователя полинома 7, на вход управления записью регистра полинома 8 и, через линию задержки 6, на вход управления записью дополнительного регистра полинома 9.

При поступлении сигнала смены полинома на вход управления записью дополнительного регистра 9 осуществляется копирование 32-разрядного значения регистра полинома 8 в 32-разрядный дополнительный регистр полинома 9.

При поступлении сигнала смены полинома на вход формирователя полинома 7 последний формирует 32-разрядную константу, являющуюся производной от значения текущего системного времени и новым значением

полинома. Сформированная константа по 32-разрядной выходной шине формирователя полинома 7 поступает на входы регистра полинома 8.

Запись нового значения полинома из формирователя полинома 7 в регистр полинома 8 осуществляется по сигналу смены полинома, поступающему с выхода блока анализа условий смены полинома 5 через линию задержки 6 на вход управления записью регистра полинома 8. Линия задержки 6 обеспечивает задержку, необходимую для формирования нового значения полинома формирователем полинома 7, а также для передачи старого значения полинома из регистра полинома 8 в дополнительный регистр полинома 9.

С выходов регистра полинома 8 и дополнительного регистра полинома 9 информация, соответствующая новому и старому значению полинома, поступает на входы селектора полинома 10. Управление коммутацией входов селектора полинома 10 с его выходом осуществляется узлом управления 11. По умолчанию, блок управления 11 определяет передачу на выход селектора полинома 10 информации со входа, принимающего новое значение полинома. Передача старого значения полинома на выход селектора полинома 10 задается узлом управления 11 только в том случае, когда последним зафиксировано несоответствие рассчитанного значения контрольной суммы для принятого из среды распространения ЛВС сетевого кадра, и процесс расчета контрольной суммы сетевого кадра выполняется вторично.

С выхода селектора полинома 10 полином по 32-разрядной шине поступает на первый вход сумматора 15 блока расчета контрольной суммы 12. На второй вход сумматора 15 поступают 32 младших разряда 33-разрядного сдвигового регистра накопления контрольной суммы 13.

Блок расчета контрольной суммы 12 обеспечивает расчет контрольный суммы сетевого кадра по алгоритму CRC-32 со значением полинома, получаемым из селектора полинома 10. Блок управления 11 обеспечивает синхронизацию всех узлов устройства и выработку сигналов управления и

тактирования для блока расчета контрольной суммы 12. Блок управления 11 перехватывает управление у сетевого адаптера 1 при приеме сетевого кадра из среды распространения ЛВС, а также при подготовке сетевого кадра к передаче в среду распространения.

Перед началом нулевого такта работы блока расчета контрольной суммы 12 блок управления 11 блокирует шину передачи сигнала смены полинома из блока анализа условий смены полинома 5 и инициирует обнуление сдвигового регистра накопления контрольной суммы 13 и 1514-байтного сдвигового регистра данных 14.

Сетевой кадр, предназначенный для передачи по среде распространения ЛВС, либо принятый из среды распространения ЛВС, размещается в буфере сетевого кадра 3 сетевого адаптера 1.

В нулевом такте работы блока расчета контрольной суммы 12 выполняется передача из буфера сетевого кадра 3 сетевого адаптера 1 в сдвиговый регистр данных 14 фрагмента сетевого кадра, включающего все поля, начиная с поля "Адрес назначения" (Destination Address) и заканчивая полем данных включительно. При этом заполнение сдвигового регистра данных 14 осуществляется со старших разрядов. В этом же такте в блок управления 11 передается значение поля длины сетевого кадра, которое используется для расчета числа последующих тактов расчета контрольной суммы. Для расчета контрольной суммы блок управления 11 устанавливает значение внутреннего счетчика тактов, равное величине, на 32 большей битового размера фрагмента сетевого кадра, скопированного из буфера сетевого кадра 3 сетевого адаптера 1 в сдвиговый регистр данных 14.

Каждый последующий такт работы блока расчета контрольной суммы 12 начинается с проверки узлом управления 11 значения старшего разряда сдвигового регистра накопления контрольной суммы 13.

В том случае, когда старший разряд сдвигового регистра накопления контрольной суммы 13 имеет нулевое значение, блок управления 11 инициирует сдвиг информации сдвигового регистра накопления контрольной

суммы 13 и сдвигового регистра данных 14 на один разряд влево. При этом старший разряд сдвигового регистра накопления контрольной суммы 13 теряется, старший разряд сдвигового регистра данных 14 переносится в младший разряд сдвигового регистра накопления контрольной суммы 13, младший разряд сдвигового регистра данных 14 заполняется нулем. На этом работа такта заканчивается.

В том случае, когда старший разряд сдвигового регистра накопления контрольной суммы 13 имеет единичное значение, блок управления 11 инициирует последовательное выполнение следующих операций: поразрядное сложение по модулю 2 в сумматоре 15, перенос 32-разрядного результата сложения в младшие разряды сдвигового регистра накопления контрольной суммы 13, сдвиг информации сдвигового регистра накопления контрольной суммы 13 и сдвигового регистра данных 14 на один разряд влево. При выполнении последней указанной операции старший разряд сдвигового регистра накопления контрольной суммы 13 теряется, старший разряд сдвигового регистра данных 14 переносится в младший разряд сдвигового регистра накопления контрольной суммы 13, младший разряд сдвигового регистра данных 14 заполняется нулем. На этом работа такта заканчивается.

После выполнения последнего такта контрольного суммирования в младших 32-х разрядах сдвигового регистра накопления контрольной суммы 13 находится контрольная сумма сетевого кадра.

После расчета контрольной суммы работа устройства зависит от того, принят ли сетевой кадр из среды распространения ЛВС, либо предназначен для передачи в среду распространения.

В том случае, когда сетевой кадр предназначен для передачи в среду распространения, блок управления 11 инициирует последовательное выполнение следующих операций: перенос младших 32 разрядов сдвигового регистра накопления контрольной суммы 13 в буфер сетевого кадра 3 сетевого адаптера 1 по месту размещения поля контрольной суммы сетевого

кадра (Frame Check Sequence); снятие блокировки с шины передачи сигнала смены полинома из блока анализа условий смены полинома 5; возврат управления сетевому адаптеру 1.

В том случае, когда сетевой кадр принят из среды распространения локальной вычислительной сети, блок управления 11 инициирует последовательное выполнение следующих операций: перенос младших 32-х разрядов сдвигового регистра накопления контрольной суммы 13 на первый вход схемы сравнения 16; перенос 32-х разрядов поля контрольной суммы (Frame Check Sequence) из буфера сетевого кадра 3 сетевого адаптера 1 на второй вход схемы сравнения 16; анализ результата сравнения. Если контрольные суммы идентичны, то блок управления 11 снимает блокировку с шины передачи сигнала смены полинома из блока анализа условий смены полинома 5 и возвращает управление сетевому адаптеру 1. Если контрольные суммы не совпадают, то блок управления 11 переключает выход селектора полинома 10 на значение полинома из дополнительного регистра полинома 9 и повторяет процедуру расчета контрольной суммы. Если при повторном расчете контрольные суммы также не совпадают, блок управления 11 передает на вход регистра состояния сетевого кадра 2 сетевого адаптера 1 признак сбойного приема кадра, снимает блокировку с шины передачи сигнала смены полинома из блока анализа условий смены полинома 5 и возвращает управления сетевому адаптеру 1.

Устройство контроля целостности и конфиденциальности сетевого кадра, подключаемое к сетевому адаптеру стандарта IEEE 802.3 (Ethernet), в состав которого входят буфер сетевого кадра и регистр состояния сетевого кадра, отличающееся тем, что в него дополнительно введены блок анализа условий смены полинома, линия задержки, формирователь полинома, регистр полинома, дополнительный регистр полинома, селектор полинома, блок управления, блок расчета контрольной суммы, состоящий из сдвигового регистра накопления контрольной суммы, сдвигового регистра данных, сумматора, схемы сравнения, причем выход блока анализа условий смены полинома последовательно через формирователь полинома, регистр полинома, селектор полинома, сумматор, сдвиговый регистр накопления контрольной суммы, схему сравнения соединен со входом блока управления, один из выходов последнего соединен со входом селектора полинома, второй вход которого через последовательно включенные линию задержки, регистр полинома, дополнительный регистр полинома соединен с выходом блока анализа условий смены полинома, а выход последнего соединен также со вторым входом дополнительного регистра, при этом второй выход блока управления через последовательно включенные сдвиговый регистр данных, сдвиговый регистр накопления контрольной суммы соединен со вторым входом сумматора, третий выход блока управления соединен со входом регистра состояния сетевого кадра сетевого адаптера, выходы буфера сетевого кадра сетевого адаптера соединены со входами сдвигового регистра данных, схемы сравнения и блока управления, а один из выходов сдвигового регистра накопления контрольной суммы соединен со входом буфера сетевого кадра сетевого адаптера.