69. Сервис Директории и Служб Имен

В настоящее время все больше исследований проводится для решения проблем, связанных с безопасностью при обеспечении надежного механизма для распределения общих ключей. Большая часть этой работы выполняется в области сервиса имени домена и сервиса директорий. Далее рассматриваются разработки протоколов LDAP и DNSSEC.

LDAP

Lightweight Directory Access Protocol (LDAP) – это протокол для обращения к сервису директорий в режиме реального времени. Протокол LDAP был разработан Университетом шт. Мичиган в 1995 г. для обеспечения более легкого доступа к директориям Х.500. Протокол Х.500 был слишком сложным и требовал слишком много ресурсов компьютера для многих потребителей, поэтому и был разработан упрощенный вариант. Протокол LDAP особо ориентирован на приложения управления и просмотра, которые обеспечивают интерактивный доступ к директориям в режиме чтение/запись.

При совместном использовании с директорией, поддерживающей протоколы Х.500, данный протокол предполагается применять в качестве дополнения к протоколу доступа к директории Х.500 Directory Access Protocol (DAP). RFC 1777 – это версия 2 протокола LDAP. В настоящее время ведется работа над версией 3, которая будет являться базовой для сети интернет. Протокол LDAP использует непосредственно протокол TCP и может быть использован для обращения как к автономному сервису директории LDAP, так и для обращения к сервису директории, которая заканчивается директорией Х.500. Данный стандарт определяет:

• сетевой протокол для получения доступа к информации в директории;

• информационную модель, которая определяет форму и характер информации;

• пространство имен, которое устанавливает, как информация снабжена ссылками и организована;

• распределенную модель функционирования, которая устанавливает, как данные могут быть распределены и снабжены ссылками (в версии 3).

Общая модель, принятая в LDAP, – это один из клиентов, выполняющий протокольные операции с серверами. В этой модели клиент передает запрос протокола, описывающий серверу операцию, которую необходимо выполнить. Этот сервер становится ответственным за проведение необходимых операций в директории. По завершении операций сервер посылает ответ, содержащий какие-либо результаты или ошибки.

В версиях 1 и 2 протокола LDAP не был предусмотрен возврат ссылок сервером клиенту. Если сервер LDAP не знает ответа на запрос, он скорее обратится к другому серверу за информацией, чем пошлет клиенту сообщение о необходимости перейти к данному другому серверу. Однако, для улучшения функционирования и распределения эта версия протокола позволяет серверам возвращать клиентам ссылки на другие серверы. Такая установка позволяет серверам отбросить работу по установлению контактов с другими серверами для ускорения выполняемых операций. Протокол LDAP оперирует на допущении того, что существуют один или более серверов, которые совместно обеспечивают доступ к информационному дереву директории DIT. Это дерево составлено из входов, которые имеют имена: одно или более атрибутивное значение входа формирует его соответствующее отличительное имя RDN, которое должно быть уникальным среди других таких же входов. Соединение имен RDN в последовательности входов от конкретного входа к непосредственному подуровню корня дерева формирует это отличительное имя, которое является уникальным в дереве. Некоторые серверы могут содержать кэш-память или теневые копии входов, которые могут быть использованы для ответа на поисковый запрос, сравнительные запросы, но будут возвращать ссылки или взаимодействовать с другими серверами, если поступил запрос на операции по модификации. Протокол LDAP устанавливает следующие операции:

• Связывающая операция инициирует протокольный сеанс между клиентом и сервером и обеспечивает аутентификацию клиента для сервера. Связывающая операция должна быть первым оперативным запросом, полученным сервером от клиента в протокольном сеансе в версиях 1 и 2, однако данное ограничение было отменено в версии 3.

• Операция по прекращению связи завершает протокольный сеанс. 

• Поисковая операция позволяет клиенту сделать запрос на выполнение сервером поиска от его имени.

• Операция по модификации позволяет клиенту сделать запрос на выполнение модификации информационной базы директории сервером от его имени.

• Операция по дополнению позволяет клиенту сделать запрос на введение дополнительного входа в директории.

• Операция по удалению позволяет клиенту запросить удаление какого-либо входа из директории.

• Операция по модификации имени RDN позволяет клиенту изменить последний компонент имени входа в директории.

• Операция по сравнению позволяет клиенту сравнивать утверждение, обеспечиваемое входом директории.

• Операция на завершение позволяет клиенту запросить сервер отставить невыполненную операцию.

• Расширенная операция является новой в версии 3, она введена для обеспечения определения дополнительных операций для тех видов сервиса, которые недоступны где-либо еще в протоколе; например, отмеченные цифровым способом операции и результаты.

Примечание. Связывающая операция протокола LDAP в версии 2 позволяет лишь простую аутентификацию, состоящую из пароля открытого (незашифрованного текста), и аутентификацию Kerberos версии 4. В версии 3 допущен любой механизм SASL уровня безопасности и простой аутентификации. SASL позволяет обращаться к сервису обеспечения целостности и секретности. Также допускается возврат аутентификационных данных сервером клиенту, если сервер изберет именно этот путь.

DNSSEC

Система имени домена DNS стала важной действующей частью инфраструктуры сети интернет. И все же она еще не имеет сильного механизма защиты для обеспечения целостности данных или аутентификации. Расширения к DSN обеспечивают эти виды сервиса для устройств с функциями защиты или для приложений за счет использования криптографических цифровых подписей. Эти цифровые подписи включены в защищенные зоны в виде ресурсных записей. Во многих случаях защита все еще может быть обеспечена даже через DNS серверы, в которых функции защиты не предусмотрены. Эти расширения также предусматривают хранение аутентифицированных общих ключей в DSN. Такое хранение ключей может поддерживать общий сервис распределения общих ключей так же, как и безопасность DNS. Хранящиеся ключи позволяют устройствам с функциями защиты запомнить аутентифицирующий ключ зон в дополнение к тем зонам, к которым они изначально настроены. Ключи, связанные с именами DNS, могут быть запрошены для поддержки других протоколов. Предусмотрено применение целого ряда алгоритмов и типов ключей. Расширения защиты предусматривают дополнительную аутентификацию транзакций протокола DSN.