Технічна специфікація X.800

Основний зміст цього стандарту трактує питання інформаційної безпеки розподілених систем, зокрема, специфічні мережеві функції (сервіси) безпеки, а також необхідні для їх реалізації захисні механізми.

Виділяються такі сервіси безпеки і виконувані ними ролі.

Автентифікація.Даний сервіс забезпечує перевірку достовірності партнерів по спілкуванню і перевірку достовірності джерела даних.Автентифікація партнерів використовується при встановленні з’єднання і періодично під час сеансу. Вона служить для запобігання таким загрозам, як маскарад і повторення попереднього сеансу зв’язку.

Управління доступом.Забезпечує захист від несанкціонованого використання ресурсів, доступних по мережі.

Конфіденційність даних.Забезпечує захист від несанкціонованого отримання інформації. Окремо виділяєтьсяконфіденційність трафіку(це захист інформації, яку можна одержати, аналізуючи мережеві потоки даних).

Цілісність даних поділяється на підвиди залежно від того, який тип спілкування використовують партнери – з встановленням з’єднання або без нього, чи захищаються всі дані або тільки окремі поля, чи забезпечується відновлення у разі порушення цілісності.

Безвідмовність(неможливість відмовитися від виконаних дій) забезпечує два види послуг: безвідмовність з підтвердженням достовірності джерела даних і безвідмовність з підтвердженням доставки.

Для реалізації сервісів (функцій) безпеки можуть використовуватися такі механізми та їх комбінації:

• шифрування;

• електронний цифровий підпис;

• механізми управління доступом. Можуть розташовуватися на будь-якій із сторін, що беруть участь у спілкуванні, або в проміжній точці;

• механізми контролю цілісності даних. Для перевірки цілісності потоку повідомлень (тобто для захисту від крадіжки, переупорядковування, дублювання і вставки повідомлень) використовуються порядкові номери, часові штампи, криптографічне скріплення або інші аналогічні прийоми;

• механізми автентифікації. Згідно з рекомендаціями X.800, автентифікація може досягатися за рахунок використання паролів, особистих карток або інших пристроїв аналогічного призначення, криптографічних методів, пристроїв вимірювання і аналізу біометричних характеристик;

• механізми доповнення трафіку;

• механізми управління маршрутизацією. Маршрути можуть вибиратися статично або динамічно. Вузлова система, зафіксувавши неодноразові атаки на певному маршруті, може відмовитися від його використання. На вибір маршруту здатна вплинути мітка безпеки, асоційована з даними;

• механізми нотарізаії. Служать для завірення таких комунікаційних характеристик, як цілісність, час, особи відправника і одержувача. Завірення забезпечується надійною третьою стороною. Звичайно нотарізація спирається на механізм електронного підпису.

Адміністрування засобів безпеки включає розповсюдження інформації, необхідної для роботи сервісів і механізмів безпеки, а також збирання і аналіз інформації про їх функціонування. Прикладами можуть служити розповсюдження криптографічнихключів, установка значень параметрів захисту, ведення реєстраційного журналу і т.п.

Концептуальною основою адміністрування є інформаційна база управління безпекою. Ця база може не існувати як єдине (розподілене) сховище, але кожна з вузлових систем повинна мати в своєму розпорядженні інформацію, необхідну для реалізації вибраної політики безпеки.

Згідно з рекомендаціями X.800, зусилля адміністратора засобів безпеки повинні розподілятися за трьома напрямами:

• адміністрування ІС в цілому. Воно полягає у забезпеченні політики безпеки, взаємодії з іншими адміністративними службами, реагуванні на події, в аудиті і безпечному відновленні;

• адміністрування сервісів безпеки. Дії адміністратора спрямовані на визначення об’єктів, що захищаються, та правил підбору механізмів безпеки, комбінування механізмів для реалізації сервісів, взаємодію з іншими адміністраторами для забезпечення узгодженої роботи;

• адміністрування механізмів безпеки. Дії за даним напрямом визначаються переліком задіяних механізмів.