Вопросы защищенности

Общая система защиты вашей WEB-системы может состоять из следующих подсистем:

• Подсистема защиты информации от несанкционированного доступа
• Подсистема защиты внутренней сети от несанкционированного доступа
• Подсистема защиты информации на стадии ее передачи от источника к пользователю и в обратную сторону

В зависимости от предполагаемой мощности всей системы защиты в целом вы можете использовать как всю совокупность подсистем, так и некоторые подсистемы в отдельности.

Подсистема защиты информации от несанкционированного доступа

К данной подсистеме относятся задачи общей идентификации и аутентификации пользователя, а также задачи разграничение доступа к различным участкам информации в зависимости от прав (или потребностей) пользователя.

• Общая задача идентификации пользователя сводится к выяснению, имеет ли пользователь право доступа к вашей информации (или вашей сети) в целом. как правило, для решения данной задачи используются средства операционной системы, которая функционирует на вашем предприятии. Пользователь имеет имя, пароль или другие признаки, определяющие, имеет ли он доступ к какому-либо разделу предоставляемой вами информации. Эти признаки проверяются средствами операционной системы непосредственно при первой попытке подключения пользователя к вашей сети. Например, при использовании Windows NT вы можете предоставлять пользователю имя и пароль, контролируемые операционной системой.
• Под аутентификацией пользователя понимают идентификацию пользователя по дополнительным (косвенным) признакам, например по IP адресу подсети пользователя или по электронной подписи. Данные признаки, как правило, отслеживаются специальными средствами, такими как брандмауэры (о них мы поговорим позже) или специальные компоненты WEB-серверов.
• Разграничение доступа к различным участкам информации, как правило, обеспечивается непосредственно WEB-серверами, которые имеют независимые от ОС или интегрированные с ОС системы идентификации пользователей и внутренние системы каталогизации информации, напоминающие структуры размещения информации самих ОС или незначительно отличающиеся от них.

Надо заметить, что если вы предполагаете использовать WEB-сервер для предоставления статической информации (заранее подготовленных и хранящихся в файлах документов), то решение всех задач по обеспечению разграничения доступа и идентификации пользователей ложится на средства операционной системы и WEB-сервера. Если же основной объем предоставляемой информации основывается на технологии динамической генерации HTML-страниц и использовании WEB-приложений, то проблема разграничения доступа к информации ложится непосредственно на WEB-приложения. В последнем случае умелое комбинирование средств операционной системы, WEB-серверов и WEB-приложений приводит к минимальным затратам на обеспечение описываемой в данном разделе подсистемы защиты и открывает широкое поле деятельности для самостоятельного совершенствования и доработки (в случае специфичных особенностей вашей информации) данной подсистемы.

Подсистема защиты внутренней сети от несанкционированного доступа

К данным подсистемам относятся так называемые "брандмауэры" или системы FireWall. Они являются надстройкой над TCP/IP и обеспечивают разрешение или запрещение прохождения IP-пакетов в сети. Пропуская все IP-пакеты, проходящие в сети, через себя, брандмауэры определяют адресата и владельца пакета, точку обращения, исходный порт, конечный порт, а также тип пакета, проверяют по внутренним журналам или базам пользователей права обоих участников данной транзакции и выносят решение о прохождении пакета от отправителя к адресату или о запрещении такового.

• Брандмауэры могут представлять собой как чисто программные, так и программно-аппаратные комплексы. В последнем случае снижается риск ошибок системы и повышается защищенность, но, с другой стороны, происходит удорожание данной подсистемы защиты и уменьшается ее гибкость.
• Системы типа FireWall обычно реализованы в виде отдельных задач, установленных на выделенные машины. Внешний интерфейс этих задач позволяет быстро настраивать их, задавая наборы правил, поддерживать защищенные формы доступа к администрированию, просматривать журналы событий и т.д.

Подсистема защиты информации на стадии ее передачи от источника к пользователю и в обратную сторону

К данной подсистеме относятся задачи обеспечивающие кодирование информации в источнике и раскодирование ее в приемнике, а также некоторые дополнительные функции по проверке прав на посылку информации из источника и получение ее адресатом.

Существует ряд стандартизированных протоколов обмена данными, таких как SSL (Secure Socket Layer) или SHTTP (Secure HTTP), обеспечивающих различные способы шифрования сообщений. В случае использования того или иного программного обеспечения WEB могут быть использованы различные протоколы обмена. Реализация защищенных протоколов зависит исключительно от фирмы-производителя ПО для WEB. Однако большинство современных WEB-средств поддерживают тот или иной защищенный протокол, а некоторые фирмы выпускают целые линии своих продуктов, поддерживающих различные уровни безопасности передачи данных.