Ssl/tls protokollari. Himoyalangan ulanishlar protokoli Secure Sockets Layer (ssl) Internet brauzerlarining xavfsizligi muammosini yechish uchun yaratilgan

O’zbekiston respublikasi axborot texnologiyalari va kommunikatsiyalarni rivojlantirish vazirligi
Muhammad al-xorazmiy nomidagi toshkent axborot texnologiyalari universiteti samarqand filiali


Telekommunikatsiya texnologiyalari va kasb ta’limi fakulteti

“Tarmoq xavfsizligi”

1-MUSTAQIL ISHI

Bajaruvchi: Turayev N
Tekshiruvchi: Rahmatullayev I

Samarqand 2023

Simsiz tarmoqlar xavfsizligi protokollari

SSL/TLS protokollari. Himoyalangan ulanishlar protokoli – Secure Sockets Layer (SSL) Internet brauzerlarining xavfsizligi muammosini yechish uchun yaratilgan. SSL taklif etgan birinchi brauzer – Netscape Navigator tijorat tranzaksiyalari uchun Internet tarmog‘ini xavfsiz qildi, natijada ma’lumotlarni uzatish uchun xavfsiz kanal paydo bo‘ldi. SSL protokoli shaffof, ya’ni ma’lumotlar tayinlangan joyga shifrlash va rasshifrovka qilish jarayonida o‘zgarmasdan keladi. Shu sababli, SSL ko‘pgina ilovalar uchun ishlatilishi mumkin.

SSL o‘zidan keyingi TLS (Transport Layer Security - transport sathi himoyasi protokoli) bilan Internetda keng tarqalgan xavfsizlik protokolidir. Netscape kompaniyasi tomonidan 1994 yili tatbiq etilgan SSL/TLS hozirda har bir brauzerga va elektron pochtaning ko‘pgina dasturlariga o‘rnatiladi. SSL/TLS xavfsizlikning boshqa protokollari, masalan, Private Communication Technology (PCT – xususiy kommunikatsiya texnologiyasi), Secure Transport Layer Protocol (STLP-xavfsiz sathning transport protokoli) va Wireless Transport Layer Security (WTLS – simsiz muhitda transport sathini himoyalash protokoli) uchun asos vazifasini o‘tadi.
SSL/TLSning asosiy vazifasi tarmoq trafigini yoki gipermatnni uzatish protokoli HTTPni himoyalashdir. SSL/TLS aloqa jarayonining asosida yotadi. Oddiy HTTP-kommunikatsiyalarda TCP-ulanish o‘rnatiladi, xujjat xususida so‘rov yuboriladi, so‘ngra xujjatning o‘zi yuboriladi.
SSL/TLS ulanishlarni autentifikatsiyalash va shifrlash uchun ishlatiladi. Bu jarayonlarda simmetrik va asimmetrik algoritmlarga asoslangan turli texnologiyalar kombinatsiyalari ishtirok etadi. SSL/TLSda mijozni va serverni identifikatsiyalash mavjud, ammo aksariyat hollarda server autentifikatsiyalanadi.
SSL/TLS turli tarmoq kommunikatsiyalar xavfsizligini ta’minlashi mumkin. Protokolning juda keng tarqalishi elektron pochta, yangiliklar, Telnet va FTP (File Transfer Protocol – fayllarni uzatish protokoli) kabi mashxur TCP-kommunikatsiyalar bilan bog‘liq. Aksariyat hollarda SSL/TLS yordamida kommunikatsiya uchun alohida portlar ishlatiladi.
SSH protokoli. Secure Shell protokoli, SSL/TLSkabi kommunikatsiyalarni himoyalash uchun 1995 yili yaratilgan. ¡zining moslanuvchanligi va ishlatilishining soddaligi tufayli SSH ommaviy xavfsizlik protokoliga aylandi va hozirda aksariyat operatsion tizimlarda standart ilova hisoblanadi.
SSHda aloqa seansi jarayonida ma’lumotlarni uzatish uchun simmetrik kalitdan foydalaniladi. Serverni, ham mijozni autentifikatsiyalash uchun SSHni osongina qayta konfiguratsiyalash mumkin.
Ko‘pincha SSH tarmoq xostlarini boshqarishda ishlatiladigan, ko‘p tarmqalgan ilova – telnet ni almashtirish uchun ishlatiladi.
Ba’zida ishlab chiqaruvchilar SSHni telnet yoki FTPni almashtiruvchi sifatida madadlamaydilar. Bunday hollarda SSHni telnet, FTP, POP (Post Office Protocol - pochta xabarlari protokoli) yoki hatto HTTP kabi xavfsiz bo‘lmagan ilovalar xavfsizligini ta’minlash uchun ishlatish mumkin

Xavfsiz bo‘lmagan tarmoqdan SSH serverga va aksincha hech qanday trafik o‘tkazilmaydi. SSH-serverning SSH dan terminal foydalanishidan tashqari, portning qayta yo‘naltirilishi elektron pochta trafigini SSH-serverga xavfsiz tarmoq bo‘yicha uzatilishini ta’minlashi mumkin. So‘ngra SSH-server paketlarni elektron pochta serveriga qayta yo‘naltiradi. Elektron pochta serveriga trafik SSH-serverdan kelganidek tuyuladi va paketlar SSH-serverga, foydalanuvchiga tunnellash uchun yuboriladi.

WLTS protokoli. SSL/TLSga asoslangan WLTS protokoli WAP (Wireless Application Protocol – simsiz ilovalar protokoli) qurilmalarida, masalan, uyali telefonlarda va cho‘ntak kompyuterlarida ishlatiladi. SSL va WLTS bir-biridan transport sathi bilan farqlanadi. SSL yo‘qolgan paketlarni qayta uzatishda yoki nostandart paketlarni uzatishda TCP ishiga ishonadi. WLTSdan foydalanuvchi WAP qurilmalari o‘z funksiyalarini bajarishida TCPni qo‘llay olmaydilar, chunki faqat UDP (user Datagram Protocol) bo‘yicha ishlaydilar. UDP protokoli esa ulanishga mo‘ljallanmagan, shu sababli bu funksiyalar WLTSga kiritilishi lozim.
"Qo‘l berib ko‘rishish" jarayonida quyidagi uchta sinf faollashishi mumkin:
- WLTS – 1-sinf. Sertifikatsiz;
- WLTS – 2-sinf. Sertifkatlar serverda;
- WLTS – 3-sinf. Sertifkatlar serverda va mijozda.
1-sinfda autentifikatsiyalash bajarilmaydi, protokol esa shifrlangan kanalni tashkil etishda ishlatiladi. 2-sinfda mijoz (odatda foydalanuvchi terminal) serverni autentifikatsiyalaydi, aksariyat hollarda sertifikatlar terminalning dasturiy ta’minotiga kiritiladi. 3-sinfda mijoz va server autentifikatsiyalanadi.
802.1x protokoli. Bu protokolning asosiy vazifasi - autentifikatsiyalashdir; ba’zi hollarda protokoldan shifrlovchi kalitlarni o‘rnatishda foydalanish mumkin. Ulanish o‘rnatilganidan so‘ng undan faqat 802.1x. trafigi o‘tadi, ya’ni DHCP (Dynamic Host Configuration Protocol - xostlarni dinamik konfiguratsiyalash protokoli), IP va h. kabi protokollarga ruxsat berilmaydi. Extensible Authentification Protocol (EAP) (RFC 2284) foydalanuvchilarni autentifikatsiyalashda ishlatiladi. Boshlanishida EAP "nuqta-nuqta" (PPP, Point-to-Point Protocol) prtokoli yordamida autentifikatsiyalashning ba’zi muammolarini hal etish uchun ishlab chiqilgan edi, ammo uning asosiy vazifasi simsiz aloqa muammolarini hal etishga qaratilishi lozim. EAPning autentifkatsiyalash paketlari foydalanuvchi ma’lumotlarini kiritgan foydalanish nuqtasiga yuboriladi; aksariyat hollarda bu ma’lumotlar foydalanuvchi ismi (login) va paroldan iborat bo‘ladi. Foydalanish nuqtasi tarmoq yaratuvchisi tanlagan vositalarning biri bilan foydalanuvchini identifikatsiyalashi mumkin. Foydalanuvchi identifikatsiyalanganidan va shifrlash uchun kanal o‘rnatilganidan so‘ng aloqa mumkin bo‘ladi va DHCP kabi protokollarning o‘tishiga ruxsat beriladi

IPSec protokoli. Protokollar stekida IPSec protokoli SSL/TLS, SSH yoki WLTS protokollaridan pastda joylashgan. Xavfsizlikni ta’minlash IP-sathida va Internet-modelda amalga oshiriladi. IPSec ni tatbiq qilish usullaridan ko‘p tarqalgani tunnellash bo‘lib, u bitta sessiyada IP-trafikni shifrlash va autentifikatsiyalash imkonini beradi. IPSec hozirda Internetda ishlatiluvchi aksariyat virtual xususiy tarmoqlardagi (VPN-Virtual Private Network) asosiy texnologiya hisoblanadi. IPSecning moslashuvchanligi va ilovalar tanlanishining kengligi sababli, ko‘pchilik aynan bu sxemadan simsiz ilovalar xavfsizligini ta’minlashda foydalanadi.

IPSecni ilovalarga asoslangan qo‘llanishining juda ko‘p imkoniyatlari mavjud. Xavfsiz kommunikatsiyalar uchun IPSecning qo‘llanishi ko‘pincha Internet orqali masofadan foydalanish virtual xususiy tarmog‘i VPN bilan bog‘liq. Qachonki umumfoydalanuvchi tarmoq xususiy tarmoq funksiyalarini amalga oshirish uchun ishlatilsa, uni VPN deb atash mumkin. Bunday ta’rifga ATM (Asynchronous Transfer Mode - uzatishning asinxron usuli), Frame Relay va X.25 kabi tarmoq texnologiyalari ham tushadi, ammo aksariyat odamlar Internet bo‘yicha shifrlangan kanalni tashkil etish xususida gap ketganida VPNatamasini ishlatishadi. Korporativ tarmoq perimetri bo‘yicha quyida ko‘rsatilganidek shlyuzlar o‘rnatiladi va IPSec-tunnel orqali shlyuzdan masofadan foydalanish amalga oshiriladi.

Simsiz qurilmalar xavfsizligi muammolari

Simsiz qurilmalarni to‘rtta kategoriyaga ajratish mumkin: noutbuklar, cho‘ntak kompyuterlari (PDA), simsiz infrastruktura (ko‘priklar, foydalanish nuqtalari va h.) va uyali telefonlar.

Noutbuklar – korporativ simsiz tarmoqlarda va SOHO (Small Office Home Office – kichik va uy ofislari) tarmoqlarida keng tarqalgan qurilma.
Fizik xavfsizlik noutbuklar uchun jiddiy muammo hisoblanadi. Bunday kompyuterlarni xarid qilishdagi parametrlardan biri-uning o‘lchami. Noutbuk qanchalik kichkina bo‘lsa, u shunchalik qimmat turadi. Boshqa tarafdan, noutbuk qanchalik kichkina bo‘lsa, uni o‘g‘irlash shunchalik osonlashadi. Shifrlash kalitlarining, masalan, WEP-kalitlar (Wired Equivalent Privacy), dasturiy kalitlar, parollar yoki shaxsiy kalitlarning (PGP, Pretty Good Privace kabilar) yo‘qotilishi katta muammo hisoblanadi va uni ilovalar yaratilishi bosqichidayoq hisobga olish zarur. Niyati buzuq odam noutbukni o‘z ixtiyoriga olganidan so‘ng aksariyat xavfsizlik mexanizmlari buzilishi mumkin.
Noutbuklarning mobilliligi ularning korporativ tarmoqlararo ekranlar (brandmauerlar) bilan himoyalanmagan boshqa tarmoqlar bilan ulanish ehtimolligini oshiradi. Bu Internet-ulanishlar, foydalanuvchi tarmoqlar, asbob-uskuna ishlab chiqaruvchilarining tarmog‘i yoki raqiblar ham joylanuvchi mehmonxona yoki ko‘rgazmalardagi umumfoydalanuvchi tarmoqlar bo‘lishi mumkin. Bunday hollarda mobil kompyuterlarning axborot xavfsizligi xususida jiddiy o‘ylanish lozim.
Noutbuklarning fizik saqlanishlarini ta’minlash usullaridan biri-xavfsizlik kabelidan foydalanish. Ushbu kabel noutbukni stolga yoki boshqa yirik predmetga "boylab" qo‘yishga mo‘ljallangan. Albatta, bu yuz foizlik kafolatni bermaydi, ammo har xolda o‘g‘rining anchagina kuch sarf qilishiga to‘g‘ri keladi.
Noutbuklarning tez-tez o‘g‘irlanishi sababli, axborotni arxivlashning xavfsizlikni ta’minlashga nisbatan muhimligi kam emas. Shifrlash dasturlari fayllar xavfsizligini ta’minlashda yoki qattiq disklarda shifrlangan ma’lumotlar xajmini yaratishda ishlatiladi. Bu ma’lumotlarni rasshifrovka qilish uchun, odatda, parolni kiritish yoki shaxsiy kalitlarni ishlatish talab etiladi. Barcha axborotlarni shifrlangan fayllarda yoki arxivlarda saqlanishi kerakli fayllar naborini arxiv uchun nusxalashni yengillashtiradi, chunki ular endi ma’lum joyda joylashgan bo‘ladi.
O‘g‘rilar uchun noutbuklar "birinchi nomerli nishon" ekanligini foydalanuvchilar tushunib yetishlari va ularni qarovsiz qoldirmasliklari zarur. Hatto ofislarda noutbukni kechaga qoldirish mumkin emas, chunki ofisga ko‘p kishilar (kompaniya xodimlari, farroshlar, mijozlar) tashrif buyuradilar.
Axborotning chiqib ketishi noutbuk egasining ko‘p odamlar to‘plangan joylarda ham sodir bo‘lishi mumkin. Samolet – kompaniya menedjerlari foydalanadigan odatdagi transport vositasidir. Samoletda qo‘shni kreslodagi yo‘lovchi noutbuk egasining yelkasi ustidan muhim axborotni o‘qib olishi mumkin. Hatto "uy sharoitidagi" noutbuklar ham himoyalanishi zarur. Bu holda kompyuterning himoyasi server himoyasidan farqlanmaydi. Juda ham zarur bo‘lmagan servislarning o‘chirilishi qurilma ishlashini yaxshilaydi.
O‘zining dasturiy ta’minotini noutbukka o‘rnatgan niyati buzuq odam xavfsizlikning barcha mexanizmlarini chetlab o‘tish imkoniyatiga ega bo‘ladi. Kompyuterni o‘z ixtiyoriga olgan o‘g‘ri unga o‘zining dasturini o‘rnatganida uni tuxtatib bo‘lmaydi. BIOSda (Basic Input/Output System-kiritish/chiqarishning bazaviy tizimi) va qattiq diskda o‘rnatilgan parollar o‘g‘rilangan noutbukdan foydalanishga to‘sqinlik qilishi mumkin.
Ushbu barcha vositalar, afsuski, tajribali xaker uchun to‘siq bo‘laolmaydi.
Cho‘ntak kompyuterlari. PDA(Personal Digital Assistans – "shaxsiy raqamli yordamchilar")ning ko‘pgina xillaridan simsiz ilovalar bilan ishlashda foydalaniladi. Maxsus qurilgan PDAlarda tibbiyot, sanoat yoki aviatsiya ilovalari ishga tushiriladi. Cho‘ntak kompyuterlari ham mavjud bo‘lib, ularda simsiz aloqa uchun o‘rnatilgan kartochka, shtrix kodlarning skaneri, xizmat muddati uzoq bo‘lgan batareyalar yoki magnit hoshiyali kartalarni o‘quvchi qurilma kabi qo‘shimcha qurilmalar bilan birgalikda Palm OS yoki Windows SE operatsion tizim o‘rnatilgan. Bunday kompyuterlardan foydalanish uchun maxsus texnik tayyorgarlik talab etilmaydi. Shunga o‘xshash qurilmalarni yoki ilovalarni himoyalash ayniqsa murakkab masala hisoblanadi.
PDAdan foydalanishga xohish bildirgan xujumlovchi uchun undagi axborot kiritish mexanizmlarining barchasi nishon hisoblanadi. Undan tashqari, aksariyat cho‘ntak kompyuterlari shunday ishlab chiqilganki, ularni ishlab chiquvchilari uchun ilovalardagi xatoliklarni osongina aniqlash yo‘llari ta’minlangan. Xatoliklarni aniqlashda ishlatiluvchi interfeyslar niyati buzuq odamlar uchun haqiqiy "teshik" xizmatini o‘tashi mumkin.
Cho‘ntak kompyuteri ishlaydigan axborotni himoyalash uchun axborotni cho‘ntak kompyuterida emas, balki ma’lumotlarning xavfsiz rezerv bazasida saqlash lozim. Yana bir variant – JAVA tili ilovasidan yoki foydalanuvchi uchun maxsus yaratilgan ilovalardan foydalanish. Bu holda axborot qurilmada saqlanmaydi, ammo, PDAning displeyida akslantiriladi. Boshqacha aytganda, simsiz ilovalardan faqat simsiz tarmoqdan foydalanish mavjud bo‘lgan joylarda foydalanish mumkin.
Aksariyat PDAlarda parol yordamida blokirovka va razblokirovka qilish imkoniyati mavjud. Bu usullarga butunlay ishonmaslik lozim, ammo ular niyati buzuq odamlarni vaqtincha tuxtatib turishi mumkin. Undan tashqari PDAni blokirovka qilish tizimi qurilmadagi ilovalardan yoki axborotdan niyati buzuq odamlarning foydalanishni qiyinlashtiradi. PDAning zarur bo‘lmagan barcha funksiyalarini o‘chirib quyish lozim, chunki har bir o‘chirilgan kiritish mexanizmi bo‘lishi mumkin bo‘lgan xujumlar sonini kamaytiradi.
Cho‘ntak kompyuterida muhim axborotni saqlash uchun shifrlashni qo‘llash va unga qo‘shimcha sifatida manbani ulash va ekranni blokirovka qilish uchun parollar o‘rnatish tavsiya etiladi.
Simsiz infrastruktura. Simsiz infrastruktura qurilmalari odatda odamlar yig‘ilgan yerda joylashtiriladi. Ularga kafelar, aeroportlar, korporativ tadbirlarni o‘tkazish joylari va h. kiradi. Turli xil odamlar EAP(Extensible Authentification Protocol – autentifkatsiyalashning kengaytiriluvchi protokoli) yoki WEP kabi xavfsizlik vositalarini ishdan chiqarish yoki tarmoqqa suqilib kirish uchun tarmoq konfiguratsiyasi xususidagi axborotni qo‘lga kiritish maqsadida ushbu komponentlardan foydalanishni xoxlashlari mumkin.
Simsiz infrastruktura qurilmalarida tarmoqni boshqarish funksiyalarining xavfsizligini ta’minlash uchun ulardan foydalanishda SSH, SSL (Secure Sockets Layer) yoki SNMP3 (Simple Network Management Protocol 3 – tarmoqni oddiy boshqarish protokoli, 3-versiya) kabi xavfsiz protokollardan foydalanish lozim. Undan tashqari telnet, HTTP dagi to‘g‘ri matn, va SNMP (birinchi versiya) kabi xavfsizlik yetarli darajasini madadlamaydigan protokollar o‘chirilishi lozim. Xavfsiz boshqarishni ta’minlash iloji bo‘lmasa, foydalanishning ba’zi bir nuqtalarini ketma-ket portlar orqali boshqarish mantiqan to‘g‘ri hisoblanadi. Foydalanish nuqtalarini yuqoriga qo‘l yetmaydigan joyga mahkamlab qo‘yish ham ularni o‘g‘irlanishdan saqlaydi.
Uyali telefonlar. Uyali telefonlar uchun xavfsizlik muloxazalari noutbuk va PDAlarga nisbatan keltirilgan mulohazalarga o‘xshash. Qurilmalarning o‘zi va mos dasturiy ta’minot uchun xavfsizlik muammosi ham hech nimasi bilan farq qilmaydi.
Uyali telefonlar ham boshqa simsiz qurilmalarga bo‘ladigan xujumlarga duchor bo‘ladilar. Odatda buferning to‘lib-toshishi, qator formatiga xujumlash, grammatik xatoliklar ishlatiladi, natijada xujumlovchi o‘g‘irlangan qurilmada o‘zining dasturini ishga tushirishga erishadi. Misol sifatida SMSning qisqa xabarlarini ko‘rsatish mumkin. O‘zining telefoni orqali SMS jo‘natgan foydalanuvchiga xujumga duchor bo‘lishi xavfi tug‘iladi. Bu xujum natijasida xizmat qilish to‘xtatiladi yoki foydalanuvchi terminalida begonaning komandalari bajariladi.
Undan tashqari SIM-kartalarni (Subscriber Idenity Module – abonent identifkatsiyasi moduli) ishlab chiqaruvchilari qurilmalariga uyali telefonga simsiz interfeys orqali yuklanilishi ruxsat etiladigan qo‘shimcha funksiyalarni kirita boshladilar. Misol tariqasida Sim Toolkit va MEXEni ko‘rsatish mumkin. Zararli ilovalarni boshqa foydalanuvchiga uzatishni oldini oluvchi usullar tashqi xujumlarga duchor bo‘ladi. Bunday ilovalarning mohiyati shundaki u niyati buzuq odamga foydanuvchining adres kitobini yoki telefondagi butun SMS ro‘yxatini uzatishi mumkin. Ba’zi yechimlar DES standarti asosida ishlaydi, ammo xuddi shunday DES-kalitlar har bir SIM-kartalar uchun ishlatiladi.
Terminallar uchun parol yoki PIN-kodlarni ishlatish tavsiya etiladi. GSM(Global System for Mobile Communications – mobil kommunikatsiyalarning global tizimi) tarmoqlarida ishlovchi telefonlar xavfsizligini ta’minlashda SIM PIN kerak bo‘ladi. Bu funksiyadan maksimal foydalanish uchun barcha bo‘lishi mumkin bo‘lgan PINlardan foydalanish hamda IMEI (International Mobile Equipment Identity – mobil qurilmaning harqaro nomeri)ning ishonchli joyda yozilishi tavsiya etiladi.
Muhim axborotni uzatish uchun terminaldan foydalanishida axborotni albatta shifrlash zarur. Kredit kartochkalar nomerlarini yoki boshqa shaxsiy axborotni uzatish uchun albatta SSL-himoyali WTLS-ulanish xizmatidan foydalanish zarur. Undan tashqari GSM ichidagi algoritmlarga bo‘ladigan aksariyat xujumlar niyati buzuq odamga foydalanuvchining telefon nomerini o‘ylab chiqarishga (klonirovka) imkon beradi. Bu xujumlar odatda telefon mavjudligini talab qiladi, shu sababli telefonni xavfsiz joyda saqlash, yo‘qotilgan yoki o‘g‘irlangan holda tezlik bilan operatorga xabar berish lozim.