СИСТЕМА ЗАЩИТЫ ПАКЕТОВ ДАННЫХ В ПРОЦЕССЕ ИХ ПЕРЕДАЧИ В ВЫДЕЛЕННОМ ЗАЩИЩАЕМОМ ФРАГМЕНТЕ СЕТИ ПЕРЕДАЧИ ДАННЫХ ОБЩЕГО ПОЛЬЗОВАНИЯ С КОММУТАЦИЕЙ ПАКЕТОВ, РЕАЛИЗУЮЩЕЙ ИНТЕРНЕТ-ПРОТОКОЛ, ОТ НЕСАНКЦИОНИРОВАННЫХ ВОЗДЕЙСТВИЙ

Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов, реализующей Интернетпротокол, от несанкционированных воздействий.
Предлагаемая полезная модель относится к вычислительной технике, в частности к системам обеспечения безопасности процесса передачи данных в сетях передачи данных общего пользования с коммутацией пакетов, реализующих Интернет-протокол (протокол IP).
Известны сети передачи данных общего пользования с коммутацией пакетов реализующие протокол IP, соединяющие пользователей информационных систем с помощью аппаратнопрограммных средств связи, которые обеспечивают определенную защиту передаваемых данных от модификации вследствие случайных помех, но не обеспечивают защиту от преднамеренных несанкционированных воздействий В.Г. Олифер, Н.А. Олифер. Компьютерные сети. Принципы, технологии, протоколы. СанктПетербург, изд. Питер, 1999г. стр.383-406, 530-539.
Наиболее близкой к предлагаемому техническому решению является сеть передачи данных общего пользования с коммутацией пакетов, реализующая протокол IP и содержащая линии связи пользователей, маршрутизаторы, центр управления сетью и линии связи их связывающие. В.Г. Олифер, Н.А. Олифер. Компьютерные сети. Принципы, технологии, протоколы. Санкт-Петербург, изд. Питер, 1999г. стр. 524, прототип.
Недостатком этой сети связи является отсутствие механизмов защиты передаваемых пакетов данных пользователей от случайных и преднамеренных искажений вследствие несанкционированных
МКИООбР 15/16
воздействий в процессе передачи пакетов данных по сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP, и защиты информационной сферы сети передачи данных общего пользования с коммутацяеи пакетов от удаленных несанкционированных воздействий информационным оружием.
Предлагаемая полезная модель решает техническую задачу обеспечения достоверности передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол ЕР, и защиты информационной сферы выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP, от удаленных несанкционированных воздействий.
Поставленная техническая задача решается тем, что система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP, от несанкционированных воздействий, включающая линии связи пользователей, выделенный защищаемый фрагмент сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP, содержащий марщрутизаторы, центр управления сетью и линии связи, их связывающие, дополнительно содержит центр управления безопасностью, включенный в центр управления сетью, и связанные с ним абонентские серверы безопасности, установленные либо на выходе терминала пользователя в начале линии связи пользователя, связывающей абонентский сервер безопасности с портом марщрутизатора выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, либо на входе в порт марщрутизатора в конце линии связи пользователя.
связывающей абонентский сервер безопасности с терминалом пользователя, при этом каждый абонентский сервер безопасности содержит блок приема и выделения на сетевом уровне из принятого пакета данных содержимого поля данных, блок получения из центра управления безопасностью и хранения ключей шифрования для каждой пары взаимодействующих абонентских серверов безопасности, блок шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блок добавления имитационной вставки к зашифрованному пакету данных, блок коррекции заголовка пакета данных и формирования преобразованного пакета данных, блок передачи преобразованного пакета данных, блок приема и выделения на сетевом уровне преобразованного пакета данных, блок расшифрования принятого преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блок выдачи расшифрованного пакета данных пользователю, блок регистрации входящих пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок формирования и передачи сообщения о принятом пакете с неправильным значением имитационной вставки в центр управления безопасностью, который содержит блок формирования и распределения по абонентским серверам безопасности ключей шифрования, блок приема сообщений о пакетах данных, принятых с неправильным значением имитационной вставки, блок принятия рещений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок взаимодействия с центром управления сетью передачи данных общего пользования с коммутацией пакетов, при этом абонентский
сервер безопасности, установленный в начале линии связи пользователя, связывающей абонентский сервер безопасности с маршрутизатором выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, с одной стороны связан с терминалом пользователя, а с другой стороны связан с линией связи пользователя, а абонентский сервер безопасности, установленный в конце линии связи пользователя, связывающей его с терминалом пользователя, связан с одной стороны с этой линией связи пользователя, а с другой стороны с портом доступа марщрутизатора выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP.
Такое выполнение системы защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов, реализующей протокол IP, от несанкционированных воздействий позволяет решить поставленнзто техническую задачу за счет дополнительно введенных в систему защиты пакетов данных, передаваемых в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, центра управления безопасностью и взаимодействующих с ним абонентских серверов безопасности, вьшолняюцщх функции защиты пакетов данных  изменения функций, выполняемых основными компонентами сети передачи данных общего пользования с коммутацией пакетов. При передаче в маршрутизатор выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов каждого пакета данных абонентским сервером безопасности передающего пользователя щифруется неизменяемая в процессе
передачи часть пакета данных и по данным, содержащимся в поле данных принятого пакета данных, формируется имитационная вставка в соответствии с используемым алгоритмом шифрования, например, по ГОСТ 28147-89, и ключом шифрования, выбранным для данной пары взаимодействующих абонентских серверов безопасности, т.е. к передаваемому в центр коммутации пакетов выделенного защищаемого фрагмента сети передачи данных пакету данных длины k двоичных символов добавляется сформированная имитационная вставка длины m двоичных символов и корректируется заголовок пакета данных, в результате чего образуется преобразованный пакет данных длины  двоичных символов. В абонентском сервере безопасности принимающего пользователя на сетевом уровне в соответствии с алгоритмом расщифрования, например, по ГОСТ 28147-89, происходит расшифрование принятого из маршрутизатора преобразованного пакета данных и проверка правильности значения имитационной вставки, содержащейся в принятом преобразованном пакете данных, и выдача в случае правильного значения имитационной вставки расшифрованного пакета данных пользователю; при неправильном значении имитационной вставки принятый преобразованный пакет данных стирается. Принятые на сетевом уровне пакеты данных регистрируются с отметкой не прошедших контроль правильности значения имитационной вставки пакетов данных, формируется сообщение о не прощедшем проверку пакете данных, которое передается в центр управления безопасностью, при этом передаваемое сообщение защищается выбранным протоколом защиты от его ненриема. Распределение ключей шифрования для каждой пары абонентских серверов безопасности, взаимодействующих в процессе передачи пакета данных в
выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов, при использовании одноключевой системы щифрования организуется центром управления безопасностью либо с использованием ручного режима на базе смарт-карт, либо с использованием защищаемого протокола взаимодействия центра управления безопасностью с абонентскими серверами безопасности по каналам связи, наряду с этим центр управления безопасностью совместно с центром управления сетью и другими организационными структурами сети передачи данных общего пользования с коммутацией пакетов рещает задачи по локализации несанкционированных воздействий и ликвидации их последствий на основе информации, полученной от абонентских серверов безопасности.
Таким образом, протокол защиты, реализуемый абонентскими серверами безопасности, а также функции, обеспечивающие выполнение внедряемого протокола защиты, позволяют обнаружить модификацию передаваемых пакетов данных и совместно с центром управления безопасностью и центром управления сетью обеспечить заданную достоверность и надежность доставки до пользователя передаваемых пакетов данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов и защиту информационной сферы этого фрагмента от удаленных несанкционированных воздействий. Гарантированная достоверность каждого передаваемого пакета данных выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов определяется значением вероятности „ появления не обнаруживаемого
каждом пакете данных вследствие несанкционированных
1 воздействии, равным „ -„
г 2
Сущность предлагаемого технического решения поясняется схемой для двух взаимодействующих абонентских серверов безопасности, показанной на фиг. 1. Система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий, реализующей протокол IP, содержит линии связи 1 и 2 пользователей, связывающие соответственно терминалы пользователей 3 и 4 с марщрутизаторами 5 выделенного защищаемого фрагмента 6 сети передачи данных общего пользования с коммутацией пакетов, содержащего центр 7 управления сетью, центр управления безопасностью 8, при этом на входе каждой линии связи пользователя 1 и 2 на выходе терминала пользователя установлены соответственно абонентские серверы безопасности 9 и 10 соответственно содержание блоки Ни 12 приема и выделения на сетевом уровне из прршятого пакета данных содержимого поля данных, блоки 13 и 14 получения из центра управления безопасностью 8 и хранения ключей шифрования для каждой пары взаимодействующих пользователей, блоки 15 и 16 шифрования содержимого поля данных принятого от пользователя пакета данных и формирования для неизменяемой в процессе передачи части пакета данных имитационной вставки, блоки 17 и 18 добавления имитационной вставки к передаваемому пакету данных, блоки 19 и 20 коррекции заголовка и формирования преобразованного пакета данных, блоки 21 и 22 передачи преобразованного пакета данных, блоки 23 и 24 приема и выделения
на сетевом уровне преобразованного пакета данных, блоки 25 и 26 расшифровки преобразованного пакета данных и проверки правильности принятого значения имитационной вставки, блоки 27 и 28 выдачи расшифрованного пакета данных пользователю, блоки 29 и 30 регистрации входяших пакетов данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блоки 31 и 32 формирования и передачи сообшения о принятом пакете данных с неправильным значением имитационной вставки в центр управления безопасностью 8, который содержит блок 33 формирования и распределения по абонентским серверам безопасности ключей шифрования, блок 34 приема сообшений о пакетах данных с неправильным значением имитационной вставки, блок 35 принятия решений по локализации несанкционированных воздействий и ликвидации последствий несанкционированных воздействий и блок 36 взаимодействия с центром 7 управления сетью передачи данных обшего пользования с коммутацией пакетов.
На фиг. 2 показана схема системы зашиты пакетов данных в процессе их передачи в выделенном защишаемом фрагменте сети передачи данных обшего пользования с коммутацией пакетов от несанкционированных воздействий, отличаюшаяся от схемы, показанной на фиг. 1 только тем, что абонентские серверы безопасности 9 и 10 установлены в конце линий связи 1 и 2 пользователей непосредственно у портов соответствуюших маршрутизаторов 5 выделенного защищаемого фрагмента 6 сети передачи данных общего пользования с коммутацией пакетов.
Предлагаемая система защиты пакетов данных в процессе их передачи в выделенном защищаемом фрагменте сети передачи данных с коммутацией пакетов работает следующим образом.
При передаче пакета данных от пользователя 3 к пользователю 4 блок И абонентского сервера безопасности 9 принимает и выделяет на сетевом уровне из принятого пакета данных содержимое поля данных, блок 13  из блока 33 центра управления безопасностью 8 ключи шифрования для всех пар взаимодействующих с данным абонентским сервером безопасности абонентских серверов безопасности, блок 15 выбирает из блока 13 ключ шифрования для взаимодействуюш:ей пары абонентских серверов безопасности 9 и 10 и в соответствии с ним и с алгоритмом шифрования, например, по ГОСТ 28147-89, шифрует содержимое поля данных принятого пакета данных и формирует для неизменяемой в процессе передачи части пакета данных имитационную вставку, блок 17 добавляет имитационную вставку к передаваемому пакету данных, блок 19 корректирует заголовок пакета данных и формирует преобразованный пакет данных, блок 21 передает преобразованный пакет данных в маршрутизатор 5 выделенного защищаемого фрагмента 6 сети передачи данных общего пользования с коммутацией пакетов, откуда преобразованный пакет данных поступает в абонентский сервер безопасности 10 пользователя 4. Блок 24 абонентского сервера безопасности 10 принимает и выделяет на сетевом уровне преобразованный пакет данных, блок 26 в соответствии с ключом щифрования полученным из блока 14 и алгоритмом расщифрования, например, по ГОСТ 28147-89, расшифровывает принятый преобразованный пакет данных и проверяет правильность принятой имитационной вставки, а блок 28 при правильном значении имитационной вставки выдает принятый пакет данных без имитационной вставки пользователю 4. При фиксировании неправильного значения имитационной вставки в принятом пакете данных пакет данных стирается. Блок 30
регистрирует входящие пакеты данных с отметкой пакетов данных, принятых с неправильным значением имитационной вставки, блок 32 формирует и передает сообщение о принятом пакете данных с неправильным значением имитационной вставки в блок 34 центра управления безопасностью 8, блок 35 которого совместно с центром 7 управления сетью и другими организационными структурами принимает рещение о локализации несанкционированных воздействий и ликвидации их последствий.
Показанная на фиг. 2 схема системы защиты
tjnpou,cece и-х переЭдчц BJ
. пакетов данных в выделенном защищаемом фрагменте сети передачи данных общего пользования с коммутацией пакетов от несанкционированных воздействий работает аналогичным образом.
Предлагаемая система защиты. , пакетов
(/ роцесс.€  оереЭаУб/у даннюс выделенном защищаемом фрагменте сети передачи
данных общего пользования с коммутацией пакетов от несанкционированного воздействий при установке абонентских серверов безопасности на выходе терминала пользователя в начале линий связи пользователя с выделенным защищаемым фрагментом сети передачи данных общего пользования с коммутацией пакетов включает в контур защиты и линии связи пользователя, т.е. расщиряется область защиты выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов, при этом абонентские серверы безопасности должны устанавливаться по желанию пользователей выделенного защищаемого фрагмента сети передачи данных общего пользования с коммутацией пакетов на охраняемой территории пользователей.