Информация >> Публикации сотрудников компании >>Жигулин Л.Ф., Головко Б.А. «Создание надежной и защищенной PDVPN (авторская редакция)»
«Век качества», №4, 2002

«Век качества», №4, 2002

(Организация защищенного удаленного управления цифровыми АТС на основе ТфОП)

В последнее время при организации сетей телефонной связи широко применяются цифровые Электронные АТС (ЭАТС), допускающие возможность удаленного управления. При этом администратор с помощью персонального компьютера и обычного модема подключается к последовательному порту ЭАТС и управляет ее конфигурацией. Как правило, такой процесс удаленного управления ЭАТС осуществляется из Центра управления цифровой телефонной сетью, либо с мобильных рабочих мест (компьютеров типа NoteBook) дежурных администраторов. Очевидно, что при организации такой системы удаленного управления следует иметь ввиду возможность несанкционированного доступа (НСД) к управляющей информации со стороны злоумышленников, что может парализовать работу не только управляемой ЭАТС, но и всей телефонной сети и привести к значительным убыткам. Особенно это актуально для крупных операторов телефонной связи и, в частности, для Московской Городской Телефонной Сети (МГТС). Цифровая телефонная сеть таких операторов связи включает, как правило, ряд необслуживаемых, но управляемых удаленно, ЭАТС. К работе таких операторов предъявляются очень жесткие требования по качеству предоставляемых услуг. Поэтому при организации их работы большое внимание уделяется вопросам надежности и безопасности.

Таким образом, актуальной становится задача создания защищенной коммутируемой Виртуальной Частной Сети (Protected Dial-up Virtual Private Network - PDVPN), предназначенной для организации процесса удаленного управления ЭАТС. Очевидно, что создание такой сети целесообразно строить на базе Телефонной сети Общего Пользования (ТфОП). Услуги ТфОП недороги, она имеет широкое разветвление и позволяет организовать обмен данными между ее абонентами с использованием модемов. Помимо этого, объем управляющей информации, необходимый для конфигурирования и администрирования ЭАТС, невелик, так что пропускной способности каналов, предоставляемых ТфОП, оказывается более чем достаточно.

При организации такой PDVPN должны быть обеспечены следующие требования по защите информации:

  • аутентификация взаимодействующих сторон;
  • конфиденциальность при обмене информацией;
  • контроль доступа к ресурсам;
  • контроль целостности данных при передаче.

Возможно несколько способов построения PDVPN. Одним из них может быть разработка или доработка коммуникационного программного обеспечения, устанавливаемого на ЭАТС и на компьютерах у администраторов. Однако такой способ не представляется возможным, так как часть телефонной сети МГТС построена на ЭАТС типа DX-200, операционная система которой "зашита" в ПЗУ и не может быть модифицирована, а также из-за возникающих при этом стоимостных, технических и организационных проблем, обусловленных масштабностью МГТС.

Другой способ основан на применении межсетевых экранов (МЭ) с функциями шифратора, устанавливаемых между коммуникационным портом ЭАТС и модемом с одной стороны и коммуникационным портом управляющей рабочей станции и модемом с другой стороны, как показано на рисунке.

Создание надежной и защищенной PDVP

Этот способ оказался наиболее предпочтительным. В качестве решения для построения PDVPN для МГТС был выбран МЭ DG-24AM разработки фирмы «Сигнал-КОМ». Этот МЭ обеспечивает организацию защищенного взаимодействия объектов через ТфОП с использованием асинхронных протоколов связи. Для организации системы управления МЭ, в части распределения криптографических ключей и установления различных режимов их работы, используются центральная программа системного администратора (СА) и программы агента СА, устанавливаемые на каждом МЭ, являющимся в данном случае т.н. абонентом.

Основным назначением программы СА является:

  • регистрация абонентов, включаемых в состав PDVPN;
  • генерация секретных и открытых ключей абонентов (для системы с асимметричным распределением ключей);
  • формирование сертификатов открытых ключей абонентов;
  • формирование файла со списком отозванных сертификатов;
  • формирование сертификатов по запросам абонентов.

Назначением программы агента СА является:

  • генерация секретных и открытых ключей абонентов на рабочем месте абонента;
  • формирование запросов для получения сертификатов от СА;
  • хранение полученных сертификатов и файлов изменений состояния PDVPN;
  • запись в персональный электронный идентификатор конфигурационно-установочных параметров МЭ, секретных ключей и сертификатов.

Установление защищенного соединения при использовании МЭ происходит в три этапа.

  1. На первом этапе осуществляется установление обычного коммутируемого соединения между модемами, завершающееся выдачей ими сигнала «обнаружения несущей». Этот сигнал активизирует работу МЭ.
  2. На втором этапе между МЭ происходит обмен информацией для взаимной аутентификации абонентов и формирования «сеансовых ключей» приема/передачи.
  3. На третьем этапе осуществляется передача защищенного соединения коммуникационным средствам оконечного оборудования данных абонентов путем ретрансляции перехваченных и задержанных сигналов «обнаружения несущей» от модемов. По завершении этого этапа вся информация в обоих направлениях передается в зашифрованном виде.

Во втором квартале 2002 года силами ОАО МГТС и ЗАО «Сигнал-КОМ» с использованием МЭ DG-24AM была создана PDVPN, предназначенная для удаленного администрирования ЭАТС типа DX-200, расположенных на территории г. Москвы. Данная сеть объединяет несколько десятков МЭ, установленных на круглосуточно работающих стационарных объектах ОАО МГТС, и более десятка МЭ, установленных на рабочих местах сетевых и дежурных администраторов. Завершившийся этап опытной эксплуатации продемонстрировал высокие показатели надежности и защищенности созданной PDVPN.

В дополнение к выше изложенному следует отметить, что создание подобных PDVPN на основе ТфОП может быть использовано для различных приложений, требующих обеспечения конфиденциальности при удаленном взаимодействии. Это могут быть системы удаленного управления источниками бесперебойного питания для крупных объектов, системы удаленного доступа к ресурсам ЛВС, защита линий при подключении банкоматов и многие другие.