Внедрение систем видеоконференций и обмена данными (data conferencing) бросает серьезный вызов способности менеджеров сетей открыть доступ этим средствам без нарушения безопасности сети.
Новые приложения для конференций, основанные на стандарте H.323 для видеоконференций и T.120 для конференций данных, предназначены для использования в корпоративных сетях intranet или в Internet, и поэтому администраторы сетей испытывают острую потребность в более совершенных инструментах контроля доступа.
Средства конференций H.323 и T.120 должны работать внутри пространства, защищенного системами безопасности intranet-сети предприятия. Варианты безопасного использования инструментов коллективной работы включают в себя использование “ничейного” пространства для проведения “встреч” и установление безопасных соединений через брандмауэр с помощью сервера-представителя.
Стандарт T.120 дает возможность пользователям проводить “электронные” встречи, во время которых можно передавать друг другу файлы и/или использовать файлы совместно с помощью “грифельных досок” (whiteboards). Для предоставления удаленным пользователям доступа в сеть многие администраторы разрешают им устанавливать соединения T.120, но при этом блокируют входящий извне трафик T.120.
Опасения по поводу безопасности тем более увеличиваются из-за растущих возможностей стандарта T.120, который скоро будет позволять совместно использовать приложения. В таком случае удаленный пользователь сможет запускать приложения на пользовательской машине.
Лежащая в основе видеоконференций H.323 архитектура допускает организацию конференции данных по стандарту T.120, а также требует усовершенствования существующих систем безопасности. H.323 использует стандартный IP-порт для соединения с сетью, но канал управления H.323 может породить несколько дополнительных каналов со случайными номерами IP-портов, что затруднит брандмауэрам обнаружение трафика H.323 и наблюдение за ним.
Достижение безопасности
Существует несколько способов достижения необходимой степени безопасности при использовании средств коллективной работы. Одно из них - соединение с каждым участником конференции через MCU (multipoint control unit - многовходовый блок управления), находящийся вне сети. Корпорации могут использовать внешние службы такого вида или приобрести собственные MCU и разместить их вне своего сетевого пространства, в “нейтральных водах”.
Другой способ состоит в использовании сервера-представителя (proxy) для установления безопасных соединений через брандмауэр. При этом весь трафик конференции будет приходить на сервер-представитель, который и станет поддерживать связь с машиной получателя.
Разработки серверов-представителей ведутся сегодня в нескольких направлениях. Например, для продвижения собственного приложения видеоконференций ProShare корпорация Intel создала приложение-представитель в стандарте H.323, который, в свою очередь, будет использоваться в брандмауэре Gauntlet фирмы Trusted Information Systems.
Несколько поставщиков продуктов стандарта T.120, и среди них корпорации DataBeam и PictureTel, разрабатывают собственные представители T.120 в надежде, что производители брандмауэров встроят их в свои продукты.
Официальные лица DataBeam сообщили, что компания работает над созданием модульного представителя, способного по указанию администратора сети блокировать определенные функции T.120, например передачу файлов или совместное использование приложений, и в то же время позволять использовать другие функции, например изображения на “грифельных досках”.
Корпорация Microsoft, предлагающая NetMeeting, средство проведения видеоконференций и обмена данными, рассмотрела вариант использования представителя H.323 для выполнения вызова T.120, однако сейчас другие производители продуктов T.120 опережают ее в планах по разработке своих представителей T.120.
Наблюдение за трафиком H.323
Вместо использования представителя компания CheckPoint Software Technologies встроила в свой брандмауэр Firewall-1 инструмент наблюдения за трафиком H.323. Когда канал управления порождает дополнительные каналы, Firewall-1 отслеживает их появление и начинает наблюдение за ними.
Кроме того, Firewall-1 позволяет администраторам выполнять аутентификацию входящего трафика H.323, если он поступает от определенных IP-адресов или от пользователей с заданными именами и паролями, хранящимися в базе данных Firewall-1. Представители CheckPoint также утверждают, что Firewall-1 может выполнять связь с серверами-представителями H.323.
Несколько компаний предложили добавить в стандарты H.323 и T.120 функции аутентификации пользователей. Это позволило бы брандмауэрам выполнять проверки для аутентификации и допускать в сеть пользователей, задействуя сертификаты формата X.509.
Мэтт Крамер (PC Week Labs)
