Новосибирский государственный технический университет

Кафедра вычислительной техники

Реферат по теме:

“Информация и личная безопасность”

Выполнил:

Студент АВТ

гр. АБ-220

Волошин М. А.

Новосибирск 2002

К сожалению, как со времен первых персональных компьютеров многие пользователи не заботились о своей безопасности, так и не заботятся по сей день. Как правило, человек думает, что его данные не представляют какой- либо ценности и поэтому на целенаправленную атаку никто тратить времени не будет.
Рассуждение, в принципе, правильное, но не совсем. Во-первых, пострадать можно в результате действий массового характера. Таких, как рассылка вирусов по списку адресов электронной почты, сканирование сети на наличие уязвимых компьютеров, web-страницы, похищающие файлы с жесткого диска, и тому подобные "приятные " мелочи. Во-вторых, целью атаки может стать учетная запись для выхода в Интернет через модем, приглянувшийся адрес электронной почты или номер ICQ. В этом случае у злоумышленника есть прямые мотивы затратить некоторое количество времени и усилий, чтобы добиться желаемого.
Несмотря на такое немалое количество источников опасности, основная масса рядовых пользователей начинает пытаться предпринимать какие-то меры защиты, только после того как пострадает (а может, и не один раз)от несанкционированного доступа к своему личному компьютеру.

ТАКТИКА НАПАДЕНИЯ

Стоит ли пользователю беспомощно ждать действий пока еще невидимого противника, если можно воспрепятствовать вторжению? Предупредить такое вторжение достаточно несложно, а для начала неплохо знать, каким вообще образом, целенаправленно или нет, можно навредить персональному компьютеру и его пользователю.
Верблюд и соломинка

Любимое развлечение, доступное каждому желающему,- атака на отказ.
Атакуемому компьютеру посылаются пакеты особого вида. Результатом такого
"забрасывания " может быть как медленная работа и зависания, так и остановка или перезагрузка компьютера. Никаких специальных знаний для осуществления такой атаки не требуется, достаточно скачать одну из великого множества специальных программ. Такого рода атакам особенно сильно были подвержены Windows 95 и 98. Латаются эти дыры специальными патчами.

За доброту можно поплатиться.
Еще одна возможность относительно легкого проникновения на компьютер под управлением Windows 9х - ресурсы общего доступа. Подключение к ним возможно не только из локальной сети, но и через Интернет, если в свойствах модемного подключения активирован пункт "Входить в сеть". Кстати, по умолчанию он именно активирован. Для нахождения открытых ресурсов в Сети и подбора паролей к ним также существует целый набор программ, работающих с целыми сетями или диапазоном адресов. В качестве защиты можно посоветовать выбирать сложные пароли, без нужды не создавать ресурсы общего доступа и не вводить компьютер в сеть провайдера. Не будьте наивными Самым легким способом, не требующим никакого специального программного обеспечения, и по сей день остается использование человеческого фактора.
Неопытность пользователя можно легко использовать, чтобы навредить ему его собственными руками. До сих пор находятся люди, которые верят, например, письмам-предупреждениям о новых страшных вирусах. В этих письмах описывается какой-нибудь обычный факт или свойство функционирования операционной системы или прикладной программы и выдается за деятельность вируса. А дальше в качестве средства излечения предлагается выполнить какое-либо действие, например удаление системных файлов (разумеется, пользователь не догадывается о том, что этим самым он выводит из строя свою систему). Также возможны ложные письма из служб поддержки, в которых предлагается выслать свой пароль для его последующего изменения. Или письма с просьбой о помощи, которые на самом деле заставляют высылать свои файлы с паролями или другую закрытую информацию. Угроза для эстетов Ну и конечно, платформой для распространения сетевых вирусов служит любовь пользователей к красивым открыткам и всяким маленьким программкам, которые приходят непонятно от кого или даже от друзей, компьютеры которых уже успели заразиться вирусом.
Первый порыв при виде присоединенного исполняемого файла - запустить его - похоже, не истребит ни время, ни предупреждения специалистов и антивирусных лабораторий, ни количество эпидемий в масштабах всего Интернета. Таким образом могут распространяться как обыкновенные вирусы, действия которых носят деструктивный характер
(уничтожение данных или операционной системы), так и вирусы-трояны. Троян - программа, незаметно действующая на зараженном компьютере и предоставляющая злоумышленнику различные возможности: получение файлов с паролями по почте, удаленного управления, вывод сообщений и тому подобные действия.
Незваные гости Конечно, вирус может распространяться и без явного согласия пользователя. В любой версии Microsoft Internet Explorer,
Microsoft Outlook Express и Outlook из комплекта Microsoft Office есть где развернуться потенциальному злоумышленнику. Это может быть возможность загрузить или просмотреть произвольный файл с компьютера, на котором просматривается письмо или web-страница. Или выполнить произвольный код с привилегиями не только пользователя, вошедшего в систему в данный момент, но и администратора (это особенно важно в
Windows NT, 2000 и ХР, где считается, что пользователь с ограниченными правами не может повредить систему). Или даже загрузить файл на компьютер в любое место на диске, например, исполняемый файл в папку автозагрузки.
ПОЧЕМУ ВСЕ ТАК МРАЧНО?
Несанкционированные действия на компьютере пользователя становятся возможными из-за наличия дыр в самых различных компонентах программного обеспечения. Следите за буфером
Довольно часто встречающейся уязвимостью является переполнение буфера. При отсутствии проверки правильности или длины каких-либо параметров слишком большое значение параметра в оперативной памяти выходит за границы буфера, отведенного для него, и записывается поверх исполняющегося кода. Даже во время работы обычного пользователя внутри операционной системы работают процессы с более высокими привилегиями. Поэтому исполнение несанкционированного кода зависит от того, на каком уровне выполняется уязвимый процесс. Также выполнение произвольного кода и загрузка файлов на атакуемый компьютер может происходить путем использования компонентов ActiveX, внедренных в HTML-код объектов, компонентов, использующих внешние программы (например, Media Player). В общем, в каждой версии программных продуктов Microsoft даже со всеми установленными сервис-паками и патчами существуют хорошо известные уязвимости. Поэтому нельзя надеяться, что разработчики предусмотрят безопасное взаимодействие всего многообразия программных продуктов, технологий и модулей операционной системы. Молчание
- знак согласия
Достаточно большое количество уязвимостей, как ни странно, возникает из-за специфических настроек по умолчанию. То есть для устранения таких уязвимостей достаточно лишь изменить конфигурацию программного обеспечения, которая образовалась в результате установки этого программного обеспечения.
В первую очередь следует или вообще отключить выполнение различных скриптов, сценариев и приложений Java, выполнение и загрузку элементов ActiveX, использование cookie, или хотя бы настроить свои приложения так, чтобы все эти действия выполнялись только после явного разрешения пользователя.
ЗАЩИЩАЕМ СЕБЯ...
Главным инструментом защиты от вторжения из Сети является firewall - программа,позволяющая отслеживать и ограничивать все входящие и выходящие соединения.
Огненные стены
Использование firewall актуально как в глобальных, так и в локальных сетях.
Сейчас существует довольно большое количество таких программ, в том числе и бесплатных - рассчитанных на домашнего пользователя, так что есть из чего выбрать. Firewall могут помочь в обнаружении и предотвращении атак на отказ и попыток несанкционированного доступа к компьютеру, выявлении деятельности троянов (правда,далеко не всех). Также некоторые firewall снабжены функциями контроля за активным содержимым web-страниц: элементами
ActiveX, скриптами (JavaScript, Visual Basic), Java-апплетами.

А для того, чтобы чувствовать себя в безопасности, стоит воспользоваться firewall

Лекарство - дело нужное
Вторым обязательным инструментом является антивирусное программное обеспечение. О его необходимости пишется уже очень давно. Но до сих пор находятся пользователи, которые смутно представляют, что такое вирусы, и потому не менее смутно представляют, как с ними бороться. Есть уже достаточно примеров глобальных эпидемий сетевых вирусов, распространяющихся по электронной почте (Nimda, Sircam). А вместе с непрерывным процессом объединения вычислительной техники в единое информационное пространство растут скорость и масштабы распространения потенциальных эпидемий. Поэтому антивирус должен быть установлен обязательно. Очень желательно, чтобы он проверял файлы в реальном времени, то есть все файлы, к которым обращается операционная система, и приложения тут же проверяются на наличие вируса.
Новые вирусы появляются ежедневно в большом количестве, поэтому антивирусные базы должны обновляться регулярно. Сейчас большинство антивирусных программ умеет делать это автоматически. Обновляйтесь, это помогает Ну и конечно, не стоит все-таки забывать про самостоятельные обновления программ. Пользователем операционных систем Microsoft очень рекомендуется почаще (можно даже каждую неделю) посещать страницу обновлений
(http://windowsupdate.microsoft.com). Исправления ошибок, найденных в операционной системе и ее составляющих (Internet Explorer, COM+), накапливаются, и примерно раз в год выходит "Пакет обновлений" (Service
Pack), который включает в себя исправления всех этих ошибок. Между пакетами обновлений могут выходить RollUp Package, включающие в себя исправления, найденные с момента выхода последнего Service Pack и до некоторого момента времени. Помимо этого, для каждой дырки, о которой становится известно, оперативно появляется отдельная заплатка, которую также можно скачать на странице обновлений.

Не забывайте о специалистах
Остальное программное обеспечение тоже нуждается в обновлениях, хотя, может быть, и не таком частом. Чем больше распространена программа или операционная система, тем интенсивнее происходит процесс обнаружения брешей в безопасности, и тем чаще у потенциального злоумышленника появляется возможность их использовать. Поэтому нужно не лениться хоть иногда заглядывать на страницы поддержки и других производителей программного обеспечения, которое используется на компьютере. Или, если есть такая возможность, подписаться на рассылку новостей об обновлениях по электронной почте. Кстати, в числе этих остальных программ в первую очередь следует обратить внимание на firewall и антивирус, которые используются на компьютере. Также информацию о свежеобнаруженных уязвимостях можно почерпнуть на других различных сайтах. Это могут быть специализированные ресурсы, посвященные именно безопасности: Russian Security News-line (http://bugtraq.ru/rsn),
SECURITY.NNOV (http://www.security.nnov.ru/), CERT Coordination Center
(http://www.cert.org).

Сайт www.cert.org - крупнейшая база уязвимостей

БУДЬТЕ БДИТЕЛЬНЫ!
Каждый день новые пользователи подключаются к Всемирной сети. Все больше из них используют уже не модемное соединение, а выход через локальную сеть.
Это открывает потенциальным злоумышленникам более широкие возможности, так как соединение атакуемого компьютера с внешней сетью и более быстрое, и более постоянное. Также при подключении к локальной сети появляются и новые опасности, ведь компьютер становится виден всем членам этой сети. И мало ли кто какие эксперименты захочет провести над чужим компьютером. Все больше усложняются технологии, связанные с передачей данных, как между компьютерами, так и между приложениями, работающими на одном компьютере.
Все эти факторы увеличивают шансы злоумышленников найти дыру в программном обеспечении раньше разработчиков. Поэтому настало время, когда пользователь сам должен заняться своей безопасностью и внимательно следить за событиями, происходящими в этой области.

СЕКРЕТ НА ВИДНОМ МЕСТЕ
О безопасности программных продуктов производства
Microsoft написано немало издевательских статей, гневных отзывов, ругательных высказываний и бредовых историй. Все-таки есть в мире какое-то особое отношение к этой корпорации. И, видимо, чтобы попытаться как-то исправить такое положение, Microsoft в начале апреля выпустила свой собственный анализатор безопасности – Microsoft Baseline Security Analyzer.
Этот программный продукт может проверить систему на наличие уже известных уязвимостей, отсутствие выпущенных обновлений и указать на мелкие огрехи, часто совершаемые по неопытности, - учетные записи с простыми и пустыми паролями, выключенная защита от макровирусов и другие подобные ляпы. После проверки можно прочитать комментарии и рекомендации по исправлению существующих ошибок в защите.
Несмотря на то, что MBSA выявляет лишь уже известные бреши в безопасности, вещь все равно полезная. Но и тут не обошлось без казусов. Спустя две недели после выхода MBSA 1.0 исследователи из Finjan Malicious
Code Research Center обнаружили, что сканер безопасности сохраняет результаты проверки в файле формата XML в предсказуемом месте на диске. По идее, доступ к этому файлу может получить только пользователь, который запускал проверку, или администратор. Но мы уже знаем, что на самом деле в некоторых случаях существует возможность получить на первый взгляд недоступные файлы, например, через использование активного содержимого HTML-страниц. Так что лучше эти отчеты не хранить или предпринимать дополнительные меры по их защите.

ЧТО НАС ЖДЕТ?
Интеграция мирового интернет-сообщества продолжается стремительными темпами. Все большее число людей приобретают шанс получить зараженное вирусом письмо, и все большее число почтовых клиентов, готовых распространить этот вирус. Каждые полгода, если не чаще, появляется вирус, который бьет все предыдущие рекорды или по скорости, или по масштабам распространения. Ну и конечно, хороший вирус порождает множество модификаций, зачастую более опасных, чем исходный вариант. Нужно отметить у вирусописателей некоторую тенденцию к комплексным решениям. Комплексный подход применяется как при распространении, так и при вредоносных действиях. Проникновение осуществляется уже не просто через почтовый клиент или браузер, но и через
IRC (так действует I-Worm.LoveLetter, известный также как ILOVEYOU), или даже через дырявый сервер от Microsoft - Internet Information Server, а с него уже на компьютеры посетителей зараженного сайта (так действует, например, Nimda). И деструктивные проявления вируса заключается уже не в простом уничтожении данных ли в заполнении свободного места на диске (всяческие веселые, но безобидные графические или звуковые эффекты я не рассматриваю как деструктивные). Вирус-червь BadtransII не только похищает пароли на удаленные и сетевые подключения, но и следит за нажатиями клавиатуры и отсылает LOG-файл на определенный адрес электронной почты. Нашумевший интернет-червь Nimda кроме заполнения мусором сетевых дисков еще и открывает на всеобщее обозрение содержимое дисков зараженного компьютера и дает пользователю "Гость" привилегии администратора. Так что в ближайшем будущем стоит готовиться к появлению вирусов, атакующих систему с разных сторон и использующих сразу несколько различных ошибок в программном обеспечении, этаких многофункциональных интеллектуальных вредоносных программ. И поскольку взывать к сознательности вирусописателей абсолютно бесполезно, то стоит просто соблюдать элементарные меры безопасности, в первую очередь в отношении файлов, попадающих к вам через
Всемирную паутину.
С точки зрения обычного пользователя, WWW - это огромная библиотека текстовых и графических документов, распределенных по множеству серверов и связанных друг с другом перекрестными ссылками. Казалось бы, просмотр текстов и изображений - своего рода книжки с картинками - не может представлять никакой опасности как для пользовательского компьютера, так и для сервера. Однако совершенно неожиданно персонажи из этой книги могут оживать, бродить по квартире, портить другие книги и пытаться поджечь дом.
Программы в засаде
Подобно тому, как при использовании электронной почты пользовательский агент может запустить на исполнение программный код, содержащийся в приложении к письму, www-браузер может запустить программный код, загруженный с сервера.
Первый вариант запуска вредоносного кода состоит в том, что пользователь находит на каком-либо сайте ссылку на исполняемую программу и загружает ее.
Загрузка известной программы с известного сайта не дает полной гарантии безопасности (см. ниже о фальсификации www-сервера). Не стоит забывать, что программами, по сути, являются не только EXE-файлы, но и документы MS
Office и файлы многих других форматов.
Самостоятельные программы
Второй вариант - автоматическая загрузка кода браузером без ведома пользователя при просмотре последним определенной web-страницы. Таким кодом могут быть встроенные в HTML-текст программы Javascript, апплеты, написанные на языке Java, и управляющие элементы ActiveX (для пользователей
MS Windows).
Разработчики браузеров предпринимают усилия для того, чтобы обезопасить компьютер пользователя при выполнении таких программ. В частности, Java- апплеты запускаются в специальном окружении (sandbox), препятствующем прямому доступу апплета к файловой системе и выполнению других потенциально опасных действий. В Javascript не существует методов для непосредственного доступа к файловой системе компьютера и для открытия сетевых соединений, а код Javascript может удостоверяться цифровой подписью.
Как "подвесить" браузер
Несмотря на все предпринятые меры, для злоумышленника все равно остается определенное поле деятельности. Ключевыми направлениями разработки здесь являются ошибки в программном обеспечении браузеров, отказ в обслуживании и обман пользователя.
Отказ в обслуживании иллюстрирует следующая web-страница с кодом
Javascript. Ее загрузка приведет к блокированию браузера, и для продолжения работы потребуется его перезагрузка:

Example of DoS

while(1) {

alert(«It is time to restart your browser.»);

}

Обман пользователя
Еще один вид атак - обман пользователя путем вывода на экран окон, выдающих себя за сообщения от других программ. Эти сообщения могут призывать пользователя выполнить какие-либо действия, связанные с раскрытием секретной информации (пароля). Браузер помечает такие окна специальным образом, но многие пользователи-неспециалисты не обращают внимания на такие тонкости. Другой вид обмана заключается в фальсификации URL, показываемого в статусной строке браузера, когда пользователь наводит указатель мыши на какую-либо ссылку. Это реализуется так:

Click here to enter your credit number

Пользователь, наведя указатель на ссылку, увидит в статусной строке браузера, что ссылка указывает на www.goodbank.com, и, активизировав ссылку, попадет на www.cracker.com. Дальнейшее зависит только от фантазии владельца сайта www.cracker.com.
Пути распространения
Javascript имеет возможность отправлять сообщение по электронной почте.
Отправка данных может быть инициирована любым действием пользователя - например, нажатием какой-либо кнопки или наведением указателя мыши на ссылку. Таким образом, выведав у пользователя секретные данные с помощью сфабрикованного окна ввода пароля, Javascript может отправить эти данные по почте. К счастью, современные браузеры предупреждают пользователя о попытке программы отправить сообщение.
Очевидное решение для злоумышленника, оккупировавшего какой-либо WWW- сервер, состоит в непосредственном помещении кода Javascript в HTML- документы сервера. Другой способ называется cross-site scripting и состоит том, что злоумышленник использует сервер с динамической генерацией содержания в качестве посредника. Например, WWW-сервер имеет доску объявлений, куда любой желающий может поместить текст. Этот текст впоследствии выдается в виде содержания клиентам, просматривающим объявления. Если программа, генерирующая контент, не проверяет текст объявлений на наличие тэгов и других специальных слов и символов, то злоумышленник может поместить программный код в текст объявления, и этот код будет доставлен пользователю.
Разновидностью cross-site scripting является отправка пользователем потенциально вредоносного кода самому себе. Это происходит, когда пользователь следует по ссылке вида:

Click here
При этом код отсылается как часть текста объявления на WWW-сервер example.com, который тут же возвращает этот текст пользователю для просмотра, доставляя таким образом вредоносный код браузеру.
Cross-site scripting и SSL
Интересным эффектом cross-site scripting является возможность доставки злоумышленником кода через соединения, защищенные с помощью SSL. Это возможно, если WWW-сервер, с одной стороны, позволяет злоумышленнику поместить непроверяемый текст через незащищенное соединение, а с другой стороны, демонстрирует помещенный текст пользователю через защищенное соединение.
Для защиты от cross-site scripting разработчики программ динамической генерации содержания должны проверять вывод программы на наличие специальных тэгов и символов.
Цифровая подпись
Несколько слов о цифровой подписи. Ее наличие говорит только о том, что программа (управляющий элемент ActiveX, апплет Java или код Javascript) написана определенным автором и не была изменена. Подпись не гарантирует того, что после запуска программа не начнет стирать файлы с жесткого диска.
Конечно, программа, подписанная широко известной компанией, вряд ли содержит умышленно введенный вредоносный код, но может содержать ошибки, которые потом могут быть использованы злоумышленником. Также отметим, что если браузер доверяет одной подписанной программе, то он автоматически доверяет всем программам, подписанным тем же автором.
Настройки современных браузеров позволяют отключать выполнение приложений
Java, ActiveX и скриптов Javascript, или требовать обязательного наличия подписи в этих программах.
ШПИОН НА ПРОВОДЕ
Если не предпринять специальных мер, то все данные между браузером и HTTP- сервером передаются в открытом виде. Таким образом, можно смело предположить, что прослушивание WWW-трафика не требует значительных усилий.
Применение Digest-аутентификации (с некоторыми оговорками) снимает проблему перехвата пароля и при полной реализации даже защищает от несанкционированной модификации передаваемых данных каким-либо промежуточным узлом. Однако сами данные при этом остаются беззащитными.
Кроме того, вам следует знать, что все запросы вашего браузера регистрируются www-сервером, который записывает в специальный файл время запроса, IP-адрес клиента, URL запрошенного документа, имя пользователя
(если применялась аутентификация), тип браузера и URL документа, который пользователь просматривал до этого. Если пользователь работает через прокси- сервер, то такая информация сохраняется на нем же и может быть использована администрацией для контроля и учета использования WWW своими сотрудниками.
Более того, если браузер передает данные заполненной формы методом GET, то они сохраняются в LOG-файлах, поскольку являются частью URL-адресов. Метод
POST свободен от этого недостатка, так как передает данные в зашифрованном виде.
Также браузер ведет кэширование недавно запрошенных документов на локальном диске и запись всех сайтов, которые посещал пользователь (эта запись называется журналом, в оригинале - history). Настройки браузера позволяют очистить журнал и кэш (или вовсе отключить кэширование).
Многие интерактивные www-серверы (например, интернет-магазины) используют механизм cookies для сохранения информации о сеансе работы пользователя
(например, о том, какой товар пользователь отобрал для покупки). Эту информацию сервер передает на сохранение браузеру пользователя, который записывает ее на локальный диск (куда именно - зависит от используемого браузера, следует найти файл или каталог под именем cookies). Просмотр файла с cookies может выявить достаточно интересные детали об активности пользователя в WWW. Пользователь может запретить браузеру принимать cookies, но в этом случае он не сможет пользоваться некоторыми сайтами.
ВОЗМОЖНОЕ РЕШЕНИЕ - SSL
Проблема подлога и перехвата данных злоумышленником, прослушивающим сеть или оккупировавшим прокси-сервер, решается с помощью протокола SSL (новое название - TLS).
Протокол SSL в стеке TCP/IP расположен между транспортным (TCP) и прикладным уровнями. SSL обеспечивает шифрование (и, соответственно, дешифрацию) всех данных прикладного уровня. В контексте HTTP это означает, что все данные, а также заголовки HTTP-запросов и ответов передаются через сеть в зашифрованном виде.
Для того чтобы воспользоваться SSL, HTTP-сервер должен быть сконфигурирован соответствующим образом, а браузер должен поддерживать протокол SSL (все распространенные браузеры его поддерживают). URL ресурсов, защищенных с помощью SSL, начинаются с "https://". Перед собственно обменом HTTP- запросами и ответами клиент (браузер) и сервер устанавливают SSL- соединение. При этом сервер предъявляет клиенту сертификат, подтверждающий
"личность" сервера. Следовательно, злоумышленник не может выдать себя за искомый сервер. Подлинность сертификата автоматически проверяется браузером в общеизвестной базе данных сертификатов, например базе компании VeriSign.
Если же сертификат не найден ни в одной общеизвестной регистратуре, то пользователю предстоит самому решить, доверять этому сертификату или нет.
В любом случае нужно понимать, что секретность при передаче данных и наличие сертификата не гарантируют защиты этих данных при хранении на сервере (слабо защищенная система сервера, недобросовестный администратор и т. п.).
SSL и прокси-серверы
Отметим особенность работы SSL через прокси-серверы. Так как весь трафик между браузером и HTTP-сервером зашифрован, то его интерпретация и кэширование не имеют смысла. Поэтому функции прокси-сервера сводятся к простой ретрансляции октетов между браузером и HTTP-сервером. Для перевода проксисервера в такой режим браузер посылает запрос методом CONNECT с указанием адреса и номера порта HTTP-сервера.
Поскольку метод CONNECT фактически создает туннель сквозь прокси-сервер, он может использоваться для обхода правил фильтрации TCP-соединений на брандмауэре, так как в общем случае туннель может быть установлен с любым портом внешнего сервера. Так пользователь может получить доступ к неразрешенным сервисам, поэтому администратор прокси-сервера должен тщательно сконфигурировать разрешения на использование метода CONNECT, в частности, разрешить соединения только с портом 443, который используется для работы HTTP через SSL.
Прокси-сервер - контроллер и защитник
Возможность использования прокси-серверов как посредников между клиентом и
HTTP-сервером является весьма полезной не только с точки зрения уменьшения трафика путем кэширования, но и с точки зрения обеспечения безопасности.
Разумная политика состоит в том, что все хосты внутренней сети должны пользоваться WWW через прокси-сервер предприятия. Правила фильтрации брандмауэра строятся таким образом, что разрешен только HTTP-трафик, следующий к прокси-серверу или от него. Особенность HTTP-трафика состоит в том, что он далеко не всегда привязан к порту 80, поэтому в общем случае для прокси-сервера должны быть открыты все порты или хотя бы наиболее популярные из них (80-86, 8000-8006, 8080-8086, 8888).
Решаемые задачи

Следующие административные задачи могут быть решены на прокси-сервере при обслуживании пользователя (группы пользователей):

. разрешение доступа к тому или иному сайту;

. разрешение использовать те или иные методы запроса (особенно CONNECT, позволяющего туннелировать сквозь прокси-сервер);

. качество обслуживания запроса: например, выделение определенной полосы пропускания;

. учет объема полученного за определенный период трафика и отказ в обслуживании пользователя при превышении определенного лимита;

. направление запроса через того или иного провайдера, если организация подключена к нескольким провайдерам (например, запросы низкоприоритетных пользователей направляются по медленному, но дешевому каналу, а высокоприоритетные - по скоростной, но дорогой линии);

. инспекция данных, передаваемых в запросе или ответе, например, для предотвращения несанкционированной передачи секретных данных или для автоматического удаления рекламных баннеров (выполнимо, если данные передаются в открытом виде).

. HTTP прокси-серверы также могут предоставлять прокси-сервис и для протокола FTP, что поддерживается всеми браузерами и большинством специализированных FTP-клиентов.
Идентификация пользователя
Для дифференцированного обслуживания пользователей прокси-сервером необходим механизм идентификации пользователя, который является автором данного запроса. Пользователь идентифицируется прокси-сервером либо по IP- адресу, либо с помощью прокси-аутентификации.
Прокси-аутентификация выполняется аналогично аутентификации на конечном WWW- сервере, но с помощью заголовка Proxy-Authorization. Если требуется прокси- аутентификация, но требуемые данные клиентом не предоставлены, то возвращается отклик с кодом 407 Proxy Authentication Required и заголовком
Proxy-Authenticate, аналогичным по смыслу заголовку WWW-Authenticate. При использовании схемы Digest применяется также заголовок Proxy-Authentication-
Info.
Подчеркнем, что аутентификация на www-сервере и прокси-аутентификация HTTP- запроса - это две не связанные между собой процедуры, выполняемые различными серверами. Оба заголовка (Authorization и Proxy-Authorization) могут присутствовать в одном запросе, если это необходимо.
Аутентификация является более предпочтительным способом идентификации пользователя, особенно, если один и тот же компьютер может эксплуатироваться разными людьми (персональный компьютер общего пользования или многопользовательская система). Однако очевидно, что аутентификация по схеме Basic в сети Ethernet с разделяемыми сегментами практически лишена смысла из-за широкой доступности программ прослушивания, поэтому необходимо применять схему Digest.
Заключение
Итак, как бы то ни было, WWW предоставляет злоумышленникам широкое поле для деятельности, и этот факт нельзя не учитывать при формировании политики безопасности. Использование прокси-сервера и соблюдение других мер предосторожности помогут вам свести риск к минимуму.

ЭКСКУРС В ТЕХНОЛОГИЮ
WWW представляет собой клиент-серверную технологию, основанную на прикладном протоколе HTTP.
В HTTP имеются два типа сообщений: запросы от клиента (браузера) к серверу и ответы сервера клиенту. Для передачи сообщений используется протокол TCP и стандартный порт HTTP-сервера - 80. Запрос содержит URL - идентификатор ресурса (документа), который хотел бы получить клиент, и несколько вспомогательных заголовков.
Предполагается, что в ответ на запрос, проанализировав требуемый URL, сервер предоставит клиенту искомую информацию. Эта информация называется контентом. В простейшем случае это HTML-документ или файл в другом формате, однако контент может генерироваться сервером "на лету", например может быть вызвана сторонняя программа и ее вывод принят в качестве контента. Чтобы браузер правильно определил тип информации, содержащейся в контенте, и, соответственно, применил адекватный способ представления этой информации пользователю, контент сопровождается заголовком Content-Type, в котором указывается МIМЕ-тип данных.
Взаимодействие с клиентом
Динамическая генерация контента позволяет пользователю интерактивно взаимодействовать с www-сервером. Типичным примером этого процесса является работа с поисковым сервером: пользователь указывает строку поиска, которая и является параметром запроса. Сервер производит поиск строки в базе данных и формирует HTML-страницу, содержащую результаты поиска.
Пользователь задает параметры запроса путем заполнения и отправки HTML- форм. Формы содержат поля ввода текстовой информации, радиокнопки, выпадающие списки и т. п. Интерес представляет то, как именно браузер присоединяет введенные данные к запросу. В тэге содержатся два параметра: action и method. Первый указывает URL, к которому будет отправлен запрос по заполнению формы, а второй - метод этого запроса.
Существуют два метода: GET и POST. При отправке запроса методом GET данные, введенные в форму, присоединяются к URL после вопросительного знака. В этом случае URL может выглядеть, например, так: "/cgi- bin/dir/script.pl?name=John&age=25 &hobby=reading&hobby=football". Нетрудно заметить, что данные состоят из пар "имя=значение", разделенных амперсандами. При отправке данных методом POST та же самая строка: "па- me=John&age=25&hobby=reading&hob-by=football" помещается после заголовке запроса, отделяясь от них пустой строкой В этом случае к URL ничего не добавляется.
Очевидно, что никакой HTTP-сервер не может предусмотреть всего разнообразия интерактивных www-приложений. Вместо этого HTTP-сервер предлагает разработчику интерфейс, используя который, сторонняя программа может получить от HTTP-сервера все необходимые для обработки запроса данные, а в ответ сгенерировать контент, который будет возвращен сервером браузеру.
Таким образом, задача генерации контента возлагается на приложения, разрабатываемые под нужды конкретной задачи. В комплексных информационных системах на базе WWW говорят, что HTTP-сервер - это front end www-сайта, а приложения, генерирующие контент, - back end. Часто приложения работают в связке с базой данных: таким образом, имеет место трехуровневая схема: HTTP- сервер - приложение - база данных.
Интерфейс CGI
Наиболее общим и распространенным интерфейсом подобного типа является CGI.
При его использовании HTTP-сервер запекает приложение, которое должно обработать запрос, и передает ему на стандартный ввод все, что поступило в запросе после заголовков. Также HTTP-сервер устанавливает несколько переменных окружения, в том числе переменную QUERY_STRING, которая содержит часть URL, расположенную после вопросительного знака (а это, как мы знаем, данные, переданные методом GET). Таким образом, CGI-приложение получает доступ к данным, введенным пользователем в форму. Отметим, что сами данные, их наличие или отсутствие, размещение в теле запроса или в URL или сразу в обоих местах HTTP-сервером никак не интерпретируются и не декодируются, а передаются приложению как есть. Все задачи по интерпретации и преобразованию данных возложены на CGI-приложение. Обработав запрос, приложение передает сгенерированный контент на свой стандартный вывод, где он перехватывается HTTP-сервером и пересылается клиенту. Единственный заголовок, который обязано выставить само CGI-приложение, - Content-Type.
Выполняемые составляющие
Другой способ динамической генерации контента - внесение программного кода непосредственно в текст HTML-файла. Код размещается внутри специальных тэгов (например, ). Приняв запрос такого файла, HTTP-сервер производит разбор его содержимого, обнаруживает программный код и исполняет его. В текст исходного файла вставляется результат выполнения кода и итоговый контент отправляется клиенту. Популярными технологиями, использующими встроенный код на стороне сервера, являются PHR ASP (Active Server Pages),
JSP (Java Server Pages). В отличие от CGI, где от сервера, в общем случае, не требуется никаких знаний о том, как работает запускаемая им CGI- программа, при использовании встроенного кода требуется поддержка соответствующей технологии сервером, так как выполнение кода производится внутри процесса сервера.
Особый случай встроенного кода - язык Javascript. Код, написанный на
Javascript, помещается внутри пары тэгов и , передается на сторону клиента и выполняется браузером. На стороне клиента выполняются также программы, написанные на языке Java. Встретив в HTML-документе тэг
, браузер загружает с сервера файл, содержащий байт-код программы, и передает его на выполнение Java-машине. Последнюю можно бесплатно загрузить из Интернета с сайта http://java.sun.com.

Кэширование данных
Часто между браузером и HTTP-сервером располагается промежуточное звено -
HTTP-кэш, или прокси-сервер. Не всякий контент будет помещен в кэш.
Администратор прокси-сервера формулирует политику кэширования: например, не кэшировать контенты больше определенного размера, контенты, в URL которых име