Оценка пропускной способности скрытого канала при кодировании передаваемой информации

Матвеев Сергей
пензенский филиал ФГУП “НТЦ “Атлас"

Проблема скрытых каналов

При построении корпоративных компьютерных сетей большое внимание уделяется защите конфиденциальной информации. При этом недостаточно внимания уделяется проблеме наличия скрытых каналов, которыми можно воспользоваться для передачи данных при организации связи между сегментами корпоративной сети через существующие интернет-каналы.

В "Оранжевой книге" ("Критерии оценки защищенности надежных систем", TCSEC [1]) выделены два вида скрытых каналов – каналы по памяти (storage channels) и каналы по времени (timing channels).

В качестве примера скрытого канала по памяти можно привести передачу скрытой информации в неиспользуемых или служебных полях пакетов.

В работах [2] и [3] исследовались скрытые каналы по времени. Для скрытой передачи сигналов использовалась задержка между передачей последовательных пакетов в потоке и задержка между получением TCP-пакета и отправкой подтверждения о его получении.

Защита от подобных скрытых каналов осуществляется путем установления постоянной скорости передачи и выравнивания длин межпакетных интервалов. При этом подобная защита оказывает негативное влияние на общую работоспособность сети.

Расчеты

Рассмотрим возможность организации скрытого канала при соединении двух частных сетей при нормализации исходящего трафика маршрутизатором, соединяющим сети.

Пусть корпоративная частная сеть состоит из двух подсетей, соединенных парой маршрутизаторов через сеть Интернет. Предполагается, что маршрутизаторы осуществляют следующую нормализацию исходящего трафика: в зависимости от загрузки канала возможно ступенчатое изменение скорости передачи (уменьшение или увеличение) При этом у маршрутизатора административно задается минимальный интервал времени, через которое возможно подобное действие.

Рассмотрим следующую модель скрытого канала. Пусть имеется двоичный канал, по которому передаются единичные последовательности длительности n₁ + k и следующие за ними разделительные нулевые последовательности длительности n2. При этом n1 и n2 фиксированы, а значение k может быть задано произвольно пользователем; все три величины n₁, n2, k – целые числа. В нашем случае n = n₁ + n2 – интервал, через который происходит изменение скорости передачи. Значение k используется для кодирования информации. Определим пропускную способность такого канала.

Пусть величина k принимает значение из интервала [0, M-1] и равномерно распределена в этом интервале. Скорость передачи информации по такому каналу равна V = log2(M)/(n+(M-1)/2), бит/двоичный символ.

Рассмотрим величину V'(n', x) = log₂(x)/(n'+x). Максимизируя эту величину по x, легко найти, что максимум достигается в точке x₀ = n'/W(n'/e), где W(x) – функция Ламберта, определяемая как корень уравнения y·exp(y) = x.

При n → ∞:

Пользуясь этим результатом, находим пропускную способность рассматриваемого канала С = W((2n-1)/e)/(n-]/2)/ln(2).

Значения C для первых значений n приведены в таблице.

При больших значениях n:

Рассмотрим теперь этот же канал в случае возможного наличия шума в канале. Пусть принятая последовательность состоит из единичной последовательности длины n₁ + k + ξ и нулевой последовательности длины n₂ - ξ, то есть суммарная длина последовательности не изменяется. При этом n и n₂ фиксированы, величина 1 - случайная, а значение k может быть задано пользователем; все величины n₁, n₂, k, ξ - целые числа. Случайная величина ξ имеет равномерное распределение на интервале [0, m-1]; при этом m < n₂. Будем также полагать, что k принимает значения из интервала [0, M-1]. Определим пропускную способность такого канала.

Средняя взаимная информация в информационном сигнале Y = k + ξ о значении передаваемой величины X = k равна I(Y, X) = H(Y) - H(Y/X). Очевидно, что H(Y/X) = H(Ј) = log2m и H(Y) < log2(M+m-1).

Максимум H(Y) достигается, когда величина k принимает значения, кратные m с равными вероятностями. Поэтому пропускная способность такого канала равна в расчете на один двоичный символ: С = log2(1 + (M-1)/m)/(n + (M-1)/2) = log2(1 + (M-1)/m)/(2n/m-1 + (1 + (M-1)/m))·2/m.

При больших значениях n:

Выводы

• Существует возможность передачи информации из частной сети по скрытому каналу даже при определенных действиях по выравниванию исходящего трафика.
• Варьируя параметры выравнивания трафика, можно понизить скорость передачи по скрытому каналу.

Литература

1. Trusted Computer System Evaluation Criteria, DoD, 1985.
2. Giles J., Hajek B. An Information-theoretic and Game-theoretic Study of Timing Channels // IEEE Transactions on information theory, 2002.
3. Ogurtsov N., Orman H., Schroeppel R., O’Malley S., Spatscheck S. Experimental Results of Covert Channel Limitation in One-Way Communication Systems // Symposium on Network and Distributed Systems Security, 1997.