IPsec

Der Inhalt dieses Artikels über Computer ist zu überprüfen (September 2016).

Verbessern Sie es oder besprechen Sie Dinge, die Sie überprüfen sollten . Wenn Sie das Banner gerade angebracht haben, geben Sie bitte hier die zu überprüfenden Punkte an .

IPsec ( Internet Protocol Security ), definiert von der IETF als Rahmen offener Standards zur Gewährleistung privater und geschützter Kommunikation über IP-Netzwerke durch den Einsatz kryptografischer Sicherheitsdienste , ist eine Reihe von Protokollen, die Algorithmen verwenden, die den sicheren Datentransport über ein IP- Netzwerk . IPsec unterscheidet sich von früheren Sicherheitsstandards dadurch, dass es nicht auf eine einzige Authentifizierungsmethode oder einen einzigen Algorithmus beschränkt ist und daher als Rahmen für offene Standards gilt . Darüber hinaus arbeitet IPsec auf der Netzwerkschicht (Schicht 3 des OSI-Modells ) im Gegensatz zu früheren Standards, die auf der Anwendungsschicht (Schicht 7 des OSI-Modells ) arbeiteten, was es unabhängig von den Anwendungen macht und bedeutet, dass Benutzer dies nicht tun Sie müssen nicht jede Anwendung auf IPsec-Standards konfigurieren.

Präsentation

Entwickelt, um mit dem IPv6- Protokoll zu arbeiten , wurde die IPsec-Protokollsuite für das aktuelle IPv4- Protokoll angepasst .

Sein Ziel ist es, die Daten zu authentifizieren und zu verschlüsseln: Der Fluss kann nur vom Endempfänger verstanden werden (Vertraulichkeit) und die Änderung der Daten durch Zwischenhändler ist nicht möglich (Integrität).

IPsec ist oft eine Komponente von VPN , es ist der Ursprung seines Sicherheitsaspekts (sicherer Kanal oder Tunneling ).

Die Implementierung einer sicheren Architektur auf Basis von IPsec ist in RFC  4301 detailliert beschrieben .

Operation

Beim Herstellen einer IPsec-Verbindung werden mehrere Vorgänge ausgeführt:

Schlüsselaustausch

Für das Aushandeln der Verbindung ist das Protokoll IKE ( Internet Key Exchange ) zuständig. Bevor eine IPsec-Übertragung möglich ist, wird IKE verwendet, um beide Enden eines sicheren Tunnels durch den Austausch gemeinsamer Schlüssel zu authentifizieren . Dieses Protokoll erlaubt zwei Arten der Authentifizierung, PSK ( Pre- Shared Secret oder Shared Secret ) für die Generierung von RSA- Sitzungsschlüsseln oder die Verwendung von Zertifikaten.

Diese beiden Methoden zeichnen sich dadurch aus, dass die Verwendung eines von einem Dritten, einer sogenannten Certificate Authority (CA) signierten Zertifikats, eine Authentifizierung ermöglicht . Bei der Verwendung von RSA-Schlüsseln kann eine Partei bestreiten, der Absender der gesendeten Nachrichten zu sein.

IPsec verwendet eine Sicherheitsassoziation , um zu bestimmen, wie die Parteien AH (Authentifizierungsheader) verwenden , ein Protokoll, das ein bestimmtes Headerformat mit Authentifizierungsinformationen und die Einkapselung der von einem Paket nützlichen Last definiert.

Datentransfer

Ein oder mehrere Datenkanäle, über die privater Netzwerkverkehr übertragen wird, zwei Protokolle sind möglich:

Betriebsarten

IPsec kann im Host-to-Host-Transportmodus oder im Netzwerktunnelmodus betrieben werden.

Transportmodus

Im Transportmodus werden nur die übertragenen Daten (der Nutzdatenteil des IP-Pakets) verschlüsselt und/oder authentifiziert. Der Rest des IP-Pakets bleibt unverändert und daher wird das Routing der Pakete nicht geändert. Da IP-Adressen jedoch nicht von NAT geändert werden können, ohne den von IPsec generierten AH-Header- Hash zu beschädigen, kann AH nicht in einer Umgebung verwendet werden, die diese Header-Änderungen erfordert. Die NAT-T- Kapselung kann jedoch verwendet werden, um IPSec ESP zu kapseln. Der Transportmodus wird für die Kommunikation von Host zu Host verwendet ( Host-to-Host ).

Tunnelmodus

Im Tunnelmodus wird das gesamte IP-Paket verschlüsselt und/oder authentifiziert. Das Paket wird dann in ein neues IP-Paket mit einem neuen IP-Header gekapselt. Im Gegensatz zum Transportmodus unterstützt dieser Modus daher NAT-Traversal, wenn das ESP-Protokoll verwendet wird. Der Tunnelmodus wird verwendet, um virtuelle private Netzwerke ( VPNs ) zu erstellen, die Netzwerk-zu-Netzwerk (dh zwischen zwei entfernten Standorten), Host-zu-Netzwerk (Fernzugriff durch einen Benutzer) oder Host-zu-Host-Kommunikation (private Nachrichtenübermittlung) ermöglichen. )

Kryptografische Algorithmen

Damit IPsec-Implementierungen zusammenarbeiten, müssen sie einen oder mehrere gemeinsame Sicherheitsalgorithmen aufweisen. Die für eine ESP- oder AH- Sicherheitszuordnung verwendeten Sicherheitsalgorithmen werden durch einen Aushandlungsmechanismus wie Internet Key Exchange ( IKE ) bestimmt.

Die Verschlüsselungs- und Authentifizierungsalgorithmen für IPsec, die das ESP- und AH- Protokoll kapseln, sind:

Bezogen auf RFC 8221

Liste der RFCs im Zusammenhang mit IPsec

Umstritten

Im Dezember 2010, behauptete Gregory Perry (ehemaliger technischer Direktor der Firma NETSEC) in einer E-Mail an das OpenBSD- Entwicklungsteam, dass auf Ersuchen des FBI in den 2000er Jahren Hintertüren in das OpenBSD- OCF-Framework eingebaut wurden , die nicht länger einer 10-Jahres-Vertraulichkeitsklausel unterliegen . Dieser Stack wurde in anderen Projekten wiederverwendet, obwohl er seitdem stark modifiziert wurde.

Anhänge

Literaturverzeichnis

(de) Ido Dubrawski , So betrügen Sie bei der Sicherung Ihres Netzwerks , Burlington, MA, Syngress,November 2007, 432  S. , 235  mm × 191  mm × 25  mm ( ISBN  978-1-59749-231-7 )

Verweise

  1. Dubrawski 2007 , p.  83 .
  2. (in) "  Sicherheits - Architektur für das Internet - Protokoll  ," Antrag auf Kommentare n o  4301,Dezember 2005.
  3. Dubrawski 2007 , S.  85 .
  4. (in) "  Anforderungen an die Implementierung von Kryptografiealgorithmen für die Kapselung von Sicherheitsnutzlast (ESP) und Authentifizierungsheader (AH)  ," Request for comments n o  4835,April 2007.
  5. "  Das FBI hätte Hintertüren in den Code des IPSec-Stacks von OPENBSD eingebaut  " ( Archiv • Wikiwix • Archive.is • Google • Was tun? ) , Auf Kernel-Trap ,14. Dezember 2010

Zum Thema passende Artikel