Bezpečnostní technologie I IPSec Josef Kaderka Operační program Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg. č.: CZ.1.01/2.2.00/ )

Protokol IPSec Sada otevřených standardů pro zajištění bezpečné komunikace přes sítě IP, pracuje na síťové vrstvě. Služby IPSec Integrita v prostředí nespojované komunikace Ověřování původu dat Ochrana proti opakování Důvěrnost (šifrování) Protokoly IPSec Authentication Header (AH) Encapsulated Security Payload (ESP) Internet Key Exchange (IKE)

Protokol AH Autentizace záhlaví, zajišťuje Integritu dat Autentizaci IP paketu Ochranu proti opakování Vlastnosti protokolu AH Data přenášena otevřeně Přenášená data nemohou být změněna (aniž by se to poznalo) IP záhlaví i data jsou podepsány Zabraňuje útoku typu podvržení adresy sledováním pořadových čísel Používá algoritmy HMAC (Hash Message Authentication Code) Komunikující strany musí sdílet tajný klíč

Protokol ESP Protokol ESP (Encapsulating Security Payload) poskytuje Důvěrnost dat Určitou důvěrnost toku dat Autentizační služby pro AH (volitelně) Vlastnosti ESP Lze použít souběžně s AH Podporuje řadu šifrovacích algoritmů, módů, atd. DES, 3DES, RC5, IDEA, CAST a další

Protokol IKE Internet Key Exchange Kryptografická infrastruktura zajišťující vyjednávání o výměně klíčů Ustaví Security Associations (SAs), mezi IPSec partnery Security Associations (SA): jednosměrný vztah mezi odesílající a přijímající stranou. Autentizuje IPsec partnery Definice pomocí 3 parametrů Security Parameters Index (Metoda autentizace) Cílová IP adresa Identifikátor bezpečnostního protokolu (AH nebo ESP)

Použití protokolů sady IPSec Authentication Header Požaduje se bezpečné připojení k zaručenému adresátovi Musí být ověřován zdroj dat Data sama o sobě nejsou citlivá, riziko zachycení paketů a potenciální kompromitace je nízké Encapsulation Security Payload Přenášené informace jsou citlivé a je nutno je utajit Pouze požaduje-li se ochrana dat Oba protokoly AH a ESP Musí-li být data chráněna a současně je nutná autentizace Pokud zvýšená bezpečnost kompenzuje pokles výkonnosti vyplývající z další režie

Scénáře nasazení IPSec IPSec může být nasazen takto Tři základní varianty konfigurace Host to Host Gateway to Gateway Host to Gateway Ochrana komunikace mezi dvěma koncovými počítači Transportní mód Ochrana komunikace mezi koncovým počítačem a sítí nebo mezi dvěma sítěmi Tunelovací mód

Transportní mód IPSec Server Isolation End-to-End Host Security

Tunelovací mód IPSec Site-to-Site VPN IPSec Tunnel IPSec Tunnel IPSec Gateway IPSec Gateway Windows XP Client FTP Server Site B Site A IPSec Gateway IPSec Gateway

Implementace a konfigurace IPSec Microsoft Windows (od verze 2000) MS Management Console (MMC) Snap-in modul pro správu IP bezpečnosti Nastavení obecných pravidel (IKE – doby platností, šifrovací algoritmy atd.) Nastavení pravidel

Filtry IP adresa IP protokol Zdrojový a cílový TCP a UDP port Akce filtru Povolit přenost bez IPSec (Permit) Blokovat – pakety jsou zahazovány („silent discard“) Aktivovat zabezpečený režim Authentizace Kerberos Předsdílený key Certifikáty

Autentizace Kerberos Integrován do Active directory Sdílený key Textový řetězec Neexistuje spolehlivý a jednoduchý mechanismus zneplatnění Použití pouze pro testovací účely Certifikáty Kompromitované údaje lze zneplatnit (revocation) Role certifikační autority

Testování Konfigurace Host to Host AHS, ESP Authentizace Sdílený klíč Certifikát (vlastní CA) Nástroje IPSec monitor Network monitor

Jak IPSec zabezpečuje datový provoz? TCP vrstva IPSec Driver TCP vrstva IPSec Driver Šifrované IP pakety 3 3 Internet Key Exchange (IKE) vyjednávání 2 2 IPSec Policy 1 1 MMC