IPsec

Tämän artikkelin sisältö tietokoneissa on tarkistettava (syyskuu 2016).

Paranna sitä tai keskustele tarkistettavista asioista . Jos olet juuri kiinnittänyt bannerin, ilmoita tarkistettavat kohdat täällä .

IPsec ( Internet Protocol Security ), jonka IETF on määritellyt avoimien standardien kehykseksi yksityisen ja suojatun viestinnän varmistamiseksi IP-verkkojen kautta salausturvapalvelujen avulla , on joukko protokollia, jotka käyttävät algoritmeja, jotka mahdollistavat suojatun tiedonsiirron verkon kautta IP- verkko . IPsec eroaa aikaisemmista turvallisuusstandardeista, koska sitä ei rajoiteta yhteen todennusmenetelmään tai algoritmiin, ja siksi sitä pidetään avoimen standardin kehyksenä . Lisäksi IPsec toimii verkkokerroksessa ( OSI-mallin kerros 3 ) toisin kuin aiemmat standardit, jotka toimivat sovelluskerroksessa ( OSI-mallin kerros 7 ), mikä tekee siitä sovelluksista riippumattoman ja tarkoittaa, että käyttäjät eivät tee ei tarvitse määrittää kutakin sovellusta IPsec-standardien mukaiseksi.

Esitys

IPsec-protokollapaketti on kehitetty toimimaan IPv6- protokollan kanssa , ja se on mukautettu nykyiselle IPv4- protokollalle .

Sen tavoitteena on todentaa ja salata tiedot: virtauksen voi ymmärtää vain lopullinen vastaanottaja (luottamuksellisuus) ja välittäjät eivät voi muuttaa tietoja (eheys).

IPsec on usein osa VPN: ää , se on sen turvallisuusnäkökohtien (suojattu kanava tai tunnelointi ) lähtökohta.

IPsec-pohjaisen suojatun arkkitehtuurin käyttöönotto on kuvattu yksityiskohtaisesti RFC  4301: ssä.

Operaatio

IPsec-yhteyttä muodostettaessa suoritetaan useita toimintoja:

Avainten vaihto

IKE ( Internet Key Exchange ) -protokolla on vastuussa yhteyden neuvottelemisesta. Ennen kuin IPsec-lähetys voi olla mahdollista, IKE: tä käytetään todentamaan suojatun tunnelin molemmat päät vaihtamalla jaettuja avaimia. Tämä protokolla sallii kahden tyyppisen todennuksen, PSK: n ( valmiiksi jaettu salaisuus tai jaettu salaisuus ) RSA- istuntoavainten luomiseen tai varmenteiden käyttämiseen.

Nämä kaksi menetelmää ovat ominaista se, että käyttö allekirjoittama todistus kolmannen osapuolen kutsutaan Certificate Authority (CA) tarjoaa autentikoinnin . RSA-avaimia käytettäessä osapuoli voi kieltää lähettämiensä viestien lähettäjän.

IPsec käyttää tietoturva-assosiaatiota sanelemaan, kuinka osapuolet käyttävät AH (Authentication header) -protokollaa, protokolla, joka määrittelee tietyn otsikkomuodon, joka kuljettaa todennustietoja, ja paketoi hyödyllisen kuorman.

Tiedonsiirto

Yksi tai useampi datakanava, jonka kautta yksityistä verkkoliikennettä siirretään, kaksi protokollaa ovat mahdollisia:

Toimintatilat

IPsec voi toimia isäntänä-isäntänä siirtotilassa tai verkon tunnelitilassa.

Kuljetustila

Kuljetustilassa salattu ja / tai todennettu on vain siirretty data ( IP-paketin hyötykuormaosa ). Loput IP-paketista ovat muuttumattomia, joten pakettien reititystä ei muuteta. Koska NAT ei kuitenkaan voi muuttaa IP-osoitteita vahingoittamatta IPsecin luomaa AH-otsikkomerkkiä, AH: ta ei voida käyttää ympäristössä, joka vaatii nämä otsikkomuutokset. Kuitenkin, NAT-T kapselointi voidaan kapseloida IPSec ESP. Siirtotilaa käytetään mainitun isännän ja isännän väliseen viestintään ( Host-to-Host ).

Tunnelitila

Tunnelitilassa koko IP-paketti salataan ja / tai todennetaan. Paketti kapseloidaan sitten uuteen IP-pakettiin, jossa on uusi IP-otsikko. Toisin kuin siirtomuoto, tämä tila tukee siis NAT-liikkumista, kun ESP-protokollaa käytetään. Tunnelitilaa käytetään luomaan virtuaalisia yksityisverkkoja ( VPN ), jotka mahdollistavat verkko-verkon (eli kahden etäpaikan välillä), isäntänä-verkon (käyttäjän etäkäyttö) tai isäntän ja isännän välisen viestinnän. )

Salausalgoritmit

Jotta IPsec-toteutukset toimisivat yhdessä, niillä on oltava yksi tai useampi yhteinen suojausalgoritmi. ESP- tai AH-turvayhdistykseen käytettävät suojausalgoritmit määritetään neuvottelumekanismilla, kuten Internet Key Exchange ( IKE ).

ESP- ja AH- protokollan kapseloivan IPsec-salauksen ja todennusalgoritmit ovat:

Viitaten RFC 8221: een

Luettelo IPseciin liittyvistä RFC: stä

Kiistanalainen

Sisään joulukuu 2010Gregory Perry (NETSEC-yhtiön entinen tekninen johtaja) väitti sähköpostissaan OpenBSD- kehitystiimille, että takaovet asetettiin OpenBSD OCF -kehykseen FBI : n pyynnöstä 2000-luvulla, eikä niihin enää sovelleta 10 vuoden luottamuksellisuuslauseketta. . Tätä pinoa on käytetty uudelleen muissa projekteissa, vaikka sitä onkin paljon muutettu.

Liitteet

Bibliografia

(en) Ido Dubrawski , Kuinka huijata verkon suojaamisessa , Burlington, MA, Syngress,marraskuu 2007, 432  Sivumäärä , 235  mm × 191  mm × 25  mm ( ISBN  978-1-59749-231-7 )

Viitteet

  1. Dubrawski 2007 , s.  83 .
  2. (in) "  suojausarkkitehtuuri Internet Protocol  " Kommenttipyyntö n o  4301,joulukuu 2005.
  3. Dubrawski 2007 , s.  85 .
  4. (in) "  salausalgoritmin toteuttaminen Vaatimukset Encapsulating Security Payload (ESP) ja Authentication Header (AH)  ," Kommenttipyyntö n o  4835,huhtikuu 2007.
  5. "  FBI olisi asettanut takaovet OPENBSD: n IPSec-pinon koodiin  " ( Arkisto • Wikiwix • Archive.is • Google • Mitä tehdä? ) , Ytimen ansassa ,14. joulukuuta 2010

Aiheeseen liittyvät artikkelit