IPsec

La sostanza di questo articolo sui computer è da verificare (settembre 2016).

Miglioralo o discuti le cose da controllare . Se hai appena apposto il banner, indica qui i punti da verificare .

IPsec ( Internet Protocol Security ), definito dall'IETF come un framework di standard aperti per garantire comunicazioni private e protette su reti IP, attraverso l'utilizzo di servizi di sicurezza crittografica , è un insieme di protocolli che utilizzano algoritmi che consentono il trasporto sicuro dei dati su un rete IP . IPsec differisce dai precedenti standard di sicurezza non essendo limitato a un singolo metodo o algoritmo di autenticazione ed è per questo che è considerato un framework di standard aperti . Inoltre, IPsec opera a livello di rete (livello 3 del modello OSI ) a differenza degli standard precedenti che operavano a livello di applicazione (livello 7 del modello OSI ), il che lo rende indipendente dalle applicazioni e significa che gli utenti non lo fanno non è necessario configurare ogni applicazione secondo gli standard IPsec.

Presentazione

Sviluppata per funzionare con il protocollo IPv6 , la suite di protocolli IPsec è stata adattata all'attuale protocollo IPv4 .

Il suo obiettivo è autenticare e crittografare i dati: il flusso può essere compreso solo dal destinatario finale (riservatezza) e la modifica dei dati da parte degli intermediari non può essere possibile (integrità).

IPsec è spesso un componente della VPN , è all'origine del suo aspetto di sicurezza (secure channel o tunneling ).

L'implementazione di un'architettura sicura basata su IPsec è dettagliata nella RFC  4301.

operazione

Quando si stabilisce una connessione IPsec, vengono eseguite diverse operazioni:

Scambio di chiavi

Il protocollo IKE ( Internet Key Exchange ) è responsabile della negoziazione della connessione. Prima che sia possibile una trasmissione IPsec, IKE viene utilizzato per autenticare entrambe le estremità di un tunnel protetto scambiando chiavi condivise. Questo protocollo consente due tipi di autenticazione, PSK ( pre- shared secret o shared secret ) per la generazione di chiavi di sessione RSA o tramite certificati.

Questi due metodi si distinguono per il fatto che l'utilizzo di un certificato firmato da una terza parte denominata Certificate Authority (CA) fornisce l' autenticazione . Mentre con l'uso delle chiavi RSA, una parte può negare di essere l'autore dei messaggi inviati.

IPsec utilizza un'associazione di sicurezza per dettare come le parti utilizzeranno AH (intestazione di autenticazione) , un protocollo che definisce un formato di intestazione specifico che trasporta informazioni di autenticazione e incapsulamento del carico utile da un pacchetto.

Trasferimento dati

Uno o più canali dati attraverso i quali viene convogliato il traffico di rete privata, sono possibili due protocolli:

Modalità operative

IPsec può funzionare in modalità di trasporto da host a host o in modalità tunnel di rete.

Modalità di trasporto

In modalità di trasporto, solo i dati trasferiti (la parte payload del pacchetto IP) sono crittografati e/o autenticati. Il resto del pacchetto IP rimane invariato e quindi l'instradamento dei pacchetti non viene modificato. Tuttavia, poiché gli indirizzi IP non possono essere modificati da NAT senza danneggiare l' hash dell'intestazione AH generato da IPsec, AH non può essere utilizzato in un ambiente che richiede queste modifiche all'intestazione. Tuttavia, l' incapsulamento NAT-T può essere utilizzato per incapsulare IPSec ESP. La modalità di trasporto viene utilizzata per la comunicazione da detto host a host ( Host-to-Host ).

Modalità tunnel

In modalità tunnel, l'intero pacchetto IP è crittografato e/o autenticato. Il pacchetto viene quindi incapsulato in un nuovo pacchetto IP con una nuova intestazione IP. A differenza della modalità di trasporto, questa modalità supporta quindi l'attraversamento NAT quando viene utilizzato il protocollo ESP. La modalità tunnel viene utilizzata per creare reti private virtuali ( VPN ) che consentono la comunicazione da rete a rete (ovvero tra due siti remoti), da host a rete (accesso remoto da parte di un utente) o da host a host (messaggistica privata). )

Algoritmi crittografici

Affinché le implementazioni IPsec possano interagire, devono avere uno o più algoritmi di sicurezza in comune. Gli algoritmi di sicurezza utilizzati per un'associazione di sicurezza ESP o AH sono determinati da un meccanismo di negoziazione, come Internet Key Exchange ( IKE ).

Gli algoritmi di crittografia e autenticazione per IPsec che incapsulano il protocollo ESP e AH sono:

Con riferimento a RFC 8221

Elenco delle RFC relative a IPsec

Controverso

Nel dicembre 2010, Gregory Perry (ex direttore tecnico della società NETSEC) ha affermato in una e-mail al team di sviluppo di OpenBSD che le backdoor sono state collocate nel framework OCF di OpenBSD su richiesta dell'FBI negli anni 2000, non più soggette a una clausola di riservatezza di 10 anni . Questo stack è stato riutilizzato in altri progetti, sebbene da allora ampiamente modificato.

Appendici

Bibliografia

(it) Ido Dubrawski , Come barare per proteggere la tua rete , Burlington, MA, Syngress,novembre 2007, 432  pag. , 235  mm × 191  mm × 25  mm ( ISBN  978-1-59749-231-7 )

Riferimenti

  1. Dubrawski 2007 , p.  83 .
  2. (in) "  Architettura di sicurezza per il protocollo Internet  ", Richiesta di commenti n .  4301,dicembre 2005.
  3. Dubrawski 2007 , p.  85 .
  4. (in) "  Requisiti di implementazione dell'algoritmo crittografico per l'incapsulamento del payload di sicurezza (ESP) e dell'intestazione di autenticazione (AH)  ", richiesta di commenti n .  4835,aprile 2007.
  5. "  L'FBI avrebbe inserito backdoor nel codice dello stack IPSec di OPENBSD  " ( Archivio • Wikiwix • Archive.is • Google • Cosa fare? ) , Sulla trappola del kernel ,14 dicembre 2010

Articoli Correlati