Сурков Л.В. - Защита сетевого трафика с использованием IPsec и сертификатов, страница 2

Сопоставление безопасности ISAKMP используется для началавторого фазы согласования безопасности.Во второй фазе, быстром режиме (quick mode), хосты договариваются, какойпротокол будет использоваться для цифровой подписи и/или шифрования IP-пакетов. Отимени службы IPSec согласовываетсяпарасопоставлений безопасности IPSec.Обновление сведений о ключе или создание нового ключа выполняется службой Oakley втом случае, если включен режим PFS, или ограничено время жизни ключа или закончилсясрок действия сопоставления безопасности ISAKMP.Благодаря возможности использовать одно сопоставление безопасности ISAKMPдля нескольких согласований сопоставления безопасности IPSec, процесс согласованиябезопасности выполняется очень быстро. Повторное согласование безопасности ипроверка подлинности не требуются до тех пор, пока не закончится срок действиясопоставления безопасности ISAKMP.

Число повторов определяется активной политикойIPSec.МГТУ им. БауманаКафедра ИУ-65Сурков Л.В.Корпоративные сетиПрактикум «Защита сетевого трафика с использованием IPsec и сертификатов» Rev.11Рисунок 1 - Служба обеспечения безопасности IP SecurityНа рисунке 1 обозначены:Directory Service – Служба каталоговIP Security Policy – Политика безопасности IPPolicy Agent – Агент политики безопасностиIPSEC driver – Драйвер IPSECISAKMP/Oakley Service – Служба ISAKMP/OakleySA Negotiation Key Exchange – Переговоры и обмен ключамиApplication – ПриложениеTransport Layer – Транспортный уровеньInternet Layer – Уровень ИнтернетаEncrypted IP packets – Зашифрованные IP-пакетыПо завершении времени жизни основного ключа или ключа сеанса соответствующеесопоставление безопасности согласовывается заново.

Отвечающей стороне посылаетсясообщение Oakley, предписывающее отвечающей стороне пометить сопоставлениебезопасности ISAKMP как устаревшее. Это предотвращает создание недействительныхсопоставлений безопасности IPSec из устаревшего сопоставления безопасности. Oakleyпомечает как устаревшие сопоставления безопасности ISAKMP, а драйвер IPSEC —сопоставления безопасности IPSec.МГТУ им. БауманаКафедра ИУ-66Сурков Л.В.Корпоративные сетиПрактикум «Защита сетевого трафика с использованием IPsec и сертификатов» Rev.11Обработка пакетов драйвером IPSECПри загрузке агент политики Policy Agent IPSEC обновляет список фильтров IP,хранящийся в драйвере IPSEC.

Все сопоставления безопасности, связанные сустаревшими фильтрами, более не существующими в политике, удаляются вместе сустаревшими фильтрами в кэше драйвера IPSEC.Драйвер IPSEC получает список активных фильтров от агента политики IPSEC, азатем сверяет все входящие и исходящие пакеты с фильтрами в этом списке. Если пакетсовпадает с фильтром, к нему применяется действие фильтра.Если действие фильтра разрешает передачу, то пакет принимается илиотправляется без изменений. Если действие блокирует передачу, пакет отбрасывается.При обработке входящих и исходящих пакетов используются согласованныесопоставления безопасности и ключи.

Драйвер IPSEC хранит все текущие сопоставлениябезопасности во внутренней базе данных. При наличии нескольких сопоставленийбезопасности драйвер использует индекс параметров безопасности SPI для правильногоприменения сопоставлений безопасности к пакетам. Драйвер IPSEC защищает исходящийпакет IP и отправляет его на сетевую плату для передачи.На рисунке 1 показана общая схема работы IPsec. Во время передачи пакетов с узлаА на узел B выполняются следующие действия:1.

Драйвер IPSEC на компьютере A проверяет список фильтров IP в активной политикена наличие совпадающего адреса или типа трафика исходящих пакетов.2. ДрайверIPSECпредоставляетISAKMPсведениядляначаласогласованиябезопасности с компьютером B.3. Служба ISAKMP на компьютере B получает запрос для согласования безопасности.4. Двакомпьютеравыполняютобменключами,устанавливаютсоответствиебезопасности ISAKMP и создают общий секретный ключ.5. Два компьютера согласовывают уровень безопасности для передачи данных,устанавливая пару соответствий безопасности IPSEC и ключей для защиты пакетов IP.6. Используя сопоставление безопасности IPSEC для исходящего трафика и ключ,драйвер IPSEC на компьютере A подписывает пакеты для проверки целостности изашифровывает пакеты, если было согласовано шифрование.7. Драйвер IPSEC на компьютере A отправляет пакеты на соответствующий типМГТУ им.

БауманаКафедра ИУ-67Сурков Л.В.Корпоративные сетиПрактикум «Защита сетевого трафика с использованием IPsec и сертификатов» Rev.11подключения для передачи на компьютер B.8. Компьютер B получает защищенные пакеты и передает их драйверу IPSEC.9. Используя сопоставление безопасности IPSEC для входящего трафика и ключ, драйверIPSEC на компьютере B проверяет подпись целостности и, при необходимости,расшифровывает пакеты.10. Драйвер IPSEC на компьютере B передает расшифрованные пакеты драйверу TCP/IP,который передает их в принимающее приложение.Для пользователей и прикладных программ все эти процессы не видны.Стандартные маршрутизаторы и коммутаторы, передающие данные между сторонамиподключения, не требуют использования IPSEC. Они автоматически пересылаютзашифрованные пакеты IP в место назначения.Параметры политик безопасности и сопоставления безопасности SA хранятся вдвух таблицах (рисунок 2):базе данных политик безопасности (SPD—Security Policy Database) ибазе данных безопасных соединений (SAD—Security Association Database).Записи в SPD определяют, в каких случаях нужно выполнить шифрование или контрольцелостности, в то время как в SAD хранятся криптографические ключи, которые будутиспользованы для шифрования или подписи передаваемых данных.

Если согласно SPDпередаваемый пакет должен быть зашифрован, но в SAD нет соответствующего SA,служба IPsec по протоколу IKE согласовывает с другой стороной создание нового SA.Документ RFC 4301 дополнительно определяет третью таблицу—базу данных дляавторизации хостов (PAD, Peer Authorization Database), предназначенную для хранениясведений о хостах, которым разрешено создавать SA с данным хостом и о допустимыхпараметрах этих SA.МГТУ им.

БауманаКафедра ИУ-68Сурков Л.В.Корпоративные сетиПрактикум «Защита сетевого трафика с использованием IPsec и сертификатов» Rev.11Рисунок 2 - Компоненты обеспечения безопасности IPsecIPsec можно рассматривать как границу между внутренней (защищённой) ивнешней (незащищённой) сетью. Эта граница может быть реализована как на отдельномхосте, так и на шлюзе, защищающем внутреннюю сеть. Заголовок любого пакета,проходящего через границу, анализируется на соответствие политикам безопасности, тоесть критериям, заданным администратором сети. Пакет может быть либо передан дальшебез изменений, либо уничтожен, либо обработан заданным образом с помощьюпротоколов защиты данных.Защита даныхДля защиты передаваемого потока данных применяются два протокола: AH(AuthenticationHeader—аутентифицирующийзаголовок).Протоколпредусматривает аутентификацию источника данных, проверку целостности иподлинности данных после приема, а также защиту от навязывания повторныхсообщений, что гарантирует только целостность потока (передаваемые данные нешифруются). ESP (Encapsulating Security Payload—инкапсуляция зашифрованных данных).Протоколобеспечиваетшифрование(конфиденциальность)передаваемыхданных, а также выполнение всех функций протокола аугентифицирующегозаголовка (АН).МГТУ им.

БауманаКафедра ИУ-69Сурков Л.В.Корпоративные сетиПрактикум «Защита сетевого трафика с использованием IPsec и сертификатов» Rev.11Протоколы ESP и АН зарегистрированы организацией IANA (Internet AddressNaming Authority) и занесены в реестр протоколов под порядковыми номерами 50 и 51соответственно.Протоколы защиты данных могут работать в двух режимах—в транспортномрежиме и в режиме тунелирования. При работе в транспортном режиме IPsec работаеттолько с информацией транспортного уровня TCP/UDP, в режиме туннелирования—сцелыми IP-пакетами.АутентификацияАутентификация (проверка подлинности) может выполняться тремя различнымиспособами, используя: протокол безопасности Kerberos V5; сертификаты открытого ключа; общий ключ (парольная фраза).Протоколы IPsecПротокол обмена ключами IKEДля согласования параметров и управления ключами при формировании общегозащищенного канала и создании в его рамках отдельных защищенных соединенийнаибольшее распространение получил протокол ISAKMP (Internet Security Association KeyManagement Protocol — протокол управления ключами и контекстами безопасности вInternet).