PublicouIsabelle Denis Alterado mais de 5 anos atrás
2 IP Sec - IP Seguro Padrão aberto baseado em RFC (IETF).
3 Implementação do IPsec
IPsec pode ser implementado de três formas: Como um driver Reescrevendo-se o código do protocolo IP Dispositivo externo "Bump-in-the-wire" (BITW) IP IPsec Driver IP/IPsec Nativo Enlace (Driver da Placa de Rede) Enlace (Driver da Placa de Rede) Sistemas Operacionais Roteadores
4 Tipos de IPSec IP Autentication Header (AH)
Oferece recursos de: Autenticação Integridade IP Encapsulating Security Payload (ESP) Confidencialidade
5 Modos de Utilização do IPsec
6 Modo Tunel e Transporte
8 Modo AH Definido pelo protocolo IP tipo 51
9 AH e Modo Túnel e Modo Transporte
10 Authentication Header
11 Campos do IPsec AH Next Header: Length: Security Parameter Index:
12 Campos do IPsec AH Sequence Number: Host A Host B
13 Authentication Data Para enviar um pacote:
14 Algoritmo de Integridade
15 Negociação Diffie-Hellman
16 Algoritmo Diffie-Hellman
17 A B Diffie-HellMan 1. Segredo Pré-Compartilhado
18 Negociação (Simplificada)
lista de algorítmos desejados: MD5, SHA1 algoritmo aceito: SHA1 negociação Diffie-Hellman (chave de pública de A) B A negociação Diffie-Hellman (chave de pública de B) SA associação de segurança (chave sessão + algoritmo) SPI SA associação de segurança (chave sessão + algoritmo) SPI Identidade Criptografada (chave de sessão) Algoritmos SHA1 Algoritmos MD5 SHA1 Identidade Criptografada (chave de sessão)
19 Associação de Segurança
20 Quando transmitir para B use SPI=5
21 AH Modo Tunel e Transporte
22 ESP IPSec : Tunel e Transporte
23 Encrypted Security Payload Header
24 Campos do IPsec ESP Header: Trailler: Auth:
25 Negociação C A lista de algorítmos desejados: 3DES, DES
algoritmo aceito: DES negociação Diffie-Hellman (chave de pública de A) C A negociação Diffie-Hellman (chave de pública de C) SA associação de segurança (chave sessão + algoritmo) SPI SA associação de segurança (chave sessão + algoritmo) SPI Identidade Criptografada (chave de sessão) Algoritmos DES Algoritmos 3DES DES Identidade Criptografada (chave de sessão)
26 Quando transmitir para C use SPI=6
27 ESP Modo Tunel e Transporte
28 Configuração do IPsec Cada dispositivo de rede (Host ou Gateway) possui uma política de segurança que orienta o uso de IPsec. Uma política IPsec é formada por um conjunto de regras, muito semelhantes as regras de um firewall. As políticas IPsec são definidas de maneira distinta para os pacotes transmitidos e para os pacotes recebidos.
29 Estrutura Geral do IPsec
30 Políticas de Segurança
31 Elementos para Configuração do IPsec
32 Condição (Lista de Filtros)
33 Ação A ação define o que deverá ser feito com o pacote recebido ou transmitido. O IPsec define 3 ações: repassar o pacote adiante sem tratamento ação: bypass IPsec rejeitar o pacode ação discard negociar IPsec define um modo de comunicação incluindo as opções Tunel, Transporte, IPsec ESP e IPsec AH.
34 Ações IPsec na Transmissão
35 Ações IPsec na Recepção
36 Negociar IPsec Se a ação for do tipo Negociar IPsec, deve-se definir:
37 Algoritmos Utilizados
Algoritmo de Chave Pública: Diffie-Hellman Algoritmos de Criptografia: DES-CBC with Explicit IV 40-bit DES-CBC with Explicit IV DES-CBC with Derived IV as specified in RFC 1829 Algoritmos de Autenticação: HMAC-MD5 HMAC-SHA Keyed MD5 conforme RFC 1828
38 Implementação de Políticas
39 Ordenamento dos Regras
Uma política IPsec pode ter regras conflitantes, por exemplo: Política ICMP RegraSubRede: Localhost de/para /24::ICMP negociar IPsec RegraExceção: Localhost de/para ::ICMP passar Existem duas abordagems para resolver esse caso: As regras são avaliadas em ordem: a primeira ser satisfeita é utilizada (abordagem Cisco) As regras são avaliadas da mais específica para a mais genérica, independente da ordem (abordagem Microsoft).
40 Priorização Idealmente, as regras deveriam ser avaliadas de acordo com a granulariadade dos filtros: My IP Address Specific IP Address defined Specific IP Subnet Any IP Address A mesma abordagem vale em relação as portas e protocolos: Specific Protocol/Port combination Specific Protocol/Any Port Any Protocol Em implementações em que o ordenamento não é automático, cabe ao administrador da rede escolher a ordem.
41 Política Default Assim como um firewall, também é possível estabelecer uma política default para o IPsec. A políticas default será aplicada quando as condições do pacote não forem satisfeitas por nenhuma das regras pré-definidas. A política default pode ser: Bloquear Bypass IPsec Negociar IPsec em vários modos: IPsec ESP 3DES, SHA1 IPsec ESP DES, MD5 AH SHA1 AH MD5
42 Exemplo 1: Política 1 para ICMP
Objetivo: Evitar ataques ICMP com spoofing. Política: Para o HOST B: Apenas mensagens ICMP vindas da subrede /24 em modo IPsec AH são aceitas. Se o solicitante não suporta IPsec, então a comunicação é Rejeitada
43 Exemplo de Política Transporte: ICMP
2 REGRAS REDE_A HOST_B ICMP HOST_B REDE_A ICMP REDE A HOST B ICMP ICMP (AH) rede /24
44 Política para o HOST B Modo IP Origem Destino Protocolo Porta Origem
Porta Destino Acao
45 Política para os Clientes
Modo IP Origem Destino Protocolo Porta Origem Porta Destino Acao
46 Expandindo a política: Acesso HTTP
Objetivo: Possibilitar que usuários da Intranet possam estabelecer comunicação em modo seguro, com criptografia de dados. Política: Para o HOST B: Apenas o acesso da subrede /24 em modo IPsec ESP é permitido. Se o solicitante da rede interna não suporta IPsec, então a comunicação pode ocorrer sem IPsec. Se o solicitante pertencer a uma outra subrede, então a comunicação é bloqueada.
47 Acesso HTTP 2 REGRAS REDE_A HOST_B HTTP HOST_B REDE_A HTTP REDE A HTTP
HTTP (ESP) HTTP
48 Política para o HOST B Modo IP Origem Destino Protocolo Porta Origem
Porta Dest. Acao
49 Política para os Clientes
Modo IP Origem Destino Protocolo Porta Origem Porta Dest. Acao
50 Políticas Básicas Algumas implementações de IPsec, como no Windows 2000 oferecem ações pré-definidas para facilitar a configuração das regras. Sem IPsec Client (Respond Only) Implementa IPsec apenas se exigido pelo Servidor. Secure Server (Require Security) Efetua apenas comunicação IPsec. Rejeita conexões com clientes que não suportam IPsec. Server (Request Security) Solicita sempre comunicação IPsec. Aceita conexões sem segurança se o cliente não suportar IPsec.
51 Políticas Básicas Request Não Fala Security IPsec Cliente
Require Security CLIENTE SERVIDOR
52 Pergunta: Que política Básica deve ser configurada nos hosts da rede A para que eles possam acessar o servidor HTTP em modo IPsec? RESPOSTA: Sem IPsec: Cliente: Request Security Require Security
53 Exemplo de Política Túnel
Cenário: Host A Host B ESP (túnel, obrigatório) Gateway default /24 /24 Rede A Rede B
54 Observação: Políticas com Tunelamento
É necessário criar uma regra para enviar e outra para receber pacotes pelo túnel, em cada um dos gateways VPN. IP_B IP_A R_B R_A IP_B IP_A R_B R_A IP_A IP_B R_A R_B IP_A IP_B R_A R_B A B Rede B Rede A IP_A IP_B
55 Objetivos da Política Permitir que duas redes da organização troquem informação em modo seguro. A informação deve ser criptograda enquanto estiver transitando entre as duas redes. Apenas os hosts pertencentes as subredes /24 e /24 podem utilizar o canal VPN.
56 Política para o Gateway A
Modo IP Origem Destino Protocol Porta Origem Porta Dest. Acao
57 Política para o Gateway B
58 Security Association (SA)
59 Security Association Uma vez definida uma política comum a ambos os computadores, uma associação de segurança (SA) é criada para "lembrar" as condições de comunicação entre os hosts. Isso evita que as políticas sejam revistas pelo IPsec a cada novo pacote recebido ou transmitido. Cada pacote IPsec identifica a associação de segurança ao qual é relacionado pelo campo SPI contido tanto no IPsec AH quanto no IPsec ESP.
60 Negociação de SA's A negociação de SA e o gerenciamento de chaves é implementado por mecanismos externos ao IPsec. A única relação entre esses mecanismos externos e o IPsec é através do SPI (Secure Parameter Index). O gerenciamento de chaves é implementado de forma automática pelo protocolo: IKE: Internet Key Exchange Protocol
61 Distribuição de Chaves no IPsec
A distribuição de chaves no IPsec é implementado de forma independente do protocolo, na forma de uma aplicação. UDP 500
62 Princípios para Criação das SA
Todo dispositivo que estabelece um SA deve ser previamente autenticado. Toda informação trocada para criar os SA's deve ser autenticada e criptografada. IKE: Autenticação de "peers" numa comunicação IPsec. Através de segredos pré-definidos. Através do Kerberos. Através de Certificados. Negocia políticas de segurança. Manipula a troca de chaves de sessão.
63 IPsec faz uma negociação em Duas Fases
Criação de uma SA Temporária Cria um canal seguro temporário para Negociação da SA Definitiva. FASE 2: Criação de uma SA Permanente Cria o canal seguro para transmissão dos dados. O driver IPsec: Verifica mudanças de política a cada 180 minutos. Refaz a autenticação a cada 480 minutos Pode reutilizar ou não a chave mestra da Fase 1 para gerar novas chaves de sessão em comunicações seguras com o mesmo computador.
64 Fases de Criação da SA FASE 1: Autenticação Policy Negotiation
Utiliza um SA temporário (ISAKMP AS) Policy Negotiation Determina: O Algoritmo de criptografia: DES, 3DES, 40bitDES, ou nenhum. O Algoritmo de integridade: MD5 or SHA. O Método de autenticação: Public Key Certificate, preshared key, or Kerberos V5. O grupo Diffie-Hellman.
65 Fases de Criação da SA 2. Key Information Exchange 3. Authentication
Utiliza Diffie-Helman para trocar um segredo compartilhado 3. Authentication Utiliza um dos mecanismos da fase 1 para autenticar o usuário.
66 Fases de Criação da SA FASE 2: Criação do SA para IPsec
Define o SA que será realmente usado para comunicação segura Policy Negotiation Determina: O protocolo IPsec: AH, ESP. O Algoritmo de Integridade: MD5, SHA. O Algoritmo de Criptografia: DES, 3DES, 40bitDES, or none. O SA e as chaves são passadas para o driver IPsec, junto com o SPI.
67 Modos de Utilização do IPsec
SA SA Rede Confiável Rede não Confiável Rede Confiável Gateway Seguro Gateway Seguro SA SA Rede não Confiável Rede Confiável Host Gateway Seguro SA SA Rede não Confiável Host Host
68 Combinação de SA (SA bundle)
71 Configuração do Firewall
72 IPsec e L2TP O IPsec realiza apenas tunelamento em camada 3.
73 Tunelamento L2TP com IPsec
74 Conclusão IPsec é uma extensão de segurança para o protocolo IP definido pelo IETF, que permite criar políticas que servem tanto para intranets quanto para extranets. IPsec define mecanismos que são padronizados tanto para IPv4 (IPsec é facultativo) quanto para IPv6 (neste caso, IPsec é mandatório). Existem críticas sobre o modo atual de operação do IKE em dua fases, bem como o uso do protocolo AH. Esses temas são sujeitos a revisões futuras
Segurança, Mobilidade e Multihoming Universidade Federal do Rio de Janeiro – UFRJ Disciplina: Redes de Computadores II /2 Professores: Otto C. M.