giao thức ipsec

LCP Link Control Protocol Giao thức điều khiển đườngtruyềnMAC Message Authentication Code Mã nhận thực bản tinMD5 Message Digest 5 Thuật toán tóm tắn bản tin MD5MTU Maximum Tranfer Unit

MỤC LỤC

MỤC LỤC 1

DANH MỤC HÌNH VẼ 2

DANH MỤC BẢNG 3

BẢNG THUẬT NGỮ VIẾT TẮT 4

LỜI MỞ ĐẦU 5

TRONG QUÁ TRÌNH THỰC HIỆN KHÔNG TRÁNH KHỎI NHỮNG SAI SÓT, CHÚNG EM MONG SẼ NHẬN ĐƯỢC SỰ ĐÓNG GÓP CỦA THẦY VÀ CÁC BẠN 6

DANH MỤC HÌNH VẼ

Hình 1.1: Mô hình chung

Hình 1.2: Chế độ Transport và chế độ Tunnel

Hình 1.3: Cấu trúc gói tin IPSec ở chế độ Transport

Hình 1.4: Gói tin IP ở chế độ Tunnel

Hình 1.5: Thiết bị mạng thực hiện IPSec ở chế độ Tunnel

Hình 1.6: Ba trường của SA

Hình 2.1: Cấu trúc AH cho IPSec datagram

Hình 2.2: Khuôn dạng IPv4 trước và sau khi xử lý AH ở chế độ Transport

Hình 2.3: Khuôn dạng IPv6 trước và sau khi xử lý AH ở chế độ Transport

Hình 2.4: Khuôn dạng gói tin đã xử lý AH ở chế độ Tunnel

Hình 2.5: Cửa số chống phát lại

Hình 2.6: Xử lý đóng gói ESP

Hình 2.7: Khuôn dạng gói ESP

Hình 2.9: Khuôn dạng IPv6 trước và sau khi xử lý ESP ở chế độ Transport

Hình 2.10: Khuôn dạng gói tin đã xử lý ESP ở chế độ Tunnel

BẢNG THUẬT NGỮ VIẾT TẮT

ACL Acess Control List Danh sách điều khiển truy

nhập

ARP Address Resolution Protocol Giao thức phân giải địa chỉ

CHAP Challenge – Handshake

Authentication Protocol

Giao thức nhận thực yêu cầu

bắt tayCSU Channel Service Unit Đơn vị dịch vị kênh

Equiment Thiết bị truyền thông dữ liệuDES Data Encryption Standard Thuật toán mã DES

Identifier

Nhận dạng kết nối lớp liên

kết dữ liệuESP Encapsulating Sercurity

Payload

Giao thức đóng gói an toàn

tải tinHMAC Hashed – keyed Message

Authentication Code Mã nhận thực bản tin băm

ICMP Internet Control Message

Protocol

Giao thức bản tin điều khiển

InternetICV Integrity check value Giá trị kiểm tra tính toàn vẹn

IP Internet Protocol Giao thức lớp InternetIPSec IP Security Protocol Giao thức an ninh Internet

LCP Link Control Protocol Giao thức điều khiển đường

truyềnMAC Message Authentication Code Mã nhận thực bản tinMD5 Message Digest 5 Thuật toán tóm tắn bản tin

MD5MTU Maximum Tranfer Unit Đơn vị truyền tải lớn nhấtOSI Open System Interconnection Kết nối hệ thống mởPAP Password Authentication

Protocol

Giao thức nhận thực khẩu

lệnhPDU Protocol Data Unit Đơn vị dữ liệu giao thứcPPP Point-to-point Protocol Giao thức điểm - điểm

RARP Reverse Address Resolution

Protocol

Giao thức phân giải địa chỉ

ngượcRFC Request for Comment Các tài liệu về tiêu chuẩn IP

do IETF đưa raRSA Rivest-Shamir-Adleman Tên một quá trình mật mã

bằng khóa công cộng

nên sẽ có rất nhiều khó khăn trong việc bảo mật, đảm bảo an toàn dữ liệu cũng như chất lượng của các dịch vụ trực tuyến thông qua đường truyền mạng Từ đó người ta đưa ra mô hình mới nhằm thỏa mãn những yêu cầu trên mà vẫn tận dụng được cơ sở

hạ tầng mạng vốn có, đó chính là mạng riêng ảo (Virtual Private Network - VPN) VPN được định nghĩa là mạng kết nối các site khách hàng đảm bảo an ninh trên cơ

sở hạ tầng mạng chung cùng với các chính sách điều khiển truy nhập và đảm bảo an ninh như một mạng riêng Để có thể gửi và nhận dữ liệu thông qua mạng công cộng

mà vẫn đảm bảo tính an toàn và bảo mật, VPN cung cấp cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi gửi và nơi nhận (Tunnel) giống như một kết nối point – point trên mạng riêng Và IPSec (Internet Protocol Security) chính là một trong những giao thức tạo nên cơ chế “đường ống bảo mật” cho VPN Thông qua chuyên đề này, chúng em muốn đưa ra những khái niệm gần như cơ bản nhất về IPSec Bố cục chuyên đề gồm ba chương:

- Chương 1: Tổng quan về IPSec Chương này đưa ra một cái nhìn khái quát về IPSec

- Chương 2: Các giao thức chính của IPSec Chương này trình bày những giao thức chính, quan trọng trong IPSec dùng cho IP-VPN để đảm bảo tính toàn vẹn

dữ liệu, tính nhất quán, tính bí mật của truyền dữ liệu trên hạ tầng mạng công cộng

- Chương 3: Ưu khuyết điểm của IPSec

Trong quá trình thực hiện không tránh khỏi những sai sót, chúng em mong sẽ nhận được sự đóng góp của thầy và các bạn

Chúng em xin chân thành cảm ơn!

Hà Nội, ngày 26 tháng 4 năm 2012

CHƯƠNG 1: TỔNG QUAN VỀ IPSEC

Chúng ta đều biết mạng Interner nguyên thủy được phát triển để truyền thông giữa các máy tính tin cậy, vì thế nó hoàn toàn không hỗ trợ các dịch vụ an ninh Nhưng ngày nay, cùng với sự phát triển rộng khắp của Internet trên toàn thế giới, không có một tổ chức hay chính phủ nào quản lý nên vấn đề an ninh, bảo mật, đảm bảo an toàn

dữ liệu là một trong những vấn đề quan trọng Một mô hình mới, mô hình mạng riêng

ảo (VPN – Virtual Private Network) ra đời, nhằm thỏa mãn yêu cầu trên mà vẫn tận dụng được cơ sở hạ tầng mạng vốn có Và giao thức IPSec được phát triển , tạo nên cơchế “ đường ống bảo mật ” cho VPN

truyền trong đường ngầm có khuôn dạng giống các gói tin bình thường khác và khônglàm thay đổi các thiết bị, kiến trúc cũng như những ứng dụng có trên mạng trung gian,qua đó cho phép giảm đáng kể chi phí để triển khai và quản lý.

2 KIẾN TRÚC GIAO THỨC IPSEC

2.1 Mô hình chung

IPSec có hai cơ chế cơ bản để đảm bảo an toàn dữ liệu đó là AH (Authentication

Header) và ESP (Encapsulating Security Payload), trong đó IPSec phải hỗ trợ ESP và

có thể hỗ trợ AH:

• AH cho phép xác thực nguồn gốc dữ liệu, kiểm tra tính toàn vẹn dữ liệu và dịch vụ tùy chọn chống phát lại của các gói IP truyền giữa hai hệ thống AH không cung cấp tính bảo mật, điều này có nghĩa là nó gửi đi thông tin dưới dạng bản rõ

• ESP là một giao thức cung cấp tính an toàn của các gói tin được truyền bao gồm: mật mã dữ liệu, xác thực nguồn gốc dữ liệu, kiểm tra tính toàn vẹn phi kết nối của dữ liệu ESP đảm bảo tính bí mật của thông tin thông qua việc mật mã gói tin IP Tất cả lưu lượng ESP đều được mật mã giữa hai hệ thông Với đặc điểm này thì xu hướng sẽ sử dụng ESP nhiều hơn AH để tăng tính an toàn cho dữ liệu

• Cả AH và ESP là các phương tiện cho điều khiển truy nhập, dựa vào sự phân phối của các khóa mật mã và quản lý các luồng giao thông có liên quan đến nhữnggiao thức an toàn này

Những giao thức này có thể được áp dụng một mình hay kết hợp với nhau để cung cấp tập các giao thức an toàn mong muốn trong IPv4 và IPv6, nhưng cách chúng cungcấp các dịch vụ là khác nhau Đối với cả hai giao thức AH và ESP này, IPSec không định các thuật toán an toàn cụ thể được sử dụng, mà thay vào đó là một khung chuẩn

để sử dụng các thuật toán theo tiêu chuẩn công nghệ IPSec sử dụng các thuật toán:

Mã nhận thực bản tin trên cở sở băm (HMAC), thuật toán MD5 (Message Digest 5), thuật toán SHA-1 để thực hiện chức năng toàn vẹn bản tin; thuật toán DES, 3DES để mật mã dữ liệu; thuật toán khóa chia sẻ trước RSA chữ ký số và RSA mật mã giá trị ngẫu nhiên (Nonces) để nhận thực các bên Ngoài ra các chuẩn còn định nghĩa việc sửdụng các thuật toán khác như IDEA, Blowfish và RC4

Hình 1.1: Mô hình chung

2.2 Các chế độ hoạt động

IPSec có hai chế độ cung cấp nhận thực và mã hóa mức cao để thực hiện đóng gói

thông tin, đó là chế độ Transport (truyền tải) và chế độ Tunnel (đường ngầm)

Hình 1.2: Chế độ Transport và chế độ Tunnel2.2.1 Chế độ Transport (chế độ truyền tải)

Chế độ Transport cung cấp cơ chế bảo vệ cho dữ liệu của các lớp cao hơn (TCP, UDP hoặc ICMP) Trong chế độ Transport, phần IPSec header được chèn vào giữa phần IP header và phần header của giao thức tầng trên, như hình mô tả bên dưới, AH

và ESP sẽ được đặt sau IP header nguyên thủy Vì vậy chỉ có tải (IP payload) là được

mã hóa còn IP header ban đầu được giữ nguyên Chế độ Transport có thể được dùng khi cả hai host hỗ trợ IPSec Chế độ này có thuận lợi là chỉ thêm vào vài bytes cho mỗi packets và nó cũng cho phép các thiêt bị trên mạng thấy được địa chỉ cuối cùng của gói Khả năng này cho phép các tác vụ xử lý đặc biệt trên các mạng trung gian dựa trên các thông tin trong IP header Tuy nhiên các thông tin Layer 4 sẽ bị mã hóa, làm giới hạn khả năng kiểm tra gói

Hình 1.3: Cấu trúc gói tin IPSec ở chế độ Transport

Chế độ Transport thiếu mất quá trình xử lý phần đầu, do đó nó nhanh hơn Tuy nhiên, nó hiệu quả trong trường hợp ESP có khả năng không xác nhận mà cũng không

mã hóa phần đầu IP Chế độ này thường được dùng cho các kết nối từ đầu cuối đến đầu cuối, ví dụ từ trạm làm việc đến máy chủ hoặc giữa hai trạm làm việc với nhau

2.2.2 Chế độ Tunnel (chế độ đường hầm)

Không giống chế độ Transport, chế độ Tunnel bảo vệ toàn bộ gói dữ liệu Toàn

bộ gói dữ liệu IP được đóng gói trong một gói dữ liệu IP khác và một IPSec header được chèn vào giữa phần đầu nguyên bản và phần đầu mới của IP Toàn bộ gói IP banđầu sẽ bị bao bọc bởi AH hoặc ESP header và một IP header mới Toàn bộ các gói IP

sẽ được mã hóa và trở thành dữ liệu mới của gói IP mới Chế độ này cho phép những thiết bị mạng, chẳng hạn như router, hoạt động như một IPSec Proxy thực hiện chức năng mã hóa thay cho host Router nguồn sẽ mã hóa các packets và chuyển chúng dọctheo tunnel Router đích sẽ giải mã gói IP ban đầu và chuyển nó về hệ thống cuối Vì vậy header mới sẽ có địa chỉ nguồn chính là gateway

Với tunnel hoạt động giữa hai security gateway, địa chỉ nguồn và đích có thể được

mã hóa Chế độ Tunnel được dùng khi một trong hai đầu của kết nối IPSec là security gateway và địa chỉ đích thật sự phía sau các gateway không có hỗ trợ IPSec

Hình 1.4: Gói tin IP ở chế độ Tunnel Chế độ tunnel thường được dùng trong các liên kết bảo mật (SA-security

association) sẽ được giới thiệu ở phần sau, nối giữa hai gateway của hai mạng

Hình 5 là ví dụ: router A xử lý các gói từ host A, gửi chúng vào đường ngầm Router B xử lý các gói nhận được trong đường ngầm, đưa về dạng ban đầu và chuyển hóa chúng tới host B Như vậy, các trạm cuối không cần thay đổi nhưng vẫn có được tính an toàn dữ liệu của IPSec

Hình 1.5: Thiết bị mạng thực hiện IPSec ở chế độ Tunnel

2.3 Liên kết bảo mật

SA (Security Associations): là một khái niệm cơ bản của bộ giao thức IPSec Nó

là một kết nối luận lý theo một phương hướng duy nhất giữa hai thực thể sử dụng các dịch vụ IPSec

Gồm 3 trường:

Hình 1.6: Ba trường của SA

• SPI (Security Parameeter Index): là một trường 32 bit dùng để nhận giao thức bảo mật, được định nghĩa bởi trường Security protocol, trong bộ IPSec đang dùng SPI như là phần đầu của giao thức bảo mật và thường được chọn bởi hệ thống đích trong suốt quá trình thỏa thuận của SA

• Destination IP address: địa chỉ IP của nút đích Cơ chế quản lý hiện tại của

SA chỉ được định nghĩa cho hệ thống unicast mặc dù nó có thể là địa chỉ broadcast, unicast, hay multicast

• Security protocol: mô tả giao thức bảo mật IPSEC, là AH hoặc là ESP

SA trong IPSec được triển khai bằng hai chế độ: Transport và Tunnel

CHƯƠNG 2: CÁC GIAO THỨC CHÍNH

CỦA IPSEC

Giao thức AH (Authentication header) được định nghĩa trong RFC 1826 và sau đó được phát triển lại trong RFC 2402 Giao thức AH cung cấp các cơ chế bảo vệ:

• Tính toàn vẹn thông tin (intergrity): cơ chế này đảm bảo gói tin được nhận chính là gói tin đã gửi

• Xác thực nguồn gốc thông tin: cơ chế này đảm bảo gói tin được gửi bởi chính người gửi ban đầu mà không phải là người khác

• Cơ chế chống phát lại (replay protection): (đây là cơ chế tùy chọn) cơ chế này đảm bảo răng một gói tin không bị phát lại nhiều lần Cơ chế này là một thành phần bắt buộc đối với bên gửi tuy nhiên có thể tùy chọn sử dụnghoặc không sử dụng

AH cho phép xác thực các trường của IP header cũng như dữ liệu của các giao thức

ở lớp trên, tuy nhiên do một số trường của IP header thay đổi trong khi truyền và phía phát có thể không dự đoán được trước các giá trị của chúng khi tới phía thu, do đó giá trị của các trường này không bảo vệ được bằng AH Có thể nói AH chỉ có thể bảo vệ một phần IP header mà thôi AH không có bất xứ xử lý nào để bảo mật dữ liệu của cáclớp trên, tất cả đều được truyền dưới dạng bản rõ AH nhanh hơn ESP, nên có thể chọn AH trong trường hợp chắc chắn về nguồn gốc và tính toàn vẹn dữ liệu nhưng tính bảo mật dữ liệu không cần được chắc chắn

1.1 Cấu trúc gói:

Các thiết bị sử dụng AH sẽ chèn một tiêu đề vào giữa lưu lượng cần quan tâm của

IP datagram, ở phần giữa IP header và header lớp 4 Bởi vì AH được liên kết với IPSec, IP-VPN có thể định dạng để chọn lưu lượng nào cần được bảo vệ an toàn và lưu lượng nào không cần sử dụng giải pháp an toàn giữa các bên Ví dụ như bạn có thể chọn để xử lý lưu lượng email nhưng không xử lý với các dịch vụ web Quá trình

xử lỳ chèn AH header được diễn tả như trong hình 2.1

Hình 2.1: cấu trúc AH cho IPSec datagramGiải thích ý nghĩa các trường trong AH header:

- Next header: có độ dài 8 bit để nhận dạng loại dữ liệu của phần tải tin theo sau

AH Giá trị này được chọn lựa từ tập các số giao thức IP đã được định nghĩa trong các RFC gần nhất

- Payload lengh (độ dài tải tin): có độ dài 8 bit và chứa độ dài của tiêu đề AH được diễn tả trong các từ 32 bit, trừ đi 2 Ví dụ, chiều dài phần dữ liệu xác thực

là 96 bit (=3*32bit), cộng với chiều dài phần tiêu đề AH (cố định) là

3*32 bit nữa thành 6*32 bit, khi đó giá trị của trường kích thước dữ liệu là 4

- Reserved (dự trữ): trường 16bit này dự trữ cho ứng dụng trong tương lai

- Security Parameters Index (SPI: chỉ dẫn thông số an ninh): trường này có độ dài 32 bit, mang tính chất bắt buộc Nhận ra các thông số bảo mật, được tích hợp với địa chỉ IP, và nhận dạng các thương lượng bảo mật được kết hợp với gói tin Giá trị 1 – 255 được dành riêng, giá trị 0 được sử dụng cho mục đích đặc biệt

- Sequence number (số thứ tự): Đây là trường 32 bit không đánh dấu chứa một giá trị mà khi mỗi gói được gửi đi thì tăng lên một Trường này có tính bắt buộc Bên gửi luôn luôn bao gồm trường này ngay cả khi bên nhận không sử dụng dịch vụ chống phát lại Bộ đếm bên gửi và nhận được khởi tạo ban đầu là

số này không thể lặp lại, sẽ có một yêu cầu kết thúc phiên truyền thông và SA

sẽ được thiết lập mới trở lại sau khi truyền 232 gói

- Authentication Data (dữ liệu nhận thực): còn được gọi là ICV (Integrity Check value: giá trị kiểm tra tính toàn vẹn) có độ dài thay đổi, bằng số nguyên lần của

32 bit đối với IPv4 và 64 bit đối với IPv6, và có thể chứa đệm để lấp đầy cho

đủ là bội số các bit như trên ICV được tính toán sử dụng thuật toán nhận thực, bao gồm mã nhận thực bản tin (Message Authentication Code MACs) MACs đơn giản có thể là thuật toán mã hóa MD5 hoặc SHA-1 Các khóa dùng cho mãhóa AH là các khóa xác thực bí mật được chia sẻ giữa các phần truyền thông cóthể là một số ngẫu nhiên, không phải là một chuỗi có thể đoán trước của bất cứ loại nào Tính toán ICV được thực hiện sử dụng gói tin mới đưa vào Bất kỳ trường có thể biến đổi của IP header nào đều được cài đặt bằng 0, dữ liệu lớp trên được giả sử là không thể biến đổi Mỗi bên tại đầu cuối IP-VPN tính toán ICV này độc lập Nếu ICV tính toán được ở phía thu và ICV được phía phát truyền đến khi so sánh với nhau mà không phù hợp thì gói tin bị loại bỏ, bằng cách như vậy sẽ đảm bảo rằng gói tin không bị giả mạo

1.2 Quá trình xử lý AH

Hoạt động của AH được thực hiện qua các bước như sau:

- Bước 1: Toàn bộ gói IP (bao gồm IP header và tải tin) được thực hiện qua một hàm băm một chiều

- Bước 2: Mã hash thu được dùng để xây dựng một AH header, đưa header này vào gói dữ liệu ban đầu

- Bước 3: Gói dữ liệu sau khi thêm AH header được truyền tới đối tác IPSec

- Bước 4: Bên thu thực hiện hàm băm với IP header và tải tin, kết quả thu được một mã hash

- Bước 5: Bên thu tách mã hash trong AH header

- Bước 6: Bên thu so sánh mã hash mà nó tính được mà mã hash tách ra từ AH header Hai mã hash này phải hoàn toàn giống nhau Nếu khác nhau chỉ một bittrong quá trình truyền thì 2 mã hash sẽ không giống nhau, bên thu lập tức phát hiện tính không toàn vẹn của dữ liệu

1.2.1 Vị trí của AH

AH có hai chế độ hoạt động, đó là chế độ Transport và chế độ Tunnel Chế độ

Ở chế độ Transport cho phép bảo vệ các giao thức lớp trên, cùng với một số trườngtrong IP header Trong kiểu này, AH được chèn vào sau IP header và trước một giao thức lớp trên (chẳng hạn như TCP, UDP, ICMP…) và trước các IPSec header đã đượcchen vào Đối với IPv4, AH đặt sau IP header và trước giao thức lớp trên (ví dụ ở đây

là TCP) Đối với IPv6, AH được xem như phần tải đầu cuối tới đầu cuối, nên sẽ xuất hiện sau các phần header mở rộng hop-to-hop, routing và fragmentation Tiêu đề đích tùy chọn (dest options extension header) có thể trước hoặc sau AH Vị trí tương quan của tiêu đề này với AH phụ thuộc vào việc quá trình xử lý xác định đối với nó diễn ra trước hay sau khi quá trình xác thực diễn ra

Hình 2.2: Khuôn dạng IPv4 trước và sau khi xử lý AH ở chế độ Transport

Hình 2.3: Khuôn dạng IPv6 trước và sau khi xử lý AH ở chế độ Transport Trong chế độ Tunnel, inner IP header mang địa chỉ nguồn và đích cuối cùng, còn outer IP header mang địa chỉ để định tuyến qua Internet Trong kiểu này, AH bảo vệ toàn bộ gói tin IP bên trong, bao gồm cả inner IP header (trong khi AH transport chỉ bảo vệ một số trường của IP header) Đối với outer IP header thì vị trí của AH giống như trong kiểu Transport

Hình 2.4: Khuôn dạng gói tin đã xử lý AH ở chế độ Tunnel

1.2.2 Các thuật toán xác thực

Thuật toán xác thực sử dụng để tính ICV được xác định bởi liên kết bảo mật SA (Security Association) Đối với truyền thông điểm tới điểm, các thuật toán xác thực thích hợp bao gồm các hàm băm một chiều (MD5, SHA-1) Đây chính là những thuật toán bắt buộc mà một ứng dụng AH phải hỗ trợ

1.2.3 Xử lý gói đầu ra

Một khi đã xác định rằng thông điệp gửi đi được bảo vệ bởi AH, và đã xác định được một SA phù hợp quản lý việc truyền thông điệp này Thông điệp được chuyển tiếp quá trình xử lý IPSec Quá trình này gồm các bước sau:

- Bước 1: Thêm một khuôn dạng AH vào vị trí thích hợp

- Bước 2: Thêm vào trường next header

- Bước 3: Thêm vào trường SPI bằng giá trị SPI của SA được chọn ở trên

- Bước 4: Tính giá trị sequence number (giá trị max của trường này là 2(32-1)) Nếu giá trị này chưa đạt giá trị max thì chỉ cần tăng sequence number lên một đơn vị Giá trị mới này được cất vào AH và SAD Ngược lại khi sequence number đã đạt đến giá trị max thì có thể xảy ra các tình huống như sau: nếu khóa bí mật giữa các bên của SA đã được thỏa thuận, đây là thời điểm thỏa thuận một khóa mới bất kể bên nhận có sử dụng chức năng chống phát lại hay không Thông điệp này có thể được giữ lại hoặc hủy bỏ cho đến khi quá trình thỏa thuận khóa mới diễn ra Nếu khóa của SA được tạo ra thủ công, nghĩa là hai bên thỏa thuận khóa với nhau thông qua một số cách xác định như là qua