Đồ án môn học Bảo mật thông tin

1 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG CƠ SỞ TPHCM KHOA CÔNG NGHỆ THÔNG TIN ———***——— Đồ án môn học Bảo mật thông tin IPSEC và TRIỂN KHAI HỆ THỐNG IPSEC/VPN TRÊN WINDOWS SERVER 2003 Giáo viên hướng dẫn: Thầy LÊ PHÚC Nhóm sinh viên thực hiện: 1.Trương Thế Linh 2.Tô Đình Nghị 3.Phùng Huy Khương 4.Nguyễn Thị Phúc TPHCM / 11. 2009 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 2 Mục lục I. Lời mở đầu 4 II. Tìm hiểu về IPSEC 5 1. Giới thiệu về IPSEC 5 2. Kiến trúc giao thức IPSEC 5 2.1 Mô hình chung……………………………………………………………… 5 2.2 Các giao thức cơ bản……………………………………………………… 6 2.3 Liên kết bảo mật……………………………………………………………. 6 2.4 Transport mode và Tunnel mode…………………………………………… 7 3. Giao thức AH…………………………………………………………………… 7 3.1 Các cơ chế bảo vệ được cung cấp bởi giao thức AH……………………… 7 3.2 Cấu trúc của AH……………………………………………………………. 8 3.3 Vị trí của AH……………………………………………………………… 8 3.4 Các mode làm việc trong AH……………………………………………… 9 3.5 Nested và Adjacent header trong AH…………………………………… 10 3.6 Quá trình xử lí tiêu đề IPSEC……………………………………………… 11 3.7 Quá trình xử lí của AH với các gói tin Outbound …………………………. 12 3.8 Quá trình xử lí của AH đối với các gói tin Inbound……………………… 16 3.9 Một số điểm phức tạp trong giao thức AH………………………………… 18 3.9.1 Vấn đề phân mảnh và việc quản lí các gói ICMP trong giao thức AH 19 3.9.2 Mối quan hệ giữa NAT và IPSEC……………………………………. 20 3.9.3 Vấn đề auditing (giám sát ) trong AH………………………………….21 4. Giao thức ESP……………………………………………………………………22 4.1 Các cơ chế bảo vệ được cung cấp bởi ESP…………………………………. 22 4.2 Cấu trúc của ESP……………………………………………………………. 23 4.3 Vị trí và các mode làm việc của ESP………………………………………. 25 4.4 Nested và Adjacent header trong ESP………………………………………26 4.5 Qúa trình xử lí của ESP đối với các gói tin Ounbound……………………. 27 4.6 Qúa trình xử lí của ESP đối với các gói tin Inbound…………………………30 4.7 Một số điểm phức tạp trong giao thức ESP………………………………… 30 4.8 Một số đánh giá ,phê bình của các chuyên gia về ESP……………………… 31 4.9 Lý do sử dụng hai tiêu đề bảo vệ……………………………………………. 32 5. Quản lý khóa với IKE ……………………………………………………………32 5.1 Tổng quan về quản lí khóa 32 5.2 IKE phases ………………………………………………………………… 33 5.3 IKE modes ………………………………………………………………… 33 6. PF keys trong IPSEC………………………… ……………… 36 6.1 Giới thiệu…………………………………………………………………… 36 6.2 Cấu tạo……………………………………………………………………… 37 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 3 7. Mục đích và ưu khuyết điểm của IPSEC …………………………………… 38 8. Triển khai IPSEC 40 8.1 .Các tác động bảo mật……………………………………………………… 40 8.2 Các phương pháp chứng thực được Microsoft hỗ trợ 41 8.3 IPSEC policy 41 8.4 IPSEC làm việc như thế nào 42 III. Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 43 1. Mô hình triển khai 43 2. Các bước thực hiện 43 IV Tài liệu tham khảo……………………………………………………………………… 58 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 4 I.Lời nói đầu: Trong thời đại Internet phát triển rộng khắp như ngày nay, những dịch vụ như đào tạo từ xa, mua hàng trực tuyến, tư vấn y tế trực tuyến đã trở thành hiện thực. Tuy nhiên, do Internet có phạm vi toàn cầu, không một tổ chức hay chính phủ nào quản lý nên sẽ có rất nhiều khó khăn trong việc bảo mật, đảm bảo an toàn dữ liệu cũng như chất lượng của các dịch vụ trực tuyến thông qua đường truyền mạng. Từ đó, người ta đã đưa ra mô hình mới nhằm thỏa mãn những yêu cầu trên mà vẫn tận dụng được cơ sở hạ tầng mạng vốn có, đó chính là mạng riêng ảo (Virtual Private Network-VPN). Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật, VPN cung cấp cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi gửi và nơi nhận (Tunnel) giống như một kết nối point-point trên mạng riêng.Và IPSEC (Internet Protocol Security) chính là một trong những giao thức tạo nên cơ chế “đường ống bảo mật” cho VPN. Thông qua tài liệu này sẽ giúp chúng ta hiểu những khái niệm gần như cơ bản nhất về IPSEC cũng như cách triển khai một hệ thống IPSEC/VPN trên Windows Server 2003. Trong quá trình biên soạn chắc không tránh khỏi những sai sót, mong được sự đóng góp của thầy và các bạn.Xin chân thành cảm ơn. Nhóm thực hiện. Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 5 II.Tìm hiểu về IPSEC 1:Giới thiệu về IPSEC IPSEC ( Internet Protocol Security) là giao thức ở lớp Network (OSI) cho phép gửi nhận các gói IP được mã hóa. Tùy theo mức độ cần thiết, IPSEC có thể cung cấp cả tính bảo mật và xác thực cho quá trình trao đổi dữ liệu dựa trên hai kiểu dịch vụ mã hóa: AH, ESP. Mục đích chính của việc phát triển IPSEC là cung cấp một cơ cấu bảo mật ở tầng 3 trong mô hình OSI. IPSEC cũng là một thành phần quan trọng hỗ trợ giao thức L2TP ( Layer two tunneling protocol ) trong công nghệ mạng riêng ảo VPN. 2 Kiến trúc giao thức IPSEC: 2.1 Mô hình chung: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 6 2.2 Các giao thức cơ bản trong IPSEC: -Hai giao thức cơ bản để thực thi IPSEC là AH và ESP. -AH chỉ cung cấp các dịch vụ xác thực,ESP vừa cung cấp các dịch vụ bảo mật vừa cung cấp các dịch vụ xác thực 2.3 Liên kết bảo mật: -SA (Security Associations) :Là một khái niệm cơ bản của bộ giao thức IPSEC. SA là một kết nối luận lý theo một phương hướng duy nhất giữa hai thực thể sử dụng các dịch vụ IPSEC. SA gồm có 3 trường : Hình biểu diễn 3 trường của SA Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 7 -SPI (Security Parameter Index) : là một trường 32 bits dùng nhận dạng giao thức bảo mật, được định nghĩa bởi trường Security protocol, trong bộ IPSEC đang dùng. SPI như là phần đầu của giao thức bảo mật và thường được chọn bởi hệ thống đích trong suốt quá trình thỏa thuận của SA. -Destination IP address : địa chỉ IP của nút đích. Cơ chế quản lý hiện tại của SA chỉ được định nghĩa cho hệ thống unicast mặc dù nó có thể là địa chỉ broadcast, unicast, hay multicast. -Security protocol : mô tả giao thức bảo mật IPSEC, là AH hoặc là ESP.SA trong IPSEC được triển khai bằng 2 chế độ đó là Tunnel mode và Transport mode. 2.4 Transport mode và Tunnel mode: Hiện tại, IPSEC có hai chế độ làm việc: Transport Mode và Tunnel Mode. Cả AH và ESP đều có thể làm việc với một trong hai chế độ này. Hình minh họa hai chế độ làm việc của IPSEC 3.Giao thức AH 3.1 Các cơ chế bảo vệ được cung cấp bởi giao thức AH: -Tính toàn vẹn thông tin( intergrity):Cơ chế này đảm bảo gói tin nhận được chính là gói tin đã gửi. -Xác thực nguồn gốc thông tin :Cơ chế này đảm bảo gói tin được gửi bởi chính người gửi ban đầu mà không phải là người khác. -Cơ chế chống phát lại(Replay protection)(đây là cơ chế tùy chọn(optional),không bắt buộc):Cơ chế này đảm bảo rằng một gói tin không bị phát lại nhiều lần.Cơ chế này là một thành phần bắt buộc đối với bên gửi tuy nhiên bên nhận có thể tùy chọn sử dụng hoặc không sử dụng . Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 8 3.2 Cấu trúc của AH: Các trường trong AH: -Next header(8 bits):Xác định loại dữ liệu chứa trong tiêu đề AH.Sử dụng các quy ước của TCP/IP. -Payload len(8 bits):Xác định độ dài tiêu đề AH , tính bằng đơn vị từ I( 32 bits) trừ đi 2 đơn vị. -Reserved(16 bits):Dành riêng chưa sử dụng,được gán chuỗi bit 0. -SPI(security paramaters index)(32 bits):Nhận dạng liên kết SA.Giá trị từ 1 đển 255 được giành riêng.Giá trị 0 được dùng vào mục đích đặc biệt.Ví dụ một cơ chế quản lí khóa có thể sử dụng SPI với giá trị 0 để thể hiện rằng không có một SA nào tồn tại trong quá trình IPSEC đã yêu cầu bộ quản lí khóa tạo một SA mới nhưng SA này vẫn chưa được khởi tạo. -Sequence number(32 bits):Số thứ tự gói truyền trên SA.Thông qua việc theo giỏi chỉ số này và gửi nó cho bên nhận,bên gửi có thể giúp bên nhận thực hiện việc chống phát lại (anti-replay) nếu bên nhận muốn. -Authentication data:Trường này có kích thước không xác định,không xác định trước,đảm nhiệm vai trò chính của AH.Nó bao gồm ICV(intergrity check value:kiểm tra sự toàn vẹn) . Bên nhận sử dụng nó để kiểm tra tính toàn vẹn và tính xác thực của thông điệp.Trường này có thể được chèn thêm nếu cần thiết để đảm bảo tổng chiều dài của AH là bội số của 32 bits ( đối với Ipv4) và 64 bits (đối với Ipv6). 3.3:Vị trí của AH trong gói tin IP: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 9 Hình trên mô tả vị trí của tiêu đề AH trong các gói tin Ipv4 và Ipv6. -Trong Ipv4 ,AH theo sau tiêu đề của gói tin Ip,tiếp đến là các tiêu đề của các giao thức ở trên ( TCP,UDP ,ICMP) hoặc tiêu đề ESP. -Trong Ipv6,vị trí của AH cũng tương tự như trên , tuy nhiên trong Ipv6 có thêm các tiêu đề tùy chọn.Vị trí tương quan của các tiêu đề này và AH như sau: Các tiêu đề của các tùy chọn mở rộng trong Ipv6 đứng trước AH là các tiêu đề hop-by-hop,tiêu đề định tuyến (routing header),tiêu đề phân mảnh ( fragment header); Tiêu đề đích tùy chọn( dest options header) có thể đứng trước hoặc theo sau AH.Vị trí tương quan của tiêu đề này với AH phụ thuộc vào việc quá trình xử lí xác định đối với nó diễn ra trước hay sau khi quá trình xác thực diễn ra. 3.4 Các chế độ làm việc trong AH: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 10 Hình trước minh họa vị trí của AH trong chế độ Transport,chế độ này thường được sử dụng để xác thực đầu cuối giữa hai host.Tuy nhiên trong trường hợp hai SG (security gateway) được sử dụng để bảo vệ cho nhiều host trong một mạng thì chế độ tunnel được sử dụng.Hình trên mô tả vị trí của AH trong chế độ tunnel.Chế độ tunnel cũng có thể sử dụng trong truyền thông giữa hai host trong trường hợp này địa chỉ trong tiêu đề ip ban đầu và tiêu đề ip bổ sung là như nhau. 3.5:Nested header (tiêu đề lồng) trong AH: -Nhiều SA có thể áp dụng cho một thông điệp.Nếu một trong hai đầu cuối của các thông điệp này là giống nhau thì các AH của các SA này được gọi là Adjacent AH.Nếu một hoặc hai đầu cuối của các SA khác nhau thì các AH này được gọi là các AH lồng ( nested AH). -Adjacent AH không cung cấp thêm bất cứ sự bảo vệ nào cả , việc áp dụng chúng là không bắt buộc (not mandated). -Nested AH có thể được áp dụng trong một số trường hợp nhất định. [...]... tiên, xác nhận các điểm thông tin , sau đó thiết lập một kênh bảo mật cho sự thiết lập SA Tiếp đó các thông tin thỏa thuận một ISAKMP SA đồng ý lẫn nhau, bao gồm các thuật toán mã hóa, hàm băm , các phương pháp xác nhận bảo vệ mã khóa - Sau khi cơ chế mã hóa và hàm băm đã được đồng ý ở trên, một khóa sẽ bí mật phát sinh Theo sau là những thông tin được dùng để phát sinh khóa bí mật: giá trị Diffie-Hellman,... hoạt động ở transport mode bảo vệ cả tiêu đề ip và dữ liệu trong gói trong khi transport mode ESP chỉ bảo vệ dữ liệu trong gói tin. Trong chế độ tunnel cả 2 cơ chế đều bảo vệ tiêu đề ban đầu ,tuy nhiên chỉ mình AH bảo vệ tiêu đề bên ngoài.Tuy nhiên việc tạo ra SA, có thể gián tiếp xác thực địa chỉ ip do đó giúp xóa bỏ sự khác biệt này 4.2 Cấu trúc của ESP: Đồ án bảo mật thông tin –IPSEC và Triển khai... trong SAD chưa chắc đảm bảo SA này nên được sử dụng để bảo vệ các loại truyền thông tương tự Trong trường hợp 1 (Đã được trình bày ở chương trước),giả sử H1 và H2 đã thiết lập một số SA để bảo vệ truyền thông giữa hai đầu cuối của chúng.SA1 và SA2 bảo vệ các gói tin HTTP không bị xáo trộn là các AH SA SA3 và SA4 bảo vệ các gói tin FTP là các ESP SA Khi một thông điệp đến H2 và các thông số như SPI,protocol(ESP)... đích gắn gói tin với SA3,SA này sẽ được sử dụng để mã hóa thông điệp.Tuy nhiên điều gì sẽ xảy ra nếu H1 sử dụng nhầm SA3 cho các gói tin HTTP để gửi đến H2.Các chỉ số của thông điệp inbound như địa chỉ đích ,SPI,protocol (ESP) tất cả đều chỉ đến SA3.Chỉ số port number (chỉ số này dùng để xác Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 28 định gói tin này không... tra xác định rằng gói tin không xác thực được thì sẽ loại bỏ gói tin này,ngược lại tiếp tục chuyển sang bước tiếp theo.Việc thực hiện xác thực trước quá Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 27 trình giải mã giúp bớt chi phí tính toán mã hóa khi thông điệp đã bị xáo trộn ( không thể xác thực đúng) -4:Mã hóa phần còn lại của gói tin. Nếu quá trình giải... có 6 thông điệp thì chế độ này chỉ có 3 thông điệp được trao đổi Do đó, Aggressive mode nhanh hơn Main mode Các thông điệp bao gồm: + Thông điệp đầu tiên dùng để đưa ra chính sách bảo mật , pass data cho khóa chính và trao đổi nonces cho việc ký và xác minh tiếp theo + Thông điệp kế tiếp hồi đáp lại cho thông điệp đầu tiên Nó xác thực người nhận và hoàn thành chính sách bảo mật bằng các khóa + Thông. .. by hop,routing,fragment,hoặc destination header option) có thể đứng trước ESP Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 23 header.Ngoài ra trường destination header option có thể đứng sau ESP header.Vị trí tương quan giữa trường này và ESP header tùy thuộc vào quá trình xử lí riêng của nó được thực hiện trước hay sau quá trình xử lí ESP.Nếu gói tin đã được... SPI,protocol,địa chỉ đích đều chỉ đến SA1.Gói tin sẽ được mã hóa thành công vì nó chỉ đến một SA hợp lệ trong SAD.Tuy nhiên khi chuyển sang quá trình kiểm tra các policy áp dụng cho gói tin trên có phù hợp không thì gói tin Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 29 trên sẽ bị loại bỏ vì quá trình kiểm tra policy xác định rằng gói tin trên phải có hai security header... dụng.Bởi vì một gói tin đã được mã hóa mà chưa được xác thực tạo lỗ hổng cho một số loại tấn công sửa đổi dữ liệu ( modification attack).Mỗi gói tin đã được mã hóa cần phải xác thực,việc này yêu cầu hai SA riêng biệt và phân chia công bằng các xử lí không cần thiết cho mỗi gói tin đã bảo vệ.Do đó trong bản thứ hai của RFC(RFC 2402 và RFC 2406),tính xác thực Đồ án bảo mật thông tin –IPSEC và Triển khai... lưu trữ trong cơ sở dữ liệu của SA 5.2 IKE Phases : Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 32 IKE có giai đoạn làm việc đó là : giai đoạn 1 và giai đoạn 2 có một số đặc điểm chung như hình minh họa bên dưới Trong một phiên làm việc của IKE, nó giả sử đã có một kênh bảo mật được thiết lập sẵn Kênh bảo mật này phải được thiết lập trước khi có bất kỳ thỏa . thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 2 Mục lục I. Lời mở đầu 4 II. Tìm hiểu về IPSEC 5 1. Giới thiệu về IPSEC 5 2. Kiến trúc giao thức IPSEC 5 2.1. Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 5 II.Tìm hiểu về IPSEC 1:Giới thiệu về IPSEC IPSEC ( Internet Protocol Security) là. của IPSEC …………………………………… 38 8. Triển khai IPSEC 40 8.1 .Các tác động bảo mật……………………………………………………… 40 8.2 Các phương pháp chứng thực được Microsoft hỗ trợ 41 8.3 IPSEC policy 41 8.4 IPSEC