Tiểu luận môn Xây dựng chính sách An toàn thông tin TRIỂN KHAI IPSEC

ĐẠI HỌC QUỐC GIA TP. HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN KHOA MẠNG MÁY TÍNH VÀ TRUYỀN THÔNG ỨNG DỤNG TRUYỀN THÔNG VÀ AN NINH THÔNG TIN ĐỀ TÀI TRIỂN KHAI IPSEC Bộ môn: Xây dựng chính sách ATTT GVHD: CH.Nguyễn Duy Nhóm: Nguyễn Trung Kiên 08520184 Đào Minh Cường 08520053 Hoàng Công Nguyện 07520487 Nguyễn Hùng Cường 08520052 MỤC LỤC CH. Nguyễn Duy TRIỂN KHAI IPSEC CHƯƠNG 1: GIAO THỨC IPSEC 1.1 Giới thiệu Như ta đã biết, mạng Internet nguyên thủy được phát triển để truyền thông giữa các máy tính tin cây, vì vậy nó không hỗ trợ các dịch vụ an ninh. Cùng với sự phát triển rộng khắp của Internet trên tòan cầu thì vấn đề an ninh là một trong những vấn đề quan trọng. Giao thức IPSec được phát triển để giải quyết vấn đề an ninh này và trong IP-VPN là một trong những ứng dụng của nó. Hình 1.: Sơ đồ tổngquan VPN Hình 1.:Sơ đồ VPN 2 1.2 Khái niệm về IPSec IPSec (Internet Protocol Security) là một giao thức được IETF phát triển. IPSec được định nghĩa là một giao thức trong tầng mạng cung cấp các dịch vụ bảo mật, xác thực, toàn vẹn dữ liệu và điều khiển truy cập. Mục đích chính của việc phát GV: 3 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC triển IPSec là cung cấp một cơ cấu bảo mật ở tầng 3 (Network layer) của mô hình OSI. 1 Hình 1.:Mô hình OSI IPSec có hai cơ chế cơ bản để đảm bảo an toàn dữ liệu đó là AH (Authentication Header) và ESP (Encapsulating Security Payload), trong đó IPSec phải hỗ trợ ESP và có thể hỗ trợ AH: • AH cho phép xác thực nguồn gốc dữ liệu, kiểm tra tính toàn vẹn dữ liệu và dịch vụ tùy chọn chống phát lại của các gói IP truyền giữa hai hệ thống. AH không cung cấp tính bảo mật, điều này có nghĩa là nó gửi đi thông tin dưới dạng bản rõ. • ESP là một giao thức cung cấp tính an toàn của các gói tin được truyền bao gồm: Mật mã dữ liệu, xác thực nguồn gốc dữ liệu, kiểm tra tính toàn vẹn phi kết nối của dữ liệu. ESP đảm bảo tính bí mật của thông tin thông qua việc mật mã gói tin IP. Tất cả lưu lương ESP đều được mật mã giữa hai hệ thống. Với đặc điểm này thì xu hướng sẽ sử dụng ESP nhiều hơn AH để tăng tính an toàn cho dữ liệu. GV: 4 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC • Cả AH và ESP là các phương tiện cho điều khiển truy nhập, dựa vào sự phân phối của các khóa mật mã và quản lý các luồng giao thông có liên quan đến những giao thức an toàn này. Những giao thức này có thể được áp dụng một mình hay kết hợp với nhau để cung cấp tập các giao thức an toàn mong muốn trong IPv4 và IPv6, nhưng cách chúng cung cấp các dịch vụ là khác nhau. Đối với cả hai giao thức AH và ESP này, IPSec không định các thuật toán an toàn cụ thể được sử dụng, mà thay vào đó là một khung chuẩn để sử dụng các thuật toán theo tiêu chuẩn công nghiệp. IPSec sử dụng các thuật toán: - Mã xác thực bản tin trên cơ sở băm (HMAC), thuật toán MD5 (Message Digest 5), thuật toán SHA-1 để thực hiện chức năng toàn vẹn bản tin. - Thuật toán DES, 3DES để mật mã dữ liệu. - Thuật toán khóa chia sẻ trước, RSA chữ ký số và RSA mật mã giá trị ngẫu nhiên (Nonces) để xác thực các bên. - Ngoài ra các chuẩn còn định nghĩa việc sử dụng các thuật toán khác như IDEA, Blowfish và RC4. IPSec sử dụng giao thức IKE (Internet Key Exchange) Giúp cho các thiết bị tham gia VPN trao đổi với nhau về thông tin an ninh như mã hóa thế nào ? Mã hóa bằng thuật toán gì ? Bao lâu mã hóa 1 lần. IKE có tác dụng tự động thỏa thuận các chính sách an ninh giữa các thiết bị tham gia VPN. Do đó IKE giúp cho Ipsec có thể áp dụng cho các hệ thống mạng mô hình lớn . Trong quá trình trao đổi key IKE dùng thuật toán mã hóa bất đối xứng gồm bộ Public key và Private Key để bảo vệ việc trao đổi key giữa các thiết bị tham gia VPN 1.3 Đóng gói thông tin của IPSec 1.3.1 Các kiểu sử dụng IPSec có hai kiểu cung cấp xác thực và mã hóa mức cao để thực hiện đóng gói thông tin, đó là kiểu Transport (truyền tải) và kiểu Tunnel (đường hầm). GV: 5 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC Hình 1.:Hai kiểu sử dụng VPN Sau đây chúng ta sẽ xét đến hai kiểu này trước khi tìm hiểu về các giao thức AH và ESP: 1.3.1.1 Kiểu Transport Trong kiểu này, vấn đề an ninh được cung cấp bởi các giao thức lớp cao hơn (từ lớp 4 trở lên). Kiểu này bảo vệ phần tải tin của gói nhưng vẫn để phần IP header ban đầu ở dạng bản rõ. Địa chỉ IP ban đầu được sử dụng để định tuyến gói qua Internet. Hình 1.: Sơ đồ gói tin IP trong Transport mode Kiểu Transport có ưu điểm là chỉ thêm vào gói IP ban đầu một số it byte. Nhược điểm là kiểu này cho phép các thiết bị trong mạng nhìn thấy địa chỉ nguồn và đích của gói tin và có thể thực hiện một số xử lý (ví dụ như phân tích lưu lượng) dựa trên các thông tin của IP header. Tuy nhiên nếu được mật mã bởi ESP thì sẽ không biết được dữ liệu cụ thể bên trong gói IP là gì. Theo như IETF thì kiểu Transport chỉ có thể được sử dụng khi hai hệ thống đầu cuối IP-VPN có thực hiện IPSec. GV: 6 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC 1.3.1.2 Kiểu Tunnel Kiểu này bảo vệ toàn bộ gói IP. Gói IP ban đầu (bao gồm cả IP header) được xác thực hoặc mật mã. Sau đó, gói IP đã mã hóa được đóng gói vào một IP header mới. Địa chỉ IP bên ngoài được sử dụng cho định tuyến gói IP truyền qua Internet. Hình 1.: Sơ đồi gói tin IP trong Tunnel Mode Trong kiểu Tunnel, toàn bộ gói IP ban đầu được đóng gói và trở thành Payload của gói IP mới. Kiểu này cho phép các thiết bị mạng như router thực hiện xử lý IPSec thay cho các trạm cuối (host). Hình 1.4 là ví dụ: Router A xử lý các gói từ host A, gửi chúng vào đường ngầm. Router B xử lý các gói nhận được trong đường ngầm, đưa về dạng ban đầu và chuyển hóa chúng tới host B. Như vậy, các trạm cuối không cần thay đổi nhưng vẫn có được tính an toàn dữ liệu của IPSec. Ngoài ra, nếu sử dụng kiểu Tunnel, các thiết bị trung gian trong mạng sẽ chỉ có thể nhìn thấy được các địa chỉ hai điểm cuối của đường hầm (ở đây là các router A và B). Khi sử dụng kiểu Tunnel, các đầu cuối của IP-VPN không cần phải thay đổi ứng dụng hay hệ điều hành. Hình 1.: Thiết bị mạng thực hiện IPSec kiểu Tunnel GV: 7 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC 1.3.2 Giao thức xác thực AH 1.1.1.1 Giới thiệu Giao thức xác thực AH (Authentication Header) được định nghĩa trong RFC 1826 và sau đó là phát triển lại trong RFC 2402. AH cung cấp: o Xác thực nguồn gốc dữ liệu (data origin authentication) o Kiểm tra tính toàn vẹn dữ liệu (data integrity) o Dịch vụ chống phát lại (anti-replay service) Đến đây, cần phải phân biệt được hai khái niệm toàn vẹn dữ liệu và chống phát lại: toàn vẹn dữ liệu là kiểm tra những thay đổi của từng gói tin IP, không quan tâm đến vị trí các gói trong luồng lưu lượng; còn dịch vụ chống phát lại là kiểm tra sự phát lặp lại một gói tin tới địa chỉ đích nhiều hơn một lần. AH cho phép xác thực các trường của IP header cũng như dữ liệu của các giao thức lớp trên, tuy nhiên do một số trường của IP header thay đổi trong khi truyền và phía phát có thể không dự đoán trước được giá trị của chúng khi tới phía thu, do đó giá trị của các trường này không bảo vệ được bằng AH. Có thể nói AH chỉ bảo vệ một phần của IP header mà thôi. AH không cung cấp bất cứ xử lý nào về bảo mật dữ liệu của các lớp trên, tất cả đều được truyền dưới dạng văn bản rõ. AH nhanh hơn ESP, nên có thể chọn AH trong trường hợp chắc chắn về nguồn gốc và tính toàn vẹn của dữ liệu nhưng tính bảo mật dữ liệu không cần được chắc chắn. Giao thức AH cung cấp chức năng xác thực bằng cách thực hiện một hàm băm một chiều (one-way hash function) đối với dữ liệu của gói để tạo ra một đoạn mã xác thực (hash hay message digest). Đoạn mã đó được chèn vào thông tin của gói truyền đi. Khi đó, bất cứ thay đổi nào đối với nội dung của gói trong quá trình truyền đi đều được phía thu phát hiện khi nó thực hiện cùng với một hàm băm một chiều đối với gói dữ liệu thu được và đối chiếu nó với giá trị hash đã truyền đi. Hàm băm được thực hiện trên toàn bộ gói dữ liệu, trừ một số trường trong IP header có giá trị bị thay đổi trong quá trình truyền mà phía thu không thể dự đoán trước được (ví dụ trường thời gian sống của gói tin bị các router thay đổi trên đường truyền dẫn). GV: 8 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC 1.3.2.1 Cấu trúc gói tin AH Các thiết bị sử dụng AH sẽ chèn một tiêu đề vào giữa lưu lượng cần quan tâm của IP datagram, ở giữa phần IP header và header lớp 4. Bởi vì AH được liên kết với IPSec, IP-VPN có thể định dạng để chọn lưu lượng nào cần được an toàn và lưu lượng nào không cần phải sử dụng giải pháp an toàn giữa các bên. Ví dụ như bạn có thể chọn để xử lý lưu lượng email nhưng không đối với các dịch vụ web. Quá trình xử lý chèn AH header được diễn tả như trong hình 1.5. Hình 1.: Cấu trúc gói tiêu đề AH trong IPSec Giải thích ý nghĩa các trường trong AH header: • Next Header (tiêu đề tiếp theo) có độ dài 8 bit để nhận dạng loại dữ liệu của phần tải tin theo sau AH. Giá trị này được chọn lựa từ tập các số giao thức IP đã được định nghĩa trong các RFC gần đây nhất. • Payload length (độ dài tải tin): có độ dài 8 bit và chứa độ dài của tiêu đề AH được diễn tả trong các từ 32 bit, trừ 2. Ví dụ trong trường hợp của thuật toán toàn vẹn mà mang lại một giá trị xác minh 96 bit (3x32 bit), cộng với 3 từ 32 bit đã cố định, trường độ dài này có giá trị là 4. Với IPv6, tổng độ dài của tiêu đề phải là bội của các khối 8. • Reserved (dự trữ):Trường 16 bit này dự trữ cho ứng dụng trong tương lai. GV: 9 Nhóm 8 CH. Nguyễn Duy TRIỂN KHAI IPSEC • Security Parameters Index (SPI: chỉ dẫn thông số an ninh):Trường này có độ dài 32 bit, mang tính chất bắt buộc. • Sequence Number (số thứ tự): Đây là trường 32 bit không đánh dấu chứa một giá trị mà khi mỗi gói được gửi đi thì tăng một lần. Trường này có tính bắt buộc. Bên gửi luôn luôn bao gồm trường này ngay cả khi bên nhận không sử dụng dịch vụ chống phát lại. Bộ đếm bên gửi và nhận được khởi tạo ban đầu là 0, gói đầu tiên có số thứ tự là 1. Nếu dịch vụ chống phát lại được sử dụng, chỉ số này không thể lặp lại, sẽ có một yêu cầu kết thúc phiên truyền thông và SA sẽ được thiết lập mới trở lại trước khi truyền 2 32 gói mới. • Authentication Data (dữ liệu xác thực): Còn được gọi là ICV (Integrity Check Value: giá trị kiểm tra tính toàn vẹn) có độ dài thay đổi, bằng số nguyên lần của 32 bit đối với IPv4 và 64 bit đối với IPv6, và có thể chứa đệm để lấp đầy cho đủ là bội số các bit như trên. ICV được tính toán sử dụng thuật toán xác thực, bao gồm mã xác thực bản tin (Message Authentication Code MACs). MACs đơn giản có thể là thuật toán mã hóa MD5 hoặc SHA-1. Các khóa dùng cho mã hóa AH là các khóa xác thực bí mật được chia sẻ giữa các phần truyền thông có thể là một số ngẫu nhiên, không phải là một chuỗi có thể đoán trước của bất cứ loại nào. Tính toán ICV được thực hiện sử dụng gói tin mới đưa vào. Bất kì trường có thể biến đổi của IP header nào đều được cài đặt bằng 0, dữ liệu lớp trên được giả sử là không thể biến đổi. Mỗi bên tại đầu cuối IP-VPN tính toán ICV này độc lập. Nếu ICV tính toán được ở phía thu và ICV được phía phát truyền đến khi so sánh với nhau mà không phù hợp thì gói tin bị loại bỏ, bằng cách như vậy sẽ đảm bảo rằng gói tin không bị giả mão. 1.3.2.2 Quá trình xử lý AH GV: 10 Nhóm 8 [...]... này chính là IKE pha 2 Mục đích của IKE pha 2 là để thỏa thuận các thông số an ninh IPSec sử dụng để bảo vệ đường ngầm IPSec Chỉ có một chế độ nhanh được sử dụng cho IKE pha 2 IKE pha 2 thực hiện các chức năng sau: GV: 35 Nhóm 8 CH Nguyễn Duy - TRIỂN KHAI IPSEC Thỏa thuận các thông số anh ninh IPSec (IPSec Security parameters), các tập chuyển đổi IPSec (IPSec transform sets) - Thiết lập các kết hợp an. .. không cần bảo vệ sẽ được gửi dưới dạng văn bản rõ) Chính sách an ninh sẽ được phản chiếu trong một danh sách truy nhập Các bên phải chứa danh sách giống nhau, và có thể có đa danh sách truy nhập cho những mục đích khác nhau giữa các bên Những danh sách này được gọi là các danh sách điều khiển truy nhập (ACLs- Acess Control List) Nó đơn giản là danh sách truy nhập IP mở rộng của các routers được sử dụng... thay vì main mode có 6 thông điệp thì chết độ này chỉ có 3 thông điệp được trao đổi Do đó, Aggressive mode nhanh hơn mai mode Các thông điệp đó bao gồm: Thông điệp đầu tiên dùng để đưa ra chính sách bảo mật, pass data cho khóa chính, và trao đổi nonces cho việc ký và xác minh tiếp theo Thông điệp kế tiếp hồi đáp lại cho thông tin đầu tiên Nó xác thực người nhận và hoàn thành chính sách bảo mật bằng các... được gọi là tập chính sách IKE (IKE policy set) Các tập chính sách IKE được trao đổi trong IKE pha thứ nhất, trao đổi thứ nhất Nếu một chính sách thống nhất được tìm thấy ở hai phía thì trao đổi được tiếp tục Nếu không tìm thấy chính sách thống nhất nào, đường ngầm sẽ bị loại bỏ Ví dụ Router A gửi các tập chính sách IKE policy 10 và IKE plicy 20 tới router B Router B so sánh với tập chính sách của nó,... và pha thứ hai được hoàn thành nhờ sử dụng trao đổi chế độ nhanh GV: 30 Nhóm 8 CH Nguyễn Duy TRIỂN KHAI IPSEC Hình 1.: Các chế độ chính, chế độ nhanh của IKE Sau đây chúng ta sẽ đi xem xét cụ thể các bước và mục đích của các pha IKE Bước thứ nhất Việc quyết định lưu lượng nào cần bảo vệ là một phần trong chính sách an ninh của mạng VPN Chính sách được sử dụng để quyết định cần bảo vệ lưu lượng nào (những... kiểu Transport SA kiểu Tunnel là một SA cơ bản được ứng dụng tới một đường ngầm IP Một SA giữa 2 cổng an toàn là một SA kiểu Tunnel điển hình giống như một SA giữa một host và một cổng an toàn Tuy nhiên, trong những trường hợp mà lưu lượng đã được định hình từ trước như những lệnh SNMP, cổng an toàn làm nhiệm vụ như host và kiểu Transport được cho phép GV: 23 Nhóm 8 CH Nguyễn Duy TRIỂN KHAI IPSEC SA... các bên (xác thực đối tác) Kết quả chính của chế độ chính là một đường truyền thông an toàn cho các trao đổi tiếp theo của hai đối tác Chế độ nhanh thực hiện trao đổi 3 bản tin Hầu hết các trao đổi đều được thực hiện trong trao đổi thứ nhất: thỏa thuận các tập chính sách IKE, tạo khóa công cộng Diffie-Hellman, và một gói nhận dạng có thể sử dụng để xác định nhận dạng thông qua một bên thứ ba Bên nhận... a) Các tập chính sách IKE Khi thiết lập một kết nối IP-VPN an toàn giữa hai host A và host B thông qua Internet, một đường ngầm an toàn được thiết lập giưa router A và router B Thông qua đường hầm, các giao thức mật mã, xác thực và các giao thức khác được thỏa thuận Thay vì phải thỏa thuận từng giao thức một, các giao thức được nhóm thành các tập và GV: 34 Nhóm 8 CH Nguyễn Duy TRIỂN KHAI IPSEC được... riêng biệt được cung cấp sự bảo vệ một cách chính xác bởi giao thức an ninh có thể là AH hoặc ESP nhưng không phải là cả hai Đôi khi một chính sách an toàn có thể được gọi cho một sự kết hợp của các dịch vụ cho một luồng giao thông đặc biệt mà không thể thực hiện được với một SA đơn lẻ Trong trường hợp đó cần thiết để giao cho nhiều SA thực hiện chính sách an toàn được yêu cầu Thuật ngữ cụm SA được sử... của thuật toán Phía thu cần tìm và loại bỏ phần Padding trước khi chuyển dữ liệu đã giải mã lên lớp trên - Xây dựng lại cấu trúc gói IP ban đầu từ IP header ban đầu và thông tin giao thức lớp cao trong tải tin của ESP (ở kiểu Transport), hoặc outer IP header và toàn bộ gói IP ban đầu trong tải tin của ESP (ở kiểu Tunnel) Nếu dịch vụ xác thực cũng được lựa chọn thì quá trình kiểm tra ICV và mật mã có . MINH TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN KHOA MẠNG MÁY TÍNH VÀ TRUYỀN THÔNG ỨNG DỤNG TRUYỀN THÔNG VÀ AN NINH THÔNG TIN ĐỀ TÀI TRIỂN KHAI IPSEC Bộ môn: Xây dựng chính sách ATTT GVHD: CH.Nguyễn Duy Nhóm:. dịch vụ an ninh. Cùng với sự phát triển rộng khắp của Internet trên t an cầu thì vấn đề an ninh là một trong những vấn đề quan trọng. Giao thức IPSec được phát triển để giải quyết vấn đề an ninh. LỤC CH. Nguyễn Duy TRIỂN KHAI IPSEC CHƯƠNG 1: GIAO THỨC IPSEC 1.1 Giới thiệu Như ta đã biết, mạng Internet nguyên thủy được phát triển để truyền thông giữa các máy tính tin cây, vì vậy nó không