Tìm hiểu về IKE trong IPSec. Tính năng của IKE : Tự động làm mới khóa. Chống tấn công từ chối dịch vụ DoS (DenialofService). Sử dụng chữ ký số. Cung cấp những phương tiện cho hai bên về sự đồng ý những giao thức, thuật toán và khóa để sử dụng. Đảm bảo trao đổi khóa đến đúng người dùng. Quản lý khóa sau khi được chấp nhận. Đảm bảo sự điều khiển và trao đổi khóa an toàn. Cho phép sự chứng thực động giữa các đối tượng ngang hàng.
TÌM HIỂU VỀ IKE TRONG IPSEC NỘI DUNG GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE I TỔNG QUAN VỀ IKE Định nghĩa Là giao thức quản lý, trao đổi khóa IPSEC Cho phép thương lượng tạo tự động IPSEC SA bên liên lạc Nằm độc lập với IPSec IKE gồm giai đoạn : » Thành lập IKE SA » Sử dụng IKE SA để đàm phán IPSec SAs I TỔNG QUAN VỀ IKE Lịch sử IKE IKE đưa vào năm 1998 IETF IKE có phiên : » IKEv1 » IKEv2 I TỔNG QUAN VỀ IKE Thuật toán Diffie-Hellman I TỔNG QUAN VỀ IKE Đặc tính IKE Tự động làm khóa Chống cơng từ chối dịch vụ DoS (Denial-of-Service) Sử dụng chữ ký số Cung cấp phương tiện cho hai bên đồng ý giao thức, thuật tốn khóa để sử dụng Đảm bảo trao đổi khóa đến người dùng Quản lý khóa sau chấp nhận Đảm bảo điều khiển trao đổi khóa an tồn Cho phép chứng thực động đối tượng ngang hàng GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE II IKE IPSec 1.Outbound packet from A to B No SA 2.A's IKE begins negotiation with B’s 4.Packet is sent from A to B protected by IPSec SA 3.Negotiation complete A and B now have IKE and IPSec SAs in place III Các giai đoạn IKE IKE giai đoạn 2.1 Quick Mode GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE IV IKEv1 Một số điểm yếu IKEv1 Có nhiều tùy chọn an toàn Thực nhiều bước trao đổi, phức tạp Không hỗ trợ phương pháp xác thực mở rộng EAP Bị công phản xạ Main Mode xác thực sử dụng khóa chia sẻ trước sử dụng chứng số [] GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE V IKEv2 Tổng quan Ra đời 10/2005 RFC 4306 Được phát triển nhằm giải vấn đề IKEv1 Gồm giai đoạn : » Giai đoạn gồm hai thủ tục IKE_SA_INIT IKE_AUTH » Giai đoạn gồm thủ tục CREAT_CHILD_SA thủ tục INFORMATION V IKEv2 Hoạt động Bước 1.1: IKE_SA_INIT » Để bắt đầu tạo IKE_SA Initiator gửi thơng báo IKE_SA_INIT request tới Responder » » Thông báo gồm phần payload gồm: Phần header chứa giá trị SPImà phía Initiator mong muốn sử dụng, phiên IKE, cờ xác định loại thông báo » » » Phần SAi1 chứa định danh cá thuật toán mật mã mà IKE_SA hỗ trợ sử dụng Phần Kei chứa giá trị Diffie – Hellman Initiator gửi tới cho bên Responder, Phần Ni chứa giá trị ngâuc nhiên Nonce V IKEv2 Hoạt động Bước 1.2: để hoàn tất việc tạo IKE_SA phía responder gửi thơng báo IKE_SA_INIT responder tới Initiator » • • Thơng báo chứa tới loại payload Phầnd payload HDR bao gồm gía trị SPI phía Intiator responder Responder thỏa thuận với Initiator tổ hợp thuật tốn mật mã để bảo vệ truyền thơng • • Ker chứa giá trị Diffie-hellman phía responder lựa chọn Nr chứa giá trị nonce responder V IKEv2 Hoạt động Bước 2.1: IKE_AUTH phía Intiator gửi thơng báo IKE_SA_INT request tới Responder » • • Thông báo gồm phần payload gồm: IKE header chứa giá trị SPI phía Intiator, responder, phiên IKE Phần payload SK chúa thông tin bảo vệ khóa phiên SK V IKEv2 Hoạt động Bước 2.2: phía Responder sau nhận thơng báo IKE_SA_INT request phase IKE_AUTH xác minh thơng tin thơng báo hồi đáp lại phía Initiator thơng báo » Sau phía Initiatr hồn tất việc kiểm tra, xác thực trường AUTH thông báo hồi đáp gửi từ phía responder hai bên thỏa thuận tổ hợp an toàn để bảo vệ truyền thông giũa hai thực thể để thay SA hết thời gian sống GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE VI So sánh IKEv1 IKEv2 Giống Có giai đoạn Hỗ trợ bảo vệ định danh, chế chống công DOS Hoạt động cổng UDP 500 VI So sánh IKEv1 IKEv2 Khác IKEv1 - Thiết lập SAs cách sử dụng IKE_SA IKEv2 - SA thỏa thuận dựa IKE_AUTH sau bên xác thực - Yêu câu thông báo để thiết lập CHILD_SA - Yêu câu thông báo để thiết lập CHILD_SA - Không hỗ trợ NAT cổng UDP 4500 - Hỗ trợ NAT cổng UDP 4500 - Thời gian sống SAs bên than giam thoả - Thời gian sống SAs, bên tự phải trì thuận sách an tồn cục quy định thời gian sống SAs GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE VII Ứng dụng IKE Sử dụng phần giao thức IPSec Trong sản phẩm mã nguồn mở IPSec : • OpenSwan • StrongSwan 33 ... GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE GIAO THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các... IPSec IKE gồm giai đoạn : » Thành lập IKE SA » Sử dụng IKE SA để đàm phán IPSec SAs I TỔNG QUAN VỀ IKE Lịch sử IKE IKE đưa vào năm 1998 IETF IKE có phiên : » IKEv1 » IKEv2 I TỔNG QUAN VỀ... THỨC IKE I II III • • • Tổng quan IKE IKE IPSEC Các giai đoạn IKE IV • IKEv1 V • IKEv2 VI • So sánh IKEv1 IKEv2 VII • Ứng dụng IKE II IKE IPSec 1.Outbound packet from A to B No SA 2.A's IKE begins