: 4Ở ESP Trailer
Hình 3.26: Hai mode hoạt động của IPsec.
3.5.5.1 IPsec transport mode:
Tranport mode bảo vệ các giao thức lớp cao và các ứng dụng. Trong transport
mode, IPsec header được chèn ngay sau IP header như được trình bày trong hình dưới |
đây: TP Payload " Hdr ý Original IP datagram | _AH or .
Ị Payl Datagram with
Hạ ESP .- Payload IPSec (AH or ESP)
sa DI Encrypted ỞỢ ;¡ Ị > m transport mode
' 1!
' L Authenticated (ESP) ' .
' anh d(AH) u icate >ị
- Ở
Ù
Hình 3.27: IPsec-transport mode.
Header mới (AH header hay ESP header) được chèn vào giữa IP header và payload. Trong trường hợp của ESP, phần trailer và các tùy chọn chứng thực dữ liệu được găn ngay sau payload gốc (original payload).
Transport mode được dùng bởi host chứ không phải bởi gateway. Các gateway không được yêu cầu hỗ trợ transport mode. Ưu điểm của transport mode là quá trình xử lý overhead ắt, vì vậy vận chuyền nhanh.
NatnnnnnnnnnnnnnnnnnnnnunsasaanssrrsơnờợờợớợnợgggợợGGGGGéGttaaýẶãawaỦttqcớẳớẳớỂớỂỂ
GVHD: Ths. Trương Ngọc Bảo
_ỞỞ _Ắrmmmmm>mmỦxaraazaazaaaaaaaazzơơaơznauơơơợơơớnnuaasszaan
Tuy nhiên lại có một số nhược điểm là các trường thay đổi (mutable fields) không được chứng thực. ESP trong transport mode không cung cập chứng thực cũng như mã hóa IP header, vì vậy các gói lỗi (false packet) do tấn công giả mạo (spoofing attack) có thể bị delivered khi xử lý ESP. Một nhược điểm nữa của transport mode là các địa chỉ của IP datagram nguyên thủy buộc phải dùng cho sự phân phát (delivery). Đây có thể là một rắc rôi khi sử dụng các private IP address hoặc các internal addressing cần được giấu trong mạng công cộng.
3.5.5.2 IPsec tunnel mode:
IP Payload ể Húr y Ongmal IP datagram
NewIP Húr Húr ỊP Payload Tunneled datagram
th ỘAHdr .
New IP. ESP IP Payload ì Datagram with
._ Hdr Hd Hdr j IPSec(AH or ESP) vai m tunnelmode Encrypted Authenticated (ESP) Authenticated (AH) Ạ ự tôn "ỘẢ- __ỲÝ _Ý.._ -ẢẾ__ ~-
Hình 3.28: IPsec tunnel mode.
Không giống như transport mode, tunnel mode bảo vệ toàn bộ IP datagram. Toàn bộ IP datagram được đóng gói trong một IP datagram khác và một IPsec header (AH header hay ESP header) đươc chèn vào giữa IP header mới và IP datapram gốc.
Trong trường hợp ESP, datagram gốc trở thành payload của ESP datagram gốc và như vậy cả sự mã hóa cũng như chứng thực được thực hiện một cách dễ dàng. Tuy nhiên IP header mới vẫn không được bảo vệ.
Trong tunnel mode, địa chỉ của IP header bên ngoài (outer headerỢ IP address) không cân phải giống địa chỉ IP của header bên trong (mner header` IP address). Vắ dụ hai security gateway có thể điều hành một AH tunnel được dùng để chứng thực tất cả các traffic giữa những network mà chúng kết nối với nhau.
Các ưu điểm của tunnel mode là bảo vệ toàn bộ IP datagram đã được đóng gói và có thể sử dụng private addresses. Tuy nhiên có một quá trình xử lý overhead thêm trong mode này. (adsbygoogle = window.adsbygoogle || []).push({});
3.5.6 SA combination
Các giao thức AH và ESP có thể được áp dụng một mình hoặc liên kết với nhau. Căn cứ vào hai mode mỗi giao thức có thể có một số cách liên kết. Việc liên kết các giao thức IPsec được thực hiện với các SA bundle và có hai phương pháp (approaches) cho việc tạo ra chúng.
ỞỞỞỞỞỞỞỞỞỞỞ-ỮỮỮỏỮỮỮỮỮỏốỒỏẪỮỏỮỮỏỮằ
62 GVHD: Ths. Trương Ngọc Bảo
3.5.6.1 Transport adjacency:
Cả hai giao thức bảo mật được áp dụng trên cùng một IP datagram. Trên thực tế phương pháp này chỉ dùng cho một mức độ (level) của liên kết.
IP Hdr IP Húr Payload Encrypted Authenticated (ESP) Authenticated (AH) r EDD1A^Hh transportmode Ộ "ÌESP in transportmode ĐT Hình 3.29: IPsec-transport ajdacency.
IPsec chuẩn ra lệnh (dictate) rằng transport adjacency chỉ có thể được thực hiện theo cách được trình bày như hình trên. Điều này có nghĩa là đối với các outbound packet, sự mã hóa (inner SA) phải được thực hiện trước sự chứng thực (outer SA), trong khi đối với các inbound packet, sự chứng thực phải được thực hiện trước sự mã hóa. Đây là một thứ tự logic và cũng tiết kiệm một hệ thống đầu vào của sự giải mã trong trường hợp sự chứng thực của các packet lỗi trong đoạn đầu tiên (first place).
3.5.6.2 Iterated (nested) tunneling (tunneling lặp):
Giao thức bảo mật này được áp dụng trong tunnel mode theo tuần tự. Sau mỗi khi một IP datapram mới được tạo ra thì giao thức kế tiếp được áp dụng lên nó. Phương pháp này không giới hạn các mức độ lồng vào nhau (nesting levels). Tuy nhiên, trên thực tế chỉ lồng được ba mức. 1PHdr Src: HI Payload Des(: H2 IPHdr Src: HI Dest: H2 Payload IPHdr ESB sóng Sac: H Hút Payload lý | Dest:H2 li ốc Ư Encrypted n Authenticated SP) ' Authenticated (AH) NgwIPHdr Src:GL : Intemret Extranet
IPHúdr ESP ESP EẸP
- Payload
Sre: HI yioa ặ
Dest: H2 mỹ s âu j
IPHd|
S:HI Payload
Đest H2 EAHntanepon modc
{_Ở_Ở_Ở3ESP in transport mode
Hình 3.30: IPsec-iterated tunnel.
GVHD: Ths. Trương Ngọc Bảo
ma ẽ.-Ằ.ẽaaBBBBaBaaaơaaaaơơơơagazaazannwơanơơnơơơnggnugớuzớitzsn
3.6 INTERNET KEY EXCHANGE (IKE) PROTOCOL
3.6.1 Giới thiệu tông quan về IKE
Trong truyền thông sử dụng giao thức IPsec đòi hỏi phải có chuyển giao khóa, vì vậy cân phải có cơ chế quản lý khóa. Có hai phương thức chuyển khóa:
o_ Chuyến khóa bằng tay.
o_ Chuyển khóa Internet IKE Ở Internet Key Exchange. (adsbygoogle = window.adsbygoogle || []).push({});
Hai phương thức này không thể thiếu trong IPsec. Đối với những mạng nhỏ, chỉ có vài peer có thể thực hiện việc phân bố khóa bằng tay. Phương thức chuyển khóa bằng tay có thể là khóa thương mại ghi trên giấy, trên đĩa mêm hay thông qua gởi bưu phẩm hoặc e-mail. Còn đối với các mạng lớn cần phải có một phương thức kiểm soát và quản lý khóa tự động. Giao thức chuyền giao khóa mặc định trong IPsec là IKE.
IKE đầu tiên được gọi là ISAKMP/Oakley (Internet Security Assiciation and Key Management Protocol), được định nghĩa trong RFC 2408. IKE cung cấp Các framework để thiết lập các liên kết bảo mật và các mã khóa, giúp các nhóm giao tiếp thỏa thuận các thông sô bảo mật và các khóa chứng thực trước khi thực hiện một phiên [Psec an toàn. Bên cạnh việc thỏa thuận và thiết lập các thông số bảo mật và các mã khóa, IKE cũng hiệu chỉnh các thông số và các khóa, nếu cần, trong suốt một session. Các ưu điểm của IKE là:
- _ IKE không phụ thuộc vào các kỹ thuật, vì vậy có thể sử dụng với bất kỳ cơ chế
bảo mật nào.
- _ Cơ chế IKE mặc dù không nhanh, nhưng hiệu quả cao bởi vì một số lượng lớn các liên kết bảo mật được dàn xếp chỉ với một vài thông điệp.
Một IKE session được tạo thành từ hai phase: phase l và phase 2. Phase I Phase H Establish Negotiate Secure Channel General
forIKE SA Purpose SAs
Sender Recipient
Hình 3.31: hai phase của I[KE: phase 1 và phase 2.
Phase 1 là quá trình thiết lập một đường hầm bảo mật cho các hoạt động ISAKMP diễn ra trên nó.
Phase 2 là quá trình thỏa thuận các mục đắch của SA.
IMnnnnnnnnnngnnnnnnnnnnnnnztsszazsrirrrrỞỞỞỞỞỞỞằỒ nơ...
GVHD: Ths. Trương Ngọc Bảo
mnarrzmmz.remmm...baaơợaơraãaraazrzaaaơơơờợợơơơaaznơgơờơnassaơơờẳơn
3.6.2 IKE phasel
Trước tiên, IKE phase 1 sẽ chứng thực các đầu cuối giao tiếp và sau đó thiết lập một kênh IKE an toàn cho việc thiết lập SA. Kế đến, các bên giao tiếp sẽ đàm phán một ISAKMP SA để có thể thắch hợp với nhau. Các liên kết bảo mật ISAKMP bao gồm các thuật toán mã hóa, các hàm băm (hash functions), các phương pháp chứng thực dùng để bảo vệ các mã khóa. Pha này thiết lập liên kết bảo mật cho ISAKMP framework cơ bản.
Sau khi cơ chế mã hóa và các hash function được thỏa thuận, một (shared master secret key) khóa bắ mật chắnh chung được tạo thành. Các thông tin dưới đây được dùng để tạo ra khóa bắ mật chung này:
e_ Các giá trị Diffie-Hellman.
eẹ_ SPI của ISAKMP trong cấu trúc của các cookies.
eẹ Các con số ngầu nhiên được biết như là các nonces (dùng cho mục đắch làm dẫu).
eẹ_ Các ID dùng để trao đổi khi sử dụng khóa chứng thực công cộng.
Sau khi trao đổi các thông tin cần thiết, cả hai phắa sẽ tạo ra các khóa và các bắ mật chung trước khi trao đổi thêm thông tin chứng thực.
3.6.3 IKE phase 2
Trong khi phase I thiết lập đàm phán SA cho ISAKMP thì phase 2 giải quyết sự thiết lập của các SA đối với IPsec. Trong phase này, các liên kết bảo mật (SA) được dùng bởi các dịch vụ khác nhau. Các cơ chế chứng thực, hash function và các giải thuật mã hóa bảo vệ theo sau các gói IPsec tạo thành một phân của phase liên kết bảo
mật này.
Các đàm phán trong phase 2 xảy ra thường xuyên hơn các đàm phán trong phase ỳ. Cụ thể là một đàm phán có thể được lặp lại đều đặn sau 4-5 phút. Sự thay đổi các mã khóa thường xuyên sẽ chặn việc bẻ khóa của các hacker và sự tấn công các gói tin.
Thông thường một phase 2 session sẽ tương ứng với một phase l session. Tuy nhiên các chuyển đổi multiple phase 2 cũng có thể được hỗ trợ bởi một phase 1 đơn. Điều này làm cho các giao dịch IKE tương đối nhanh hơn.
3.6.4 IKE mode (adsbygoogle = window.adsbygoogle || []).push({});