b)
4.1.1.2 Cấu trúc Bump in the Wire (BITW)
Trong cấu trúc Bump in the Wire (BITW) , một thiết bị phần cứng cung cấp dịch vụ IPsec được thêm vào. Ví dụ, giả sử một công ty sử dụng hai mạng khác nhau. Mỗi thành viên có một mạng lưới kết nối với Internet bằng cách sử dụng một router mà không có chức năng IPsec. Khi đó, một thiết bị IPsec được thêm vào giữa các router và Internet ở cả hai nơi, như thể hiện trong Hình 4-2. Những thiết bị này sẽ nhận tất cả gói tin đến nó, tiến hành xử lý IPSec và chuyển nó ra ngoài hoặc đi vào mạng nội bộ.
Hình 4-29:Cấu trúc IPsec bump in the wire (BITW)
Trong kiến trúc IPsec này, IPsec được thực sự thực hiện trong các thiết bị riêng biệt nằm giữa các thiết bị có nhu cầu giao tiếp an toàn. Những gói tin IP được đóng gói lại với mã hóa IPSec trước khi truyền ra mạng Internet và được giải mã tại đầu bên kia trước khi chuyển tiếp vào mạng nội bộ.
BITW thích hợp để trang bị cho các hệ thống mạng mà việc nâng cấp hệ thống bảo mật IPSec chiếm chi phí lớn và tốn thời gian (ví dụ như phải thay đổi toàn bộ các router thông thường thành router VPN trong một hệ thống mạng lớn).
Mô hình BITS đặt ra vấn đề cho một số ứng dụng máy chủ không nhận biết được giao thức IPSec nhưng vẫn cần phải giao tiếp sử dụng giao thức IPSec. Kỹ thuật này yêu cầu sự phát triển của các phần mềm mạng mới nhằm phù hợp với hệ điều hành của máy chủ. Điều này là không mang lại hiệu quả kinh tế, đặc biệt là đối với các hệ điều hành cũ không hỗ trợ mã hóa IPSec. Việc ứng dụng kỹ thuật IPSec BITW có thể hỗ trợ bất cứ hệ điều hành cũng như ứng dụng trước đó. Khi muốn cập nhật thuật toán cũng như quá trình trao đổi key, quá trình cập nhật chỉ cần tiến hành trên thiết bị IPSec.
1.1.23.Mô hình tiến hành kiểm tra khả năng bảo mật trên thiết bị thực.
Khả năng bảo mật của thiết bị
Có khả năng chống lại sniffer: Sau khi gói tin đi vào thiết bị nhúng IPSec, gói tin yêu cần cần bảo vệ sẽ được mã hóa ESP. Quá trình giải mã chỉ có thể được thực hiện ở bên thu nơi có key bí mật có được thông qua quá trình trao đổi IKE trước đó.
Khả năng chống lại sửa đổi dữ liệu: Khi một gói tin đi vào thiết bị IPSec, nó được mã hóa ESP. Khi chức năng xác thực được cho phép, IPSec sẽ tính lại ICV sử dụng key xác thực bí mật. Giá trị tính lại này được so sánh với giá trị trong gói tin nhận được. Nếu tấn công sửa đổi dữ liệu xảy ra, hai giá trị này sẽ không khớp với nhau do đó gói tin bị loại bỏ.
Khả năng chống tấn công giả mạo danh tính: Sau khi tiến hành giải mã gói tin. Trường hợp gói tin được yêu cầu xác thực, bên nhận sẽ tính lại ICV bằng cách sử dụng key bí mật. Việc so sánh giá trị tính toán này với giá trị ICV trong gói tin sẽ cho biết gói tin có bị giả mạo danh tính hay không.
Chống lại tấn công Man-in-the Middle: Dùng xác thức nguồn gốc dữ liệu bằng thuật toán chữ ký số được ký với khóa chia sẻ trước. Với khóa chia sẻ trước được bảo mật thì Man-in-the Middle sẽ không thể giả gói tin xác thực. Bằng phương pháp này sẽ loại bỏ khả năng tấn cồng Man –in –the Middle.
Chống tấn công từ chối dịch vụ: Trong trao đổi IKE,hai bên thiết bị sự dụng cookie một cách ngẫu nhiên, dùng 1 lần duy nhất. Trong quá trình mã hóa IPSec, sequence number được sử dụng trong việc xác thực dữ liệu. Bên thu tiến hành kiểm tra sequence number nếu trùng sequence number với gói đã được nhận trước đó, gói tin sẽ bị loại bỏ.
Mô hình áp dụng
• Mô hình thực hiện: Bump in the Wire (BITW)
• Bảo mật đa điểm
• Kiểu mã hóa IPSec: Tunnel.
• Thuật toán bảo mật: ESP
• Mã hóa: 3DES,DES.
• Xác thực: HMAC-MD5, HMAC-SHA1 Sau đây là mô hình áp dụng của thiết bị
Hình 4-30:Mô hình áp dụng hoạt động thiết bị
Thiết bị trong đề tài có khả năng thực hiện tối đa 10 kết nối bảo mật IPSec 2 chiều. Số lượng thiết bị tối đa có khả năng kết nối bảo mật IPSec có thể được thay đổi nhờ thay đổi thông số IPSEC_MAX_SPD_ENTRIES trong file sa.h.
Trong trường hợp VPN multi-site, khi bắt đầu diễn ra quá trình IKE, tập chính sách sẽ được hai bên trao đổi trước, nếu hai bên tìm thấy tập chính sách giống nhau quá trình
trao đổi key sẽ được tiến hành. Trường hợp tập chính sách hai bên không thống nhất(không có thông tin về tập chính sách ở một trong hai bên hoặc tập chính sách không giống nhau) quá trình trao đổi key sẽ bị hủy bỏ, thiết bị IPSec tiếp tục xử lý gói tin đến khác. Quá trình này được thực hiện trong pha 1 của IKE: 2 gói tin đầu tiên của quá trình IKE sẽ thỏa thuận chính sách tương ứng của 2 bên.5