IPSEC. le applicazioni che utilizzano IP.

Transcript

1 1

2 IP Security ( IPSec) è un suite diprotocollie algoritmidicrittografiacheestendele funzionalità del protocollo IP per fornire autenticazione e riservatezza. IPSec fornisce una elevata protezione a tutte le applicazioni che utilizzano IP. 2

3 I servizi specifici forniti da IPSec sono: Autenticazione IPSec verifica l origine e l integrità di ciascun datagramma IP assicurando l identità genuina del computer mittente. Integrità Confidenzialità Non ripudio Anti-reply IPSec assicura l univocità di ciascun pacchetto IP in modo daevitarecheunasequenzadipacchettivengacatturatae venga rieseguita( es. Trasferimento bancario) Viene utilizzato un numero in sequenza Gestione delle chiavi 3

4 Prima chedue computer possanoutilizzarele funzioniipsec per trasformarei pacchettiip, devonoprima negoziareunasa (Security associations). L SA definisceidettaglispecificie ilmodoin cui due computer utilizzeranno IPSec, sulle chiavi specifiche da utilizzare, sulla durata della chiave e sui protocolli di autenticazione e di crittografia da applicare. 4

5 IPsecè una collezione di protocolli formata da: Protocolli che forniscono l autenticazione e/o la cifratura del flusso di dati (Authentication Header (AH), Encapsulating Security Payload (ESP) ) Protocolli che implementano lo scambio delle chiaviper realizzare il flusso crittografato ( Internet Key Exchange (IKE) ) 5

6 Dopoaver negoziatounasa, la comunicazione tra i due computer può procedere. I datagrammi IP verranno trasformati mediante il criterio IPSec attivo. 6

7 IKE è un acronimo per Internet key exchange ed è il protocollo usato per stabilire unasecurity associationnella suite di protocolliipsec. È un protocollo di livello applicazione e utilizza il protocolloudpcomeprotocollo di trasporto; La portasu cui viene stabilita la connessione è la

8 AUTHENTICATION HEADER ( AH) AH fornisce integrità dei dati mediante operazioni di hash con chiave. AHnongarantisce la confidenzialità del messaggio. Le due entità si sono accordate su una chiave Quando Bob vuole spedire ad Alice un MSG combina la propria chiave ( precedentemente accordata con ALICE grazie alla SA) con il MSG originale e genera un CHECKSUM ( tramite HASH). Sia il MSG che il checksumvengono spediti a BOB. 8

9 BOB riceve il MSG in chiaro e il checksum, conoscendo la chiave segreta può ricalcolare il checksum, se entrambi coincidono il MSG sarà accettato. Il protocollo AH è progettato per proteggere l'intero pacchetto IP inviato; tuttavia bisogna considerare che alcuni campi dell'headerip, come il TTL, variano durante la trasmissione; queste modifiche devono essere necessariamente consentite, per cui prima di calcolare il checksum, i campi cui è permesso variare vengono posti a 0. 9

10 Header IP Header TCP Dati Header IP Header AH Header TCP Dati <- Autenticazione eccetto per i campi soggetti a modifica -> AH Transport mode Header IP esterno Header AH Header IP Header TCP Dati <- Autenticazione eccetto per i campi soggetti a modifica -> AH Tunnel mode 10

11 Encapsulating Security Payload(ESP) L intestazione ESP viene utilizzata per fornire: Confidenzialità Autenticazione dei dati Integrità L'header IP non è autenticato 11

12 Header IP Header TCP Dati Header IP Header ESP Header TCP Dati Trailer ESP ESP auth ESP in Transport mode <- Dati autenticati -> HeaderIP Header ESP HeaderIP interno Header TCP Dati Trailer ESP ESP auth ESP in Tunnel mode <- Dati autenticati -> 12

13 Notate che l'indirizzo IP più esterno non viene coperto dal controllo di integrità. Cosa che accadeva con AH ESP Trailer:This section is placed after the encrypted data. It contains padding that is used to align the encrypted data, through apaddingandpad Lengthfield. Interestingly, it also contains the Next Header field for ESP. ESP Authentication Data:This field contains anintegrity Check Value (ICV), computed in a manner similar to how the AH protocol works, for when ESP's optional authentication feature is used. 13

14 The set of IPsecprotocols employed in any context, and the ways in which they are employed, will be determined by the security and system requirements of users, applications, and/or sites/organizations. Remember: IPsecis only one part of an overall system security architecture. The security afforded by the use of IPsecis critically dependent on many aspects of the operating environment in which the IPsec implementation executes. 14

15 An IPsecimplementation operates in a host or a security gateway environment, affording protection to IP traffic. What IPsec Does IPsecprovides security services at the IP layer by enabling a system to select required security protocols. determine the algorithm(s) to use for the service(s). put in place any cryptographic keys required to provide the requested services. 15

16 IPseccan be used to protect one or more "paths" between a pair of hosts, between a pair of security gateways, or between a security gateway and a host. (The term "security gateway" is used throughout the IPsecdocuments to refer to an intermediate system that implements IPsec protocols. For example, a router or a firewall implementing IPsecis a security gateway.) 16

17 Ogniprotocollosupportadue modalità diutilizzo Transport mode connessione host-to-host usato dagli end-pointnon dai gateway computazionalmenteleggero ogni hostche vuole comunicare deve avere tutto il software necessario ad implementare IPsec si aggiunge solo l'headeripsec; mittente e destinazione si vedono 17

18 In tunnel mode IPSEC Connessione gateway-to-gateway Viene protetto tutto il pacchetto IP originale Utilizzato per realizzare le VPN Computazionalmenteoneroso Solo i gateway devono avere il software Ipsec Si hanno punti di centralizzazione quindi single point of failure Si ha un doppio incapsulamento, aggiungendo l'headerdel gateway e l'headeripsec; mittente e destinazione non si vedono 18