Internet Protocol Security An Overview of IPSec

رئوس مطالب:  مشکلات امنیتی چیست؟  مفهوم TCP/IP  امنیت در چه سطحی؟  IP Security  سرویسهای IPSec Security  حالات عملکرد  IPSec Security Protocols  Outbound/Inbound IPSec Processing  مثالهای پیاده سازی شده در دنیای واقعی

مشکلات امنیتی چیست؟ امروزه اینترنت در درجه اول از مواد زیر تشکیل شده:  Public  Un-trusted  Unreliable IP networks به خاطر ذاتی بودن فقدان امنیت، اینترنت مورد تهدید انواع حملات قرار گرفته است.

تهدیدات اینترنت:  Data integrity محتوای یک بسته ، چه به صورت عمدی یا تصادفی قابل تغییر است.  Identity spoofing ممکن است منشا IP بسته تغییر کند.  Anti-reply attacks داده یاData غیر مجاز میتواند دوباره ارسال شود.  Loss of privacy محتوای یک بسته در حیت عبور میتواند مورد بررسی قرار گیرد

مفهوم TCP/IP مدل مرجع OSI Application Layer Transport Layer Network Layer Physical Layer Presentation Layer Session Layer Logical Link Layer TCP, UDP IP Network Adapter Device Driver Application HTTPSMTPFTPSNMPNFSFTPDNS

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Application Layer

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3 Application Layer Transport Layer (TCP, UDP)

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3Header 3 Transport Layer (TCP, UDP) Application Layer

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3Header 3 Data 2 Transport Layer (TCP, UDP) Network Layer (IP) Application Layer

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3Header 3 Data 2Header 2 Transport Layer (TCP, UDP) Network Layer (IP) Application Layer

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3Header 3 Data 2Header 2 Transport Layer (TCP, UDP) Network Layer (IP) Data 1 Application Layer Data Link Layer

مفهوم TCP/IP Encapsulation اطلاعات برای Network Delivery Original Message Data 3Header 3 Data 2Header 2 Transport Layer (TCP, UDP) Network Layer (IP) Data 1Header 1 Application Layer Data Link Layer

مفهوم TCP/IP Data 1Header 1 Packet بسته ارسال شده توسط HOST A Data Link Layer

مفهوم TCP/IP Network Layer Data Link Layer بسته دریافت شده توسط Router میانجی

مفهوم TCP/IP Data 1Header 1 Packet بسته دریافت شده توسط HOST B Data Link Layer

مفهوم TCP/IP Data 1Header 1 De-capsulation اطلاعات از Network Delivery Data Link Layer

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Data 1 Data Link Layer

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Data 2Header 2 Network Layer (IP)

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Data 2 Network Layer (IP)

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Data 3Header 3 Transport Layer (TCP, UDP)

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Data 3 Transport Layer (TCP, UDP)

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Original Message Application Layer

مفهوم TCP/IP De-capsulation اطلاعات از Network Delivery Original Message Application Layer

امنیت در چه سطحی؟ Application Layer Transport Layer Network Layer Data Link Layer PGP, Kerberos, SSH, etc. Transport Layer Security (TLS) IP Security Hardware encryption

امنیت در لایه Application (PGP, Kerberos, SSH, etc.)  در end-host ها پیاده سازی میشود.  مزایا - بدون درگیر کردن سیستم عامل application را گسترش می دهد. - Application اطلاعات را درک و امنیت را فراهم میکند.  معایب - مکانیزمهای امنیتی برای هر Application به صورت جداگانه طراحی شده اند.

امنیت در لایه Transport Transport Layer Security (TLS)  در end-host ها پیاده سازی میشود.  مزایا - Application های موجود بدون وقفه امن میشوند  معایب - پروتکل خاص

امنیت در لایه Network IP Security (IPSec)  مزایا - فراهم کردن بدون وقفه امنیت برای application ها و لایه لنتقال(ULPs) - اجازه دادن به هر جریان یا اتصال امنیتی در نتیجه اجازه دادن به کنترل های امنیتی ریز شده.  معایب - سخت به کار انداختن یک user در کامپیوتر هایی که چند user دارند.

امنیت در لایه Data Link  رمزگذاری سخت افزاری  احتیاج به اختصاص دادن یک خط ارتباطی بین host & routers  مزایا - سرعت  معایب - غیر قابل مقیاس پذیری - اجتیاج به یک خط ارتباطی جداگانه

IP Security (IPSec)  IPSec یک چارچوب یا قالب کاری باز استاندارد است که توسط Internet Engineering Task Force (IETF) توسعه یافته. به وجود آورنده امنیت، اعتبارسنجی،ارتباطات مطمئن در شبکه های مبتنی بر IP

سرویسهای IPSec Security  یکپارچگی اتصال اعتماد داشتن به این که ترافیک دریافتی تغییر داده نشده. Integrity شامل زیر پرتوکل anti-reply است  اعتبارسنجی مبدا داده ها اعتماد داشتن به ترافیک دریافت شده از بخش یا بخشهای قانونی  محرمانگی اعتماد داشتن به این که ترافیک کاربران توسط بخشهای غیرمجاز قابل بررسی نمی باشد  کنترل دسترسی جلوگیری از استفاده غیرمجاز از منابع

حالات عملکرد IPSec  حالت Transport: حفاظت از لایه های بالایی پروتکلها IP Header TCP Header Data Original IP Datagram IP Header TCP Header IPSec Header Data Transport Mode protected packet  حالت Tunnel: حفاظت از کل IP Payload Tunnel Mode protected packet New IP Header TCP Header IPSec Header Data Original IP Header protected

حالت Tunnel  Host-to-Network, Network-to-Network Protected Data IPSec IP Layer SG Internet Transport Layer Application Layer IP Layer Host B Protected Data IPSec IP Layer SG Transport Layer Application Layer IP Layer Host A SG = Security Gateway

حالت Transport Transport Layer Application Layer  Host-to-Host Transport Layer Application Layer IP Layer Data Link Layer IPSec Host B IP Layer Data Link Layer IPSec Host A

IPSec Security Protocols  Authentication Header (AH)  Encapsulating Security Payload (ESP)

IPSec Security Protocols  Authentication Header (AH) provides: - یکپارچگی اتصال - اعتبار سنجی منبع داده - محافظت در برابر replay attacks  Encapsulating Security Payload (ESP) provides: - محرمانگی(رمزگذاری) - یکپارچگی اتصال - اعتبار سنجی منبع داده - محافظت در برابر replay attacks  امکان دارد که هر دو پروتکل به صورت جداگانه یا به صورت ترکیبی از یکدیگر مورد استفاده قرار گیرند.

Outbound/Inbound IPSec Processing  فرایند inbound IPSec و outbound IPSec کاملا مستقل از یکدیگر هستند Packet

SPD IPSec policies SAD SPD = Security Policy Database SAD = Security Association Database SA = Security Association Packet Outbound IPSec Processing selector 1.Drop the packet. 2.Bypass IPSec. 3.Apply IPSec. SA out

SPD IPSec policies Packet Inbound IPSec Processing Case 1: اگر IPSec headers موجود بود 1.Headers پردازش می شوند 2.SPD برای اینکه آیا یک بسته براساس Sa in مورد تیید قرار می گیرد یا خیر مشورت میکند SPD = Security Policy Database SAD = Security Association Database SA = Security Association

SPD IPSec policies Packet Inbound IPSec Processing Case 2: اگر IPSec headers در کار نباشد 1.SPD برای شناسایی سروسی برای کار روی بسته مشورت می کند 2.اگر یک traffic مخصوص احتیاج به مراقبت توسط IPSec داشته باشد و لی آن traffic موجود نباشد باید حذف شود SPD = Security Policy Database SAD = Security Association Database SA = Security Association

مثالهای پیاده سازی شده در دنیای واقعی  VPNs  Wireless Internet SG Internet Encrypted / Authenticated