専用に設計されたのipsecワーキンググループでは、インターネットエンジニアリングタスクフォース（ ietf ）のです。 背後のipsec創出の目標は、 1つの標準的な開発を提供する高品質、相互運用性、柔軟性とセキュリティをipv4 、 ipv6両方のネットワークです。 の開発を開始した自動車からのニーズをネットワークに必要な取引所（ anx ）を安全に相互接続して、複数のベンダーの間で、サプライヤー、そして顧客ます。
ワーキンググループのipのセキュリティプロトコルを開発メカニズムipトラフィックを保護するための構造を定義するipパケットを実行し、セキュリティ保護団体のvpn通信に使用されます。 プロトコル自体ではないにもかかわらず、最終的には鍵の管理に関する問題については、これは特定のプロトコルを定義するためのデータの認証、機密性、完全性とします。
すでに言及して、私たちのipsecのプロトコルを定義するには、 3つの主要部品の2つのモード（あぁ、 esp ）との操作：
あぁデータ発信元認証を提供し、コネクションレスの整合性、およびantireplayサービスです。
|
|
espデータ発信元認証を提供し、コネクションレスの整合性、 antireplayサービス、データの機密性、および交通流の守秘義務に限定します。
アイク提供分配交渉の鍵暗号アルゴリズムの両方に利用されあぁespとします。
あぁespに頼っているとの両方の安全保障組合（スカンジナビア航空）交渉のプロパティを保護された接続を使用するアイク。 2人の間での交渉のsa vpnの参加者に情報を保持します。 このような情報が含まれて生きて暗号化キーと、暗号化アルゴリズムを使用する場合は、プロトコルのipsec 、およびそのモードの操作します。
各モードの操作は、 2つのスカンジナビア航空は、必要な場合、 1つの受信および送信トラフィックのための1つです。 スカンジナビア航空のデータを記述するための2つの運命とは、ホストと呼ばれる由来のsaバンドルします。 両方のモードで動作（あぁ、 esp ）とが使用され、次のようにする必要がある4つのスカンジナビア航空交渉します。 具体的には、それぞれのsaで識別されたりあぁespプロトコルで、送信先のipを送信または受信するために送信元ip接続、および32ビット整数（ spi ）で固有の識別子として使用されます。 別の重要な機能は、それぞれのsaの寿命をします。 生涯のパラメータを指定した後の時間間隔のsaしなければならないrenegotiatedまたは終了します。 その生涯として指定のバイト数を処理するか、またはその時間間隔;いずれかの基準に達した時点でまず最初に、のsaはrenegotiatedます。 どうやら、異なる2つの制限のために存在するのsaの寿命：ハードとソフトです。 柔らかい限度額に達したときには、のsaはrenegotiatedが、それまでのハードではありません限度額に達した時点で、古いのsaが終了してから、ホストのメモリにします。
各ホストに参加して、情報通信のsa店データベースセキュリティ協会（悲しい）します。 実際のところ、 2つ目のデータベースが適切なのipsecのために必要な操作は、セキュリティポリシー（ spd ）のデータベースには、情報を保持するためのポリシーを適用すると、トラフィックにします。 ドイツ社会民主党の構成要素は、ルール、さらに分割され、いくつかのセレクターの情報を入力して運ぶための行動が行われている。 1回のパケットが届いたら、それはドイツ社会民主党のデータベースを照合して、高レベル決定して次へ何をすればいいのパケット、パケットなければならないかどうかを廃棄され、可決され、または処理されたipsec対象にします。 ドイツ社会民主党とは対照的に、悲しげな供給のために必要なパラメータを接続してください。
何をすべきかを決定するパケットで、 3つのフィールドは、パケットから抽出し、それぞれのヘッダーと照合悲しい（プロトコルのipsec 、 ipアドレス、とspi ）します。 が見つかった場合は、このパラメータはさらなる照合するフィールドまたはespああします。 マッチが見つかっていない場合は、パケットが破棄されます。
あぁは、いずれかのプロトコル内でのipsecすることができ、データの信頼性を確認すると、 ipパケットのヘッダーにします。 ていないデータの暗号化のメカニズムを提供するが、それを提供することができます。ハッシュかどうかをチェックしてパケットを改ざんした道に沿っています。 このフォームでのカプセル化を得たというだけでは、限られた用途では、より多くの人を使う傾向が単独または組み合わせてesp espあぁとします。
ああでも返事を攻撃するためのアカウントを使ってシーケンス番号は、保護されたパケットを送信し、それを実装する引き窓、各ノードのipsecます。 かつて、 ipパケットを受け取ると、先進引き窓は、すべてのパケットが到着するので、このウィンドウでは、外に下落した。 パケットに適用され、同じことが繰り返されるシーケンス番号です。
認証が提供するパケットを使ってhmacsます。 いずれかのipヘッダー部分のフィールドまたはデータフィールドに変更しました、メッセージダイジェストとしてhmac受信ホストで算出して、元のハッシュが異なる、という意味では、パケットの通過を更新します。 そのため、送信したデータの整合性がチェックされます。
- 1つのipsecさまざまな方法で使用しhmacs採用ハッシュ関数などのmd5 、のsha - 1 / 2 、およびripemd - 160です。
ああで動作することができ、輸送モードとは、トンネルのrfc 2402として分類されるプロトコルの種類51 。
無防備を提供しesp ipパケットをカプセル化し、その暗号化、およびその認証
伝統的に、デのipsecまたは3des暗号化を使用します。 デは弱いと考えられているとすることができ、壊れた事数日あるいは数時間必要に応じて、その使用ではありませんのでお勧めします。 3 desは、ときどきと呼ばれる"デステロイドは"強力な暗号化を提供したが、数学的アルゴリズムは、集中するとかなり遅いデバイスの処理能力が限られて、アクセスポイントのような、古いパソコンやハンドヘルドます。 データの整合性を保護するため、 md5またはsha - 1は、よく使われるハッシュを計算してデータパケットに含まれています。 リプレーアタック検出作品で似たような態度を再ああ検出します。 espに分類されプロトコル50では定義さのrfc 2402です。
代替のipsecの実装に存在する強力な暗号化を使用する暗号など、 rijndaelの最終ラウンドaesおよびその他の候補です。 より安全な暗号のようなハッシュ関数のsha - 2とripemdもサポートします。
余分なヘッダを付加した後、 ipパケットのカプセル化パケットサイズを増加させる結果には、トンネルの頭上を作成します。 付加することができありったけの300バイトespトラフィックをカプセル化します。 あぁとともに使用された場合は、 esp 、その結果生じるオーバーヘッドがさらに増加しました。 この否定的な影響を及ぼすの性能は、通信のように、実際のスループットは、ネットワークに減少します。 有線lanの近代と比較して、ワイヤレスネットワークの帯域幅とスループットが低く、非常に望ましくないオーバーヘッド追加します。
この問題を解決しようとしたipsec戦闘に組み込まれている圧縮のip （ ipcomp ）プロトコルを利用して通常またはlzs.deflate圧縮アルゴリズムデフレートしています。 圧縮が適用される前に修正のipsecまたはフラグメンテーションが行われました。 役に立たないことが多いランダムや既に圧縮されたデータを圧縮（例えば。 mp3たりします。ファイルを取得するrar ） ;実際のところ、余分な圧縮を適用して結果をときどきipパケットサイズを増加させるのです。 また、ご使用の場合は、トンネルの上のipsecやpppのスリップ、かれらは、下位層のデータを圧縮するかもしれない;もしipcompがオンになって、全体の通信性能が損害を被るように、データは2つの圧縮プロセスを経るます。
紹介してipcompプロトコルの交渉に成功し、追加のコンポーネントを操作します。 前のエンドポイントと通信することができ、 ipcomp協会（ ipca ）を設立しなければならないアイクのメカニズムを使用しています。 私たちは柔軟性に言及してipcompは、圧縮のみを選択して適用することができ、特定のトランスポート層プロトコルや、片方の端を確立された接続しています。
のipsec鍵交換と管理プロトコル（のisakmp ）は、団体名と、 ipsecプロトコル群を定義するための交渉の手続きは、設立、変更、および削除のスカンジナビア航空と同様、パケットのフォーマットを使用します。 だったから独立に設計された場合、特定の鍵交換や鍵の生成技術に加え、暗号化アルゴリズムや認証メカニズムです。 全般的枠組みのisakmp定義されているとは、やや抽象的なのアプリケーションです。 私たちの焦点で詳細を機構がありアイクのisakmpの枠組みに基づいています。
インターネット鍵交換（アイク）は、汎用のセキュリティプロトコルを交換するためのサービスを提供するユーティリティのipsec認証のipsecノード、アイクとの交渉のipsec sas 、およびキーを暗号化アルゴリズムの確立します。 アイクの仕様をどのように使用できる操作で定義されたドメイン（土井）のrfc 2407です。
アイクは、 2つの異なるモードで動作して1つまたは2つの段階でのisakmpます。 フェーズ1が使用され、安全なチャネルの設立のための交渉はすべてを守るために使用後に発生するフェーズ2します。 基本的に、交渉のisakmpのsaが確立した後の両方の間でのisakmpピアリングします。 次の機能が実行中のアイクフェーズ1 ：
認証および保護のipsecノード'の身元
マッチング交渉を保護する政策のsaアイクアイク交流
認証diffie -ヘルマン交換共有秘密鍵を確立するためにマッチ
トンネルの確立のためアイクフェーズ2ネゴシエーション
フェーズ2を使用して交渉を行うと、 ipsecスカンジナビア航空就業者を設定するトンネルのipsec ipトラフィックを保護します。 1つのフェーズ1のsaで使用できるとの交渉フェーズ2スカンジナビア航空ます。 次の機能が実行中のアイクフェーズ2 ：
パラメータのipsecのsa交渉
設立のipsecのsa
定期的に、再交渉のipsecのsa
ピアを確立できるようにいかなる形のお互いの間の通信を確保すると、認証が必要なのは、最初に満足している。 ipsecの典型的な実装に依存して、次の方法：
presharedキー（ psk ）します。 この認証方式に頼っている証明書を所有する2つの共有秘密鍵を当事者間のコミュニケーションのための資格です。 要因の可能性があるとの妥協の安全保障にこの問題を解決するのは危険なpsk分布します。
公開鍵アルゴリズムです。 この認証方式に依存して公共と民間の鍵ペアの生成します。 の公開鍵を安全に交換することができ、不安定なコミュニケーションの手段が、真の所有権の問題を確立するキーが生じました。
デジタル証明書です。 公開鍵の配布計画をいくつかのレベルでの信頼を必要とします。 インターネットなどのネットワーク上で、コントロールが非常に疑問やインフラの構築には、信頼していないと、キーを配布することができ、面倒だと思っています。 同じワイヤレスネットワークに適用され、これがさらに影響を受けやすいレイヤ2 kracker_jackスタイルの中に人間の真ん中攻撃します。 を導入したサードパーティ製のは、カリフォルニア州を認め、デジタル証明書を発行証明書を持参の身元を含む、名前またはアドレス、シリアル番号、有効期限、公開鍵とします。 デジタル証明書は、標準のフォーマットとして定義され進んでx.509ます。
そこには、 3つの方法を交渉する可能性のsaフェーズ1 ：
メインモードになります。 このモードで個別に設計された鍵交換カードからの情報と認証情報を保護するアイデンティティ情報の下で、以前diffie -ヘルマン共有秘密鍵を生成します。 このモードでudpの6データグラム交流します。
積極的なモードになります。 このモードでは、伝送交換鍵交換、カード、および認証する。 場合に使用されることが多いの保護のための重要な個人情報の情報ではありませんします。 udpの3つのデータを入れ替えています。 領収書の提案の最初のメッセージが表示され、数多くのリソースを費やしたが応答メッセージを生成しています。 もしいくつかの提案を必従なりすましメッセージが送信され、重要なリソースの消費電力に起こるかもしれない、結果的には、 dosます。
基地モードになります。 udpの4つのデータを入れ替えています。 このモードでは避け、計算集約団体の積極的な党のモードを開始するまで、その存在を確認します。 それは仮定の利点を蓄積し、積極的なモードでは、しかし、公開鍵暗号を使用しない限り、当事者は、個人情報保護のデータではありませんします。
その半面、アイクフェーズ2が1つしかないモードでの交渉は、クイックモードになります。 それが発生した後に成功しましたアイク確立して、安全なトンネルモード1 ;したがって、交渉に使用されたすべてのデータは暗号化されます。 初期化され、接続することができ、 1つまたは複数のピアのいずれかのipsecスカンジナビア航空交渉では、為替の3つのメッセージをホストします。
別の機能を大幅に向上させることのipsecのセキュリティが完璧な秘密フォワード（ pfs ）します。 有効にしたときに、新しいdiffie -ヘルマン交換が行われ、各クイックモードになります。 したがって、 1つのスカンジナビア航空のisakmpが悪化し、それは他のスカンジナビア航空は影響しませんします。 cpu使用率は、マイナスが増えたが、否定的な影響を与えるようなシステムのパフォーマンスをします。
そこでは、内部機構に使われることができるのipsec削除する通知を送信するときにペイロードを経由しアイクのipsecのsaするピアが切断します。 残念なことに、ピアはありません通常、この通知を送信するための単純な理由のように失敗した場合や電源システムクラッシュします。 このような状況では、頻繁に展示されたときのワイヤレスネットワーク、ホスト、突然の取材ゾーン葉します。 のメカニズムは、この問題を解決しようとして死んだピア検出機構（ dpd ）します。 通知を送信することによって動作してペイロードする前にデータを送る場合には、より長い期間のコミュニケーションが不活発ないくつかの値を設定します。 ピアが生きている場合は、着信通知のペイロードの1つは、独自のリピート尊敬されています。
典型的な状況では、クライアント接続またはそれ以上に、離れた場所からワイヤレスリンクを取得すると別のアドレスが割り当てられたdhcpの変更をいつします。 1つとしてipアドレスが動的であるため、使用することはできませんピアの身元を確認しています。 したがって、このような別の認証方法は、ホストに使われる（例えば、進んでx.509証明書）します。
日和見の背後にある思想を許可するピアと通信の暗号化はせずに事前にしっかりと知識をお互いにします。 ホストのパケットを送信する前に、それが可能かどうかを確認することを確立するためのリンクを受領した当事者を確保します。 マシンの両方を設定する場合は、暗号化日和見を理解して、安全なトンネルが確立されます。 dnsを配布する方法に頼っているのrsa公開鍵リクエストに応じて提示します。 それは実現可能な、無線ホットスポットが、それをすることができdnsのなりすましの脆弱性やさまざまな男の真ん中での攻撃は、特定の攻撃を含むワイヤレスのデータリンク層（詳細については、 kraker_jackツールからairjackスイート）します。
Online: 455 users browsing the articles directory
|
|