VPN & IPSec. Virtual Private Networking & Internet Protocol Security. Communication Security I-7222

Transkript

1 VPN & IPSec Virtual Private Networking & Internet Protocol Security

2 VPN - Definitions - Technologyoverview - Tunneling - Internet Layer Security Protocols - PPTP - Authentication - MPPE data Encrpytion - L2TP - L2TP over IPSec Overview IPSec - Requirements - Philosophy - AH / ESP - SPD, SA, SPI - IKE - Perfect Forward Security - IPSec and Remote Access - IPSec and NAT/NAPT - XAUTH and Mode Config - DHCP over IPSec - IKEv2 - additional information

3 VPN & IPSec Virtual Private Networking (VPN) Layer-2 and layer-3 tunneling

4 Definition What's a Virtual Private Network - A communication environment that allows access between nodes only to a defined group. This is realised by segregation of the underlying shared communication medium that normally is used for public communication. - A private network built on a public infrastructure like the internet - A restricted-use, logical (i.e., artificial or simulated) computer network that is constructed from the system resources of a relatively public, physical (i.e., real) network (such as the Internet), often by using encryption (located at hosts or gateways), and often by tunneling links of the virtual network across the real network. (RFC 2828)

5 Technologyoverview non cryptographic approach: - route filtering (controlled route leaking) - multi protocol label switching (MPLS) cryptographic approach: - Network Access Layer Security Protocols (Layer 2) - Internet Layer Security Protocols (Layer 3) - Transport Layer Security Protocols (Layer 4)

6 MPLS

7 VPN application site-to-site VPN - A tunnel between routers of a company central and a branch office end-to-site VPN - A tunnel between a remote client and a VPN gateway - Client in a branch office connecting to the central VPN gateway (Routers do not have to offer VPN functionality) end-to-end VPN - Is like end-to-site VPN but the application server is directly integrated into the VPN gateway thus securing the traffic from the remote client to the destination application

8 Tunneling Protocols Name Developed by Layer Point-to-Point Tunneling Protocol (PPTP) Microsoft 2 Layer 2 Forwarding (L2F) Cisco 2 Layer 2 Tunneling Protocol (L2TP) open standard 2 IP Security, Tunnel Mode (IPSec) open standard 3 SSL-VPN, VPN over TLS no standard 4

9 Layer 2 Network Access

10 Layer 2 Tunneling

11 PPTP An Internet client-server protocol (originally developed by Ascend and Microsoft) that enables a dial-up user to create a virtual extension of the dial-up link across a network by tunneling PPP over IP. PPP can encapsulate any Internet Protocol Suite network layer protocol (or OSI layer 3 protocol). Therefore, PPTP does not specify security services; it depends on protocols above and below it to provide any needed security. PPTP makes it possible to divorce the location of the initial dial-up server (i.e., the PPTP Access Concentrator, the client, which runs on a special-purpose host) from the location at which the dial-up protocol (PPP) connection is terminated and access to the network is provided (i.e., the PPTP Network Server, which runs on a general-purpose host).

12 PPTP internals

13 PPTP authentication The specification of PPTP does not require the use of specific authentication or en/de-cryption algorithms instead supports the following algorithms: - PAP (password authentication protocol) - SPAP (shiva PAP) - CHAP (Challenge Handshake Authentication Protocol) - MS-CHAPv1 - MS-CHAPv2 EAP (Extensible Authentication Protocol) - Certificate based - MD5 based

14 MPPE data encryption The MPPE (Microsoft PPP Encryption) protocoll uses RC4 as stream cypher algorithm - until early 2000 => internatioal version 40bit key / US version 128bit key - today => international version 128bit key / US embargo countries 56bit key PPTP is flawed by design - The per direction used session keys are built deterministicly using the user password - Thus the security is directly dependant on the quality of the user password => dictionary attacks on crypted data L2TP over IPSec and IPSec are both secure and better alternatives for VPN

15 L2TP

16 L2TP

17 Securityprotocolinterna Interna of a security protocol between two nodes encrypted and authenticated data communication between two nodes both having a verified identity and a shared 'session key'

18 SecProt Requirements Two nodes A and B should be able to communicate in a secure manner over a public communication channel A pubic channel B Throughout the collection of requirements it is assumed that the authentication is done over a hostile public communication channel where eavesdropping occurs by everyone. At the same time any malicous third party could interrupt, falsify or take over a connection and continue in it's owners name.

19 What method would you choose for exchanging a key if both partners have to take part in generating the key? RSA Keyexchange during initialisation DH-Key Exchange HMAC MD5 How would you apply this method if there can be no dependency of the generated key to former or future sessions?

20 Authentication during initialisation Both partners are authenticating each other using Diffie-Hellman key exchange What method would be best to achieve this? Alternative method?

21 Communication Phase Requirements To prevent eavesdropping attacks on sensitive data communication between two clients has to be encrypted To prevent 'man-in-middle-attack' after authorization is has to be possible for the receiving client to verify the integrity and authenticity of the communication To guarantee the safety and performance the select algorithms have to be secure AND efficient for data bandwidth up to Gbit range

22 Encryption for phase communication What encryption algorithms would you use? RC4 3DES-CBC AES-CBC RSA IDEA CAST Blowfish What parts of a IP datagram would you encrypt?

23 Authentication for phase communication What authentication algorithms would you use? RSA-MD5 HMAC RSA-SHA1 DSS-MD5 DSS-SHA1 What parts of a IP datagram would you authenticate?

24 VPN & IPSec Internet Protocol Security (IPSec) Originating from the Ipv6 (Ipng) specification a IETF Working Group was ordered to create a standard securityarchitecture for both IPv6 and IPv4

25 Principles IPSec basic principles

26 Internetlayer security

27 IPSec overview IPSec is a collection of standards for IP security that enriches the Internet layer with security Using IPSec company networks at different sites can be transparently connected and communicate with each other using encrypted channels IPSec is used to secure the communication between employees on the road (road warriors) and a company network Before a secure connection can be established using IPSec both parties have to authenticate and negotiate a 'session key' using a specific procedure This exchange is done using the IKE (Internet Key Exchange) protocol over UDP

28 IPSec RFC's

29 IPSec components

30 IKE and IPSec A public channel B

31 Protocols IPSec protocols

32 IPSec in IPv4

33 IPSec modes The IPSec mechanism knows 2 modes - Transportmode (encrpytion & authentication of userdata) - Tunnelmode (encryption & authentication of whole IP packet) Transportmode is only used in End-to-End and End-to-Site scenarios Tunnelmode is used in Site-to-Site and Roadwarrior scenarios Tunnelmode is the commonly used mode

34 AH&ESP in mode transport

35 ESP in mode tunnel

36 Authentication Header

37 Encapsulating Security Payload

38 Internet Key Exchange Internet Key Exchange (IKE)

39 Internet Key Exchange Protocol If there's no SA for a outbound packet IKE is used to negotiate a common key and authenticate the communication partner Inside the IKE phase a key is generated to build the secured channel using Diffie Hellman Key Exchange IKE offers two different methods to authenticate - digital signatures or asymmetric encryption both in need of X.509 Certificates delivered by a PKI - Preshared Keys (PSK); As the name indicates both communication partners agree on a known preshared key

40 Security Policy Database (SPD) Inside the 'Security Policy Database' SPD resides the predefined configuration With what partners am I communicating in a - encrypted / unencrypted - authenticated/unauthenticated - no communication at all way? This is defined by selectors like (IP address, subnet, protocol, port number)

41 SPD continued What authentication method is used to establish a secured channel? - Preshared Key (PSK) - Certificates What algorithms are use to encrypt and authenticate the packets? What traffic do we encrypt? (e.g only port 3306)

42 IKE Selectors

43 IKE Security Association (SA) A 'Security Associsation' is a accord negotiated between two IPSec nodes (machine or security gateway) IPSec SA's are unidirectional IPSec SA's are referenced by a 'Security Parameters Index' SPI and stored in a database A SA contains the sum of the needed cryptographic parameters - Encryption algorithm (mode, key length, IV) - Authentication hash algorithm - Key and lifetime of key - SA renewal period

44 IKE SPI 32 bit value SPI is transmitted in clear text with every packet sent Matching index used by partner to locate the correct encryption parameter Is generated when a secure channel is established (random value)

45 IKE Outbound Processing

46 IKE Inbound Processing

47 Phase I (main mode) Phase I (Main Mode): - Partners are negotiating IKE session parameters - using explicit 'Diffie-Hellmann Key-Exchange' a common 'master secret' is generated - Partner are creating a encrypted and authenticated control channel - Both partners are authenticating each other (already encrypted) - Cryptoparameters negotiated during phase 1 are protecting IPSec negotiation of phase 2

48 Phase II (quick mode) Creation or renewal of a IPSec SA - Encrypted quick mode message exchange - All messages are encrypted using a 'shared secret' negotiated by Diffie-Hellmann key exchange - Keymaterial for IPSec protocols (AH,ESP) is derived by the keys created during Phase I - The specific Kryptoparameters for the IPSec connection are negotiated (AH,ESP, authentication and encryption methods & parameters) - Quickmode is used for renewal of expired IPSec SA's - Optional Perfect Forwared Secrecy (PFS) - If 'perfect forward secrecy is applied any further quickmode resultes in a ne 'Diffie-Hellmann' key exchange

49 IKE and IPSec SA

50 IKE Main Mode RSA signatures

51 IKE Main Mode preshared keys

52 IKE aggressive mode

53 Perfect forward secrecy

54 IKE & IPSec Problems IKE & IPSec Problems

55 IPSec Roadwarrior Problem Roadwarrior scenario problem wasn't considered inside actual specification of IKE and IPSec NAT/NAPT & IPSec - IPSec Passthrough - NAT Traversal User authentication Some products do support XAUTH (a IETF standardised IKE Extension that allows the use of encrypted username & passwords) Client address management - DHCP over IPSEC - Cisco config mode

56 NAT/NAPT & IKE/IPSec NAT/NAPT & IKE/IPSec

57 NAT or NAPT

58 NAT & IPSec AH Oil & water? IPSec AH & NAT NAT maps internal IP addresses on external ones by exchanging the 'source address' inside the IP header Modification of IP header triggers a modification of the cryptographically used checksum value The AH protocol forces the receiver to rightfully discard a modified packet DAN Harkin (Coauthor IKE): NAT is the kind of attack IPSec was designed to detect

59 NAT & IPSec ESP Oil & water? IPSec ESP & NAT NAT is a 1 to 1 public to private IP address mapping. NAPT is a 1 to many public to private IP address mapping. ESP encrypts the TCP/UDP header in both, transport and tunnel mode and thus renders NAT and NAPT unusable

60 IPSec Passthrough ADSL and cable routers are using NAT/NAPT to connect one or many computers to the Internet IPSec passthrough forwards ESP and IKE packets without modifying to one computer behind the router Only one computer can use IPSec

61 NAT Traversal NAT traversal is used if many VPN clients like to create a tunnel to a shared NAPT router NAT traversal has more overhead

62 NAT Discovery NAT Traversal encapsulates the IPSec packet once more inside a UDP packet. Normally UDP port 4500 is used Using special NAT-Discovery (NAT-D) packets (Hash of IP and port address) it's possible to detect the presence of a NAT device early during IKE phase I and thus automatically enable the needed support

63 XAUTH XAUTH mode config

64 Roadwarrior Roadwarrior's are connecting from any network (homenetwork connected via ISP) using dynamic IP addresses Clients need a virtual IP address and further information about the network Users should be able to authenticate in a secure manner

65 Cisco XAUTH & mode config Prorietary IKE extension supported by many vendors - Cisco, Checkpoint, Netscreen, Nortel,... - XAUTH is based on: draft-ietf-ipsec-isakmp-xauth-06.txt (expired) - mode config is based on : draft-ietf-ipsec-isakmp-modecfg-04.txt (expired) Future of XAUTH & Mode Config - IKEv2 is offically supporting EAP, the 'Extensible Authentication Protocol' with configuration payload

66 mitm attack on IKE aggressive mode & XAUTH If IKE is used in 'aggressive mode' certificates or OTP credetials should be used (e.g. SecureID)

67 VPN Client overview Windows - Microsoft built-in IPSec Stack (XP,2000,2003) - SafeNet SoftRemote (all Windows OS versions) - SSH Sentinel (bought by SafeNet 2003; discontinoued) - The GreenBow VPN Client (all Windows OS versions) - NCP VPN Client (all Windows OS versions) (frei) 150$ Mac OS X Panther Built-In L2TP/IPSec - VPN Tracker (frei) (160$) Mac OS X Linux (2.4/2.6 Kernel) - FreeS/WAN (until 03/2004) -> StrongSwan & OpenSWAN (frei) - VPNC (supporting XAUTH) Free/Net/Open BSD & Linux KAME (frei)

68 newer IPSec RFC's

69 IKEv2 vs IKEv1 Why a new IKEv2 RFC - IKEv1 is distributed over 3 RFC's (2407, 2408 & 2409) - Too many messages (6 in main mode / 3-4 in quick mode) - Too many possabilities (AH/ESP, Transport/Tunnel, Auth. modes) - Too complex thus potentially unsafe (Bruce Schneier) - New features needed NAT-T, Client Config, User Auth IKEv2 Protocol - IKEv2 SA can be created by 2 Request/Response messages - Further Child-SA's need only one additional Request/Response message - IKEv2 was ratified as 'proposed standard' in September IKEv2 is not backward compatible to IKEv1

70 IKEv2 philosophy IKEv2 doesn't differentiate between the phases but defines exchange-types - IKE_SA_INIT - IKE_AUTH CREATE_CHILD_SA - INFORMATIONAL IKE-SA: IKEv2 doesn't differentiate anymore between SA's used by IKE itself and those used by IPSec CHILD-SA: Using the IKE-SA SA's for AH and ESP can be negotiated. Those are called CHILD_SA and they are bound to a IKE-SA

71 IKEv2 IKE_SA_INIT

72 IKEv2 IKE_AUTH

73 IKEv2 CHILD_SA & INFORMATIONAL REQEST

74 Further payloads

75 IKEv2 & NAT-D

76 References Ralf Spenneberg VPN mit Linux Grundlagen und Anwendug Virtueller Privater Netzwerke mit Open Source-Tools FreeS/WAN Howto StrongSwan ttp:// OpenSwan ttp://

77 VPN & IPSec Virtual Private Networking & Internet Protocol Security

78 VPN - Definitions - Technologyoverview - Tunneling - Internet Layer Security Protocols - PPTP - Authentication - MPPE data Encrpytion - L2TP - L2TP over IPSec Overview IPSec - Requirements - Philosophy - AH / ESP - SPD, SA, SPI - IKE - Perfect Forward Security - IPSec and Remote Access - IPSec and NAT/NAPT - XAUTH and Mode Config - DHCP over IPSec - IKEv2 - additional information

79 VPN & IPSec Virtual Private Networking (VPN) Layer-2 and layer-3 tunneling

80 Definition What's a Virtual Private Network - A communication environment that allows access between nodes only to a defined group. This is realised by segregation of the underlying shared communication medium that normally is used for public communication. - A private network built on a public infrastructure like the internet - A restricted-use, logical (i.e., artificial or simulated) computer network that is constructed from the system resources of a relatively public, physical (i.e., real) network (such as the Internet), often by using encryption (located at hosts or gateways), and often by tunneling links of the virtual network across the real network. (RFC 2828) Drei Definitionen die ich gefunden habe, einmal übersetzt und aufgeschrieben. Etwas umständliche Definitionen, wobei die zweite noch am besten ist. Grundsätzlich geht es darum, man hat ein öffentliches Netzwerk, und man will darauf ein privates Netz betreiben. Privates Netz: eingeschränkter Zugriff für Maschinen, IP-Adressen, Benutzer. Öffentliches Netz: potenziell haben alle Zugriff Dem Internet Security Glossary (RFC 2828) entnommene Definition hat einen interessanten Begriff: relativ öffentliches Netz (meist unter Zuhilfenahme von Kryptologie, aber eben nur meist) -> es gibt auch VPN-ähnliche Architekturen, welche ganz und gar ohne Kryptologie auskommen die beim Routing oder Labeling ansetzen. Diese Architekturen umfasst auch die erste Definition, welche sehr allgemein gehalten ist.

81 Technologyoverview non cryptographic approach: - route filtering (controlled route leaking) - multi protocol label switching (MPLS) cryptographic approach: - Network Access Layer Security Protocols (Layer 2) - Internet Layer Security Protocols (Layer 3) - Transport Layer Security Protocols (Layer 4) Route Filtering die einfachste Methode die es gibt. Häufig werden von Routern VPN-Lösungen angeboten, die auf der Möglichkeit basieren, die Sichtbarkeit der Router gegeneinander einzuschränken durch Änderung der Routing-Protokolle - und künstlich zu begrenzen. Die Sichtweise von Routern, die zu VPN s gehören werden limitiert. Label Switching (MPLS) - Man markiert Pakete mit Labels. Beispiel: Auf dem Internet laufen private Pakete von drei Firmen. Von den Access Routern der Firmen werden die Pakete farblich markiert (bildlich gesprochen): rot = 1. Firma, blau = 2. Firma, grün = 3. Firma. Dann wird sichergestellt, dass nur diejenigen Pakete einer Farbe über die Access Router sichtbar sind. Bedingt eine Kontrolle bei den Access Routern. Also eine Technologie die bei den Routing Protokollen ansetzt. Wurde recht weit getrieben MPLS. Es sind Technologien die darauf basieren, dass Pakete auch eine bestimmte Weise markiert sind, und Router sicherstellen, dass entsprechend markierte Pakete auch nur in bestimmte Bereiche weitergeleitet werden. Wer auf dem Backbone des Internets sitzt, sieht immer noch alle Pakete, im Klartext! Da ist keine Kryptographie im Spiel. Diese Technologie wird meist von einem grossen, globalen ISP angeboten. Nur er kann sicherstellen, dass - ähnlich einer closed usergroup in einem ISDN Netz - die markierten Pakete nur von A nach B weitergeleitet werden. Man muss letztendlich dem Betreiber des Netzes vertrauen, ähnlich wie man bei einer closed usergroup der Telekommunikationsfirma vertrauen muss. Also bei vertraulichen und heiklen Daten nicht anwendbar kryptographische Ansätze verwenden. Im kryptographischen Sumpf gibt es zwei Stossrichtungen: Network Access -, und Internet LayerDiese Folie soll darauf hinweisen, dass viele Leute über VPN sprechen, aber völlig andere Ansätze und Qualitäten verwenden. Da wird z.b. angepriesen: Neue revolutionäre VPN-Technologie die völlig ohne PKI auskommt! Die Zukunft wird gute MPLS-Lösungen auf den Markt bringen Routerhersteller sind daran weltweite Standards für Filtering und Labeling zu setzen. Die Frage ist, vertraut man dem Routernetz des ISP? Wenn ja, ist man gut bedient durch eine solche Lösung, da man eben keine PKI aufbauen und unterhalten muss. Wenn nein, müssen kryptographische Sicherheitsprotokolle ins Spiel kommen.

82 MPLS MPLS: Ein MPLS besteht aus einer Reihe von Knoten (Nodes), die als Label Switched Routers (LSR) bezeichnet werden. Sie sind in der Lage, Pakete auf Basis ihres Labels, das ihnen vorangestellt wurde, zu switchen und zu routen. Labels definieren einen Fluss von Paketen zwischen zwei Endpunkten oder, im Fall von Multicasting, zwischen einer Quelle und mehreren Endpunkten. Jedem Fluss, auch als Forwarding Equivalence Class (FEC) bekannt, ist ein spezifischer Pfad durch das Netzwerk bestehend aus LSRs zugeordnet. Funktionsweise eines auf MPLS basierenden Virtual Private Networks (VPN) Indem vor jedem IP Datagram von User A (Netzwerk A) ein spezifisches User Label vom Netzwerkprovider vorangeschaltet wird, kann der gesamte IP-Verkehr im virtuellen Netzwerk A vom Anfangsknoten E1 (bsp. Heimarbeitsplatz) bis zum Endknoten E3 (Firma) transportiert werden, ohne die IP Header Informationen je gelesen zu haben. Damit können über das Internet auch private Netzwerk-Adressen ( ) übermittelt werden. Von Hop zu Hop definiert ein zusätzliches outer switching label (L1, L2, L3, L4, L5, L6) den Switching Path. Dieses Label wird nur zwischen den Hops verwendet, also jeweils hinzugefügt und wieder weggenommen. Mit dem Labeln des Client Traffics steht auch ein effizientes Kostenverrechnungssystem zur Verfügung, indem vom Provider die vermittelten LA und LB Pakete gezählt werden.

83 VPN application site-to-site VPN - A tunnel between routers of a company central and a branch office end-to-site VPN - A tunnel between a remote client and a VPN gateway - Client in a branch office connecting to the central VPN gateway (Routers do not have to offer VPN functionality) end-to-end VPN - Is like end-to-site VPN but the application server is directly integrated into the VPN gateway thus securing the traffic from the remote client to the destination application

84 Tunneling Protocols Name Developed by Layer Point-to-Point Tunneling Protocol (PPTP) Microsoft 2 Layer 2 Forwarding (L2F) Cisco 2 Layer 2 Tunneling Protocol (L2TP) open standard 2 IP Security, Tunnel Mode (IPSec) open standard 3 SSL-VPN, VPN over TLS no standard 4 Die Spalte Schicht gibt an, auf welcher Schicht des OSI Referenz-Modells die Protokolle arbeiten. Je nachdem auf welcher Schicht ein Protokoll arbeitet spricht man von Schicht-2- Tunneling oder Schicht-3-Tunneling. Alle Protokolle stellen eine zusätzliche virtuelle Netzwerkschnittstelle in den beteiligten Rechner bereit, an die die Daten des internen Netzes gesendet werden. Die Protokoll-Software übernimmt das Ein- und Auspacken in Tunneldaten und leitet diese dann an die physikalisch vorhandene Netzwerkschnittstelle weiter.

85 Layer 2 Network Access

86 Layer 2 Tunneling Das VPN Tunneling-Prinzip Alle heutigen VPN s arbeiten mit einem Verfahren, das Tunneling genannt wird. Dazu werden die Daten, die zwischen dem Client und dem internen Netzwerk ausgetauscht werden sollen, auf einer niedrigeren (Layer-2) oder derselben (Layer-3) Netzwerkschicht durch einen verschlüsselten Tunnel gesendet. Dazu erhält der Client zwei Netzwerkadressen: eine im öffentlichen Netz und eine aus dem internen Netz. Alle Daten, die vom Client an das interne Netz oder aus dem internen Netz an den Client gesendet werden sollen, werden durch diesen Tunnel geleitet, der zwischen der öffentlichen Adresse des Clients und der öffentlichen Adresse der Server hergestellt wird. Bei der Übertragung durch den Tunnel werden die Daten des internen Netzes als Nutzlast des öffentlichen Netzes behandelt. Ein Layer 2 VPN stellt also eine Art virtuelles Kabel über eine IP-Verbindung dar. Für einen Client, der sich an einen Provider anwählt, baut sich das Layer 2 VPN in vier Schritten auf: Aufbau der medien-spezifischen Verbindung zum Provider (z.b. ADSL). PPP-Verhandlung mit dem Network Access Server (NAS) des Providers. Nach dieser Verhandlung hat der Client eine öffentliche IP-Adresse, die im Internet route-fähig (vermittlungsfähig) ist. Diese Adresse wird nur für den nächsten Schritt benutzt. Mit Hilfe dieser IP-Adresse (aus 2.) wird ein Layer 2-Tunnel aufgebaut. Diesen Tunnel kann man als ein verlängertes virtuelles Kabel vom Client zum VPN-Gateway betrachten. Jetzt wird eine PPP-Verhandlung über diesen Layer 2-Tunnel (aus 3.) durchgeführt. Das VPNGateway weist dem Client eine private IP-Adresse (aus dem Firmenbereich), vielleicht auch DNS/WINS-Adressen vom Intranet zu. Auch das PPP Compression Control Protocol kann an dieser Stelle verhandelt werden, um Datenpakete im Tunnel zu komprimieren. Im Fall einer End-to-Site VPN Lösung entfallen für einen Client, der im Netzwerk einer Filiale angeschlossen ist obgenannte Schritte 1 und 2. Für diese Schritte ist dann der Router der Filiale verantwortlich. Der Client muss nur den Tunnelaufbau und eine PPPVerhandlung über den Tunnel durchführen. (Für ein reines Site-to-Site VPN muss der Router der Filiale alle vier obgenannten Schritte durchführen.)

87 PPTP An Internet client-server protocol (originally developed by Ascend and Microsoft) that enables a dial-up user to create a virtual extension of the dial-up link across a network by tunneling PPP over IP. PPP can encapsulate any Internet Protocol Suite network layer protocol (or OSI layer 3 protocol). Therefore, PPTP does not specify security services; it depends on protocols above and below it to provide any needed security. PPTP makes it possible to divorce the location of the initial dial-up server (i.e., the PPTP Access Concentrator, the client, which runs on a special-purpose host) from the location at which the dial-up protocol (PPP) connection is terminated and access to the network is provided (i.e., the PPTP Network Server, which runs on a general-purpose host). Das PPTP (Point to Point Tunneling Protocol) ist zwar seit Jahren Gegenstand von Sicherheitsdiskussionen gewesen, und Microsoft immer wieder nachgebessert. PPTPv2 ist heute aber schon einiges sicherer als vor drei Jahren. Für PPTP spricht zum einen die Verfügbarkeit auf einer Vielzahl von Windows-Plattformen und zum anderen die einfache Konfiguration, da Authentisierung und Verschlüsselung auf einem shared secret (Passwort des Benutzers) basiert. IPSec, das für die Verschlüsselung von Informationen bei Verwendung z.b. von L2TP eingesetzt wird, weist ein erhebliches Mass an Komplexität auf. Auf der anderen Seite gibt es deutlich mehr Hersteller, die L2TP (im Übrigen auch von Microsoft in Windows 2000 favorisiert) unterstützen. Auf mittlere Sicht gesehen wird daher zweifelsohne L2TP (Layer 2 Tunneling Protocol) für Microsoft das führende Layer-2 Tunneling-Protokoll werden.

88 PPTP internals Aufbau des PPTP Das Point-to-Point Tunneling Protocol (PPTP) ist also ein Layer-2-Tunneling Protokoll, da es als Nutzdaten Point-to-Point Protocol (PPP) Frames enthält. Grundsätzlich stellt PPTP einen verteilten Remote Access Server dar, der aus zwei Teilen besteht. Der erste Teil (PAC = PPTP Access Concentrator) stellt den physikalischen Endpunkt einer PPP-Verbindung dar. Der zweite Teil (PNS PPTP Network Server) stellt Funktionen zur Authentisierung und Autorisierung des Benutzer bereit. Zwischen beiden Teilen wird der verschlüsselte Tunnel aufgebaut, über den die beim PAC ankommende PPP-Verbindung virtuell bis zum PNS verlängert wird. In der Praxis wird die Funktionalität des PAC allerdings schon auf dem VPNClient implementiert. Dazu wird auf diesem eine virtuelle Netzwerkschnittstelle eingerichtet. Alle Daten, die an diese virtuelle Schnittstelle gesendet werden, werden in PPP-Rahmen eingepackt und durch die PAC-Software über die physikalische Schnittstelle zum PNS weitergeleitet. Dort werden die Daten in der umgekehrten Reihenfolge wieder entpackt und zum endgültigen Ziel gesendet. Der Tunnel, der zwischen PAC und PNS aufgebaut wird, besteht aus zwei unidirektionalen Netzwerkverbindungen. Der Auf- und Abbau dieser Verbindungen wird durch einen dritten bidirektionalen Kanal gesteuert. Dieser Kanal zur Tunnelsteuerung ist eine TCP-Verbindung. Das bedeutet auch, dass das öffentliche Netz zwischen PAC und PNS ein IP-basiertes Netz sein muss. Die eigentlichen verschlüsselten Tunneldaten werden als verbindungslose IP-Datagramme (UDP) gesendet. Die Pakete des internen Netzes werden also in PPP-Frames eingepackt. Diesen PPP-Frames wird noch ein zusätzlicher Header vorangestellt, weil PPP-Frames nicht direkt als IP-Nutzlast genutzt werden können. Dieser zusätzliche Header ist der so genannte GRE-Header (GRE = Generic Routing Encapsulation) mit der IP-Protokollnummer 47. Zusammen mit dem GREHeader können die PPP-Frames als Nutzlast in ein IP-Paket eingebettet werden. Dieses IPPaket wird dann über die physikalische Netzwerkschnittstelle zum PNS gesendet. Es bleibt festzuhalten, dass die Sicherheit beim PPTP, weder Verschlüsselung noch Authentizität und Autorisierung vorsieht, sondern diese Aufgaben PPP überlässt. Deshalb sind sowohl der Kanal zur Tunnelsteuerung als auch der ganze Header unverschlüsselt. Nur die eigentlichen Netzwerkpakete des internen Netzes werden durch PPP verschlüsselt, ausserdem übernimmt das PPP auch die Benutzerauthentisierung.

89 PPTP authentication The specification of PPTP does not require the use of specific authentication or en/de-cryption algorithms instead supports the following algorithms: - PAP (password authentication protocol) - SPAP (shiva PAP) - CHAP (Challenge Handshake Authentication Protocol) - MS-CHAPv1 - MS-CHAPv2 EAP (Extensible Authentication Protocol) - Certificate based - MD5 based Von PPTP unterstützte Authentifizierungsverfahren Da PPTP eine Entwicklung von Microsoft ist, kommen auch hier Microsoft Protokolle für die Verschlüsselung und Authentifizierung zum Einsatz. Das beim PPTP verwendete Authentifizierungsverfahren ist MS-CHAP (Microsoft Challenge Handshake Authenfication Protocol) und das Verschlüsselungsverfahren ist MPPE (Microsoft Point-to-Point Encryption) PAP (password authentication protocol), SPAP (shiva password authentication protocol) CHAP (Challenge Handshake Authenfication Protocol) Da das beim PPTP eingesetzte Authentifizierungsverfahren MS-CHAP eine abgewandelte Form des Challenge Handshake Authenfication Protocols (CHAP) ist, wollen wir dieses zum besseren Verständnis zuerst beschreiben. Bei CHAP wird das Passwort nicht im Klartext übermittelt, sondern es wird eine abgeleitete Form des shared secret verwendet. Zuerst sendet der Server ein sog. Challenge an den Client. Diese Challenge enthält in der Regel neben einem Zeitstempel und der Netzwerkadresse des Server auch eine Zufallszahl. Somit wird sichergestellt, dass der Challenge bei zwei Authentifizierungsvorgängen nie identisch ist. 2. Der Client verknüpft den Challenge mit dem Benutzer-Kennwort und bildet einen Hashwert nach MD4-Verfahren. Dieser Hashwert wird zusammen mit dem Benutzernamen zum Server gesendet. Der Server berechnet zum angegebenen Benutzernamen mit den gleichen Daten ebenfalls den MD4-Hashwert. Stimmt das Ergebnis dieser Berechnung mit dem vom Client gesendeten Hashwert überein, war das auf dem Client angegebene Kennwort richtig. In diesem Fall erhält der Client Zugang zum Netzwerk, was diesem über eine entsprechende Antwort des Server mitgeteilt wird. War das auf dem Client verwendete Kennwort falsch, wird ebenfalls eine Antwort gesendet und die Verbindung vom Server beendet. Microsoft CHAP (MS-CHAPv2) MS-CHAP existieret in zwei Versionen. Die ursprüngliche Versions (MS-CHAPv1) enthält massive Sicherheitslücken und sollte deshalb nicht mehr verwendet werden. Die aktuelle Version (MS-CHAPv2) wird bei allen PPTP-Verbindungen automatisch bevorzugt, sofern sie von beiden Seiten unterstützt wird.