Workshop: IPSec. 20. Chaos Communication Congress

Transkript

1 Cryx (cryx at h3q dot com), v1.1 Workshop: IPSec 20. Chaos Communication Congress In diesem Workshop soll ein kurzer Überblick über IPSec, seine Funktionsweise und Einsatzmöglichkeiten gegeben werden. Anschliessend soll mit dem frisch erworbenen Wissen ein einfaches IPSec Setup gebaut werden, selber Hand anlegen ist gefragt.

2 Was ist IPSec und wie funktioniert es? IPSec besteht aus hauptsächlich aus zwei Protokollen: ISAKMP ( Internet Security Association and Key Management Protocol ) ESP ( Encapsulating Security Payload ) AH (Authentication Header) Tut das gleich wie ESP nur ohne Encryption Vorgang: 1. Authentifizieren ( ISAKMP ) 2. Setup ( ISAKMP ) 3. Verschlüsseln/Auth. ( ESP/AH )

3 ISAKMP ( Internet Security Association and Key Management Protocol ) Was tut es: - Authentifizieren der Tunnelendpunkte - Aushandeln der Tunnelparameter ( SA - Security Associations ) wie benutzter cipher, timeouts etc. Wie tut es dies: - zwei so genannte "Phasen"

4 Phase 1 (cleartext) : - Generierung eines Session cookies durch den Initiator - Einigung auf einen encryption und authentication Algorithmus - Aufbau einer IKE-SA ( Internet Key Exchange - Security Associations ) ( womit Phase 2 verschlüsseln, auf welche Art und weise Authentifizieren, wie den key zum verschlüsseln generieren etc. ) - IKE-SA kann über längeren Zeitraum, länger als die IPSec-SA, bestehen bleiben

5 Phase 2 (encrypted) : - Generierung zweier key-teile auf beiden Seiten und Übermittlung auf die gegenüberliegende - zusammensetzen der key-teile zu einem neuen key, mit diesem werden die Daten verschlüsselt ( Diffie-Hellman Exchange ) - Aufbau einer IPSec-SA ( IPSec Security Associations ) ( sagt aus welche Daten zu verschlüsseln sind und wie lange eine SA (also der ausgehandelte Schlüssel, gültig ist )

6 ESP ( Encapsulating Security Payload ) Was tut es: - Encapsulation, Verschlüsselung und Versiegeln (checksum) der Daten Wie tut es dies: - anwendbar in zwei "modes" Tunnel und Transport Mode

7 ESP ( Encapsulating Security Payload) Tunnel Mode: - das gesamte IP Packet wird verschlüsselt, samt Header und Daten - ein ESP Header wird voran gestellt, dieser beinhaltet zb. die Sequenznummer - ein neuer IP Header wird vornan gestellt (encapsulation) <---- Encrypted -----> IP Header ESP Header IP Header Data < Authenticated > - wird hauptsächlich zum Tunneln von Netzen (VPN encapsulation) benutzt - zwei kryptographische Endpunkte verbinden zwei Netze

8 ESP ( Encapsulating Security Payload) Transport Mode: - die Daten werden verschlüsselt - ein ESP Header wird vornan gestellt <-- Encrypted---> IP Header ESP Header Data <---- Authenticated > - wird zur Host-to-Host Verschlüsselung angewandt

9 Wozu kann man IPSec benutzen? 1. Abgesicherte Kommunikation zwischen zwei Servern - end2end encryption oder Authentifikation, zb. zwischen Mailservern - IPSec Tunnel zwischen primary und secondary Mailserver - sicheres forwarding an andere server - Transport Mode sinnvoll 2. Absicherung von wavelan - statt WEP (unsicher) einen IPSec Tunnel zwischen Wavelan Router und Wavelan Client - Zugriffsverwaltung mit Hilfe der IPSec Authentifizierung - Offenes Wavelan für alle, Zugriff auf interne Services nur für IPSec authentifizierte Clients - Tunnel Mode sinnvoll 3. Verknüpfen von zwei privaten Netzwerken - Tunnel zwischen zwei Routern - Anbindung der Filialen oder Zweigstellen - preiswerte Anbindung eines Endpunktes mit dynamischen ipaddr. - Tunnel Mode sinnvoll

10 Danke, jetzt Pause und dann Workshop! :-) Literatur: Bücher: IPSec - The New Security Standard for the Internet, Intranets, and Virtual Private Networks ( Naganand Doraswamy, Dan Harkins) ISBN: IPSec, Securing VPNs ( Carlton R. Davis ) ISBN: Artikel: Dig your tunnel! ( Cristian Yxen ) die datenschleuder #80 ( ) URLs: - IPsecIEEE howto [ - Electrolux IPv6 enabled Fridge [ - FreeBSD Handbook IPSec Section [ - NetBSD IPSec FAQ [ - Linux FreeS/WAN [ - Seminarfacharbeit: Sicherere latenzarme Kommunikationswege mit IPsec von Thomas Walpuski [

11 - google?ipsec howto [