Топалов

льні секретні ключі, передати так звані „оказії “ (випадкові значення, що посилаються іншій стороні), підписати їх і повернути назад, аби довести „свою особистість“ ;

у ході третього обміну виконується автентифікація сторони партнера. Ідентифікаційним значенням у даному випадку виступає IP-адреси сторін IPSec у шифрованому вигляді.

Маршрутизатор А	Маршрутизатор В
Хост А	Хост В

Крок 1

Потік даних до хоста В

Крок 2	Асоціація IKE		Фаза 1 IKE			Асоціація IKE
Крок 3	Асоціація IPSec		Фаза 2 IKE			Асоціація IPSec
Крок 4			Тунель IPSec
Крок 5	Завершення работи тунелю IPSec

Рисунок 5.3 – П'ять кроків процесу IPSec, в результаті якого вибирається спільний секретний ключ для використання в алгоритмах шифрування IPSec

Основним результатом цього режиму є узгодження параметрів асоціацій захисту IKE між сторонами з метою створення захищеного каналу для подальших обмінів IKE. SA IKE визначає параметри обміну IKE: використовуваний метод автентифікації, алгоритми шифрування і гешування, використовувана група Діффі-Хеллмана, максимальний час існування SA IKE і спільно використовувані секретні значення ключів для алгоритмів шифрування. SA IKE у пристроях кожною із сторін є двосторонніми.

2) Енергійний режим першої фази IKE

71

У даному режимі менше і число обмінів, і число пакетів, що пересилаються при цьому, внаслідок чого потрібно менше часу для установки сеансу IPSec. У цьому випадку виконуються наступні дії:

в ході першого обміну майже все необхідне включається в пропоновані значення для SA IKE, відкритий ключ Діффі-Хеллмана, оказію, що підписується другою стороною, і пакет ідентифікації, який можна використовувати для того, щоб автентифікувати другу сторону за допомогою третьої сторони;

одержувач відправляє назад все, що потрібно, аби завершити обмін. Ініціаторові залишається лише підтвердити обмін.

Недоліком використання енергійного режиму є те, що дві сторони обмінюються інформацією до того, як створений захищений канал. Таким чином, можна підключитися до лінії і з'ясувати, хто формує нову асоціацію захисту. З іншого боку, обмін відбувається швидше, ніж в основному режимі.

Друга фаза IKE. Завданням другої фази IKE є узгодження параметрів SA IPSec з метою створення тунелю IPSec. У цій фазі виконуються наступні дії:

ведуться переговори про параметри SA IPSec, що захищаються існую-

чою SA IKE;

встановлюються SA IPSec;

періодично поновлюються переговори про SA IPSec, щоб гарантувати

захист;

у необов'язковому порядку може виконуватися додатковий обмін Діф- фі-Хеллмана.

Друга фаза IKE виконується лише у швидкому режимі, після того, як у результаті першої фази IKE створюється захищений тунель. Потім ведуться переговори про узгоджену політику IPSec, витягується загальний секретний матеріал для роботи з алгоритмами захисту IPSec і створюються SA IPSec. У швидкому режимі виконується обмін оказіями, які забезпечують захист від відтворення повідомлень. Оказії використовуються для того, щоб гарантувати створення нових секретних ключів і не допустити проведення атак відтворення, у результаті яких противник міг би створити „фальшиві“ SA.

Швидкий режим використовується також для того, щоб домовитися про нові SA IPSec, коли виявляється перевищена межа часу існування старої SA IPSec. Базовий варіант швидкого режиму використовується для того, щоб відновити секретний матеріал, призначений для створення загального секретного ключа на основі значень, отриманих при обміні Діффі-Хеллмана в ході першої фази. В IPSec є опція PFS (Perfect Forward Secrecy – досконала пряма секретність), що посилює захист ключів. Якщо політикою IPSec наказане використання опції PFS, то для кожного обміну у швидкому режимі потрібний новий обмін Діффі-Хеллмана, який забезпечує нові дані для ключів, внаслідок чого дані для ключів володітимуть більшою ентропією („нерегулярністю“) і тому більшою стійкістю відносно криптографічних атак. Кожен обмін Діффі-Хеллмана вимагає великого числа піднесень до ступеня, що збільшує завантаження процесора

ізнижує загальну продуктивність системи.

72

SA, який узгоджуються у швидкому режимі, ідентифікуються IPадресами КЕ-сторін.

У ході другої фази в рамках протоколу IKE ведуться переговори про перетворення IPSec (алгоритми захисту IPSec). IPSec складається з двох головних протоколів захисту і безлічі протоколів підтримки. Перетворення IPSec і пов'я- зані з ними алгоритми шифрування є наступними:

протокол АН (Authentication Header – заголовок автентифікації). Протокол захисту, що забезпечує автентифікацію і, як опція, сервіс виявлення відтворення. Протокол АН діє як цифровий підпис і гарантує, що дані в пакеті IP не будуть несанкціоновано змінені. Протокол АН не забезпечує сервіс шифрування і дешифрування даних. Даний протокол може використовуватися або самостійно, або спільно з протоколом ESP (Encapsulating Security Payload – корисний вантаж, що включає захист);

протокол ESP. Протокол захисту, що забезпечує конфіденційність і захист даних, а також, як опція, сервіс автентифікації і виявлення відтворення. Продукти, що підтримують, IPSec використовують ESP для шифрування корисного вантажу IP-пакетів. Протокол ESP може використовуватися самостійно або спільно з АН;

стандарт DES. Алгоритм шифрування і дешифрування даних пакетів. Алгоритм DES використовується як у рамках IPSec, так і IKE. Для алгоритму DES використовується 56-бітовий ключ, що означає не лише велику кількість використання обчислювальних ресурсів, але і надійніше шифрування. Алгоритм DES є симетричним алгоритмом шифрування, для якого потрібні ідентичні секретні ключі шифрування в пристроях кожної із сторін IPSec, що з’єднуються. Для створення симетричних ключів застосовується алгоритм Діф- фі-Хеллмана. IKE і IPSec використовують алгоритм DES для шифрування повідомлень;

„потрійний“ DES (3DES). Варіант DES, заснований на використанні трьох ітерацій стандартного DES з трьома різними ключами, що практично потроює стійкість DES. Алгоритм 3DES використовується в рамках IPSec для шифрування і дешифрування потоку даних. Даний алгоритм використовує 168бітовий ключ, який гарантує високу надійність шифрування. IKE і IPSec використовують алгоритм 3DES для шифрування повідомлень.

При перетворенні IPSec використовується також два стандартні алгоритми гешування, що забезпечують автентифікацію даних:

алгоритм MD5 (Message Digest 5 – „профіль“ повідомлення 5). Алгоритм гешування, вживаний для автентифікації пакетів даних. У продуктах Cisco використовується обчислюваний за допомогою MD5 код НМАС (Hashed Message Authentication Code – гешований код аутентичності повідомлення) – варіант коду аутентичності повідомлення, якому забезпечується додатковий захист за допомогою гешування. Гешування є процесом одностороннього (тобто необоротного) шифрування, у результаті якого для повідомлення довільної довжини, що поступає на вхід, виходить виведення фіксованої довжини. IKE, АН

іESP використовують MD5 для автентифікації даних;

73

алгоритм SHA-1 (Secure Hash Algorithm-1 – захищений алгоритм гешування 1). Алгоритм гешування, використовуваний для автентифікації пакетів даних. У продуктах Cisco застосовується варіант коду НМАС, що обчислюється за допомогою SHA-1. IKE, АН і ESP використовують SHA-1 для автентифікації даних.

В рамках протоколу IKE симетричні ключі створюються за допомогою алгоритму Діффі-Хеллмана, який використовує DES, 3DES, MD5 і SHA. Протокол Діффі-Хеллмана є криптографічним протоколом, заснованим на використанні відкритих ключів. Він дозволяє двом сторонам узгоджувати спільний секретний ключ, не маючи досить надійного каналу зв'язку. Спільні секретні ключі потрібні для алгоритмів DES і НМАС. Алгоритм Діффі-Хеллмана використовується в рамках IKE для створення сеансових ключів. У продуктах Cisco підтримуються 768- і 1024-бітові групи Діффі-Хеллмана. 1024-бітова група забезпечує надійніший захист.

Кожній SA IPSec привласнюється індекс SPI (Security Parameter Index – індекс параметрів захисту) – число, використовуване для ідентифікації SA IPSec. SA IPSec визначає використовуване перетворення IPSec (ESP і АН і відповідні алгоритми шифрування і гешування), межу часу існування SA IPSec у секундах або кілобайтах, вказує необхідність вживання опції PFS, IP-адреси сторін, спільні також загальні значення секретних ключів для алгоритмів шифрування та інші параметри. Всі SA IPSec є однобічними. Один цикл узгодження SA IPSec завершується створенням двох SA – однієї вхідної і однієї вихідної.

Протоколи АН і ESP IPSec можуть діяти або в тунельному, або в транспортному режимах. Тунельний режим використовується для зв'язку між шлюзами IPSec, і в цьому випадку засобам IPSec доводиться створювати абсолютно новий заголовок IPSec. Транспортний режим, як правило застосовується між клієнтом і сервером VPN, і при цьому використовується існуючий заголовок IP.

Передача даних. Після завершення другої фази IKE і створення асоціацій захисту IPSec у швидкому режимі, починається обмін інформацією через тунель IPSec, що зв'язує сторони IPSec. Пакети шифруються і дешифруються за допомогою алгоритмів шифрування і ключів, указаних асоціацією захисту IPSec. Асоціація захисту IPSec задає також межу часу свого існування в кілобайтах передаваних даних або в секундах. Асоціація захисту має спеціальний лічильник, значення якого зменшується на одиницю за кожну секунду або після передачі кожного кілобайта даних.

Завершення роботи тунелю IPSec. SA IPSec завершують свою роботу або внаслідок їх видалення, або тому, що виявляється перевищена межа часу їх існування. Коли SA завершують роботу, відповідні ключі теж стають недійсними. Якщо для потоку даних потрібні нові SA IPSec, у рамках протоколу IKE знову виконується обмін другої фази, а якщо необхідно, то і першої. У результаті успішного їх завершення створюються нові SA ключі. Нові SA ключі можуть створюватися і до завершення часу існування попередніх, аби потік даних міг рухатися безперервно.

74

Розділ6

ТЕХНОЛОГІЇ, ЯКІ ВИКОРИСТОВУЮТЬСЯ В РАМКАХ IPSEC

В IPSec використовуються наступні технології:

протокол АН;

протокол ESP;

стандарт шифрування DES;

стандарт шифрування 3DES;

протокол IKE;

метод узгодження ключів за алгоритмом Діффі-Хеллмана;

коди аутентичності повідомлень (НМАС), що гешуються;

захист RSA;

центри сертифікації.

Розглянемо вищезазначені технології детальніше.

6.1. Протокол АН

Даний протокол забезпечує автентифікацію і цілісність даних для пакетів IP, які передаються між двома системами. Протокол АН не забезпечує конфіденційність (тобто шифрування) пакетів. Автентифікація виконується шляхом застосування до пакета однобічної, залежної від ключа функції гешування, що генерує „профіль“ повідомлення. Зміна будь-якої частини пакета в процесі передачі буде виявлена одержувачем у результаті застосування до отриманих даних аналогічної однобічної функції гешування і порівняння обчисленого значення профілю повідомлення з тим, яке вказав відправник. А достовірність отриманої інформації гарантується тим, що для однобічного гешування обома системами використовується один і той же секретний ключ. Схема роботи протоколу АН показана на рис. 6.1. При цьому виконуються наступні дії:

виконується гешування IP-заголовка і корисного вантажу пакета;

отриманий геш-код використовується при побудові нового заголовка АН, який приєднується до вихідного пакета між заголовком і блоком корисного вантажу;

новий пакет передається другій стороні IPSec;

сторона-одержувач обчислює значення геш-коду для заголовка IP і корисного вантажу, витягує передане значення геш-коду із заголовка АН і порівнює ці два значення. Відповідні значення геш-коду повинні в точності збігатися. Якщо в дорозі зміниться хоч би один біт пакета, обчислений одержувачем геш-код пакета не збігатиметься із значенням, вказаним у заголовку АН.

Протокол АН забезпечує автентифікацію для максимально можливого числа полів заголовка IP, як і для полів даних протоколів вищих рівнів. Проте деякі поля заголовка IP можуть змінюватися в дорозі. Значення змінних полів, наприклад, поля TTL (Time to live – час існування пакета), змінюються проміжними мережними пристроями, через які проходить пакет, і такі зміни відправник прогнозувати не може. Значення змінних полів не повинні захищатися про-

75

токолом АН. Таким чином, захист, який забезпечується заголовку IP протоколом АН, виявляється, у деякій мірі, обмеженим. Протокол АН може також додатково забезпечити захист від відтворення пакетів, для чого в заголовку IP вказується порядковий номер пакета.

Заголовок IP+дані				Заголовок IP+дані
Гешування				Гешування
Дані автентичності				Дані автентичності
(00ADCDEF)				(00ADCDEF)
	IP заголовок	AH	Дані

Маршрутизатор А

Маршрутизатор В

Рисунок 6.1 – Застосування гешування в рамках протоколу АН

6.2. Протокол ESP

ESP є протоколом захисту, що забезпечує конфіденційність (тобто шифрування), автентифікацію джерела і цілісність даних, а також, як опція, сервіс захисту від відтворення і обмежену конфіденційність трафіка шляхом протидії спробам аналізу потоку даних.

Протокол ESP забезпечує конфіденційність за допомогою шифрування на рівні пакетів IP. При цьому підтримується безліч алгоритмів симетричної схеми шифрування. Алгоритмом за замовчуванням для IPSec є DES з 56-бітовим ключем. Цей шифр має бути присутнім для гарантії сумісності між всіма продуктами, що підтримують, IPSec. Продукти Cisco підтримують також алгоритм 3DES, що забезпечує стійкіше шифрування. Конфіденційність може бути вибрана незалежно від інших сервісів.

Автентифікація джерела даних і підтримка цілісності без встановлення з'єднань використовуються спільно і є опціями (тобто необов'язкові). Ці можливості можна також об'єднати з сервісом конфіденційності.

Сервіс захисту від відтворення можна вибрати лише в тому випадку, якщо вибрана автентифікація джерела даних, і вибір цього сервісу є винятковою прерогативою одержувача. Хоча за замовчуванням від відправника і потрібно автоматично збільшувати порядковий номер, використовуваний для захисту від відтворення, цей сервіс виявляється ефективним лише в тому випадку, якщо одержувач перевіряє цей порядковий номер. Конфіденційність трафіка вимагає вибору тунельного режиму. Найбільш ефективним це виявляється в шлюзі за-

76

хисту, де маскування джерела-адресата може бути виконане відразу для всього трафіка. Тут слід зазначити, що хоча й конфіденційність, і автентифікація є опціями, має бути вибраний, принаймні, один з цих сервісів.

Набір сервісів, що забезпечуються протоколом ESP, залежить від параметрів, які вказуються в конфігурації IPSec і вибираються при створенні SA IPSec. Проте, вибір конфіденційності без цілісності/автентифікації (або в рамках ESP, або окремо з допомогою АН) залишає противникові можливість для проведення атак певного вигляду, що може обмежити користь вживаного таким чином сервісу конфіденційності.

Заголовок ESP вставляється в пакет після заголовка IP перед заголовком протоколу вищого рівня (у транспортному режимі) або перед інкапсульованим заголовком IP (у тунельному режимі).

Урамках протоколу ESP може також забезпечуватися автентифікація пакетів за допомогою необов'язкового поля автентифікації. У програмному забезпеченні Cisco IOS і в брандмауерах PIX Firewall цей сервіс називається ESP НМАС. Значення автентифікації обчислюються після того, як виконано шифрування. Використовуваний сьогодні стандарт IPSec описує алгоритми SHA1 і MD5 як обов'язкові для НМАС.

Головна відмінність між автентифікацією ESP і автентифікацією АН полягає в області їх охоплення. ESP не захищає жодних полів заголовка IP, якщо тільки не передбачається інкапсуляція ESP (тунельний режим). Шифрування охоплює лише дані корисного вантажу, а ESP з гешуванням ESP НМАС – заголовок ESP і дані корисного вантажу. Заголовок IP не захищається. Сервіс ESP НМАС не може використовуватися самостійно, а має бути об'єднаний з протоколом шифрування ESP.

Упевних ситуаціях проблема вибору між АН і ESP може видатися складною для вирішення, але її можна спростити, якщо слідувати декільком правилам. Якщо необхідно знати, що дані з ідентифікованого джерела передаються без порушення цілісності, а їх конфіденційність забезпечувати не потрібно, використовується протокол АН, який захищає протоколи вищих рівнів і поля заголовка IP, не змінні в дорозі. Захист означає, що відповідні значення не можна змінити, тому що це буде виявлено другою стороною IPSec і будь-яка модифікована дейтаграма IP буде знехтувана. Протокол АН не забезпечує захист від прослухування каналу і перегляду порушником заголовка і даних. Але, оскільки заголовок і дані непомітно змінити не можна, змінені пакети відкидаються.

Якщо необхідно зберегти дані в таємниці (забезпечити конфіденційність), використовуйте ESP. Даний протокол передбачає шифрування протоколів вищих рівнів у транспортному режимі і всієї вихідної дейтаграми IP у тунельному режимі, так що витягувати інформацію про пакети шляхом прослухування каналу передачі неможливо. Протокол ESP може також забезпечити для пакетів сервіс автентифікації. Проте, при використанні ESP у транспортному режимі зовнішній оригінальний заголовок IP не захищається, а в тунельному режимі не захищається новий заголовок IP. При використанні IPSec користувачі швидше застосують тунельний режим, ніж транспортний.

77

6.3. Стандарт і алгоритм DES, 3DES

В IPSec використовується алгоритм DES з 56-бітовим ключем і алгоритм 3DES з 168бітовим ключем для шифрування даних у рамках протоколу ESP і забезпечення конфіденційності даних у процесі обміну IKE.

Найголовнішою характеристикою криптографічного алгоритму є його захищеність від злому. Захищеність криптосистеми (або складність завдання з'я- сування вмісту відкритого тексту для порушника) є функцією декількох змінних. У більшості протоколів надійність захисту практично повністю залежить від захищеності секретного ключа, використовуваного для шифрування даних. Алгоритм DES побудований так, що без наявності такого ключа визначити відкритий текст дуже важко. У будь-якій криптосистемі велика довжина ключів вибирається саме для того, щоб забезпечити секретність ключів шифрування.

Після того, як дві сторони IPSec отримають спільний секретний ключ, вони можуть використовувати його для обміну даними за допомогою алгоритмів шифрування DES або 3DES. Але навіть зашифровані за допомогою DES дані можуть бути розшифровані порушником, якщо в нього буде досить обчислювальних ресурсів і часу для обчислення ключів. Якщо ключ буде відкритий, кожен пакет, який був зашифрований цим ключем, може бути легко розшифрований порушником. Часта зміна спільних секретних ключів сторонами зменшує вірогідність того, що порушник зможе розшифрувати дані, оскільки в нього буде менше часу на те, щоб обчислити ключ, і відповідно менше даних може бути відкрито, якщо ключ буде порушником все ж таки обчислений. В алгоритмі DES використовуються 56- і 168-бітові ключі.

На рис. 6.2 показано, як працює алгоритм DES. Компонентами системи шифрування DES є алгоритми шифрування і дешифрування, відповідні секретні ключі сторін і відкриті дані, що вводяться для шифрування. Основою DES є алгоритм шифрування. Спільний секретний ключ подається на вхід алгоритму. Дані відкритого тексту подаються на вхід алгоритму блоками фіксованої довжини, які в результаті обробки перетворюються на шифрований текст. Шифрований текст передається другій стороні IPSec за протоколом ESP. Сторона, яка отримала пакет ESP, витягує шифрований текст, обробляє його за допомогою алгоритму дешифрування і отримує відкритий текст, ідентичний тексту, введеному шифруючою стороною.

78

				IPSec		IPSec
Джерело					Зашифроване			Отримувач
					повідомлення
Відкритий			Шифрування			Дешифрування		Відкритий
текст			DES/3DES			DES/3DES		текст
			Спільний			Спільний
			секретний			секретний
			ключ			ключ

Рисунок 6.2 – Операції DES

Алгоритм DES і сьогодні вважається дуже надійним (до цих пір ніхто не зміг спростувати це). Проте, при його використанні розсудливо періодично заміняти ключі.

Алгоритм DES використовує 56-бітовий ключ, що забезпечує досить швидке шифрування. DES використовується для шифрування і дешифрування пакетів даних, він перетворює відкритий текст у шифрований за допомогою алгоритму шифрування. Алгоритм дешифрування на віддаленому кінці відновлює відкритий текст. Таке шифрування і дешифрування стає можливим завдяки використанню загальних секретних ключів. DES є симетричним алгоритмом шифрування, а це означає, що дві сторони, які беруть участь в обміні, повинні використовувати однакові 56-бітові секретні ключі.

DES є алгоритмом блокового шифрування, тобто обробка даних виконується блоками фіксованої довжини (64 біт). Для алгоритму шифрування в пристроях Cisco використовується режим CFB (режим шифрованого зворотного зв'язку), який дає додаткові гарантії цілісності отриманих даних. Алгоритм DES діє таким чином:

DES отримує потік даних для шифрування і перетворення його в послідовність 64-бітових блоків;

DES виконує початкову перестановку бітів блока, а потім розділяє блок на дві 32-бітові частини. До однієї з отриманих частин застосовується складна, задана за допомогою таблиць підстановка, залежна від ключа, а результат зв'я- зується операцією XOR (виключне „АБО“) з другою частиною бітів блока. Таке перетворення називається раундом і повторюється 16 разів. Після кожного раунду дві 32-бітові частини міняються місцями;

після закінчення останнього раунду виконується вирішальна перестановка. Отриманий у результаті шифрувань текст, є набір бітів, кожен з яких залежить від кожного біта даних, що вводяться, і кожного біта ключа.

Стандарт "3DES. Алгоритм 3DES аналогічно DES, розбиває дані на 64бітові блоки. Потім 3DES обробляє кожен блок три рази; кожного разу з новим

79

(незалежним від двох інших) 56-бітовим ключем. Алгоритм 3DES практично потроює стійкість шифрування порівняно з 56-бітовим алгоритмом DES. 3DES є алгоритмом симетричної схеми шифрування.

6.4. Протокол IKE

IKE є гібридним протоколом, об'єднуючим методи обміну ключами

Oakley і SKEME (Secure Кеу Exchange Mechanism – універсальний ключ безпе-

ки Обмін Механізм Інтернет) у рамках протоколу ISAKMP (Internet Security Association and Кеу Management Protocol – протокол управління асоціаціями і ключами захисту в мережі Internet). IPSec використовує IKE для автентифікації сторін, управління створенням і обробкою ключів, використовуваних алгоритмом DES і алгоритмами гешування, а також для узгодження параметрів асоціацій захисту IPSec.

IPSec можна використовувати і без IKE, але IKE розширює можливості IPSec, забезпечуючи додаткову гнучкість і зручність налаштування стандарту IPSec. Використання протоколу IKE забезпечує наступні переваги:

виключається необхідність вручну описувати всі параметри асоціації захисту для обох сторін IPSec;

існує можливість захищеного вибору ключів для використання обома сторонами;

можна вказати максимальний час існування для асоціації захисту IPSec;

можна заміняти ключі шифрування в ході сеансів IPSec;

існує можливість використовувати в рамках IPSec сервіс захисту від відтворення;

забезпечується підтримка центрів сертифікації, що відкриває широкі можливості управління і масштабування IPSec;

можлива динамічна автентифікація сторін.

У рамках протоколу IKE використовуються наступні методи і алгоритми:

ISAKMP. Рамковий протокол, який визначає формати корисного вантажу, а також механізми здійснення протокольного обміну ключами і узгодження параметрів асоціацій захисту;

Oakley. Протокол обміну ключами, що визначає процедуру знаходження автентифікованного матеріалу для ключів;

SKEME. Протокол обміну ключами, що визначає процедуру знаходження автентифікованного матеріалу для ключів і швидкого оновлення ключів;

DES. Алгоритм шифрування, використовуваний для шифрування пакетів даних, аби гарантувати конфіденційність даних при обміні IKE. Для IKE використовуються DES з 56-бітовим ключем і 3DES;

алгоритм Діффі-Хеллмана. Побудований на використанні відкритих ключів, криптографічний протокол, який дозволяє сторонам створювати спільні секретні ключі, використовуючи незахищені канали зв'язку. Алгоритм ДіффіХеллмана використовується в рамках IKE для створення сеансових ключів;

80