блог веб-студии "e-poct"

Поиск ассоциации безопасности

admin — Fri, 28 May 2010 18:49:17 +0000

Поиск ассоциации безопасности. По получении (собранного) пакета, содержащего заголовок ESP, получатель определяет соответствующую (двунаправленную) SA, основываясь на адресе получателя, номере протокола безопасности (ESP) и SPI. В SA указывается, должно ли быть проверено поле с последовательным номером, должно ли присутствовать поле идентификации и какой алгоритм и ключи используются при дешифрации и вычислении ICV (если такая обработка задана).

Проверка последовательного номера. Все реализации ESP должны обеспечивать защиту от повторений, даже хотя такая защита может, в зависимости от настроек в SA, и не использоваться получателем.

Обработка входящих пакетов

admin — Fri, 28 May 2010 18:41:56 +0000

Если необходимо, то повторная сборка выполняется перед обработкой ESP. Если пакет, пришедший на обработку ESP, является фрагментом, то есть поле смещения фрагмента не равно нулю или установлен флаг, указывающий, что должны прийти еще фрагменты, то тогда получатель должен отвергнуть такой пакет и сообщить об ошибке.

Запись об этом должна содержать значение SPI, дату и время получения, адрес отправителя, адрес получателя, последовательный номер и (в случае IPv6) идентификатор потока.

Идентификация в SA

admin — Thu, 27 May 2010 18:41:44 +0000

Если выбрана идентификация, то сначала выполняется шифрация, которая не выполняется над полем с данными идентификации.

Если идентификация задана в SA, то отправитель подсчитывает ICV для всего пакета ESP, минус данные идентификации. Таким образом, SPI, последовательный номер, передаваемые данные, дополняющие биты (если есть), длина дополнения и следующий заголовок — все они учитываются при вычислении ICV. Последние четыре пользователя будут в зашифрованном виде, поскольку шифрация выполняется перед идентификацией.

Передаваемые данные ESP

admin — Thu, 27 May 2010 18:36:10 +0000

Длина заполнения: задает количество дополняющих байтов О Следующий заголовок: определяет тип данных, находящихся в поле Передаваемые данные.
О Данные идентификации: содержит значение проверки сохранности (ICV) для данного пакета ESP. IPSec требует использования DES в режиме СВС.
Обработка исходящих пакетов Отправитель при шифрации пакетов производит следующие действия:

Помещает в поле Передаваемые данные ESP исходную информацию протокола верхнего уровня, если находится в транспортном режиме, или всю исходную датаграмму IP, если находится в туннельном режиме.
Дополняет до нужной длины, если необходимо.
Шифрует результат (данные, дополняющие биты, длину дополнения и следующий заголовок) с использованием ключа, алгоритма шифрации и режима алгоритма, заданного в SA.

Использование IPv6 АН

admin — Thu, 27 May 2010 03:35:28 +0000

В случае использования IPv6 АН рассматривается как передаваемые данные и, таким образом, должен появиться после заголовков пересылки, маршрутизации и расширения фрагментации. Заголовок (заголовки) расширения с настройками получателя могут появиться либо перед, либо после заголовка АН, в зависимости от того, что нужно. На 9.2 показан типичный пакет IPv6 с АН в транспортном режиме.

На 9.3 показана защита АН в случае IPv4 и IPv6 в туннельном режиме. Туннельный режим АН может быть использован как хостами, так и шлюзами безопасности (или в так называемых реализациях запихнуть в стек или запихнуть в железо). Когда АН применяется в шлюзе безопасности (с целью защиты транзитных данных), то должен использоваться туннельный режим.

Поле данных идентификации

admin — Wed, 26 May 2010 03:36:08 +0000

Поле данных идентификации определяется ассоциацией безопасности данной датаграммы. Адрес получателя и SPI могут быть использованы при поиске SA этого пакета. Значения этого поля вычисляются при помощи алгоритма получения дайджеста сообщения, который должен быть надежной Односторонней функцией.

RFC 2402 RFC 2402 является самой последней спецификацией АН, и в этой главе мы сконцентрируемся именно на этой версии АН. На 9.5 показан формат этого варианта протокола. АН задается при помощи значения поля Идентификатор Протокола, которое устанавливается равным 51. Все поля его заголовка включаются в значение проверки сохранности (объясняется чуть позже). Эти поля предназначены для выполнения следующих функций:

Security Parameters Index — SPI

admin — Wed, 26 May 2010 03:35:57 +0000

RFC 1826 На 9.4 показан формат заголовка АН. Поле Следующий Заголовок указывает на следующие передаваемые данные, идущие после данных идентификации. Длина этих передаваемых данных — это длина поля данных идентификации в 32 битных словах. Поле Резервное предназначено для будущих реализаций.

Поле Индекс параметров защиты (Security Parameters Index — SPI) задает ассоциации безопасности данной датаграммы. Если значение поля равно нулю, то это означает, что ассоциации безопасности не существует. Значения SPI от 1 до 255 зарезервированы Агентством по выделению имен и уникальных параметров протоколов Internet (Internet Assigned Numbers Authority — IANA).

«Внутренний» IP

admin — Wed, 26 May 2010 03:35:43 +0000

В этом режиме «внутренний» IP заголовок содержит адреса конечного отправителя и получателя, тогда как «внешний» IP заголовок может содержать другие адреса, например шлюзов безопасности. В туннельном режиме защищается весь внутренний IP пакет, включая весь внутренний IP заголовок. Размещение АН в туннельном режиме относительно внешнего IP заголовка такое же, как и в случае АН в транспортном режиме.

Что и как делает АН АН был опубликован в двух «вариантах». Первый определен в RFC 1826, и в этой части главы мы коротко обсудим эту раннюю спецификацию, поскольку до сих пор существуют реализации, на ней основанные?

Значение проверки сохранности

admin — Tue, 25 May 2010 03:36:59 +0000

Значение проверки сохранности (Integrity Check Value — ICV) для исходящих пакетов ICV в АН вычисляются на основе:
О полей IP заголовка, которые либо неизменны, либо их значения можно предсказать по получении;
О заголовка АН (а также возможных заполняющих битов); О всех заголовков и данных верхнего уровня.

Если применяется фрагментация, то соответствующие значения вычисляются после АН обработки. Таким образом, транспортный режим АН применяется только в случае целых датаграмм, а не их фрагментов. IP пакет, к которому был применен АН, может быть фрагментирован маршрутизаторами на пути от отправителя к получателю, но такие фрагменты должны быть собраны в целое до обработки АН у получателя. В туннельном режиме АН применяется к IP пакету, блоком данных которого может быть фрагмент другого IP пакета. Например, шлюзы безопасности (а также IPSec в вариантах запихнуть в стек и запихнуть в железо) могут использовать туннельный режим АН для таких фрагментов.

Последовательный Номер

admin — Tue, 25 May 2010 03:36:47 +0000

Последовательный Номер: это поле всегда присутствует, даже если получатель не собирается воспользоваться защитой от повторения в конкретном SA. Если же такая защита применяется (по умолчанию это так), передаваемый последовательный номер не'может повторяться. Следовательно, счетчики получателя и отправителя сбрасываются (путем установления новой SA и, таким образом, нового ключа) до того, как будет передано 232 пакета с применением данной SA.

Данные идентификации: содержит значение проверки сохранности (ICV), которое описывается в следующем разделе.