Bảo mật mạng với IP Security: Chương 5 [Hướng Dẫn Chi Tiết]

CHNG 5

BO MT MNG VI IP SECURITY

I- TNG QUAN V IPSec

I.1- Gii thiu

Giao thc TCP/IP óng mt vai trò rt quan trng trong các h thng mng hin nay.

V nguyên tc, có nhiu tùy chn khác nhau v giao thc  trin khai các h thng mng như

TCP/IP, IPX/SPX, NetBEUI, Apple talk, …Tuy nhiên, TCP/IP là la chn gn như bt buc

do giao thc này ưc s dng làm giao thc nn tng ca mng Internet.

Vào thi im thit k giao thc này, vn  bo mt thông tin chưa tht s ưc quan

tâm, do ó, các giao thc trong b TCP/IP hu như không ưc trang b bt k mt cơ ch

bo mt nào. Cu trúc gói d liu (IP, TCP, UDP và c các giao thc ng dng) ưc mô t

công khai, bt ưc mt gói IP trên mng, ai cng có th phân tích gói  c phn d liu

cha bên trong, ó là chưa k hin nay, các công c bt và phân tích gói (Packet capture)

ưc xây dng vi các tính nng mnh và phát hành rng rãi.

Vic b sung các cơ ch bo mt vào mô hình TCP/IP, bt u t giao thc IP là mt

nhu cu cp bách. IP security (IPSec) là mt giao thc ưc chu n hóa bi IETF t nm 1998

nh!m mc ích cung cp các cơ ch mã hóa và xác thc thông tin cho chu"i thông tin truyn

i trên mng b!ng giao thc IP. IPSec ưc thit k như phn m# rng ca giao thc IP, ưc

thc hin thng nht trong c hai phiên bn ca IP và IPv4 và IPv6. $i vi IPv4, vic áp

dng IPSec là mt tùy chn nhưng i vi IPv6, giao thc bo mt này ưc trin khai bt

buc.

Các ng dng in hình ca IPSec bao g%m:

• Kt ni gia các chi nhánh ca mt t chc thông qua mng Internet: b!ng

cách xây dng các mng riêng o VPN (Virtual Private Network) trên nn ca

mng WAN công cng ho&c mng Internet. Các t chc có th kt ni các

mng con # các chi nhánh ca mình li thành mt mng riêng vi chi phí thp

nhưng v'n m bo ưc  an tòan. Mô hình này còn ưc gi là mô hình

site-to-site VPN.

• Truy xut t xa thông qua mng Internet: Thc cht ây là mt dng khác ca

VPN (remote access VPN). Vi IPSec, ngưi dùng có th kt ni n h thng

mng ni b ca mình t mt im bt k nào ó trên Interent, m bo truy

xut ưc các tài nguyên ni b mt cách an toàn.

• Nâng cao tính an tòan ca các giao dch thưng mi trên mng Internet, áp

dng cho các website bán hàng qua mng ho&c các dch v thanh tóan qua

Internet. Ngưi dùng thit lp kt ni n các h thng này thông qua các kt

ni có h" tr IPSec, do ó m&c dù thông tin v'n truyn i qua mng Internet

công cng nhưng tính bo mt v'n ưc m bo.

Như vy, ng dng rng rãi nht ca IPSec chính là làm công ngh nn tng  trin

khai các mng VPN. Tuy nhiên, IPSec là mt giao thc phc tp, %ng thi còn n cha mt

s vn  v tính an toàn, trong khi thc t hin nay còn nhiu gii pháp thit lp VPN khác

(L2TP, MPLS, SSL, …), cho nên vic ng dng IPSec cng còn hn ch.

Các ưu im ca IPSec:

-Khi IPSec ưc trin khai trên bc tưng la ho&c b nh tuyn ca mt mng riêng,

thì tính nng an tòan ca IPSec có th áp dng cho tòan b lưu lưng vào ra mng riêng ó

mà các thành phn khác không cn phi x lý thêm các công vic liên quan n bo mt.

-IPSec ưc thc hin bên dưi ca lp TCP và UDP, %ng thi nó hat ng mt

cách trong sut vi các lp này. Do vy, không cn phi thay i phn mm hay cu hình li

các dch v khi IPSec ưc trin khai.

-IPSec có th ưc cu hình  hat ng mt cách trong sut i vi các ng dng

u cui, iu này giúp che giu nhng chi tit cu hình phc tp mà ngưi dùng phi thc

hin khi kt ni n mng ni b t xa thông qua mng Internet.

I.2- Kin trúc IPSec

Thi

t b mng

có h tr IPSec

Thi

t b mng

có h tr IPSec

Thi

t b u cui

có h

 tr IPSec

ng WAN /

Internet

Mng LAN / intranet

Tiêu  IP

(IP header) Tiêu  IPSec

(IPSec header) D

 liu ca gói IP

(IP Payload)

Các thành phn ca gói d liu:

Hình 3.5: ng dng ca IPSec

IPSec là mt giao thc phc tp, da trên nn ca nhiu k( thut cơ s# khác nhau như mt

mã, xác thc, trao i khóa, …Xét v m&t kin trúc, IPSec ưc xây dng da trên các thành

phn bo mt cơ bn sau ây, m"i thành phn ưc nh ngh)a trong mt tài liu riêng tương

ng (hình 3.6):

-Kin trúc IPSec (RFC 2401): Quy nh cu trúc, các khái nim và yêu cu ca IPSec.

-Giao thc ESP (RFC 2406): Mô t giao thc ESP, là mt giao thc mt mã và xác

thc thông tin trong IPSec.

-Giao thc AH (RFC 2402): $nh ngh)a mt giao thc khác vi chc nng gn ging

ESP. Nhưng vy, khi trin khai IPSec, ngưi s dng có th chn dùng ESP ho&c AH. M"i

giao thc có ưu và nhưc im riêng, s* ưc trình bày trong phn này.

-Thut tóan mt mã: $nh ngh)a các thut tóan mã hóa và gii mã s dng trong

IPSec. IPSec da ch yu vào các gii thut mã hóa i xng.

-Thut tóan xác thc: $nh ngh)a các thut tóan xác thc thông tin s dng trong AH

và ESP.

-Qun lý khóa (RFC 2408): Mô t các cơ ch qun lý và trao i khóa trong IPSec.

-Min thc thi (Domain of Interpretation_DOI): $nh ngh)a môi trưng thc thi

IPSec. Như ã trình bày, IPSec không phi là mt công ngh riêng bit mà s t hp ca

nhiu cơ ch, giao thc và k( thut khác nhau, trong ó m"i cơ ch, giao thc u có nhiu

Kin trúc IPSec

Giao thc ESP Giao thc AH

Thut tóan mt mã

Thut tóan xác thc

DOI

Qun lý khóa

Hình 3.6: Kin trúc IPSec

ch  hat ng khác nhau. Vic xác nh mt tp các ch  cn thit  trin khai IPSec

trong mt tình hung c th là chc nng ca min thc thi.

Xét v m&t ng dng, IPSec thc cht là mt giao thc hat ng song song vi IP

nh!m cung cp hai chc nng cơ bn mà IP nguyên thy chưa có, ó là mã hóa và xác thc

gói d liu. Mt cách khái quát, có th xem IPSec là mt t hp g%m 2 thành phn:

-Giao thc óng gói, bao g%m AH và ESP.

-Giao thc trao i khóa IKE (Internet Key Exchange).

I.3- Các dch v ca IPSec

Các dch v ưc cung cp b#i IPSec bao g%m:

• Qun lý truy xut (access control)

• Tòan v+n d liu # ch  không kt ni (connectionless integrity)

• Xác thc ngu%n gc d liu (data origin authentication)

• Chng phát li (anti-replay)

• Mã hóa d liu (encryption)

• Bo mt dòng lưu lưng (traffic flow confidentiality)

Vic cung cp các dch v này trong tng tình hung c th ph thuc vào giao thc

óng gói ưc chn dùng là AH hay ESP. Theo ó, nu giao thc ưc chn là AH thì các

dch v mã hóa và bo mt dòng d liu s* không ưc cung cp.

I.4- Hai ch  hat ng ca IPSec

IPSec (c AH và ESP) cung cp hai ch  làm vic khác nhau:

-Ch  vn chuyn (transport mode): cung cp cơ ch bo v cho d liu ca các lp

cao hơn (TCP, UDP ho&c ICMP). , cơ ch này, phn d liu (payload) ca gói IP ưc áp

dng các cơ ch bo v (mt mã ho&c xác thc). Ch  này thưng dùng cho các kt ni t

u cui n u cui, ví d t trm làm vic n máy ch ho&c gia hai trm làm vic vi

nhau.

-Ch  ưng hm (tunnel mode): cung cp cơ ch bo v # lp IP, ngh)a là gói IP

cùng vi các tiêu  ca AH ho&c ESP ưc gói thêm mt ln na b!ng các tiêu  mi. Khi

ó, các gói IP gc ưc xem như di chuyn trong mt ưng hm (tunnel) t u này n u

kia ca mng mà các nút trung gian không xen vào ưc. Ch  này thưng ưc dùng trong

các SA ni gia hai gateway ca hai mng.

Ch  vn chuyn và ch  ưng hm s* ưc trình bày riêng trong tng giao thc

AH và ESP.

I.5- Liên kt bo mt

Mc tiêu ca IPSec là cung cp mt cơ ch truyn an tòan m bo tính tòan v+n và

xác thc ca các gói d liu IP. Bn cht IP là mt giao thc không có kt ni, và theo

nguyên tc này, các gói IP s* ưc x lý mt cách c lp nhau. Tuy nhiên, khi trin khai

IPSec vi các dch v như mã hóa, xác thc, iu khin truy xut, chng phát li, … thì các

gói IP này cn phi n!m trong mt mi liên quan nào ó,  hai u truyn nhn có th áp

dng các cơ ch bo mt lên tòan b dòng d liu mt cách thng nht (cn chú ý r!ng IPSec

hòan tòan trong sut i vi tt c các giao thc phía trên IP).

IPSec nh ngh)a mt khái nim  mô t các quan h này, ưc gi liên kt bo mt

SA (Security association). M"i SA ưc xem như mt quan h mt chiu (ơn công) gia hai

u truyn nhn d liu, nh!m mc ích xác nh các thông s bo mt áp dng cho lu%ng d

liu theo chiu ó. Như vy, mt kt ni hai chiu thưng thy gia hai h thng u cui s*

bao g%m 2 SA. M"i SA ch- s dng mt giao thc óng gói nht nh (AH ho&c ESP) ch

không th s dng %ng thi c hai.

M"i SA ưc nhn dng b#i 3 thông s sau ây:

• Security Parameters Index (SPI): là mt chu"i bit ưc gán cho SA có tác

dng phân bit gia SA này vi SA khác. SPI ưc &t trong tiêu  ca AH

và ESP. Phía nhn s* chn úng SA tương ng  x lý các gói d liu nhn

ưc.

• IP Destination Address: $ây là a ch- u cui ca SA, a ch- này là a ch-

ca thit b mà SA kt thúc ti ó, có th là a ch- ca mt thit b u cui

ho&c ca mt thit b mng (router, firewall, gateway).

• Security Protocol Identifier: Xác nh các thông s bo mt áp dng trên SA,

cho bit SA s dng giao thc xác thc nào (AH hay ESP).

Như vy, trong m"i gói IP ca IPSec, SA ưc nhn dng b!ng t hp g%m a ch-

ích (destination address) và SPI IPSec (c AH và ESP).

Ngòai ra, m"i SA còn cha nhiu thông s, tùy thuc vào tng h thng u cui khác

nhau. Các thông s này có th là:

• Sequence number counter: mt giá tr 32 bit dùng  to ra các s th t ca

các gói IP.

• Sequence Counter Overflow: Xác nh các thc x lý khi s th t gói b tràn

(dùng n giá tr ln nht ca 32 bit). Hai cách x lý thưng dùng là to ra mt

s kin giám sát h thng (auditable event) và kt thúc truyn d liu trên SA

hin hành, %ng ngh)a vi vic thit lp mt SA mi.

• Anti-Replay Window: thông s dùng trong dch v chng phát li, có chc

nng xác nh gói IP nhn ưc là gói nguyên thy hay gói phát li.

• AH Information: thông s hat ng cho giao thc óng gói AH, bao g%m

thut tóan xác thc, khóa, thi gian sng ca khóa và các tham s khác.

• ESP Information: thông s hat ng cho giao thc óng gói ESP, bao g%m

thut tóan mã hóa, thut tóan xác thc, khóa, thio gian sng ca khóa, các giá

tr kh#i to ban u cho ESP và các thông s khác.

• Lifetime of This Security Association: Thi gian t%n ti ti a ca SA, ưc xác

nh b!ng thi gian hac s bte d liu ã truyn i trên SA. Ht gii hn này,

SA cn ưc gii t.an và thit lp SA mi.

Chương 5 " Bảo mật mạng với IP Security"

Giao thức TCP/IP đóng vai trò quan trọng trong hệ thống mạng hiện nay. Về nguyên tắc có nhiều giao thức khác nhau về giao thức triển khai hệ thống mạng đây là giao thức nền tảng trên mạng internet

Chủ đề:

Tài liệu liên quan

Tài liêu mới

AI tóm tắt

Giới thiệu tài liệu

Đối tượng sử dụng

Từ khoá chính

Nội dung tóm tắt

Hỗ trợ

Phương thức thanh toán

Theo dõi chúng tôi