Tham khảo tài liệu 'giáo trình khởi tạo mạng riêng ảo - công nghệ mạng riêng ảo part 16', công nghệ thông tin, kỹ thuật lập trình phục vụ nhu cầu học tập, nghiên cứu và làm việc hiệu quả
AMBIENT/
Chủ đề:
Nội dung Text: Giáo Trình Khởi Tạo Mạng Riêng Ảo - CÔNG NGHỆ MẠNG RIÊNG ẢO part 16
- Ưu điểm của chế độ Tunnel là nó bảo vệ tất cả gói IP đã được đóng gói và
khả năng sử dụng các địa chỉ riêng. Tuy nhiên, có một quá trình xử lý Overhead
nhiều hơn bình thường gắn liền với chế độ này
3.1.5. Sự kết hợp giữa các SA
Các giao thức AH và ESP có thể được áp dụng riêng lẻ hoặc kết hợp cùng
nhau. Trong một số trường hợp yêu cầu tính bảo mật cao, cần phải kết hợp giữa
AH và ESP. Sự kết hợp giữa các giao thức IPSec.
3.1.5.1. Kết hợp giữa AH và ESP trong chế độ Transport
Hình 3.13 Kết hợp AH và ESP trong chế độ Transport
Gói IP ban đầu được tách Header ra, tiếp theo phần Payload được xử lý ESP
sau đó được xử lý bằng AH. Cuối cùng, IP Header được thêm vào. Như vậy gói tin
sẽ được đảm bảo an toàn 2 lớp: lớp bên ngoài là AH, lớp bên trong là ESP.
3.1.5.2. Kết hợp AH và ESP ở chế độ Tunnel
- Hình 3.14 Kết hợp AH và ESP trong chế độ Tunnel.
Ban đầu, gói tin IP được xử lý ESP ở chế độ Transport, tiếp theo đó toàn bộ
gói tin ESP được xử lý AH trong chế độ Tunnel.
3.2. Giao thức trao đổi khoá Internet
3.2.1. Giới thiệu chung và các chuẩn
Bản thân giao thức IPSec không có khả năng thiết lập SA. Do đó quá trình
được chia làm 2 phần: IPSec cung cấp xử lý ở mức gói và giao thức quản lý trao
đổi khoá Internet thoả thuận các SA, IKE được chọn làm giao thức chuẩn để thiết
lập các SA cho IPSec. IKE tạo ra một đường hầm được xác thực và mã hoá, sau đó
là thoả thuận SA cho IPSec. Quá trình này yêu cầu hai hệ thống xác thực lẫn nhau
và thiết lập các khoá sử dụng chung.
Được biết đến đầu tiên là ISAKMP/Oakley, trong đó ISAKMP là viết tắt của
Internet Security Association and Key Management Protocol (Liên kết bảo mật
Internet và Giao thức quản lý khoá).
IKE trợ giúp các nhóm liên lạc thương lượng các tham số bảo mật và các
khoá xác thực trước khi một phiên IPSec an toàn được thực thi. Các tham số bảo
mật được thương lượng này sẽ được định nghĩa một lần trong SA. Ngoài việc
thương lượng và thiết lập các tham số bảo mật và các khoá mật mã, IKE cũng thay
- đổi các tham số và khoá khi được yêu cầu trong một phiên làm việc, IKE cũng chịu
trách nhiệm xoá các khoá và các SA này sau khi một phiên truyền tin được hoàn
tất.
Những ưu điểm chính của IKE bao gồm:
- IKE không phục thuộc vào công nghệ. Vì vậy nó có thể được dùng với bất
kỳ cơ chế bảo mật nào.
- IKE mặc dù không nhanh, nhưng hiệu quả cao vì một số lượng lớn các SA
được thương lượng với một số thông điệp vừa phải.
Theo cấu trúc làm việc của ISAKMP. IKE làm việc qua hai pha.
Hai pha trao đổi khoá sẽ tạo ra IKE SA và một đường hầm an toàn giữa hai hệ
thống. Một phía sẽ đưa ra một trong các thuật toán, phía kia sẽ chấp nhận hoặc loại
bỏ kết nối. Khi hai bên đã thống nhất được các thuật toán sẽ sử dụng thì chúng sẽ
tạo khoá cho IPSec. IPSec sử dụng một khoá dùng chung khác với khoá của IKE,
khoá này có được nhờ sử dụng thuật toán Diffie-Hellman một lần nữa hoặc sử
dụng lại khoá dùng chung có được từ trao đổi Diffie-Hellman ban đầu. Sau khi quá
trình được hoàn tất thì IPSec SA được thiết lập. Quá trình thực hiện IKE gồm 2
pha, đó là : IKE Phase I và IKE Phasse II
3.2.2. Các yêu cầu quản lý khoá đối với IPSec
Các giao thức IPSec AH và ESP yêu cầu là các chia sẻ bí mật được biết với
tất cả các nhóm tham gia có yêu cầu khoá một cách thủ công hoặc phân phối khoá.
Vấn đề đặt ra là các khoá có thể bị mất, bị tổn hại hoặc đơn giản là bị hết hạn. Kỹ
thuật thủ công không mềm dẻo khi có nhiều liên kết an toàn được quản lý. Một cơ
chế trao đổi khoá tinh vi cho IPSec phải đáp ứng các yêu cầu sau:
- Độc lập với các thuật toán mật mã cụ thể
- Độc lập với các giao thức trao đổi khoá cụ thể
- Xác thực các thực thể quản lý khoá
- Thiết lập SA qua tầng vận tải “không đảm bảo”
- Sử dụng hiệu quả các tài nguyên
- - Cung cấp khả năng tạo yêu cầu của host và các phiên SA
Giao thức IKE được thiết kế để đáp ứng các yêu cầu đó. Nó dựa trên các liên
kết bảo mật Internet và cấu trúc của giao thức quản lý khoá và giao thức phân phối
khoá Oakley. IKE có các đặc trưng sau:
- Có các thủ thục tạo khoá và xác thực danh tính
- Tự động làm tươi khoá
- Giải quyết bải toán “khoá đầu tiên”
- Mỗi giao thức bảo mật có không gian các SPI riêng của nó
- Có các tính năng bảo vệ được xây dựng sẵn
+ Chống được các tấn công từ chối dịch vụ
+ Chống được tấn công chiếm quyền điều khiển phiên và kết nối
- Bảo mật toàn diện
- Cách tiếp cận dựa trên 2 pha
+ Pha 1 - Thiết lập các khoá và SA cho trao đổi khoá
+ Pha 2 - Thiết lấp các SA cho truyền dữ liệu
- Được thực thi như ứng dụng qua UDP, cổng 500
- Hỗ trợ các chứng chỉ cho Host và người dùng
- Sử dụng xác thực mạnh với trao đổi khoá ISAKMP
+ Chia sẻ trước các khoá
+ Các khoá không thực sự được chia sẻ, chỉ một thẻ bài được dùng
cho việc tạo khoá cần thiết
+ Các chữ ký số
+ Hệ mật khoá công khai
Như đã đề cập, IKE yêu cầu 2 pha phải được hoàn tất trước khi luồng dữ liệu
được bảo vệ với AH và ESP
- 3.2.3. Pha thứ nhất của IKE
Pha IKE thứ nhất xác thực người dùng cuối, sau đó thiết lập một phiên IKE
bảo mật cho việc thiết lập SA. Rồi sau đó các nhóm truyền tin thương lượng một
ISAKMP SA thích hợp với nhau, nó bao gồm cả thuật toán mã hoá, hàm băm và
phương thức xác thực để phục vụ cho việc bảo vệ khoá mật mã. Ở dưới khung làm
việc ISAKMP sử dụng SA được thiết lập trong pha này. Sau khi cơ chế mã hoá và
hàm băm được đồng ý, một khoá bảo mật chủ chia sẻ được tạo. Các thông tin sau
thường được dùng để tạo khoá mật chia sẻ này bao gồm:
- Các giá trị Diffie-Hellman.
- SPI của ISAKMP SA theo dạng của Cookie.
- Một số ngẫu nhiên.
- Nếu hai nhóm đồng ý sử dụng một khoá công khai dựa trên xác thực, họ
cũng cần trao đổi ID của họ.
Sau khi trao đổi các thông tin cần thiết, cả hai tạo khoá của họ bằng việc dùng
các khoá mật đã chia sẽ này. Theo cách thông thương, khoá mật mã được tạo mà
không có bất kỳ một sự trao đổi thực sự nào qua mạng.
IKE Phase thứ nhất thoả thuận các tập chính sách IKE, xác thực đối tác và
thiết lập kênh an toàn giữa các đối tác. IKE Phase1 gồm 2 chế độ: Main Mode và
Aggressive mode. IKE Phase1 bao gồm các trao đổi sau:
a. Thống nhất các thuật toán mã hoá và xác thực
Trao đổi này để bảo vệ các trao đổi thông tin IKE được thoả thuận giữa các
đối tác.
- Ban đầu bên A gửi một Message đến B ở dạng chưa mã hoá(ClearText),
Message được đóng gói trong một gói tin IP thông thường và nằm trong phần UDP
Payload với giao thức lớp trên là UDP.
IP UDP ISAK MP SA Proposal Transform … Proposal Transform
Header
Header Header
Hình 3.15 Message 1
- - Message này thông báo và yêu cầu bên B lựa chọn các giao thức và các
thuật toán được đưa ra ở các trường Proposal và Transform tương ứng, đồng thời
tạo ra một giá trị ngẫu nhiên gọi là Cookie A (Initiator Cookie) đưa vào trường
ISAKMP Header.
- Tương tự, bên B sẽ trả lời bên A bằng một Message có cấu trúc tương tự
như trên, thông báo sẽ chọn giao thức và thuật toán nào, đồng thời đưa ra một giá
trị ngẫu nhiên Cookie B (Responder Cookie) vào trường ISAKMP Header.
b. Trao đổi khoá
Tạo các khoá bí mật chung. IKE sẽ sử dụng thuật toán Diffie- Hellman (DH)
để tạo một khoá bí mật dùng chung giữa bên A và bên B.
- Bên A gửi:
Thêm vào BST
Báo xấu
Download
Vui lòng tải xuống để xem tài liệu đầy đủ
