IPSec und IKE - Ein [Please insert PrerenderUnicode{Ü} into ...
IPSec und IKE - Ein [Please insert PrerenderUnicode{Ü} into ...
IPSec und IKE - Ein [Please insert PrerenderUnicode{Ü} into ...
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>IPSec</strong> <strong>und</strong> <strong>IKE</strong><br />
<strong>Ein</strong>e <strong>Ein</strong>führung<br />
Richard Wonka<br />
richard.wonka@uni-konstanz.de<br />
23. Mai 2003
Inhaltsverzeichnis<br />
1 Wozu <strong>IPSec</strong>? 3<br />
2 Was bietet <strong>IPSec</strong>? 6<br />
3 Zutaten für ein <strong>IPSec</strong> 8<br />
4 <strong>IKE</strong> 14
1 Wozu <strong>IPSec</strong>?<br />
Häufige Anwendungen<br />
• WLAN<br />
• VPN
1 Wozu <strong>IPSec</strong>?<br />
Häufige Anwendungen<br />
• WLAN<br />
• VPN
1 Wozu <strong>IPSec</strong>?<br />
Häufige Anwendungen<br />
• WLAN<br />
• VPN
WLAN
VPN (Dakar - Brisbane)<br />
A<br />
B
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
2 Was bietet <strong>IPSec</strong>?<br />
• Integrität<br />
• Verbindlichkeit<br />
• Zugriffskontrolle<br />
• Schutz vor Replay-Attacken<br />
• Vertraulichkeit<br />
– der Inhalte<br />
– des Informationsflusses (eingeschränkt)
Wie können Pakete generell gesichert<br />
werden?
Wie können Pakete generell gesichert<br />
werden?<br />
IP−Header<br />
Transport-Modus<br />
Payload<br />
IP−Header<br />
Tr−Header*<br />
Payload
Wie können Pakete generell gesichert<br />
werden?<br />
Transport-Modus<br />
IP−Header<br />
IP−Header<br />
Payload<br />
Tr−Header*<br />
Payload<br />
IP−Header<br />
Tunnel-Modus<br />
Payload<br />
IP−Header* Tu−Header*<br />
IP−Header<br />
Payload
3 Zutaten für ein <strong>IPSec</strong><br />
• Security Policy Database SPD<br />
• Security Associations SA<br />
• Security Association Database SAD<br />
• Protokolle AH <strong>und</strong> ESP
3 Zutaten für ein <strong>IPSec</strong><br />
• Security Policy Database SPD<br />
• Security Associations SA<br />
• Security Association Database SAD<br />
• Protokolle AH <strong>und</strong> ESP
3 Zutaten für ein <strong>IPSec</strong><br />
• Security Policy Database SPD<br />
• Security Associations SA<br />
• Security Association Database SAD<br />
• Protokolle AH <strong>und</strong> ESP
3 Zutaten für ein <strong>IPSec</strong><br />
• Security Policy Database SPD<br />
• Security Associations SA<br />
• Security Association Database SAD<br />
• Protokolle AH <strong>und</strong> ESP
3 Zutaten für ein <strong>IPSec</strong><br />
• Security Policy Database SPD<br />
• Security Associations SA<br />
• Security Association Database SAD<br />
• Protokolle AH <strong>und</strong> ESP
Die Security Policy Database SPD
Die Security Policy Database SPD<br />
• Prüft alle Pakete<br />
• Entscheidet für jedes Paket:<br />
– Paket wird durch <strong>IPSec</strong> geschützt<br />
– Paket bleibt unberührt<br />
– Paket wird verworfen
Die Security Policy Database SPD<br />
• Prüft alle Pakete<br />
• Entscheidet für jedes Paket:<br />
– Paket wird durch <strong>IPSec</strong> geschützt<br />
– Paket bleibt unberührt<br />
– Paket wird verworfen
Die Security Policy Database SPD<br />
• Prüft alle Pakete<br />
• Entscheidet für jedes Paket:<br />
– Paket wird durch <strong>IPSec</strong> geschützt<br />
– Paket bleibt unberührt<br />
– Paket wird verworfen
Die Security Policy Database SPD<br />
• Prüft alle Pakete<br />
• Entscheidet für jedes Paket:<br />
– Paket wird durch <strong>IPSec</strong> geschützt<br />
– Paket bleibt unberührt<br />
– Paket wird verworfen
Die Security Policy Database SPD<br />
• Prüft alle Pakete<br />
• Entscheidet für jedes Paket:<br />
– Paket wird durch <strong>IPSec</strong> geschützt<br />
– Paket bleibt unberührt<br />
– Paket wird verworfen
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
Security Associations (SA)<br />
• Kommunikationspartner<br />
(unidirektional)<br />
• Protokoll (AH oder ESP)<br />
• Crypto Algorithmen, Schlüssel<br />
• Lebensdauer der SA<br />
• Alle SA sind in der SAD abgelegt
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload<br />
• Sicherungsprotokolle<br />
• Jeweils im Transport- <strong>und</strong> im<br />
Tunnel-Modus anwendbar<br />
• . . . auch im (Security-)B<strong>und</strong>le
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload<br />
• Sicherungsprotokolle<br />
• Jeweils im Transport- <strong>und</strong> im<br />
Tunnel-Modus anwendbar<br />
• . . . auch im (Security-)B<strong>und</strong>le
AH / ESP<br />
AH Authentication Header<br />
ESP Encapsulating Security Payload<br />
• Sicherungsprotokolle<br />
• Jeweils im Transport- <strong>und</strong> im<br />
Tunnel-Modus anwendbar<br />
• . . . auch im (Security-)B<strong>und</strong>le
AH <strong>und</strong> ESP
AH <strong>und</strong> ESP<br />
AH (Transport-Modus)<br />
IP−Header Payload<br />
Next Header,<br />
Length<br />
SPI Seq−Nr. HASH (MAC)
AH <strong>und</strong> ESP<br />
AH (Transport-Modus)<br />
IP−Header Payload<br />
Next Header,<br />
Length<br />
SPI Seq−Nr. HASH (MAC)<br />
IP−Header<br />
ESP (Transport-Modus)<br />
Payload(encrypted)<br />
SPI Seq−Nr. [Init−Vector] Pad Next<br />
Header<br />
ESP−Auth
Tunnel-Modus<br />
Wir erinnern uns. . .<br />
IP−Header<br />
Payload<br />
IP−Header* Tu−Header*<br />
IP−Header<br />
Payload
4 <strong>IKE</strong><br />
Was kann <strong>IKE</strong>?
4 <strong>IKE</strong><br />
Was kann <strong>IKE</strong>?<br />
• <strong>Ein</strong>en gesicherten Kanal aushandeln<br />
• SAs aushandeln
4 <strong>IKE</strong><br />
Was kann <strong>IKE</strong>?<br />
• <strong>Ein</strong>en gesicherten Kanal aushandeln<br />
• SAs aushandeln
Verhandlungssache<br />
• A sendet Vorschläge für (ISAKMP-SAs) an<br />
B<br />
• B antwortet mit akzeptabler SA<br />
• Schlüsseltausch nach Diffie-Hellman ↦→<br />
SKEYID<br />
• Authentifikation mittels HMACs
Verhandlungssache<br />
• A sendet Vorschläge für (ISAKMP-SAs) an<br />
B<br />
• B antwortet mit akzeptabler SA<br />
• Schlüsseltausch nach Diffie-Hellman ↦→<br />
SKEYID<br />
• Authentifikation mittels HMACs
Verhandlungssache<br />
• A sendet Vorschläge für (ISAKMP-SAs) an<br />
B<br />
• B antwortet mit akzeptabler SA<br />
• Schlüsseltausch nach Diffie-Hellman ↦→<br />
SKEYID<br />
• Authentifikation mittels HMACs
Verhandlungssache<br />
• A sendet Vorschläge für (ISAKMP-SAs) an<br />
B<br />
• B antwortet mit akzeptabler SA<br />
• Schlüsseltausch nach Diffie-Hellman ↦→<br />
SKEYID<br />
• Authentifikation mittels HMACs
Verhandlungssache<br />
• A sendet Vorschläge für (ISAKMP-SAs) an<br />
B<br />
• B antwortet mit akzeptabler SA<br />
• Schlüsseltausch nach Diffie-Hellman ↦→<br />
SKEYID<br />
• Authentifikation mittels HMACs
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
<strong>IKE</strong> basiert auf<br />
ISAKMP Authentifikations- <strong>und</strong><br />
Schlüsseltauschverfahren im Allgemeinen<br />
OAKLEY Schlüsseltausch in verschiedenen<br />
Modi <strong>und</strong> deren Dienste(z. B.<br />
Authentikation)<br />
SKEME <strong>Ein</strong> flexibles, schnelles<br />
Schlüsseltauschverfahren
Fragen?
Fragen?<br />
RFCs, die zu diesem Vortrag beigetragen<br />
haben: [1827, 2085, 2401, 2402, 2403, 2404,<br />
2406, 2407, 2408, 2409, 2410, 2411, 2412,<br />
2451, 2841]
Change language