Redes Privadas Virtuales Virtual Private Networks

Transcripción

1 VPN 05/10/06 1

2 Redes Privadas Virtuales Virtual Private Networks Proporcionan una red de datos privada sobre infraestructuras de telecomunicaciones públicas, como Internet. Permita a los participantes disfrutar de la misma seguridad y funciones que sólo están disponibles en las redes privadas. 05/10/06 2

3 Tipos de Conexiones VPN Host a Red Red a Red Host a Host 05/10/06 3

4 Tipos de Conexiones VPN Host a Red 05/10/06 4

5 Tipos de Conexiones VPN Red a Red 05/10/06 5

6 Tipos de Conexiones VPN Host a Host 05/10/06 6

7 Requerimientos de una VPN Autenticación Administración de direcciones Cifrado de datos Administración de llaves Soporte de múltiples protocolos 05/10/06 7

8 Protocolos de Túnel Point to Point Protocol (PPP) Point to Point Tunneling Protocol (PPTP) Layer Two Forwarding (L2F) Layer Two Tunneling Protocol (L2TP) Internet Protocol Security (IPSec) 05/10/06 8

9 IPSec (RFC 2401) Proporciona servicios de seguridad en capa 3. Permite seleccionar protocolo de seguridad, algoritmos que se van a utilizar y las claves requeridas para dar esto servicios. Servicios de seguridad: control de acceso, integridad, autenticación del origen de los datos, confidencialidad. 05/10/06 9

10 Servicios IPSec Protocolos de seguridad AH (Authentication Header): Integridad y autenticación de origen ESP (Encapsulating Security Payload): Confidencialidad Gestión de claves IKE (Internet Key Exchange): Establece la comunicación segura 05/10/06 10

11 Protocolos de seguridad: AH y ESP Modos de funcionamiento: Modo transporte Entre hosts La cabecera del protocolo aparece después de la cabecera IP Modo túnel Entre hosts y gateways Existe una cabecera IP adicional 05/10/06 11

12 AH (RFC 2402) Integridad y autenticación de origen Está insertado entre la cabecera IP y los datos del paquete IP 05/10/06 12

13 ESP (RFC 2406) Confidencialidad Proporciona servicios de seguridad mixtos entre hosts y gateways Está insertado entre la cabecera IP y los datos del paquete IP cifrado 05/10/06 13

14 ESP (RFC 2406) 05/10/06 14

15 ESP vs. AH ESP provee todo lo que ofrece AH más confidencialidad de datos. La principal diferencia entre la autenticación provista entre ESP y AH tiene que ver con la cobertura, ESP no protege los campos del encabezado IP, a menos que sean encapsulados por ESP (modo tunel). 05/10/06 15

16 ESP vs. AH 05/10/06 16

17 Gestión de Claves IKE (RFC 2409) ISAKMP Proporciona un marco de operación para la gestión de llaves de Internet y el soporte de protocolo específico para negociar los atributos de seguridad NO establece las claves de sesión Oakley Diffie Helman para establecer las claves de sesión en los routers o hosts Puede utilizarse solo o con el ISAKMP si necesita negociación de atributos 05/10/06 17

18 IKE (RFC 2409) El protocolo IKE se basa en el concepto central de una asociación de seguridad (SA). SA contiene todos los parámetros necesarios para definir completamente el acuerdo de seguridad tales como: Autenticación Algoritmos de cifrado Longitudes de llaves Tiempo de vigencia de las llaves 05/10/06 18

19 Asociaciones de Seguridad (SA) Es un acuerdo de seguridad unidireccional entre los sistemas que se están comunicando que especifican qué tan segura es una conexión que será establecida. Todos los parámetros SA son organizados dentro de una estructura llamada Security Parameter Index (SPI). Una SA es negociada para cada protocolo de seguridad utilizada entre los protocolos de los sistemas interconectados. Dos sistemas pueden tener múltiples SA establecidas. 05/10/06 19

20 Servicios de Seguridad Confidencialidad Terceros no pueden obtener la información Integridad La información no ha sido alterada Autenticidad La procedencia es verídica No repudio No puede negar haberlo hecho 05/10/06 20

21 IP layer security vs session layer security IPSec y SSL son tecnologías complementarias cuando el tráfico se restringe a la web Cuando el tráfico no puede ser restringido sólo a HTTP, y se deben incluir aplicaciones como Telnet, FTP, NFS (Network File System), servicios de directorio, aplicaciones de bases de datos, audio y video en tiempo real, entonces es necesario usar el protocolo IPSec. 05/10/06 21

22 Autoridad de Certificación Encargada de gestionar la emisión y/o generación de certificados y revocaciones. Se encarga de establecer las políticas de certificación: Tamaño de claves Fechas de validez Generar las listas de certificados revocados (CRL's). 05/10/06 22

23 Certificados Digitales Archivo firmado por el CA atestiguando que la identidad y la clave pública se corresponden. El formato estándar X.509 v3 recomendado por la (ITU) Une Identidad con Clave Pública CA actúa como un notario (certifica) 05/10/06 23