Semana 11: Fir Fir w e a w lls

Transcripción

1 Semana 11: Firewalls Seguridad IP: IPSec

2 Aprendizajes esperados Contenidos: Seguridad IP: IPSec Protocolos AH y ESP

3 IPsec IPsec es una extensión al protocolo IP que proporciona p seguridad a IP y alosprotocolos de capas superiores. Fue desarrollado para el nuevo estándar IPv6 y después fue portado a IPv4. La arquitectura IPsec se describe en el RFC2401.

4 IPsec IPsec (Internet Protocol security) es un conjunto de protocolos cuya función es asegurar las comunicaciones sobre IP autenticando y/o cifrando cada paquete IP en un flujo de datos. bé l l l IPsec también incluye protocolos para el establecimiento de claves de cifrado.

5 IPsec IPsec es un protocolo de seguridad creado para establecer comunicaciones que proporcionen confidencialidad e integridad de los paquetes que se transmiten a través de Internet. l é b IPsec puede utilizar dos métodos para brindar seguridad, ESP (Encapsulating Security Payload)oAH (Authentication Header).

6 En resumen: IPsec

7 Authentication Header: AH AH está dirigido a garantizar integridad sin conexión y autenticación de los datos de origen de los datagramas IP. Para ello, calcula un Hash Message Authentication Code (HMAC) a través de algún algoritmo hash operando sobre una clave secreta, el contenido del paquete IP y las partes inmutables del datagrama.

8 Authentication Header: AH AH protege la carga útil IP y todos los campos de la cabecera de un datagrama IP excepto los campos variables, es decir, aquellos campos que pueden cambiar o ser alterados en el tránsito. AH opera directamente por encima de IP, utilizando elprotocolo IP número 51. La cabecera AH mide 32 bits.

9 Authentication Header: AH

10 Authentication Header: AH La integridad de los datos y la autenticación son provistas por la ubicación de la cabecera AH entre la cabecera IP y el payload del paquete IP (AH en modo transporte).

11 Encapsulating Security Payload: ESP Añadir encriptación hace que ESP sea un poco más complicado, ya que la encapsulación rodea a la carga útil es algo más que precederla con AH: ESP incluye cabecera y campos para dar soporte a la encriptación y a una autenticación opcional.

12 Encapsulating Security Payload: ESP LasRFCsdeIPsec no insisten demasiado en un sistema particular de encriptación, pero normalmente se utiliza DES, triple DES, AES o Blowfish para asegurar la carga útil de ojos indiscretos. El algoritmo usado para una conexión en particular es definido por la Security Association (SA), y esta SA incluye no sólo al algoritmo, también la llave usada.

13 Encapsulating Security Payload: ESP A diferencia de AH, que da una pequeña cabecera antes de la carga útil,esp rodea la carga útil con su protección. Ademásde laencriptación encriptación, ESP puedeproveer proveer autentificación con la misma HMAC de AH. A diferencia de AH, ésta autentica sólo la cabecera ESP y la carga útil encriptada, no todo el paquete IP.

14 Encapsulating Security Payload: ESP La cabecera ESP se genera y añade al paquete tras cifrarlo y calcular su HMAC.

15 Encapsulating Security Payload: ESP Los primeros 32 bits de la cabecera ESP especifican el Índice de Parámetros de Seguridad (SPI). Este SPI especifica qué SA emplear para desencapsular el paquete ESP. Los siguientes 32 bits almacenan el Número de Secuencia. Estenúmeroú de secuencia se emplea para protegerse de ataques por repetición de mensajes.

16 Encapsulating Security Payload: ESP Los siguientes 32 bits especifican el Vector de Inicialización (Initialization Vector, IV) ) que se emplea para el proceso de cifrado. Los algoritmos de cifrado simétrico pueden ser vulnerables a ataques por análisis de frecuencias si no se emplean IVs. El IV asegura que dos cargas idénticas generan dos cargas cifradas diferentes.

17 Encapsulating Security Payload: ESP La cabecera ESP es colocada antes del payload IP; un trailer ESP y el campo deautenticación de los datos son colocados después del payload IP (ESP en modo transporte).

18 Encapsulating Security Payload: ESP El protocolo ESP utiliza el protocolo IP número 50.

19 El protocolo IKE El protocolo IKE resuelve el problema más importante del establecimiento de comunicaciones seguras: la autenticación de los participantes y el intercambio de claves simétricas. El protocolo IKEempleal el puerto 500 UDP para su comunicación.

20 El protocolo IKE El protocolo IKE funciona en dos fases. La primera fase establece un ISAKMP SA (Internet Security Association Key Management Security Association Asociación de seguridad del protocolo de gestión de claves de asociaciones de seguridad en Internet). En la segunda fase, el ISAKMP SA se emplea para negociar y establecer las SAs de IPsec.

21 Modos de operación de IPsec IPsec puede operar de dos maneras distintas: Modo transporte (Transport mode) El propósito de este modo es establecer una comunicación segura punto a punto, entre dos hosts y sobre un canal inseguro. En el modo transporte, sólo la carga útil (los datos que se transfieren) del paquete IP es cifrada y/o autenticada.

22 Modos de operación de IPsec Modo túnel (Tunnel mode) El propósito de este modo es establecer una comunicación segura entre dos redes remotas sobre un canal inseguro. En el modo túnel,todoelpaquete IP (datos más cabeceras del mensaje) es cifrado y/o autenticado. Normalmente las VPN se configuran en modo túnel.

23 Modos de operación de IPsec AH en modo túnel encapsula un paquete IP con una cabecera AH e IP y firma el paquete pq completo para integridad y autenticación.

24 Modos de operación de IPsec ESP en modo túnel encapsula un paquete IP con ambas cabeceras ESP e IP y un trailer de autenticación ESP.

25 VPNs e IPsec IPsec funciona a partir de dos bases de datos: SPD (Security Policy Database, Base de datos de políticas de seguridad) Estas políticas le dicen a IPSec cuando debe o no debe actuar sobre un paquete IP. SAD (Security Association Database, Base de datos de asociaciones de seguridad) Estas asociaciones le dicen a IPSec cómo debe crear el canal entre las dos máquinas.

26 VPNs e IPsec Los siguientes aspectos deben considerarse en el caso de aplicarse IPsec: Protocolo IPsec ausar:ah, esp o ipcomp. Modo IPsec que se usará (ú (túnel o transporte).

27 VPNs e IPsec Nivel IPsec: odefault: f nivel estándar. ouse: usar una asociación de seguridad (SA) sólo si está disponible, o darle al paquete el tratamiento habitual en su defecto. orequire: el uso de la asociación de seguridad d es obligatorio i para que se envíe el paquete.

28 VPNs e IPsec Una asociación ió de seguridad d (SA) está formada principalmente por los siguientes aspectos: Dirección IP de origen. Dirección IP de destino. Protocolo IPsec que debe usarse: ah, esp o ipcomp. Índice numérico SPI (Security Parameter Index).

29 VPNs e IPsec Modo del protocolo: tunnel, transport o any (cualquiera de los dos). Algoritmos: oautenticación A i ió y la clave ocifrado y la clave ocifrado y autenticación con las claves ocompresión

30 IPsec para LINUX y BSD Free S/WAN Openswan NIST Cerberus KAME pipsec ipnsec

31 Un Resumen