IPsec
(IP Security)

History/ Vorbemerkung

Das IPsec-Protokoll ist ein "Ableger" der IPv6-Arbeitsgruppe der IETF (Internet Engineering Task Force). Bei der Entwicklung von IPv6 waren sich alle Beteiligten darin einig, dass eine sichere Datenübertragung wichtig für den Erfolg des Internets und damit auch des neuen Protokolles sein würde. Während der Entwicklung der "IPv6-Sicherheitsprotokolles" erkannte man jedoch - nicht zuletzt auch aufgrund des Marktdrucks - dass Sicherheit nicht nur ein Bestandteil des neuen IP-Protokolles sein dürfe. Daraufhin verlagerte man diesse Aktivitäten in eine eigene Arbeitsgruppe der IETF, die IPsec (IP Security), die ihre Aktivitäten unabhängig der IP-Version vorantrieb. So ist IPsec nicht nur für IPv6, sondern - vor allem - für das "alte" IP-Protokoll (Version 4) verfügbar.
Mit IPsec existiert nun ein Standard, der den Aufbau von sicheren IP-Verbindungen (z.B. VPN-Verbindungen) ermöglicht.
IPsec beinhaltet vier wichtige Sicherheitsfunktionen:

Verschlüsselung

Die Verschlüsselung erfolgt über die sog. ESP (Encapsulation Security Payload) und unterstützt prinzipiell alle verfügbaren Verschlüsselungsalgorithmen (s.u.).
IPsec kennt zwei Betriebsmodi: Der Transportmodus und den Tunnelmodus.

Transportmodus

Im Transportmodus wird ausschließlich der Datenteil (Nutzdaten/ "Payload") des IP-Paketes verschlüsselt. Alle anderen Teile der Nachricht (also im Prinzip der IP-Header) bleiben unverändert. Den Nutzdaten wird nur der ESP-Header vorangestellt. Dieses Verfahren wird zur Übertragung von kritischen Informationen (z.B. Passwords) verwendet.

Architektur

Die zentralen Funktionen in der IPsec-Architektur sind das AH-Protokoll (Authentification Header), das ESP-Protokoll (Encapsulating Security Payload) und die Schlüsselverwaltung (Key Management).

Authentisierung (AH)

Das AH-Protokoll sorgt für die Authentisierung der zu übertragenen Daten und Protokollinformationen. AH wird zum Schutz der Paketintegrität und der Paketauthentizität eingesetzt. Die Erfolgt über ein Hashing-Verfahren (MD5 und SHA). Da der äußere IP-Header in die Hashprüfung mit einbezogen wird, ist auf AH-Pakete keine Art von NAT anwendbar.
Im AH-Paket befindet sich, neben verschiedenen anderen Feldern, der Security Profile Index (SPI) und eine Sequenznummer. Diese Sequenznummer kann zum Schutz vor Replay-Attacks verwendet werden.
AH nutzt die IP-Protokoll-Nummer 51.
Das AH-Protokoll kann sowohl im Transport-, als auch im Tunnelmodus eingesetzt werden.

Verschlüsselung (ESP)

Das ESP-Protokoll dient der Verschlüsselung eines Datenpaketes und über Hashing-Verfahren auch zur Integritätssicherung. Zur Verschlüsselung können beliebige Encryption-Verfahren eingesetzt werden. Allerdings muss DES unterstützt werden (in der Praxis wird meistens auch 3DES implementiert). Als Hashing-Verfahren müssen MD5-96 und SHA-96 verfügbar sein.
Im ESP-Header befindet sich - vergleichbar mit dem AH-Paket - der Security Profile Index (SPI) und eine Sequenznummer!
ESP nutzt die IP-Protokoll-Nummer 50.

Schlüsselverwaltung (Key Management)

Zur Schlüsselverwaltung gibt es zwei Wege, um die Verwaltung und Verteilung der Schlüssel durchzuführen. Neben der reinen - heute nicht mehr sehr gebräuchlichen - manuellen Schlüsselverwaltung, kann auch das Internet Key Exchange Protocol (IKE) eingesetzt werden. Um eine gesicherte Verbindung zwischen zwei Stationen aufbauen zu können, müssen auf beiden Seiten viele Parameter ausgetauscht werden: Art der gesicherten Übertragung (Authentisierung oder Verschlüsselung), Verschlüsselungsalgorithmus, "Schlüssel", Dauer der Gültigkeit der Schlüssel etc. Alle diese Parameter werden in der Security Association (SA) beschrieben. Jede gesicherte Verbindung bedarf einer solcher SA für jedes genutzte IPsec-Protokoll an jedem Ende einer logischen Verbindung.
Die IKE Mainmethode unterstützt keine dynamischen IP-Adressen und keine Art von NAT! Für solche Fälle muss die IKE Aggressive Methode eingesetzt werden, bei der ein Angreifer den Initiator einer Verbindung feststellen kann.
IKE nutzt den UDP-Port 500.

Neben IPsec werden auch noch andere Protokolle zum Aufbau von VPNs genutzt - weitere Infos finden Sie auf meiner Seite über Tunneling Protokolle.

Links