Este documento discute o protocolo ISAKMP/Oakley (IKE) como a norma de gestão de chaves para a arquitetura de segurança IPSec. Primeiro, define IPSec e seus componentes como AH, ESP e gestão de chaves. Em seguida, descreve o funcionamento do IKE, incluindo as fases 1 e 2. Por fim, detalha os objetivos, cenários e problemas encontrados em testes com IKE.

1. 1rute@rccn.net
Estudo do Protocolo ISAKMP/Oakley
como
Norma de Gestão de Chaves
da
Arquitectura de Segurança IPSec
Dissertação para a obtenção
do grau de Mestre em Informática
Helena Rute Esteves Carvalho Sofia
Departamento de Informática
Faculdade de Ciências
Universidade de Lisboa

2. 2rute@rccn.net
Introdução
 IPSec
 definição
 componentes
 cenários de utilização
 ISAKMP/Oakley - IKE
 definição e contexto
 componentes
 funcionamento
 Ataques Evitados

3. 3rute@rccn.net
Introdução
 Estudo e Resultados
 objectivos
 mesa de testes
 cenários
 problemas encontrados
 Conclusões
 Trabalho Futuro

4. 4rute@rccn.net
IPSecDefinição
 norma de segurança IP - RFC1825
 autenticação, confidencialidade,
integridade de dados
 capacidade para interagir com diferentes
mecanismos de autenticação e cifra
 criar infraestrutura de rede segura
 reduzir preocupação de mecanismos de
segurança nas aplicações
 compatibilidade
 evitar problemas no uso de criptografia

5. 5rute@rccn.net
IPSecComponentes
 cabeçalho de Autenticação, AH (IPv6)
 cabeçalho de Encapsulamento de Dados
de Segurança, ESP (IPv6)
 mecanismos de Gestão de Chaves
(gestão manual e automática)
 conceitos
 associação de segurança
 nível de sensibilidade

6. 6rute@rccn.net
IPSecComponentes: AH
 RFC 1826 / draft-ietf-ipsec-auth-header-07.txt
 51, opcional
 integridade e autenticação sem
confidencialidade
 não autentica todo o datagrama
 algoritmo a usar por defeito:MD5

7. 7rute@rccn.net
IPSecComponentes: ESP
 RFC 1827 / draft-ietf-ipsec-esp-v2-06.txt
 50, opcional
 confidencialidade e autenticação
 cifra simétrica
 algoritmo a usar por defeito: DES-CBC,
HMAC-MD5, HMAC-SHA-1

8. 8rute@rccn.net
IPSecComponentes
Cifrado
Modo de Transporte ESP
IP
ESP Cabeçalho Transporte + Dados
Autenticado, excepto campos alteráveis
Autenticado
AH
Cifrado
IP
ESP Datagrama IP originalAH
Autenticado, excepto campos alteráveis
Autenticado
Modo de Túnel ESP

9. 9rute@rccn.net
IPSecComponentes: Gestão de Chaves
 criação/eliminação, alteração e
distribuição de chaves
 manual
 Criadas e distribuídas manualmente
 automática
 IKE, SKIP, Photuris, ...

10. 10rute@rccn.net
IPSECCenários
 Ponto-a-Ponto
 VPN
 Acesso Remoto

11. 11rute@rccn.net
IPSecCenário: Ponto-a-Ponto
A B
Túnel IPSec

12. 12rute@rccn.net
IPSecCenário: VPN
A
InternetG1
B
G2
1. Túnel IPSec
2. Túnel IPSec
Intranet 1 Intranet 2

13. 13rute@rccn.net
IPSecCenário: Acesso Remoto
A Internet
B
G2
1. Túnel IPSec
2. Túnel IPSec
Intranet 2

14. 14rute@rccn.net
IKEDefinição
 ISAKMP/Oakley
 norma IPSec para Gestão Automática de
Chaves
 negociação e acordo de protocolos,
algoritmos e chaves a usar
 gestão de chaves

15. 15rute@rccn.net
IKEContexto
Aplicação
Transporte
Física
Rede
IKE
IPSec
DOI

16. 16rute@rccn.net
IKEComponentes
 mensagens
 mensagens ISAKMP
 cabeçalho fixo
 módulos pré-definidos
 uso de cookies
 subconjunto de Trocas Oakley (modos)
 Modo Principal (main)
 Modo Agressivo (aggressive)
 Modo rápido (Quick)
 mecanismos de autenticação das
entidades envolvidas

17. 17rute@rccn.net
IKEFuncionamento
 1ª Fase
 canal seguro para estabelecimento de
associação IKE
 canal protege negociações da 2ª fase
 executada uma vez para diversas fases 2
 2ª Fase
 canal seguro para estabelecimento de
SAs
 trocas menos complexas e mais
frequentes

18. 18rute@rccn.net
IKEFuncionamento: 1ª Fase, Modo Principal
Entidade A Entidade B
HDRSA
1
HDR SA
2
HDRKEN
3
HDR KE N
4
HDRIDCert.Auth
5
HDR ID Cert. Auth
6

19. 19rute@rccn.net
IKEFuncionamento: 2ª Fase, Modo Rápido
Entidade A Entidade B
HDRHaSANKEID
1
HDRHa
3
HDR Ha SA KE ID
2 N

20. 20rute@rccn.net
Ataques Evitados
 Denial of Service
 Hijacking, Spoofing, Sniffing
 Man-in-the-Middle

21. 21rute@rccn.net
Estudo e ResultadosObjectivos
 apresentar actual desenvolvimento do
protocolo IKE
 apresentar funcionamento na prática do
IKE
 apresentar vantagens da utilização do
IKE
 apresentar problemas detectados

22. 22rute@rccn.net
Estudo e ResultadosMesa de Testes: Hardware e Software
 Hardware
 pentium 120 Mhz, 32 Mb Ram, placa de
rede Ethernet 10 Mbps;
 pentium 133Mhz, 32Mb Ram, placa de
rede Ethernet 10 Mbps.
 Software
 OpenBSD
 suporte para IPSec com gestão manual de
Chaves
 módulo IPv6+IPSec da NRL
 serviço IKE: pluto (Angelo D. Keromytis)

23. 23rute@rccn.net
Estudo e ResultadosMesa de Testes: Funcionalidades
Processos
de utilizador
Pluto
Gestão automática de
chaves
Suporte IPv4+IPSec
Gestão Manual de Chaves
Módulo NRL
Suporte IPv6+IPSec
Gestão Manual de Chaves

24. 24rute@rccn.net
Estudo e ResultadosMesa de Testes: Infraestrutura
194.117.20/24
CAT MEFISTO
194.117.20.33 194.117.20.34
3FFE:31FF:0:3::1/64 3FFE:31FF:0:3::2/64
Gt-ipv6.prod.ip6.rccn.net
3FFE:31FF:FFFF:1::FFFE/64
193.136.2.6
ip6.rccn.net
pTLA RCCN
6bone
Túnel IPv6/IPv4
Túnel IPv6/IPv4

25. 25rute@rccn.net
Estudo e ResultadosCenários: IPv4
194.117.20/24
CAT MEFISTO
194.117.20.33 194.117.20.34Associação de Segurança, SPI 555
Associação de Segurança, SPI 333
Túnel IPSec
Servidor IKE
ipsec-wit.antd.nist.gov

26. 26rute@rccn.net
Estudo e ResultadosCenários: IPv6
CAT MEFISTO
3FFE:31FF:0:3::1/64 3FFE:31FF:0:3::2/64
Gt-ipv6.prod.ip6.rccn.net
3FFE:31FF:FFFF:1::FFFE/64
ip6.rccn.net
pTLA RCCN
6bone
Associação de Segurança, SPI 1000
Associação de Segurança, SPI 2000
Túnel IPSec
Túnel IPv6/IPv4Túnel IPv6/IPv4

27. 27rute@rccn.net
Estudo e ResultadosProblemas Detectados
 obtenção de software
 inexistência de software com suporte para
IPSec+IKE+IPv6+IPv4
 exportação de software
 alterações efectuadas no desenvolvimento
 implementações existentes tornam-se
obsoletas

28. 28rute@rccn.net
Conclusões
 IKE essencial para o bom funcionamento
da IPSec
 especificação em desenvolvimento
dificulta desenvolvimento na prática
 implementações existentes muito
básicas ou proprietárias
 repositórios de chaves pouco seguros
 IKE apresenta desenho muito flexível e
escalável
 baixo custo de utilização

29. 29rute@rccn.net
Trabalho Futuro
 Implementações de domínio público
 Desempenho de Rede
 encaminhamento
 qualidade de serviço, QoS
 Gestão de Rede
 Integração com Firewalls;
 Integração com Domain Name Service -
extensões de segurança;
 Interface entre sistema operativo e
aplicações.