Inhaltsverzeichnis
Werbung
NB3701
NRSW-Benutzerhandbuch - Version 4.7.0.100
5.6.2. IPsec
IPsec ist eine Protokoll-Suite zur Absicherung der IP-Kommunikation, wobei jedes Paket einer Sitzung
authentifiziert und verschlüsselt wird und damit ein sicheres virtuelles privates Netzwerk entsteht.
IPsec enthält verschiedene kryptografische Protokolle und Chiffren für den Schlüsselaustausch und
die Datenverschlüsselung und gilt unter Sicherheitsgesichtspunkten als eines der stärksten VPN-
Technologien. IPsec verwendet die folgenden Mechanismen:
Mechanismus
Beschreibung
AH
Authentication Headers (AH) bieten verbindungslose Integrität, Authentifizierung der Da-
tenquelle IP-Datagramme und gewährleisten Schutz vor Replay-Angriffen.
ESP
Encapsulating Security Payloads (ESP) bieten Vertraulichkeit, Authentifizierung der Da-
tenquelle, verbindungslose Integrität, einen Anti-Replay-Dienst und begrenzte Vertraulich-
keit des Datenverkehrs.
SA
Security Associations (SA) bieten einen sicheren Kanal und ein Bündel von Algorithmen,
die die notwendigen Parameter für den Betrieb der AH- und/oder ESP-Operationen be-
reitstellen. Das ISAKMP (Internet Security Association Key Management Protocol) ist ein
Framework für den authentifizierten Schlüsselaustausch.
Das Aushandeln von Schlüsseln für die Verschlüsselung und Authentifizierung erfolgt im Allgemeinen
über das Internet Key Exchange-Protokoll (IKE), das aus zwei Phasen besteht:
Phase
Beschreibung
IKE
IKE authentifiziert in dieser Phase die Gegenstelle für eine sichere ISAKMP-Zuordnung.
Dies kann in den Modi main oder aggressive erfolgen. Im Modus main arbeitet das Pro-
phase 1
tokoll mit dem Diffie-Hellman-Schlüsselaustausch und die Authentifizierung wird immer
mit dem ausgehandelten Schlüssel verschlüsselt. Im Modus aggressive werden nur Has-
hes des Pre-Shared Key verwendet. Dieser Modus stellt daher einen weniger sicheren
Mechanismus dar und sollte generell vermieden werden sollte, da er anfällig für Wörter-
buchangriffe ist.
IKE
IKE handelt abschließend IPSec-SA-Parameter und -Schlüssel aus (SA: Security Asso-
phase 2
ciation) und richtet in den Gegenstellen passende IPSec-SAs ein, die später für AH/ESP
benötigt werden.
114
Werbung
Inhaltsverzeichnis
Fehlerbehebung
