IP alapú távközlés. Virtuális magánhálózatok (VPN)

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "IP alapú távközlés. Virtuális magánhálózatok (VPN)"

Virág Tamásné
8 évvel ezelőtt
Látták:

1 IP alapú távközlés Virtuális magánhálózatok (VPN)

2 Jellemzők Virtual Private Network VPN Publikus hálózatokon is használható Több telephelyes cégek hálózatai biztonságosan összeköthetők Olcsóbb megoldás, mint bérelt vonalat használni közvetlenül a telephelyek között Titkosított adatforgalom a lehallgatás ellen Biztonságos adatátvitel a mobil felhasználók és a cég hálózata között Független a kommunikáló partnerek hálózati csatlakozási típusától 2

telephelyek között Titkosított adatforgalom a lehallgatás ellen Biztonságos adatátvitel a mobil

3 Jellemzők VPN elemei Kommunikáló partnerek security gateway Tűzfal, router Más speciális, VPN kompatibilis eszköz Kommunikáció nyelve IPsec protokoll 3

4 Jellemzők Titkosítás Elemei Titkosítandó szöveg Titkosítási algoritmus + kulcs Felhasználási területei Digitális pénzügyi tranzakciók banki műveletek Mobiltelefonok Digitális aláírás Virtuális magánhálózatok 4

területei Digitális pénzügyi tranzakciók banki

5 Titkosítás Szimmetrikus titkosítás Rejtett (titkos) kulcsú titkosítás Kritikus pont a kulcs erőssége ajánlott a jó véletlenszám-generátorok használata Szabványos algoritmusok: 3DES, IDEA, Blowfish 5

erőssége ajánlott a jó véletlenszám-generátorok

6 Titkosítás Szimmetrikus titkosítás Nagy mennyiségű adat titkosítására előnyös Probléma: titkos kulcs továbbítása a másik félnek Csak egy kapcsolatra (session) érvényes kulcs Kulcscsere algoritmus Diffie-Hellman módszer Aszimmetrikus titkosítás Nyilvános kulcsú titkosítás '70-es évektől kezd terjedni a használata 6

(session) érvényes kulcs Kulcscsere algoritmus Diffie-Hellman módszer

7 Titkosítás Aszimmetrikus titkosítás Két kulcs: nyilvános és titkos kulcs Meghatározott módon generálják Csak matematikailag kapcsolódnak egymással Egyik sem található ki a másikból 7

8 Titkosítás Aszimmetrikus titkosítás Erőforrás igénye magasabb a szimmetrikusénál Titkos kulcs hitelesítése és titkosítása Digitális aláírás generálása Diffie-Hellman kulcscsere módszer Diffie-Hellman kulcscsere módszer Azonos rejtett kulcsok használata továbbításuk nélkül kulcspár generálása nyilvános kulcsok kicserélése az algoritmus segítségével azonos rejtett kulcsok előállítása a szimmetrikus titkosításhoz 8

Diffie-Hellman kulcscsere módszer Azonos rejtett kulcsok használata továbbításuk nélkül kulcspár

9 Titkosítás Aszimmetrikus titkosítás Diffie-Hellman kulcscsere módszer 9

10 Titkosítás Aszimmetrikus titkosítás Diffie-Hellman kulcscsere módszer Man-in-the-middle attack (láhatatlan harmadik fél) Észrevétlenül lehallgathatja és megváltoztathatja a kommunikációban résztvevők adatcsomagjait 10

(láhatatlan harmadik fél) Észrevétlenül lehallgathatja

11 Hitelesítés és integritás Hitelesítés és integritás Kommunikációban résztvevők hitelességének és az adatok változatlanságának biztosítása digitális aláírás és tanúsítvány alkalmazása Nyilvános kilcsú titkosítással és kulcsmenedzsmenttel kiegészítve: Public Key Infrastructure (PKI) Digitális aláírás Biztosítja a küldő hitelességét és az adatok integritását Nyilvános kulcsú titkosításon n alapul 11

titkosítással és kulcsmenedzsmenttel kiegészítve: Public Key Infrastructure (PKI) Digitális aláírás

12 Hitelesítés és integritás Digitális aláírás 12

13 Hitelesítés és integritás Digitális aláírás Ujjlenyomat (message digest) irreverzibilis algoritmussal képezik nehéz hamisítani minden egyes üzenetből nagy valószínűséggel egyedi ujjlenyomat képezhető 13

14 Hitelesítés és integritás Digitális tanúsítványok Tanúsítvány hatóságok (Certificate Authorities, CA) állítják ki a nyilvános kulcsot és a személyes információkat tartalmazó tanúsítványt a privát kulccsal aláírják Tartalma: Tanúsítvány tulajdonosának neve és azonosítója CA neve, nyilvános kulcs, tanúsítvány fokozata, érvényesség ideje A kommunikáló felek bemutatják a saját tanúsítványukat egy megbízható CA aláírásával ellátva 14

aláírják Tartalma: Tanúsítvány tulajdonosának neve és azonosítója CA neve, nyilvános kulcs, tanúsítvány

15 Hitelesítés és integritás Digitális tanúsítványok CA nyilvános kulcsáról másolattal kell rendelkeznie a kommunikáló feleknek CA megbízhatóságának ellenőrzése CA által aláírt tanúsítványok aláírásának érvényesítése Certificate Revocation List (CRL) CA-k kötelessége kezelni Visszavont, érvénytelen tanúsítványok listája elveszett vagy ellopott privát kulcs megváltozott személyes adatok 15

tanúsítványok aláírásának érvényesítése Certificate Revocation List (CRL) CA-k kötelessége

16 IPsec protokoll Jellemzők RFC 2401 szabványban rögzítették Hitelesítési és/vagy titkosítási szolgáltatásokkal egészíti ki az IP hálózatokat Két fő prokollból épül fel: Authentication Header (AH) Encapsulating Security Payload (ESP) Security Associations (SA) kommunikáló felek közötti két egyirányú csatorna AH és ESP protokollok segítségével jönnek létre 16

Authentication Header (AH) Encapsulating Security Payload (ESP) Security Associations

17 IPsec protokoll Jellemzők SA data IPsec kapcsolatokhoz szükséges információk: kulcsok, algoritmusok, üzemmódok, élettartam, stb. Internet Key Exchange (IKE) fázis során rögzítődik a tartalmuk Security Association Database (SAD) SA-kat tárolja, Security Parameter Index (SPI) segítségével azonosítva Az SPI-t az AH és ESP protokollok fejrésze is tartalmazza 17

Internet Key Exchange (IKE) fázis során rögzítődik a tartalmuk Security Association

18 IPsec protokoll Authentication Header (AH) alapvetően a küldő fél hitelesítését és az adatok integritásának megőrzését segíti véd a replay attack típusú támadásokkal szemben titkosítási szolgáltatásokkal nem rendelkezik Az eredeti IP csomagba szúrják be, IP header módosul AH mezői tartalmazzák szállítási protokoll típusát, az SPI értékét, sorszámot a replay attack támadások kivédésére csomag hitelesítéséhez digitális aláírást az integritás ellenőrzéséhez rejtett kulccsal titkosított aláírást (adatrész, AH mezők és néhány IP fejrész mező) 18

módosul AH mezői tartalmazzák szállítási protokoll típusát, az SPI értékét, sorszámot a replay attack támadások kivédésére csomag

19 IPsec protokoll Encapsulating Security Payload (ESP) alapvetően titkosítási és adatintegritási valamint hitelesítési szolgáltatásokat nyújt véd a replay attack támadások ellen is Az IP csomagba ESP fejrészt szúrnak be, mely két mezőből áll: SPI és sorszám mező Az eredeti IP csomagot titkosítja Kitöltő adatok a csomag adatrészét követően Titkosítatlan ESP hitelesítő információ a kitöltő adatrészt követően IP adatmezőből és az eredeti IP és ESP fejrészből áll 19

mely két mezőből áll: SPI és sorszám mező Az eredeti IP csomagot titkosítja Kitöltő adatok a csomag adatrészét

20 IPsec protokoll Tunnel és Transport üzemmód V 20

21 IPsec protokoll Internet Key Exchange (IKE) IPsec IPsec -hez szükséges paraméterek, kulcscsere és módszerek rögzítése az IKE fázis során SA -kban IKE 1. fázis IKE SA létrehozása a security gateway -ek közötti további kommunikációhoz mindkét oldalon Kommunikáló felek authentikálják magukat Diffie-Hellman kulcscsere Authentikáció ellenőrzése 21

22 IPsec protokoll Internet Key Exchange (IKE) IKE 1. fázis V 22

23 IPsec protokoll Internet Key Exchange (IKE) IKE 2. fázis IPsec SA létrehozása az IKE SA-k segítségével Titkosítás és dekódoló eljárások rögzítettek Az IPsec indítványhoz szükséges titkos kulcs szintén az IKE 1. fázisban rögzítették Az IPsec élettartam rögzítése Különböző szintű IPsec SA-k Hálózatok ill alhálózatok Hosztok és protokollok Portok IKE SA-k ritkábban generálódnak újra, mint az IPsec SA-k 23

24 IPsec protokoll Manuális IPsec üzemmód Titkosításhoz és dekódoláshoz szükséges kulcsok manuális megadása Nincs IKE Nincs kulcscsere szabályos időközönként Nincs védelem a replay attack típusú támadások ellen 24

Hasonló dokumentumok

Titkosítás NetWare környezetben

Titkosítás NetWare környezetben 1 Nyílt kulcsú titkosítás titkos nyilvános nyilvános titkos kulcs kulcs kulcs kulcs Nyilvános, bárki által hozzáférhető csatorna Nyílt szöveg C k (m) Titkosított szöveg Titkosított szöveg D k (M) Nyílt