27/02/13

Com partilhar 0

APCONCURSOS: IPSEC
mais Prximo blog Criar um blog Login

APCONCURSOS
CONCURSO PBLICO - REA DE INFORMTICA
Apresentaes, Bibliografias, Referncias, Resumos, Dicas, Mind Maps (Mapas Mentais), Simulados, Provas Comentadas, tudo que voc precisa para ser aprovado em Concurso Pblico.
QUINTA-FEIRA, 27 DE SETEMBRO DE 2007 COMPRE DA CHINA S/ FRETE

IPSEC
IPSec - Protoclo de Segurana IP 1. Fundamentos 2. Mudana na comunicao das empresas 3. Qual a funo do IPSec? 3.1 Perda de privacidade 3.2 Perda de integridade dos dados 3.3 Falsificao de identidade (Identity spoofing) 3.4 Negao de servio (DoS) 4. IPSec: Viso 4.1 Abordando o problema 4.2 O que IPSec 4.3 Tecnologias 4.4 Detalhes do IPSec Pacotes IPSec Modos de operao Associaes de Segurana (Security Association, SA) Protocolo de gerenciamento de chaves (Internet Key Management Protocol, IKMP) Autenticao Troca de chaves Utilizando o IKE com o IPSec O Protocolo de Segurana IP (IP Security Protocol, mais conhecido pela sua sigla, IPSec) visa a ser o mtodo padro para o fornecimento de privacidade, integridade e autenticidade das informaes transferidas atravs de redes IP. A Internet tem mudado a maneira como negcios so feitos, mas at mesmo o rpido crescimento da Internet tem sido atingido pela inerente falta de segurana, por ser uma rede pblica. Algumas das principais ameaas a que ela est sujeita so: perda de privacidade na troca de dados: os dados podem ser vistos por terceiros; perda da integridade dos dados: em algum local no caminho entre a origem e o destino, os dados podem ser modificados por terceiros; falsificao de identidade: a origem dos dados pode ser forjada, fazendo com que pessoas assumam o papel de outras; ataques de negao de servio (Denial of Service, DoS): muitas vezes feitos atravs da unio de diversas mquinas, que fazem requisies excessivas de um determinado servio, tornando-o indisponvel aos outros usurios. O IPSec tem como objetivo tratar de todas estas ameaas na prpria camada de rede (camada Internet do modelo TCP/IP), para que no sejam necessrias modificaes nos terminais (host) ou aplicativos. Um dos meios para se conseguir isto, por exemplo, atravs da implementao de IPSec nos roteadores de borda, por onde passa todo o trfego externo de uma empresa/instituio; desta forma, a segurana atuaria de forma transparente para o usurio. O IPSec voltado para a encriptao de camada IP, e seu padro define alguns formatos de pacote novos: Autenticao de Cabealho (Authentication Header, AH) para fornecer a autenticao dos participantes da conexo, e o Encapsulamento Seguro da Informao (Encapsulating Security Payload, ESP), para fornecer a integridade e privacidade dos pacotes entre origem e destino. O gerenciamento de chaves, associaes de segurana (Security Associations, SA) e os parmetros para a comunicao IPSec entre dois dispositivos so negociados atravs do IKE (Inernet Key Exchange, anteriormente chamado de Internet Security Association Key Management Protocol ou ISAKMP/Oakley). O IKE utiliza
apconcursos.blogspot.com.br/2007/09/ipsec.html 1/7

VISITAS

TCU Cmara Senado STF PF Livros

PESQUISAR ESTE BLOG Pesquisar

27/02/13

APCONCURSOS: IPSEC
PARCEIROS

Certificados Digitais (que garantem a identidade de uma pessoa, evitando a falsificao de identidades) para autenticao de dispositivos, permitindo a criao de grandes redes seguras. Sem o suporte dos Certificados Digitais, as solues IPSec no seriam escalveis para a Internet. Todos estes elementos sero explicados ao longo do texto. Atualmente, o protocolo j encontrado em roteadores, firewalls e em sistemas operacionais Windows e UNIX. Comearemos com a motivao para o desenvolvimento do IPSec, para depois entrar em detalhes de seus mecanismos de segurana. 1. Fundamentos Uma rede, para ser considerada segura, deve basear-se numa forte poltica de segurana, que defina a liberdade de acesso informao para cada usurio, assim como a localizao dos mecanismos de segurana na rede. H vrias solues para se construir uma infra-estrutura segura para a Internet, Extranets, Intranets e redes para acesso remoto, que oferecem autenticao do usurio, acompanhamento de suas aes e privacidade dos dados. Privacidade, integridade e autenticidade so conseguidas atravs encriptao na camada de rede, certificao digital e autenticao de dispositivos, palavras-chave quando falamos de IPSec, ou mais genericamente, de mecanismos de segurana em redes pblicas. 2. Mudana na comunicao das empresas

COLABORADORES

A Internet est modificando rapidamente a forma como so feitos os negcios. Ao mesmo tempo em que a velocidade de comunicao aumenta, seu custo diminui. H um grande espao para o aumento de produtividade, aproveitando esta situao, atravs das seguintes topologias, tambm mostradas na figura 1: - Extranet: as companhias podem facilmente estabelecer enlaces com seus fornecedores, clientes ou parceiros. At pouco tempo atrs, isto era feito atravs de linhas privadas (dedicadas) ou ligaes telefnicas (de baixa velocidade). A Internet permite uma comunicao instantnea, de alta velocidade e sempre disponvel. - Intranet: a maior parte das empresas utiliza WANs (Wide-Area Networks) para conectar as redes de sua sede e filiais. Esta soluo cara, e apesar de seu custo ter cado nos ltimos anos, ainda h uma grande margem de reduo de custos pelo uso da Internet. - Usurios remotos: a Internet fornece uma alternativa de baixo custo para a conexo destes usurios s redes corporativas. Em vez de a empresa ter que manter bancos de modens e arcar com os custos das ligaes telefnicas (muitas vezes interurbanas ou at internacionais), elas podem permitir que seus usurios acessem sua rede atravs da Internet. Com uma ligao local a um provedor de acesso Internet (Internet Service Provider, ISP), um usurio pode ter acesso rede corporativa.

Humberto Bruno Pontes Brucken Confraria Samba Choro Humberto Pontes

APCONCURSOS RSS

Assine

MATRIAS

Acessibilidade (5) Administrao (7) Administrao Pblica (2) AFO (3) Alta Disponibilidade (4) APF (4) Apostilas (2) Apresentaes (25) Aquisio de Bens e Servios de TI (3) Atualidades (142) Auditoria de TI (4) Auditoria Governamental (6) Banco de Dados (10) Bibliografias e Ref. (12) Bolsa de Valores (1) BSC (3) Camara (23) CGU (1) CMM+CMMI (4) Cobit (9) Computao Forense (1) Conhecimentos Gerais (36) Contabilidade Pblica (1) Controle Externo (7) Depoimentos Aprovados (4) Dicas (24) Direito Administrativo (46) Direito Constitucional (62)

Compartilhamento da rede interna de uma empresa Estas e outras aplicaes da Internet esto mudando a forma com as empresas se comunicam. A Internet fornece uma infra-estrutura pblica de comunicaes que faz com que tudo isso se torne possvel. No entanto, h fraquezas geradas por esta infra-estrutura compartilhada: segurana, qualidade de servio e confiabilidade. Neste momento aparece o IPSec como pea-chave no fornecimento de segurana nas comunicaes de rede. 3. Qual a funo do IPSec? Como visto nos itens anteriores, a Internet apresenta grandes vantagens, mas tambm alguns riscos. Sem os mecanismos adequados de controle, os dados esto sujeitos a diversos tipos de ataques. Estes ataques so: 3.1 Perda de privacidade O atacante pode observar dados confidenciais enquanto eles atravessam a Internet. Esta uma das principais ameaas ao comrcio pela Internet hoje. Sem encriptao, todas as mensagens enviadas podem ser lidas por pessoas no autorizadas, como mostrado na figura 2. Estas tcnicas so chamadas de sniffing, e os programas utilizados para isso de sniffers; at usurios com pouco conhecimento j so capazes de bisbilhotar o contedo que trafega na rede.

apconcursos.blogspot.com.br/2007/09/ipsec.html

2/7

27/02/13

APCONCURSOS: IPSEC
Direito Penal (3) Direito Tributrio (4) Discursiva (8) Diverso (4) DOU (1) Download 4share (3) DW (4) e-GOV (1) editais (3) Eventos TI (1) Favoritos (1) Fundamentos de Computao (9) GED (12) Ger. Projetos (13) Gesto TI (12) Glossrio (1) informtica Bsica (22) Ingls (109) Interoperabilidade/Integrao (4) ITIL (9) Java (9) Lei 8666 (1) Links (1) Linux (12) Literatura (1) Livros (1) LODF (1) Mapas Mentais (44) matemtica (1) Mensagens do Blogueiro (7) Metodologia Desenvolvimento de SW (28) Motivao (7) MPOG (1) MPS.BR (2) OAC (7) Padres de Projeto (2) Pensamento do dia (3) PF (10) PMBOK (5) Portais Corporativos (2) Portugus (51) PRF (1) Provas (7) Questes Comentadas (59) Recursos (4) Redao (1) Redes (47) Resultados (1) Resumos (3) RICD (15) RUP (1) Segurana (64) Senado (10) Simulados (47) Sistemas de Ger. de Contedo (1) Sistemas Operacionais (21) Sites (1) STF (1)

Pessoas no autorizadas podem bisbilhotar o contedo de mensagens 3.2 Perda de integridade dos dados Mesmo que os dados no sejam confidenciais, tambm devemos nos preocupar com a integridade deles. Por exemplo, uma pessoa pode no se importar que algum veja suas mensagens do dia a dia, mas certamente se preocupar se os dados puderem ser alterados; uma ordem para a promoo de um funcionrio geralmente no precisa ser secreta, mas quem a enviou estar realmente preocupado ser ela puder ser trocada por uma outra indicando uma demisso. O mesmo vale para mensagens secretas, j que o emissor deseja que seus bits no sejam alterados no caminho, o que poderia causar uma alterao no significado da mesma. Mecanismos de integridade dos dados garantem que a mensagem chega ao destino como saiu da origem. 3.3 Falsificao de identidade (Identity spoofing) Alm da proteo do dado, tambm devemos ter a garantia de que uma pessoa realmente quem ela diz ser. Como mostrado na figura 3, um atacante pode tentar se passar por uma outra pessoa, para ter acesso a informaes confidenciais. Muitos sistemas ainda confiam no endereo IP para identificar um usurio de forma nica; no entanto, este sistema j facilmente enganado.

Uma pessoa se passa por diretor da empresa, obtendo acesso informaes confidenciais 3.4 Negao de servio (DoS) Ao migrar para a Internet, uma organizao deve tomar as medidas necessrias para garantir que seus sistemas estaro disponveis aos usurios. Aproveitando brechas de segurana, atacantes fazem com que computadores da empresa sejam levados ao limite, at o ponto em que parem de oferecer o servio que deveriam. Mesmo que o atacante no consiga acesso a informaes privilegiadas, ele sem dvida causar danos empresa. 4. IPSec: Viso 4.1 Abordando o problema No h respostas simples para a segurana na Internet. Todas as solues necessitam de muitos elementos, incluindo uma boa poltica de segurana, padres que definam o que deve ser protegido, um conjunto de procedimentos que detalham como implementar as polticas e um conjunto de tecnologias que forneam a proteo. Confidencialidade, integridade e autenticidade so os servios-chave para a proteo contra as ameaas descritas na seo anterior. Com a encriptao garantimos a privacidade dos dados, com uma forte autenticao feita na camada de rede podemos garantir a origem dos dados. 4.2 O que IPSec IPSec no o mecanismo de encriptao ou autenticao, mas sim o que vem gerenciar estes. Em poucas palavras, um framework (um conjunto de diversas ferramentas, compondo um sistema) de padres abertos que visa a garantir uma comunicao segura em redes IP. Baseado em padres desenvolvidos pela IETF (Internet Engineering Task Force, organizao que desenvolve os padres da Internet), o IPSec busca garantir confidencialidade, integridade e autenticidade nas comunicaes de dados em uma rede IP pblica. Encriptao e autenticao podem ser implementadas tanto na camada de rede, quanto na de enlace ou aplicao. Antes do IPSec, as redes adotavam solues parciais, que resolviam apenas parte dos problemas. Por exemplo, a utilizao de SSL (Secure Sockets Layer, que simulam tneis seguros entre aplicativos) fornece encriptao no nvel de aplicao, muito usado em navegadores de Internet, por exemplo, para acesso servios bancrios. Uma das deficincias da encriptao no nvel de aplicao que ela protege somente os dados enviados pela aplicao que a est usando, mas no de todas as outras. Cada sistema ou aplicativo deve estar adaptado a SSL, para que uma segurana geral possa ser garantida. Atualmente, a maior parte dos aplicativos no utiliza SSL. J em instituies militares, o que vem sendo usado h anos a encriptao no nvel do enlace de dados. Neste esquema, todas as comunicaes estaro protegidas por dispositivos de encriptao colocados
apconcursos.blogspot.com.br/2007/09/ipsec.html

3/7

27/02/13

APCONCURSOS: IPSEC
STJ (2) TCU (35) TCU - Jurisprudncia TI (6) Telecomunicaes (2) Temas Discursivas (4) TST (3) Tcnicas de Estudo (5) UML (9) Usabilidade (3) Vdeos (3) Web Services and Standards (12) Wireless (1) XML (5) udio (1)

em cada fim do enlace. Apesar de oferecer excelente cobertura, este tipo de encriptao necessita de um par de dispositivos de encriptao a cada enlace, o que pode ser invivel; tambm no adequado para a Internet, j que apenas os enlaces dentro de um sistema autnomo estaro ao alcance das empresas/instituies. O IPSec implementa encriptao e autenticao na camada de rede, fornecendo uma soluo de segurana fim-a-fim, ao contrrio da anterior (enlace), que ponto-a-ponto. O IPSec pode ser implementado nos roteadores ou no sistema operacional dos terminais, assim os aplicativos no precisam de alteraes para poder utilizar comunicaes seguras. Como os pacotes encriptados tm o mesmo formato de pacotes IP comuns, eles podem ser roteados sem problemas em qualquer rede IP, e sem qualquer alterao nos equipamentos de rede intermedirios. Os nicos dispositivos de rede que precisam ser alterados so os do incio e fim das comunicaes IPSec, reduzindo assim os custos de implementao e gerenciamento. A figura 4 mostra onde a encriptao atua nas diferentes camadas.

Envie Fotos e Ganhe $$$!

Encriptao na camada de enlace, na de rede e na aplicao.

No Perca Tempo

4.3 Tecnologias IPSec combina diversas tecnologias diferentes de segurana em um sistema completo que prov confidencialidade, integridade e autenticidade, empregando atualmente: mecanismo de troca de chaves de Diffie-Hellman; criptografia de chave pblica para assinar as trocas de chave de Diffie-Hellman, garantindo assim a identidade das duas partes e evitando ataques do tipo man-in-the-middle (onde o atacante se faz passar pela outra parte em cada um dos sentidos da comunicao); algoritmos de encriptao para grandes volumes de dados, como o DES (Data Encryption Standard); algoritmos para clculo de hash (resto de uma diviso, de tamanho fixo) com utilizao de chaves, com o HMAC, combinado com os algoritmos de hash tradicionais como o MD5 ou SHA, autenticando os pacotes; certificados digitais assinados por uma autoridade certificadora, que agem como identidades digitais. 4.4 Detalhes do IPSec Na realidade, alm das tecnologias mencionadas no item anterior, o IPSec tambm se refere a diversos outros protocolos (mencionados nas RFCs 2401-2411 e 2451) para proteger datagramas IP. Estes padres so: Protocolo de Segurana IP, que define que informaes adicionar ao pacote IP para permitir o controle da confidencialidade, autenticidade e integridade, assim como a forma em que os dados devem ser encriptados; Internet Key Exchange (IKE), que negocia Associaes de Segurana (Security Association, SA) entre duas entidades e realiza a troca de chaves. O uso da IKE no obrigatrio, mas a configurao manual de Associaes de Segurana difcil e trabalhosa, torna-se impossvel para comunicaes seguras em larga escala. Pacotes IPSec definido um novo conjunto de cabealhos a serem adicionados em datagramas IP. Os novos cabealhos so colocados aps o cabealho IP e antes do cabealho da camada superior (como o dos protocolos de transporte TCP ou UDP). Estes novos cabealhos que do as informaes para proteo das informaes (payload) do pacote IP: Authentication Header (AH): este cabealho, ao ser adicionado a um datagrama IP, garante a integridade e autenticidade dos dados, incluindo os campos do cabealho original que no so alterados entre a origem e o destino; no entanto, no fornece confidencialidade. utilizada uma funo hash com chave, ao invs de assinatura digital, pois o mecanismo de assinatura digital bem mais lento e poderia reduzir a capacidade da rede.
apconcursos.blogspot.com.br/2007/09/ipsec.html

11 10 9 8 7

12

1 2 3 4 5

Gadgets powered by Google

OS MELHORES LINKS P/ CONCURSOS PBLICOS TI

Blog do Walter E-Concursos Forum Concurseiros Governana de TI - Gov Mapas e Questes PCI Concursos QuestoesdeConcursos Questes Comentadas

INFO ONLINE - PLANTO INFO

Mastercard lana pagamento NFC na Amrica Latina AutoCAD WS verso leve e gratuita do AutoCAD Teles relatam queda de receita com chamadas de voz Remdio contra HIV ser vendido sem patente ZTE lana sistema de microondas externo
LINHA DE CDIGO - ARTIGOS

Principais Frameworks para desenvolvimento Front-end () Entendendo o atributo boxshadow nas CSS3 ()

4/7

27/02/13

APCONCURSOS: IPSEC
Entendendo a pseudoclasse Hover () Usando ferramentas do browser (Chrome) para debugar seu site () Detectando Suporte para HTML 5 ()

Encapsulating Security Payload (ESP): este cabealho protege a confidencialidade, integridade e autenticidade da informao. Se o ESP for usado para validar a integridade, ele no inclui os campos invariantes do cabealho IP. AH e ESP podem ser usados separadamente ou em conjunto, mas para a maioria das aplicaes apenas um deles suficiente. Para os dois cabalhos, o IPSec no especifica quais algoritmos de segurana devem ser utilizados, mas d uma relao dos possveis algoritmos, todos padronizados e bastante difundidos. Inicialmente, quase todas as implementaes trabalham com MD5 (da RSA Data Security) e o Secure Hash Algorithm (SHA, do governo dos EUA) para integridade e autenticao. O DES o algoritmo mais comumente usado para a encriptao dos dados, apesar de muitos outros estarem disponveis, de acordo com as RFCs, como o IDEA, Blowfish e o RC4. Modos de operao O IPSec fornece dois modos de operao, como mostrado nas figuras 5 e 6. No modo de transporte, somente a informao (payload) encriptada, enquanto o cabealho IP original no alterado. Este modo tem a vantagem de adicionar apenas alguns octetos a cada pacote, deixando que dispositivos da rede pblica vejam a origem e o destino do pacote, o que permite processamentos especiais (como de QoS) baseados no cabealho do pacote IP. No entanto, o cabealho da camada 4 (transporte) estar encriptado, limitando a anlise do pacote. Passando o cabealho sem segurana, o modo de transporte permite que um atacante faa algumas anlises de trfego, mesmo que ele no consiga decifrar o contedo das mensagens. No modo de tunelamento, todo o datagrama IP original encriptado e passa a ser o payload de um novo pacote IP. Este modo permite que um dispositivo de rede, como um roteador, aja como um Proxy IPSec (o dispositivo realiza a encriptao em nome dos terminais). O roteador de origem encripta os pacotes e os envia ao longo do tnel IPSec; o roteador de destino decripta o datagrama IP original e o envia ao sistema de destino. A grande vantagem do modo de tunelamento que os sistemas finais no precisam ser modificados para aproveitarem os benefcios da segurana IP; alm disto, esse modo tambm protege contra a anlise de trfego, j que o atacante s poder determinar o ponto de incio e de fim dos tneis, e no a origem e o destino reais.

BARRA DE VDEO

tecnologia

CONSULTE AS DICAS ABAIXO

Setembro (1) Julho (1) Junho (8) Dezembro (10) Novembro (18) Outubro (23) Setembro (29) Agosto (31) Julho (12) Junho (9) Maio (6) Abril (9) Maro (5) Janeiro (4) Outubro (3) Setembro (20) Agosto (22) Julho (2) Maio (8) Abril (44) Maro (48) Fevereiro (18) Janeiro (16) Dezembro (37) Novembro (70) Outubro (81) Setembro (183) Agosto (277) Julho (10) Junho (14) Maio (7)

Cabealho genrico para o modo de transporte

Exemplo de um cabealho do modo tnel Como definido pelo IETF, o modo de transporte s pode ser utilizado quanto tanto a origem quanto o destino entendem IPSec. Na maior parte dos casos, mais fcil trabalhar com o modo de tunelamento, o que permite a implementao do IPSec sem que sistemas operacionais ou aplicativos nos terminais e servidores precisem ser alterados. Associaes de Segurana (Security Association, SA) Como visto, o IPSec fornece diversas opes para executar a encriptao e autenticao na camada de rede. Quando dois ns desejam se comunicar com segurana, eles devem determinar quais algoritmos sero usados (se DES ou IDEA, MD5 ou SHA). Aps escolher os algoritmos, as chaves de sesso devem ser trocadas. Como vemos, h uma certa quantidade de informaes que precisam ser negociadas. A Associao de Segurana o mtodo utilizado pelo IPSec para lidar com todos estes detalhes de uma determinada sesso de comunicao. Uma SA representa o relacionamento entre duas ou mais entidades que descreve como estas utilizaro os servios de segurana para se comunicarem. As SAs tambm podem ser utilizadas por outras entidades, como IKEs, para descrever os parmetros de segurana entre dois dispositivos IKE. As SAs so unidirecionais, o que significa que para cada par de sistemas que se comunicam, devemos ter pelo menos duas conexes seguras, uma de A para B e outra de B para A. As SAs so identificadas de forma nica pela associao entre um nmero aleatrio chamado SPI (Security Parameter Index) e o endereo IP de destino. Quando um sistema envia um pacote que requer proteo IPSec, ele olha as SAs armazenadas em seus banco de dados, processa as informaes, e adiciona o SPI da SA no cabealho
apconcursos.blogspot.com.br/2007/09/ipsec.html

Esta obra est

5/7

27/02/13

APCONCURSOS: IPSEC
licenciada sob uma Licena Creative Commons Todo e qualquer material aqui disponvel foi encontrado na internet ou enviado pelos leitores. Qualquer problema nos avise que o material ser retirado !

IPSec. Quando o destino IPSec recebe o pacote, ele procura a SA em seus banco de dados de acordo com o endereo de destino a de SPI, e ento processa o pacote da forma necessria. As SAs so simplesmente o relatrio das polticas de segurana que sero usadas entre dois dispositivos. Protocolo de gerenciamento de chaves (Internet Key Management Protocol, IKMP) O IPSec assume que as SAs j existem para ser utilizado, mas no especifica como elas sero criadas. O IETF decidiu dividir o processo em duas partes: o IPSec fornece o processamento dos pacotes, enquanto o IKMP negocia as associaes de segurana. Aps analisar as alternativas disponveis, o IETF escolheu o IKE como o mtodo padro para configurao das SAs para o IPSec. O IKE cria um tnel seguro e autenticado entre duas entidades, para depois negociar SAs para o IPSec. Este processo requer que duas entidades se autentiquem entre si e estabeleam chaves compartilhadas. Autenticao As duas partes devem ser autenticadas entre si. O IKE bastante flexvel e suporta diversos tipos de autenticao. As duas entidades devem escolher o protocolo de autenticao que ser utilizado atravs de negociao. Neste momento, os seguintes mecanismos so implementados: chaves compartilhadas j existentes: a mesma chave instalada em cada entidade. Os dois IKEs autenticam-se enviando ao outro um hash com chave de um conjunto de dados que inclui a chave compartilhada existente. Se o receptor conseguir criar o mesmo hash usando sua chave j existente, ele sabe que os dois IKE possuem a mesma chave, autenticando assim a outra parte; criptografia de chave pblica: cada parte gera um nmero aleatrio, e encripta este nmero com a chave pblica da outra parte. A capacidade de cada parte computar um hash com chave contendo o nmero aleatrio da outra parte, decriptado com a chave privada local, assim como outras informaes disponveis pblica e privadamente, autentica as duas partes entre si. Este mtodo permite que as transaes sejam negadas, ou seja, uma das partes da troca pode, plausivelmente, negar que tenha feito parte da troca. Somente o algoritmo de chave pblica RSA suportado atualmente. assinatura digital: cada dispositivo assina digitalmente um conjunto de dados e o envia para a outra parte. Este mtodo a similar ao anterior, mas ele no permite que uma entidade repudie a participao na troca. Tanto o algoritmo de chave pblica RSA quanto o DSS (Digital Signature Standard) so suportados atualmente. Tanto a assinatura digital quanto a criptografia de chave pblica necessitam o uso de certificados digitais para validar o mapeamento entre a chave pblica e a chave privada. O IKE permite que certificados sejam acessados independentemente (por exemplo, atravs do DNSSEC), ou que dois dispositivos troquem explicitamente os certificados como parte do IKE. Troca de chaves As duas partes devem possuir uma chave de sesso compartilhada para poderem encriptar o tnel IKE. O protocolo de Diffie-Hellman usado para que as entidades concordem em uma chave de sesso. A troca autenticada como descrito acima para prevenir contra ataques do tipo man-in-the-middle. Utilizando o IKE com o IPSec A autenticao e a troca de chaves criam a SA entre os IKEs, um tnel seguro entre os dois dispositivos. Um dos lados do tnel oferece um conjunto de algoritmos, e o outro deve aceitar uma das ofertas ou rejeitar a conexo. Quando os dois lados concordam com os algoritmos que sero utilizados, eles devem produzir as chaves que sero utilizadas pelo IPSec no AH ou ESP, ou os dois. A chave compartilhada pelo IPSec diferente da compartilhada pelos IKEs; ela pode ser obtida pelo mtodo de Diffie-Hellman novamente, para garantir o sigilo, ou atualizando a criada pela troca original para gerar a SA IKE, fazendo o hash com outro nmero aleatrio. O primeiro mtodo, apesar de fornecer maior segurana, mais lento. Aps esse passos, a SA IPSec estabelecida. Como mostrado na figura 8, o IPSec usa o IKE para iniciar uma SA. O primeiro pacote de A para B que deve ser encriptado inicia o processo. O processo IKE monta um tnel seguro entre B e A, onde a SA IPSec ser negociada. A ento pode usar esta SA para enviar dados de forma segura para B.

Uso do IKE pelo IPSec

apconcursos.blogspot.com.br/2007/09/ipsec.html 6/7

27/02/13

APCONCURSOS: IPSEC

Juntando todos os passos descritos anteriormente, temos o seguinte exemplo. B quer iniciar uma comunicao segura com A, enviando o primeiro pacote de dados. Quando o roteador de B recebe este pacote, ele olha suas polticas de segurana e v este pacote deve ser encriptado; a poltica de segurana, que deve ser configurada anteriormente, tambm diz que o outro ponto do tnel IPSec ser o roteador de A. O roteador de B procura se j h alguma SA IPSec com o roteador. Se ainda no existe, ele pede uma para o IKE; se os dois roteadores j compartilham uma SA IKE, a SA IPSec pode ser rapidamente gerada. Se ainda no compartilham uma SA IKE, ela deve ser criada antes que possa ser negociada uma SA IPSec. Como parte deste processo, os dois roteadores trocam certificados digitais, que esto assinados por alguma autoridade certificadora que os roteadores de A e B confiam. Quando a sesso IKE ativada, os dois roteadores podem ento negociar a SA IPSec; quando esta ltima ativada, significa que os dois roteadores concordaram num algoritmo de encriptao (por exemplo o DES) e um de autenticao (como o MD5), e agora compartilham de uma chave de sesso. Agora o roteador de B pode encriptar o pacote IP que B que enviar a A, coloc-lo em um novo pacote IPSec envilo ao roteador de A. Quando o roteador de A recebe o pacote IPSec, ele faz uma busca na SA IPSec, e ento processa o pacote e envia o datagrama original para A. Note que todos os passos so feitos pelos roteadores de A e B, deixando o processo transparente aos usurios. Na prtica a poltica de segurana pode ser bastante flexvel: os roteadores podem decidir quais pacotes devem ser encriptados ou autenticados, de acordo com alguma combinao entre os endereos de origem e destino, portas e protocolo de transporte. Cada um dos tipos de comunicao pode ser autenticado e encriptado separadamente, com chaves diferentes.

Postado por Humberto Bruno Pontes - Brucken s 12:49 Marcadores: Segurana

Nenhum comentrio:
Postar um comentrio

Postagem mais recente

Assinar: Postar comentrios (Atom)

Incio

Postagem mais antiga

Modelo Picture Window. Tecnologia do Blogger.

apconcursos.blogspot.com.br/2007/09/ipsec.html

7/7