Zabezpieczenia IPSec

IPSec jest perspektywicznym kierunkiem zabezpieczeń sieci. Zapewnia mocną ochronę przeciwko atakom w sieci prywatnej i Internecie, z zachowaniem prostoty użycia.

IPSec ma dwa cele:
• Chronić pakiety IP.
• Chronić przed atakami sieciowymi.

Oba cele osiągalne są przez zastosowanie usług zabezpieczających bazujących na:
• kryptografii
• protokołach zabezpieczeń
• dynamicznym zarządzaniu kluczami.

Elementy te zapewniają zarówno wytrzymałość jak i elastyczność zabezpieczenia połączeń między komputerami sieci prywatnych, domenami, witrynami, witrynami zdalnymi, ekstranetami i klientami telefonicznymi. Pozwalają one nawet na blokowanie odbioru lub transmisji konkretnych typów danych.

IPSec bazuje na modelu zabezpieczeń „od końca do końca”, co oznacza, że jedyne komputery, które muszą wiedzieć o ochronie zabezpieczeń IPSec, to nadawca i odbiorca, przy założeniu, że medium transmisyjne, przez które odbywa się komunikacja, nie jest bezpieczne. Komputery przesyłające dalej dane ze źródła do miejsca docelowego, nie muszą obsługiwać IPSec. Model ten pozwala zastosować IPSec dla następujących istniejących scenariuszy sieci:

• Sieć lokalna (LAN, Local Area Network): klient/serwer, komunikacja komputerów równoprawnych
• Sieć rozległa (WAN, Wide Area Network): komunikacja między routerami i między bramami.
• Dostęp zdalny: klient mobilny, dostęp do Internetu z sieci prywatnych.

Ataki sieciowe często mogą być przyczyną niestabilnej pracy systemu, zmniejszenia efektywności i ujawnienia poufnych danych, zapewnienie odpowiedniego bezpieczeństwa danych przed ingerencją osób nieupoważnionych jest kwestią o wysokim priorytecie.

Strategie ochrony sieci zazwyczaj opierają się na zabezpieczeniach granicznych, uniemożliwieniu ataków z zewnątrz sieci prywatnej przez użycie tzw. Fire Wall - zapór ogniowych, na bramach sieciowych i uwierzytelnianiu użytkownikom dostępu telefonicznego. Nie zapewnia to jednak wystarczającej ochrony przed atakami wewnętrznymi.

Skupienie się tylko na zabezpieczeniach związanych z kontrolą dostępu przy użyciu na przykład kart inteligentnych i protokółu Kerberos nie gwarantuje kompleksowej ochrony, ponieważ metody te bazują na nazwach użytkowników i hasłach. Wiele komputerów jest używanych przez kilku użytkowników, co jest przyczyną faktu, że komputery te nie są odpowiednio zabezpieczone ze względu na częste pozostawianie ich w stanie zalogowania. Dodatkowo, jeśli nazwa użytkownika i hasło wejdą w posiadanie osoby do tego nieupoważnionej, zabezpieczenia oparte na samej kontroli dostępu nie będą wystarczającymi i nie będą w stanie zapobiec nielegalnemu dostępowi do zasobów sieci.
Taktyki ochrony na poziomie fizycznym, które nie znalazły powszechnego zastosowania, stanowią ochronę fizycznego okablowania sieci i punktów dostępu. Jest jednak mało prawdopodobne, aby mogło to zagwarantować ochronę na odpowiednim poziomie dla całej ścieżki sieciowej, po której dane muszą wędrować między źródłem a miejscem docelowym.

Najwyższy poziom zabezpieczeń zapewnia model „od końca do końca” realizowany przy wykorzystaniu IPSec: komputer źródłowy zabezpiecza każdy pakiet danych przed rozpoczęciem transmisji - zanim pakiet trafi do medium transmisyjnego - a komputer docelowy usuwa zabezpieczenia danych tylko po ich odebraniu i zweryfikowaniu. IPSec stanowi dobrą ochronę prywatnych danych w sieciach publicznych, dając mocną, opartą na kryptografii obronę przed zagrożeniem. Przesyłane dane są zabezpieczone pakiet po pakiecie, zamiast całej komunikacji łącznie. Używany w połączeniu z kontrolowaniem dostępu użytkownika, ochroną graniczną i zabezpieczeniami na poziomie fizycznym, IPSec zapewnia kompleksową ochronę przesyłanych danych.



Protokół zabezpieczeń IPSec stwarza bardzo dobre zabezpieczenie danych, takie, że bardzo trudne lub wręcz niemożliwe jest odebranie niesionej przez dane informacji przez osobę nieupoważnioną. Poziom ochrony zależy od poziomu zabezpieczeń określonego w strukturze założeń IPSec.
Protokół zabezpieczeń IPSec w dużym stopniu zapobiega atakom sieciowym opisanym wcześniej:

• Sniffery, brak prywatności. Protokół ESP (Encapsulating Security Payload) pozwala chronić poufność danych przez szyfrowanie pakietów IP.
• Modyfikacja danych. IPSec posługuje się kluczami opartymi na kryptografii, udostępnianymi tylko komputerom nadawcy i odbiorcy, które pozwalają utworzyć cyfrową sumę kontrolną każdego pakietu IP. Jakakolwiek modyfikacja danych pakietu spowoduje zmianę wartości sumy kontrolnej, co umożliwia wykrycie niepożądanej działalności przez komputer odbierający, że pakiet został zmodyfikowany w czasie transmisji.
• Identity spoofing, oparte na hasłach, z warstwy aplikacji i „denial of service”. IPSec umożliwia wymianę i weryfikację informacji o tożsamości, bez ujawnienia tej informacji osobie nieupoważnionej. Wzajemna weryfikacja (autoryzowanie) używana jest do ustanowienia relacji zaufania między komunikującymi się systemami. Tylko zaufane systemy mogą komunikować się.
• Man-in-the-middle. IPSec łączy wzajemne autoryzowanie z udostępnianymi kluczami opartymi na kryptografii.
• Denial-of-service. IPSec używa metodologii filtrowania pakietów IP jako podstawy określania czy połączenie jest możliwe, zabezpieczone czy zablokowane, w oparciu o zakresy adresów IP, protokoły lub nawet konkretne porty protokołów.



Zazwyczaj wykorzystanie zabezpieczeń na poziomie, jaki zapewnia IPSec, wymusza mniejsze lub większe zmiany systemu. Tymczasem implementacja strategiczna IPSec na poziomie transportowym IP – trzecia warstwa sieci, pozwala na uzyskanie bardzo wysokiego poziomu zabezpieczeń w sposób niewidoczny dla większości aplikacji, usług i protokołów wyższych warstw, przy niewielkim nakładzie: wdrożenie IPSec nie wymaga wprowadzania zmian do istniejących aplikacji i systemach operacyjnych, a założenia mogą być określane centralnie w Active Directory™ lub zarządzane lokalnie na komputerze.

Implementacja zabezpieczeń w trzeciej warstwie sieciowej stwarza ochronę protokołowi IP i wszystkim protokołom z warstw wyższych pakietu TCP/IP, takim jak TCP, UDP, ICMP, Raw oraz innym protokołom wysyłającym dane przy użyciu IP Główną zaletą zabezpieczania informacji na niskim poziomie jest możliwość używania aplikacji i usług korzystających z IP, bez potrzeby dokonywania zmian tych aplikacji lub usług.

Inne mechanizmy zabezpieczeń, działające powyżej warstwy 3, jak Secure Sockets Layer (SSL), zapewniają ochronę tylko tym aplikacjom, które są w stanie z nich skorzystać. Ochrona wszystkich aplikacji za pomocą SSL wymagałaby modyfikacji każdego programu. Mechanizmy zabezpieczeń stosowane w warstwach niższych niż trzecia, przykładowo szyfrowanie w warstwie połączenia, zapewniają ochronę jedynie konkretnemu połączeniu, a nie wszystkim połączeniom wzdłuż ścieżki danych. Uniemozliwia to szyfrowanie w warstwie połączenia dla internetowych połączeń typu „od końca do końca”.



Pomimo faktu, że mocne metody zabezpieczeń, które są oparte na szyfrowaniu, stały się koniecznością, mogą znacznie zwiększyć obciążenie administracyjne. IPSec pozwala uniknąć tej niedogodności, dzięki zarządzaniu opartemu na zasadach.

W miejsce interfejsów aplikacji (API) lub funkcji systemów operacyjnych, do konfiguracji protokołu zabezpieczeń IPSec wykorzystywane są Zasady. Zasady te tworzą różne poziomy bezpieczeństwa dla większości typów ruchu danych, w większości istniejących sieci.

IPSec jest wyposażony w kontrolę dostępu, pozwala administratorowi na sprecyzowanie konkretnych filtrów i ich akcji dla danej zasady IPSec. Dostępne są dwa typy kontroli dostępu: prosta filtracja pakietów IP i pomyślna autoryzacja. Ponadto akcje „zezwól” i „zablokuj” pozwalają na kontrolowanie typów pakietów IP wysyłanych lub odbieranych przez komputer lub adresów, z jakimi komputer może się komunikować.
Administratorzy zabezpieczeń sieci mają możliwość konfiguracji różnych zasad zabezpieczeń IPSec - od zasad dostosowanych do pojedynczego komputera do zasad dla całej domeny, witryny lub jednostki organizacyjnej usługi Active Directory.



Dzięki opartym na kryptografii mechanizmom IPSec umożliwia uzyskanie wysoki poziom bezpieczeństwa. Kryptografia pozwala na wymianę informacji w sposób bezpieczny i zaszyfrowany.

Do zabezpieczania informacji używane jest połączenie algorytmu i klucza:
• Algorytm to „przepis” postępowania pozwalająca zabezpieczyć informację.
• Klucz to tajny ciąg znaków lub liczba, wymagana do uzyskania dostępu do zabezpieczonych danych.