IPsec
(IP Security)

History/ Vorbemerkung

Das IPsec-Protokoll ist ein "Ableger" der IPv6-Arbeitsgruppe der IETF (Internet Engineering Task Force). Bei der Entwicklung von IPv6 waren sich alle Beteiligten darin einig, dass eine sichere Datenübertragung wichtig für den Erfolg des Internets und damit auch des neuen Protokolles sein würde. Während der Entwicklung der "IPv6-Sicherheitsprotokolles" erkannte man jedoch - nicht zuletzt auch aufgrund des Marktdrucks - dass Sicherheit nicht nur ein Bestandteil des neuen IP-Protokolles sein dürfe. Daraufhin verlagerte man diesse Aktivitäten in eine eigene Arbeitsgruppe der IETF, die IPsec (IP Security), die ihre Aktivitäten unabhängig der IP-Version vorantrieb. So ist IPsec nicht nur für IPv6, sondern - vor allem - für das "alte" IP-Protokoll (Version 4) verfügbar.
Mit IPsec existiert nun ein Standard, der den Aufbau von sicheren IP-Verbindungen (z.B. VPN-Verbindungen) ermöglicht.
IPsec beinhaltet vier wichtige Sicherheitsfunktionen:

    1. Verschlüsselung - als Schutz gegen unbefugtes Mitlesen
    2. Authentisierung der Nachricht - zum Beweis der Unverfälschtheit einer Nachricht (Paketintegrität)
    3. Authentisierung des Absenders - zur unzweifelhaften Zuordnung eines Senders/ Empfängers (Paketauthentizität)
    4. Verwaltung von Schlüsseln

IPsec unterstützt (bisher) keine Broadcasts und kein dynamisches Routing. Auch die Überprüfung der Existenz eines VPN-Tunnels (Alive Pakete) ist bisher nocht nicht zufriedenstellend standardisiert.

Verschlüsselung

Die Verschlüsselung erfolgt über die sog. ESP (Encapsulation Security Payload) und unterstützt prinzipiell alle verfügbaren Verschlüsselungsalgorithmen (s.u.).
IPsec kennt zwei Betriebsmodi: Der Transportmodus und den Tunnelmodus.

Transportmodus

Im Transportmodus wird ausschließlich der Datenteil (Nutzdaten/ "Payload") des IP-Paketes verschlüsselt. Alle anderen Teile der Nachricht (also im Prinzip der IP-Header) bleiben unverändert. Den Nutzdaten wird nur der ESP-Header vorangestellt. Dieses Verfahren wird zur Übertragung von kritischen Informationen (z.B. Passwords) verwendet.

Tunnelmodus

Im Tunnelmodus wird das komplette IP-Paket vor der Übertragung verschlüsselt und mit einem neuen IP-Header versehen, der die Daten für das Ziel-Gateway enthält. Auf diese Weise können transparente Verbindungen zwischen zwei Firmenstandorten über das Internet hergestellt werden oder ein einzelner Rechner (z.B. Notebook) über ein öffentliches (IP-)Netzwerk mit einem Firmennetz verbunden werden. Man spricht in beiden Fällen von einem sog. VPN.
Das Paket hat dann folgendes Aussehen (rot = verschlüsselt):

[IP-Header (neu)] - [ESP-Header] - [IP Header (Orginal)] - [Daten] - [ESP-Trailer]

Architektur

Die zentralen Funktionen in der IPsec-Architektur sind das AH-Protokoll (Authentification Header), das ESP-Protokoll (Encapsulating Security Payload) und die Schlüsselverwaltung (Key Management).

Authentisierung (AH)

Das AH-Protokoll sorgt für die Authentisierung der zu übertragenen Daten und Protokollinformationen. AH wird zum Schutz der Paketintegrität und der Paketauthentizität eingesetzt. Die Erfolgt über ein Hashing-Verfahren (MD5 und SHA). Da der äußere IP-Header in die Hashprüfung mit einbezogen wird, ist auf AH-Pakete keine Art von NAT anwendbar.
Im AH-Paket befindet sich, neben verschiedenen anderen Feldern, der Security Profile Index (SPI) und eine Sequenznummer. Diese Sequenznummer kann zum Schutz vor Replay-Attacks verwendet werden.
AH nutzt die IP-Protokoll-Nummer 51.
Das AH-Protokoll kann sowohl im Transport-, als auch im Tunnelmodus eingesetzt werden.

Verschlüsselung (ESP)

Das ESP-Protokoll dient der Verschlüsselung eines Datenpaketes und über Hashing-Verfahren auch zur Integritätssicherung. Zur Verschlüsselung können beliebige Encryption-Verfahren eingesetzt werden. Allerdings muss DES unterstützt werden (in der Praxis wird meistens auch 3DES implementiert). Als Hashing-Verfahren müssen MD5-96 und SHA-96 verfügbar sein.
Im ESP-Header befindet sich - vergleichbar mit dem AH-Paket - der Security Profile Index (SPI) und eine Sequenznummer!

ESP nutzt die IP-Protokoll-Nummer 50.

Schlüsselverwaltung (Key Management)

Zur Schlüsselverwaltung gibt es zwei Wege, um die Verwaltung und Verteilung der Schlüssel durchzuführen. Neben der reinen - heute nicht mehr sehr gebräuchlichen - manuellen Schlüsselverwaltung, kann auch das Internet Key Exchange Protocol (IKE) eingesetzt werden. Um eine gesicherte Verbindung zwischen zwei Stationen aufbauen zu können, müssen auf beiden Seiten viele Parameter ausgetauscht werden: Art der gesicherten Übertragung (Authentisierung oder Verschlüsselung), Verschlüsselungsalgorithmus, "Schlüssel", Dauer der Gültigkeit der Schlüssel etc. Alle diese Parameter werden in der Security Association (SA) beschrieben. Jede gesicherte Verbindung bedarf einer solcher SA für jedes genutzte IPsec-Protokoll an jedem Ende einer logischen Verbindung.
Die IKE Mainmethode unterstützt keine dynamischen IP-Adressen und keine Art von NAT! Für solche Fälle muss die IKE Aggressive Methode eingesetzt werden, bei der ein Angreifer den Initiator einer Verbindung feststellen kann.
IKE nutzt den UDP-Port 500.

Neben IPsec werden auch noch andere Protokolle zum Aufbau von VPNs genutzt - weitere Infos finden Sie auf meiner Seite über Tunneling Protokolle.
Außerdem finden Sie in meiner Schulung eine weitere grafische Darstellung zum Thema IPsec und IPsec-Tunnel.


Links

RFC 2401 IPsec Architektur
RFC 2402 IP Authentication Header (AH)
RFC 2403 AH mit MD5-96
RFC 2404 AH mit SHA-1-96
RFC 2405 ESP mit DES-CBC
RFC 2406 Encapsulation Security Payload (ESP)
RFC 2408 ISAKMP
RFC 2409 Internet Key Exchange (IKE)


Weitere Fragen posten Sie bitte in meinem Internet- und Security-Forum!
In besonderen Fällen stehe ich Ihnen auch gerne per E-Mail zur Verfügung!

Homepage [zurück zur TCP/IP-Seite]

(Diese Seite wurde am 28.4.2002 erstellt,
der letzte Update fand statt am 19.2.2005


Dieses Angebot ist erreichbar über http://www.tcp-ip-info.de, http://www.trojaner-und-sicherheit.de, http://www.internet-und-sicherheit.de und http://www.tcp-ip.de.gg