Please enable JavaScript.

Coggle requires JavaScript to display documents.

Lezione 28: IPSec - Coggle Diagram

- - - - L'utente dotato di IPSec accede a una o più reti aziendali attraverso una rete pubblica.
        
        Tali reti aziendali sono anch'esse protette da IPSec sul loro gateway di ingresso ma non al loro interno
        
        La parte in ingresso al gateway è di tipo IP traffic protected by IPSec
        
        La rete interna non è protetta
        
        L'accesso dell'utente a internet è di tipo IP traffic protected by IPSec
        
        Il tunnel virtuale che collega porta l'utente verso il gateway è protetto da IPSec
- - - - Tunnel: Protezione dell'intero pacchetto IP
        
        Una volta che sono stati aggiunti i campi AH o ESP, l'intero pacchetto e i campi di sicurezza vengono trattati come payload del nuovo pacchetto IP
      - Trasporto: si realizza la protezione dei protocolli a livello superiore (payload pacchetto IP)
        
        AH autentica il payload IP e determinate parti dell'intestazione IP
        
        Payload non cifrato ma autenticato
        
        ESP esegue la crittografia e, opzionalmente, autentica il payload IP
        
        Payload cifrato
    - - Impedisce IP spoofing e attacchi replay
    - - Le due parti devono condividere una chiave segreta
    - - Prima word (32 bit)
        
        Payload length (8 bit)
        
        Lunghezza di AH - 2 word
        
        Next header, payload length, reserved e SPI (prime due word) non vengono considerati
        
        Reserved
        
        Next header (8 bit): identifica il tipo di intestazione che segue
      - SPI (32 bit)
        
        Identifica SA
      - Sequence number
        
        Contatore incrementale
        
        Impedisce attacchi replay
        
        Protocollo IP non garantisce ordine e consegna, il ricevitore implementa una finestra di dimensioni w=64 e i pacchetti a sinistra della finestra non vengono accettati
        
        Se il Sequence number è all'interno della finestra anti-replay e il codice MAC è verificato il pacchetto viene accettato
        
        Vengono considerati come pacchetti "passati" e quindi a rischio di replay
        
        Se si riceve un pacchetto che sta a destra della finestra, questa viene spostata in avanti
        
        Assume valori da 0 a 2^32-1
        
        Terminati occorre negoziare una nuova SA
      - Authentication data (variabile)
        
        Contiene codice MAC
        
        Viene calcolato sulla base degli elementi che non cambiano durante la trasmissione
        
        Altrimenti il checksum di origine non potrebbe essere uguale a quello di destinazione
        
        Se alcune parti cambiano vengono messe a 0 nel calcolo del MAC
        
        I campi utilizzati sono
        
        Intestazione AH
        
        Tranne il campo authentication data che è mutabile
        
        Dati del protocollo di livello superiore (immutabili)
        
        Campi di intestazione IP (immutabili)
    - - Nel trasporto AH viene inserito dopo l'intestazione IP originaria e prima del payload IP
        
        Si autentica il payload del pacchetto IP ma intestazione rimane tale
      - Nel tunnel AH viene inserito tra l'intestazione originaria IP e quella esterna
        
        Si autentica tutto il pacchetto IP
        
        L'intestazione interna trasporta gli indirizzi d'origine e di destinazione finali, quella esterna può contenere indirizzi IP differenti come quelli del firewall o altri gateway di sicurezza
  - - - Indirizzo IP di destinazione
      - Identificatore protocollo di sicurezza: AH o ESP
      - SPI (Security Parameters Index): identifica la SA ed è trasportato nelle intestazioni AH e ESP