عمومي

IP مخفف Internet Protocol است كه اصلي ترين پروتكل مسيريابي است كه در بستر اينترنت مورد استفاده قرار مي گيرد. اين پروتكل مشخص مي كند كه داده ها، چه مسيري را بايد طي كنند و به كدام مقصد برسند. اما پروتكل IPSec، رمزگذاري و احراز هويت را نيز به اين فرايند اضافه ميكند.

رمزنگاري داده چيست

رمزگذاري فرآيند پنهان كردن اطلاعات است كه در آن داده ها را با استفاده از فرمول‌هاي رياضي دستكاري كرده تا به صورت تصادفي ظاهر شوند . به عبارت ساده تر، رمزگذاري استفاده از كدي مخفي است كه فقط اشخاص مجاز مي توانند آن را بفهمند و تفسير كنند.

IpSec ساخت كيست؟

اين پروتكل محصول مشترك مايكروسافت و سيسكو | Cisco سيستمز است كه به وسيلهٔ احراز هويت و رمزگذاري در هر بسته ديتا (packet) در يك سير داده كار ميكند.

عناصر تشكيل دهنده IPSec

IPDec Driver: نرم افزاريست كه مراحل عملكردي پروتكل را كه شامل رمزكردن، رمزگشايي، احراز هويت و تشخصي بسته است را انجام ميدهد.

Internet Key Exchange (IKE): IKE يك پروتكل IPSec است كه كليدهاي امنيتي را براي IPSec و ديگر پروتكل ها ايجاد ميكند.

(Internet Security Association Key Management Protocol (ISAKMP: يك پروتكل IPSec است كه به دو كامپيوتر اين اجازه را ميدهد تا با اطلاعات رمز شده بهمراه تنظيمات معمول آن با هم ارتباط برقرار كنند. علاوه بر اين، ISAKMP تبادل كليدها را نيز امن ميكند.

Oakley: پروتكلي است كه از الگوريتم Diffie-Hellman براي ايجاد يك كليد اصلي و همچنين كليدي كه خاص هر session است استفاده ميكند.

IPSec Policy Agent: سري مجموعه هايي از ويندوز سرور 2000 است كه تنظيمات پاليسي IPSec را از اكتيو دايركتوري جمع اوري كرده و در تنظيمات ساختاري هنگام استارت آپ آن را اعمال ميكند.

IPsec از چه پورت اي استفاده مي كند؟

پورت نرم افزاري يا پورت پچ كورد شبكه جايي است كه اطلاعات ارسال مي‌شود. به عبارت ديگر پورت مكاني است كه داده ها از طريق آن به كامپيوتر يا سرور وارد و يا از آن خارج مي شوند و به هر يك از اين درگاه ها يك عدد نسبت داده مي شود كه اين اعداد بين 0 تا 65535 مي باشند. IPsec هم براي انجام الگوريتم ها ي رمزگذاري و رمزگزگشايي معمولاً از پورت 500 استفاده مي كند.

IPsec چگونه MSS و MTU را تحت تأثير قرار مي دهد؟

دو واحد اندازه گيري از اندازه بسته ها هستند. MSS يا (Maximum Segment Size) اندازه ديتاي هر بسته را اندازه گيري مي كند. در حالي كه MTU (Maximum Transmission Unit) كل بسته از جمله هدر ها را اندازه گيري مي كند. بسته هايي كه از MTU شبكه بيشتر است ، تكه تكه fragmented مي شوند ، به اين معني كه در بسته هاي كوچكتر تقسيم مي شوند. بسته هايي كه از MSS بيشتر باشند به راحتي حذف مي شوند.

پروتكل IPsec چند هدر و تريلر را به بسته ها اضافه مي كنند ، كه همه آنها چندين بايت را مي گيرند. براي شبكه هايي كه از IPsec استفاده مي كنند بايد MSS و MTU را مطابق با آن تنظيم كرد يا بسته ها تكه تكه شوند و كمي تأخير اضافه كنند. معمولاً MTU براي يك شبكه ۱۵۰۰ بايت است. يك هدر IP معمولي ۲۰ بايت طول دارد و يك هدر TCP نيز ۲۰ بايت طول دارد ، بدين معني كه هر بسته مي تواند حاوي ۱۴۶۰ بايت بار باشد. با اين حال ، IPsec يك هدر تأييد اعتبار ، يك هدر ESP و تريلرهاي مرتبط با آن اضافه مي كند. اينها ۵۰-۶۰ بايت را به يك بسته اضافه مي كنند.

نحوه تفسير داده ها در پروتكل IPSec

داده هايي كه در تمام شبكه ها تبادل مي‌شوند به دسته بندي هاي كوچكتر به نام بسته ها تقسيم مي شوند. بسته ها حاوي مقدار بار (payload) يا داده هاي اصلي ارسال شده ، و هدر header كه اطلاعاتي در مورد آن داده ها هستند مي‌باشد. اين نوع تقسيم بندي به سيستم هايي كه بسته ها را دريافت مي كنند كمك مي‌كند تا بدانند كه با آنها چه كاري انجام دهند. در هر بارگزاري، IPsec چندين هدر به بسته هاي داده اضافه مي‌كند كه شامل اطلاعاتي از قبيل احراز و رمزگذاري است.

انواع پروتكل امنيتي آي پي سك IPSec

IPsec يك استاندارد منبع باز و بخشي از مجموعه IPv4 است. IPsec هم مي‌تواند در دو حالت transport mode و هم در حالت tunnel mode ارتباط طرفين را برقرار كند. IPsec يك استاندارد جهاني است و مي‌تواند با استفاد از مجموعه‌اي از پروتكل‌هايي كه استفاده مي‌كند انواع و اقسام فرآيندهاي امنيتي را انجام دهد، از جمله پروتكل‌هاي مورد استفاده در IPsec مي‌توان به Authentication Header يا AH براي مقابله با حملات Replay، پروتكل Encapsulating Security Payload يا ESP براي دادن قابليت محرمانگي به داده‌ها و در نهايت Security Associations يا SA براي ايجاد داده‌هاي مورد استفاده در AH و ESP اشاره كرد.

IPSec AH protocol

پروتكل Authentication Header (AH) در اوايل دهه 1990 در آزمايشگاه تحقيقات نيروي دريايي ايالات متحده ايجاد شد. اين پروتوكل با احراز هويت بسته هاي IP، امنيت منبع داده را تضمين مي‌كند. در اين الگوريتم با استفاده از روش sliding window و حذف بسته هاي قديمي و اختصاص دادن يك شماره توالي از محتواي بسته IPsec در برابر حملات مانند replay attacks محافظت مي‌كند. در واقع با اين تكنيك تنها مي‌توان مطمئن بود بسته هاي داده از يك منبع معتبر ارسال شده و دستكاري نشده اند.

در اين حالت هم پيلود و هم هدر رمزنگاري مي شود . به جاي AH از اصطلاح Tunnel هم استفاده مي شود . حفاظت تمام داده ها توسط HMAC انجام مي شود. و فقط نقاط نظير به نظير از كليد سري كه توسط HMAC ساخته شده خبر دارند و مي توانند رمزگشايي كنند . و همان طور كه گفته شد چون هدرها هم رمزنگاري مي شوند و قابل تغيير نيست در شبكه هايي كه NAT انجام مي شود نمي توان از سرويس اين نام مجاز نمي باشد استفاده كرد .

IP Encapsulating Security Payload (ESP)

پروتكل IP Encapsulating Security Payload (ESP) در آزمايشگاه تحقيقات نيروي دريايي از سال 1992 به عنوان بخشي از يك پروژه تحقيقاتي تحت حمايت DARPA ايجاد شد. كار اين پروتكول ضمانت اصالت داده ها را از طريق الگوريتم تصديق منبع ، يكپارچگي داده ها را از طريق تابع هش (Hash function) و محرمانه بودن را با رمزگذاري بسته هاي IP فراهم مي كند. ESP در تنظيمات و پيكربندي‌هاي كه يا فقط از رمزگذاري و يا فقط از احراز هويت پشتيباني مي كنند، به كار مي‌رود. اين يك نوع ضعف محسوب مي‌شود زيرا كه استفاده از رمزگذاري بدون احراز هويت ناامن است.

در اين حالت فقط پيلود رمزنگاري مي شود و هدرها بدون تغييري به همان صورت باقي مي مانند . به جاي ESP از اصطلاح Transport هم استفاده مي شود . در اين روش هر دو طرف بايد عمليات اهراز هويت انجام دهند و همچنين داده ها به صورت رمزنگاري شده ارسال مي شود.

در واقع برخلاف پروتكل AH پروتكل ESP در حالت Transport يكپارچگي و احراز هويت را براي كل بسته IP فراهم نمي كند. در حالت Tunnel، جايي كه كل بسته اصلي IP با يك هدر بسته جديد قرار دارد ، ESP از كل بسته IP داخلي (از جمله هدر داخلي) محافظت مي‌كند در حالي كه هدر خارجي (شامل گزينه هاي IPv4 خارجي يا پسوند IPv6) محافظت نشده باقي مي‌مانند.

Security association

پروتكل هاي IPsec از يك انجمن امنيتي Security association استفاده كنند تا دو طرفي كه باهم در ارتباط هستند ويژگيهاي امنيتي مشتركي مانند الگوريتم ها و كليدها را ايجاد كنند. در واقع هنگامي كه مشخص شود پروتكل AH يا ESP استفاده مي شود ،Security association طيف وسيعي از گزينه ها را فراهم مي كند. قبل از تبادل داده، دو ميزبان توافق مي كنند كه از كدام الگوريتم براي رمزگذاري بسته IP استفاده شود تابع هش براي اطمينان از يكپارچگي داده ها استفاده مي شود. اين پارامترها در هر جلسه كه عمر (زمان) مشخصي دارد توافق مي شوند و هم‌چنين براي هر جلسه بايد يك كليد اختصاصي نيز تايين شود.

پچ كورد شبكه