Заголовок аутентификации (AH)

Структура заголовка

Заголовок аутентификации (АН) обеспечивает поддержку целостности данных и аутентификации пакетов IP. Свойство целостности данных гарантирует невозможность незаметной модификации содержимого пакета в пути следования. Функция аутентификации дает возможность конечной системе или сетевому устройству идентифицировать пользователя или приложение и соответственно отфильтровать трафик, а также защититься от очень распространенных сегодня в Internet атак с подменой сетевых адресов. Заголовок АН также защищает от атак воспроизведения сообщений.

Заголовок аутентификации состоит из следующих полей.

Заголовок аутентификации IPSec.

• § Следующий заголовок. Идентифицирует тип заголовка, следующего непосредственно за данным заголовком
• § Длина полезного груза (8 битов). Длина заголовка аутентификации в 32-битовых словах, уменьшенная на 2.
• § Зарезервировано (16 битов). Для будущего использования.
• § Индекс параметров защиты (32 бита). Идентифицирует защищенную связь.
• § Порядковый номер (32 бита). Значение счетчика, для сервиса защиты от воспроизведения
• § Данные аутентификации (переменной длины). Поле переменной длины, содержащее MAC для данного пакета.

Атаки воспроизведения сообщений заключаются в том, что противник может получить экземпляр удостоверенного пакета и позже предъявить его предполагаемому адресату. Повторное получение одинаковых удостоверенных пакетов IP может каким-то образом нарушить сервис или иметь какие-то другие нежелательные последствия.

Использование AH в транспортном и туннельном режиме.

В этом подразделе мы рассмотрим область применения аутентификации, обеспечиваемой с помощью протокола АН, и размещение заголовка аутентификации в каждом из двух режимов. При этом случаи IPv4 и IPv6 несколько различаются.

Для транспортного режима АН с применением IPv4 данные АН размещаются непосредственно после оригинального заголовка IP и перед полезным грузом IP (например, сегментом TCP). Аутентификации подлежит весь пакет, за исключением изменяемых полей в заголовке IPv4, которые обнуляются для вычисления значения MAC.

В контексте IPv6 данные АН рассматриваются как полезный груз сквозной передачи; т. е. проверка и обработка этих данных промежуточными маршрутизаторами не предполагается. Поэтому данные АН размещаются после базового заголовка IPv6 и заголовков расширений транзита, маршрутизации и фрагментации. Заголовок расширения параметров адресации может размещаться до или после заголовка АН — в зависимости от требований семантики. Опять же, аутентификация предполагается для всего пакета, за исключением изменяемых полей, которые обнуляются для вычисления значения MAC.

Для туннельного режима АН удостоверяется весь оригинальный пакет IP, a заголовок АН вставляется между оригинальным заголовком IP и новым внешним заголовком IP. Внутренний заголовок IP несет адреса оригинальных источника и адресата, в то время как внешний заголовок IP может содержать совершенно другие адреса IP (например, адреса брандмауэров или других шлюзов защиты).

В туннельном режиме весь внутренний пакет IP, включая весь внутренний заголовок IP, защищается средствами АН. Внешний заголовок IP (а в случае IPv6 и внешние заголовки расширений IP) защищается с исключением изменяемых и непрогнозируемых по значению полей.