Архитектура защиты на уровне IP
IPSec обеспечивает сервис защиты на уровне IP, позволяя системе выбрать необходимые протоколы защиты, определить алгоритм (алгоритмы) для соответствующего сервиса (сервисов) и задать значения любых криптографических ключей, требуемых для запрошенного сервиса. Для защиты используется два протокола: протокол аутентификации, указанный заголовком данного протокола (заголовком аутентификации АН), и комбинированный протокол шифрования/аутентификации, определенный форматом пакета для этого протокола (протокола ESP). В данном случае обеспечиваются следующие виды сервиса:
- * контроль доступа;
- * целостность без установления соединений;
- * аутентификация источника данных;
- * отторжение воспроизведенных пакетов (форма целостности последовательностей);
- * конфиденциальность (шифрование);
- * ограниченная конфиденциальность транспортного потока.
В случае ESP есть два варианта: с использованием и без использования опции аутентификации. Как АН, так и ESP имеют возможности контроля доступа, основанного на распределении криптографических ключей и управлении транспортными потоками, относящимися к этим протоколам защиты.
|
Вид сервиса. | AH. | ESP (только шифрование). | ESP (шифрование и аутентификация). |
Контроль доступа. |
Целостность без установления соединений. |
Аутентификация источника данных. |
Отторжение воспроизведенных пакетов. |
Конфиденциальность. |
Ограниченная конфиденциальность транспортного потока. |
Ключевым объектом в механизмах аутентификации и конфиденциальности для IP является защищенная связь (Security Association). Связь представляет собой одностороннее отношение между отправителем и получателем, применяющим сервис защиты к транспортному потоку. Сервис защиты предоставляет возможность для защищенной связи использовать либо АН, либо ESP, но никак не обе эти возможности одновременно…
Функциональные возможности транспортного и туннельного режимов
|
Вид заголовка. | Транспортный режим защищенной связи. | Туннельный режим защищенной связи. |
АН. | Идентифицирует полезный груз IP, а также отдельные части заголовка IP и заголовков расширений IPv6. | Идентифицирует весь внутренний пакет IP (заголовок и полезный груз внутреннего пакета IP), а также отдельные части внешнего заголовка IP и внешних заголовков расширений IPv6. |
ESP. | Шифрует полезный груз IP и все заголовки расширений IPv6, следующие за заголовком ESP. | Шифрует внутренний пакет IP. |
ESP с аутентификацией. | Шифрует полезный груз IP и все заголовки расширений IPv6, следующие за заголовком ESP. Идентифицирует полезный груз IP, но не заголовок IP. | Шифрует внутренний пакет IP. Идентифицирует внутренний пакет IP. |
