OSYSTEM Ingen ursäkt för osäkert IP längre
IPsec, det vill säga Internetprotokollet med säkerhetsfunktioner för bland annat autenticering och kryptering, finns nu inbyggt i de flesta nya operativsystem. Det finns därför ingen ursäkt för att inte använda det för all viktig nättrafik, framförallt för uppringda förbindelser och i fjärrbryggor.
Operativ med IPsec är till exempel Windows 2000, Solaris 8, OpenBSD och Cisco IOS. Tyvärr har den flitigt använda Linux-kärnan inte IPsec i nuvarande version. Arbetsgruppen FreeSWAN har dock tagit fram en fungerande version som distribueras som lappar för olika versioner av kärnan.
Förhoppningvis kommer Linux 2.4 att släppas med IPsec integrerat. Redan idag skickar vissa företag, bland annat Suse, med en lappad kärna där IPsec ingår.
Förenklat - två funktioner:
Autenticering används så att mottagaren verkligen vet att ett paket kommer från den avsändare det ger sig ut för att komma från, samt att paketet inte har förändrats på vägen.
Kryptering av data används för att skydda själva informationen så att ingen obehörig kan läsa den på vägen.
Det tar enormt mycket datakraft att kryptera. Det är därför ingen bra idé att kryptera all data från exempelvis filservrar. Det går i och för att stoppa i instickskort med speciella kryptoprocessorer för att snabba upp kommunikationen om fildelningen avser speciellt känsliga data. Växlar i lokalnätet brukar annars ge hyfsat skydd mot avlyssning av paket. Däremot ska givetvis fjärrlänkar krypteras.
Observera också att de flesta IPsec-implementationer arbetar på maskinnivå, inte användarnivå. Protokollet ger alltså inget skydd mot fusk eller obehöriga användare på en dator - det förväntas datorns operativsystem klara. IPsec skyddar bara mot angrepp utifrån.
Det som krävs för att få IPsec att fungera är en infrastruktur för nyckeldistribution. Det smidigaste är serverbaserad nyckeldistribution med öppna nycklar. Vanligaste metoden är kanske med ISAKMP-standarden (Internet Security Association and Key Management Protocol). Men det går också att för hand gå runt till varje maskin och stoppa in kryptonycklar.
I en en väl genomtänkt nyckeldistribution finns kryptonycklarna lagrade som signerade X.509-certifikat i en central LDAP-katalog. Det är på så vis lätt att integrera hanteringen med övriga kryptonycklar för exempelvis e-post.
Men det räcker inte med enbart kryptering och autenticering. I känsliga tillämpningar bör också andra kryptografiska metoder användas, exempelvis påfyllning av slumpartat skräp före och efter riktiga data samt trafikfyllnad med låtsaspaket som efterliknar riktiga datapaket. I annat fall kan en eventuell angripare få fram ganska mycket uppgifter om system och användning genom trafikanalys, det vill säga genom att bara hålla reda på när paket kommer och hur stora de är.
Inga standardoperativsystem sköter »skräptrafik» automatiskt utan det krävs anpassade tillämpningar eller speciella program för att generera trafiken.
Att tänka på är också att kryptering hindrar brandväggar och inkräktarlarm från att fungera. Det enda de kan göra är att släppa igenom krypterad trafik baserat på vilken adress den kommer från och ska till.
Hur fungerar IPsec?
Det finns i grunden två olika IPsec-protokoll, AH (Authentication Header) och ESP (Encapsulated Security Protocol). AH garanterar bara äkthet medan ESP dessutom skyddar data.
Bägge protokollen kan dessutom användas i två lägen: transport eller tunnel. Transportläget används för direkt kommunikation mellan två IP-enheter, exempelvis klient och server, medan tunnelläget är avsett för att koppla ihop lokalnät över Internet och därför mest används av routrar.
Skillnaderna mellan tunnel och transport är att transportpaket bara innehåller sin egen IP-adress, samt nyttolasten med data. Endast nyttolasten skyddas mot avlyssning då ESP används.
Tunnelprotokollet tar hela originalpaket, inklusive avsändar- och mottagaradress, och kapslar in det i ett nytt IP-paket med egen adressering. Används ESP i tunnelläge skyddas alltså även adresserna mot avlyssning.
Varje metod kan dessutom användas med en uppsjö av autenticerings- och krypteringsalgoritmer. Det är därför inte helt säkert att olika tillverkares implementationer kan kommunicera med varandra. Man bör därför köpa en lösning där leverantören eller tillverkaren har testat alla ingående produkter mot varandarna och kan garantera funktionen.
Text : Ola Sigurdson