10.3. Спецификации iPsec.

Спецификации IPsec определяются рядом документов. Наиболее важные из них были опубликованы в ноябре 1998 года. Это документы RFC с номерами 2401, 2402, 2406 и 2408. Они содержат

• RFC 2401 – обзор архитектуры защиты;

• RFC 2402 – описание расширений аутентификации пакетов IPv4 и IPv6;

• RFC 2406 – описание расширений шифрования пакетов IPv4 и IPv6;

• RFC 2408 – спецификации средств управления ключами.

Поддержка этих возможностей обязательна для IPv6, и допустима, но не обязательна для IPv4.

10.3.1. Защищенные связи

Ключевым моментом протокола IPsec является понятие защищенной связи (Security Assotiation). Связь представляет собой одностороннее отношение между отправителем и получателем, использующим защищенное соединение. Если необходим двухсторонний защищенный обмен, то необходимо создавать две защищенные связи. Отметим, что защищенная связь используется либо в режиме AH – заголовка аутентификации, либо в режиме ESP – защищенного содержимого IP-пакета, но не в обоих одновременно. Защищенная связь однозначно определяется следующими тремя параметрами:

1. Индекс параметров защиты – строка битов, присваиваемая данной защищенной связи. Передается в заголовках AH и ESP, чтобы принимающая сторона могла правильно обработать принимаемый пакет;

2. Адрес IP пункта назначения;

3. Идентификатор протокола защиты. Определяет, является ли данная защищенная связь связью AH или это ESP связь;

Параметры защищенной связи. Защищенная связь характеризуется следующими параметрами:

• Счетчик порядкового номера. 32-битовое значение, используемое при генерации значений поля порядкового номера в заголовках AH или ESP;

• Флаг переполнения счетчика порядкового номера. При переполнении счетчика порядкового номера генерирует событие прекращения передачи пакетов а рамках этой защищенной связи.

• Окно защиты от воспроизведения. Используется для выявления повторных пакетов среди прибывающих пакетов AH или ESP;

• Информация AH. Алгоритм аутентификации, ключи, параметры продолжительности жизни ключей и другие необходимые параметры.

• Информация ESP. Алгоритм аутентификации и шифрования, ключи, значения инициализации, параметры продолжительности жизни ключей и другие необходимые параметры.

• Продолжительность жизни данной защищенной связи. Интервал времени, в течение которого действительна данная защищенная связь.

• Режим протокола IPsec. Туннельный, транспортный или задаваемый групповым символом.

• Максимальная единица передачи (Maximum Transmission Unit MTU). Максимальный размер пакета, который может быть передан без фрагментирования.

Ассоциация потока данных с защищенными связями осуществляется с помощью базы данных политики защиты (Security Policy Database). В простейшей форме эта база данных представляет собой набор записей, определяющих некоторые подмножества потока IP и защищенные связи для этих потоков. Каждая запись состоит из наборов значений полей протокола IP и протоколов более высокого уровня (TCP, UDP, ICMP). Эти поля называются селекторами (например, селектором может быть IP-адрес получателя). Каждый передаваемый IP-пакет обрабатывается следующим образом:

Сравниваются значения соответствующих полей пакета (селекторов) с полями базами данных. В случае успеха находится некоторое число защищенных связей, удовлетворяющих критерию отбора.

Определяется защищенная связь и соответствующий индекс параметров защиты для данного пакета.

Выполняются необходимые операции IPsec (т.е. обработка AH или ESP).

В качестве селекторов базы данных политики защиты могут быть следующие поля:

Адрес IP пункта назначения;

Адрес IP пункта отправления;

Идентификатор пользователя (UserID);

Гриф секретности данных;

Протокол транспортного уровня;

Протокол IPsec – AH, ESP или AH/ESP;

Порты источника или порты адресата;