AH yoxsa ESP? Paketin nəyi qorumalı olduğuna görə qərar verin

İki IPsec təklifi eyni SHA əsaslı bütövlük alqoritmini göstərib fərqli müdafiə protokolu tələb edə bilər; AH və ESP eyni autentifikasiya parametrinin iki yazılışı deyil. Əvvəl protokolu, sonra onun alqoritmlərini, sonra rejimini oxuyun və qeyri-müəyyənliyin çoxu yox olur. AH paketi, o cümlədən yolda dəyişməyən IP başlığı sahələrini autentifikasiya edir; ESP isə öz içində saxladığını autentifikasiya və şifrələyir, xarici başlığa toxunmur. Bu fərq istənilən hash adından çox yerləşdirməni müəyyən edir.

AH-ın ESP-dən əlavə nəyi əhatə etdiyi

AH bütövlük, məlumat mənbəyinin autentifikasiyası və özünün təyin etdiyi anti-replay xidmətini verir, heç bir məxfilik vermir. Əhatəyə yuxarı qat məlumatları və qaydalarının dəyişməz saydığı IP başlığı sahələri daxildir; ESP-nin transport rejimində kənarda qoyduğu hissə məhz budur. Tələb IP başlığının özünün autentifikasiyasını istəyirsə, cavab verən protokol AH-dır.

Bu əhatə AH-ın sahədə kövrək olmasının səbəbidir də. TTL, başlıq yoxlama cəmi və bəzi seçimlər kimi dəyişkən sahələr autentifikasiya edilə bilməz, çünki marşrutlaşdırıcılar onları yenidən yaza bilər; protokol yoxlama hesablanmadan əvvəl onları sıfırlayır. Ona görə ünvanları yenidən yazan hər şey yalnız siyasəti deyil, hesablamanı da pozur.

NAT seçimi məhdudiyyətə çevirir

Ünvan çevrilməsi AH-ın indicə autentifikasiya etdiyi IP başlığındakı mənbəni və ya təyinatı yenidən yazır, ona görə bütövlük yoxlaması qarşı tərəfdə uğursuz olur və bu, oxuna bilən mesaj deyil, protokol xətası kimi baş verir. ESP xarici başlığı autentifikasiya etmir; buna görə NAT traversal ilə ESP işləyir, NAT arxasında AH isə işləmir. Tərəfləri adi marşrutlaşdırıcıların arxasında olan tunel bunun ilk göründüyü yerdir. Deməli ilk sual hansı protokolun güclü olması deyil, tərəflər arasında çeviricinin olub-olmadığıdır.

Əgər varsa, AH kənarda qalır və söhbət ESP-yə və onun alqoritm seçimlərinə keçir. Bu, üstünlük deyil, məhdudiyyətdir; buna görə qərarın sonuna deyil, başına aiddir.

Rejim sualı çoxaldır

ESP transport rejimində yuxarı qat yükünü qoruyur və IP başlığına toxunmur; tunnel rejimində bütün daxili paketi, o cümlədən daxili IP başlığını əhatə edir və onu qoruyur. AH-da eyni iki rejim var, yəni AH və ya ESP hər hansı alqoritm seçilməzdən əvvəl əslində dörd kombinasiyadır.

Birləşmiş rejimli ESP alqoritmləri bütövlüyü ikinci protokol olmadan həll edir. AES-GCM və ChaCha20-Poly1305 bir quruluşda həm autentifikasiya, həm şifrələmə edir, ona görə üstünə AH əlavə etmək heç nə qazandırmır, əksinə əlavə başlıq və əlavə danışıq xərci gətirir. Memarlıq AH ilə ESP-nin birlikdə işləməsinə icazə verir və praktik sual şlüzünüzün və buraxılışınızın bu kombinasiyanı dəstəkləyib-dəstəkləmədiyi və sonradan kimsə onu saxlaya bilərmi sualıdır.

Yalnız AH üçün dürüst əvəz

Yalnız bütövlük üçün ESP variantı alqoritmi saxlayır və şifrələmə iddiasını saxtalaşdırmaq əvəzinə ondan imtina edir, həm də NAT-dan keçir. Əgər köhnə layihə məxfilik olmadan autentifikasiya lazım olduğu üçün AH istifadə edirdisə, həmin variant birbaşa tərcümədir, üzərinə qeyd yapışdırılmış şifrəli tunel deyil.

Təklifdə ESP görmək də şifrələmənin sübutu deyil. Şifrələmə alqoritmini oxuyun: NULL şifrələmə qeydi yalnız bütövlük, birləşmiş rejim qeydi isə hər ikisi deməkdir.

Üç sualla qərar verin

Məxfilik tələb olunurmu, yolda çevirici varmı və hansı başlıq sahələri autentifikasiya edilməlidir? Bu üç cavab bir protokolu və bir rejimi göstərir; onları yazmaq sonra RFC-ləri yenidən oxumaqdan az vaxt alır.

Sonra təklif ediləni deyil, qəbul ediləni yoxlayın. ip xfrm state quraşdırılmış assosiasiyanın protokolunu, rejimini və alqoritmlərini göstərir; uyğunsuzluq heç nə quraşdırmır ki, bu da niyyət etdiyiniz müdafiə olmadan qalxan tuneldən daha təmiz uğursuzluqdur.

Autentifikasiya xətalarını, selektor əhatəsini və marşrut xətalarını bu seçimdən ayrı saxlayın. Onlar fərqli simptomlar verir və selektor probleminə görə protokolu günahlandırmaq bir günü səbəbsiz hash dəyişməklə keçirməyin etibarlı yoludur.