AH vagy ESP? Döntsön aszerint, mit kell a csomagnak védenie

Két IPsec javaslat ugyanazt a SHA-alapú integritás-algoritmust nevezheti meg, mégis különböző védelmi protokollokat kér; az AH és az ESP nem egy hitelesítési beállítás két írásmódja. Először a protokollt olvassa el, aztán az algoritmusait, aztán az üzemmódját, és a bizonytalanság nagy része eltűnik. Az AH a csomagot hitelesíti, beleértve azokat az IP-fejléc-mezőket, amelyek az úton változatlanok maradnak, míg az ESP azt hitelesíti és titkosítja, amit beágyaz, és a külső fejlécet békén hagyja. Ez a különbség több bevezetésről dönt, mint bármely hash-név.

Mit fed le az AH, és mit nem az ESP

Az AH integritást, adatforrás-hitelesítést és az általa meghatározott ismétlésvédelmi szolgáltatást nyújt, és semmilyen bizalmasságot. Lefedése kiterjed a felső réteg adataira és azokra az IP-fejléc-mezőkre, amelyeket szabályai változatlannak tekintenek, pontosan arra a részre, amelyet az ESP szállítási üzemmódban kihagy. Ha egy követelmény azt mondja, hogy magát az IP-fejlécet kell hitelesíteni, az AH az a protokoll, amely erre válaszol.

Ez a lefedettség az oka annak is, hogy az AH a gyakorlatban törékeny. A változó mezőket, mint a TTL, a fejléc ellenőrző összege és néhány opció, nem lehet hitelesíteni, mert az útválasztók átírhatják őket, ezért a protokoll nullázza ezeket az ellenőrzés számítása előtt. Így minden, ami címeket ír át, a számítást töri meg, nem csak a házirendet.

A NAT választássá teszi a korlátot

A címfordítás átírja a forrást vagy a célt abban az IP-fejlécben, amelyet az AH éppen hitelesített, így az integritás-ellenőrzés a túlsó végén meghiúsul, mégpedig protokollhibaként, nem olvasható üzenetként. Az ESP nem hitelesíti a külső fejlécet, ezért működik az ESP NAT-átjárással, és nem működik az AH NAT mögött. Az a tunell, amelynek mindkét oldala közönséges útválasztók mögött áll, éppen az a hely, ahol ez először megjelenik. Ezért az első kérdés nem az, melyik protokoll erősebb, hanem hogy van-e fordító a két oldal között.

Ha van, az AH kiesik, és a beszélgetés az ESP-re és annak algoritmusválasztására terelődik. Ez korlát, nem preferencia, ezért a döntés elejére tartozik, nem a végére.

Az üzemmód megsokszorozza a kérdést

Az ESP szállítási üzemmódban a felső réteg terhelését védi, és az IP-fejlécet békén hagyja; tunelüzemben a teljes belső csomagot beágyazza, beleértve a belső IP-fejlécet, és azt védi. Az AH-nak ugyanez a két üzemmódja van, tehát az AH vagy ESP valójában négy kombináció, mielőtt bármilyen algoritmust választanánk.

A kombinált üzemmódú ESP-algoritmusok aztán második protokoll nélkül rendezik az integritást. Az AES-GCM és a ChaCha20-Poly1305 egyetlen konstrukcióban hitelesít és titkosít, ezért az AH hozzáadása felülre semmit nem ad, viszont még egy fejlécet és még egy egyeztetést kóstál. Az architektúra engedi az AH-t és az ESP-t együtt, és a gyakorlati kérdés az, hogy az átjárója és a kiadása támogatja-e a kombinációt, és tudja-e valaki utána karbantartani.

Az őszinte helyettesítő a csak AH-hoz

A csak integritást nyújtó ESP-változat megtartja az algoritmust, és elengedi a titkosítási állítást ahelyett, hogy színlelné, és átjut a NAT-on. Ha egy örökölt tervezés azért használt AH-t, mert bizalmasság nélküli hitelesítésre volt szükség, ez a változat a közvetlen fordítás, nem pedig egy titkosított tunell mellékelt megjegyzéssel.

Az ESP látványa egy javaslatban szintén nem bizonyíték a titkosításra. Olvassa el a titkosítási algoritmust: a NULL bejegyzés csak integritást jelent, a kombinált üzemmódú bejegyzés pedig mindkettőt.

Három kérdésben döntsön

Kérdezze meg, kell-e bizalmasság, van-e fordító az útvonalon, és mely fejlécmezőket kell hitelesíteni. Ez a három válasz egy protokollra és egy üzemmódra mutat, és leírásuk kevesebb időt vesz igénybe, mint az RFC-k későbbi újraolvasása.

Ezután azt ellenőrizze, amit elfogadtak, és ne azt, amit javasoltak. A ip xfrm state megmutatja a telepített társítás protokollját, üzemmódját és algoritmusait, és egy eltérés semmit nem telepít, ami tisztább hiba, mint egy tunell, amely a szándékolt védelem nélkül jön fel.

Tartsa külön a hitelesítési hibákat, a szelektorok lefedettségét és az útválasztási hibákat ettől a választástól. Különböző tüneteket adnak, és a protokollt hibáztatni egy szelektorproblémáért megbízható módja annak, hogy egy napot ok nélküli hashcserével töltsön.