AH oder ESP? Entscheet no deem, wat de Paket muss schützen

Zwee IPsec-Virschléi kënnen deeselwechten SHA-baséierten Integritätsalgorithmus nennen an trotzdeem verschidde Schutzprotokoller verlaangen; AH an ESP sinn net zwee Schreifweise vun enger Authentifikatiounsastellung. Liest fir d eischt de Protokoll, dann seng Algorithmen, dann säi Modus, an de gréissten Deel vun der Onkloerheet verschwënnt. AH authentifizéiert de Paket, dobäi d IP-Header-Felder, déi um Wee onverännert bleiwen, wärend ESP dat authentifizéiert a verschlësselt, wat et encaspelt, an den äusseren Header an Rou léisst. Dësen Ënnerscheed entscheet iwwer méi Deployementer wéi keen Hash-Numm.

Wat AH deckt an ESP net

AH gëtt Integritéit, Authentifikatioun vum Datenorigine an de Géigen-Erhuelungsservice, deen et selwer definéiert, a guer keng Vertraulechkeet. Seng Deckung ëmfaasst Daten vun der ieweschter Schicht an d IP-Header-Felder, déi seng Reegele fir onverännerlech huelen, genee deen Deel, deen ESP am Transportmodus dobaussen léisst. Wann eng Fuerderung seet, datt den IP-Header selwer muss authentifizéiert ginn, ass AH de Protokoll, deen dat beäntwert.

Dës Deckung ass och de Grond, firwat AH an der Praxis brécheg ass. Verännerlech Felder wéi TTL, d Kontrollsumm vum Header an e puer Optiounen kënnen net authentifizéiert ginn, well Router se ëmmer nach ëmschreiwen, dofir setzt de Protokoll se op Null, ier d Kontroll berechent gëtt. Alles, wat Adressen ëmschreift, brécht also d Berechnung, net nëmmen d Politik.

NAT mécht aus der Wiel eng Aschränkung

D Adressiwwersetzung schreift d Quell oder d Destinatioun an deem IP-Header ëm, deen AH just authentifizéiert huet, dofir scheitert d Integritätskontroll um aneren Enn, an et scheitert als Protokollfeeler an net als liesbare Message. ESP authentifizéiert den äusseren Header net, dofir funktionéiert ESP mat NAT-Duerchgang an AH hannert NAT net. En Tunnel, deem seng zwou Säiten hannert gewéinleche Router stinn, ass genee déi Plaz, wou dat fir d eischt optriedt. Dofir ass déi eischt Fro net, wéi ee Protokoll méi staark ass, mä ob en Iwwersetzer tëscht de Säiten ass.

Wann jo, fält AH ewech, an d Gespréich geet op ESP an seng Algorithmuswiel iwwer. Dat ass eng Aschränkung an net eng Virléift, dofir gehéiert se un den Ufank vun der Entscheedung an net un d Enn.

De Modus multiplizéiert d Fro

ESP am Transportmodus schützt d Notzlaascht vun der ieweschter Schicht an léisst den IP-Header an Rou; am Tunnelmodus encaspelt et de ganzen bannenzege Paket, dobäi den bannenzege IP-Header, a schützt en. AH huet déiselwecht zwee Modus, also sinn AH oder ESP eigentlech véier Kombinatiounen, ier en Algorithmus gewielt gëtt.

ESP-Algorithmen am kombinéierte Modus entscheeden dann d Integritéit ouni en zweete Protokoll. AES-GCM an ChaCha20-Poly1305 authentifizéieren a verschlësselen an enger eenzeger Konstruktioun, dofir keeft AH driwwer näischt, kascht awer nach een Header an nach eng Verhandlung. D Architektur erlaabt AH an ESP zesummen, an d praktesch Fro ass ob Äre Gateway an Är Versioun d Kombinatioun ënnerstëtzen an ob een se duerno kann ënnerhalen.

Den éierlechen Ersatz fir nëmmen AH

D ESP-Variant nëmme mat Integritéit behält den Algorithmus a léisst d Verschlësselungsbehaaptung fale, amplaz se ze fälschen, an et kënnt duerch NAT. Wann en ale Konzept AH benotzt huet, well Authentifikatioun ouni Vertraulechkeet gebraucht gouf, ass déi Variant déi direkt Iwwersetzung, an net en verschlësselten Tunnel mat enger Notiz.

ESP an engem Virschlag ze gesinn ass och kee Beweis fir Verschlësselung. Liest den Verschlësselungsalgorithmus: en NULL-Anträg bedeit nëmmen Integritéit, an en Anträg am kombinéierte Modus bedeit béides.

Entscheet a dräi Frogen

Frot, ob Vertraulechkeet néideg ass, ob en Iwwersetzer um Wee ass, a wéi eng Header-Felder authentifizéiert musse ginn. Déi dräi Äntwerten weisen op ee Protokoll an ee Modus, an se opzeschreiwen hëlt manner Zäit wéi spéider d RFCen nach eng Kéier ze liesen.

Verifizéiert dann, wat ugeholl gouf, an net wat proposéiert gouf. ip xfrm state weist Protokoll, Modus an Algorithmen vun der installéierter Associatioun, an eng Onstëmmegkeet installéiert guer näischt, wat e méi proppere Feeler ass wéi en Tunnel, deen ouni de gewollte Schutz eropkënnt.

Halt Authentifikatiounsfeeler, d Deckung vun de Selektoren an Routingfeeler getrennt vun dëser Wiel. Si ginn ënnerschiddlech Symptomer, an de Protokoll fir e Selektorsproblem verantwortlech ze maachen ass en zouverlässege Wee, en Dag mat sënnlose Hashwiessel ze verbréngen.