IKEv1 proti IKEv2 z vnaprej dogovorjenim ključem: kaj se pri overjanju razlikuje

Dve prehodni napravi z istim vnaprej dogovorjenim ključem dokončata rokovanje in zajem paketov ne pokaže nobene skrivnosti, ki bi prečkala povezavo. To je del, ki si ga ljudje zapomnijo. Zanimivi del je, kaj vsaka različica dejansko izračuna, da dokaže poznavanje skrivnosti, ker IKEv1 in IKEv2 ta dokaz gradita iz različnih vhodov in pri tem razkrijeta različne informacije. Preberite oba zapisa drug ob drugem in razlika neha biti kozmetična.

Kaj mora dokaz doseči

Diffie-Hellman da obema stranema skupno vrednost, katere javne polovice lahko izračuna tudi vsakdo, ki opazuje. Sama po sebi ne dokaže ničesar o identiteti: napadalec, ki dokonča izmenjavo ključev, ima enako skupno vrednost kot vaša prehodna naprava. Korak overjanja obstaja zato, da izmenjavo poveže s skrivnostjo, ki jo imata samo predvideni strani, ter z identitetama in parametri, o katerih sta se dogovorili.

Prav ta povezava je razlog, da zgoščena vrednost pokriva več kot ključ. Če bi pokrivala samo skrivnost, bi jo napadalec lahko predvajal v drugo izmenjavo z drugimi identitetami ali predlogi.

IKEv1 Main Mode: izpeljati SKEYID in ga nato dokazati

Main Mode izvede šest sporočil. Prvi par se pogaja o varnostni povezavi, drugi izmenja javne vrednosti Diffie-Hellman in nonce, tretji pa nosi identitete in overitvene zgoščene vrednosti pod pravkar vzpostavljenim šifriranjem. RFC 2409 določa konstrukcijo: pri overjanju z vnaprej dogovorjenim ključem se SKEYID izpelje iz skrivnosti in obeh noncev, poznejši ključni material pa iz SKEYID, skupne vrednosti Diffie-Hellman, piškotkov in konstant.

Zgoščena vrednost v petem in šestem sporočilu se izračuna čez vrednost Diffie-Hellman, oba piškotka, predlog in identiteto pošiljatelja, s SKEYID kot ključem. Prejemnik jo preračuna s svojo nastavljeno skrivnostjo. Neujemanje konča izmenjavo in skrivnost sama nikoli ni nosilna enota.

Aggressive Mode stisne isto delo v tri sporočila, kar pomeni, da identitete in overitvena zgoščena vrednost potujejo, preden obstaja šifriran kanal. To je resnična izpostavljenost pri uganljivi skrivnosti in je ločeno od vprašanja, ali je bila skrivnost prenesena. IKEv1 je po RFC 9395 zastarel, zato je stari zapis diagnostična vaja in ne cilj uvajanja.

IKEv2: druga izpeljava in druga nosilna enota AUTH

IKEv2 ne uporablja istega razporeda ključev kot IKEv1. Začetni ključi IKE izhajajo iz semena, sestavljenega iz noncev in skupne vrednosti Diffie-Hellman, podrejene varnostne povezave pa se izpeljejo iz njega. Vnaprej dogovorjeni ključ v seme ne vstopa prav nič.

Overjanje se nato pojavi kot nosilna enota AUTH. Za overjanje s skupnim ključem RFC 7296 predpisuje oblazinjeno obliko skrivnosti, pridobljeno z zgoščanjem skrivnosti s fiksnim nizom Key Pad for IKEv2, nato pa z zgoščanjem podpisanih podatkov izmenjave in identitete s tem oblazinjenim ključem. Preverjevalec lahko isto vrednost znova sestavi; opazovalec je ne more, brez skrivnosti.

Opazite, kaj se je spremenilo. V IKEv1 je skrivnost vgrajena v razpored ključev, preden overitvena zgoščena vrednost sploh nastane; v IKEv2 je razpored ključev neodvisen od skrivnosti in dokaz je ločena nosilna enota, vezana na podpisane oktete. Ista pojmovna garancija, druga mehanika, in zato se imena parametrov in zajemi ne preslikajo ena na ena.

Kaj opazovalec dejansko izve

Javne vrednosti Diffie-Hellman, predlogi, nonci in piškotki so vidni v obeh različicah. Identitete so vidne v IKEv1 Aggressive Mode in zaščitene v drugih primerih. Skrivnost ni nikoli vidna.

Zadnji stavek ima mejo, ki jo velja povedati. Šibko, človeško izbrano skrivnost je mogoče napasti z ugibanjem: napadalec izračuna, kakšna bi bila overitvena vrednost za kandidatno skrivnost, in primerja. IKEv1 Aggressive Mode to naredi najcenejše, ker je dokaz v odprtem besedilu, standardi pa na splošno opozarjajo pred skrivnostmi z nizko entropijo. Če skrivnosti nikoli ne pošljete, to še ni isto kot to, da ste slabo skrivnost naredili varno.

Kaj storiti s primerjavo

Uporabite eno edinstveno skrivnost na vsak par strani, ustvarite jo iz naključnega vira in jo menjajte po isti poti za nameščanje, ki jo je razdelila. Če je skrivnost shranjena v konfiguracijski predlogi, ki se pošilja v vsako poslovalnico, je kompromis na enem mestu kompromis povsod.

Dajte prednost overjanju s potrdili, kjer so obratovalni stroški sprejemljivi, saj odpravi težavo ugibanja skupne skrivnosti in vsaki strani da edinstveno identiteto. Kjer vnaprej dogovorjeni ključ ostane, naj bo dolg, ozko omejen, različico IKE pa obravnavajte kot varnostno odločitev, ne kot podrobnost medobratovalnosti.