Seguridad de red: capa de red
Los controles de seguridad de la capa de red se han utilizado con frecuencia para proteger las comunicaciones, particularmente en redes compartidas como Internet porque pueden brindar protección para muchas aplicaciones a la vez sin modificarlas.
En los capítulos anteriores, discutimos que muchos protocolos de seguridad en tiempo real han evolucionado para la seguridad de la red, garantizando principios básicos de seguridad como privacidad, autenticación de origen, integridad de mensajes y no repudio.
La mayoría de estos protocolos permanecieron enfocados en las capas superiores de la pila de protocolos OSI, para compensar la falta inherente de seguridad en el Protocolo de Internet estándar. Aunque valiosos, estos métodos no se pueden generalizar fácilmente para su uso con cualquier aplicación. Por ejemplo, SSL se desarrolla específicamente para proteger aplicaciones como HTTP o FTP. Pero hay varias otras aplicaciones que también necesitan comunicaciones seguras.
Esta necesidad dio lugar a desarrollar una solución de seguridad en la capa IP para que todos los protocolos de capa superior pudieran aprovecharla. En 1992, el Grupo de trabajo de ingeniería de Internet (IETF) comenzó a definir un 'IPsec' estándar.
En este capítulo, analizaremos cómo se logra la seguridad en la capa de red utilizando este conjunto muy popular de protocolo IPsec.
Seguridad en la capa de red
Cualquier esquema que se desarrolle para proporcionar seguridad de red debe implementarse en alguna capa de la pila de protocolos, como se muestra en el diagrama a continuación:
| Capa | Protocolos de comunicación | Protocolos de seguridad |
|---|---|---|
| Capa de aplicación | HTTP FTP SMTP | PGP. S / MIME, HTTPS |
| Capa de transporte | TCP / UDP | SSL, TLS, SSH |
| Capa de red | IP | IPsec |
El marco popular desarrollado para garantizar la seguridad en la capa de red es Internet Protocol Security (IPsec).
Características de IPsec
IPsec no está diseñado para funcionar solo con TCP como protocolo de transporte. Funciona con UDP, así como con cualquier otro protocolo por encima de IP como ICMP, OSPF, etc.
IPsec protege todo el paquete presentado a la capa IP, incluidos los encabezados de capa superior.
Dado que los encabezados de capa superior están ocultos y llevan el número de puerto, el análisis del tráfico es más difícil.
IPsec funciona de una entidad de red a otra entidad de red, no de un proceso de solicitud a otro. Por lo tanto, la seguridad se puede adoptar sin necesidad de realizar cambios en las aplicaciones / computadoras de los usuarios individuales.
IPsec, que se utiliza ampliamente para proporcionar comunicaciones seguras entre entidades de red, también puede proporcionar seguridad de host a host.
El uso más común de IPsec es proporcionar una red privada virtual (VPN), ya sea entre dos ubicaciones (puerta de enlace a puerta de enlace) o entre un usuario remoto y una red empresarial (de host a puerta de enlace).
Funciones de seguridad
Las importantes funciones de seguridad proporcionadas por IPsec son las siguientes:
Confidencialidad
Permite a los nodos de comunicación cifrar mensajes.
Evita las escuchas de terceros.
Autenticación de origen e integridad de datos.
Proporciona garantía de que un paquete recibido fue realmente transmitido por la parte identificada como origen en el encabezado del paquete.
Confirma que el paquete no ha sido alterado o de otra manera.
Gestión de claves.
Permite el intercambio seguro de llaves.
Protección contra ciertos tipos de ataques de seguridad, como ataques de repetición.
Red privada virtual
Idealmente, cualquier institución querría tener su propia red privada de comunicación para garantizar la seguridad. Sin embargo, puede resultar muy costoso establecer y mantener dicha red privada en un área geográficamente dispersa. Requeriría administrar una infraestructura compleja de enlaces de comunicación, enrutadores, DNS, etc.
IPsec proporciona un mecanismo sencillo para implementar una red privada virtual (VPN) para tales instituciones. La tecnología VPN permite que el tráfico entre oficinas de la institución se envíe a través de la Internet pública cifrando el tráfico antes de ingresar a la Internet pública y separándolo lógicamente del resto del tráfico. El funcionamiento simplificado de VPN se muestra en el siguiente diagrama:
Descripción general de IPsec
IPsec es un marco / conjunto de protocolos para proporcionar seguridad en la capa IP.
Origen
A principios de la década de 1990, pocas instituciones utilizaban Internet, principalmente con fines académicos. Pero en décadas posteriores, el crecimiento de Internet se volvió exponencial debido a la expansión de la red y a varias organizaciones que la utilizan para la comunicación y otros fines.
Con el crecimiento masivo de Internet, combinado con las debilidades de seguridad inherentes del protocolo TCP / IP, se sintió la necesidad de una tecnología que pueda proporcionar seguridad de red en Internet. La Junta de Arquitectura de Internet (IAB) publicó un informe titulado "Seguridad en la arquitectura de Internet" en 1994. En él se identificaban las áreas clave para los mecanismos de seguridad.
La IAB incluyó la autenticación y el cifrado como características de seguridad esenciales en IPv6, la IP de próxima generación. Afortunadamente, estas capacidades de seguridad se definieron de manera que se puedan implementar tanto con el IPv4 actual como con el IPv6 futurista.
Marco de seguridad, IPsec se ha definido en varias 'Solicitudes de comentarios' (RFC). Algunas RFC especifican algunas partes del protocolo, mientras que otras abordan la solución como un todo.
Operaciones dentro de IPsec
Se puede considerar que la suite IPsec tiene dos operaciones separadas, cuando se realizan al unísono, proporcionando un conjunto completo de servicios de seguridad. Estas dos operaciones son la comunicación IPsec y el intercambio de claves de Internet.
Comunicación IPsec
Por lo general, se asocia con la funcionalidad estándar de IPsec. Implica encapsulación, cifrado y hash de los datagramas IP y el manejo de todos los procesos de paquetes.
Es el responsable de gestionar la comunicación de acuerdo con las Asociaciones de Seguridad (SA) disponibles establecidas entre las partes comunicantes.
Utiliza protocolos de seguridad como Authentication Header (AH) y Encapsulated SP (ESP).
La comunicación IPsec no está involucrada en la creación de claves ni en su administración.
La operación de comunicación IPsec en sí misma se conoce comúnmente como IPsec.
Intercambio de claves de Internet (IKE)
IKE es el protocolo de gestión automática de claves utilizado para IPsec.
Técnicamente, la administración de claves no es esencial para la comunicación IPsec y las claves se pueden administrar manualmente. Sin embargo, la administración manual de claves no es deseable para redes grandes.
IKE es responsable de la creación de claves para IPsec y de proporcionar autenticación durante el proceso de establecimiento de claves. Aunque IPsec se puede usar para cualquier otro protocolo de administración de claves, IKE se usa de manera predeterminada.
IKE define dos protocolos (Oakley y SKEME) que se utilizarán con el marco de gestión de claves ya definido Protocolo de gestión de claves de la Asociación de seguridad de Internet (ISAKMP).
ISAKMP no es específico de IPsec, pero proporciona el marco para crear SA para cualquier protocolo.
Este capítulo analiza principalmente la comunicación IPsec y el protocolo asociado empleado para lograr la seguridad.
Modos de comunicación IPsec
La comunicación IPsec tiene dos modos de funcionamiento; modos de transporte y túnel. Estos modos se pueden usar en combinación o individualmente dependiendo del tipo de comunicación deseada.
Modo de transporte
IPsec no encapsula un paquete recibido de la capa superior.
El encabezado de IP original se mantiene y los datos se reenvían según los atributos originales establecidos por el protocolo de capa superior.
El siguiente diagrama muestra el flujo de datos en la pila de protocolos.
La limitación del modo de transporte es que no se pueden proporcionar servicios de pasarela. Está reservado para comunicaciones punto a punto como se muestra en la siguiente imagen.
Modo túnel
Este modo de IPsec proporciona servicios de encapsulación junto con otros servicios de seguridad.
En las operaciones en modo túnel, todo el paquete de la capa superior se encapsula antes de aplicar el protocolo de seguridad. Se agrega un nuevo encabezado IP.
El siguiente diagrama muestra el flujo de datos en la pila de protocolos.
El modo de túnel generalmente se asocia con actividades de puerta de enlace. La encapsulación brinda la capacidad de enviar varias sesiones a través de una única puerta de enlace.
La comunicación típica en modo túnel es la que se muestra en el siguiente diagrama.
En lo que respecta a los puntos finales, tienen una conexión de capa de transporte directa. El datagrama de un sistema enviado a la puerta de enlace se encapsula y luego se reenvía a la puerta de enlace remota. La puerta de enlace remota asociada desencapsula los datos y los reenvía al punto final de destino en la red interna.
Con IPsec, el modo de túnel también se puede establecer entre la puerta de enlace y el sistema final individual.
Protocolos IPsec
IPsec utiliza los protocolos de seguridad para proporcionar los servicios de seguridad deseados. Estos protocolos son el corazón de las operaciones de IPsec y todo lo demás está diseñado para admitir estos protocolos en IPsec.
Las asociaciones de seguridad entre las entidades comunicantes se establecen y mantienen mediante el protocolo de seguridad utilizado.
Hay dos protocolos de seguridad definidos por IPsec: Encabezado de autenticación (AH) y Carga útil de seguridad encapsulada (ESP).
Encabezado de autenticación
El protocolo AH proporciona un servicio de integridad de datos y autenticación de origen. Opcionalmente, se adapta a la resistencia a la reproducción de mensajes. Sin embargo, no proporciona ninguna forma de confidencialidad.
AH es un protocolo que proporciona autenticación de todo o parte del contenido de un datagrama mediante la adición de un encabezado. El encabezado se calcula en función de los valores del datagrama. Las partes del datagrama que se utilizan para el cálculo y dónde colocar el encabezado dependen del modo de cooperación (túnel o transporte).
El funcionamiento del protocolo AH es sorprendentemente sencillo. Puede considerarse similar a los algoritmos utilizados para calcular sumas de comprobación o realizar comprobaciones CRC para la detección de errores.
El concepto detrás de AH es el mismo, excepto que en lugar de usar un algoritmo simple, AH usa un algoritmo de hash especial y una clave secreta conocida solo por las partes que se comunican. Se establece una asociación de seguridad entre dos dispositivos que especifica estos detalles.
El proceso de AH pasa por las siguientes fases.
Cuando se recibe un paquete IP de la pila de protocolo superior, IPsec determina la Asociación de Seguridad (SA) asociada a partir de la información disponible en el paquete; por ejemplo, dirección IP (origen y destino).
Desde SA, una vez que se identifica que el protocolo de seguridad es AH, se calculan los parámetros del encabezado AH. El encabezado AH consta de los siguientes parámetros:
El campo de encabezado especifica el protocolo del paquete que sigue al encabezado AH. El índice de parámetro de secuencia (SPI) se obtiene de SA existente entre las partes comunicantes.
El número de secuencia se calcula e inserta. Estos números proporcionan capacidad opcional a AH para resistir el ataque de repetición.
Los datos de autenticación se calculan de forma diferente según el modo de comunicación.
En el modo de transporte, el cálculo de los datos de autenticación y el ensamblaje del paquete IP final para la transmisión se muestra en el siguiente diagrama. En el encabezado de IP original, el cambio se realiza solo en el número de protocolo como 51 para la aplicación indicada de AH.
En el modo Túnel, el proceso anterior tiene lugar como se muestra en el siguiente diagrama.
Protocolo de seguridad de encapsulación (ESP)
ESP proporciona servicios de seguridad como confidencialidad, integridad, autenticación de origen y resistencia a la reproducción opcional. El conjunto de servicios proporcionados depende de las opciones seleccionadas en el momento del establecimiento de la Asociación de seguridad (SA).
En ESP, los algoritmos utilizados para el cifrado y la generación de autenticadores están determinados por los atributos utilizados para crear el SA.
El proceso de ESP es el siguiente. Los dos primeros pasos son similares al proceso de AH como se indicó anteriormente.
Una vez que se determina que ESP está involucrado, se calculan los campos del paquete ESP. La disposición del campo ESP se muestra en el siguiente diagrama.
El proceso de cifrado y autenticación en modo transporte se muestra en el siguiente diagrama.
En el caso del modo Túnel, el proceso de encriptación y autenticación es como se muestra en el siguiente diagrama.
Aunque la autenticación y la confidencialidad son los servicios principales que proporciona ESP, ambos son opcionales. Técnicamente, podemos utilizar el cifrado NULL sin autenticación. Sin embargo, en la práctica, uno de los dos debe implementarse para usar ESP de manera efectiva.
El concepto básico es usar ESP cuando se desea autenticación y cifrado, y usar AH cuando se desea autenticación extendida sin cifrado.
Asociaciones de seguridad en IPsec
Security Association (SA) es la base de una comunicación IPsec. Las características de SA son:
Antes de enviar datos, se establece una conexión virtual entre la entidad emisora y la entidad receptora, denominada “Asociación de seguridad (SA)”.
IPsec ofrece muchas opciones para realizar el cifrado y la autenticación de la red. Cada conexión IPsec puede proporcionar cifrado, integridad, autenticidad o los tres servicios. Cuando se determina el servicio de seguridad, las dos entidades pares IPsec deben determinar exactamente qué algoritmos utilizar (por ejemplo, DES o 3DES para el cifrado; MD5 o SHA-1 para la integridad). Después de decidir los algoritmos, los dos dispositivos deben compartir claves de sesión.
SA es un conjunto de parámetros de comunicación anteriores que proporciona una relación entre dos o más sistemas para crear una sesión IPsec.
SA es de naturaleza simple y, por lo tanto, se requieren dos SA para las comunicaciones bidireccionales.
Las SA se identifican mediante un número de índice de parámetros de seguridad (SPI) que existe en el encabezado del protocolo de seguridad.
Tanto las entidades emisoras como las receptoras mantienen información de estado sobre la SA. Es similar a los puntos finales TCP que también mantienen información de estado. IPsec está orientado a la conexión como TCP.
Parámetros de SA
Cualquier SA se identifica de forma única mediante los siguientes tres parámetros:
Índice de parámetros de seguridad (SPI).
Es un valor de 32 bits asignado a SA. Se utiliza para distinguir entre diferentes SA que terminan en el mismo destino y utilizan el mismo protocolo IPsec.
Cada paquete de IPsec lleva un encabezado que contiene un campo SPI. El SPI se proporciona para mapear el paquete entrante a una SA.
El SPI es un número aleatorio generado por el remitente para identificar la SA al destinatario.
Destination IP Address - Puede ser la dirección IP del enrutador final.
Security Protocol Identifier - Indica si la asociación es AH o ESP SA.
En el siguiente diagrama se muestra un ejemplo de SA entre dos enrutadores involucrados en la comunicación IPsec.
Bases de datos administrativas de seguridad
En IPsec, hay dos bases de datos que controlan el procesamiento del datagrama IPsec. Una es la base de datos de asociaciones de seguridad (SAD) y la otra es la base de datos de políticas de seguridad (SPD). Cada terminal de comunicación que utilice IPsec debe tener un SAD y un SPD separados lógicamente.
Base de datos de asociaciones de seguridad
En la comunicación IPsec, el punto final mantiene el estado SA en la base de datos de asociaciones de seguridad (SAD). Cada entrada de SA en la base de datos de SAD contiene nueve parámetros, como se muestra en la siguiente tabla:
| No Señor. | Parámetros y descripción |
|---|---|
| 1 | Sequence Number Counter Para comunicaciones salientes. Este es el número de secuencia de 32 bits proporcionado en los encabezados AH o ESP. |
| 2 | Sequence Number Overflow Counter Establece una bandera de opción para evitar más comunicaciones utilizando el SA específico |
| 3 | 32-bit anti-replay window Se utiliza para determinar si un paquete entrante AH o ESP es una reproducción |
| 4 | Lifetime of the SA Tiempo hasta que SA permanece activo |
| 5 | Algorithm - AH Usado en el AH y la clave asociada |
| 6 | Algorithm - ESP Auth Se usa en la parte de autenticación del encabezado ESP |
| 7 | Algorithm - ESP Encryption Utilizado en el cifrado del ESP y su información clave asociada |
| 8 | IPsec mode of operation Modo transporte o túnel |
| 9 | Path MTU(PMTU) Cualquier unidad de transmisión máxima de ruta observada (para evitar la fragmentación) |
Todas las entradas de SA en el SAD están indexadas por los tres parámetros de SA: dirección IP de destino, identificador de protocolo de seguridad y SPI.
Base de datos de políticas de seguridad
SPD se utiliza para procesar paquetes salientes. Ayuda a decidir qué entradas de SAD se deben utilizar. Si no existe ninguna entrada SAD, se utiliza SPD para crear nuevas.
Cualquier entrada de SPD contendría:
Puntero a SA activo mantenido en SAD.
Campos de selección: campo en el paquete entrante de la capa superior que se utiliza para decidir la aplicación de IPsec. Los selectores pueden incluir direcciones de origen y destino, números de puerto si es relevante, ID de aplicaciones, protocolos, etc.
Los datagramas IP salientes van desde la entrada SPD hasta la SA específica, para obtener los parámetros de codificación. El datagrama IPsec entrante llega a la SA correcta directamente utilizando el triple SPI / DEST IP / Protocolo, y desde allí extrae la entrada SAD asociada.
SPD también puede especificar el tráfico que debe omitir IPsec. SPD puede considerarse como un filtro de paquetes donde las acciones que se deciden son la activación de procesos SA.
Resumen
IPsec es un conjunto de protocolos para proteger las conexiones de red. Es un mecanismo bastante complejo, porque en lugar de dar una definición sencilla de un algoritmo de cifrado específico y una función de autenticación, proporciona un marco que permite la implementación de cualquier cosa en la que ambos extremos de la comunicación estén de acuerdo.
El encabezado de autenticación (AH) y la carga útil de seguridad encapsulada (ESP) son los dos principales protocolos de comunicación utilizados por IPsec. Mientras que AH solo se autentica, ESP puede cifrar y autenticar los datos transmitidos a través de la conexión.
El modo de transporte proporciona una conexión segura entre dos puntos finales sin cambiar el encabezado IP. El modo túnel encapsula todo el paquete IP de carga útil. Agrega un nuevo encabezado IP. Este último se utiliza para formar una VPN tradicional, ya que proporciona un túnel virtual seguro a través de una Internet que no es de confianza.
La configuración de una conexión IPsec implica todo tipo de opciones de cifrado. La autenticación generalmente se construye sobre un hash criptográfico como MD5 o SHA-1. Los algoritmos de cifrado son DES, 3DES, Blowfish y AES, que son comunes. También son posibles otros algoritmos.
Ambos puntos finales que se comunican necesitan conocer los valores secretos utilizados en el cifrado o el hash. Las claves manuales requieren la entrada manual de los valores secretos en ambos extremos, presumiblemente transmitidos por algún mecanismo fuera de banda, e IKE (Intercambio de claves de Internet) es un mecanismo sofisticado para hacer esto en línea.