IPSec 세부 프로토콜

1.AH

MAC(메시지 인증 코드)를 이용하여 인증(무결성)과 송신처 인증을 제공해주는 프로토콜 기밀성(암호화)는 제공하지 않는다. 

송신측에서 MAC 알고리즘과 인증키를 통해 인증데이터(MAC값)을 계산가여 전송하고 수신측에서 이를 검증

인증 데이터 계산에는 IP헤더의 변경 가능한 필드(Mutable Field)를 제외한 IP패킷 전체를 대상으로 한다. 

 IP헤더의 변경 가능한 필드(Mutable Field)- TTL(Time to Live = hop count) , Header Checksum(무결성 검증을 위한 값), NAT 환경에서의 Source IP

-----------------------------------------------------------------------------------------------------------------------

암호학에서의 MAC(메시지 인증 코드)

-무결성 

-송신처 인증 

 

1)HMAC(Hash - MAC)

HMAC-SHA1, HMAC-SHA256 (HMAC용 해시알고리즘으로 SHA256 사용)

 

2)CMAC-(Cipher based MAC)

-MAC은부인방지 (non-repudiation)를 보장해주지 않는다 

무결성과 송신처 인증을 할수 있는 이유 - 공통의 인증키를 가지고 인증키와 메시지를 해시해서 비교, 인증키가 없으면 MAC 값을 만들어 낼 수 없다. 부인방지가 안되는 이유 제3자가 봤을때 이사람이 보낸 메시지가 맞냐 ? 제3자가 검증할 수 있어야 부인방지 가능 

 

부인방지 효과를 가져다 주는 것 - 디지털 서명(Digital Signature)

->개인키 때문에 그 사람임을 식별 가능 

-----------------------------------------------------------------------------------------------------------------------

양쪽에 어떤 보안 파라미터를 사용하겠다라는 설정정보 - SA(Security Association)

SA를 협상하는 키 교환과정이 있음 

현재 나는 어떤 SA를 식별학 있어 -> 이때 사용하는게 SPI

Sequence Number - 내가 전송하는 IPSec 패킷에 순서를 매김 

이 Sequence Number가 순차적으로 증가하는 걸 볼 수 있음 

Authentication Data 

AH 프로토콜 안에는 - SA, SPI, Authentication Data

 

Q. AH프로토콜의 전송모드와 터널모드를 IP Header의 관점에서 기술하시오.

전송모드는 IP헤더의 전송 중 변경 가능한 필드(mutable field)를 제외한 IP패킷 전체를 인증한다.

터널모드는 New IP 헤더의 전송 중 변경 가능한 필드(mutable field)를 제외한 New IP 패킷 전체를 인증한다. 

 

 

2.ESP(Encapsulating Security Payload)

MAC(메시지 인증 코드)와 암호화를 이용하여 인증(무결성), 송신처 인증 과 기밀성 을 제공

인증과 암호화를 선택적으로 적용 

인증의 범위가 AH와 조금 다름

AH프로토콜과의 차이점은 AH는 변경 가능한 IP 헤더 필드를 제외한 IP 패킷 전체를 인증하지만 ESP는 IP헤더를 인증하지 않는다. 

ESP-H : SPI, Sequence Number

실무적으로는 대부분 ESP-Tunnel 모드를 다 사용한다. 

ESP-T: 암호화를 하는데 블록암호모드(CBC,CTR...등) 크기를 맞춰죽기 위해서 패딩이 들어감

 

전송모드는 - 암호화의범위: IP페이로드와 ESP 트레일러를 암호화 , 암호화된 데이터와 ESP 헤더를 인증

터널모드는 - 원본 IP 패킷 전체와 ESP 트레일러를 암호화하고 암호화된 데이터와 ESP  헤더를 인증한다.

 

제한된 트래픽 흐름의 기밀성(Limited Traffic Flow Confidentiallity)

터널모드만 적용하면 다되는게 아니고 ESP를 통한 암호화가 됐을때 이게 보장됨 

 

트래픽 흐름이란건 무엇일까?

이 아이피 패킷이 어디에서 출발해서 어디를 목적지로 하는지를 말한 것 

-> 이 정보를 숨겨줄 수 있는 것 (IP헤더에 들어 있는 Source IP, Destination IP를 숨기는 것)

 

-------------실습 -------------

window XP ------ICMP ------window 2008

 

로컬 보안관리 secpol.msc - IP보안정책

 

인증방법 - IPSec 통신을 하기 위한 과정