13 oct 2011

IPSec: protegiendo el nivel de red (parte I)

IPSec es un conjunto de protocolos que sirven para proteger las comunicaciones entre los equipos. IPSec ofrece características como autenticación, integridad y confidencialidad (cifrado). El objetivo principal de este conjuntos de protocolos que forman IPSec es proteger el contenido de las cabeceras de los datagramas IP contra ataques activos y pasivos mediante la autenticación de la cabecera y el cifrado del contenido.

Existen 2 grupos de protocolos. Protocolo de gestión de claves, IKE (Internet Key Exchange) y sus asociados ISAKMP y OAKLEY KEY. Protocolo de autenticación, cifrado y manipulación de paquetes mediante AH (Authentication Header) y ESP (Encapsulating Security Payload).

IKE centraliza la gestión de asociaciones para reducir el tiempo y genera las claves usadas para securizar la información. El proceso de cifrado está compuesto, como se mencionaba anteriormente, por AH y ESP.

Authentication Header (AH) ofrece autenticación e integridad al protocolo IP, podremos verificar que el datagrama no ha sido modificado. La integridad se calcula con algoritmos SHA 1 o MD5, los cuales calculan el Integrity Check Value (ICV). Para el apartado de autenticación disponemos de Kerberos, para equipos en un dominio, certificados y claves compartidas. Decir que las claves compartidas son útiles en entornos de pruebas, ya que su seguridad depende, de la seguridad de la propia clave. Además, es difícil de mantener en entornos empresariales grandes.

Encapsulating Security Payload (ESP) ofrece confidencialidad, es decir, cifrado. Este protocolo puede ser utilizado a la vez que AH o solo. Los algoritmos de cifrado disponibles en IPSec son DES (56 bit) y 3DES (168 bit). Los algoritmos de firmado son SHA 1 (160 bit) y MD5 (128 bit).

IPSec puede trabajar en dos modos, transporte y túnel. En el modo transporte el cifrado se realiza extremo a extremo. En el modo túnel el cifrado se realiza únicamente entre los extremos del túnel.

IPSec se encuentra disponible desde Windows 2000. En Windows 2000 y 2003 se configura mediante políticas almacenadas en el directorio activo o en el registro local. Controlan la entrada y salida de paquetes permitidos. Las políticas IPSec están formadas por listas de reglas. Sólo podemos tener una política IPSec aplicada en un instante, pero una política está formada por listas de reglas. Las reglas están formadas por asociaciones de acciones y protocolos. Se puede definir a nivel de protocolo o a nivel de protocolo, si éste lo permite. Las acciones permitidas son la de negociar la seguridad, permitir el tráfico que no sea IPSec y pedir seguridad. Ya trataremos estas acciones más adelante.

IPSec en Windows 2008 se configura también mediante políticas almacenadas en el directorio activo o en el registro local. Son aplicables y compatibles con clientes de Windows de versiones anteriores como pueden ser XP, Windows Server 2003, Windows 2000.

Podrán utilizarse políticas por defecto o crearlas manualmente, muy recomendable si queremos "trastear" y aprender más. El sistema proporciona 3 políticas por defecto que van a determinar diferentes comportamientos de la máquina con respecto a IPSec. Cliente, servidor y servidor seguro. Cliente solo responderá a peticiones IPSec. El servidor no obligará a que la comunicación sea segura, pero si pedirá autenticación de confianza. Mientras servidor seguro solo responderá a comunicaciones seguras.

En la siguiente entrega empezaremos a configurar casos prácticos para la implantación y configuración de IPSec en equipos Windows.

===========================================================

IPSec: protegiendo el nivel de red (parte I)

IPSec: protegiendo el nivel de red (parte II)

IPSec: protegiendo el nivel de red (parte III)

===========================================================

3 comentarios: