پروتکل IPsec چیست
در بتدا می خواهیم در مورد اینکه پروتکل IPsec چیست صحبت کنیم و
در ادامه در مورد مزیت ها و ویژگی هایی که دارد و اینکه IPsec شامل چه پروتکل هایی است صحبت کنیم .
IPsec مخفف کلمه Internet Protocol Security است .
که مجموعه از پروتکل ها برای انتقال بسته های داده به صورت امن در لایه شبکه ( لایه سوم از مدل OSI) است.
این پروتکل محصول مشترک شرکت Microsoft وCisco Systems است.
IPsec
مزیت های IPsec
- بر خلاف دیگر پروتکل های امنیتی مثل SSH,SSL,TSL که در لایه انتقال (لایه چهار از مدل OSI) کار می کنند.
IPsec در لایه شبکه کار می کند که باعث افزایش انعطاف پذیری این پروتکل می شود .
- وابستگی به برنامه ندارد و نیاز نیست برنامه بر طبق این پروتکل طراحی شود .
- با تمام دستگاه ها سازگاری دارد .
- از روش های رمزنگاری متنوعی استفاده می کند .
که باعث افزایش امنیت نسبت به دیگر پرتکل ها می شود مثل AES,DES3,AES-256
- در هر زمان ومکانی دسترسی به منابع به صورت ایمن محیا می کند.
- پایدار است , مخصوصا هنگام بعد از تعویض شبکه و یا اتصال مجدد بعد از قطع ارتباط
ویژگی های IPsec
- محافظت از حمله Replay
یک شماره اختصاصی به هر بسته داده(پکت) اختصاص می دهد
که ادر صورت تکراری بودن آن شماره,پکت را حذف می کند.
- محرمانگی اطلاعات یا رمزنگای
امنیت ارتباط VPN به وسیله PFS در این پروتکل افزایش می یابد
که با ایجاد کلید منحصر به فرد در هر ارتباط انجام می شود.
- احراز هویت منبع اطلاعات
به وسیله کد تایید هویت پیام (Hash(HMAC تایید می شود
که پیام تغییر نکرده است.
- شفافیت
Ipsec در لایه شبکه کار می کند که در واقع برای برنامه ها و کاربران شفاف است.
در نتیجه نیازی به تغییرات در مسریاب ها و فایروال ها هنگام استفاده , نیست
- رمزنگای مجدد پویا
در فواصل زمانی مشخص کلید های امنیتی برای رمزگشایی تغییر میکند.
که این باعث جلوگیری از جعل هویت و حملات هکرها می شود.
پروتکل IPsec شامل از دو پروتکل AH و ESP استفاده می کند .
که هر یک از اینها دو پروتکل جدا هستند و یکسری تفاوت ها بین این دو وجود دارد .
Authentication Header
پروتکل AH یا Authentication Header سرویس های امنیتی زیر را تامین میکند .
- تمامیت داده ارسالی
- تصدیق هویت مبدا داده ارسالی
- قبول نکردن داده های تکراری
در این حالت هم پیلود و هم هدر رمزنگاری می شود . به جای AH از اصطلاح Tunnel هم استفاده می شود .
حفاظت تمام داده ها توسط HMAC انجام می شود .
و فقط نقاط نظیر به نظیر از کلید سری که توسط HMAC ساخته شده خبر دارند و می توانند رمزگشایی کنند .
و همان طور که گفته شد چون هدرها هم رمزنگاری می شوند و قابل تغییر نیست
در شبکه هایی که NAT انجام می شود نمی توان از سرویس VPN استفاده کرد .
Encapsulation Security Payload
پروتکل ESP یا Encapsulation Security Payload سرویس های امنیتی زیر را تامین میکند .
- محرمانگی
- احراز هویت
- قبول نکردن داده های تکراری
در این حالت فقط پیلود رمزنگاری می شود و هدرها بدون تغییری به همان صورت باقی می مانند .
به جای ESP از اصطلاح Transport هم استفاده می شود .
در این روش هر دو طرف باید عملیات اهراز هویت انجام دهند و همچنین داده ها به صورت رمزنگاری شده ارسال می شود .
ESP کاملا با NAT سازگار بوده و میتوان از سرویس VPN در شبکه هایی که NAT وجود دارد استفاده کرد .