Das Magazin für Netze, Daten- und Telekommunikation - ITwelzel.biz

ein Paket von Protokollen, deren Implementierung
entweder direkt in den IP-
Stack oder auch zwischen IP-Stack und
Netzwerktreiber erfolgt. Für den Benutzer
ist der Transfer transparent – er erkennt
nicht, ob der Datentransfer über ein
VPN oder eine normale IP-Verbindung
erfolgt.
Im Zusammenhang mit VPNs wird IP-
Sec vermutlich immer im Tunnelmodus
betrieben, aber auch eine normale Transportverbindung
ist möglich. Der Unterschied
besteht darin, dass die Datagramme
bei Ersterem komplett verschlüsselt
und in ein neues Paket gepackt werden.
Der zweite Weg verschlüsselt nur den
Datenteil, also die Nutzlast. Der originäre
IP-Header bleibt erhalten, es kommt
nur ein zweiter IPSec-Header hinzu. Die
Unterschiede liegen in der Praxis im
Bandbreitenbedarf, da im Transportmodus
wesentlich weniger Overhead über
die Leitung geht.
www.lanline.de
SCHWERPUNKT: VIRTUAL PRIVATE NETWORKS
Die Sicherheit von IPSec beruht auf
den Sicherheitsprotokollen Authentication
Header (AH) und Encapsulating Security
Payload (ESP), die innerhalb des
IP-Datagramms untergebracht sind. AH
umfasst Integritäts- und Anti-Replay-
Möglichkeiten. Die Basis dafür bilden
Prüfsummen, etwa mit MD5-Hash-Algorithmen
beziehungsweise dem stärkeren
SHA-1. Sie berechnen sich zum einen
über die Daten des Pakets, zum anderen
über die Quell- und Zieladresse und sorgen
so dafür, dass sich die Adressen auf
dem Transport nicht mehr unbemerkt
verändern lassen. Damit wird vor allem
dem gefährlichen IP-Spoofing, also dem
Vortäuschen falscher Adressen beziehungsweise
Identitäten ein Riegel vorgeschoben.
Hauptsächlich zur Verschlüsselung der
Paketinhalte, also der Nutzdaten, dient
ESP. Es bietet in der aktuellen Implementierung
auch Anti-Replay-Dienste
Security Association Database
Einträge bestehen aus:
Sequence Number Counter
Sequence Counter Overflow
Anti-Replay-Window
AH Information
ESP Information
Gültigkeitsangabe der SA
IPSec Protocol Mode
MTU Pfad
Einträge sind indiziert mit:
Security Parameter Index (SPI)
Ziel-IP-Adresse des äußeren Headers
IPSec Protokoll (AH oder ESP) sowie
den Selektoren aus der Security Policy
Database
und Integritätssicherheit. Aus diesem
Grund empfehlen manche wie Bruce
Schneider in dem Beitrag “Cryptographic
evaluation of IPSec” (Bruce Schnei-
LANline 12/2000 219