Lectures for 2008 - KTH

KURSKOMPENDIUM NÄTVERKSSÄKERHETSKURS
___________________________________________________________________________
fokus. Därefter kom den något självbedrägliga tanken att en brandvägg förenklar
säkerhetsarbetet så att man inte behöver underhålla och säkra upp varje enskild enhet.
Ett sätt att uppnå detta är att införa distribuerade brandväggar som har centraliserad
administration. Detta uppmärksammades i diverse forskningsprojekt i slutet på 1990-talet,
främst genom Steve Bellovins banbrytande rapport ”Distributed Firewalls” 70 . Bellovin
föreslog att man skulle använda IPSecteknologins möjligheter till paketfiltrering i
kombination med dess hantering av elektroniska certifikat och PKI. Genom att med
centralstyrda policymekanismer kontrollera filtreringen kan varje nod i nätet skydda sig mot
såväl uppkopplingar och sedan kan de använda PKI för att autentisera användare och
anslutande system. Speciella certifikat skulle dessutom kunna användas för att intyga att man
hade en viss nivå och typ av installerad programvara. Ett anslutande system med alltför
gammal eller en programvara som var i strid mot policyn kunde nekas åtkomst till tjänsten
även fast den IP-mässigt redan kommit över första hindret – att ansluta till en viss port.
Vissa produkter finns idag på marknaden för denna typ av distribuerade brandväggar. Dock
har det primära användningsområdet hittils varit att styra personliga brandväggar på
distansarbetsplatser. Då problem med maskar och olika typer av attacker som idag slipper
igenom huvudbrandväggen eller helt uppstår bakom denna så kommer behovet tvinga fram en
användning av denna typ av arkitektur även inom de interna nätverken.
4.3 Adress- och portöversättning
Tillgången av IPv4-adresser är begränsad och organisationer får i allmänhet inte tillgång till
IP-adresser i önskad mängd. För att hantera problemet med adresstillgången nyttjas
adressöversättning i vissa brandväggar eller andra system med adressöversättningskapacitet.
Definition 51: Adressöversättning är en automatisk metod att via konverternigstabell förändra adresser i IPpaket
som passerar via addressöversättningsutrustningen.
(eng. Network Address Translation, NAT) För att kunna skicka eller ta emot svar behåller
adressöversättaren information i en konverteringstabell om de paket ingår i kommunikationen
mellan parterna.
Adressöversättning, som funktion, anses ofta vara en säkerhetshöjande åtgärd. Säkerheten
består i att man internt i en organisation använder IP-adresser som inte är publikt tillgängliga.
Adressöversättning används till exempel för att översätta IP-paket mellan ett internt nät som
använder privata IP-adresser 71 (s.k. RFC1918-adresser) - vilka inte får förekomma ute på
Internet - och en eller flera officiellt tilldelade IP-adresser och som är synliga på utsidan av
adressöversättaren. Adressöversättning som säkerhetsmetod förekommer vanligt i mindre
brandväggsutrustning typ bredbandsrouters eller s.k. SOHO-brandväggar för hem- och
småföretagsmarkaden.
Adressöversättare består av två eller fler nätverksanslutningar. De olika
nätvkersanslutningarna har egna IP-adresser. För att kunna skicka eller ta emot svar behåller
adressöversättaren information i en konverteringstabell om de paket ingår i kommunikationen
mellan parterna. När ett trafikflöde startar så skapas en NAT-regel innehållande
70 Bellovin, Steven M. ”Distributed firewalls” http://www.cs.columbia.edu/~smb/papers/distfw.pdf
71 Rekhter mfl. (1996) RFC 1918 Address Allocation for Private Internets. ftp://ftp.ietf.org/ rfc/rfc1918.txt
Copyright (c) 2003-2008 Robert Malmgren AB. All rights reserved Sid 69 (139)