امنيت IP

صفحه 1:
4 اذالاص‌دالاان IP ‏امنيت‎ ‎(IPSec) مبتنی بر فصل ۱۳ از کتاب ‎Network Security, Principles and‏ ‎-Practice,2nd Ed‏ ویرایش شده توسط: حمید رضا شهرباری ‎http://www. fata.ir‏ ‎http://mehrshacif edu/~shahriari 1‏ 

صفحه 2:
IOs 0 ya a ‏اننا‎ مقدمه IPSec ‏معماری‎ سرویس ‎IPSec ca‏ مجمع امنیتی(5۸) حالت‌های انتقال بسته‌ها AH ESP LSA ‏ترکیب‎ ‏مدیریت کلید‎ ipa Sear call So 

صفحه 3:
IOs مقدمه - مثالی از ‎TCP/IP‏ End System Y End System Y LAN, WAN, point-to-point link, ‘Appl ‏وچ«‎ ۳ 1۳ ليم مر LLC ‏لو‎ LLC Ac MAC }e—>} MAC fe—>} MAC Physicalf—p] Physical Physical [Physical] Physicall¢—p}Physical 

صفحه 4:
۳0 Total Length Fragment Offset Header Checksum Source Address Destination Address Options + padding 

صفحه 5:
2 مقدمه لا راه حل هاى امنيتى وابسته به کاربرد(تاکنون) ۴ 5/۷۱۶ و ۳0۵۳ : میتی سشکترینیکی ۴ ۴6۲06۲05 : لمنیت سیرک اربر-کارگزار(لحراز هویک " ا55 :ليجلا يككائللامزدر يب ل نياز به امنيت در سطح ‎IP‏ ‏® محرمانگی محتوای بسته های ۱۳ وت تست و ها مركز امليت شيكه شريف. 

صفحه 6:
2 مقدمه 2 ۱۳56 ی کپ روتکلت نها نیستبسلکه مجوعه لعاز اساگوریتمهایلنیتوو چارچوبیک لی‌فرلهم‌می‌کند كه به ک مکانارتباط لمنوبرقرار کرد. سرویسهای امنیتی فراهم شده توسط ۱۳56 (Us ‏هویت شناسی(به همراه کنترل جامعیت داده‎ BF محرمانگی بسته ها "" مدیریت کلید (تبادل امن کلید) Oo مركز امليت شيكه شريف. 

صفحه 7:
IOs مقدمه لا نمونه کاربردهای ۱۳56 ایجاد ۷۳/۷ برای شعبه های مختلف یک سازمان از طریق اینترنت دسترسی امن کارمندان شرکت به منابع شبکه از طریق پنترنت امكان ارتباط امن بين چند سازمان به وجود آوردن خدمات امنیتی برای کاربردهای دیگر(مثل تجارت الکترونیک) ipa Sear call So 

صفحه 8:
IP Ger Heater ies] Pasa Public (Int or Private Network, Networking device with IPSec 

صفحه 9:
IOs مقدمه 1۳56 ‏مزایای استفاده از‎ O ‏تامين امنيت قوى بين داخل و خارج ۷ در صورت بکارگیری در‎ = (oFirewall) & bu 5 tal, ‏عدم سربار رمزنگاری در تقاط انتهایی‎ ‏شفافیت از نظر کاربران‎ ‏شفافیت از دید برنامه های کاربردی لایه های بالاتر‎ ‏ایجاد ارتباط امن بین کارکنان سازمان از خارج به داخل‎ = ipa Sear call So 

صفحه 10:
IOs معماری ‎IPSec:‏ ویژگیها a دارای توصیف نسبتا مشک رفتن مو پروتکل ۹66 در سرآیند (۳۱6306۲)های توسعه یافته و بعد از سرآیند اصلی 1۴ عازی میس مستندات ۱۳۹6 بسیار حجیم بوده و به صورت زیر دسته بندی شده است: Architecture 2 ‎Encapsulating Security Payload (ESP) 2‏ :, 6% بسته ها (احراز هویت به صورت اختیاری) ‎Coy (2s: Authentication ۲۳۱6۵06۲ )۸۵۲( ۲‏ بسته ها ‏ت کلید : تبادل امن کلیدها ‎6 ‏مدير ‏5 الكو ‎ ‎ ‏یتم های رمزنگاری و هویت شناسی ‎ipa Sear call So ‎ 

صفحه 11:
4 معماری :۱۳56 سرويس ها Oo سرویس های ارائه شده: کنترل دسترسی تضمین صحت داده ها در ارتباط 00۳0۳66110۳01655 احراز هویت منبع داده ها (0۲191۳ 0۵1۵) تشخیص بسته های دوباره ارسال شده و رد آنها (6۵۱۵۷ ‎(Attack‏ محرمانگی بسته‌ها * محرمانگی جریان ترافیک مركز امليت شيكه شريف. 

صفحه 12:
معمارى :-ع 8 )2 )|” سرویس ها Dati suthent 

صفحه 13:
IPSec : ‏معماری‎ ‎Security Association IOs exis < Security Association) i ww: O ‏کلیدی در مکانیزمهای احراز هویت و محرمانگی برای 0] بوده و یک رابطه‎ ‏بین فرستنده و گیرنده بسته ایجاد می کند.‎ ۱۳ 5۸ در ابه نوعیمعادل00]۳061[0۳) در نآ لست مركز امليت شيكه شريف. 

صفحه 14:
IPSEC : ‏معماری‎ 6 Security Association A : ‏ویژگیها‎ ‏یک 8/۸ بصورت یکتا با ۳ پارامتر تعیین می شود:‎ FO ‏ب‌کیشته بیتونسبت‎ Security Parameters Index (SPI) ® SA ‏دادم شدمبه‎ ‏آديسرمتصد نهابيم5‎ : 18 Destination Address ® «a SAGs St : Security Protocol Identifier ۴ ESP LAH مركز امليت شيكه شريف. = 

صفحه 15:
IPSec : ‏معماری‎ ‎Security Association IOs SA ‏پارامترهای‎ O Sequence Number Counter Sequence Counter Overflow Anti Replay Windows AH Information ESP Information SA Lifetime IPSec Protocol Mode Maximum Transmission Unit مركز امليت شيكه شريف. 

صفحه 16:
معماری :۱۳56 حالتهای انتقال بسته‌ها IOs در هر دوی 11 و 25۳ دو حالت انتقال وجود دارد: ‎Cransport Mode)Jusi Je 2‏ * تفیرات تنها روی محتوای بسته صورت می گیرد بدون تغیبر سرآیتد 1۳ ‎dunnel Mode) sci 9‏ # اعمال تغییرات روی کل بسته ۴ ا(سرآیند+۳۵۷/۱080) و فرستادن نتیجه به ‎ ‎ipa Sear call So ‎ 

صفحه 17:
2 معماری :۱۳56 ۳ حالتهاى انتقال بستهها لا حالت انتقال *# در کاربردهای انتها به انتها(6۱۱0-10-6100) مثل کار گزار/کارفرما استفاده ‎See‏ ‏۴ 25۳ : یمزنگاری(ضروری و صحت (اختبارع ۳۵۷۱0۵0 بسسته ۳۱/: صحت ۳۵۷۱۵۵0 بسته و قسمتهایانتخانش له سرلیند بسسته مركز امليت شيكه شريف. 

صفحه 18:
7 معماری :۱56 6 حالتهای انتقال بسته‌ها لا حالت تونل © مورد استفاده در ارتباط ‎Gateway « Gateway‏ = هیچ مسیریاب (۲01]6۲) میانی قادر به تشخیص سرآیند داخلی نيست مركز امليت شيكه شريف. 

صفحه 19:
ee (Pucniiccatiy oP Odes Transport Mode SA Tunnel Mode SA Authenticates IP payload and | Authenticates entire inner IP selected portions of IP header | packet (inner header plus IP and IPV6 extension headers. | payload) plus selected portions of outer IP header \d outer IPv6 extension headers. Enerypis IP payload and any | Enerypts entire inner IP IPv6 extension headers packet following the ESP header. ESP with Authentication Enerypis IP payload and any | Enerypts entin 1۳۱6 extension headers packet. Authenticates inner IP following the ESP header packet. Authenticates IP payload but not IP header. 5 00000 

صفحه 20:
Authentication Header 7 (AH) Authentication Header 2 تضمین صحت و احراز هویت بسته های ۱۴ * تامین سرویس صحت داده‌ها با استفاده از ۷۵ ‎HMAC-SHA-1-96 L, HMAC-MD5-96 ©‏ "" طرفین نیاز به توافق روی یک کلید مشترک متقارن دارند مركز امليت شيكه شريف. 0 20 

صفحه 21:
ee uheuticaiod Weader Bit: 0 8 16 31 RESERVED Security Parameters Index (SPI) Authentication Data (variable) 

صفحه 22:
IOs AH [AH gas ‏ل‎ ۲ ۱۵( بسیک: نوع سرلیند بسعدیموجود در بسسته ‎Si A) PayLoad Length‏ طول ام ۱۱۷0 بسیک: شده برلويستفلدهم هاوليندمه 5۸ ‏مربوط ب»‎ ٩۳ ‏۳۲بسیک: برلیتعیین‎ (۹66۰ Param. Index ‏۳۲بیک: شمندم‎ (۹60۱۱6۲۱66 ۲ 23 10162100 لام( متغير) : دیبر گیرنده ۸ با ۱0۷ ‎(Integrity Check Value)‏ مركز امليت شيكه شريف. 0 22 

صفحه 23:
IOs AH 0 محاب ۲۱۵6 طول پیش فرض ‎٩٩‏ بیت( ۳ تا ۳۲ بیتی) "۳ اولین ‎٩٩‏ بیت خروجی الگوریتم ‎HMAC‏ & و۱۵۵ ۲۱۱۵۸۵۱۵ محاسبه ۷0۵62] روی مقادیر زیر انجام می گیرد لكر سرآيند ‎IP tot‏ سرآیند نامتنیر ۵۳و = قسمتهایی از سرآیند که احتمالا در انتقال تغییر می‌کنند(مانند ۲1 ۲). در محاسبه ‎MAC‏ ‏صفر منظور می شوند. آدرسهای فرستنده و گيرنده نیز در محاسبه 062] دخیل هستند(جهت جلوگیری از حمله جعل 18) ‎Sear call So‏ ريف 23 ‎ 

صفحه 24:
IOs AH لا حالتهای انتقال و تونل در ۸۵۳۷ ‎Transports ae ""‏ : برای احراز هویت مستقیم بین کامپیوتر کاربر و کارگزار ‏# حالت تونل(111806) : برای احراز هویت بین کاربر و حفاظ ‎firewall)‏ ‏مركز امليت شيكه شريف. | 24 ‎ 

صفحه 25:
Cxchto-eud versus ‏لولج‎ ee 4 ١ ®ut gg Server External Network 

صفحه 26:
(Scope ve OW Ouhecticativa © AP pooad is NCP seyeveut (data uci) از 1 ‎we al‏ 5 م أ تست | ای ]ی ‎(if present) TCP Data‏ عوط | ۱۳۲6 ea (Ohne Ceterk men Oeser 

صفحه 27:
(Scope ve OW Ouhecticativa ‏وه‎ Oode روم للم و بالط :169 9 -authenticated except for mutate fields orig IP ha [AN] TOR Data بر جل ‎exeopt for mutable fields‏ ام 

صفحه 28:
(Scope ve OW Ouhecticativa Puce Orde authenticated except for mutable isin the new authenticated except for mutable fields in new IP header and its extension headers 3 ome [ar [oe [ow] ia | ces [re | me] 

صفحه 29:
IOs AH روش ‎(Replay) 1S ale> & ablis‏ اختصاص یک شمارنده با مقدار صفر به هر 5۸ ی شمارنده به ازای هر بسته جدید که با این 9/۸ فرستاده می شود *# اگر شمارنده به مقدار ۱-۲۳ برسد باید از یک 5/۸ جدید با کلید جدید استفاده کرد 8 درنظرگرفتن یک پنجره به اندازه 27۶ ۷۷ لبه سمت راست پنجره به بزرگترین شماره بسته رسیده و تاییدشده از نظر صحت می باشد ipa Sear call So 29 

صفحه 30:
IOs بسته جدید و داخل محدوده پ ‎MAC wu. 2‏ و علامت ودن خانه متناظر در پنجره در صورت تایید هویت _ بسته خارج از محدود پنجره (سمت راست) ‎MAC ub O‏ تایید هویت و شیفت پنجره به سمت راست. به طوری که خانه متاظرسست راست له ن = بسته جدید خارج از محدوده پنجره یا عدم احراز هویت آن 5 دور انداخته مى شودا ‎Sear call So‏ ريف 30 ‎ 

صفحه 31:
IOs Advance window if valid packet to the right is received Fixed window size W I wast N N-W N41 marked if valid unmarked if valid packet received packet not yet received ipa Sear call So 31 

صفحه 32:
ESP 4 ویزگیها *#_ پشتیبانی از محرمانگی داده و تا حدی محرمانگی ترافیک * امکان استفاده از هوبت شناسی(مشابه ‎(AH‏ ‏استفاده از الكوريتم 0125] در مد :86 (امكان استفاده از ۳-,5] ‎Blowfish ,RC5, IDEA, 3-IDEA, CAST‏ » 2373 دارد) مركز امليت شيكه شريف. 32 

صفحه 33:
IOs ESP لا فيلدهاى 258 01 كات م5 ‎Ja‏ 6 5 : شمیندم برای‌جلوگیریاز حمله تکار مشابه ‎ope jy AS icles : Payload‏ ‏0019 بیتهایلضافی ‎uw 4J,b: Pad Length‏ بللا ‎۴۵۱۱۵۵0 12 ‏داده موجود در‎ ¢,;:Next Header ‎Authentication Data‏ : متدار ۱۷۸۵62 محاسبه شده (بنيزدر نظر گرفتن‌خود فیلد) ‏مركز امليت شيكه شريف. 33 ‎ 

صفحه 34:
Bit 0 16 24 Security Parameters Index (SP) Sequence Ni Payload Data (variable) f bytes) Padding (0 Pad Length | Next Header a (variable) Authentication 0 © 

صفحه 35:
IOs ESP لا حالت انتقال تضمین محرمانگی بین 905 ها رمزنگاری بسته داده دنباله 25۳ و اضافه شدن ۷/۸] درصورت انتخاب هویت شناسی توسط مبداء تعیین ‎sb Router Ls‏ میانی با استفاده از سرآیندهای اصلی(که رمز نشده اند) چک کردن سرآیند 1۴ توسط مقصد و واگشایی رمز باقیمانده پیغام امکان آنالیز ترافیک مركز امليت شيكه شريف. 0 35 

صفحه 36:
ee Presper Dodo BOP © sed Por poe runicativa betwee hosts Boe ss’ 4 atrniested —$> sespted 

صفحه 37:
IOs ESP ‎Oo‏ حالت تونل "" اضافه شدن آدرس مبداء و مقصد دروازه های حروجی فرستنده و كيرنده. سرآيند 5۳ و دنباله ‎٩9۳‏ و قسمت مربوط به ۷0/۹ در ‏صورت نیاز(برای هویت‌شناسی) انجام مسیریابی 5 ‎Router‏ میانی از روی آدرس‌های جدید ‎ ‏رسیدن بسته به فایروال شبکه مقصد و مسیریابی از روی آدرس ۱ قبلی تا گره نهایی ۴ حالت تونل ©2566 1 یکی از روشهای ایجاد ۷/۳۷ها است ‎ipa Sear call So 37 ‎ 

صفحه 38:
Puncel Orde CGP Encrypted imme SOE carrying IP traffic 

صفحه 39:
WSA ‏ترکیب‎ 4 لأ با توجه به اینکه هر 9۸ تنها یکی از سرویسهای ۸۵۳۱ یا 25۳] را پیاده سازی کرده است. برای استفاده از هر دو سرویس باید آنها را باهم تركيب كرد لا تركيبهاى مختلف بياده سازى ©1656 توسط ]۱05 هاى متناظر * بياده سازى ©1256 توسط ‎gateway‏ ها # ترکیب دو حالت بالا مركز امليت شيكه شريف. 39 

صفحه 40:
One or More SAs eo 

صفحه 41:
1 1 1 | Security 'Gateway* Internet Host ea 

صفحه 42:
‘Tunnel SA ‘One or Two SAs | Security ' Gateway* 

صفحه 43:
‘Tunnel SA One or Two SAs | Security 'Gateway* Internet 

صفحه 44:
IOs مدیریت کلید عموما به ۶ کلید سری. دو تا پرای ۳۱و دو تا برای 5۳] (در دو جهت) نیازمندیم. برای تولید و توزیع این کلیدها به یک مکانیزم مدیریت کلید نیازمندیم. ipa Sear call So 44 

صفحه 45:
2 4 مدیریت کلید 0 مديريت كليد دستى : تنها در سيستم هاى ايستا و كوجك قابل استفاده است لط مدیریت خودکار : # پروتکل اتوماتیک و پیش فرض مدیریت و توزیع کلید ۱۳56 اصطلاحا 5/۵۷۳/0۵۱۱6۷| نامیده می شود. ipa Sear call So 45 

صفحه 46:
IOs ۰ عدیریت مدیریت کلید یت کلید خودکار به نام 15/0۳/0116 معروف است و شامل دو فاز است Oo پروتکل تعیین کلید ‎Bakley:‏ : فرم توسعه یافته پروتکل -1۴66ظ ‎Hellman‏ که ضعفهای آن را برطرف کرده است ‎Clogging Attack =‏ سلیع قربانیت لفمی‌شود. با استفاده از تعریف مفهومی تحت عنوان 001616 مشکل این حمله را برطرف می کند ‎Man-In-The-Middle- Attack 5‏ ‎Replay Attack =‏ با استفاده از 800106 با حمله هاى تكرار مقابله مى کند. يروتكل مدیریت کلید و 5۸ در اینترنت(15۸16۳) یه ها و قالب بسته ها برای برقراری» مذاکره تغییر یا حذف 5۸ ipa Sear call So 46