From Wikipedia, the free encyclopedia
IPsec یا همان Internet Protocol security عبارت است از مجموعهای از چندین پروتکل که برای ایمنسازی پروتکل اینترنت در ارتباطات به وسیلهٔ احراز هویت و رمزگذاری در هر بسته(packet) در یک سیر داده به کار میرود. این پروتکل محصول مشترک مایکروسافت و سیسکو سیستمز است که در نوع خود جالب توجه است.
![]() | لحن یا سبک این مقاله بازتابدهندهٔ لحن دانشنامهای مورد استفاده در ویکیپدیا نیست. |
خانواده پروتکل IPSec شامل دو پروتکل است؛ یعنی سرآیند احراز هویت یا AH یا همان authentication header وESP هر دوی این پروتکلها از IPSec مستقل خواهد بود.
بهطور خلاصه پروتکل AH در واقع تأمینکننده سرویسهای امنیتی زیر خواهد بود:
این پروتکل برای تمامیت داده ارسالی از HMAC استفاده میکند و برای انجام این کار مبنای کارش را مبتنی بر کلید سری قرار میدهد که payload پکت و بخشهایی تغییرناپذیر سرآیند IP شبیه IP آدرس خواهد بود. بعد از اینکار این پروتکل سرآیند خودش را به آن اضافه میکند در شکل زیر سرآیندها و فیلدهای AH نمایش داده شدهاست.
۰–۷ بیت | ۸–۱۵ بیت | ۱۶–۲۳ بیت | ۲۴–۳۱ بیت |
---|---|---|---|
next header | Payload طول | رزرو | |
Security parameters index SPI | |||
Sequence number | |||
Authentication data (متغیر) |
سرآیند AH،۲۴ بایت طول دارد. حال به توضیح فیلدهای این پروتکل میپردازیم.
پروتکل ESP سرویسهای امنیتی زیر را ارائه میکند:
در واقع پروتکل ESP هم امنیت تمامیت داده (سلامت دادههای ارسالی) پکتهایی که از HMAC استفاده میکنند را تأمین کنید و هم محرمانگی از طریق اصول رمزنگاری (Encryption principle) بکار گرفته شده. بعد از رمزنگاری پکت و محاسبات مربوط به HMAC، سرآیند ESP محاسبه و به پکت اضافه میشود. سرآیند ESP شامل دو بخش است که مطابق شکل زیر نمایش داده شدهاست.
۰–۷ بیت | ۸–۱۵ بیت | ۱۶–۲۳ بیت | ۲۴–۳۱ بیت |
---|---|---|---|
Security parameters index | |||
Sequence number | |||
Payload data (متغیر) | |||
لاگذاری (۲۵۵–۰ بایت) | |||
Pad Length | Next Header | ||
Authentication Data (متغیر) |
پردازش رمزنگاری در IPSec در دو بلوک رمز (Cipher) بکار میرود؛ بنابراین اگر طول Payloadها تک تک باشند. Payload, IPSecها را به شکل لایه لایه قرار میدهد؛ و از اینرو طول این لایهها همواره در حال اضافه شدن است. طول لایه (Pad length) ۲ بایت است.
NAT هیچ ارتباطی به کار ESP ندارد و این بخش هنوز هم ممکن است بخشی از IPSec باشد و با آن ترکیب گردد. برگردان نشانی شبکه پیمایشی (NAT-Traversal) راه حلی است در کپسوله کردن پکتهای ESP به همراه پکتهای UDP. در شکل زیر حالتهای انتقال و تونل در پروتکلESP به نمایش درآمدهاست.
همانطور که میبینید این پروتکل در این دو حالت ارتباط امن بین دو نقطه انتهائی که در دو شبکه مجزا قرار دارند را فراهم میآورد، همچنین ارتباط امن بین دو نقطه در یک شبکه داخلی و یک نقطه انتهائی و یک مسیر یاب یا حفاظ دیواره آتش (Firewall) را ممکن میسازد.
معماری امنیتی با استفاده از مفهوم انجمن امنیتی (security association) مبنایی یرای ایجاد توابع امنیتی در IP است. انجمن امنیتی یک بسته ساده از الگوریتمها و پارامترها (مثل کلیدها) ست که در رمزگذاری و احراز هویت یک جریان خاص در یک جهت استفاده میشود؛ بنابراین در ترافیکهای دوطرفه از یک جفت انجمن امنیتی، برای امن کردن استفاده میشود. انجمن امنیتی با استفاده از انجمن امنیت اینترنت و پروتوکل مدیریت کلید (ISAKMP) ایجاد شدهاست. ISAKMP توسط پیکربندی دستی و با رمزهای مشترک قبلی پیادهسازی میشود.
در مالتی کست، انجمن امنیتی برای گروه فراهم میشود و Duplicate در تمام گیرندههای مجاز گروه اتفاق میافتد. ممکن است برای یک گروه بیش از یک انجمن امنیتی با استفاده از SPIsهای مختلف وجود داشته باشد که در نتیجه سطوح امنیتی مختلفی در یک گروه ایجاد میکند.
IPSEC میتواند حالت انتقال هاست به هاست را در شبکه و درمد تونل پیادهسازی کند.
در مد انتقال تنها پیلود بستههای IP معمولاً به صورت رمزگذاری شده یا معتبر است از آنجایی که هدر IP نه تغییر داده شده و نه رمز شدهاست، با این حال زمانی که هدر احراز هویت میشود، IP آدرس را نمیتواند ترجمه کند که این مقدار hash بیاعتبار است. لایه انتقال و لایه کاربرد معمولاً به وسیله hash امن میشوند؛ بنابراین آنها نمیتوانند به هیچ وجه تغییر پیدا کنند (به عنوان مثال با ترجمه شماره پورت).
در مد تونل تمام بستههای اطلاعاتی IP رمزگذاری و احراز هویت میشوند. پس از آن در یک بسته IP جدید با یک سرآیند جدید کپسوله میشوند. حالت تونل برای ایجاد شبکه خصوصی مجازی در ارتباطات شبکه به شبکه (به عنوان مثال بین روتر و لینک سایت)، ارتباطات هاست به شبکه (مانند دسترسی به کاربر از راه دور) و ارتباطات هاست به هاست (مانند چت خصوصی) استفاده میشود.
الگوریتمهای رمزنگاری تعریف شده برای استفاده با IPSEC شامل:
SHA1-HAMC برای حفاظت از صداقت و صحت
CBC-TRIPLE DES برای محرمانگی
AES برای قابلیت اعتماد
پیادهسازیهای موجود IPSEC معمولاً شامل AH,ESP و IKE V2 است. پیادهسازی IPSEC موجود روی سیستم عاملهای شبه یونیکس، مانند سولاریس یا لینوکس معمولاً شامل PF-KEY V2 هستند.
IPSEC معمولاً در ارتباط با IP V6 توسعه داده شد و در اصل در تمام پیادهسازیهای استاندارد از IPV6، IPSEC مورد نیاز است. IPSEC برای پیادهسازی IPV4 اختیاری است و در IPV4 اغلب برای ایمنسازی ترافیک مورد استفاده قرار میگیرد. پروتوکل IPSEC در اصل در RFC 182 و RFC 1829 تعریف شد که در سال ۱۹۹۵ منشر شد. در سال ۱۹۹۸ این اسناد توسط RFC 2401 و RFC 2412 با جزئیات مهندسی ناسازگار جایگزین شدند اگرچه از لحاظ مفهومی یکسان بودند. IP SEC نسل سوم استانداردها است.
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.