Sikkerhetstjenester og trusselklasser

Rammeverket fra Stallings deler angrep i to:

Passive angrep observerer uten å endre noe: avlytting av innhold og trafikkanalyse. De etterlater ingen spor, så deteksjon er urealistisk — forsvaret er forebygging, det vil si kryptering og eventuelt skjuling av metadata.
Aktive angrep endrer eller genererer data: maskerade, replay, modifikasjon og tjenestenekt (DoS). De kan i prinsippet oppdages, men er vanskelige å hindre fullstendig.

Sikkerhetstjenestene er konfidensialitet, integritet og tilgjengelighet (CIA-triaden), samt autentisering og ikke-avvisning. Merk at DoS rammer tilgjengelighet, som kryptografi i praksis ikke beskytter, og at ikke-avvisning krever asymmetrisk kryptografi — en delt MAC-nøkkel kan ikke overbevise en tredjepart om hvem som lagde taggen.

Hva IPsec er

IPsec legger sikkerheten på nettverkslaget og beskytter derfor all IP-trafikk transparent, uten at applikasjonene må endres. Det er den grunnleggende arkitektoniske forskjellen fra TLS, som ligger over transportlaget og må brukes bevisst av hver applikasjon.

To sikkerhetsprotokoller:

	AH (protokoll 51)	ESP (protokoll 50)
Konfidensialitet	Nei	Ja
Integritet / dataopprinnelse	Ja	Ja (valgfritt)
Dekker IP-headeren	Ja (uforanderlige felt)	Nei
Overlever NAT	Nei	Ja

Nettopp fordi AH autentiserer IP-adressene, og NAT skriver om dem, er AH i praksis fortrengt av ESP. Trenger man integritet uten konfidensialitet, brukes ESP med NULL-kryptering.

Transportmodus og tunnelmodus

Transportmodus beholder den opprinnelige IP-headeren i klartekst og beskytter bare det som ligger over IP (typisk hele TCP-segmentet). Brukes vert-til-vert.

Tunnelmodus kapsler inn hele den opprinnelige IP-pakken som nyttelast og bygger en ny ytre IP-header med gateway-adressene. Brukes så snart minst ett endepunkt er en gateway. Den indre headeren — altså hvem som faktisk snakker sammen — er kryptert; den ytre må være i klartekst for at pakken skal kunne rutes.

Eksempel 1 — regn ut overheaden

En IPv4-pakke på 1400 byte sendes med ESP i tunnelmodus. Ny IP-header 20 B, ESP-header 8 B, eksplisitt IV 16 B, ICV 12 B; traileren består av padding pluss 2 B, og det krypterte området fylles til multiplum av 16 B.

Kryptert område: $1400 + 2 = 1402 \to \lceil 1402/16\rceil = 88$ blokker $= 1408$ B (6 B padding).

Totalt: $20 + 8 + 16 + 1408 + 12 = 1464$ B.

Overhead: 64 B, altså vel 4,5 %. Overskrider resultatet lenkens MTU, må pakken fragmenteres — derfor settes MSS/MTU ofte ned på tunnelgrensesnittet.

Tre arkitekturer

Arkitektur	Typisk bruk	Modus	Beskyttelse
Vert-til-vert	To servere som snakker direkte	Transport	Ekte ende-til-ende
Vert-til-gateway	Fjernaksess (hjemmekontor)	Tunnel	Klient til gateway
Gateway-til-gateway	Site-to-site-VPN mellom to kontorer	Tunnel	Bare mellom gatewayene

Det viktigste drøftingspoenget er hvor beskyttelsen slutter. I en gateway-til-gateway-tunnel går trafikken i klartekst på begge de interne nettene; bare vert-til-vert gir reell ende-til-ende-sikkerhet. Skal man ha begge deler, kan modusene nøstes.

Eksempel 2 — skalering

Seks kontorer skal knyttes sammen i full mesh. Hvor mange tunneler og SA-er?

Antall par: $\binom{6}{2} = 15$ toveis tunneler.

En SA er enveis, så hver tunnel krever minst to: $15 \times 2 = 30$ SA-er.

Generelt $n(n-1)/2$ tunneler og $n(n-1)$ SA-er — kvadratisk vekst, som er grunnen til at store nett bruker nav-og-eike i stedet for full mesh.

Security associations og IKE

En security association (SA) er den enveis avtalen om algoritmer, nøkler, levetid og sekvensnummer. Den identifiseres av trippelen (SPI, destinasjonsadresse, protokoll), og SPI-en står i AH-/ESP-headeren slik at mottakeren finner riktig rad i SAD. Policyen — om en pakke skal beskyttes, slippes gjennom eller forkastes — ligger i SPD.

IKE er kontrollprotokollen: den autentiserer partene (forhåndsdelt nøkkel eller sertifikat) og kjører en efemer Diffie–Hellman-utveksling som gir nøkkelmaterialet. DH-delen er det som gir forward secrecy; autentiseringen er det som hindrer mann-i-midten. Velges PFS ved rekeying, gjøres en frisk DH-utveksling for hver nye SA, slik at nøkkelperiodene blir kryptografisk uavhengige.

Anti-replay løses med et monotont voksende sekvensnummer og et glidende vindu hos mottakeren. Sekvensnummeret er dekket av integritetssjekksummen og kan derfor ikke forfalskes. SA-en må byttes før telleren går rundt — ellers svikter replay-vernet, og for tellerbaserte moduser som GCM ville samme nonce blitt brukt to ganger med samme nøkkel.

Metadata: hva IPsec kan og ikke kan skjule

ESP i tunnelmodus skjuler de indre IP-adressene, portnumrene og innholdet. Den skjuler ikke gateway-adressene i den ytre headeren, og heller ikke pakkestørrelser og tidsmønster. TLS skjuler til sammenligning ingenting av IP-metadataene i det hele tatt, siden det ligger over transportlaget. Dette er den ene egenskapen IPsec kan tilby som TLS ikke kan.

Reell trafikkflytkonfidensialitet krever i tillegg padding til fast lengde og dummy-trafikk, slik at volum og rytme blir uavhengige av innholdet. Prisen i båndbredde gjør at det sjelden brukes utenfor høysikkerhetsmiljøer.

Her ligger også en prinsipiell konflikt som egner seg godt til drøftingsoppgaver: metadata kan bare skjules av et mellomledd som ser og re-innkapsler trafikken — men da må nettopp det mellomleddet klareres, noe som er det motsatte av ende-til-ende-sikkerhet. Den samme avveiningen ses i e-post: PGP beskytter innholdet ende-til-ende, men ikke headerne; hopp-for-hopp-TLS beskytter headerne mot utenforstående, men ikke mot serverne.

IPsec kontra TLS

	IPsec	TLS
Lag	Nettverkslaget	Over transportlaget
Applikasjonsendring	Ingen — transparent	Applikasjonen må bruke det
Skjuler IP-metadata	Ja (tunnelmodus)	Nei
Autentiseringsenhet	Vert eller nett	Tjeneste, ofte også bruker
Forward secrecy	Ja, via IKE med DH	Ja, via (EC)DHE

En bieffekt av IPsec som ofte overses: siden ESP krypterer transportlaget, ser hverken brannmur eller innbruddsdeteksjon porter og innhold lenger. I praksis termineres derfor tunnelen i eller foran brannmuren.

Passordlagring

Passord lagres aldri i klartekst, men hashes med et unikt tilfeldig salt per bruker. Saltet gjør at samme passord får ulik hash, slik at ferdigberegnede ordbøker og regnbuetabeller blir ubrukelige dersom databasen lekker. Saltet hjelper derimot ikke mot gjetting mot selve påloggingen — der brukes ratebegrensning — og gir ingen konfidensialitet i seg selv. Moderne løsninger bruker i tillegg bevisst langsomme funksjoner (bcrypt, scrypt, Argon2) for å gjøre offline-gjetting dyrere.

Studieguide: IPsec, VPN og sikkerhetstjenester