Protokoly IPsec a TLS Flashcards
IPSec
IPsec je sada protokolů zajišťujících bezpečnost dat přenášených přes IP sítě.Pracuje na síťové vrstvě (L3): end-to-end šifrování TCP/UDP komunikace mezi zařízeními s IP adresou. Je navržen k poskytování autentizace, integrity a šifrování. Používá se zejména pro vytváření VPN (virtuálních privátních sítí).
IPsec funguje na síťové vrstvě modelu TCP/IP. Chrání IP datagramy bez ohledu na protokoly vyšších vrstev (např. TCP, UDP).
Šifrují se data v paketech (transport) nebo pakety celé (tunnel), včetně podpory autentizace.
Utajení: Používá symetrické šifrovací algoritmy (např. AES), které chrání obsah dat před odposlechem.
Integrita: Zajištěna pomocí hashovacích algoritmů (např. HMAC-SHA-256), které detekují změny v přenášených datech.
IPSec - Authentication Header, Encapsulating Security Payloads a Security Association
Authentication header zajišťuje integritu a autentičnost IP paketů, chrání proti replay útokům.
Encapsulating Security Payloads zajišťuje důvěrnost pomocí šifrování.
Security Association popisuje IPSec spojení včetně parametrů zabezpečení.
Aktivní spojení je uloženo v databázi (SAD), management a pravidla jsou uložena v SPD (Security Policy
Database).
Pro ustanovení klíče IPSec využívá symetrickou kryptografii: pre-shared key, IKE1/2,
Kerberos.
IPsec - Průběh Komunikace
Negotiace parametrů: Komunikace začíná vyjednáním parametrů zabezpečení pomocí protokolu IKE (Internet Key Exchange).
To zahrnuje:
Volbu kryptografických algoritmů.
Výměnu klíčů.
Ověření identity obou stran.
Zabezpečení dat:
Transportní mód: Chrání pouze uživatelská data (IP payload).
Tunelovací mód: Šifruje celý IP paket, včetně hlavičky, a vytváří nový vnější IP paket.
Přenos: Šifrovaná data jsou přenášena mezi koncovými body.
TLS
TLS je protokol navržený k zabezpečení komunikace na transportní vrstvě (Layer 4 modelu TCP/IP). Poskytuje šifrování, autentizaci a integritu dat. Nejčastěji se používá v kombinaci s HTTP (HTTPS), ale podporuje i další aplikace, jako SMTP nebo FTP.
Pracuje na transportní vrstvě (L4): end-to-end šifrování TCP/UDP mezi klientem a serverem, pro aplikační vrstvu transparentní. Je složen z handshake (inicializace spoje, autentikace stran, ustanovení klíče), record (datový přenos, MAC autentizace) a alert
(notifikace chyb a varování) protokolů.
Utajení: Komunikace je šifrována pomocí symetrických algoritmů (např. AES).
Integrita: Data jsou ověřována pomocí hashovacích funkcí (např. HMAC-SHA-256).
TLS - Průběh komunikace
Handshake:
-Klienti a servery si vymění informace o podporovaných šifrovacích algoritmech a ověřovacích mechanismech.
-Server poskytne klientovi certifikát pro ověření své identity (pomocí PKI - Public Key Infrastructure).
-Proběhne výměna klíčů, často pomocí algoritmů jako RSA nebo Diffie-Hellman.
Zabezpečení dat:
-Po navázání bezpečného spojení se používají symetrické klíče k šifrování přenášených dat.
-Pro zajištění integrity je implementován Message Authentication Code (MAC).
