Tutto quello che devi sapere su IPSecure

Definizione

Internet Protocol Security (IPSec) è una collezione di protocolli implementati da IETF che fornisce un metodo robusto e facilmente espandibile per garantire la sicurezza del protocollo IP, sia esso versione 4 sia 6, e dei protocolli di livello superiore (come ad esempio UDP e TCP), proteggendo i pacchetti che viaggiano tra due sistemi host, tra due security gateway (ad esempio router o firewall) oppure tra un sistema host e una security gateway.

La sicurezza viene raggiunta attraverso la cifratura e l'autenticazione dei pacchetti IP. La sicurezza viene fornita, quindi, a livello di rete. La capacità di fornire protezione a livello di rete rende questo protocollo trasparente al livello delle applicazioni che non devono essere modificate.

IPSec permette di:

• Rendere sicure le comunicazioni tra diversi uffici di un’organizzazione.


• Rendere sicuro l’accesso remoto via Internet.


• Stabilite connettività intranet/extranet con partner aziendali.


• Miglioramenti nella sicurezza del commercio elettronico.


• Rendere sicure le VPN basate su reti IP.

IP Sec offre come servizi principali:

• Controllo degli accessi;


• Integrità dei datagrammi;


• Autenticazione dell'origine dei dati;


• Rifiuto dei pacchetti introdotti nuovamente in rete (una forma parziale di verifica dell'integrità di sequenza);


• Riservatezza (mediante l'uso della crittografia);


• Limitata riservatezza del flusso del traffico.

Come funziona IPsec?

IPSec crea delle comunicazioni sicure che sono basate su:

-         Protocolli di garanzia dell'integrità dei dati

-         Algoritmi cronografici

Per ogni trasmissione di dati, IPSec stabilisce una connessione di un certo tempo.

Per ogni trasmissione IPSec tiene un certo numero d’informazione sulla connessione usando La SAD (Security Association Database.)

Per controllare gli accessi alla connessione IPSec usa la SPD (Security Policy Database).

Per garantire l'integrità dei dati L'IPSec usa 2 protocolli (Authentication Header (AH) e Encapsulating Security Payload (ESP). )

Per garantire lo scambio delle chiavi e realizzare un flusso crittografato, IPSec usa il protocollo IKE (Internet Key Exchange.)

Per funzionare IPSec ha due modalità:

-Modalità Trasporto (Transport Mode): quando, tra due sistemi terminali di una connessione IPSec, viene a essere garantita la sicurezza dei protocolli di livello superiore a IP;

-Modalità Tunnel (Tunnel Mode): quando gli attori vengono a essere le security gateway e la sicurezza è data a tutto il pacchetto IP.

Figura1: Architettura dell'IPSec

IPsec in dettaglio

Security Policy Database (SPD)

SPD definisce i requisiti di sicurezza per IPSec. E' consultato ogni qualvolta sia necessario trattare del traffico, sia in ingresso sia in uscita e basandosi su caratteristiche legate al protocollo IP, oppure a quanto contenuto nei protocolli di livello superiore, permette l'applicazione di un semplice criterio:

• Scarta: impedirà al pacchetto di entrare/uscire;


• Non applicare: non applicherà i servizi di sicurezza al pacchetto in uscita e non si aspetterà di averne sul pacchetto in entrata;


• Applica: applicherà i servizi di sicurezza al pacchetto in uscita e si aspetterà di averne sul pacchetto in entrata.

Security Association (SA) e Security Association Database (SAD)

Una SA è un insieme di accordi circa i protocolli, gli algoritmi crittografici e le chiavi da utilizzare per la comunicazione IPSec.

Ogni SA, che sia creata manualmente o come vedremo dopo, mediante IKE, definisce, anche in base al protocollo utilizzato, che sia esso AH o ESP, un legame di tipo unidirezionale. Supponendo, ad esempio, di avere due sistemi, A e B, connessi mediante IPSec, si avrà per ognuno dei due una SA_ingresso ed una SA_uscita, aventi però gli stessi parametri dal punto di vista crittografico.

SAD è l'archivio all'interno del quale, ogni singolo sistema conserverà un elenco delle SA attive, identificandole con i seguenti parametri.

• Gli indirizzi IP dei peer coinvolti nella comunicazione.


• Il protocollo che sarà utilizzato per il tunnel (AH o ESP.)


• Le tecniche di cifratura utilizzate e le relative chiavi.


• Un intero a 32 bit chiamato SPI, acronimo per Security Parameter Index.

Autentication Header (AH)

AH rappresenta una Semplice autenticazione e permette di autenticare il mittente ed evitare attacchi “man in the middle”.

Garantisce l'integrità del messaggio ma non offre la confidenzialità.

Figura2: Autentication Header

Encapsulating Security Payload (ESP)

Corrisponde allo scenario di autenticazione e crittazione.

Abbiamo autenticazione del mittente e crittazione del payload. Livello massimo di sicurezza, ma viene “oscurato” il payload IP, quindi crea problemi per il caching, il filtering e la gestione della QoS.

In questo caso abbiamo confidenzialità e controllo d’integrità del messaggio.

Figura 3:Encapsulating Security Payload:

Modalità di Funzionamento:

Figura 4: Modalità di Funzionamento dell'IPSec:




Trasporto:

Nella modalità trasporto, l'intestazione Ipsec è inserita subito dopo di quella dell'IP. Il campo Protocol nell'intestazione IP è cambiato in modo da indicare che un'intestazione IPsec segue quella solita dell'IP. L'intestazione IPsec contiene le

informazioni di sicurezza: l'identificatore SA, un nuovo numero di sequenza,

eventualmente un controllo d’integrità del campo payload.

La modalità trasporto non cambia di molto la lunghezza del pacchetto. Aggiunge un

intestazione al pacchetto IP detta AH (Authentication Header). AH garantisce il controllo

dell'integrità e la sicurezza contro gli attacchi di ricezione, ma non la segretezza (cioè la cifratura).Nel transport mode si devono ricalcolare i checksum dell’IP e del TCP.

Tunnel:

Nella modalità tunnel l'intero pacchetto IP, compresa l'intestazione, è incapsulato nel corpo di un nuovo pacchetto IP con un'intestazione IP completamente diversa. La modalità tunnel è utile quando il tunnel arriva in un posto diverso dalla sua destinazione finale. Il tunnel di solito arriva a una macchina con un gateway sicuro, per esempio il firewall dell'azienda. Facendo terminare il tunnel su questa macchina sicura, il pacchetto è mandato in chiaro al destinatario sulla LAN dell'azienda. Il firewall si occupa di decifrare il messaggio. La modalità tunnel è utile anche nella situazione in cui si vuole aggregare un insieme di connessioni TCP, per poi gestirle come un unico flusso cifrato. In questo modo si evita che un intruso possa avere informazioni sul traffico: per esempio chi sta mandando dei pacchetti, a chi li sta mandando e quanti ne sta inviando (Analisi del traffico).

Casi Pratici di uso dell'IPSec:

•    due diverse sedi comunicano tramite un tunnel reso sicuro,

•    gli utenti esterni (telelavoro, utenti in viaggio, etc.) accedono alla rete aziendale tramite un canale sicuro, attraverso Internet non è possibile “vedere” il contenuto dei pacchetti.

Vantaggi e Svantaggi dell'IPSec:

IPsec è il miglior protocollo di sicurezza IP disponibile al momento. Il suo punto debole è però la sua complessità. IPsec contiene troppe opzioni e lascia troppa flessibilità al suo utilizzatore, mette a disposizione vari metodi per ottenere lo stesso risultato. Questa complessità addizionale ha un effetto devastante sugli standard di sicurezza.

La trappola della complessità

Il nemico peggiore della sicurezza è la complessità. Fallimenti semplici sono semplici da evitare e spesso anche semplici da gestire. Con la complessità invece non si sa come comportarsi. Sistemi complessi mostrano di solito più fallimenti. La complessità non solo rende impossibile la creazione di un sistema sicuro, ma rende il sistema difficile da gestire. IPsec è troppo complesso per essere sicuro. Il progetto chiaramente cerca di supportare differenti situazioni con opzioni diverse. Ciò lo rende veramente complicato. Anche la documentazione è difficile da capire. IPsec ha due modi operativi: AH ed ESP. AH offre l'autenticazione, ESP l'autenticazione, la cifratura o entrambi. Esistono quindi 4 diversi

modi per due macchine che vogliono comunicare tra loro usando l'IPsec: transport/AH, tunnel/AH, transport/ESP, tunnel/ESP. Principalmente le funzionalità della modalità tunnel sono un sovra insieme delle funzionalità della modalità transport. L'unico vantaggio di transport è la dimensione minore del pacchetto. Con l'attuale sviluppo della banda larga si potrebbe eliminare del tutto la modalità transport. Lo stesso discorso vale per ESP e AH. Con una leggera modifica a ESP, includendo il controllo dell'intestazione IP, si potrebbe eliminare anche AH, alleggerendo la complessità del progetto. Un'altra debolezza di IPsec è l'ordine in cui compie l'autenticazione e la cifratura. IPsec esegue prima la cifratura e poi autentica il testo cifrato.

Tipico attacco a IPsec

– supponiamo che due interlocutori abbiano stabilito una SA (che chiameremo SA1) e la usino per trasferire informazioni cifrate con il protocollo ESP (che chiameremo ESP1.)

– finita la trasmissione, SA1 è cancellata.

– supponiamo ora che qualche ora dopo i due interlocutori abbiano di nuovo la necessità di scambiare dati sensibili.

– se il ricevente usa lo stesso Security Parameter Index (l'identificatore della connessione) della ricezione precedente un critto-analista potrebbe introdurre un pacchetto prelevato dalla trasmissione precedente.

– il ricevente controlla l'autenticazione e la trova valida, procede alla decrittazione del messaggio, presumibilmente con una chiave diversa da quella precedente, e si trova con dei dati spazzatura che potrebbero influire sulla stabilità del sistema.

Quest’attacco si potrebbe evitare introducendo l'autenticazione di tutto ciò che è usato per determinare il significato del messaggio.

Ciononostante, utilizzando un algoritmo robusto di cifratura dei dati e stando attenti ai dettagli, si riesce a trasmettere i dati in modo abbastanza sicuro. Non esiste un'alternativa valida che rimpiazza IPsec utilizzando IPv4, l'attuale protocollo standard per le trasmissioni su Internet. Nello sviluppo di Ipv6, il nuovo protocollo per le trasmissioni Internet, si sta dando maggiore importanza alla sicurezza e quindi ci sarà da aspettarsi un supporto nativo alle funzioni di crittografia e di autenticazione sicura.

Riferimenti e approfondimenti:

1. Articolo Ipsec-How to su Pluto.it  | http://www.pluto.it/files/ildp/traduzioni/ipsec-howto

2.Wikipedia | http://it.wikipedia.org/wiki/IPsec

3. Presentazione Powerpoint di Fabrizio Grossi | Microsoft TechNet

4.Tesina di Claudio Alberto Pisapia e Emanuel Weitschek | VPN e Sicurezza: IPSec

5.Articolo di Antonio Magri sull'IPSec | http://www.amagri.it/sicurezza_ms_windows/vpn/ipsec

6. Presentazione Powerpoint di Tommaso Peccorela | Unifi

Secchione o ultimo della classe. Qual è il tuo posto?

Nella nostra classe c’è sempre stato uno studente secchione, che prende voti alti, non si sa quando studia, però è sempre il primo. Allo stesso tempo c’è anche sempre un ultimo della classe, che si siede in fondo, disturba durante le lezioni, e non ha paura di nessuno. Il secchione fuori della scuola a volte è timido, introverso, ha pochi amici, è sempre rinchiuso a studiare. Invece l’ultimo della classe ha molti amici, organizza sempre le feste, è simpatico, ecc…

Ora che siamo all’università sappiamo tutti che per trovare un lavoro non basta avere 110 e lode, ma devi anche avere capacità sociali per poterlo trovare.

In questo articolo analizzeremo tutti e due gli studenti per capire come diventare studente modello all’università.

 

Tipologie di studenti

Generalmente abbiamo sempre 3 tipi di studenti: super-dotati, fortunati e normali.

SUPERDOTATI: questi sono rarissimi, ma hanno delle alte capacità( memorizzazione, logica, matematica, ecc…) per fare un esempio loro studiano nelle enciclopedie e la sera per divertirsi ascoltano documentari di National Geographic. Si capisce che hanno una cultura molto ricca e a volte non sono compresi dai comuni mortali. Ad esempio, così era Einstein. Se non sei superdotato forse sei fortunato.

FORTUNATI: persone che hanno un IQ più elevato e delle capacità innate. Studiano pochissimo e capiscono molto velocemente. Praticamente avranno una media di 25 senza passare più di 4 ore al giorno a studiare. Ne troviamo di più ai giorni nostri, basta andare alle lauree e contare quelli giovani con 110 e lode. Forse ti senti fortunato, guarda il tuo libretto per verificarlo altrimenti sei normale.

NORMALI: sono studenti come te e me. Niente capacità nascoste, niente intelligenza speciale. La buona notizia è che anche noi possiamo avere una media alta, ma dobbiamo studiare un sacco.

Con un po’ di costanza e di conoscenza di se stesso si arriva a fare cose straordinarie.

 

Ora che sai circa che tipo di studente sei, vediamo quali sono i vantaggi ad essere uno studioso?

 

Vantaggi dello studioso:

 

Uno studioso è un gran contenitore di conoscenza. Di solito studia circa bene e ha voti abbastanza alti. Quali sono i suoi vantaggi.

-comprensione veloce: facendo un sacco di domande al prof durante o dopo la lezione, lo studente capisce molto più velocemente i concetti.

-Condivisione: Lo studente che capisce e condivide diventa più padrone della materia perché lo spiega a tante persone.

-Appunti degli appunti: Uno studente che sintetizza gli appunti presi a lezione, capisce e memorizza meglio gli argomenti.

L’ultimo della classe ci può insegnare qualcosa di buono.

 

Vantaggi ad essere ultimo della classe:

 

L’ultimo della classe è il classico ribelle che fa tutto a modo suo, anche se è vietato o sbagliato.

Allo stesso tempo sviluppa delle capacità interessanti:

-Reti di conoscenze: parlando a tante persone e avendo un po’ d’amici, non ha problemi di comunicazione e può risolvere qualsiasi tipo di problema pratico chiamando la persona giusta se la conosce.

-Capacita organizzative: Uno che organizza eventi e si sposta sempre in gruppo è molto abile nel riunire persone e organizzare attività coinvolgente.

 

La domanda è, ma uno può essere entrambi studioso e Ultimo della classe?

Meglio sarebbe possibile avere la buona parte d’entrambi i profili?

La persona che risponde, risponderà anche alla leggendaria domanda dello Studente Modello.

Come diventarlo?

Io affermerei che non tutti lo vogliono o lo possono fare, ma in ogni caso dalla mia esperienza ci vogliono disciplina e cambiamento d’abitudini.

Un po’ di consigli per finire:

Siediti sempre in prima fila

Tutti i giorni studierai

Dai tuoi appunti, delle schede sintetizzerai.

Ai professori delle domande farai

Ai tuoi compagni i concetti spiegherai

Questi consigli rispetterai

Tutto quello che devi sapere su una VPN

[caption id="" align="aligncenter" width="450" caption="vpn"][/caption]



Una Virtual Private Network o VPN è una rete privata instaurata tra soggetti che utilizzano un sistema di trasmissione pubblico e condiviso come per esempio Internet. Lo scopo delle reti VPN è di dare alle aziende le stesse possibilità delle linee private in affitto ad un costo inferiore sfruttando le reti condivise pubbliche. (Wiki)

Qual è la differenza fra una VPN che usa un’infrastruttura privata e quella che ne usa una pubblica?

Una VPN con infrastruttura privata costa tanto  e è difficilmente riconfigurabile. Allo stesso tempo offre sicurezza e una qualita del servizio previdibile.

Un tempo era l’unica opzione possibile per le reti private,mentre ora ci sono anche infrastrutture pubbliche(internet).

Una VPN che sfrutta internet ha un costo basso e un ottima integrazione del protocolo IP  e si puo riconfigurare.

Ci sono anche dei limiti:

1.Sicurezza

Facendo viaggiare i dati una azienda via internet c’è possibilità di un intrusione esterna. Per ovviare al problema si puo usare:

a)       Un firewall(è una bariera o filtro tra la rete privata e Internet)

b)       IPsec(Protocollo di sicurezza del livello di rete basato sul pacchetto IP)

c)       i server AAA(server Autenticazione,Autorizzazione,Accounting usati per un sicuro accesso in modo remoto  ad una VPN)

d)       il criptaggio(Processo di codificare tutti idati mandati in modo che lo decodifichi solo il destinatario)

2.La scarsità degli indirizzi di Routing

Qui si puo usare il NAT

Vederequi per gli approfondimenti sul NAT.

Tipi di VPN

Remote Access VPN –VPDN(Virtual Private Dial-up Network)

E una conessione host to LAN utilizzato dale aziende che hanno dipendenti che hanno bisogno di connetersi alla rete dell’azienda da piu posti remoti. L’azienda in questo caso contatta un enterprise Service Provider che configura un NAS (Network access Server) e fornisce agli utenti della rete un software VPN speciale da usare sul loro computer per la connessione .

Site-to-Site VPN

Attraverso internet l’azienda college piu siti insieme. Poi usando strumenti adeguati e criptaggio ad alta scala struttura una gerarchia di acessi a livelli rispetto alla natura dell’host di chi si connete.

In pratica se si conette un cliente avra una certa vista della rette che sara diversa da quella accessibile da un dipendente dell’azienda.

Perche usare le VPN?

Come l’abbiamo visto sono poco costose,sono semplici e si possono configurare.

L’estendibilità della rete è facilitata e si gestisce comodamente con gli strumenti appositi.

Tutto quello che devi sapere sul NAT

Il NAT(Network Adress Translation) è un metodo per alleviare il problema della scarsità d’indirizzi IPv4. In effetti, Il numero d’indirizzi ip usabili per l’instradamento dei pacchetti via internet non è sufficiente per soddisfare la richiesta.

[caption id="" align="aligncenter" width="400" caption="nat "][/caption]

 

Oltre ad essere pochi, gli indirizzi ip sono anche costosi.

Le aziende hanno il bisogno di non far vedere la struttura interna della loro intranet; la NAT gli aiuta a risolvere questo problema.

Principio di funzionamento:

 

La NAT funziona al livello di rete (3 nello stack iso/osi) che è il livello dove lavorano i router sotto il livello di trasporto.

La NAT funziona tramite un firewall o un router che è messo fra una rete privata e internet.

All’interno della rete privata sono usati indirizzi ip non di routing che serve solo all’interno.

La NAT ha un o più indirizzi ip di routing.

Quando la NAT riceve un pacchetto dall’interno, scambia l’indirizzo ip (con porta) interno con uno esterno valido per il routing e mantiene una tabella di routing per gestire le connessioni e le diverse comunicazioni fra host.

Se invece riceve un pacchetto dall'esterno,verifica con la tabella di routing se c'è  un host interno che aspetta un pacchetto se no ignora il pacchetto mandato.

Per un utente interno l’uso del NAT è del tutto trasparente e per l’host esterno gli sembra di avere una comunicazione con un host che ha l’indirizzo ip fornito dal NAT.

Una rete interna usa degli indirizzi ip riservati proprio a questo scopo:

La tabella seguente rappresenta gli indirizzi ip che possono essere usati dalle reti private.

Class	Private Address Range
A	10.0.0.0 - 10.255.255.255
B	172.16.0.0 - 172.31.255.255
C	192.168.0.0 - 192.168.255.255

Tipi di NAT

NAT Statico:

 

Si tratta di una corrispondenza tra un indirizzo ip interno e uno esterno che è gestito dal NAT al momento di una comunicazione fra host interni e host da internet.

La connessione è trasparente, ma il problema della scarsità degli indirizzi ip non è risolto.

Il NAT statico non è usato molto.

NAPT (dinamico) -Network Adress and Port Translation

 

Richiede un protocollo di trasporto statefull (TCP).

Il NAT deve gestire un numero d’indirizzi Ip esterni molto più piccolo del numero di host presente nella rete privata.

C’è una traduzione dinamica degli indirizzi in altre parole ad un host interno è assegnato un indirizzo esterno libero in modo dinamico, quando vuole comunicare con l’esterno.

Questo è possibile grazie al meccanismo: traslazione di porta (porte diverse ma stesso indirizzo ip).

La sicurezza nell’uso della NAT

La sicurezza è garantita dal mascheramento dell’indirizzo ip fornito dalla traduzione.

Visto che i pacchetti che vengono dal l’esterno non sono accettati,a meno che ci sia una connessione aperta prima da un host interno.

Il NAT da anche la sicurezza di un firewall.

Limiti del NAT

 

Tanti servizi hanno bisogno di una comunicazione in cui il client può essere server e vice versa, ma il NAT non lo permette nel senso che una connessione che inizia dall’esterno(internet) difficilmente può essere legittimata dal NAT che ignora il pacchetto.

Abbiamo per esempio servizi di condivisione di file, console di giochi con modalità live servizi VOIP

Per rimediare al problema basta usare NAT in congiunzione con Ipsec(uno standard per ottenere connessioni basate su reti IP sicure).

Per farlo, il firewall deve permettere i protocolli seguenti:

Internet Key Exchange (IKE) - User Datagram Protocol (UDP)

Encapsulating Security Payload (ESP)

Authentication Header (AH)

Spero che hai gradito la lettura. Se hai dubbi,accomodati pure usando il form dei commenti qui sotto.