Inhaltsverzeichnis
Werbung
Bildung der Prüfsumme für den Integritäts-Check
Um die Integrität, also die Korrektheit der transferierten Pakete zu gewährleisten, versieht AH beim Versand jedes Paket
mit einer Prüfsumme. Beim Empfänger prüft AH, ob die Prüfsumme zum Inhalt des Paketes passt. Ist das nicht der Fall,
dann wurde es entweder falsch übertragen oder bewusst verändert. Solche Pakete werden sofort verworfen und gelangen
nicht mehr auf höhere Protokollebenen.
Zur Errechnung der Prüfsumme stehen verschiedene sogenannte Hash-Algorithmen zur Verfügung. Hash-Algorithmen
zeichnen sich dadurch aus, dass das Ergebnis (der Hash-Code) charakteristisch für die Eingangsdaten ist („Fingerabdruck"),
ohne dass umgekehrt vom Hash-Code auf die Eingangsdaten geschlossen werden könnte. Außerdem haben bei einem
hochwertigen Hash-Algorithmus kleinste Änderungen des Eingangswertes einen völlig unterschiedlichen Hash-Code zur
Folge. So werden systematische Analysen mehrerer Hash-Codes erschwert.
Die beiden gängigsten Hash-Algorithmen sind MD5 und SHA-1. Beide Methoden arbeiten ohne Schlüssel, d.h. alleine
auf der Basis fester Algorithmen. Schlüssel kommen erst in einem späteren Schritt von AH ins Spiel: bei der endgültigen
Berechnung der Authentification Data. Die Integritäts-Prüfsumme ist nur ein notwendiges Zwischenergebnis auf dem
Weg dorthin. Das VPN-Modul im LCOS unterstützt MD5 und SHA-1.
Berechnung der Authentifizierungsdaten
Im zweiten Schritt bildet AH einen neuen Hash-Code aus der Prüfsumme und einem Schlüssel, die endgültigen
Authentifizierungsdaten. Auch für diesen Prozess gibt es unter IPSec verschiedene Standards zur Auswahl. Einer lautet
HMAC (Hash-based Message Authentication Code). Als Hash-Algorithmen stehen die Hash-Funktionen MD5 und SHA-1
zur Verfügung. Die HMAC-Versionen heißen entsprechend HMAC-MD5-96 und HMAC-SHA-1-96.
Jetzt wird deutlich, dass AH das Paket selber unverschlüsselt lässt. Lediglich die Prüfsumme des Paketes und der eigene
Schlüssel werden gemeinsam zum ICV, den Authentifizierungsdaten, chiffriert und dem Paket als Prüfkriterium beigelegt.
Das VPN-Modul im LCOS unterstützt HMAC.
Replay Protection – Schutz vor wiederholten Paketen
AH kennzeichnet zusätzlich zur Beschriftung mit dem ICV jedes Paket auch mit einer eindeutigen, fortlaufenden Nummer
(Sequence Number). Dadurch kann der Empfänger solche Pakete erkennen, die von einem Dritten aufgenommen wurden
und nun wiederholt gesendet werden. Diese Art von Angriffen wird als „Packet Replay" bezeichnet.
5
Mit AH ist keine Maskierung von IPSec-Tunneln möglich, sofern nicht zusätzliche Maßnahmen wie NAT-Traversal
oder ein äußeres Layer-2-Tunneling (z. B. PPPT/L2TP) nochmals einen „veränderbaren" äußeren IP-Header
bereitstellen.
Referenzhandbuch
10 Virtual Private Networks - VPN
655
Werbung
Inhaltsverzeichnis
