ARQUITECTURA DE SEGURIDAD IP

Problemas comunes:

Conexin al cable Imitacin Negacin de un servicio Contestacin de mensajes en trnsito Suposicin de password Suposicin de llaves Virus

Protocolos de seguridad: CDPD Celular Digital Packet Data DNSSEC Domain Name System Security Extensions DOCSIS Data Over Cable Service Interface Specification IEEE 802.11 IPSec IP Security Protocol PPTP Point to Point Tunneling Protocol SET Secure Electronic Transactions S-MIME Secure MIME SSH Secure Shell SSL & TLS Secure Sockets Layer & Transport Layer Security

Qu es IPSec? Es un conjunto de estndares abiertos desarrollados por el Internet Engineering Task Force (IETF). Ofrece proteccin en la transmisin de informacin sensible sobre redes inseguras tal como es la propia Internet. IPSec acta en la capa de red, protegiendo y autentificando paquetes IP entre los dispositivos participantes.

Estructura de IPSec IPSec tiene tres componentes principales: Authentication Header (AH) Encapsulating Security Payload (ESP) Internet Key Exchange (IKE) Interoperabilidad. Independiente de algoritmos criptogrficos actuales. Soporta tanto IPv4 como IPv6. Es una componente obligada en IPv6. Servicios IPSec TABLAAAA Beneficios Herencia de niveles de seguridad Transparencia en las aplicaciones Transparencia respecto a usuarios finales Seguridad a nivel individual ASOCIACION DE COMBINACION El concepto de asociacin de seguridad (SA) es fundamental en IPSec. Tanto AH como ESP, hacen uso de asociaciones de seguridad y una funcin importante de IKE es el mantenimiento y establecimiento de las asociaciones de seguridad. Cualquier implementacin de AH o ESP debe soportar el concepto de asociacin de seguridad. a. Definicin y mbito.

Una SA es una conexin simplex que permite servicios de seguridad al trfico que transporta. Una SA permite servicios de seguridad mediante el uso de AH o de ESP pero no de ambos. Si ambos no se aplican en un flujo de trfico, entonces existirn dos (o ms) SAs para permitir la proteccin al flujo de trfico. Para asegurar la comunicacin bidireccional tpica entre dos Hosts o dos puertas de enlace, se requieren dos asociaciones de seguridad (uno en cada sentido). Una SA es identificada nicamente por un triplete consistente en un ndice de parmetros de seguridad (SPI), una direccin IP de destino y un identificador de protocolo de seguridad (AH o ESP).

un host debe soportar el modo de transporte y el modo tnel. Para suportar nicamente el modo tnel se requiere una puerta de enlace de seguridad. Si soporta el modo de transporte, este modo solo debe usarse cuando la puerta de enlace de seguridad acte como host (por ejemplo para la administracin de la red). B. Funcionalidad de la Asociacin de Seguridad.

El conjunto de servicios de seguridad ofrecido por una SA depende del protocolo de seguridad seleccionado, del modo de la SA, el punto terminal de la SA, y de los servicios opcionales seleccionados dentro del protocolo. C. Combinacin de Asociaciones de Seguridad.

Los datagramas IP transmitidos sobre una SA individual permiten la proteccin con exactamente un protocolo de seguridad, o AH o ESP, pero no con ambos. Algunas veces las polticas de seguridad pueden solicitar una combinacin de servicios, para un flujo de trfico particular, que no se puede conseguir con una nica SA. En estos casos ser necesario emplear mltiples SA para implementar la poltica de seguridad requerida. Se aplica el termino SA bundle (haz o manojo de asociaciones de seguridad) a una secuencia de asociaciones de seguridad a travs de la cual se debe procesar el trfico para satisfacer la poltica de seguridad. Las asociaciones de seguridad pueden estar combinadas en SA bundles de dos formas:

Transporte adyacente: se aplican ms de un protocolo de seguridad sobre el mismo datagrama IP, sin utilizar entunelado. Esta combinacin de AH y ESP permite slo un nivel de combinacin:

Entunelado iterado: se refiere a la aplicacin o al uso de mltiples capas de protocolos de seguridad a travs de entunelado IP. Esta combinacin permite mltiples niveles de anidamiento. Cada tnel se puede originar o terminar en nodos diferentes a lo largo de la ruta:

Hay tres tipos bsicos de entunelado iterado:

Ambas terminaciones de la SA son las mismas. Cualquiera de los tneles (interno o externo) puede hacerse con AH o ESP:

Una terminacin de la SA es la misma. Cualquiera de los tneles (interno o externo) puede hacerse con AH o ESP.

Ninguna de las terminaciones es la misma:

Las dos asociaciones (transporte adyacente y entunelado iterado) se pueden combinar.