IPsec

IPsec(인터넷 프로토콜 보안)

IPSec은 통신 세션의 각 IP 패킷을 인증하고 암호화하여 인터넷 프로토콜(IP) 통신을 보호하기 위한 프로토콜 제품군입니다.

IPSEC은 LAN, 사설 및 공공 WAN 그리고 인터넷을 통과하는 통신을 안전하게 하는 기능을 가지고 있다.
인터넷을 통한 안전한 지사 연결:

• 인터넷 또는 공용 WAN(Wide Area Network)을 사용하여 안전한 VPN(가상 사설망)을 구축하여 비용과 네트워크 관리 부담을 줄이는 데 도움이 됩니다.
  인터넷을 통한 안전한 원격 액세스:
• IPsec 프로토콜을 갖춘 최종 사용자는 인터넷 서비스 공급자(ISP)를 통해 네트워크에 쉽게 액세스할 수 있으므로 재택 근무자와 출장자의 통신 비용을 절감할 수 있습니다.
  파트너와 함께 인트라넷 및 엑스트라넷 구축:
• 인증 및 기밀성을 보장하여 키 교환 메커니즘을 통해 다른 조직과의 안전한 통신을 가능하게 합니다.
  향상된 전자 상거래 보안:
• 강력한 암호화 및 인증 메커니즘을 제공하는 IPsec을 통해 전자 상거래 보안을 강화합니다.

IPsec 보안 영역

일단 기본적으로 IP 계층에서 모든 트래픽의 암호화 및 인증을 합니다.
즉 IPsec은 모든 통신에 보안 계층을 추가하여 모든 IP 기반 트래픽의 암호화 및 인증을 제공하는 것이죠

따라서, 원격 로그인, 클라이언트/서버, 이메일, 파일 전송, 웹 액세스, 분산 애플리케이션을 위한 보안 영역 을 안전하게 합니다

위의 그림을 보면, 보호되지 않은 IP 트래픽은 IPSec이 설치된 네트워킹 장비를 통해 암호화 되어 공공 또는 사설 WAN을 이동합니다.
이 때 오가는 모든 트래픽은 암호화 및 압축 되어져있고, 목적지 WAN에서 복호화 및 압축을 풉니다.

장점

IPsec을 침입차단시스템이나 라우터에서 구현

• 영역 내 모든 트래픽에 적용 할 수 있는 강한 보안성을 제공합니다
  침입차단시스템에서의 IPsec은 우회하는 트래픽을 차단
• 외부에서 오는 모든 트래픽이 IP를 사용
• 인터넷으로부터 내부로 유입되는 유일한 경로는 침입차단시스템
  IPsec은 전송 계층 아래에 존재하여 응용 프로그램에게 투명
• 사용자/서버 시스템이 소프트웨어 변경 불필요
• 상위 계층 소프트웨어에 영향이 없다
  IPsec은 종단 사용자에게 투명
• 보안 메커니즘에 대한 사용자 교육 불필요
• 개별 키 발급 불필요
• 키 취소 불필요
  개별적 사용자에게 IPsec을 제공
• 기관 내 안전 가상 서브네트워크 구성 가능

라우팅 응용

IPsec은 인터 네트워킹에 필요한 라우팅 구조에서 중요한 역할을 한다.

IPsec이 다음의 것들을 보장하기 때문이다

• 라우터 광고 메시지가 인증된 라우터로부터 전송된 사실
• 이웃 라우터의 광고 메시지가 인증된 라우터로부터 전송된 사실
• 재 지정된 메시지가 초기 패킷을 받은 라우터로부터 전송된 사실
• 라우팅 갱신정보가 위조되지 않았다는 사실

위의 안전 장치가 없다면, 공격자는 통신을 방해 하고, 트래픽의 방향을 바꿀 수도 있다.
OSPF 프로토콜와 같은 IPsec에 의해 정의된 라우터 사이의 보안 연관보다 상위에서 작동해야 한다

IPsec 문서

IPsec은 인증, 비밀성, 키 관리의 3가지 기능 영역을 포함합니다.
IPSec 문서는 다음의 그룹으로 분류가 가능합니다

IPsec 문서 분류

• 구조
• 인증 헤더
• 캡슐화 보안 페이로드
• 인터넷 키 교환
• 암호 알고리즘

IPsec 서비스

IPsec이 IP 계층에서 서비스 제공하는 방법

• 요구 된 보안 프로토콜을 선택하게함
• 서비스에 필요한 알고리즘을 결정
• 요구된 서비스에 필요한 암회 키를 설정하게 함

IPsec은 보안을 제공하기 위해서는 2개의 프로토콜을 사용한다

• 인증 프로토콜 : AH(Authentication Header)
• 암호화와 인증이 결합된 프로토콜 : ESP(Encapsulating Security Payload)

기본적으로 제공하는 서비스는 아래와 같다

• 접근 제어(Access control)
• 비연결 무결성(Connectionless integrity)
• 데이터 발신처 인증(Data origin authentication)
• 재전송 패킷의 거부(Rejection of replayed packets)(순서 무결성이 불완전한 패킷 형태)
• 기밀성(Confidentiality)(암호화)
• 제한된 트래픽 플로우 기밀성(Limited traffic flow confidentiality)

전송 모드와 터널 모드

AH와 ESP는 전송과 터널 모드를 지원한다

전송 모드 : 주로 상위 계층 프로토콜 보호
전송 모드는 IP의 페이로드 범위(TCP, UDP, ICMP) 까지 보호를 한다.
일반적으로 두 호스트 사이의 종단 대 종단 통신에 전송모드를 사용한다(클라이언트와 서버 구조 등)

전송모드에서 ESP는 IP 페이로드를 암호화하고 인증은 선택사항으로 하지만, IP 헤더는 암호화 하지 않는다.
전송 모드에서 AH는 IP 페이로드와 헤더의 선별 된 일부분만을 인증한다

터널 모드 : IP 패킷 전체 보호
이를 위해 AH와 ESP 필드를 IP 패킷에 추가한다.
이 결과물인 전체 패킷과 보안 필드를 합쳐서 새 외부 IP 헤더를 가진 새로운 외부 IP 패킷의 페이로드로 간주한다

원래 IP 프로토콜은 네트워크 상에서 어떤 라우터도 내부 IP 헤더를 검사 할 수 없으므로 터널을 통과해서 이동한다 말 할 수 있다.

작동 예시는 아래와 같다

1. 호스트 A는 다른 네트워크의 호스트 B의 주소를 목적지 주소로 가지는 한 IP 패킷 생성
2. 호스트 A로부터 A가 속한 네트워크 경계에 있는 침입차단시스템이나 보안 라우터로 전달
3. 침입차단시스템은 밖으로 나가는 모든 패킷에 대해 IPsec 처리가 필요한지 아닌지를 검사
4. B의 침입차단시스템인 라우터로 라우팅
   • 전송 경로상의 다른 라우터는 오직 외부 IP 헤더만 검사
5. B의 침입차단시스템은 외부 IP 헤더를 벗겨내고 내부 패킷만 B에게 전송
   • ESP는 내부 IP 헤더를 포함하는 내부 IP 패킷 전체를 암호화하 고 선택사항으로 인증
   • AH는 내부 IP 패킷 전체와 외부 IP헤더의 선택된 일부분을 인증

부족한 점이나 잘못 된 점을 알려주시면 시정하겠습니다 :>