ebook33-7

7 Internet I P S e c I P S A S A I n t e r n e t I K E S A I K I P S e c S A S A D B R F C 2409 I K E I n t e r n e t I S A K M P R F C 2408 I K E O a k l e y S K E M E I K E O a k l e y Hilarie Orman O a k l e y I K E O a k l e y O a k l e y I K E O a k l e y I K E O a k l e y S K E M E Hugo Krawczyk S K E M E S K E M E D i ff i e - H e l l m a n P F S I K E S K E M E P F S I S A K M P N S A N S N S A I S A K M P I S A K M P O a k l e y S K E M E I K E I K I S A K M P O a k l e y S K E M E I K E O a k l e y S K E M E I K E I S A K M P 7.1 ISAKMP I S A K M P I S A K M P

64 I n t e r n e t I P 7.1.1 I S A K M P I S A K M I S A K M P Cookie Cookie ID 7-1 ISAKMP I D I S A K M P I S A K M P I S A K M P / I S A K M P I S A K M I K E I S A K M P I S A K M P 13 I S A K M P I S A K M P 0 X. 509 C R L P K C S # 7 7-2 ISAKMP I S A K M P n o n c e

7 Internet 65 n o n c e I D I D i ff i e - H e l l m a n ISAKMP SA I P S e c S A / C A S T / I A N A I n t e r n e t 16 16 15 0 16 V P I 16 V P I 7-3 7-3 A / F 4 2

66 A / F = 1 4 A / F = 0 A / F = 1 4 A / F = 0 4 16 I S A K M P 7-4 I S A K M P 0 I S A K M P U D 500 / U D P 500 I A N A I S A K M P I S A K M P U D 500 Cookie Cookie KE ISAKMP ID Nonce 0 KE KE KE 0 0 Nonce Nonce Nonce 7-4 ISAKMP 7.1.2 I S A K M P I P S e c 1 I S A K M P S A S A

7 Internet 67 IPSec SA S S A 2 I S A K M P 2 ISAKMP SA 2 I S A K M P ISAKMP SA 2 2 I K E I S A K M P 1 2 I S A K M P 8 I S A K M P I S A K M P K a r n S i m p s o n P h o t u r i s I P I S A K M P D i ff i e - H e l l m a n I S A K M P I S A K M P 0

68 I S A K M P S A S P I IPSec SA S A I S A K M P ISAKMP SA ISAKMP SA ISAKMP SA 7.1.3 A B C I S A K M P Cookie Cookie D O I KE ISAKMP D O I I S A K M P ID D O I D O I S A K M P S A R F C 2407 I P S e c D O I Nonce 0 KE D O I 1 S A KE KE D O I 0 0 Nonce S A Nonce Nonce S P I S P I S A 7-5

7 Internet 69 S A O R A N D A N D O R I P S e c A H E S P I P S e c A H E S P I P 11 [AH-1 OR ESP-2 OR (ESP-3 AND PCP-3)] - n O R 3 D E S D E S S H A M D 5 L Z S D e f a l t e P C P 1 A H 1 H M A C - S H A 2 H M A C - M D 5 2 E S P 1 H M A C - S H A 3 D E S 2 H M A C - M D 5 3 D E S 3 H M A C - S H A D E S 4 H M A C - M D 5 D E S 3 E S P 1 H M A C - S H A 3 D E S 2 H M A C - M D 5 3 D E S 3 H M A C - S H A D E S 4 H M A C - M D 5 D E S 3 P C P 1 L Z S 2 D e f l a t e (AH-HMAC-SHA OR AH-HMAC-MD5) OR (3DES w/hmac-sha OR 3DES w/hmac- MD5 OR DES w/hmac-sha OR DES w/hmac-md5) OR [(3DES w/hmac-sha OR 3DES w/hmac-md5 OR DES w/hmac-sha OR DES w/hmac-md5) AND (PCP-LZS OR PCP- D E F L AT E ) ] )

70 7.2 IKE I S A K M P I P S e c I K E I n t e r n e t I K E I S A K M P I K E I K E I P S e c IPSec SA I K E I P S e c R I P v 2 O S P F I K E I S A K M P I K E I P S e c I S A K M P I K E D O I I P S e c Internet IP I K E D O I R I P v 2 O S P F D O D O I I K E 2 I K E D O I I K E 1 2 1 I K E I S A K M P I S A K M P I K E 2 I K E I K I P S e c I K E R I P v 2 O S P F I K E I K E D i ff i e - H e l l m a n 1 IKE SA I K E I K E IKE SA 1 IKE SA I K E I K E D i ff i e - H e l l m a n ISAKMP SA

7 Internet 71 IKE SA IKE SA H M A C I K E H M A C P R F I K E P R F H M A C D i ff i e - H e l l m a n D i ff i e - H e l l m a n I K E 2 D i ff i e - H e l l m a n I K E D i ff i e - H e l l m a n M O D P G [ P ] E C P G [ 2 N ] E C 2 N I K E 1) M O D P 768 2) M O D P 1024 3) E C 2 N 155 4) E C 2 N 185 5) M O D P 1680 New Group Exchange 1 3 2 4 3 4 1 2 5 I K E I K E 1) 2) D E S 3) R i v e s t - S h a m i r- A d e l m a n 4) n o n c e IKE SA I K E I K E I K E S K E Y I D

72 S K E Y I D _ d I P S e c S K E Y I D _ a I K E S K E Y I D _ e I K E S K E Y I D S K E Y I D n o n c e S K E Y I D C K Y- I n o n c e N i C K Y- R N r n o n c e D i ff i e - H e l l m a n D i ff i e - H e l l m a g x y S K E Y I D S K E Y I D S K E Y I D = P R F ( Ni Nr) SKEYID=PRF(Ni Nr, g x y ) n o n c e S K E Y I D = P R F ( (Ni Nr), CKY-I CKY- R ) P R F H M A C S K E Y I D S K E Y I D SKEYID_d = PRF(SKEYID, g xy CKY-I CKY-R 0) SKEYID_a = PRF(SKEYID, SKEYID_d g xy CKY-I CKY-R 1) SKEYID_e = PRF(SKEYID, SKEYID_a g xy CKY-I CKY-R 2) S K E Y I D P R F P R F S K E Y I D P R F S K E Y I D _ e H M A C - M D 5 P R F 128 B l o w f i s h 448 S K E Y I D _ e M D 5 B l o w f i s h S K E Y I D _ e K 448 K = K1 K2 K3 K1 = PRF(SKEYID, 0) K2 = PRF(SKEYID, K1, 1) K3 = PRF(SKEYID, K2, 2) 1

7 Internet 73 HASH-I=PRF(SKEYID, g i g r CKY-I CKY-R SA ID-I) HASH-R=PRF(SKEYID, g r g i CKY-R CKY-I SA ID-R) g i g r D i ff i e - H e l l m a n S A S I D - I I D - R S A 1 Tr i p l e - D E S D E Tr i p l e - D E S D E S D E S S A IKE SA IPSec SA S A IKE SA 1 2 IKE SA 1 2 I S A K M P IKE SADB S A S K E Y I D _ e I K E C B C I V I V D i ff i e - H e l l m a n I V I 7.2.1 IKE SA D i ff i e - H e l l m a n n o n c e I S A K M P SA KE Nonce IDi SA KE Nonce IDr

74 IKE SA I S A K M P I S A K M P I S A K M P D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n S K E Y I D S K E Y I D _ e S K E Y I D _ e I D I P I P 1 D S S R S A I K E SA KE Ni [, Cert_Req] IDi [Cert, ] SA KE Nr [, Cert_Req] IDr [Cert, ] H A S H - I H A S H - R C e r t _ R e q C e r t I K E n o n c e I P S e c I K E

7 Internet 75 I K E IPSec SA n o n c e n o n c n o n c e D S S R S A D i ff i e - H e l l m a n E l - G a m a l SA SA KE {IDi}pub_r, {Ni}pub_r KE {IDr}pub_I, {Nr}pub_r {} p u b _ x x I D I D L D A P n o n c e I D n o n c e n o n c e I D I

76 n o n c e I K E SA SA {Ni}pub_r, {KE}ke_i, {IDi}ke_i [, {cert}ke_i] {Nr}pub_i, {KE}ke_r, {Idr}ke_r [, {cert}ke_r] {} k e _ x N e _ x IKE SA S A N e _ i = P R F ( N i, C K Y- I ) N e _ r = P R F ( N r, C K Y- R ) n o n c e 7.2.2 I K E D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n n o n c e n o n c e I K E D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n n o n c e n o n c e n o n c e

7 Internet 77 IKE SA IKE SA 3 D E S S H A R S A C A I K E 7.2.3 IKE SA I P S e c S A S A IKE SA IKE SA I P S e c IKE SA P R F H M A C IKE SA S K E Y I D _ a S K E Y I D _ e I K E I S A K M P I D I D I S A K M P IKE SA I V I K E I D I V 1 I V 2 I D I V I V 1 I V I V I V IPSec SA I V n o n c e D i ff i e - H e l l m a n IKE SA S K E Y I D _ d IPSec SA n o n c e IPSec SA S P I S A S A S P I S A I P S e c IKE SA S K E Y I D _ d S K E Y I D _ IPSec SA

78 P F S P F P F S D i ff i e - H e l l m a n I P S e c D i ff i e - H e l l m a n D i ff i e - H e l l m a n S A S A n o n c e D i ff i e - H e l l m a n P F S 1 S A IPSec DOI ISAKMP ID D O I 2 I P S e c S A I P S e c 132. 239. 4. 0 / 255. 255. 255. 0 Te l n e t 132. 239. 4. 24 We b I D I K E I D S A S A I D S A IPSec SADB IPSec SA S A I D 2 Te l n e t S A 2 S A D B I P S e c S A n o n c e I D S A S A n o n c e I D S A IPSec SADB

1 SA Ni [, KE] [, IDci, IDcr] 7 Internet 79 2 SA Nr [, KE] [, IDci, IDcr] HASH1 = PRF(SKEYID_a,M-ID SA Ni[ KE][IDci IDcr]) HASH2 = PRF(SKEYID_a,M-ID Ni SA Nr[ KE][IDci IDcr]) HASH3 = PRF(SKEYID_a,0 M-ID Ni Nr) IPSec SA S A D B P F S D i ff i e - H e l l m a n I P S e c I P S e c I K E I P S e c I K E I P S e c I K E T C P T C U D P I K E I S A K M P S A D B S A S A I P S e c IKE SA 2 1 2 SA IKE SA 2 7.2.4 IKE I K E S A 1 IKE SA 2 IPSec SA I K E IKE SA D i ff i e - H e l l m a n I K E I K E I K E U D P

80 S A IKE SA IPSec SA I D I V P R F S K E Y I D _ a I D I K E I K D i ff i e - H e l l m a n IKE SA 1 2 IKE SA S K E Y I D _ e S K E Y I D _ a S A 7.3 IPSec DOI I K E D O I D O D O I ISAKMP SA I K E I K IPSec DOI ISAKMP ID IPSec SA IPSec DOI IPSec SA A H E S P I S A K M P D O I D O I P S e c A H E S P 1 I K E D O I I K E IPSec DOI A H E S P A H E S P A H IPSec DOI S A A H A H _ M D 5

7 Internet 81 A H _ S H A H M A C _ M D 5 H M A C _ S H A S H A A H A H S H A H M A C _ S H A M D 5 H M A C _ M D K P D K A H R F C 1827 IPSec DOI I P S e c A H E S P R F C 1828 M D 5 S H A M A C 7.4 I S A K M P I K E IPSec DOI I K E I P S e c