Introduccin a IPSec

IPSec (IP Security) es un protocolo que provee seguridad punto a punto en IPv4 e IPv6 (en IPv6 el soporte IPSec viene implementado por defecto). IPSec es un estndar que poco a poco se est aceptando en las distintas plataformas, en GNU/Linux tenemos al proyecto FreeS/WAN (http://www.freeswan.org). Este protocolo implementa cifrado a nivel del protocolo IP, por lo que todos los protocolos por encima de IP se pueden utilizar con IPSec de forma transparente. Los servicios que provee este protocolo son mltiples, que en conjunto establecen el esquema de seguridad de IPSec. Servicios de seguridad de IPSec Control de Acceso Se establecen politicas de establecimiento de conexiones IPSec. Autenticacin del originario de los datos El que recibe un paquete est seguro que proviene del host supuesto. Integridad de mensaje Un atacante no puede modificar un paquete y ste ser aceptado. Proteccin contra reenvos Un atacante no puede reenviar paquetes previamente enviados, y ste ser aceptado. Confidencialidad Un atacante no puede leer datos interceptados. Como se dijo anteriormente, IPSec es una grupo de protocolos, entre ellos se encuentran: Authentication Header(AH) Provee integridad de mensaje y autenticacin del originario del mensaje. La proteccin que AH provee incluye a la informacin de encabezado de los paquetes, como ser las direcciones en origen y destino. Encapsulating Security Payload (ESP) Provee cifrado y proteccin limitada contra anlisis de flujo de datos.

Internet Security Association Key Management Protocol (ISAKMP) Es utilizado por AH y ESP para la administracin de claves. ISAKMP no define por si mismo los algoritmos de generacin de claves, sino que permite el uso de distintos tipos de algoritmos, aunque el estndar pide un set mnimo en las implementaciones. Para el intercambio de claves, se utiliza el protocolo IKE (Internet Key Exchange), esto se hace por separado para independizar el mtodo de intercambio de claves del protocolo IPSec. La estandarizacin de IKE permite la interoperabilidad entre distintos sistemas, la implementacin de IKE de FreeS/WAN se llama Pluto. El establecimiento del tnel IPSec se hace bsicamente en dos fases: 1. IKE - Fase 1: los gateways negocian un canal bidireccional (SA) que se utilizar para crear los canales de la siguiente fase. Se presentan los algoritmos de cifrado probables, y las claves de autenticacin para armar los tneles IPSec. 2. IKE - Fase 2: usando el canal generado en la fase uno, se establece un par de SAs (unidireccionales, uno para cada sentido) con los parmetros de refresco de claves, mtodo de cifrado, y el protocolo a usar: AH o ESP.

612.1. Filtrado de paquetes IPSec

Los protocolos AH y ESP estn implementados sobre la capa IP, AH es el protocolo IP 51 y ESP es el protocolo IP 50. El protocolo ISAKMP usa el puerto UDP 500 para envo y recepcin. En el caso en que se tenga un firewall delante del gateway de seguridad, habr que tener en cuenta estos protocolos para su filtrado.

612.2. Desventaja y limitaciones de IPSec

La nica desventaja que se le ve a IPSec por el momento, es la dificultad de configuracin con sistemas Windows. El Windows 2000 y Windows XP proveen herramientas para configurar tneles con IPSec, pero su configuracin es bastante difcil (Microsoft nombra a todas las cosas en forma diferente de lo estndar), y adems posee algunas limitaciones (como ser: necesita si o si IP estticos). Limitaciones de IPSec

IPSec no es seguro si el sistema no lo es: Los gateways de seguridad deben estar en perfectas condiciones para poder confiar en el buen funcionamiento de IPSec. IPSec no provee seguridad de usuario a usuario: IPSec no provee la misma clase de seguridad que otros sistemas de niveles superiores. Por ejemplo, el GPG que se utiliza para cifrar mensajes de correo electrnico, si lo que se necesita es que los datos de un usuario los pueda leer otro usuario, IPSec no asegura esto y se tendr que utilizar otro mtodo. IPSec autentica mquinas, no usuarios: el concepto de identificacin y contrasea de usuarios no es entendido por IPSec, si lo que se necesita es limitar el acceso a

recursos dependiendo del usuario que quiere ingresar, entonces habr que utilizar otros mecanismos de autenticacin en combinacin con IPSec. IPSec no evita los ataques DoS[70] : estos ataques se basan en sobrecargar la mquina atacada de tal modo de que sus usuarios no puedan utilizar los servicios que dicha mquina les provee.