8.1 IP 보안 개요
8장. IP 보안
보안 메커니즘의 진화
응용프로그램 분야 적용을 위한 보안 메커니즘
전자메일 (S/MIME, PGP)
클라이언트/서버 (Kerberos)
웹 접근 (S니)
프로토콜 계층의 한계를 초월하는 보안 메커니즘
응용프로그램 뿐만 아니라 보안과 무관한 응용프로그램도 보호
IP-계층보안인 IPsec가
대안
인증
기밀성
키 관리
개요
1994년 IAB(Internet Architecture Board)에서 발표한 RFC 1636: 인터넷 구조 보안(Security in the Internet Architecture) 보고서
불법 모니터링으로부터의 보호 언급
네트워크 트래픽 제어
종단-대-종단 트래픽 안전
인증 및 암호 메커니즘
IPv6에 보안(인증, 암호화) 기능 포함
IPSec
IPsec 응용 (1)
IPsec의 보호 대상
LAN, 사설 및 공공 WAN, 인터넷을 통과하는 통신
IPsec 기능 사용 예
인터넷을 통한 안전한 지사사무실 연결:
인터넷이나 공공 WAN을 이용한 안전한 가상 사설망 구축
비용절감과 네트워크 관리 부담 축소
인터넷을 통한 안전한 원격 접근:
IP 보안 프로토콜이 장착된 시스템 종단 사용자는 ISP를 통해 네트워크 접근가능
재택근무, 출장자 통신비용 절감
협력업체와의 인트라넷과 엑스트라넷 구축:
인증과 기밀성 보장
키교환 메커니즘을 통한 다른 기관과 안전 통신보장
전자상거래 보안강화:
IPsec을 통한 보안성 강화
IPsec 응용 (2)
IPsec 보안 시나리오
IPSec의 이점 (1)
IPSec을 침입차단시스템이나 라우터에서 구현
영역 내 모든 트래픽에 적용할 수 있는 강한 보안성을 제공
침입차단시스템에서의 IPSec은 우회하는 트래픽을 차단
외부에서 오는 모든 트래픽이 IP를 사용
인터넷으로부터 내부로 유입되는 유일한 경로는 침입차단시스템
IPSec의 이점 (2)
IPSec은 전송계층 아래에 존재하여 응용 프로그램에게
투명
사용자/서버 시스템이 소프트웨어 변경 불필요
상위-계층 소프트웨어에 영향없음
IPSec은 종단 사용자에게 투명
보안 메커니즘에 대한 사용자 교육불필요
개별 키 발급 불필요
키 취소 불필요
개별적 사용자에게 IPSec을 제공
외지 근무자에게 유용
기관 내 안전 가상 서브네트워크 구성 가능
라우팅 응용
인터네트워킹에 필요한 라우팅 구조에서 중요한 역할 수행
라우팅에서의 이용 예
라우터 광고 메시지가 인증된 라우터로부터 전송된 사실 보장
이웃 라우터의 광고 메시지가 인증된 라우터로부터 전송된 사실 보장
재 지정된 메시지가 초기 패킷을 받은 라우터로부터 전송된 사실 보장
라우팅 갱신정보가 위조되지 않았다는 사실 보장
OSPF와 같은 라우팅 프로토콜은 라우터 사이의 보안
연관(SA: Security Association) 상위에서 동작
IPSec 문서
IPSec 기능
인증, 기밀성, 키 관리
여러 개의 RFC와 초안(draft)들로 구성
IPsec 문서 분류
구조(Architecture) (RFC 4301)
인증헤더(AH: Authentication Header)
캡슐화 보안 페이로드(ESP: Encapsulating Security payload)
인터넷 키 교환(IKE: Internet Key Management)
암호 알고리즘(cryptographic algorithms)
기타: 보안 정책과 MIB 등
IPSec 서비스 (1)
IPSec 가 IP계층에서 서비스 제공 방법
요구된 보안 프로토콜 선택
서비스에 필요한 알고리즘을 결정
요구된 서비스에 필요한 암호 키를 설정
보안에 사용되는 2가지 프로토콜
인증 프로토콜
AH(Authentication Header)
암호화와 인증이 결합된 프로토콜
ESP(Encapsulating Security Payload)
IPsec 서비스 (2)
RFC 4301에 열거된 서비스
접근 제어(Access control)
비연결 무결성(Connectionless integrity)
데이터 발신처 인증(Data origin authentication)
재전송 패킷의 거부(Rejection of replayed
packets) : 순서 무결성이 불완전한 패킷 형태
기밀성(Confidentiality) : 암호화
제한된 트래픽 플로우 기밀성(Limited traffic flow confidentiality)
전송 모드와 터널 모드 (1)
AH와 ESP는 전송과 터널 모드를 지원
전송 모드
전송 모드는 주로 상위계층 프로토콜 보호
터널 모드
터널 모드는 IP 패킷 전체 보호
전송 모드와 터널 모드 (2)
전송 모드
IP 패킷의 페이로드 범위까지 보호
TCP 단편
UDP 단편
ICMP 패킷
호스트 프로토콜 계층의 IP 위에서 직접 동작
두 호스트 사이의 종단-대-종단 통신에 전송 모드를 이용
전송 모드와 터널 모드 (3)
전송 모드 (계속)
IPv4
위에서 AH나 ESP를 사용하면, 페이로드는 보통 IP 헤더 뒤에 붙는 데이터로 간주
IPv6
페이로드는 통상적으로 IP 헤더와 존재하는 모든 IPv6 확장 헤더 뒤에 붙는 데이터로 간주
ESP
IP 페이로드를 암호화하고 인증은 선택사항
IP 헤더는 암호화를 하지 않음
AH
IP 페이로드와 IP 헤더의 선별된 일부만 인증
전송 모드와 터널 모드 (4)
터널 모드
IP 패킷 전부를 보호
AH 또는 ESP 필드를 IP 패킷에 추가
전체 패킷과 보안필드
새 외부 IP 헤더 부착
“외부”IP 패킷의 페이로드로 간주
원래의 전체 패킷 혹은 내부 패킷은 “터널”로 이동
경로상 어떤 라우터도 내부 IP 헤더 검사 불가
전송 모드와 터널 모드 (5)
터널 모드 IPSec 작동 예
1. 호스트 A는 다른 네트워크의 호스트 B의
주소를 목적지 주소로 가지는 한 IP 패킷 생성
2. 호스트 A로부터 A가 속한 네트워크 경계에 있는 침입차단시스템이나 보안 라우터로 전달
3. 침입차단시스템은 밖으로 나가는 모든
패킷에 대해 IPSec 처리가 필요한지 아닌지를 검사
전송 모드와 터널 모드 (6)
터널 모드 IPsec 작동 예 (계속)
4. B의 침입차단시스템인 라우터로 라우팅
전송 경로상의 다른 라우터는 오직 외부 IP 헤더만 검사
5. B의 침입차단시스템은 외부 IP 헤더를
벗겨내고 내부 패킷만 B에게 전송
ESP는 내부 IP 헤더를 포함하는 내부 IP 패킷 전체를
암호화하 고 선택사항으로 인증
AH는 내부 IP 패킷 전체와 외부 IP헤더의 선택된
일부분을 인증
전송 모드와 터널 모드 (7)
