Keine Angst vor Schnüfflern

Vertraulichkeit und Integrität

Das IPSec Framework ist ein Rahmen von Normen, der festlegt, mit welchen Ergänzungen das Internet-Protokoll die Integrität der Datenpakete und die Vertraulichkeit der Inhalte sichert sowie kryptografische Algorithmen einbindet. Zwei Protokollabschnitte sorgen für den Schutz der Datenpakete: "IP Authentication Header" (AH) und "IP Encapsulating Security Payload" (ESP). AH gewährleistet für jedes Paket mittels einer Prüfsumme die Datenintegrität und die Authentifizierung des Datenursprungs. Der Abschnitt schützt den gesamten Inhalt des IP-Pakets vor unberechtigten Zugriffen, abgesehen von einigen Feldern im Header. Ein zusätzliches Nummernfeld verhindert Replay-Angriffe. Die für das AH-Protokoll verwendeten Algorithmen heißen "Hashed Message Authentication Codes" (HM AC). Sie setzen den Authentifizierungscode zweimal hintereinander ein und erreichen so ein hohes Maß an Schutz.

ESP sorgt auf Wunsch für die Vertraulichkeit des Datenverkehrs. Der Protokollabschnitt legt fest, ob, beziehungsweise nach welchem Algorithmus verschlüsselt wird. Wie AH kann auch ESP authentifizieren und Anti-Replay-Maßnahmen treffen.

IPSec stellt zwei grundsätzlich verschiedene Verfahren bereit: den Transportmodus und den Tunnelmodus. Die Sicherheitsprotokolle AH und ESP folgen im Transportmodus unmittelbar nach dem IP-Header. Die Protokolle authentifizieren das gesamte Paket bis auf veränderliche Einträge des IP-Kopfes. Hingegen greifen die Verschlüsselungs- mechanismen nur für die höheren Protokollebenen und den Datenbereich des Pakets. Im Transportmodus bleibt der ursprüngliche IP-Header erhalten. Die Daten sind authentifiziert und je nach Wunsch auch verschlüsselt. Das Verfahren schützt die Kommunikation oberhalb der Verbindungsschicht vor unerwünschten Mitlesern.

Der Tunnelmodus bietet erhöhte Sicherheit, weil er das gesamte IP-Paket einschließlich des Protokollkopfes kodiert. Das Paket erhält einen neuen IP-Header, an den sich AH beziehungsweise ESP anschließen und sowohl die Daten als auch die ursprünglichen Protokollköpfe sichern. Eine VPN-Kommunikation zwischen zwei Sicherheits-Endpunkten wie Firewalls oder Internet-Zugangsrechnern muß gemäß dem Standard im Tunnelmodus erfolgen. Gegenüber dem Tunnelbetrieb spart der Transportmodus Rechenzeit und ist für Verbindungen innerhalb eines sicheren Netzwerks vorgesehen.