IPsec(IP security)

1) 개요

-IETF(국제 인터넷 기술 위원회)에서 IP 보안을 위하여 개방형 구조로 설계한 표준으로 IP(네트워크) 계층 보안에 대해서 안정적이고 표준화된 기초를 제공한다.

* IETF : 인터넷의 운영, 관리 및 기술적인 쟁점 등을 해결하는 것을 목적으로 망 설계자, 운영자, 연구자, 장비 개발자 등으로 구성된 조직을 말한다.

 

- 종단 노드 구간 또는 보안/터널 게이트웨이구간에 IP 패킷 보안 서비스를 제공해주는 네트워크 계층 보안 프로토콜

 

2) 보안서비스 제공

① 기밀성 : 메시지가 제3자에 의해 도청되어도 그 내용을 알 수 없음을 보장해준다. 

* AH프로토콜은 암호화를 지원하지 않으며, ESP 프로토콜만 암호화를 지원한다.

② 비연결형 무결성 : 메시지가 위·변조 되지 않았음을 보장해준다.

③ 데이터 원천 인증 : 수신한 메시지가 올바른 송신처로부터 온 것임을 보장해준다.

④ 재전송 공격 방지 : 송신측에서 IP 패킷별로 순서번호를 전송하고 수신측에서 해당 보안연관에 순서번호를 유지하고 이를 검증함으로써 재전송 공격을 방지한다.

⑤ 접근제어 : 보안정책을 통해 송수신 IP패킷에 대한 시스템 접근을 제어한다.

⑥ 제한된 트래픽 흐름의 기밀성 : ESP/터널모드의 경우 NEW IP 헤더를 통해 터널/보안 게이트웨이 구간의 트래픽흐름 정보는 노출되지만 원본IP 헤더는 암호화되어 있기 때문에 터널/보안 게이트웨이와 종단 노드 구간의 트래픽 흐름의 기밀성은 보장된다.

 

3) IPsec 동작모드

① 전송모드 

- 보호범위 : IP 패킷의 페이로드를 보호하는 모드

- 보호구간 : 일반적으로 종단 노드 구간의 IP 패킷 보호를 위해 사용

 

② 터널모드

- 보호범위 : IP 패킷 전체를 보호하는 모드

- 보호구간 : 일반적으로 터널/보안 게이트웨이 구간 또는 종단 노드와 터널/보안 게이트웨이 구간의 IP 패킷 보호를 위해 사용

 

4) AH 프로토콜

① 개요 : AH프로토콜은 메시지 인증 코드(MAC)를 이용하여 인증과 송신처 인증을 제공해주는 프로토콜로 암호화(기밀성)는 제공하지 않는다. IP 헤더의 전송 중 변경 가능한 필드는 TTL, Header Checksum, NAT환경에서의 Source IP 등이 있다.

* 낮은 버전의 IPsec 모듈에서 발생할 수 있는 문제점 : 버전이 낮은 IPsec 모듈을 사용하는 장비의 경우 NAT 환경에서 인증 데이터/MAC값 오류로 인해 장애가 발생하는 경우가 있다. 

이는 AH 프로토콜의 경우 NAT 환경에서는 출발지 IP가 변경되므로 이를 제외하고 인증 데이터를 계산해야 하지만 구형 모듈이 NAT 환경에 대한 예외 처리가 되지 않아 장애가 발생한 경우로 이런 상황에서 ESP프로토콜을 이용한다면 정상적으로 통신이 가능하다.

 

② 주요헤더필드

- SPI : 현재 연결에 대한 보안연관 식별자

- Sequence number : 재전송공격을 방지하기 위한 필드로 정상적인 환경에서는 패킷 재전송이 발생해도 일련번호는 항상 1씩 증가하기 때문에 재전송 공격을 방지할 수 있다.

- 인증 데이터 : IP 헤더의 변경가능한 필드를 제외한 IP 패킷 전체에 대한 MAC값을 설정한다.

 

③ AH프로토콜 동작모드

- 전송 모드는 IP 헤더의 전송 중 변경 가능한 필드를 제외한 IP 패킷 전체를 인증한다.

- 터널 모드는 NEW IP 헤더의 전송 중 변경 가능한 필드를 제외한 NEW IP 패킷 전체를 인증한다.

 

5) ESP 프로토콜 

① 개요

- ESP 프로토콜은 메시지 인증 코드와 암호화를 이용하여 무결성과 송신처 인증과 기밀성을 제공한다.

- 인증과 암호화를 선택적으로 적용할 수 있다.

- 인증에 있어서 AH 프로토콜과의 차이점은 AH는 변경 가능한 IP 헤더필드를 제외한 IP 패킷 전체를 인증하지만 ESP는 IP 헤더를 인증하지 않는다.

 

② ESP 헤더 필드

- SPI : 현재 연결에 대한 보안연관 식별자

- 일련번호 : 재전송 공격을 방지하기 위한 필드로 정상적인 환경에서는 패킷 재전송이 발생해도 일련번호는 항상 1씩 증가하기 때문에 재전송 공격을 방지할 수 있다.

 

③ ESP 프로토콜 동작모드

- 전송 모드는 IP 페이로드와 ESP 트레일러를 암호화하고 암호화된 데이터와 ESP 헤더를 인증한다.

- 터널 모드는 원본 IP 패킷 전체와 ESP 트레일러를 암호화하고 암호화된 데이터와 ESP 헤더를 인증한다.