Avainten vaihto ja jakelu IPSec-järjestelmässä

Abstract

Internetin käytön levitessä uusille, luottamuksellisuutta vaativille alueille kuten pankkiasioiden hoitoon, etätyöntekoon ja viranomaisten väliseen henkilötietojen välitykseen, tietoturvan merkitys kasvaa jatkuvasti. Yhtenäisellä tavalla tietoliikenteelle tietoturvaa tarjoavan menetelmän käyttömahdollisuuksia tulee aktiivisesti tutkia, jotta mahdollisimman suuri osa verkkoliikenteestä kulkisi suojattuna ilman erilaisten suojausmenetelmien viidakkoa. Yksi yhtenäinen viitekehys on verkkoliikennettä IP-tasolla suojaava IP Security Protocol (IPSec). Tässä työssä on tutkittu IPSec-järjestelmän laaja-alaisessa käytössä välttämättömiä osaalueita: julkisten avainten jakelumenetelmiä ja julkisia avaimia autentikointiin käyttäviä avaintenvaihtoprotokollia, jotka liittyvät IPSec-turvallisuusassosiaatioiden dynaamiseen luontiin. Avaintenvaihtoprotokollissa keskitytään IPSec-protokollaperheen tällä hetkellä käyttämään IKE-protokollaan ja sen seuraajaksi suunniteltuihin IKEv2- ja JFKprotokolliin. Menetelmien ominaisuuksien käsittelyn lisäksi työssä analysoidaan niiden heikkouksia ja vahvuuksia sekä ehdotetaan kullekin sopivinta käyttöympäristöä. Julkisten autentikointiavainten jakelumenetelmien osalta apuna käytetään kokemuksia, joita on saatu tekemällä käytännön testejä sitä varten rakennetussa testiverkossa. /Kir10

The use of Internet is spreading to new security-conscious areas such as bank transactions, telecommuting and exchange of person register related information between authorities. This progress increases the significance of information security. We should actively explore the possibility to use a mechanism that offers a uniform way to secure telecommunications so that most of Internet communications would be secure without need to use several different tools in parallel. One such uniform context is IP Security Protocol which is used to secure telecommunications at IP-level.This Master of Science thesis examines a field that is necessary in widespread use of IPSec: distribution methods of public authentication keys and key exchange protocols. A key exchange protocol is a protocol used in dynamic creation of IPSec security associations and often depens on public keys for authentication. This thesis concentrates on the current key exchange protocol used by IPSec and to its two competing successors.In addition to specifying the characteristics of these methods, this thesis analyzes their weaknesses and strengths, and proposes the most suitable environment for each of them. A test network was built for the purpose, and experiences gained with the network are used to support the analysis of the distribution methods of the public authentication keys.