Віртуальні приватні мережі (VPN)

Віртуальні приватні мережі (VPN)

• VPN (Virtual Private Network) — це загальна назва технологій для забезпечення одного або декількох мережевих з'єднань над іншою мережею (наприклад, Інтернетом).
• Рівень довіри до логічної мережі VPN не залежить від довіри до базових мереж завдяки шифруванню, автентифікації та іншим засобам криптографії.
• VPN може забезпечувати з'єднання трьох видів: вузол-вузол, вузол-мережа та мережа-мережа, залежно від протоколів і призначення.

Рівні реалізації VPN

• VPN зазвичай розгортають на мережевому рівні або нижче, щоб використовувати транспортні протоколи без змін.
• Microsoft Windows позначає PPTP (Point-to-Point Tunneling Protocol) терміном VPN, але часто його використовують не для створення приватних мереж.
• Для створення віртуальної мережі використовується інкапсуляція протоколу PPP в IP (PPTP) або Ethernet (PPPoE).
• Технологія VPN використовується провайдерами для надання виходу до Інтернету в деяких регіонах.
• VPN забезпечує високий рівень шифрування інформації завдяки належній реалізації та спеціальному програмному забезпеченню.

Структура VPN

• VPN має дві частини: «внутрішня» (підконтрольна) мережа та «зовнішня» мережа, через яку проходить інкапсульоване з'єднання (зазвичай Інтернет).
• Можливе підключення окремого комп'ютера до віртуальної мережі.
• Віддалений користувач підключається до VPN через сервер доступу, підключений до внутрішньої та зовнішньої мереж.
• Сервер доступу вимагає ідентифікацію та автентифікацію віддаленого користувача.
• Після успішної автентифікації віддалений користувач отримує повноваження для роботи в мережі (авторизація).

Класифікація VPN

• VPN класифікують за рівнем захищеності середовища.
• Захищені VPN створюють надійну мережу на основі ненадійного середовища (Інтернету) приклади такі, IPSec, OpenVPN, PPTP.
• Довірчі VPN використовуються, коли середовище передачі вважається надійним.
• VPN також класифікують за способом реалізації (програмно-апаратні, програмні, інтегровані рішення).
• Програмно-апаратні реалізації VPN забезпечують високу продуктивність та захищеність.
• Програмні рішення використовують звичайні комп'ютери зі спеціальним ПЗ.
• Інтегровані рішення об'єднують функціональність VPN з фільтрацією трафіку, екрануванням та забезпеченням якості.
• За призначенням VPN класифікують на Intranet, Remote-access та Extranet.
• Intranet VPN об'єднують декілька філій однієї організації, що обмінюються даними відкритими каналами.
• Remote-access VPN створюють захищений канал між корпоративною мережею та окремим користувачем, що працює віддалено.
• Extranet VPN використовуються для підключення «зовнішніх» користувачів з нижчим рівнем довіри.
• Internet VPN провайдери використовують для надання доступу до інтернету декільком користувачам через один фізичний канал.
• PPPoE став стандартом ADSL, L2TP, раніше популярний, зараз відходить у минуле.
• Client/server VPN захищають дані між двома вузлами корпоративної мережі.
• VPN між робочою станцією та сервером у одному сегменті застосовують для розділення логічних мереж VLAN використовують шифрування.
• VPN розрізняють за типом протоколу (TCP/IP, IPX, AppleTalk).
• TCP/IP є найпоширенішим, адресація, відповідно до стандарту RFC5735.
• VPN також класифікують за рівнем мережевого протоколу з урахуванням еталонної моделі ISO/OSI.

VPN-з'єднання на маршрутизаторах

• VPN-з'єднання, налаштоване на маршрутизаторі, шифрує трафік під'єднаних пристроїв, навіть тих, які не підтримують VPN.
• Маршрутизатори можуть мати вбудований VPN-клієнт або потребувати ПЗ з відкритим кодом (DD-WRT, OpenWrt, Tomato) для підтримки OpenVPN.

Вразливості VPN

• WebRTC технологія може розкрити реальну IP-адресу користувача, що загрожує конфіденційності.
• Рекомендовано повністю вимкнути WebRTC або використовувати спеціальні додатки.
• VPN вразливі для дактилоскопії трафіку вебсайтів, що дозволяє супротивнику здогадатися, який сайт відвідується.
• IPsec часто використовується поверх IPv4.
• PPTP розроблявся кількома компаніями, зокрема Microsoft.
• PPPoE, L2TP використовується Microsoft та Cisco, L2TPv3, OpenVPN SSL VPN з відкритим кодом, freelan SSL P2P VPN з відкритим кодом.
• Hamachi — це програма для створення однорангової VPN-мережі.
• NeoRouter програма для прямого з'єднання комп'ютерів за NAT, великі провайдери пропонують послуги VPN для бізнес-клієнтів.

OpenVPN

• OpenVPN — це вільна реалізація технології VPN з відкритим кодом для створення шифрованих каналів типу точка-точка або сервер-клієнт.
• Можливе встановлення з'єднань між комп'ютерами за NAT та мережевим екраном, OpenVPN створена Джеймсом Йонаном (James Yonan), поширюється під ліцензією GNU GPL.
• OpenVPN використовує бібліотеку OpenSSL для безпеки керуючого каналу та потоку даних, використовує пакетну автентифікацію HMAC та апаратне прискорення.
• Бібліотека використовує протоколи SSLv3/TLSv1.2, використовується на різних операційних ситемах, зокрема Solaris, Linux, Mac OS X, Windows, Android, iOS.

Автентифікація OpenVPN

• OpenVPN пропонує декілька видів автентифікації: за допомогою ключа.
• Сертифікатна автентифікація — гнучкий метод налаштування.
• Із логіном та паролем (серверний сертифікат).

Мережа OpenVPN

• OpenVPN проводить всі мережеві операції через TCP або UDP.
• UDP є кращим, використовує протоколи канального або фізичного рівнів і не забезпечує надійності з'єднання.
• Можливе налаштування тунелю на роботу з ТСР, робота через проксі-сервери, фільтри, на призначення мережевих установок клієнта (ІР-адреса, налаштування маршрутизації та параметри з'єднання).
• Два різні варіанти мережевих інтерфейсів (TUN/TAP), використовувані бібліотеки LZO.
• Використовуваний порт 1194.

Протоколи автентифікації RADIUS

• RADIUS (Remote Authentication in Dial-In User Service) — це протокол автентифікації, авторизації та збору інформації для передачі між центральною платформою та обладнанням.
• Використовується для тарифікації ресурсів центральною платформою та обладнанням Dial-Up доступу (Network Access Server, NAS).
• RADIUS використовується як протокол AAA (Authentication, Authorization, Accounting).
• Authentication — перевірка справжності суб'єкта за ідентифікаційними даними (логін, пароль).
• Authorization — визначає повноваження ідентифікованого суб'єкта для доступу до об'єктів або сервісів.
• Accounting — Збір відомостей (облікових даних) про використані ресурси (хідний та вихідний трафік).
• Протокол RADIUS розроблений Карлом Рігні у Livingston Enterprises, опублікований як RFC 2058 і RFC 2059.
• Існують комерційні та вільно розповсюджувані сервери, підтримують списки користувачів у текстових файлах, LDAP, різних базах даних.
• Облікові записи зберігаються у файлах, базах даних або на зовнішніх серверах; використовується SNMP,Існують проксі-сервери спрощення централізованого адміністрування та реалізації інтернет-роумінгу.
• Переваги RADIUS: відкритість, висока реактивність, добре паралелізується, функціонує у кластерних архітектурах (OpenVMS).
• Протокол DIAMETER замінює RADIUS.

Можливості RADIUS

• Створення, зберігання, керування обліковими записами користувачів, створення карток доступу, ручне та автоматичне блокування, збір та аналіз інформації.
• Створення звітів, друк та відправка рахунків, аутентифікація, перевірка облікових даних, видача стану блокування, дозволу на послугу та сортування данних.

Облік (Accounting)

• Онлайн-облік засобів абонента, проміжні повідомлення про сесії, завершення сесії.
• У протоколі RADIUS використовується для VPN, Wi-Fi , Ethernet-комутаторів, DSL та інших типів доступу стандарт для віддаленої автентифікації.

Процес автентифікації і авторизації в RADIUS

• Ноутбуки та IP-телефон мають виконати аутентифікацію/авторизацію на мережевих серверах доступу (NAS).
• RADIUS реалізується у вигляді інтерфейсу між NAS (RADIUS-клієнт) та RADIUS-сервером – програмним забезпеченням на комп'ютері.
• Користувач надсилає серверу запит для доступу сертифікату.
• Сервер перевіряє інформацію, використовуючи схеми автентифікації.
• PAP (Захист паролем (Password Authentication Protocol) передає незашифрований пароль .
• CHAP алгоритм автентифікації з використанням геш-значень.
• MD5 криптографічна функція не рекомендується.
• EAP протокол автентифікації, що може вказувати, чи доступ дозволений чи ні.
• Результати перевірки сервері надсилає різні запити, якщо автентифікація успішна
• Сервери обмінюються детальними данними, якщо автентифікація триває

Протоколи SSL/TLS

• SSL (Secure Sockets Layer) та TLS (Transport Level Security) — це криптографічні протоколи для захищеної передачі даних.
• Протоколи SSL/TLS використовуються у веб-браузерах, електронній пошті, обміні повідомленнями, IP-телефонії, TLS 1.0 (SSL 3.1).
• Версія SSL 1.0 ніколи не була оприлюднена, SSL 2.0 мала недоліки, SSL 3.0 є основою для TLS 1.0.
• Різні компанії розробили безпечні протоколи транспортування IETF визначила стандарт протоколу Шифрування TLS 1.0 відомий як SSL 3.1.
• TLS і SSL мають відмінності, розробники помічають лише деякі, кінцеві користувачі не розрізняють. Проте TLS 1.0 та SSL 3.0 несумісні.
• TLS вимагає алгоритми, які SSL не підтримує TLS-server - downgrade.

З'єднання, захищене TLS

• Передана інформація захищена від прочитання сторонніми особами,особистість учасника з'єднання можна перевірити, кожне повідомлення, дані, не були змінені
• Більшість протоколів зв'язку використовують TLS/SSL, серверу вказують ,чи клієнт встановлюватиме TLS (порт, яким завжди встановлюється TLS)

Версії ​​SSL/TLS

• SSL з’єднання надає та захищає інтерфейси TCP, TLS шифрує та дешифрує дані.
• Версії протоколів SSL SSL 1.0 не існувало, SSL 2.0 випущено в лютому 1995р. виявили недоліки SSL 3.0 (1996р.),TLS 1.0

Опис протоколу SSL

• Протокол SSL знаходиться між протоколами: протоколом, та транспортним протоколом TCP/IP SSL захищає дані, виконуючий ролі фільтра.
• Рівні: протокол підтвердження підключення - Handshake Protocol Layer, Шарт протоколу запису
• Перший шар: складається з трьох підпротоколів. Протокол підтвердження під’єднання , Протокол зміни параметрів шифру , Попереджувальний протокол
• Protocol підтвердження підключення здійснює authentication сторін та погоджує шифрування,.стиснення, автентифікація учасників здійснюється протоколом підтвердження підключення
• The parameter зміни використовується створення ключів шифрування протокол, сервер змінює набір ключів.
• Попередження, зміна статусу або можлива помилка

Протокол запису TLS

• Кожний рівень включає в поля для перевірки, протокол, фрагментує дані, стискає дані MAC,шифрує, перевіряє та доставляє дані.
• Існує перелік протоколів запису.
• Протокол отримання згоди, протокол тривоги, зміни шифру
• Принцип роботи SSL ,фази: етап пересилання,рукостискання Клієнт надсилає "hello" серверу із переліком симетричних алгоритмів шифрування, сервер вибирає відповідний список.
• Сервер відсилає публічний ключ

Забезпечення серверів

• Перевірка сертифіката, щоб убезпечити сервера для відправлення свого публічного ключа.
• Достовірність "набір надійних баз”, набір кодів і дій сервер отримує при аутенцифікацій.
• Згодом сервер і ключ при зашифрувані підтвердження перевірки і коду не збігаються, виникає помилка і це закриває під’єднання .

Способи отримання SSL-certificate

• Використовувати сертифікат, само підписаний та порожній

Гешування

• Геш, невеликий розмір, MD5 алгоритми,SHA-1, результати - перевірка передачі данних

Шифрування

• Симетричний ключ - секретний ключ асиметричний - відкритий

Відкритий ключ

• Забезпечує початковий захист, та гарантує зв’язок . Шифрує відкритий ключ- код , та зворотній код , кожний має доступ за призначенням.

Закритий ключ

• Більш надійний та більш складний
• Комбінований спосіб шифровань
• Мінус не має обчислювання

Захист

• Щоб вирішити цю суперечність,застос симетричний ключ (по секрету)
• Є два асиметричні ключ, протокол Діффі-Хеллмана не використовується.

Застосування

• Проектуванні за допомогою програм, SMTP,HTTP.ftp і так далі . Зв"язок протоколу і реалізація ,SSL протокол, HTTPS(трансформування за допомогою гіпертексту протоколу). Забезпечую тей захист

Використання і реалізація

• Приватні SSL Мережі- альтернативна технологія віддаленого дост. Програмне забезпечення з відкритим вихідним кодом OpenSSL, на яком базуть в SSLv3.

Специфікація записів SSL

• Формат записів SSL всі дні є за зразком,я складається іх 2 і 3 Байти коду,

Формат заголовка SSL

• Record –дорівнює декільком значенням,включай кількість бітів відправника

Інформаційні записи SSL

• Мак лінійний розбір –алгаритм обчислення секрет, лінія реальних передавач даних, та данні, які не потрібні

Значення

• Secret залежить від того хто буде відправляти Client - write keay , а в противному випадку Clent redkrey – code

Дорівнює Client

• Захист 32 біти,забезпечують передачу інформації обчислює, та звіряє значення, це і убезпечє пошкодженню

Проколи SSL

• Здійс.конфіденціний за допомогою обміну .
• Клієнт з сервером обмінюються іменем server – hello ,визначають key – master у серві

У цей момент

• Обидві сторони отримуть інформацію для потреб,за попомогою коду і протокол закінчує свою роботу.

Типовий протокол

• Клієнт обмін (S=С)шифрує повідомленння.

Автентифікація та обмін ключами

• SSL- автентифікація обох сторін, серверна з клієнтом, повна анонімність,.взаємні алгоритми ключів.
• Кожна автентифікація має право. Канали з’єднюються в єдине ,усе відбувається через веб.
• Головна meta створити master та secret
• Алгоритм за криптотипом -Diffe Hellmanu.

Відновлення сесій

• К/С з‘єднанні ідентифікуються ,що дає поновлються під попереднє з‘єднання . Ідентифікатор показує що новий ключ використовувати
• Обладнанні ключі – client- hello
• TLS

Клієнт відправляє повідомлення та методи шифрування (захисно на пасажирах), та код переходить на перехід даних із захисного із захищеним.Аналогічний сервер робе. На цій сесії клієнт та сервер обмінюються.