IPv6

IPV6 سیستم جدید آدرس دهی بر اساس پروتکل اینترنتی است که می تواند تعداد آدرس های اینترنتی را نسبت به IPv4 تا چندین برابر افزایش دهد.(IPv5 تنها یک سیستم آزمایشگاهی برای انتشار صوت و تصویر در اینترنت محسوب می شد و هرگز در خارج از آزمایشگاه مورد استفاده قرار نگرفت.) در حالی که IPv4 می تواند ۳/۴ میلیارد آدرس اینترنتی ایجاد کند، IPV6 می تواند از دو هزار و ۱۲۸ میلیارد آدرس اینترنتی پشتیبانی کند و بر این اساس IPهای بیشتری ایجاد شود.

لازم به ذکر است که IPV6 یک فناوری جدید محسوب نمی شود و از سال ۱۹۹۴ پایه های آن گذاشته شده بود. در خاورمیانه نیز شرکت های اینترنتی و مخابراتی از سال های قبل تلاش هایی را برای به روز رسانی سیستم های آدرس گذاری اینترنتی انجام داده بودند و موفقیت هایی را هم کسب کرده بودند که از جمله آنها می توان به شرکت اماراتی اتصالات اشاره کرد. این شرکت از سال ۲۰۰۱ تاکنون از سیستم IPV6 استفاده می کند و به همین خاطر نسبت به رقبای خود موفق تر بوده است.در حال حاضر اکثر این آدرس ها در نسخه 4 پر شده است و نیاز به یک گذر به نسخه 6 از این پروتکل داریم .ما در این مقاله سعی داریم به نکاتی در خصوص امنیت آدرس دهی IPv6 بپردازیم.

به طور کلی زمانی که تعداد مشترکان تلفن همراه در یک منطقه افزایش می یابد و درخواست مشترکان برای استفاده از خدماتی مثل Wi-Fi، WiMax، RFID، UWB و بلوتوث بالا می رود، کنار گذاشتن سیستم IPv4 و استفاده از IPV6 بهترین راه ممکن خواهد بود و می تواند همه مشکلات موجود را از میان بردارد.

این سیستم به جز افزودن آدرس های جدید می تواند امکانات دیگری را در اختیار افراد قرار دهد. IPV6 در کنار افزایش انعطاف پذیری سیستم مرکزی باعث خواهد شد تا کیفیت تمام خدمات عرضه شده افزایش یافته و در نتیجه میزان رضایت مندی مشتریان به طور قابل توجه بیشتر شود.

کارشناسان امروزه دریافته اند، IPV6 بهترین سیستم برای عرضه خدمات بیشتر صوتی و تصویری در اینترنت محسوب و باعث می شود مشکلات موجود در این زمینه مرتفع شود.

از دیگر مزایای این سیستم می توان به توانمند ی های آن برای دستگاه های قابل حمل اشاره کرد. IPV6 به تمامی مشترکان تلفن همراه امکان می دهد تا آسان تر از گذشته به شبکه های موجود دسترسی داشته باشند و بدون تماس مجدد با شبکه مرکزی و تغییر IP خود، مزایای اینترنت پرسرعت را به کار برند.

اگر ما از یک تلفن همراه نسل سوم با تلفن های مجهز به IP استفاده می کنیم، IPV6 مهم ترین نیاز کنونی ما محسوب می شود.این امکانات فنی، سیستم IPV6 را به جزء لاینفک سیستم های اینترنتی و مخابراتی امروزی تبدیل می کند و می تواند محرکی برای تغییر IPv4 به آن محسوب شود. اما سوالی که برای مدیران IT باقی می ماند آن است که آیا این افراد واقعاً مجبورند سیستم خود را به IPV6 تغییر دهند؟ در پاسخ به این افراد باید بگوییم : «بله، آنها مجبورند به IPV6 مهاجرت کنند.» آنچه که موفقیت شرکت های فعال در این زمینه را تضمین می کنند استفاده از این سیستم است و اگر این شرکت ها در آینده نزدیک سیستم IPV6 را به کار نگیرند، به طور قطع از گردونه رقابت خارج خواهند شد.

نسخۀ ۶ پروتکل اینترنت (IPv6) است که به منظور افزایش تعداد آدرس های عددی اینترنتی (IP) در دسترس توسط گروه ضربت مهندسی اینترنت (IETF) طراحی شده بود. آدرس های IPv6 آدرسهای ۱۲۸ بیتی است ، که به صورت هگزادسیمال نشان داده می شود (برای مثال :    ۲۰۰۱:DB8:8::260:97ff:fe40:efab )

تعداد آدرسهای IPv6 دردسترس ۲^۱۲۸ عدد می باشد ، که تقریبا معادل ۳۴۰ میلیارد، میلیارد، میلیارد است. به نظر می رسد این مقدار آدرس برای پوشش دادن گسترش اینترنت و خدمات وابسته به آن ، در طول سالهای آتی کافی باشد.

IPv6 در سال ۱۹۹۹  معرفی شد و از آن پس مورد استفاده قرار گرفت. این بدین معناست که استانداردهای اصلی  تثبیت شده و در پژوهش و متون کاربردی و تحقیقاتی به خوبی مورد آزمایش قرار گرفته اند.

امنیت پروتکل IPv6 

مسلما IPv6 یکی از بزرگترین و فراگیرترین تغییراتی بود که بر روی ساختارهای پایه‌ای اینترنت اعمال شد.تغییری که در طول 20 سال گذشته بی سابقه بوده است. در حقیقت نسخه 1 تا 3 پروتکل IP هیچگاه به کار برده نشد، همین اتفاق برای نسخه پنجم نیز افتاد. IPv4 تا زمانی که تمامی پروتکل‌ها به درستی وظایف خود را انجام می‌دانند یک چیز واقعاً مفید بود، به خصوص که طراحی آن به سال 1970 باز می گشت و امتحان خود را پس داده بود. اما این مجموعه یک سری مشکلات داشت؛ هر کامپیوتر بر روی شبکه احتیاج به آدرس اینترنتی مخصوص خود داشت و IPv4 فقط 32 بیت داشت. چون 30 سال قبل به علت مسائل تکنیکی تعداد کل وسائل مربوط به شبکه از 32^2 یا 429467296 کمتر بود – چیزی نزدیک به 4 میلیارد – که مشکل بزرگی به نظر نمی‌رسید. اما امروزه با وجود صدها میلیون استفاده کننده اینترنت و در حالیکه آدرس‌های اینترنتی بر روی تلفن‌های همراهی که از جستجوگرهای اینترنتی کوچک استفاده می‌کنند و وسائل بازی و خانگی مانند یخچال و تلویزیون و... که به زودی و برای راحتی و کارایی بیشتر قرار است به اینترنت وصل شوند به کار برده شود کاملا مشخص می‌شود که چرا این 32 بیت آدرس به زودی تمام خواهد شد. بنابراین لزوم استفاده از IPv6 مطرح شد. در این راستا مهمترین تغییر چهار برابر شدن فضای آدرس دهی از 32 به 128 بیت درنسخه جدیدIP یعنی IPv6 بود .در عمل از فضای آدرس دهی جدید به خوبی استفاده نخواهد شد، با این وجود هیچ گاه مشکل کمبود آدرس به وجود نخواهد آمد. به طور خلاصه برای هر کدام از ما 60 هزار میلیارد آدرس IP فراهم خواهد شد. گسترش IPv6 احتیاج به بازنگری در سیستمهای شبکه‌ای و تغییر پیکر بندی صدها میلیون کامپیوتر در سراسر جهان خواهد داشت. مساله امنیت نیز یکی از مهمترین مسایل در این نسخه می‌باشد که بایستی بصورت وسیع به آن پرداخته شود.

امکانات و ویژگی‌های جدید IPv6 

شاید نیاز به توسعه تعداد آدرس‌های IP با توجه به وضعیت بحرانی موجود به عنوان یکی از اهداف مهم طراحی و پیاده سازی IPv6 ذکر شود ولی تمام داستان به اینجا ختم نمی‌شود و دلایل متعدد دیگری نیز در این زمینه مطرح می‌باشدIPv6. بگونه‌ای طراحی شده است تا ضمن ایجاد یک محیط همگرا زمینه استفاده از صوت، تصویر و سرویس‌های داده را بر روی شبکه‌ای با زیرساخت IP فراهم نماید . بدین منظور، امکانات و پتانسیل‌های پیشرفته‌ای در IPv6 پیش بینی شده است :

افزایش فضای آدرس دهی : یکی از مهمترین مزایای IPv6، افزایش تعداد فضای آدرس دهی است. فضای آدرس دهی IPv6 به اندازه‌ای زیاد است که شاید نتوان آن را با فضای آدرس دهی IPv4 مقایسه نمود. در IPv4، تعداد 4,294,967,296 فضای آدرس دهی وجود دارد (256 به توان 4 معادل با 2 به توان 32 آدرس) در حالی که این عدد در IPv6 به رقم 340,282,366,920,938,463,463,374,607,431,768,211,456 می‌رسد (256 به توان 16 معادل با 2 به توان 128 آدرس). افزایش آدرس‌های سراسری قابل روت به سازمان‌ها این اجازه را خواهد داد که مسیر خود را از آدرس‌های IP غیرقابل روت ارائه شده توسط NAT جدا نموده و برنامه‌های مورد نیاز خود را در یک محیط واقعی end-to-end استفاده نمایند .

پیکربندی اتوماتیک stateless : پیکربندی اتوماتیک IP در IPv4 از طریق سرویس دهنده DHCP انجام می‌شود. در IPv6 این کار توسط DHCPv6 انجام خواهد شد. در IPv6 این وضعیت توسعه و به پیکربندی اتوماتیک stateless تعمیم یافته است. با استفاده از پیکربندی اتوماتیک stateless به دستگاه‌ها اجازه داده می‌شود که پیکربندی آدرس‌های IPv6 خود را از طریق ارتباط با یک روتر مجاور انجام دهند .با این که پیکربندی اتوماتیک stateless برای اکثر محیط‌ها دارای مزایائی است، ولی در شبکه هائی که دارای تعداد زیادی از دستگاه‌ها با قابلیت محدود مدیریتی می‌باشند، مسائلی را به دنبال خواهد داشت. یک شبکه مبتنی بر تعداد زیادی سنسور که ممکن است شامل میلیون‌ها دستگاه بی سیم راه دور باشد که صرفا" بر روی شبکه قابل دسترس می‌باشند، نمونه‌ای در این زمینه است. پیکربندی اتوماتیک به سازمان‌ها کمک خواهد کرد که هزینه نگهداری و مدیریت شبکه خود را کاهش دهند .با این که پیکربندی اتوماتیک آدرس دهی خصوصی موسوم به APIPA برگرفته از Automatic Private IP Addressing، دارای خصایص مشابهی در خصوص پیکربندی است ولی ماهیت آن با پیکربندی اتوماتیک stateless کاملا" متفاوت است APIPA از یک محدوده خاص فضای آدرس دهی) IPاز محدوده IP:169.254.0.1 تا (IP:169.254.255.254 در مواردی که یک سرویس دهنده DHCP در شبکه موجود نباشد و یا سرویس گیرنده قادر به برقراری ارتباط با آن نباشد، استفاده می نماید. از پروتکل ARP برگرفته از Address Resolution) (Protocol به منظور بررسی منحصربفرد بودن آدرس IP بر روی یک شبکه محلی (LAN ) استفاده می‌گردد. زمانی که یک سرویس دهنده DHCP در دسترس قرار بگیرد، آدرس‌های IP سرویس گیرندگان به صورت اتوماتیک بهنگام خواهند شد .

extension header با این که هدر IPv6 در مقام مقایسه با IPv4 بسیار ساده تر شده است، ولی امکان ارائه قابلیت‌های پیشرفته در سطح هدر و بسته اطلاعاتی IP پیش بینی شده است. با اضافه کردن هدر به هدر پایه IPv6 قابلیت‌های چشمگیری به آن اضافه شده است. بدین ترتیب، هدر پایه ثابت خواهد ماند و در صورت ضرورت می‌توان قابلیت‌های جدید را از طریق extension header به آن اضافه نمود.

امنیت اجباری : با این که در IPv4 امکان استفاده از IPsec برگرفته از( Internet Protocol security ) وجود دارد، ولی توجه داشته باشید که ویژگی فوق به عنوان یک قابلیت جدید به پروتکل فوق اضافه می‌گردد تا از آن در مواردی نظیر tunneling، رمزنگاری شبکه به منظور دستیابی راه دور VPNs برگرفته از ( Virtual Private Networks ) و ارتباط با سایت‌ها استفاده گردد . تعداد زیادی از سازمان‌ها از پروتکل IPsec در موارد خاصی استفاده می نمایند ولی وجود موانعی نظیر NAT، می‌تواند زمینه بکارگیری آن را با مشکل مواجه نماید .درIPv6، پروتکل IPsec به عنوان بخشی الزامی در پیاده سازی مطرح شده است تا به کمک آن یک زیرساخت امنیتی مناسب به منظور ارائه سرویس‌های امنتیی نظیر تائید، یکپارچگی و اعتمادپذیری فراهم گردد . ظرفیت عملیاتی IPsec بگونه‌ای است که سازمان‌ها به کمک آن می‌توانند وضعیت مدل امنیتی خود را بهبود و سیاست‌های امنیتی خود را توسعه دهند.

فواید IPv6 

ویژگی‌های جدید IPv6 فواید زیادی را برای کسب و کارهای مختلف به ارمغان می‌آورد:

•کاهش هزینه‌های مدیریت شبکه: ویژگی‌های auto-configurationو آدرس‌دهی سلسله مراتبی مدیریت شبکه IPv6را آسان می‌کند.

•بهینه سازی برای شبکه‌های نسل آینده(NGN): رها شدن از NAT مدل Peer-To-Peer را مجددا ً فعال می‌کند و به پیاده سازی application ها، ارتباطات و راه‌حل‌های متحرک جدید مثل VOIP کمک می‌کند.

•محافظت از دارایی‌های شرکت: IPSec مجتمع، IPv6 را ذاتا ً امن می‌کند و امکان داشتن یک استراتژی متحد برای کل شبکه را فراهم می‌کند.

•محافظت از سرمایه‌گذاری: امکان گذر و انتقال آسان و برنامه‌ریزی شده از IPV4 به IPV6 . امکان حضور هر دو پروتکل در فاز انتقال وجود دارد.

بررسی مشکلات امنیتی IPv6 

شاید بزرگترین مناقشه بر سر موضوع امنیت بود. همه بر این اصل که امنیت لازم است اشتراک نظر داشتند. دعوا بر سر چگونگی رسیدن به امنیت و محل پرداختن به آن بود. اولین محل پرداختن به امنیت لایه شبکه است. استدلال موافقین مبنی بر آن بود که پیاده سازی امنیت در لایه شبکه، سرویسی استاندارد را فراهم می‌آورد که تمام برنامه‌های کاربردی بدون هیچگونه برنامه ریزی قبلی می‌توانند از آن بهره بگیرند. استدلال مخالفین نیز آن بود که برنامه‌های کاربردی امن، عموماً به هیچ مکانیزمی کمتر از End-to-End Encryption احتیاج ندارند، به نحوی که پروسه مبداخودش داده‌های ارسالی خود را رمز کرده و پروسه مقصد آنها را از رمز خارج کند. هر چیزی کمتر از این، می‌تواند کاربر را با خطراتی مواجه کند که از اشکالات امنیتی لایه شبکه ناشی می‌شود و هیچ تقصیری متوجه او نیست. پاسخ به آن استدلال این بود که کاربر می‌تواند امنیت لایه IP را نادیده بگیرد و کار خودش را انجام دهد! پاسخ نهایی مخالفین نیز آن بود که افرادی که به عملکرد صحیح شبکه(در خصوص امنیت )اعتماد ندارند چرا باید هزینه پیاده سازی سنگین و کندی IP را بپردازند!! یکی از جنبه‌های مربوط به امنیت این حقیقت بود که بسیاری از کشورها قوانین سختگیرانه‌ای در مورد صادرات محصولات مرتبط با رمز نگاری وضع کرده اند. از مثالهای بارز می‌توان به فرانسه و عراق اشاره کرد که حتی استفاده از رمزنگاری در داخل را نیز محدود کرده اند و عموم افراد نمی‌توانند چیزی را از پلیس مخفی نگه دارند. در نتیجه هر گونه پیاده سازی از IP که از روشهای رمز نگاری قوی استفاده می‌کند مجوز صدور ایالات متحده (و بسایری کشورهای دیگر) را نخواهد گرفت. پیاده سازی دو نرم‌افزار یکی برای کاربرد داخلی و یکی برای صادرات، موضوعی است که عرضه کنندگان صنعت کامپیوتر با آن مخالفند.

امنیت در IPv6 

امنیت یکی از مشخصات داخلی پروتکل IPv6 است که دارای هر دو مشخصه تصدیق(Authentication) و رمزنگاری(Encryption) در لایه IP پروتکل جدید است. IETF سازمانی است که به گروه کاری امنیت در IP معروف است. این سازمان وظیفه دارد که مکانیزمهای امنیتی مورد نیاز در لایه‌های مختلف IP را هم در IPv6 و هم در IPv4 جهت گسترش و بهبود استانداردهای مورد نیاز بر عهده گیرد. همچنین این گروه وظیفه دارد پروتکل‌های مدیریتی کلید عمومی(Key Management Protocols) را جهت استفاده بیشتر در شبکه جهانی اینترنت توسعه و گسترش دهد. تصدیق(Authentication) این قابلیت را به گیرنده بسته می‌دهد که مطمئن شود آدرس مبدا معتبر بوده و بسته در طول زمان انتقال دچار تغییر و دستکاری نخواهد شد. رمز نگاری(Encryption) اطمینان می بخشد که تنها گیرنده اصلی بسته می‌تواند به محتویات آن دست یابد. به عبارت دیگر رمز نگاری باعث می‌شود که تنها گیرنده‌ای که بسته به نام او ارسال شده است، می‌تواند به محتویات آن دسترسی داشته باشد. برای بررسی و تحلیل این مزایا یک سیستم کلیدی بکار گرفته می‌شود که به موجب آن فرستنده‌ها و گیرنده‌ها بر روی یک مقدار کلیدی که مورد استفاده قرار می‌گیرد با هم به توافق می‌رسند. سیستم مدیریت کلید عمومی که توسط طراحان IPv6 پذیرفته شده است، مکانیزم ISAKMP می‌باشد، که با ایجاد و تولید کلید رمز سر و کار دارد و روشهای اجرای عمومی پروتکل مدیریت کلید را تامین می‌کند. پیغامهای ISAKMP با استفاده از پروتکل UDP رد و بدل می‌شوند و از شماره پورت 500 استفاده می‌کند. [4]

IPv6 لزوم IPSEC را اجباری می‌کند و درنتیجه یک قالب امنیتی یک پارچه برای ارتباطات اینترنتی ایجادمی‌کند. IPSEC برای پیاده‌سازی رمزنگاری و نیز تصدیق استفاده می‌شود. دربسیاری از پیاده‌سازی‌های IPv4 امکان فعال سازی IPSEC نمی‌باشد و در نتیجه سطح امنیت کاهش می‌یابد.

پروتکل امنیت در لایه شبکه IPSec 

همانگونه که ذکر شد، بحث امنیت داده‌ها و اطلاعات در IPv6 از اهمیت بالایی برخوردارست. با گسترش حملات کامپیوتری، اصالت، جامعیت، هویت‌شناسی و محرمانگی اطلاعات خصوصاَ اطلاعات حیاتی افراد و سازمانها در معرض خطر قرار خواهد گرفت. از این رو استفاده از پروتکل IPSec، باعث ایمن سازی فضای اطلاعات خواهد شد. پروتکل IPSec یکی از استانداردهای VPN است که با استفاده از مکانیزمهای هویت‌شناسی و رمزنگاری مانع از گوش دادن به داده‌ها یا دستکاری و خراب کاری آنها می‌شود. قابل توجه‌ترین موارد استفاده از آن به صورت شبکه به شبکه و نیز دسترسی از راه دور(کامپیوتر به شبکه) می‌باشند. در واقع امنیت شبکه‌های خصوصی مجازی VPN از چندین روش امکانپذیر می‌باشد که عبارتند از دیوار آتش, IPSec , AAA Server و کپسوله سازی. اما روش IPSec به علت امن بودن، پایداری بالا، ارزان بودن، انعطاف پذیر بودن و مدیریت بالا مورد توجه قرار گرفته است. مطابق با تعریف IETF پروتکل IPSec به این شکل تعریف می‌شود: ”یک پروتکل امنیتی در لایه شبکه که خدمات رمزنگاری را تامین می‌کند. خدماتی که بصورت منعطف به پشتیبانی ترکیبی از تایید هویت، جامعیت، کنترل دسترسی و محرمانگی می‌پردازد” . پروتکلIPSec از IKE به عنوان مدیریت کلید استفاده می‌کند. این پروتکل مخصوصا برای بسته‌های پروتکل IP طراحی شده و بر خلاف PPTP امنیت را برای سایر پروتکل‌ها فراهم نمی‌آورد. بعلاوه شامل دو مد رمزنگاری است که transport و tunnel نام دارند و هر یک سطحی از امنیت را فراهم می‌آورند. امروزه این پروتکل یکی از مورد توجه‌ترین پروتکل‌های امنیتی محسوب می‌شود و از جمله اینکه هر دو شرکت بزرگ Cisco و Microsoft در محصولات خود پشتیبانی از IPSec را گنجانده اند..

پروتکل IPSec از دیدگاه شبکهIPSec 

این پروتکل در لایه ٣ عمل می‌کند و شامل پروتکل‌های AH و ESP می‌باشد. IPSec از AH به منظور هویت‌شناسی و جامعیت مبدا بدون استفاده از رمزنگاری بهره می‌گیرد، درحالیکه ESP هویت‌شناسی و جامعیت مبدا را به کمک رمزنگاری فراهم می‌آورد. پروتکل IPSec دارای دو مد عملیاتی انتقال و تونل است. در مد انتقال مکانیزم رمز نگاری روی قسمت داده‌ای بسته IP اعمال می‌شود و سرآیند بسته IP تغییر نخواهد کرد. بنابراین مبدا و مقصد نهایی بسته ممکن است توسط افراد غیر مجاز مشاهده شود، اما چون در این مد سرآیند لایه ٤ رمزنگاری شده است، اطلاع دقیق از نوع و کیفیت بسته ارسالی برای کابران غیر مجاز امکانپذیر نخواهد بود. معمولاَ از این مد زمانی استفاده می‌شود که هم مبدا و هم مقصد پروتکل IPSec را پشتیبانی نماید. در مد تونل، تمامی بسته IP رمزنگاری می‌شود و سپس یک سرآیند جدید به بسته رمزنگاری شده الحاق می‌گردد. از این مد زمانی استفاده می‌شود که یک یا هر دو طرف اتصال IPSec دروازه‌های امنیتی باشند که از این پروتکل حمایت می‌کنند، در حالی که مبدا و مقصد اصلی که در پشت این دروازه‌ها قرار دارند پروتکل IPSec را پشتیبانی نمی‌کنند. در این حالت مبدا و مقصد اصلی بسته‌ها از دید کاربران غیر مجاز پنهان خواهد ماند.

پروتکلهای IPSec

خانواده پروتکل IPSec شامل دو پروتکل است. یعنی سرآیند احراز هویت یا AH (Authentication Header) وESP هر دوی این پروتکل‌ها از IPSec مستقل خواهد بود.

پروتکل AH

بطور خلاصه پروتکل AH در واقع تأمین کنندة سرویسهای امنیتی زیر خواهد بود: 1.تمامیت داده ارسالی 2.احراز هویت مبدا داده ارسالی 3.رد بسته‌های دوباره ارسال شده

این پروتکل برای تمامیت داده ارسالی از HMAC استفاده می‌کند و برای انجام این کار مبنای کارش را مبتنی بر کلید سری قرار می‌دهد که payload پکت و بخشهایی تغییر ناپذیر سرآیند IP شبیه IP آدرس خواهد بود. بعد از اینکار این پروتکل سرآیند خودش را به آن اضافه می‌کند در شکل زیرسرآیندها و فیلدهای AH نمایش داده شده است.

سرآیند AH،24 بایت طول دارد. حال به توضیح فیلدهای این پروتکل می پردازیم.

1. اولین فیلد همان Next Headerمی باشد. این فیلد پروتکلهای بعدی را تعیین می‌کند. در حالت Tunnel یک دیتاگرام کامل IP کپسوله می‌شود بنابراین مقدار این فیلد برابر 4 است. وقتی که کپسوله کردن یک دیتا گرام TCP در حالت انتقالmode) (Transport باشد، مقدار این فیلد برابر 6 خواهد شد
2. فیلدpayload length همانطوریکه از نامش پیداست طول payload را تعیین می‌کند.
3. فیلد Reserved از دو بایت تشکیل شده است.برای آینده در نظر گرفته شده است.
4. فیلد security parameter Index یا SPI از 32 بیت تشکیل شده است. این فیلد از SA تشکیل شده که جهت باز کردن پکت‌های کپسوله شده بکار می‌رود. نهایتاً 96 بیت نیز جهت نگهداری احراز هویت پیام Hash یا (HMAC) بکار می‌رود.
5. HMAC حفاظت تمامیت دادهٔ ارسالی را برعهده دارد. زیرا فقط نقاط نظیر به نظیر از کلید سری اطلاع دارند که توسط HMAC بوجود آمده و توسط همان چک می‌شود.

چون پروتکل HA حفاظت دیتاگرام IP شامل بخشهای تغییر ناپذیری مثل IP آدرسها نیز هست، پروتکل AH اجازه ترجمه آدرس شبکه را نمی‌دهد. NAT یا ترجمه آدرس شبکه در فیلد IP آدرس دیگری (که معمولاً IP آدرس بعداً می‌باشد) قرار می‌گیرد. وبه این جهت تغییر بعدی HMAC معتبر نخواهد بود. در شکل زیر حالتهای انتقال و تونل در پروتکل AH به نمایش در آمده است.همان طور که می بینید این پروتکل در این دو حالت ارتباط امن بین دو نقطه انتهائی که در دو شبکه مجزا قرار دارند را فراهم می‌آورد، همچنین ارتباط امن بین دو نقطه در یک شبکه داخلی و یک نقطه انتهائی و یک مسیر یاب یا حفاظ دیواره آتش(Firewall) را ممکن می سازد.

پروتکل (Encapsulation Security Payload(ESP 

پروتکل ESP سرویسهای امنیتی زیر را ارائه می‌کند:

1. محرمانگی
2. احراز هویت مبدا داده ارسالی
3. رد بسته‌های دوباره ارسال شده

در واقع پروتکل ESP هم امنیت تمامیت داده (سلامت داده‌های ارسالی) پکت هایی که از HMAC استفاده می‌کنند را تامین کنید و هم محرمانگی از طریق اصول رمزنگاری (Encryption principle ) بکار گرفته شده .بعد از رمزنگاری پکت و محاسبات مربوط به HMAC، سرآیند ESP محاسبه و به پکت اضافه می‌شود. سرآیند ESP شامل دو بخش است که مطابق شکل زیر نمایش داده شده است.

1. اولین 32 بیت سرآیند ESP همان SPI است که درSA بکار گرفته شده و جهت بازگشایی پکت کپسوله شده ESP بکار می‌رود.
2. دومین فیلد همان شماره توالی یا Sequence Number می‌باشد که به جهت حفاظت از تهاجمات داده‌های بازگشتی استفاده می‌شود.
3. سومین فیلد همان بردار مقدار اولیه یاInitialization Vector (IV) می‌باشد. این فیلد نیز برای پردازش رمزنگاری بکار می‌رود. الگوریتمهای رمزنگاری متقارن اگر از IV استفاده نکنند، مورد تهاجم متوالی روی پکت قرار می‌گیرد. IV این اطمینان را می‌دهد تا دو مشخصه Payload روی دو Payload رمز شده مختلف قرار گیرد. پردازش رمزنگاری در IPSec در دو بلوک رمز (Cipher) بکار می‌رود. بنابراین اگر طول Payload‌ها تک تک باشند. Payload , IPSec‌ها را به شکل لایه لایه قرار می‌دهد. و از اینرو طول این لایه‌ها همواره در حال اضافه شدن است. طول لایه (Pad length) 2 بایت است.
4. فیلد بعدی که همان Next header می‌باشد، سرآیند بعدی را مشخص می‌کند.
5. این پروتکل HMAC است که مانند پروتکل HA از تمامیت و سلامت داده‌های ارسالی حفاظت می‌کند. فقط این سرآیند است که می‌تواند به Payload اعتبار دهد. سرآیند IP شامل پروسه محاسبه نمی‌باشد.

NAT هیچ ارتباطی به کار ESP ندارد و این بخش هنوز هم ممکن است بخشی از IPSec باشد و با آن ترکیب گردد. NAT پیمایشی (NAT-Traversal ) راه حلی است در کپسوله کردن پکت‌های ESP به همراه پکت‌های UDP. در شکل زیر حالتهای انتقال و تونل در پروتکلESP به نمایش در آمده است.

همان طور که می بینید این پروتکل در این دو حالت ارتباط امن بین دو نقطه انتهائی که در دو شبکه مجزا قرار دارند را فراهم می‌آورد، همچنین ارتباط امن بین دو نقطه در یک شبکه داخلی و یک نقطه انتهائی و یک مسیر یاب یا حفاظ دیواره آتش(Firewall) را ممکن می سازد.

پروتکل IKE

IKE پروتکلی است که چندین مسئله مهم در ارتباط امن را تنظیم می‌کند. احراز هویت نقاط نظیر و کلید تبادلی متقارن. این پروتکل مجمع امنیت (SA) را ایجاد کرده و درSAD یا پایگاه مجمع امنیت (Security Association data base ) قرار می‌دهد. IKE پروتکلی است که عموماً نیازمند فضای کاربر فوق العاده‌ای است و روی سیستم‌های عامل پیاده سازی نمی‌شود. پروتکل IKE، از پورت شماره UDP/500 استفاده می‌کنند. IKE از دو مرحله تشکیل شده است. اولین مرحله همان تشکیل مجمع امنیت مدیریت کلید (Internet Security Association and key) یا (ISAKMP SA) می‌باشد. در مرحله دوم ISAKMPSA، برای مذاکره و تنظیم IPSec , SA بکار می‌رود. احراز هویت مرحله اول نقاط نظیر معمولاً بر مبنای کلیدهای پیش اشتراک شده (Per shared Keys )، کلیدهای RSA و گواهینامه X509 بوجود می‌آید. مرحله اول از دوحالت پشتیبانی مینماید. حالت اصلی (main mode) و حالت تهاجمی (aggressive mode) این دو حالت نقاط نظیر را احراز هویت کرده و ISAKMP SA را تنظیم می نمایند. در حالت تهاجمی تنها نصف تعداد پیامها در این مورد تحت پوشش قرار می‌گیرد. به هر حال این خود یک اشکال محسوب می‌شود، زیرا این حالت نمی‌تواند از هویت نقاط نظیر پشتیبانی حفاظت نماید و از این جهت است که این حالت با داشتن کلید پیش اشتراکی (PSK) مستعد حملات میان راهی (man-in-the-middle) خواهد بود. از طرف دیگر تنها منظور از حالت تهاجمی همین است. در حالت اصلی نه تنهااز کلید پیش شرط مختلف نمی‌تواند پشتیبانی نمایدبلکه نقاط نظیر به نظیر را نیز نمی‌شناسد. در حالت تهاجمی که از حفاظت هویت افراد / نقاط حمایت نمی‌کند و هویت کاربران انتهایی را چنین شفاف انتقال می‌دهد. بنابراین نقاط نظیر هر چیز را خواهد دانست پیش از آنکه احراز هویتی در مورد جا و کلیدهای پیش شرط بتواند بکار برد. در مرحله دوم پروتکل IKE که SA‌های پیشنهادی تبادل می‌شوند و توافقاتی بر پایه ISAKMP SA برای SA انجام خواهد شد. ISAKMP SA احراز هویت برای حفاظت از تهاجمات میان راهی را تهیه می بیند. دومین مرحله از حالت سریع استفاده می‌کند. معمولاً دو نقطه نظیر روی SAKMP SA با هم مذاکره و توافق می‌کنند که هر دو طرف معمولاً روی چندین مذاکره (حداقل 2 تا) بطور غیر مستقیم توافق کنند.

مفاهیم اساسی

با استفاده از پروتکل IPsec شما می‌توانید پنهان کردن داده‌ها، صحت داده ها، اعتبار یا سندیت و Anti Reply Protection را برای ترافیک شبکه به صورت زیر ایجاد کنید:

-ایجاد امنیت انتها به انتها از کاربر به کارگزار، از کارگزار به کارگزار و از کاربر به کاربر در مد انتقال IPSec

-ایجاد دسترسی راه دور امن از کاربر به دروازه بر روی اینترنت با استفاده از پروتکل تونل سازی لایه ٢ (L2TP) امن شده بوسیله IPSec .

-IPSec یک ااتصال دروازه به دروازه امن را روی WAN اختصاصی یا یک اتصال تحت اینترنت با استفاده از تونل L2TP/IPSec یا مد تونل IPSec فراهم می‌کند. (مد تونل IPSec برای کار با VPN دسترسی راه دور طراحی نشده است. ) سیستم‌عامل WIN2000 پیکربندی و مدیریت امنیت شبکه را بوسیله IP Security آسان کرده است.

SSL چیست؟ 

(SSL یا Secure Socket Layer) راه‌حلی جهت برقراری ارتباطات ایمن میان یک سرویس‌دهنده و یک سرویس‌گیرنده است که توسط شرکت Netscape ارایه شده است. در واقع SSL پروتکلی است که پایین‌تر از لایه کاربرد (لایه 4 از مدل TCP/IP) و بالاتر از لایه انتقال (لایه سوم از مدل TCP/IP) قرار می‌گیرد. (شکل زیر) مزیت استفاده از این پروتکل بهره‌گیری از موارد امنیتی تعبیه شده آن برای امن کردن پروتکل‌های غیرامن لایه کاربردی نظیرHTTP ،LDAP ،IMAP و... می‌باشد که براساس آن الگوریتم‌های رمزنگاری بر روی داده‌های خام (plain text) که قرار است از یک کانال ارتباطی غیرامن مثل اینترنت عبور کنند، اعمال می‌شود و محرمانه ماندن داده‌ها را در طول کانال انتقال تضمین می‌کند. به بیان دیگر شرکتی که صلاحیت صدور و اعطاء گواهی‌های دیجیتال SSL را دارد برای هر کدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس‌دهنده و سرویس‌گیرنده را صادر می‌کند و با مکانیزم‌های احراز هویت خاص خود، هویت هر کدام از طرفین را برای طرف مقابل تأیید می‌کند، البته غیر از این‌کار می‌بایست تضمین کند که اگر اطلاعات حین انتقال مورد سرقت قرار گرفت، برای رباینده قابل درک و استفاده نباشد که این‌کار را با کمک الگوریتم‌های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات یک ارتباط مبتنی بر پروتکل امنیتی SSL 

برای داشتن ارتباطات امن مبتنی بر SSL عموماً به دو نوع گواهی دیجیتال SSL یکی برای سرویس‌دهنده و دیگری برای سرویس‌گیرنده و یک مرکز صدور و اعطای گواهینامه دیجیتال یا CA نیاز می‌باشد. وظیفه CA این است که هویت طرفین ارتباط، نشانی‌ها، حساب‌های بانکی و تاریخ انقضای گواهینامه را بداند و براساس آن‌ها هویت‌ها را تعیین نماید.

اجزای پروتکل SSL 

پروتکل SSL دارای دو زیر پروتکل تحت عناوین زیر می‌باشد.

1. SSL Record Protocol که نوع قالب‌بندی داده‌های ارسالی را تعیین می‌کند.

1. SSL Handshake Protocol که براساس قالب تعیین شده در پروتکل قبلی، مقدمات ارسال داده‌ها میان سرویس‌دهنده‌ها و سرویس‌گیرنده‌های مبتنی بر SSL را تهیه می‌کند.

بخش‌بندی پروتکل SSL به دو زیر پروتکل دارای مزایای چندی است. ازجمله:

اول: در ابتدای کار و طی مراحل اولیه ارتباط (Handshake) هویت سرویس‌دهنده برای سرویس‌گیرنده مشخص می‌گردد.

دوم: در همان ابتدای شروع مبادلات، سرویس‌دهنده و گیرنده بر سر نوع الگوریتم رمزنگاری تبادلی توافق می‌کنند.

سوم: در صورت لزوم، هویت سرویس گیرنده نیز برای سرویس‌دهنده احراز می‌گردد.

چهارم: در صورت استفاده از تکنیک‌های رمزنگاری مبتنی بر کلید عمومی، می‌توانند کلیدهای اشتراکی مخفی را ایجاد نمایند.

پنجم: ارتباطات بر مبنای SSL رمزنگاری می‌شوند.الگوریتم‌های رمزنگاری پشتیبانی شده درSSL در استانداردSSL، از اغلب الگورتیم‌های عمومی رمزنگاری و مبادلات کلید (Key Exchcenge Algorithm) نظیر DES ،DSA ،KEA ، MD5، RC2،RC4، RSA و RSA Key Exchauge ،SHA-1 ،Skipjack و 3DES پشتیبانی می‌شود و بسته به این‌که نرم‌افزارهای سمت سرویس‌دهنده و سرویس‌دهنده نیز از موارد مذکور پشتیبانی نمایید، ارتباطاتSSL می‌تواند براساس هر کدام این از الگوریتم‌ها صورت پذیرد. البته بسته به طول کلید مورد استفاده در الگوریتم و قدرت ذاتی الگوریتم می‌توان آن‌ها را در رده‌های مختلفی قرار دارد که توصیه می‌شود با توجه به سناریوهای موردنظر، از الگوریتم‌های قوی‌تر نظیر 3DES با طول کلید 168 بیت برای رمزنگاری داده‌ها و همچنین الگوریتم 1-SHA برای مکانیزم‌های تأیید پیغام 5 MD استفاده شود و یا این‌که اگر امنیت در این حد موردنیاز نبود، می‌توان در مواردی خاص از الگوریتم رمزنگاری 4 RC با طول کلید 40 بیت و الگوریتم تأیید پیغام 5 MD استفاده نمود. (شکل زیر) با تشکر امیر علی انوری (-:

نحوه عملکرد داخلی پروتکلSSL

همان‌طور که می‌دانید SSL می‌تواند از ترکیب رمزنگاری متقارن و نامتقارن استفاده کند. رمزنگاری کلید متقارن سریع‌تر از رمزنگاری کلیدعمومی است و از طرف دیگر رمزنگاری کلید عمومی تکنیک‌های احراز هویت قوی‌تری را ارایه می‌کند. یک جلسه SSL Session) SSL) با یک تبادل پیغام ساده تحت عنوان SSL Handshake شروع می‌شود. این پیغام اولیه به سرویس‌دهنده این امکان را می‌دهد تا خودش را به سرویس‌دهنده دارای کلید عمومی معرفی نماید و سپس به سرویس‌گیرنده و سرویس‌دهنده این اجازه را می‌دهد که یک کلید متقارن را ایجاد نمایند که برای رمزنگاری‌ها و رمزگشایی سریع‌تر در جریان ادامه مبادلات مورد استفاده قرار می‌گیرد. گام‌هایی که قبل از برگزاری این جلسه انجام می‌شوند براساس الگوریتم RSA Key Exchange عبارتند از:

- سرویس گیرنده، نسخه SSL مورد استفاده خود، تنظیمات اولیه درباره نحوه رمزگذاری و یک داده تصادفی را برای شروع درخواست یک ارتباط امن مبتنی بر SSL به سمت سرویس‌دهنده ارسال می‌کند.

- سرویس‌دهنده نیز در پاسخ نسخه SSL مورد استفاده خود، تنظیمات رمزگذاری و داده تصادفی تولید شده توسط خود را به سرویس‌گیرنده می‌فرستد و همچنین سرویس‌دهنده گواهینامه خود را نیز برای سرویس‌گیرنده ارسال می‌کند و اگر سرویس‌گیرنده از سرویس‌دهنده، درخواستی داشت که نیازمند احراز هویت سرویس‌گیرنده بود، آن را نیز از سرویس‌گیرنده درخواست می‌کند.

- سپس سرویس‌گیرنده با استفاده از اطلاعاتی که از سرویس‌دهنده مجاز در خود دارد، داده‌ها را بررسی می‌کند و اگر سرویس‌دهنده مذکور تأیید هویت شد، وارد مرحله بعدی می‌شود و در غیراین‌صورت با پیغام هشداری به کاربر، ادامه عملیات قطع می‌گردد.

- سرویس‌گیرنده یک مقدار به نام Secret Premaster را برای شروع جلسه ایجاد می‌کند و آن را با استفاده از کلید عمومی (که اطلاعات آن معمولاً در سرویس‌دهنده موجود است) رمزنگاری می‌کند و این مقدار رمز شده را به سرویس‌دهنده ارسال می‌کند.

- اگر سرویس‌دهنده به گواهینامه سرویس‌گیرنده نیاز داشت می‌بایست در این گام برای سرویس‌دهنده ارسال شود و اگر سرویس‌گیرنده نتواند هویت خود را به سرویس‌دهنده اثبات کند، ارتباط در همین‌جا قطع می‌شود.

- به محض این‌که هویت سرویس‌گیرنده برای سرویس‌دهنده احراز شد، سرویس‌دهنده با استفاده از کلید اختصاصی خودش مقدار Premaster Secret را رمزگشایی می‌کند و سپس اقدام به تهیه مقداری به نام Master Secret می‌نماید. - هم سرویس‌دهنده و هم سرویس‌گیرنده با استفاده از مقدار master Secret کلید جلسه (Session Key) را تولید می‌کنند که در واقع کلید متقارن مورد استفاده در عمل رمزنگاری و رمزگشایی داده‌ها حین انتقال اطلاعات است و در این مرحله به نوعی جامعیت دادها بررسی می‌شود.

- سرویس‌گیرنده پیغامی را به سرویس‌دهنده می‌فرستد تا به او اطلاع دهد، داده بعدی که توسط سرویس‌گیرنده ارسال می‌شود به وسیله کلید جلسه رمزنگاری خواهد شد و در ادامه، پیغام رمز شده نیز ارسال می‌شود تا سرویس‌دهنده از پایان یافتن Handshake سمت سرویس‌گیرنده مطلع شود.

- سرویس‌دهنده پیغامی را به سرویس‌گیرنده ارسال می‌کند تا او را از پایان Handshake سمت سرویس‌دهنده آگاه نماید و همچنین این که داده بعدی که ارسال خواهد شد توسط کلید جلسه رمز می‌شود.

- در این مرحله SSL Handshake تمام می‌شود و از این به بعد جلسه SSL شروع می‌شود و هر دو عضو سرویس‌دهنده و گیرنده شروع به رمزنگاری و رمزگشایی و ارسال داده‌ها می‌کنند. (همانند شکل فوق)

حملات تأثیرگذار برSSL 

SSL نیز از حملات و نفوذهای مختلف در امان نیست. بعضی از حملات متداولی که براین پروتکل واقع می‌شود عبارتند ازTraffic Analysis : یا تحلیل ترافیک، حملات Certification Injection و حملات از نوع Man in the middle.

SSH چیست؟ 

به عنوان یک تعریف بسیار ساده می‌توان SSH را این گونه بیان کرد : SSH یک روش قدرتمند و پر استفاده و البته نرم‌افزاری است که برای دستیابی به امنیت شبکه طراحی شده است. هربار که داده‌ای از طرف کامپیوتر به شبکه فرستاده می‌شود، به صورت خودکار توسط SSH کدگذاری می‌شود. هنگامی که داده به مقصد خود می‌رسد به صورت خودکار کدگشایی می‌شود. نتیجه‌ای که خواهد داشت کدگذاری نامرئی خواهد بود. بدین صورت کاربران نهایی درگیر پروسه کدگذاری و کدگشایی نخواهند شد و از ارتباط امن خود می‌توانند به خوبی استفاده کنند. امنیت سیستم کدگذاری SSH با استفاده از الگوریتم‌های پیچیده و مدرن تضمین می‌شود. تا آنجا که امروزه در سیستم‌های حیاتی و بسیار حساس از این سیستم استفاده می‌شود. به صورت معمول محصولاتی که از SSH استفاده می‌کنند از دو بخش خادم و مخدوم ( Client/Server ) تشکیل می‌شوند. Client‌ها با استفاده از تنظیمات سرور مربوطه به آن وصل می‌شوند و سرور وظیفه تایید هویت و قبول و یا رد ارتباط را به عهده دارد. نکته : باید توجه داشته باشید تشابه نام Secure Shell با محیط هایی مانند Bourne shell و یا C Shell نشان دهنده این نیست که SSH نیز محیطی است که وظیفه تفسیر فرامین برای سیستم‌عامل را بر عهده دارد. با اینکه SSH تمامی مشکلات را حل نخواهد کرد، اما در مورد بسیاری از موارد می‌تواند راه حل مناسبی باشد. برخی از این موارد عبارتند از :

• یک پروتکل خادم/مخدوم امن برای کدگذاری و انتقال داده‌ها در شبکه.
• تعیین هویت کاربران به وسیله کلمه عبور ، host ، public key و یا استفاده از Kerberos،PGP و یا PAM
• قابلیت امن کردن برنامه‌های ناامن شبکه مانند Telnet ، FTP و در کل هر برنامه‌ای که بر اساس پروتکل TCP/IP بنا شده است.
• بدون هیچ تغییر در استفاده کاربر نهایی ( End User ) پیاده شده و قابلیت پیاده سازی بر روی بیشتر سیستم‌عامل‌ها را دارد.

منابع و مراجع: 

1. R. Atkinson. Security Architecture for the Internet Protocol, RFC2401
2. R. Atkinson. IP Authentication Header(AH), RFC2402
3. R. Atkinson. IP Encapsulating Security Payload(ESP), RFC2406
4. Douglas E. Comer. Computer Networks and Internets, Prentice Hall, 2004
5. C. Huitema. IPv6 The New Internet Protocol, Prentice Hall, New Jersey, 1996

نظرات شما عزیزان:

نام :

آدرس ایمیل:

وب سایت/بلاگ :

متن پیام:

نظر خصوصی

 کد را وارد نمایید:

 

 

 

عکس شما

آپلود عکس دلخواه: