Можно ли зашифровать протоколом IPSec ВЕСЬ трафик?

Question

[Игорь Митраков]

Здравствуйте. Подскажите пожалуйста, возможно ли протоколом IPSec зашифровать абсолютно весь трафик?

Answer 1

[Валентин]

Тут показано, что можно зашифровать в IPSec. Канальный заголовок не зашифруешь.

https://m.habr.com/post/425079/

Comments

[Игорь Митраков]

я так понимаю уязвимости в протоколе на данный момент все пофиксили?

[Валентин]

Игорь Митраков, а какие вы знаете уязвимости?

[Игорь Митраков]

Валентин, протокол ISAKMP

[Кот Абсолютный]

Игорь Митраков, cve в студию плиз. Ну или ссылку на описание оной.

[Игорь Митраков]

CityCat4, https://xakep.ru/2015/05/13/ipsec-security-flaws/

[Валентин]

Игорь Митраков, вероятно вы мало работали с системами связи. Нет такого понятия, как пофиксить уязвимости в протоколе передачи, пофиксить можно софт, конкретную реализацию. Но есть различные опции увеличения стойкости к атакам. Из-за разнородности сетевого оборудования, удобства эксплуатации и даже экономической целесообразности (anyconnect тоже денег стоит) опциями периодически приходится жертвовать. Именно поэтому настоящая информационная безопасность всегда начинается с политик (бюрократических), в которых описаны риски и способы их минимизации.

[Кот Абсолютный]

Игорь Митраков, Сами читать пробовали? И разобраться, что за ситуация там разбирается? Оставим в стороне тот факт, что IKEv2 уже давно и повсеместно используется, а кое-где и поддержки IKEv1 уже просто нет. Обратим внимание на модель безопасности в данном случае. Что видим? Правильно aggressive mode и PSK. В курсе, что такое aggressive mode вообще? Это когда сервер ничего не знает о клиенте (roadwarrior так называемый) и в ответ на его первый запрос просто вываливает ему всю нужную информацию для установления соединения. А PSK - Pre-Shared Keys - то есть метод заранее согласованных текстовых ключей - примерно то же самое, что с WiFi - сколько бы ни был хорош ключ, но его можно сломать, если очень захотеть.

То есть ослабили протокол как только можно, а потом пытаются его ломать. Взломайте-ка мне соединение с аутентификацией по сертификатам, с контролем по IP - вот тогда будет интересно.

Answer 2

[Дмитрий]

Можно

Comments

[mureevms]

Который ходит внутри IPSec )

Answer 3

[Кот Абсолютный]

Он и так его шифрует весь. Но сам себя он зашифровать не может :)