2006年12月17日

IPSecテクニカルガイド

IPSecテクニカルガイド―インターネット・イントラネット・VPNのセキュリティ標準」という本を読みました。

目的は、テクニカルエンジニア(ネットワーク)対策です。
本屋の棚にIPsec関連の本がこれだけしかなかったので、とりあえず買って読んでみました。 全体としては分かり難い本だと思いました。図が少なく、また説明もあまり分かり易いものではありませんでした。

それでも、暗号学初心者とって得るものはそれなりにありました。参考になったことを以下に列挙します。

  • IPsecでは、AESやDES、RSAといった暗号方式を色々使っていますが、ある特定の暗号方式に頼らないような設計になっています。
    どの暗号方式も、時間の経過とともに破られやすくなっていくので、適当な時期に暗号方式を交換できるようにしておかないとならないということですね。
  • IPsecでは、IPsec独自のプロトコルを導入せず、安全性が検証されたプロトコルを組み合わせて設計しています。正しいやり方だと思います。
    暗号関連のプロトコルを設計するとき、注意しておきたい点です。独自のやり方を導入してはいけません。
  • IPsecのパケット暗復号は、それほど難しくないことが分かりました。また非対称鍵を扱うような重たい処理も無いようです。 対称鍵を使った暗号化、復号化、MAC生成、MAC検証くらいです(というか対称鍵でデータの完全性が検証できるんですね…)。
  • IKE(Internet Key Exchange)と呼ばれるIPsecの鍵交換方式が、とても複雑だということが分かりました。正直ついていけませんでした…。
    安全で汎用的な鍵交換は、難しいお話なんですね。

AmazonでIPsecをキーワードにして検索すると、もう少し分かり易そうな本がいくつかあります。こっちにすれば良かったかもしれませんね。

投稿者 MASATO : 2006年12月17日 20:26 | トラックバック
コメント

> MD5とかSHAとかで検証していると思いました
すみません、誤記です。
所謂CBC-MACと呼ばれる方法により、ブロック暗号方式を使って完全性検証はできます。
でもここで言いたかったのは、「対称鍵で完全性検証ができる」ということです。本文の方は直しておきます。

> Linuxでracoonとかデバッグモードで動かしてみれば
なるほど、実物の動きを見てみると理解が進みそうですね。

> 数学とか、既存の暗号化方式とか、それに対する攻撃手段とか
> 十分に理解した上で、用途によっては導入しても良いと思います
一見大丈夫そうに見える認証手順が、リプレイ攻撃であっさりと破られる例題を見て以来、これは自分では欠陥を見つけることは無理だろうな・・・と諦めきっています。
でも用途が限られていれば、自分で作った手順を使っても良いかもしれませんね。例えばカジュアルハッキングを防止するだけで良ければなんでもありでしょう。

Posted by: MASATO : 2006年12月22日 23:09

>ブロック暗号方式でデータの完全性が検証できる
MD5とかSHAとかで検証していると思いました

>IKE
Linuxでracoonとかデバッグモードで動かしてみれば
実際の動作とかわかりやすいかと思います

>独自のやり方を導入してはいけません
数学とか、既存の暗号化方式とか、それに対する攻撃手段とか
十分に理解した上で、用途によっては導入しても良いと思います

Posted by: トウコ : 2006年12月22日 07:03
コメントする









名前、アドレスを登録しますか?