För de flesta TCP/UPP/IP-tillämpningar, när ett paket eller ett meddelande anländer, brukar endast nyttolastdelen av originalpaketet fås genom ansökan. Om till exempel ett paket har levererats genom några IPSec-tunnlar längs rutten, kommer applikationen i allmänhet inte att veta exakt vilka tunnlar som har använts för att leverera just detta paket. Gränssnittet IPSec/PHIL (Packet Header Information List) har utformats och implementerats så att en "auktoriserad" applikation kan veta vilken uppsättning IPSec-tunnlar som har använts för att leverera ett visst inkommande paket. Dessutom gör IPSec/PHIL det möjligt att kontrollera vilken uppsättning IPSec-tunnlar som ska användas för att skicka ett visst utgående paket. IPSec/PHIL är en nyckelkomponent i DECIDUUS decentraliserade källspårningssystem för att korrelera IPSec-informationen med intrångsdetekteringsresultat. Andra IPSec/PHIL-applikationer som vi har byggt inkluderar en SNMPv3-säkerhetsmodul med IPSec samt en IPSec-tunnelväxlarrouter. IP security (IPSec) protokollsvit [1, 2, 3 och 4] är en serie riktlinjer för skydd av Internet Protocol (IP) kommunikation. Det ger möjligheter att säkra privat information som överförs via offentliga nätverk. De för närvarande tillgängliga IPSec-baserade applikationerna på marknaden är huvudsakligen virtuella privata nätverk (VPN). VPN ger nätverks-till-nätverkssäkerhet genom att inrätta SA (Safety Associations) i tunnelläget mellan nätverkens Gateways, och dessa tunnlar säkrar de aggregerade data som flödar från en policydomän till en annan via IPSec-gateways. För de flesta TCP/UPP/IP-tillämpningar, när ett paket eller ett meddelande anländer, brukar endast nyttolastdelen av originalpaketet fås genom ansökan. Om ett paket har levererats genom vissa IPSec-tunnlar kommer applikationen i allmänhet inte att veta exakt vilka tunnlar som har använts för att leverera just detta paket. Ett system för spårning av intrångskällor (såsom DECIDUUS [5 och 6] ) kan till exempel vara mycket intresserat av att analysera inte bara nyttolasten utan också vilka särskilda IPSec-tunnlar som har använts för att leverera dessa attackpaket med uppenbarligen spoofade IP-adresser. För programlagerprotokoll som SNMP och LDAP är det vanligtvis inte naturligt och genomförbart att använda IPSec för att säkra applikationslagrets trafik, och därför behövs en separat säkerhetsmekanism. I detta dokument kommer vi att visa att, med en enkel förlängning av uttag API, säkerhetsmekanismer och kapacitet IPSec kan stödja säkerhetskraven i vissa program. Vi kallade detta nya gränssnitt: IPSec/PHIL (Packet Header Information List [7] ) API. En tredje fråga gäller stödet för end-to-end-säkerhet med IPSec, medan det är omöjligt att direkt bygga en IPSec-säkerhetsförening från källan till destinationen. I en mellandomänmiljö kanske det inte alltid är möjligt att förhandla direkt mellan två IP-noder som tillhör två olika områden. Saker och ting blir svårare om en mellanliggande gateway utför översättning av nätverksadresser (NAT). Vi kommer att visa senare att hur man använder PHIL API för att stödja "packet switching" bland en uppsättning IPSec tunnlar så att det är möjligt att använda en uppsättning tunnlar tillsammans (en IPSec tunnelbana, mer specifikt) för att säkra informationen end-to-end. IPSec:s protokollsvit [8] har diskuterat och utvecklats i IETF IPSec:s arbetsgrupp. Det grundläggande konceptet med IPSec är att tillhandahålla autentiserad eller säkerhet IPSec tunnel, så att varje paket, som går genom denna tunnel, har sekretess för att kontrollera att paketet är äkta autentiseras av routrarna i båda slutet av tunneln. Om ett paket går genom tunneln, men inte autentiseras, kommer det att släppas. I IPSec finns det två typer av protokoll för att göra tunnelautentisering: a. Authentication Header (AH) protokoll ger stöd för dataintegritet och autentisering av IP-paket. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Kapsla in Security Payload-protokollet ger sekretesstjänster, inklusive sekretess för meddelandeinnehåll, och ger också alternativ för autentisering av IP-huvud. Faktiskt, IPSec protokoll svit ger en flexibel ram. Till exempel, på AH protokoll, användare tillåts att använda olika AH algoritmer -MD5, HMAC-MD5,..., etc. Och för ESP protokoll, ESP algoritmen kan vara trippel DES eller IDEA.
Wu och Al. REF ) tillhandahöll ett API som ger applikationen möjlighet att välja IPsec-tunneln som kommer att användas för att skydda utgående paket.
IPSec/PHIL (packet header information list): design, implementation, and evaluation
{'venue': 'Proceedings Tenth International Conference on Computer Communications and Networks (Cat. No.01EX495)', 'journal': 'Proceedings Tenth International Conference on Computer Communications and Networks (Cat. No.01EX495)', 'mag_field_of_study': ['Computer Science']}