Súlyos hibák az IPsec-ben

Titkosítás, biztonság, privát szféra

A UK National Infrastructure Security Co-ordination Centre (UK NISCC) arra figyelmeztet, hogy olyan hibákat tartalmaz az IPsec protokoll, amelyeket bizonyos konfigurációk mellett kis erőfeszítéssel ki lehet használni.Azok az IPsec konfigurációk sebezhetők, amelyek az Encapsulating Security Payload-ot (ESP) tunnel módban egy bizonyos módon használják. Bizonyos esetekben az Authentication Header (AH), mint integritás védelem használata is sebezhető.

A UK NISCC szerint a sebezhetőség mértéke a súlyos kategóriába esik. A támadó a fent említett esetekben képes arra, hogy az IPsec-kel védett kommunikáció plain-text verziójához hozzájusson.

Az advisory itt.

( comet | 2005. 05. 15., v – 19:57 )

Nagyrészt csak médiahype. Nem kell túlzottan komolyan venni.

Idézek:

It's important to realize that you're only vulnerable to this issue if you're *not* doing integrity checking via IPSEC. Most major VPN infrastructures I run across use ESP with both confidentiality *and* integrity functionality enabled (some use AH as well). If that's the case for network x, then network x has nothing to fear from this.

Always read vulnerability details; people love to sensationalize stuff like this to the extreme.


és


Any of the following methods can be used to rectify this issue: 1. Configure ESP to use both confidentiality and integrity protection. This is the recommended solution. 2. Use the AH protocol alongside ESP to provide integrity protection. However, this must be done carefully: for example, the configuration where AH in transport mode is applied end-to-end and tunnelled inside ESP is still vulnerable. 3. Remove the error reporting by restricting the generation of ICMP messages or by filtering these messages at a firewall or security gateway.