Sichere Kommunikation und Authentifizierung in einem Hochschulnetz

Diese Datenpakete senden sich Hashwerte zur Authentifizierung. Asterix schickt den Haschwert HASH_I zu Obelix. Dieser wiederum berechnet seinen Hashwert HASH_R und vergleicht die beiden. Sind die Werte gleich ist die ISAKMP SA gültig, falls nicht kommt keine Verbindung zustande. Da der 1. Schlüssel mit dem Parameter Pre-Shared Key generiert wurde, hängt die Sicherheit dieses Protokoll von diesem Schlüssel ab. Wenn also der „Man in the Middle“ nicht an diesen Schlüssel kommt, hat er keine Chance auf einen Angriff, d.h. wieder hängt die Sicherheit an einem Schlüssel und nicht an dem Algorithmus, so muss es ja auch sein. Noch kurz was zu IDi Data und IDr Data. Dieses sind eindeutige Werte zur Identifizierung der Rechner. Es kann hier die IP Adresse, der DNS Name, eine E-Mail Adresse oder eine IP Adresse mit ihrer Subnetzmaske genommen werden. Main Mode (Phase 1) mit Digitaler Signatur. Bei der Authentifizierung mit digitaler Signatur ist der einzige Unterschied, dass die beiden Haschwerte von einem Zertifikat signiert werden und diese Signaturen dann, anstatt HASH_I und HASH_R gesendet werden. Bei Windows 2000 muss man den Pre-Shared Key durch ein Zertifikat von einem Trustcenter ersetzten. Im lokalen Computerkonto muss dann ein Zertifikat liegen, dass von der CA signiert wurde. Für dieses Zertifikat muss man außerdem einen privaten Schlüssel besitzen. [...]

Nach den ersten vier Datenpaketen werden 4 Schlüssel generiert, die dann die Nutzdaten verschlüsseln. Alle Schlüssel werden mit HMAC-MD5 mit den ausgetauschten Parametern generiert. Die vier Schlüssel: • SKEYID= HMAC_MD5 (Ni, Nr, Pre-Shared Key) Dieser Schlüssel ist abhängig von der Authentifikation, die man gewählt hat. Dieser erste Schlüssel wird wieder als Parameter der drei weiteren verwendet. Er hat somit indirekt Einfluss auf die Verschlüsselung der Daten. • SKEYID_d= HMAC_MD5 (SKEYID, gxy, CI, CR) Dieser Schlüssel dient wieder als Input des Schlüssels 3. Er wird auch zur späteren Erzeugung von Schlüsseln, die für Nutzdaten bestimmt sind, verwendet. • SKEYID_a= HMAC_MD5 (SKEYID, SKEYID_d, gxy, CI, CR, 1) Dient als Input für Schlüssel 4.Er ist auch zur Authentifikation für die Nachrichten. • SKEYID_e= HMAC_MD5 (SKEYID, SKEYID_a, gxy, CI, CR, 2) Endlich, oder? Mit diesem Schlüssel werden ab jetzt die restlichen ISAKMP Datenpakete verschlüsselt. [...]

Initiator Cookie (8 Byte): Cookie des Computers, der den Aufbau der Verbindung einer SA initialisiert. Responder Cookie (8Byte): Cookie des Computers, der auf den Verbindungsaufbau antwortet. Next Payload (1Byte): Zeigt die Art der Daten an, die das ISAKMP Packet enthält, z.B. Key Exchange oder SA. Major Version (4 Bit): Zeigt die Hauptversion von ISAKMP an. Alte Version 0, neue Version 1 Minor Version (4 Bit): Zeigt die Unterversion von ISAKMP an. Exchange Type (1Byte): Hier ist die Art des Nachrichtentausches festgelegt. Es gibt Modi Identity Protection und Aggressive. In IKE von IPSec ist der Modi Identity Protection der Main Mode und der Aggressive der Aggressive Mode. Flags (1Byte): Es gibt 3 Flags, das Encryption, Commit und Authentifikation Only. Das Bit Encryption zeigt an, ob die Daten die nach dem Header kommen, verschlüsselt sind. Das Bit Commit stellt sicher, dass keine Daten verschlüsselt werden, solange die SA nicht ausgehandelt ist und das Bit –Authentication Only zeigt an, dass der Payload durch Authentifikation geschützt ist, aber nicht verschlüsselt. Message ID (4 Byte): Eindeutige Identifizierung der Nachricht. Length (4 Byte): Länge der gesamten Nachricht im Header und allen Payloads in Byte. [...]