8 VPN 3 n n n MS PPTPPoint

8. VPN 기술(3) n 현재 터널링을 구현하는 기술 n n 마이크로소프트(MS)사 「PPTP(Point to Point Tunneling Protocol)」 베이네트웍스사 「VTP(Virtual Tunneling Protocol)」 시스코시스템스사 「L 2 F(Layer 2 Forwarding Protocol)」 표준화된 VPN 터널링기술 「L 2 TP(Layer 2 Tunneling Protocol)」 「IPSec(IP Security Protocol)」

9. VPN 프로토콜(2) LAN-to-LAN VPN 인터넷 기업 LAN 1 VPN 장 비 Remote Access VPN Mobile Worker 기업 LAN 2

10. VPN 프로토콜 비교 PPTP L 2 TP IPSec SOCKS V 5 표준화 Microsoft RFC 2661 RFC 2401~2410 RFC 1928, 1929, 1961 제공계층(OSI) 2계층 3계층 5계층 모드 Client-Server Peer-to-Peer Client-Server 제공하는 프로토콜 IP, IPX, Net. BEUI, etc IP TCP, UDP/IP 터널 서비스 Single PPP tunnel Per connection Multiple PPP tunnel, Per SA Session-by-Session 사용자 인증 X Per connection X X O 데이터 인증/암 호화 X (PPP 의해 제공) Packet 단위 제공 Message 단위 제공 키 관리 X X ISAKMP/IKE GSS-API/SSL 엑세스 제어 X X Packet filtering Packet/content filtering, proxying 효율적인 VPN Remote access Intranet Extranet

12. IPSec 구성 요소 n n 인증과 암호화 위한 헤더 n AH (Authentication Header) n ESP (Encapsulating Security Payload) 연결 관리와 정책 관리를 위한 자료 구조 n SPD(Security Policy Database) 보안 정책 데이터베이스 n SAD(Security Association Database) 보안 연계 데이터베이스 n Key 관리 메커니즘 n IKE(ISAKMP/OAKLEY)

13. IPSec 구조 ESP Protocol AH Protocol Encryption algorithm Authentication algorithm DOI Key Management

14. IPSec 인증 n AH(Authentication Header) n IP 데이터그램에 제공하는 기능 n n 인증 절차 n n n 인증, 무결성 MD 5, SHA-1 등의 인증 알고리즘을 이용하여 키 값과 IP 패킷의 데 이터를 입력한 인증 값을 계산하여 AH의 인증 필드에 기록 수신자는 같은 키 이용하여 인증 값을 검증 트랜스포트모드 vs. 터널모드 Transport mode AH IP header AH IP payload Authenticated except for mutable fields in ‘IP header’ Tunnel mode AH New IP header AH IP header IP payload Authenticated except for mutable fields in ‘New IP header’

15. IPSec 암호화(2) n ESP(Encapsulation Security Payload) n n 터널 종단간에 협상된 키와 암호화 알고리즘 으로 데이터그램 암호화 트랜스포트모드 vs. 터널모드 Transport mode ESP IP header ESP header IP payload ESP trailer ESP auth Encrypted Authenticated Tunnel mode ESP New IP header ESP header IP payload Encrypted Authenticated ESP trailer ESP auth

16. AH와 ESP 이용한 IPSec 보안 호스트 A 보안 게이트웨이 1 보안 게이트웨이 2 호스트 B 보안 게이트웨이 사이는 AH 사용 IPSEC Authentication only IPSEC Encryption & authentication 말단 호스트 사이는 ESP 사용 호스트 A 와 보안 게이트웨이 1 사이 보안 게이트웨이 사이 New IP header 보안 게이트웨이 2 와 호스트 B 사이 AH Added AH IP header ESP header Payload ESP trailer ESP auth ESP applied packet

참고-국내 제품 비교 제품(회사) Secuway Suite 2000 (퓨처시스템) Secure. Works VPN (어울림정보기술㈜) Secui. VPN 100 (secui. com) 작동방식 H/W based VPN(firewall, IDS, Policy) H/W based VPN (기본 firewall 기능) 터널링 프로토콜 IPSec(ESP, AH) 지원 프로토콜 FTP, SMTP, HTTP, NNTP, I EEE 802. 3 Ethernet, TCP/IP) TCP/IP, IEEE 802. 3 Ethernet IPv 4 암호화 SEED, DES, Triple. DES, RC 5, CAST 128, Blowfish, Crypton DES, Triple. DES, CAST, AES, Twofish, SEED, HAS 160, KCDSA DES, Triple. DES, BLF, CAST, SEED 인증 MD 5, SHA-1, PKCS 10 MD 5, SHA-1 키 관리 IKE(ISAKMP/Oakley) IKE

참고-국내 제품 비교 제품(회사) Cyzen. SOS-B 1000 System (㈜사이젠텍) Xecure. VPN Gateway 3000 Series (㈜시큐어넥서스) SUHOSHIN (시큐어소프트㈜) 작동방식 Firewall related VPN (N/W 통합보안장비) Hardware based VPN Firewall related VPN 터널링 프로토콜 IPSec 지원 프로토콜 IEEE/ANSI 802. 3 IP IP 암호화 DES, Triple-DES, SEED DES, Triple. DES, RSA, MD 5, SHA 1, S EED, Rijndael(AES), ECC HASP, SEED, DES, Triple DES, RC 2, RC 4, Blowfish 인증 MD 5, RSA PSK/RSA MD 5 키 관리 IKE Diffie-Hellman IKE(ISAKMP/Oakley) IKE(RFC 2409) RSA

참고-해외 제품 비교 제품(회사) Elron Software (Elron Software Inc) Gauntlet VPN 5. 5 (NAI, PGP) Safe. Net/Soft-PK (IRE) Net. Hawk (Cylink) 작동방식 Firewall related VPN Standalone S/W VPN H/W based VPN 터널링 프로토콜 IPSec(ESP/AH) 지원 프로토콜 IP/IPX DHCP SCEP, XAUTH, FIPS PUB 140 -1, IPComp IEEE 802. 3 Ethernet IPSec 암호화 DES, Triple-DES, Blowfish, CAST DES, Triple-DES IPSec DES, Triple. DES, MD 5, SHA-1, FIPS PUB 46 -1/46 -3 인증 MD 5, SHA-1 PKCS 10 Standards PKCS 7, 10, 12 키 관리 IKE, Diffie. Hellman, X. 509 v 3 IKE, Manual IKE

참고-해외 제품 비교 제품(회사) SAFEPIPE (Eicon Networks) VPCom (Ashley Laurent Inc) VPN-1 Appliance (Check Point Software) VPNWare (VPNet) 작동방식 Integrated H/W Product H/W based VPN 터널링 프로토콜 IPSec(ESP) IPSec(ESP, AH) 지원 프로토콜 IP, RIP, OSPF IP, DHCP, L 2 TP/PP TP RIPv 1, RIPv 2, OSPF v 2 RIPv 1, RIPv 2 암호화 Triple-DES DES, Triple-DES 인증 User: RADIUS Data: MD 5, SHA-1 User: RADIUS, LDAP User: RADIUS, Digital Certification Data: CBC-DESMAC, MD 5, SHA-1 User: RADIUS, LDAP, X. 509 v 3 Data: MD 5, SHA-1 키 관리 IKE(ISAMP/Oakley) Diffie-Hellman IKE(ISAKMP/Oakle y) IKE, FWZ, SKIP IKE, SKIP