---Tento článek vyšel v tištěném SecurityWorldu 4/2008
On-line komunikace a zpracování internetových transakcí - souhrnně nazývané jako e-commerce - se během uplynulých deseti let staly běžným standardem. Od samého začátku internetu je World Wide Web velice nejisté prostředí, kde běžný uživatel i profesionál čelí neustálé hrozbě ztráty dat nebo důvěrnosti dat.
V reakci na tyto hrozby vytvořili bezpečnostní experti technologii bezpečných přenosových cest odolných proti vnějším útokům - Virtual Private Networks (VPN). VPN umožňuje firmám vytvořit bezpečnou komunikační infrastrukturu v jinak nebezpečném prostředí internetu například mezi vzdáleným uživatelem a firemní centrálou. Topologie VPN sítě obvykle zahrnuje datové pakety na druhé a třetí síťové vrstvě.
Mezi běžně používané VPN protokoly jsou zahrnovány PPTP (Point-to-Point Tunneling Protocol), L2TP (Layer 2 Tunneling Protocol) a IPSec (IP Security). Dalším dnes stále více používaným VPN protokolem je protokol původně navržený pro bezpečný vzdálený webový přístup k e-mailovým účtům - Netscape Secure Socket Layer (SSL). Tento protokol původně nepatřil mezi protokoly VPN, protože nepodporoval tunelování přenášených dat, ale využíval šifrovacích schopností internetového prohlížeče, dnes je však schopen poskytnout stejnou úroveň bezpečnosti.
Tradiční VPN
VPN není nic jiného než dedikované spojení počítačů různých uživatelů z různých míst, které jsou připojené nejčastěji do jedné společné sítě. Z důvodu zajištění maximální důvěrnosti jsou veškeré přenosy dat šifrované. Při vytváření VPN spojení musí být autorizovány šifrovací klíče, šifrovací a dešifrovací algoritmy i samotní uživatelé či vlastní vytvoření VPN spojení musejí probíhat podle přesně definovaného algoritmu. To je společné pro všechny tři významné protokoly VPN (tedy již zmíněné PPTP, L2TP i IPSec). Navzdory různým návrhům je obecný koncept vždy stejný: všechny protokoly využívají internet jako cenově dostupnou přenosovou platformu, přičemž narušení této přenosové platformy je možné pouze enormním úsilím hackera, pokud je ale vůbec možné.
Microsoft: PPTP
Pouze dva z výše uvedených VPN protokolů (jde o L2TP a IPSec) byly úředně schváleny jako standardy Internet Engineering Task Force (IETF), který je publikoval v dokumentech RFC 2401 a RFC 2661. Naproti tomu PPTP protokol byl stále udržován v neoficiální podobě, i když tento protokol publikovaný v RFC 2637 profitoval z daleko širšího použití než ony zbývající dva.
Implementace a použití PPTP protokolu, na jehož návrhu se spolupodílel i Microsoft, vyústilo v integraci tohoto protokolu do operačního systému MS Windows 95 Release 2.
Tato verze trpěla od samého počátku významnými bezpečnostními chybami, takže slavní bezpečnostní experti jako cryptoanalytik Bruce Schneier varovali před používáním PPTP protokolu hned v počátečním období po uvedení na trh.
PPTP protokol obsahoval všechny základní funkce pro autorizaci uživatelů a šifrování referenčních údajů. Od samého počátku se však kritici zaměřili na šifrovací algoritmus RC4 s podporovanou délkou šifrovacího klíče pouze 40 bitů, délka šifrovacího klíče a tím i stupeň zabezpečení tohoto protokolu byl už na konci 90. let považován za nepřiměřený, ale trochu s nadsázkou také jako pozvánka pro síťové hackery.
Skutečný problém v návrhu PPTP protokolu nemohl být odstraněn ani použitím 128bitového šifrovacího klíče: PPTP protokol odvozuje šifrovací klíče od hesla uživatele hash algoritmem. Potenciální útočník nemusel prolomit šifrovací klíč, ale měl mnohem větší šanci na úspěch jednoduchým slovníkovým útokem, protože většina uživatelů používá slabá hesla.
V rámci aktualizace PPTP protokolu Microsoft uvedl novou autorizační metodu MS-CHAPv2, která kromě dalších vylepšení obsahuje programovou rutinu, která pravidelně mění hesla a tím zvyšuje i bezpečnost. Nicméně v rámci zpětné kompatibility je možné pro Windows 2000/XP použít starou autorizační metodu a tak oživit ty samé bezpečnostní problémy.
Poslední operační systém od firmy Microsoft - Windows Vista - podporuje pouze řešení MS-CHAPv2. Je možné dosáhnout bezpečné implementace PPTP protokolu, ale stále bude tato implementace záviset na vnějších okolnostech. Zvláště vzhledem k vzdálenému přístupu přes internet bezpečnostní odborníci doporučují použít jiné VPN protokoly.
Otevřený standard: IPSec
Nehledě na PPTP, je nejstarším VPN protokolem IPSec. Základní návrh je už z roku 1995, ale teprve v roce 1998 byl návrh přepracován různorodým týmem vývojářů, včetně zaměstnanců firmy Cisco, členů National Institute of Standards and Technology (NIST) a zástupců National Security Agency (NSA) – nejvlivnější bezpečnostní služby v USA.
Jak je definováno v dokumentech RFC 2401 až 2412, IPSec protokol se obecně považuje za nejbezpečnější VPN protokol a díky tomu se stal de facto standardem pro všechny VPN sítě. Protože integruje několik bezpečnostních mechanismů a funkcí, IPSec umožňuje vícestupňové zabezpečení spojení. V Transport Mode jsou šifrována pouze přenášená data, zatímco v režimu Tunnel Mode jsou šifrovány celé IP pakety včetně hlaviček paketů.
První mód je používán především pro přímé spojení mezi dvěma počítači uvnitř firemní sítě, druhý mód zabezpečuje především datové přenosy mezi geograficky oddělenými sítěmi přes Internet.
IPSec používá různorodé šifrovací algoritmy, přinejmenším Data Encryption Standard (DES) s délkou klíče 56 bitů, alternativně šifrovací algoritmy jako Triple DES, IDEA, Blowfish, ale především Advanced Encryption Standard (AES), následníka DES, s délkou klíče až 448 bitů.
Pokud implementace odpovídá standardu, VPN síť s protokolem IPSec je velice obtížně napadnutelná a potenciální útočníci mají minimální šanci na úspěch.
IPSec je podle odborníků nejlepší volbou pro permanentní typy připojení, například pro spojení pobočky a centrály (site-to-site). Podobně jako v případě PPTP ale i u IPSec protokolu existuje několik vad: trochu ironicky síla IPSec protokolu omezuje jako možné scénáře nasazení. Méně zkušený administrátor pravděpodobně udělá chyby v tomto komplexním prostředí, dovolující síťová spojení, která by neměla být z bezpečnostních důvodů vůbec otevřena.
Navzdory stabilnímu přístupu na internet mobilní pracovníci také nemusí vždy vytvořit úspěšné spojení s firemní sítí nebo nemohou pracovat s důležitou aplikací, pokud je důležitý port blokován firewallem a vyjímky nejsou zahrnuty v konfiguraci VPN. Jako řešení pro vzdálený přístup má IPSec svá omezení a méně komplexní VPN protokoly jsou v takové situaci, zdá se, lepší volbou.
PŘEDPLATNÉ
ČLÁNKY DO MAILU