USAGI IPv6 神田充 USAGI/ 東芝研究開発センター

Size: px

Start display at page:

Download "USAGI IPv6 神田充 USAGI/ 東芝研究開発センター"

たつやいんそん
5 years ago
Views:

1 USAGI IPv6 神田充 USAGI/ 東芝研究開発センター

2 Contents USAGI Project 紹介 Linux kernel IPv6 の歴史 USAGI Project の状況適合試験 IP s e c 概略 Linux IPsec US AGI IP s e c

3 USAGI Project 紹介 UniverSAl pla yground for Ipv6 設立 2000 年 9 月コアメンバー現在 7 名週 3 日新川崎 K2 タウンキャンパスに棲息 KAME( ) チームと同棲

4 USAGI Project 紹介 ( 続き ) 目標 Linux Ke rnel の IP v6 の改善 Linux における IP v6 AP I 環境の改善 Linux IP v6 アプリケーション対応開発ポリシー成果物は GPL2 にて配布ディストリビューション非依存

5 Linux kernel IPv6 の歴史 Pedro Roque (kernel 2.1.8) netdev (RFC)

6 Linux kernel IPv6 の歴史 ( 続き ) Mainline kernel MobileIPv6 IPsec for IPv6 Anycast Support Privacy Extensions(RFC3041) Source Address Selection Etc.

7 USAGI Project の成果 Neighbor Discovery Protocol Source Address Selection Longest Prefix Match ICMP node information query ) ping6 -W ff02::1%eth0 Privacy Extensions IP v6 ID

8 USAGI Project の成果 ( 続き ) SNMPv6 bind(2) HUT MobileIPv6 IPsec libinet6 IPv6

9 最近の状況 2002 年 9 月末に 4 回目の Stable release 作成予定初めて IP s e c(ip v6) が含まれる

10 適合試験 TAHI TAHI Project IPv6 IPsec

11 TAHI テスト結果テスト項目 Vanilla USAGI 基本仕様 Fail(0)/Warn(0)/86 Fail(0)/Warn(0)/86 ICMPv6 Fail(0)/Warn(0)/22 Fail(0)/Warn(0)/22 Neighbor Discovery Fail(28)/Warn(1)/81 Fail(9)/Warn(3)/81 Stateless Address Autoconf Fail(11)/Warn(1)/57 Fail(1)/Warn(1)/57 Path MTU Discovery Fail(2)/Warn(0)/5 Fail(1)/Warn(0)/5 IPsec 無し Fail(5)/Warn(2)/118 IPv6 Over IPv4 Tunnel Fail(1)/Warn(0)/4 Fail(0)/Warn(0)/4 Robustness Fail(0)/Warn(0)/22 Fail(0)/Warn(0)/4

12 IP s e c 仕様概要 ( その 1) IP RFC2401 IPv6 AH IP

13 IP s e c 仕様概要 ( その 2) ESP 2 (Transport) (Tunnel)

14 AH SPI

15 ESP ヘッダ SPI IV 保護データパッドパッド長パッド

16 IP AH ESP ペイロード上位層 (TCP,UDP) を保護するために使

17 トンネルモード IP AH ESP IP ペイロード SG SG 内側 IP パケット全体を保

18 Security Association, Security Policy Security Association(SA) 実際に IP s e c を適用するためのパラメータ Security Association Database(SPDB) に格納片方向ずつ設定宛先アドレス IP s e c プロトコル SPI で識別 Security Policy(SP) どのパケットに IP s e c を適用するかの方針 Security Policy Database(SPD) に格納 IP s e c を適用通過破棄

19 PF_KEYv2 RFC2367 に定められている SA を設定するためのインターフェース各実装で独自拡張がされていて互換性をとるのが難しい多くの実装では SP も独自拡張によって設定している

20 PF_KEYv2( ) 未定義 IKE or manual PF_KEY ソケット SPD SADB

21 鍵の自動交換 IPsec においては IKE(Inte rnet Ke y Exchange) を使用 RFC2408, RFC2409 もちろん IKE を使用せずに手動で鍵を設定することも可能

22 Linux の IP s e c 実装 Ma inline ke rnel の中には存在せず Free/SWAN( ) IP v4 用の IP s e c を提供構造は IP v4 に強く依存仮想 IP s e c デバイスにより kernel 内の IP 層より下に実装 IABG( ) FreeS/WAN を基に IP v6 用の IP s e c を実装 FreeS/WAN に対するパッチ PF_KEYv2 のインターフェースは FreeS/WAN と同じだが内部では IP v6 用に別個に処理開発は止まっている

23 US AGI IP s e c 当初 IABG の実装を基に開発をスタート現在はほぼ全面的に書き直された FreeS/WAN のコードは PF_KEYv2 のインターフェース用に一部使用している SADB, SPD は IP v4 と IP v6 で共通 PF_KEYv2 のインターフェースは FreeS/WAN と互換性と保つように努力している

24 US AGI IP s e c( 続き ) IP スタック内に実装 Security Policy の粒度を細かくとれる上位プロトコルポート CryptoAPI を使用 ( ) 汎用的な暗号 / 認証アルゴリズムの枠組み関数が抽象化されている多数のアルゴリズムが選択可能

25 US AGI IP s e c( 続き ) DES, 3DES, AES MD5,SHA1 トンネルモードは IP v6 ove r IP v6 トンネルデバイスを流用 IP v4 は現在のところトランスポートモードのみ

26 US AGI IP s e c( 続き ) SA, SP pfkey ipsec-conf IKE FreeS/WAN IKE (Pluto)

27 FreeS/WAN の実装 TCP/UDP IPv4 SADB,IPsec0 eth0 eth1 Security Policy は routing と IPsec デバイスにより決定

28 IADB の実装 TCP/UDP IPv4 SADB,IPsec0 IPv6 SADB, SPD eth0 SADB,SPD は IPv6,IPv4 で別

29 USAGI の実装 IPv4 TCP/UDP IPv6 SADB SPD eth0 CryptoAPI IP のバージョンに極力依存しない作り

30 USAGI IPsec input 処理 SPD SP SADB SA Find SA read_lock read_lock IPsec processing write_lock Check policy read_lock read_lock

31 US AGI IP s e c input 処理 ( 続き ) 1. パケット受信 2.AH/ESP ヘッダの SPI 値より SA の検索 3.AH ヘッダの場合完全性のチェック ESP ヘッダ場合復号化を行う 4.P olicy のチェック

32 US AGI IP s e c output 処理 SPD SP SADB SA Find policy read_lock read_lock Find SA regarding to above policy (first time) read_lock read_lock IPsec processing write_lock

33 US AGI IP s e c output 処理 ( 続き ) 1.P olicy のチェック 2.SAの検索 3.IPsec の適用 ( 暗号化処理など ) 4. パケット送出

34 US AGI IP s e c 将来構想 User land Apps Kmd Iptables PF_KEY Sock{} Netlink(PF_POLICY) Kernel Policy SADB SPD

35 Ma inline ke rnel へのマージ 2002 年 10 末に kernel 2.5 の新機能導入期限設定された現在マージされたものはバグフィックス関連のみこれから上記の期限までに機能毎の小さいパッチを作成し netdev/linux-kernel メーリングリストへ投げるもちろんどれだけ受け入れられるかは不明

36 まとめ 2002 年 9 月末に 4 回目の Stable release これからマージへの活動を活発化 ftp://ftp.linux-ipv6.org メーリングリスト usagi-users@linux-ipv6.org ( 英語 ) users@jp.ipv6.org ( 日本語 )

IPsec徹底入門

IPsec徹底入門本資料について本資料は下記書籍を基にして作成されたものです文章の内容の正確さは保障できないため正確な知識を求める方は原文を参照してください書籍名 :IPsec 徹底入門著者 : 小早川知明発行日 :2002 年 8 月 6 日発売元 : 翔泳社 1 IPsec 徹底入門名城大学理工学部渡邊研究室村橋孝謙 2 目次第 1 章 IPsec アーキテクチャ第 2 章 IPsec Security