Le mode transport IPSec face à netfilter un autre cheval de Troie? Yoann ALLAIN Stagiaire au Security Lab Encadrants : Olivier Courtay et Nicolas Prigent.

Présentation au sujet: "Le mode transport IPSec face à netfilter un autre cheval de Troie? Yoann ALLAIN Stagiaire au Security Lab Encadrants : Olivier Courtay et Nicolas Prigent."— Transcription de la présentation:

1 Le mode transport IPSec face à netfilter un autre cheval de Troie? Yoann ALLAIN Stagiaire au Security Lab Encadrants : Olivier Courtay et Nicolas Prigent

2 Slide 2 Protéger les communications OUTILFONCTION IPSecChiffrement Netfilter / IptablesFiltrage Les outils de Linux 2.6

3 Slide 3 Alice Telnet SMTP Security Association Bob SMTPTelnet SMTPIPSec 1.Bob: 2 serveurs 2.spdadd ip_alice ip_bob[25] tcp -P in ipsec esp/tranport//require; 3.iptables –A INPUT –p tcp –dport 23 –j DROP 4.Alice peut-elle atteindre le serveur Telnet ? => OUI ! Le problème Netfilter

4 Slide 4 Pourquoi ? FORWARD Point dentrée Décision de routage Noyau Linux Processus utilisateur Serveur Telnet IPSE C INPUT PRE_ROUTING Mode Tunnel ? Petit tour dans la stack IP Linux ESP (tunnel)ESP (transport) IP Netfilter contrôle Le paquet DROP !

5 Slide 5 Des solutions ? Filtrage simple par IPSec, mais pas de suivi de connexion possible : spdadd ip_alice ip_bob[25] tcp -P in ipsec esp/transport//require; spdadd ip_alice ip_bob any -P in discard; Patch du noyau mais problèmes liés au NAT. Imitation du mode tunnel ? Non conseillé par les développeurs du noyau. Utiliser le mode tunnel tout le temps ? Pose des problèmes de sécurité et de performances.

6 Association Netfilter/IPSec risquée sans connaissance de leurs limitations Questions ? yoann.allain@thomson.net This document is for background informational purposes only. Some points may, for example, be simplified. No guarantees, implied or otherwise, are intended