| ファイアウォール機能 管理者ガイド |
|
目次
索引
|
| 第2章 機能 | > 2.3 暗号通信機能(Solaris版/Windows版) |
IP セキュリティ通信とは、IP セキュリティプロトコルをサポートしているサーバがそのプロトコルに従ってパケットを暗号化して通信する機能です。
以下に、IP セキュリティ通信の概要を示します。
備考暗号化するしないの判断基準となる条件は、IP フィルタ機能のパケットフィルタリング条件で設定します。
IP セキュリティ通信では、以下の通信機能を提供しています。
暗号化機能
指定されたデータを暗号化するとともに、改ざんを検出する情報を付加します。
復号機能
暗号化されたデータを受信して復号します。
メッセージ認証機能
送信したデータが途中で変更（改ざん）されずに受信されたかどうかを確認します。
鍵管理機能
暗号化／復号の際に使用する鍵を管理します。
以下に、それぞれの機能について説明します。
IP セキュリティ通信の暗号化機能は、IP セキュリティプロトコルに従って条件に一致したパケットを暗号化する機能です。IPセキュリティプロトコルに従い、暗号化および復号を制御するゲートウェイを "IP セキュリティゲートウェイ"といいます。
IP セキュリティゲートウェイでは、設定した条件に従って暗号化するパケットを判断します。内部ネットワークのホストが送信したインターネットなどの外部ネットワークに転送するパケットが暗号化する条件に一致している場合、IP セキュリティドライバを利用してパケットを暗号化し、ESP ヘッダ付きのパケットとして外部ネットワークに送信します。送信されたパケットは、送信先の IP セキュリティゲートウェイで復号されます。送信先の IP セキュリティゲートウェイで復号されるまでの間は、暗号化されたパケットがネットワーク上を流れます。
復号機能は、IP セキュリティゲートウェイで暗号通信条件を元に暗号化されたパケットを復号して、内部ネットワークに送出する機能です。
暗号化する条件に従って、IP セキュリティゲートウェイでインターネットなどの外部ネットワークから送られてくるパケットを復号します。復号が終了すると、送信先の内部ネットワークのホストへ転送します。
IP セキュリティ通信では、送信するデータがネットワーク上で変更（改ざん）されていないかどうかをチェックします。 データが変更されている場合は、ロギング情報を採取し、受信データを破棄します。
暗号化および復号を行うそれぞれの暗号ゲートウェイで暗号鍵を共有して管理する機能です。暗号鍵は、暗号化および復号のどちらの場合にも利用します（暗号鍵がないと暗号化／復号できません）。
暗号鍵は、暗号鍵を共有する相手ゲートウェイごとに定義することができます。
IP セキュリティプロトコルとは、Internet Engineering Task Force（ IETF ）の IP Security Working Group （ IPsec WG ）で仕様が検討されているインターネット標準プロトコルです。
IP セキュリティプロトコルでは、IP 上の暗号化、メッセージ認証機能が提供されます。送信されたパケットは、IP セキュリティプロトコルによって、ESP、AH ヘッダを付加されて転送されます。
IP セキュリティプロトコルがサポートするオプションヘッダには、ESP （Encapsulating Security Payload ）とAH（ Authentication Header ）があります。ESP では、暗号化およびメッセージ認証機能を提供しています。AH ヘッダでは、メッセージ認証のみを提供しています。したがって、暗号化が必要な場合は、ESP ヘッダを利用します。
SA （ Security Association ）により、暗号鍵などのセキュリティ情報を管理します。
SPI（ Security Parameter Index ）により、送信先 IPアドレス、およびプロトコル（ AH または ESP ）によってSAを一意に識別できます。
IP セキュリティプロトコルには、手動鍵設定と自動鍵交換があります。IP セキュリティゲートウェイでは、この2種類の認証方法のうち、あらかじめ環境設定で指定されたどちらかの認証方法を利用して暗号通信を行います。
本製品 では、IPセキュリティゲートウェイのうち、手動鍵設定機能を制御するゲートウェイを "IP セキュリティゲートウェイ"、自動鍵交換機能を制御するゲートウェイを "IKE ゲートウェイ"といいます。
手動鍵設定は、通信暗号化で使用するセション鍵を環境設定時に直接設定する方式です。この方式は、通信する二者が同じ鍵値を環境設定で入力する必要があります。
自動鍵交換機能は、鍵交換プロトコルである IKE（ Internet Key Exchange ）プロトコルによって、セション鍵が自動生成／更新されるため、セション鍵を環境設定で入力する手動鍵設定と比較して以下の利点があります。
セション鍵設定が不要
セション鍵が盗まれる危険性が低い
セション鍵が自動更新であるため、セション鍵が解読された場合でも被害を少なくできる。また、自動鍵交換では、通信相手と通信方法などを提案して決定します。提案内容としては、以下のものがあります。
IKE 認証方式
種別
認証アルゴリズム
暗号アルゴリズム
IKE 暗号アルゴリズム
起動時接続
相手局タイプ
SA 有効期間（IPsec／IKE）
SA 有効期間の設定が通信相手と異なる場合は、データ送信側で設定された値が有効になります。IKE 認証方式、種別、認証アルゴリズム、暗号アルゴリズム、IKE 暗号アルゴリズム、相手局タイプの設定が通信相手と異なる場合は提案拒否あるいは通信不可になります。
IKE プロトコルでは、なりすましを防止するため、二者間の通信時に認証を行います。本製品 は認証方式として共有鍵方式と証明書方式を提供します。二つの方式のうちどちらか一方を使用して認証を行います。
同じ認証鍵を通信する二者で共有する方式です。認証鍵は環境設定時に入力します。
証明書を使用して認証を行う方式です。IKE プロトコルでは RSA 署名方式として規定されています。本製品 では、InfoCAが発行する証明書をサポートします。InfoCA は、インターネット／イントラネットにおいて証明書発行を実現するソフトウェアです。証明書方式を使用する場合は、InfoCA が必要となります。
証明書による運用の詳細は、「ファイアウォ−ル機能 リファレンスマニュアル」の「証明書の運用」を参照してください。
IPsec ゲートウェイと IKE ゲートウェイの環境設定について
IPsec ゲートウェイと IKE ゲートウェイでは、サポートする鍵設定方式が異なるため、動作環境を設定する場合は、それぞれ専用の設定画面で行います。しかし、実際の通信（IPセキュリティ通信）時に発生するログやアラートは、同一ファイルに同じ形式で出力されます。
統合環境設定では、IPsec ゲートウェイと IKE ゲートウェイは、動作で、「マニュアルIPsec」（IPsec ゲートウェイ）、又は「IKE」（IKEゲートウェイ）で指定します。
ファイアウォール独自環境設定における相違については、以下の表を参照してください。
また、IP セキュリティで使用するホスト、ネットワークの設定は、相手ゲートウェイと合わせてください。
SA の作成について
IKEゲートウェイでは、送信開始時に自動鍵交換を行い、通信暗号化に使用する ISAKMP SA、IPSEC SA を作成します。ISAKMP SA、IPSEC SA は、それぞれの有効時間が過ぎると削除されます。IKEゲートウェイは、SA削除後の最初の通信時に再度自動鍵交換を行い、SA を作成します。
自ホストまたは相手ホストで、SA 管理の停止による IKEゲートウェイ停止またはシステム電源断、システムリブートなどの停止事象が発生すると、自動鍵交換で作成されたISAKMP SA およびIPSEC SA が消滅します。通信を復旧するためには、停止事象が発生したホストから再度相手ホストへ送信し、自動鍵交換を再度行ってください。IPセキュリティプロトコルおよび IKE プロトコルでは、SA の有効期間内の相手ホスト停止事象の検知は行えません。
IKE ゲートウェイ起動時接続について
IKE ゲートウェイでは、相手ホストの停止事象を検知しません。そのため、相手側停止事象を検知しない側（ IKEゲートウェイ）からの再接続を可能にするために、システム起動時に Safegate client を除く相手ゲートウェイに対して自動鍵交換を行うことができます。
SA 未登録による復号失敗のエラーログについて
自動鍵交換完了後、受信側の SA 登録処理が暗号化データの受信前に完了しない場合があります。その場合、「受信用のセキュリティ情報が設定されていない」のエラーログが数回採取されることがあります。上記のエラーログが採取されても、アプリケーション間の通信が正常に行われていれば特に問題ありません。
IPセキュリティプロトコルを規定している文書について示します．
RFC1825 : Security Architecture for the Internet Protocol
RFC1826 : IP Authentication Header
RFC1827 : IP Encapsulating Security Payload(ESP)
RFC1828 : IP Authentication using Keyed-MD5
RFC1829 : The ESP DES-CBC Transform
RFC1852 : IP Authentication using Keyed-SHA
RFC2104 : HMAC: Keyed-Hashing for Message Authentication
RFC2401 : Security Architecture for the Internet Protocol（RFC1825に対応）
RFC2402 : IP Authentication Header（RFC1826に対応）
RFC2403 : The Use of HMAC-MD5-96 within ESP and AH
RFC2404 : The Use of HMAC-SHA-1-96 within ESP and AH
RFC2405 : The ESP DES-CBC Cipher Algorithm With Explicit IV
RFC2406 : IP Encapsulating Security Payload(ESP)（RFC1827に対応）
RFC2407 : The Internet IP security Domain of interpretation for ISAKMP
RFC2408 : Internet Security Association and Key Management Protocol (ISAKMP)
RFC2409 : The Internet Key Exchange (IKE)
RFC2410 : The NULL Encryption Algorithm and Its Use With IPsec
RFC2411 : IP Security Document Roadmap
RFC2412 : OAKLEY Key Determination Protocol
RFC2451 : The ESP CBC-Mode Cipher Algorithms
RFC3602 : The AES-CBC Cipher Algorithm and Its Use with IPsec
|
目次
索引
|