»» »» Encuesta del actual trabajo de seguridad en el IETF, octubre de 2003
Encuesta del actual trabajo de seguridad en el IETF Resumen Este documento contiene los resultados de una encuesta IAB en el trabajo de seguridad en el IETF. Los autores James Kempf Charlie Kaufman DoCoMo USA laboratorios de Microsoft 1. Introducción Este documento contiene un resumen de la encuesta de seguridad enviado por el IAB en junio de 2003. El objetivo del estudio era obtener información acerca de qué tipo de trabajo de seguridad se está haciendo en IETF grupos de trabajo, con el fin de encontrar las similitudes entre el trabajo en diferentes capas. La encuesta tomó la forma de un correo electrónico enviado a la lista de correo wgchairs@ietf.org que contiene una serie de preguntas sobre el trabajo de seguridad en diferentes grupos de trabajo. 2. Los resultados de la encuesta En esta sección se presentan los resultados de la encuesta, por grupo de trabajo. 2.1 Los próximos pasos en la señalización Ningún trabajo protocolo de seguridad que se está haciendo por NSIS, aunque hay algunas amenazas de seguridad y documentos de análisis. Están disponibles en forma de proyectos del Grupo de Trabajo a través de la página Web NSIS. 2.2 El grupo de trabajo zeroconf zeroconfsilla proporcionó la siguiente información general sobre el uso de la seguridad en el protocolo: protocolo de configuración automática de enlace local IPv4: Las direcciones IPv4 se generan de forma aleatoria. ARP mapas de éstos a las direcciones de L2 que son * no * es elegido al azar. No se proporciona la autenticación o intentado. A continuación se dan las respuestas a la encuesta:. Identificación de los puntos remotos de la dirección IP, la autenticación de dirección de capa de enlace de las direcciones de los extremos remotos IP, direcciones de capa de enlace (puntos finales no se autentican Las direcciones de direcciones IP y la capa de enlace devueltos por ARP se supone que son correctos .) la protección de datos ninguno de aprovisionamiento o configuración de la información de seguridad ninguno 2.3 SRVLOC SRVLOC es actualmente de forma oficial en estado latente y no se ajusta a las reuniones del IETF, aunque hay discusión activa en la lista de correo. La última silla Grupo de Trabajo antes de que el grupo se dirigió latente proporcionado la siguiente información general sobre el uso de la seguridad en el protocolo: SLP permite que las aplicaciones generan '' URL de servicioque identifican servicios. Cada URL servicio también se acopla con una cadena "tipo de servicio", una lista de atributos y también opcionalmente una cadena 'índice de parámetros de seguridad' SLP. La autenticación se realiza en los parámetros antes mencionados, haciendo coincidir a / par de claves pública y privada a la cadena de índice de parámetros de seguridad. El fabricante de las señales de información de servicio, el consumidor de la información de servicio verifica las firmas antes de aceptar la información de servicio. Esto sólo puede hacerse si el firmante y el verificador tienen las llaves y / o certificados necesarios o pueden obtenerlos. SLP no prevé la llave o la distribución de certificados o descubrimiento. A continuación se dan las respuestas a la encuesta: la identificación de los usuarios o administradores por cadena de texto (Un administrador o usuario podrían ser identificados en una cadena del atributo aprobada por SLP.) Identificación de los extremos remotos de nombre DNS, la dirección IP, la dirección de capa de enlace, UID ( SLP identifica los puntos finales utilizando URI. Estos pueden contener nombres DNS o direcciones IP. En algunosURI especializados, incluso direcciones de L2 puede ser proporcionada. En algunos casos, un identificador único se utiliza para identificar los servicios también) Identificación de los datos en una jerarquía por cadena de texto (SLP utiliza cadenas de texto para los nombres de los atributos. Estas cadenas pueden ser registrados en la IANA en plantillas de servicio RFC 2609). Autenticación de los extremos remotos el uso de algoritmos criptográficos (DSA firmas en formato X.509) la protección de datos Otros mecanismos criptográficos (datos Autentica, para que el consumidor pueda verificar que el proveedor ha firmado (y para hacer eso, el proveedor debe tener una clave privada) aprovisionamiento / Configuración de información de seguridad Por no especificado de mecanismo de banda (no la información de seguridad disposición. se supone que las claves y nombres de teclas (cadenas SLP índice de parámetro de seguridad) se configuran en agentes SLP). 2.4 PUENTE el Grupo de Trabajo PUENTE está definiendo son MIB, y el presidente informó que la encuesta no era aplicable, puesto PUENTE se basa en la seguridad de SNMP para la autenticación de usuario,encriptación y otro tipo de protección. Las MIB no contienen ninguna información de seguridad. 2.5 DISMAN Identificación de los usuarios o administradores de cadena de texto en nuestros MIB, son posibles otros mecanismos de scripts ejecutados bajo el control de los MIB. Mantener la configuración VACM simple es factor determinante aquí. Identificación de los extremos remotos de DNS, IP y otros mecanismos utilizados en las MIB, son posibles otros mecanismos bajo el control de la escritura. Identificación de los datos en una jerarquía por no entiende lo que quiere decir con SNMP aquí. Mi respuesta tendría que ser OID, pero todo lo anterior son posibles en entornos de scripts soportados por DISMAN. se utiliza la autenticación de los usuarios o administradores de autenticación manipulados en SNMPv3, por lo que el modelo de seguridad. Autenticación de puntos finales a distancia de seguridad SNMPv3 USM es usuario, en lugar de basarse punto final. Si alguien lo suficientemente loco como para diseñar un modelo de seguridad basada en puntos finales (y engancharlo en VACM), las MIB DISMAN todavía funcionaría. La protección de datosSNMPv3 para la transferencia. Almacenamiento está fuera de alcance. Aprovisionamiento / configuración de la información de seguridad SNMPv3, usando cualquier modelo de seguridad, por ejemplo, USM. 2.6 PEA Una de las sillas del Grupo de Trabajo proporcionó la siguiente observación general sobre el EAP aplicabilidad: La política de "EAP Uso apropiado" formulado por Jeff Schiller en IETF 47 fue que EAP es un mecanismo creado para su uso en situaciones en las que la propiedad intelectual no está disponible (por ejemplo, enlace autenticación de capa). No debe ser utilizado a través de Internet y sin protección. Que la política sigue vigente, y todos los RFC relacionados con EAP se ajustan a él hasta ahora. SASL no es muy diferente de mecanismos sencillos, pero es considerablemente mejor para los más complejos ya que se ejecuta a través de TCP y por lo tanto puede manejar mucho más eficiente cosas como el intercambio de certificados. Sin embargo, no tiene manera de manejar los ataques man-in-the-middle. A continuación se dan las respuestas a la encuesta: La identificación de los usuarios o administradores de cadenas de texto, DN.EAP tiene un campo de nombre de usuario basada en texto, pero en la mayoríacasos un NAI se envía. Se utilizan también algunos métodos EAP CERT y como tal, las identidades habituales a base de cert, como DNS. Identificación de los puntos remotos mediante cadenas de texto, otra. Siendo un viejo protocolo de seguridad de acceso a la red, EAP no tiene una muy buena representación de la identidad de la red. Sin embargo, una cadena de texto se puede pasar. Además, en la mayoría de los casos esta identificación ocurre en una capa inferior, por ejemplo, SSID de WLAN identifican la red. Además, algunos métodos EAP utilizan los CERT y como tal DNS de nuevo o se utilizan otros identificadores. No está claro si esto cuenta como identificación de un punto extremo distante. Identificación de los datos en una jerarquía No es relevante para EAP. La autenticación de usuarios o administradores de contraseñas, los algoritmos criptográficos. Algunos de los métodos EAP están basadas contraseña. Ninguno de ellos está sin cifrar basada en contraseña .. Todos los métodos EAP se basan en algún tipo de algoritmo criptográfico. algoritmo de contraseña simple, un estadio más avanzado algoritmo secreto compartido, algo robado de TLS y cert mundo,etc., son algunos ejemplos. Autenticación de los extremos remotos Véase más arriba. La protección de SSL de datos y / o TLS (EAP TLS), IPsec (No típicamente, aunque EAP puede ser encapsulado en radio / diámetro y protegido por IPsec, o puede ser utilizado por IKEv2. Pero EAP como tal no hace uso de IPsec ni IKE), otras especificaciones (la pregunta no es clara para EAP. Sin duda, el uso de TLS / XML, etc. también sería una referencia a otras especificaciones. lo que ocurre en muchos de los métodos EAP es que los datos asociados a la ejecución del protocolo se protege usando HMAC o mecanismos similares). Aprovisionamiento / configuración de la información de seguridad fuera del mecanismo de la banda, haciendo referencia a otra especificación (La mayor parte del tiempo fuera de banda es válida en algunos casos, los métodos EAP usan esquemas de autenticación que dependen de credenciales estándar, tales como los CERT o tarjetas SIM;. Se presume que la provisión de éstos puede suceder de la misma manera como se hace para otras aplicaciones. sin embargo, sí EAP no habla de esto. el planteamiento general de 2.7 IPSP IPSP es meramenteestablecer requisitos mínimos y permitir que los ejecutores para elegir los detalles. Todos los puntos finales se supone que dentro de un único dominio de seguridad. La identificación de los usuarios o administradores naming diferido al sitio mecanismo específico identificación de puntos remotos nombrando diferido al sitio específico de identificación mecanismo de los datos en una jerarquía ??? que no están familiarizados con el concepto de identificación de datos, en este contexto; Lo sentimos autenticación de usuarios o administradores diferidos al sitio específico mecanismos de autenticación de los extremos remotos diferidos a los mecanismos específicos del sitio Protección de protección de datos de transporte se difiere a los mecanismos específicos de sitio; todos los métodos sugeridos en su pregunta son aceptables si se utiliza correctamente para IPSec, IPSP permite algunas claves IPsec para configurar, por lo que estos deben ser protegidos por la capa de transporte; no se especifica cómo se configuran las teclas de transporte propios, siendo este lugar chickenish y eggish. 2.8 IPV6OPS identificación y autenticación de usuariosNo procede Identificación y autenticación de Protección de direcciones IP de los puntos finales de datos no se realiza Prestación / configuración de la información de seguridad. normalmente utiliza DNS para buscar un nombre, o se basa en direcciones IP. 2.9 PKIX La identificación de los usuarios o los administradores de nombre DNS, el nombre rfc822, DN Identificación de los criterios de valoración remota de nombres DNS, dirección IP, nombre rfc822, otra identificación de los datos en una jerarquía OID La protección de datos de otros mecanismos criptográficos de aprovisionamiento / configuración de la información de seguridad especifica un protocolo para hacer esta identificación 2.10 SEND de los extremos remotos de dirección IP, dirección de capa de enlace, otros (criptográficamente direcciones generadas (CGA), junto con una firma digital se utilizan. autenticación de referencia de los puntos finales a distancia para RFC2461 y RFC2462, los algoritmos criptográficos (RSA por defecto, también criptográficamente Las direcciones generadas (que define este protocolo)). aprovisionamiento / Configuración de la información de seguridad no especificado fuera del mecanismo de banda de 2,11 Seamoby2.11.1 Protocolo de Acceso Candidato Router Discovery (CARD) Identificación de los criterios de valoración de autenticación dirección IP remota de referencia extremos remotos a otras especificaciones de la protección de datos IPsec de aprovisionamiento / configuración de la información de seguridad no especificado de mecanismo de banda 2.11.2 Protocolo de transferencia de contexto (CTP) Identificación de autenticación puntos finales dirección IP remota de terminales remotos referencia a otras especificaciones (IPsec ESP en modo de transporte) la protección de los datos IPsec (modo de transporte) de aprovisionamiento / configuración de la información de seguridad no especificado de mecanismo de la banda 3. Conclusiones Este estudio no obtener la información que estábamos buscando, aunque no darnos algunas ideas sobre cómo un estudio futuro podría ser mejor organizado. Al anticipar incorrectamente los tipos de información que esperaba obtener, hemos hecho que sea difícil para algunos de los encuestados para dar sentido a las preguntas (y probablemente desalentó a otros de responder en absoluto). Deberíamos haber tenido una explicación de lo que estábamos buscandoy por qué, y una manera fácil para un demandado que decir "no hay nada que hacer en este grupo de trabajo que le preocupa hacer". Sólo después de pasar ese obstáculo deberíamos haber tenido preguntas más detalladas. Más importante aún, deberíamos haber trabajado con el ADS de seguridad para aprovechar su conocimiento de lo que está pasando y, por tanto, cómo expresar las preguntas. El que una encuesta de este tipo valdría la pena debe ser discutido. Estábamos tratando de identificar los lugares donde la gente se reinventar la rueda en el espacio de seguridad en lugar de que aprovechan la labor de los grupos de trabajo de seguridad o en grupos de trabajo nueva de seguridad podrían ser útiles para coordinar los esfuerzos en este espacio. La encuesta fue motivada por la preocupación expresada de que esto podría ser generalizado. Si bien la respuesta que nos dieron era irregular, no hemos encontrado evidencia para apoyar la preocupación. Es posible que este esfuerzo sea debe ser abandonado o hecho bajo los auspicios de algún otro grupo ocurre con los anuncios de seguridad o la Dirección de Seguridad.
