Administración de IPsec con etiquetas

Los sistemas Trusted Extensions pueden proteger los paquetes de red con etiquetas mediante IPsec. Los paquetes IPsec se pueden enviar con etiquetas explícitas o implícitas de Trusted Extensions. Las etiquetas se envían de manera explícita mediante las opciones IP de CIPSO y de manera implícita por medio de las asociaciones de seguridad (SA) de IPsec con etiquetas. Además, los paquetes IPsec cifrados con diferentes etiquetas implícitas se pueden enviar mediante túneles a través de una red sin etiquetas.

Para conocer los procedimientos de configuración y los conceptos generales de IPsec, consulte la Parte III, Seguridad IP de Administración de Oracle Solaris: servicios IP. Para conocer las modificaciones de Trusted Extensions en los procedimientos de IPsec, consulte Configuración de IPsec con etiquetas (mapa de tareas).

Etiquetas para intercambios protegidos por IPsec

Todas las comunicaciones de los sistemas Trusted Extensions, incluidas las comunicaciones protegidas por IPsec, deben cumplir las comprobaciones de acreditaciones de las etiquetas de seguridad. Las comprobaciones se describen en Comprobaciones de acreditaciones de Trusted Extensions.

Las etiquetas de los paquetes IPsec provenientes de una aplicación en una zona con etiquetas que deben superar estas comprobaciones son la etiqueta interna, la etiqueta de transferencia y la etiqueta de gestión de claves:

• Etiqueta de seguridad de la aplicación: la etiqueta de la zona en la que reside la aplicación.

• Etiqueta interna: la etiqueta de los datos del mensaje no cifrados antes de aplicar los encabezados AH o ESP de IPsec. Esta etiqueta puede ser diferente de la etiqueta de seguridad de la aplicación cuando se utiliza la opción de socket SO_MAC_EXEMPT (exenta de MAC) o las funciones del puerto de varios niveles (MLP). Al seleccionar asociaciones de seguridad (SA) y reglas IKE que están restringidas por etiquetas, IPsec e IKE utilizan esta etiqueta interna.

  De manera predeterminada, la etiqueta interna es igual a la etiqueta de seguridad de la aplicación. Normalmente, las aplicaciones en ambos extremos tienen la misma etiqueta. Sin embargo, para las comunicaciones MLP o exentas de MAC, esta condición puede no ser cierta. Los valores de configuración IPsec pueden definir cómo se transmite la etiqueta interna en la red, es decir, pueden definir la etiqueta de transferencia. Los valores de configuración IPsec no pueden definir el valor de la etiqueta interna.

• Etiqueta de transferencia: la etiqueta de los datos del mensaje cifrados después de aplicar los encabezados AH o ESP de IPsec. Según los archivos de configuración de IKE e IPsec, la etiqueta de transferencia puede ser diferente de la etiqueta interna.

• Etiqueta de gestión de claves: todas las negociaciones IKE entre dos nodos se controlan en una única etiqueta, independientemente de la etiqueta de los mensajes de la aplicación que activan las negociaciones. La etiqueta de las negociaciones IKE se define en el archivo /etc/inet/ike/config según la regla IKE.

Extensiones de etiquetas para asociaciones de seguridad IPsec

Las extensiones de etiquetas de IPsec se utilizan en los sistemas Trusted Extensions para asociar una etiqueta con el tráfico que se transmite dentro de una asociación de seguridad (SA). De manera predeterminada, IPsec no usa extensiones de etiquetas y, por lo tanto, ignora las etiquetas. Todo el tráfico entre dos sistemas se transporta a través de una asociación de seguridad única, independientemente de la etiqueta de Trusted Extensions.

Las extensiones de etiquetas permiten realizar las siguientes tareas:

• Configurar una asociación de seguridad IPsec diferente para usar con cada etiqueta de Trusted Extensions. Esta configuración proporciona un mecanismo adicional para transmitir la etiqueta del tráfico entre dos sistemas de varios niveles.

• Especificar una etiqueta en la transferencia para el texto del mensaje cifrado de IPsec que sea diferente del formato sin cifrar del texto. Esta configuración admite la transmisión de datos confidenciales cifrados a través de una red menos segura.

• Suprimir el uso de las opciones IP de CIPSO en los paquetes IP. Esta configuración permite que el tráfico con etiquetas atraviese redes que no reconocen CIPSO o hostiles hacia CIPSO.

Puede especificar si desea usar extensiones de etiquetas automáticamente mediante IKE, como se describe en Extensiones de etiquetas para IKE, o manualmente por medio del comando ipseckey. Para obtener detalles sobre las funciones de las extensiones de etiquetas, consulte la página del comando man ipseckey(1M).

Al utilizar extensiones de etiquetas, la selección de la asociación de seguridad para el tráfico saliente incluye la etiqueta de sensibilidad interna como parte de la asociación. La etiqueta de seguridad del tráfico entrante está definida por la etiqueta de seguridad de la asociación de seguridad del paquete recibido.

Extensiones de etiquetas para IKE

IKE en los sistemas Trusted Extensions admite la negociación de etiquetas para las asociaciones de seguridad con iguales que reconocen etiquetas. Para controlar este mecanismo, puede usar las siguientes palabras clave en el archivo /etc/inet/ike/config:

• label_aware: permite el uso del daemon in.iked de las interfaces de etiquetas de Trusted Extensions y la negociación de etiquetas con iguales.

• single_label: indica que el igual no admite la negociación de etiquetas para las asociaciones de seguridad.

• multi_label: indica que el igual admite la negociación de etiquetas para las asociaciones de seguridad. IKE crea una nueva asociación de seguridad para cada etiqueta adicional que IKE detecta en el tráfico entre dos nodos.

• wire_label inner: hace que el daemon in.iked cree asociaciones de seguridad con etiquetas donde la etiqueta de transferencia es igual a la etiqueta interna. La etiqueta de gestión de claves es ADMIN_LOW cuando el daemon negocia con iguales cipso. La etiqueta de gestión de claves es la etiqueta predeterminada del igual cuando el daemon negocia con iguales sin etiquetas. Se siguen las reglas habituales de Trusted Extensions para la inclusión de opciones IP de CIPSO en los paquetes transmitidos.

• wire_label etiqueta: hace que el daemon in.iked cree asociaciones de seguridad con etiquetas donde la etiqueta de transferencia se definió en etiqueta, independientemente del valor de la etiqueta interna. El daemon in.iked lleva a cabo negociaciones de gestión de claves en la etiqueta especificada. Se siguen las reglas habituales de Trusted Extensions para la inclusión de opciones IP de CIPSO en los paquetes transmitidos.

• wire_label none etiqueta : genera un comportamiento similar a wire_label etiqueta, excepto que las opciones IP de CIPSO se suprimen en los paquetes IKE transmitidos y los paquetes de datos en la asociación de seguridad.

Para obtener más información, consulte la página del comando man ike.config(4).

Etiquetas y acreditación en IPsec en modo túnel

Cuando los paquetes de datos de la aplicación están protegidos por IPsec en modo túnel, los paquetes contienen varios encabezados IP.

El encabezado IP del protocolo IKE contiene el mismo par de dirección de origen y de destino que el encabezado IP externo del paquete de datos de la aplicación.

Trusted Extensions utiliza las direcciones del encabezado IP interno para las comprobaciones de acreditaciones de la etiqueta interna. Trusted Extensions realiza comprobaciones de las etiquetas de transferencia y de gestión de claves mediante las direcciones del encabezado IP externo. Para obtener información sobre las comprobaciones de acreditaciones, consulte Comprobaciones de acreditaciones de Trusted Extensions.

Protecciones de confidencialidad e integridad con extensiones de etiquetas

La siguiente tabla explica cómo las protecciones de confidencialidad e integridad de IPsec se aplican a la etiqueta de seguridad con distintas configuraciones de extensiones de etiquetas.