IPsec에서 SA 생성을 위한 유틸리티

IKE 프로토콜은 IPv4 및 IPv6 데이터베이스에 대한 자동 키 관리를 제공합니다. IKE를 설정하는 방법에 대한 지침은 18 장IKE 구성(작업)을 참조하십시오. 수동 키 입력 유틸리티는 ipseckey 명령이며, 이 명령은 ipseckey(1M) 매뉴얼 페이지에 설명되어 있습니다.

ipseckey 명령을 사용하여 SADB(보안 연결 데이터베이스)를 수동으로 채웁니다. 일반적으로 수동 SA 생성은 사정상 IKE를 사용할 수 없을 때 사용됩니다. 하지만 SPI 값이 고유한 경우 수동 SA 생성과 IKE를 동시에 사용할 수 있습니다.

ipseckey 명령은 키가 수동으로 또는 IKE로 추가되었는지 여부에 상관 없이 시스템에 알려진 모든 SA를 보는 데 사용할 수 있습니다. ipseckey 명령은 -c 옵션과 함께 인수로 제공하는 키 파일의 구문을 검사합니다.

ipseckey 명령으로 추가된 IPsec SA는 시스템을 재부트하면 없어집니다. 시스템 부트 시 수동으로 추가한 SA를 사용으로 설정하려면 항목을 /etc/inet/secret/ipseckeys 파일에 추가한 다음 svc:/network/ipsec/manual-key:default 서비스를 사용으로 설정합니다. 절차는 IPsec 키를 수동으로 만드는 방법을 참조하십시오.

ipseckey 명령에는 제한된 수의 일반 옵션만 있지만 명령은 풍부한 명령 언어를 지원합니다. 수동 키 입력에 대한 프로그래밍 인터페이스로 해당 요청이 전달되도록 지정할 수 있습니다. 추가 정보는 pf_key(7P) 매뉴얼 페이지를 참조하십시오.

ipseckey에 대한 보안 고려 사항

ipseckey 명령은 Network Security 또는 Network IPsec Management 권한 프로파일을 가진 역할이 민감한 암호화 키 입력 정보를 입력할 수 있도록 합니다. 공격자가 이 정보에 대한 액세스 권한을 획득할 경우 IPsec 트래픽의 보안을 침해할 수 있습니다.

키 입력 자료를 처리하고 ipseckey 명령을 사용할 때 다음 사항을 고려해야 합니다.

• 키 입력 자료를 새로 고쳤습니까? 정기적인 키 새로 고침은 기본적인 보안 방식입니다. 키 새로 고침은 잠재적인 알고리즘 및 키 취약성으로부터 보호하고 노출된 키의 손상을 제한합니다.

• TTY가 네트워크를 통해 이동합니까? ipseckey 명령이 대화식 모드입니까?

  • 대화식 모드에서는 키 입력 자료의 보안이 이 TTY의 트래픽에 대한 네트워크 경로의 보안입니다. 일반 텍스트 텔넷 또는 rlogin 세션을 통해 ipseckey 명령을 사용하는 것을 피해야 합니다.

  • 로컬 창이라도 창 이벤트를 읽는 숨겨진 프로그램의 공격 대상이 될 수 있습니다.

• -f 옵션을 사용했습니까? 파일이 네트워크를 통해 액세스합니까? 파일을 누구나 읽을 수 있습니까?

  • 공격자는 파일이 읽혀질 때 네트워크 마운트 파일을 읽을 수 있습니다. 키 입력 자료가 포함된 누구나 읽을 있는 파일 사용을 피해야 합니다.

  • 이름 지정 시스템을 보호합니다. 다음 두 조건이 충족될 경우 호스트 이름을 더 이상 신뢰할 수 없습니다.

    • 소스 주소가 네트워크를 통해 조회할 수 있는 호스트입니다.

    • 이름 지정 시스템이 침해되었습니다.

보안 취약성은 실제 도구가 도구의 오용으로 인해 발생하기도 합니다. ipseckey 명령을 사용할 때는 주의해야 합니다. 가장 안전한 작업 모드를 위해서는 ssh 또는 콘솔 또는 기타 하드 연결된 TTY를 사용합니다.