IPsec – Các Dịch vụ Bảo mật Cốt lõi

[dangquangminh]

IPsec – Các Dịch vụ Bảo mật Cốt lõi


Nếu bạn đang triển khai một VPN để truyền dữ liệu qua Internet hoặc bất kỳ mạng nào mà bạn không hoàn toàn tin tưởng, IPsec là lựa chọn gần như “chuẩn vàng” trong môi trường doanh nghiệp. Không chỉ bảo vệ lưu lượng giữa hai site qua Internet, IPsec còn được sử dụng để bảo vệ lưu lượng quản trị mạng (như SNMP, SSH) khi chúng đi qua các segment nội bộ nhưng không hoàn toàn tin cậy.

Hãy nhớ: IPsec không chỉ dành cho VPN Site-to-Site. Nó là một bộ khung bảo mật chuẩn mở (framework) cho truyền thông IP an toàn, và nó có thể bảo vệ cả lưu lượng nội bộ lẫn lưu lượng ra ngoài.

---

1. Bảo mật (Confidentiality)

• IPsec dùng mã hóa để đảm bảo dữ liệu không bị bên thứ ba đọc lén.
• Chỉ thiết bị IPsec peer (đã thiết lập tunnel) mới có thể giải mã và đọc dữ liệu.
• Ví dụ: Dữ liệu giữa HQ và Branch được mã hóa bằng AES-256; dù kẻ tấn công bắt được gói tin, nội dung vẫn là “vô nghĩa” với chúng.

---

2. Toàn vẹn dữ liệu (Data Integrity)

• Đảm bảo dữ liệu đến đích nguyên vẹn, không bị chỉnh sửa trong quá trình truyền.
• IPsec thường dùng Hash-based Message Authentication Code (HMAC) với các thuật toán như SHA-256 hoặc SHA-384.
• Ví dụ: Nếu một gói tin bị sửa đổi (dù chỉ 1 bit), hash sẽ không khớp và gói tin bị loại bỏ.

---

3. Xác thực nguồn gốc (Origin Authentication)

• Đảm bảo kết nối đúng peer mà ta mong muốn, không phải kẻ giả mạo.
• IPsec sử dụng IKE (Internet Key Exchange) để xác thực bằng:
  • Pre-shared key (PSK)
  • Chứng chỉ số (Digital Certificate – PKI)
• Ví dụ: Khi triển khai VPN giữa 2 Data Center, cả hai phải xác thực lẫn nhau trước khi mã hóa dữ liệu.

---

4. Chống phát lại (Anti-replay Protection)

• Ngăn kẻ tấn công bắt gói tin rồi gửi lại (replay attack).
• IPsec sử dụng sequence number và sliding window để kiểm tra gói tin.
• Nếu gói tin trùng sequence hoặc quá cũ → bị drop.
• Ví dụ: Kẻ tấn công gửi lại gói lệnh “xóa file” nhiều lần → tính năng này sẽ chặn.

---

5. Quản lý khóa (Key Management)

• Cho phép trao đổi khóa an toàn ban đầu trên mạng không tin cậy.
• Hỗ trợ rekey định kỳ để giới hạn lượng dữ liệu mã hóa bằng cùng một khóa.
• Giúp giảm rủi ro nếu khóa bị lộ.
• Ví dụ: VPN IPsec giữa các chi nhánh sẽ tự động tạo khóa mới mỗi 8 giờ.

---

IPsec – Framework Chuẩn Mở, Mô-đun, Linh Hoạt

• IPsec không tự tạo thuật toán, mà dựa trên các thuật toán chuẩn sẵn có cho mã hóa, xác thực và trao đổi khóa.
• Thiết kế mô-đun cho phép thay thế công nghệ khi công nghệ cũ bị lỗi thời.
  • AES thay thế DES/3DES cho mã hóa.
  • SHA-2 thay thế MD5/SHA-1 cho toàn vẹn dữ liệu.
• Điều này giúp IPsec tồn tại lâu dài mà không bị lỗi thời khi thuật toán cũ bị bẻ khóa.

---

💡 Ví dụ thực tế
Bạn triển khai một VPN Site-to-Site giữa công ty ở Hà Nội và chi nhánh ở TP.HCM qua Internet:

• Bảo mật: AES-256 mã hóa toàn bộ dữ liệu.
• Toàn vẹn: SHA-256 HMAC kiểm tra dữ liệu không bị chỉnh sửa.
• Xác thực: Dùng chứng chỉ số PKI để xác thực peer.
• Chống phát lại: Sequence number ngăn kẻ tấn công gửi lại lệnh cũ.
• Quản lý khóa: IKEv2 tự động rekey mỗi 4 giờ.