Публикация на OpenIKED 7.3, преносима реализация на протокола IKEv2 за IPsec

Проект OpenBSD публикува версия на проекта OpenIKED 7.3, който развива реализацията на протокола IKEv2. Първоначално компонентите на IKEv2 бяха неделима част от IPsec стекa на OpenBSD, но след това бяха отделени в самостоятелен преносим пакет и сега могат да се използват в други операционни системи. Работата на OpenIKED е тествана във FreeBSD, NetBSD, macOS и различни дистрибуции на Linux, включително Arch, Debian, Fedora и Ubuntu. Кодът е написан на C и се разпространява под лиценза ISC.

OpenIKED позволява развиването на виртуални частни мрежи на базата на IPsec. IPsec стекът е образуван от две основни протоколи: протокол за обмен на ключове (IKE) и протокол за предаване на криптиран трафик (ESP). OpenIKED реализира елементи на аутентификация, конфигуриране, обмен на ключове и поддържане на политики за сигурност, докато протоколът за криптиране на трафик ESP обикновено се предоставя от ядрото на операционните системи. Методите за аутентификация в OpenIKED могат да включват предварително зададени ключове (pre-shared), EAP MSCHAPv2 със сертификат X.509 и отворени ключове RSA и ECDSA.

В новата версия:

• Добавена е поддръжка за тунели sec, създадени в OpenBSD за маршрутизиране на IPsec трафик през мрежовия интерфейс sec, вместо да се използват правила SPD (База данни за политика на сигурността IPsec) при създаването на защитени VPN в режим точка-точка.
• Добавена е поддръжка за указване на няколко сървъри имена с един мрежов интерфейс в Linux.
• Добавена е възможност за използване на библиотеката libsystemd за конфигуриране на DNS чрез DBUS в Linux, вместо да се извиква командата resolvectl.
• На платформата Linux е премахната библиотеката libapparmor, а вместо нея за промяна на политиките на AppArmor сега се използва директно достъп до псевдо файловата система /proc, което позволява отваряне на файлови дескриптори преди отписването на правата.
• Предоставена е възможност за обработка на пълни вериги от сертификати x509 в payload CERT.
• За подобряване на изолацията на процеса е осигурено повторно стартиране на дъщерни процеси след извикване на fork().
• За OpenBSD 7.4 е преработен вътрешният API ibuf.
• Слой за осигуряване на съвместимост е синхронизиран с новата кодова база на OpenBSD.
• За осигуряване на актуализация на просрочените сертификати са направени поправки в конфигурацията на OpenSSL, използвана в ikectl.

Източник: opennet.ru