Проект OpenBSD публикувал версия на OpenIKED 7.3, който развива реализацията на протокола IKEv2. Първоначално компонентите на IKEv2 бяха неделима част от IPsec стек на OpenBSD, но след това бяха отделени в самостоятелен преносим пакет и сега могат да се използват в други операционни системи. Работата на OpenIKED е проверена във FreeBSD, NetBSD, macOS и различни дистрибуции на Linux, включително Arch, Debian, Fedora и Ubuntu. Кодът е написан на C и се разпространява под лицензията ISC.
OpenIKED позволява внедряване на виртуални частни мрежи на базата на IPsec. IPsec стекът се състои от два основни протокола: протокола за обмен на ключове (IKE) и протокола за предаване на криптиран трафик (ESP). OpenIKED реализира елементи за аутентикация, конфигурация, обмен на ключове и поддържане на политики за безопасност, а протоколът за криптиране на трафика ESP обикновено се предоставя от ядрото на операционната система. Методите за аутентикация в OpenIKED могат да използват предварително зададени ключове (pre-shared), EAP MSCHAPv2 с сертификат X.509, както и публични ключове RSA и ECDSA.
В новата версия:
- Добавена е поддръжка за тунели sec, създадени в OpenBSD за маршрутизиране на IPsec трафик през мрежовия интерфейс sec, вместо използването на правила SPD (IPsec Security Policy Database) при създаването на защитени VPN в точка-точка режим.
- Добавена е поддръжка за указване на няколко сървъри имена с един мрежов интерфейс в Linux.
- Добавена е възможност за използване на библиотеката libsystemd за настройка на DNS чрез DBUS в Linux, вместо извикване на утилитата resolvectl.
- На платформата Linux от зависимостите е премахната библиотеката libapparmor, вместо която за промяна на политиките AppArmor сега се използва директно обращение към псевдо файлова система /proc, което позволява отварянето на файлови дескриптори до изчерпване на привилегиите.
- Предоставена е възможност за обработка на пълни вериги от сертификати x509 в payload CERT.
- За подобряване на изолацията на процеса е осигурен рестарт на дочерните процеси след извикване на fork().
- За OpenBSD 7.4 е преработен вътрешният API ibuf.
- Слой за осигуряване на съвместимост е синхронизиран с актуалната кодова база на OpenBSD.
- За осигуряване на актуализиране на изтекли сертификати са направени корекции в конфигурацията на OpenSSL, използвана в ikectl.
Източник: opennet.ru
