Das OpenBSD-Projekt hat die Version 7.3 des OpenIKED-Projekts veröffentlicht, das die Implementierung des IKEv2-Protokolls weiterentwickelt. Ursprünglich waren die Komponenten von IKEv2 ein untrennbarer Teil des IPsec-Stacks von OpenBSD, wurden jedoch dann in ein separates portables Paket ausgelagert, das nun auch in anderen Betriebssystemen verwendet werden kann. OpenIKED wurde unter FreeBSD, NetBSD, macOS und verschiedenen Linux-Distributionen, einschließlich Arch, Debian, Fedora und Ubuntu, getestet. Der Code ist in C geschrieben und wird unter der ISC-Lizenz verbreitet.
OpenIKED ermöglicht die Bereitstellung von Virtual Private Networks (VPNs) auf der Grundlage von IPsec. Der IPsec-Stack besteht aus zwei Hauptprotokollen: dem Schlüsselaustauschprotokoll (IKE) und dem Protokoll zur Übertragung von verschlüsseltem Datenverkehr (ESP). OpenIKED implementiert Authentifizierungs-, Konfigurations-, Schlüsselaustausch- und Sicherheitsrichtlinien-Management-Elemente, während das Protokoll zur Verschlüsselung des Datenverkehrs, ESP, in der Regel vom Kernel der Betriebssysteme bereitgestellt wird. Als Authentifizierungsmethoden unterstützt OpenIKED vorab vereinbarte Schlüssel (pre-shared), EAP MSCHAPv2 mit X.509-Zertifikat sowie RSA- und ECDSA-öffentliche Schlüssel.
In der neuen Version:
- Unterstützung für sec-Tunnel, die in OpenBSD erstellt wurden, wurde hinzugefügt, um IPsec-Verkehr über das Netzwerk-Interface sec zu routen, anstelle von SPD-Regeln (IPsec Security Policy Database) beim Erstellen von geschützten VPN im Punkt-zu-Punkt-Modus.
- Unterstützung zur Angabe mehrerer Server Namen mit einem Netzwerk-Interface in Linux wurde hinzugefügt.
- Die Möglichkeit zur Nutzung der Bibliothek libsystemd für die DNS-Konfiguration über DBUS unter Linux wurde hinzugefügt, anstelle des Aufrufs des Tools resolvectl.
- Auf der Linux-Plattform wurde die Abhängigkeit von der Bibliothek libapparmor entfernt, stattdessen wird nun für die Änderung der AppArmor-Richtlinien der direkte Zugriff auf das Pseudo-Dateisystem /proc verwendet, was es ermöglicht, Dateideskriptoren vor dem Zurücksetzen der Berechtigungen zu öffnen.
- Die Möglichkeit, vollständige x509-Zertifikatsketten im payload CERT zu verarbeiten, wurde bereitgestellt.
- Um die Isolierung des Prozesses zu verbessern, wird das Neulancieren von Kindprozessen nach dem Aufruf von fork() sichergestellt.
- Für OpenBSD 7.4 wurde die interne API ibuf überarbeitet.
- Die Schicht zur Gewährleistung der Kompatibilität wurde mit dem aktuellen Quellcode von OpenBSD synchronisiert.
- Um die Aktualisierung abgelaufener Zertifikate zu gewährleisten, wurden Anpassungen an der in ikectl verwendeten OpenSSL-Konfiguration vorgenommen.
Quelle: opennet.ru
