Das OpenBSD-Projekt hat die Veröffentlichung von OpenIKED 7.3 bekannt gegeben, das die Implementierung des IKEv2-Protokolls weiterentwickelt. Ursprünglich waren die Komponenten von IKEv2 ein untrennbarer Teil des IPsec-Stacks von OpenBSD, wurden jedoch in ein separates tragbares Paket ausgegliedert und können nun in anderen Betriebssystemen verwendet werden. Die Funktionalität von OpenIKED wurde unter FreeBSD, NetBSD, macOS und verschiedenen Linux-Distributionen, einschließlich Arch, Debian, Fedora und Ubuntu, getestet. Der Code ist in C geschrieben und steht unter der ISC-Lizenz.
OpenIKED ermöglicht die Bereitstellung von virtuellen privaten Netzwerken basierend auf IPsec. Der IPsec-Stack besteht aus zwei Hauptprotokollen: dem Schlüsselverwaltungssystem (IKE) und dem Protokoll zur Übertragung verschlüsselter Daten (ESP). OpenIKED implementiert Elemente wie Authentifizierung, Konfiguration, Schlüsselmanagement und Sicherheitsrichtlinien, während das Protokoll zur Verschlüsselung des Datenverkehrs, ESP, normalerweise vom Betriebssystemkernel bereitgestellt wird. Zu den Authentifizierungsmethoden, die in OpenIKED verwendet werden können, gehören vorab festgelegte Schlüssel (pre-shared), EAP MSCHAPv2 mit X.509-Zertifikat sowie RSA- und ECDSAöffentliche Schlüssel.
In der neuen Version:
- Unterstützung für sec-Tunnel hinzugefügt, die in OpenBSD erstellt wurden, um IPsec-Datenverkehr über das Netzwerk-Interface sec zu routen, anstatt SPD-Regeln (IPsec Security Policy Database) beim Erstellen von sicheren Verbindungen zu verwenden. VPN im Punkt-zu-Punkt-Modus.
- Unterstützung für die Angabe mehrerer Server Namen mit einem Netzwerk-Interface in Linux hinzugefügt.
- Die Möglichkeit zur Verwendung der libsystemd-Bibliothek zur Konfiguration von DNS über DBUS in Linux wurde hinzugefügt, anstelle des Aufrufs des Tools resolvectl.
- Auf der Linux-Plattform wurde die libapparmor-Bibliothek aus den Abhängigkeiten entfernt, stattdessen wird jetzt für die Änderung der AppArmor-Richtlinien direkt auf das Pseudo-Dateisystem /proc zugegriffen, was das Öffnen von Dateideskriptoren vor dem Entzug von Rechten ermöglicht.
- Die Möglichkeit zur Verarbeitung vollständiger x509-Zertifikatsketten im Payload CERT wurde bereitgestellt.
- Um die Isolation des Prozesses zu verbessern, wurde der Neustart von Kindprozessen nach dem Aufruf von fork() sichergestellt.
- Für OpenBSD 7.4 wurde die interne API ibuf überarbeitet.
- Die Schicht zur Gewährleistung der Kompatibilität wurde mit der aktuellen Codebasis von OpenBSD synchronisiert.
- Zur Sicherstellung der Aktualisierung abgelaufener Zertifikate wurden Änderungen an der in ikectl verwendeten OpenSSL-Konfiguration vorgenommen.
Quelle: opennet.ru
