Il progetto OpenBSD ha pubblicato il rilascio di OpenIKED 7.3, che sviluppa l'implementazione del protocollo IKEv2. Inizialmente, i componenti IKEv2 rappresentavano una parte indivisibile dello stack IPsec di OpenBSD, ma sono stati poi separati in un pacchetto portabile e ora possono essere utilizzati in altri sistemi operativi. Il funzionamento di OpenIKED è stato verificato su FreeBSD, NetBSD, macOS e diverse distribuzioni Linux, tra cui Arch, Debian, Fedora e Ubuntu. Il codice è scritto in linguaggio C e distribuito sotto licenza ISC.
OpenIKED consente il deployment di reti private virtuali basate su IPsec. Lo stack IPsec è composto da due protocolli principali: il protocollo di scambio delle chiavi (IKE) e il protocollo per il trasferimento di traffico crittografato (ESP). OpenIKED implementa elementi di autenticazione, configurazione, scambio di chiavi e mantenimento di politiche di sicurezza, mentre il protocollo per la crittografia del traffico ESP è di solito fornito dal kernel dei sistemi operativi. Tra i metodi di autenticazione utilizzabili in OpenIKED ci sono le chiavi precondivise (pre-shared), EAP MSCHAPv2 con certificato X.509 e le chiavi pubbliche RSA ed ECDSA.
Nella nuova versione:
- È stata aggiunta la supporto per i tunnel sec, creati in OpenBSD, per instradare il traffico IPsec attraverso l'interfaccia di rete sec, invece di utilizzare le regole SPD (IPsec Security Policy Database) per creare connessioni sicure. VPN in modalità point-to-point.
- È stata aggiunta la supporto per specificare più server nomi con una singola interfaccia di rete in Linux.
- È stata aggiunta la possibilità di utilizzare la libreria libsystemd per la configurazione del DNS tramite DBUS in Linux, invece di chiamare l'utility resolvectl.
- Sulla piattaforma Linux è stata rimossa la dipendenza dalla libreria libapparmor, e ora per modificare le politiche di AppArmor si utilizza un accesso diretto al pseudo FS /proc, che consente di aprire i descrittori di file prima del ribasso dei privilegi.
- È stata fornita la possibilità di gestire catene di certificati x509 complete nel payload CERT.
- Per migliorare l'isolamento del processo, è garantito il riavvio dei processi figli dopo la chiamata a fork().
- Per OpenBSD 7.4, l'API interna ibuf è stata riprogettata.
- Lo strato per garantire la compatibilità è stato sincronizzato con il nuovo codice di base di OpenBSD.
- Per garantire l'aggiornamento dei certificati scaduti, sono state apportate modifiche alla configurazione di OpenSSL utilizzata in ikectl.
Fonte: opennet.ru
