Il progetto OpenBSD ha pubblicato la versione 7.3 del progetto OpenIKED, che sviluppa l'implementazione del protocollo IKEv2. Inizialmente, i componenti di IKEv2 costituivano una parte indivisibile dello stack IPsec di OpenBSD, ma sono stati successivamente isolati in un pacchetto portabile e ora possono essere utilizzati in altri sistemi operativi. OpenIKED è stato testato su FreeBSD, NetBSD, macOS e varie distribuzioni di Linux, tra cui Arch, Debian, Fedora e Ubuntu. Il codice è scritto in linguaggio C e distribuito sotto licenza ISC.
OpenIKED consente di implementare reti private virtuali basate su IPsec. Lo stack IPsec è formato da due protocolli principali: il protocollo di scambio chiavi (IKE) e il protocollo per la trasmissione di traffico crittografato (ESP). OpenIKED implementa elementi di autenticazione, configurazione, scambio chiavi e mantenimento delle politiche di sicurezza, mentre il protocollo per la crittografia del traffico ESP è solitamente fornito dal kernel dei sistemi operativi. Tra i metodi di autenticazione in OpenIKED possono essere utilizzate chiavi precondivise (pre-shared), EAP MSCHAPv2 con certificato X.509 e chiavi pubbliche RSA e ECDSA.
Nella nuova versione:
- È stato aggiunto il supporto per i tunnel sec creati in OpenBSD per il routing del traffico IPsec attraverso l'interfaccia di rete sec, invece dell'uso delle regole SPD (IPsec Security Policy Database) durante la creazione di connessioni protette VPN in modalità point-to-point.
- È stata aggiunta la supporto per la specifica di più server nomi con un'unica interfaccia di rete in Linux.
- È stata introdotta la possibilità di utilizzare la libreria libsystemd per la configurazione del DNS tramite DBUS in Linux, invece di chiamare l'utilità resolvectl.
- Sulla piattaforma Linux, è stata rimossa la libreria libapparmor dalle dipendenze, e al suo posto si utilizza un accesso diretto al filesystem virtuale /proc per modificare le politiche di AppArmor, permettendo di aprire descrittori di file prima di disattivare i privilegi.
- È stata fornita la possibilità di elaborare catene complete di certificati x509 nel payload CERT.
- Per migliorare l'isolamento del processo, è stato garantito il riavvio dei processi figli dopo la chiamata fork().
- Per OpenBSD 7.4, è stato riprogettato l'API interno ibuf.
- Lo strato di compatibilità è stato sincronizzato con la recente base di codice di OpenBSD.
- Per garantire l'aggiornamento dei certificati scaduti, sono state apportate correzioni alla configurazione di OpenSSL utilizzata in ikectl.
Fonte: opennet.ru
