Het OpenBSD-project heeft de vrijgave van het OpenIKED-project 7.3 gepubliceerd, dat de implementatie van het IKEv2-protocol verder ontwikkelt. Aanvankelijk waren de componenten van IKEv2 een onlosmakelijk deel van de IPsec-stack van OpenBSD, maar later werden ze uitgezonderd als een aparte draagbare pakket en kunnen nu ook in andere besturingssystemen worden gebruikt. Het werk van OpenIKED is gevalideerd in FreeBSD, NetBSD, macOS en verschillende Linux-distributies, waaronder Arch, Debian, Fedora en Ubuntu. De code is geschreven in C en wordt verspreid onder de ISC-licentie.
OpenIKED maakt het mogelijk om virtuele particuliere netwerken op basis van IPsec in te zetten. De IPsec-stack bestaat uit twee hoofdschema's: het sleuteluitwisselingsprotocol (IKE) en het protocol voor het verzenden van versleuteld verkeer (ESP). OpenIKED implementeert elementen van authenticatie, configuratie, sleuteluitwisseling en het handhaven van beveiligingsbeleid, terwijl het protocol voor het versleutelen van verkeer, ESP, meestal door de kernel van de besturingssystemen wordt aangeboden. Als authenticatiemethoden kan OpenIKED vooraf gedeelde sleutels (pre-shared), EAP MSCHAPv2 met een X.509-certificaat en open sleutel RSA en ECDSA gebruiken.
In de nieuwe versie:
- Ondersteuning voor sec-tunnels, gemaakt in OpenBSD, is toegevoegd voor het routeren van IPsec-verkeer via de sec-netwerkinterface, in plaats van het gebruik van SPD-regels (IPsec Security Policy Database) bij het opzetten van beveiligde VPN in punt-tot-punt-modus.
- Ondersteuning voor het opgeven van meerdere servers namen met één netwerkinterface in Linux is toegevoegd.
- De mogelijkheid om de libsystemd-bibliotheek te gebruiken voor het configureren van DNS via DBUS in Linux is toegevoegd, in plaats van de utiliteit resolvectl aan te roepen.
- Op het Linux-platform is de afhankelijkheid van de libapparmor-bibliotheek verwijderd, en in plaats daarvan wordt directe toegang tot het pseudo-bestandssysteem /proc gebruikt om AppArmor-beleidswijzigingen aan te brengen, wat het mogelijk maakt om bestandsdescriptoren te openen voordat privileges worden opgeheven.
- De mogelijkheid om volledige ketens van x509-certificaten te verwerken in de payload CERT is geboden.
- Voor een betere procesisolatie wordt herstarten van kindprocessen na het aanroepen van fork() gegarandeerd.
- Voor OpenBSD 7.4 is de interne API ibuf herzien.
- De compatibiliteitslaag is gesynchroniseerd met de recente codebase van OpenBSD.
- Om verouderde certificaten bij te werken, zijn er correcties aangebracht in de OpenSSL-configuratie die in ikectl wordt gebruikt.
Bron: opennet.ru
