wakatonoの戯れメモ

はてなダイアリーから引っ越してきました。

Multiple Vulnerability Issues in Implementation of ISAKMP Protocol

ISAKMP プロトコルの実装に複数の脆弱性ですか。ISAKMP実装における脆弱性のアドバイザリです。とりあえず「アグレッシブモードは使うな」ということですかね。ただ、「信頼できるパケット」とあるのは「信頼できる相手(アドレス)から送られたパケット」なので、不特定多数とのやりとりが発生する場合には、アグレッシブモードを使うなというのが解決策になるでしょう。

ざっとDetail〜Solutionの部分を訳してみましたです。

  • 詳細

ISAKMPはIETFによって公開されている国際標準プロトコルである。SIAKMPは、IPsecのセキュリティアソシエーション(SA)を確立/ネゴシエート/変更/削除するように設計されている。SAはさまざまなネットワークセキュリティサービスの実行に必要な情報を全て含んでいる。ISAKMPは鍵生成技術に依存せずに鍵と認証データを転送するための一貫した枠組みを提供する。ISAKMPから派生したIKEv1は、IPsecの鍵となるプロトコルである。IKEv1は、インターネット鍵交換プロトコルの中で最も広く使われているバージョンである。

OUSPG PROTOSのISAKMPテストスィートは、IKEv2については試験していないので留意のこと。

ISAKMPは2つのフェーズから成る。フェーズ1では、2者がSAをネゴシエートし、次のフェーズのトラフィックをどのように保護するかについて合意する。フェーズ2において、鍵が配送され、共有されるポリシーがネゴシエートされる。このようにして、他のセキュリティプロトコルのためのセキュリティアソシエーションが確立される。

複数のISAKMP実装は、不正な内容や異常な内容を含むISAKMPフェーズ1パケットを受け取った際に異常な挙動を示す。OUSPG PROTOS ISAKMPテストスィートをさまざまなプロダクトに適用することで、異なった効果を示す複数のの脆弱性が明らかになった。

  • 対処

このアドバイザリで指摘された内容の対処として、以下のことが推奨される。

    • 可能であれば、信頼されているIPアドレスからのISAKMPネゴシエーションのみを受け付けるように、パケットフィルタを行う
    • フェーズ1において、アグレッシブモード(注)の使用をしないようにする

注 アグレッシブモードでは、ネゴシエーションステートにおいてやりとりされる情報およびパケットの数が少なくなる。このモードを用いることによる弱点は、セキュアチャンネルが開設される前に双方で情報交換されることである。

  • 解決策

このアドバイザリにおけるベンダインフォメーションの章を参照して、プラットフォームごとの改善策を実施する。