IPsec, protokoły VPN i bezpieczeństwo zdalnego dostępu

Virtual Private Network (VPN) tworzy szyfrowany tunel przez sieć publiczną lub niezaufaną, umożliwiając zdalnym użytkownikom i lokalizacjom komunikację tak, jakby znajdowali się w tej samej sieci prywatnej. Sieci VPN chronią przed podsłuchiwaniem w niezaufanych sieciach (hotelowe Wi-Fi, publiczne hotspoty), umożliwiają pracownikom zdalnym dostęp do zasobów wewnętrznych oraz bezpiecznie łączą oddziały przez internet. Egzamin Security+ sprawdza znajomość wielu technologii VPN — IPsec, SSL-VPN i nowszych protokołów, takich jak WireGuard — a także kwestii bezpieczeństwa dotyczących każdej z nich.

IPsec (Internet Protocol Security) to zestaw protokołów zabezpieczających ruch IP na warstwie 3. IPsec działa w dwóch trybach: Transport mode szyfruje tylko dane użytkowe każdego pakietu IP (oryginalny nagłówek IP zostaje zachowany — tryb używany do komunikacji host-host), a Tunnel mode szyfruje cały oryginalny pakiet i umieszcza go w nowym nagłówku IP — tryb używany w sieciach VPN typu site-to-site, gdzie bramy pełnią funkcję punktów końcowych tunelu. IPsec wykorzystuje dwa główne protokoły: AH (Authentication Header) zapewniający wyłącznie integralność i uwierzytelnianie (bez szyfrowania) oraz ESP (Encapsulating Security Payload) zapewniający zarówno szyfrowanie, jak i uwierzytelnianie.

IKE (Internet Key Exchange) uzgadnia parametry bezpieczeństwa (algorytmy, klucze) dla sesji IPsec. IKEv1 korzystał z dwóch faz: fazy 1 (ustanowienie bezpiecznego kanału chroniącego uzgadnianie fazy 2) oraz fazy 2 (uzgodnienie właściwych skojarzeń bezpieczeństwa IPsec). IKEv2 (obecny standard) jest prostszy, szybszy i bardziej niezawodny, a także dodaje wbudowaną obsługę uwierzytelniania EAP i MOBIKE (obsługa zmian adresu IP w trakcie sesji — istotna w przypadku urządzeń mobilnych). Skojarzenia bezpieczeństwa (SA) IPsec są jednokierunkowe; każdy kierunek ma własne SA i własny klucz szyfrowania.

VPN IPsec działa na warstwie 3, wymaga oprogramowania klienckiego i często określonego otwarcia portów na zaporze (UDP 500, UDP 4500 na potrzeby przechodzenia przez NAT, protokół ESP 50). Jest trudniejszy we wdrożeniu, ale zapewnia pełny dostęp na poziomie sieci. SSL-VPN tuneluje ruch przez HTTPS (TCP 443), który przechodzi przez niemal każdą zaporę, i może działać w przeglądarkach (tryb bez klienta) lub z użyciem lekkich klientów. SSL-VPN wykorzystuje TLS dla zewnętrznego tunelu, dzięki czemu korzysta z ulepszeń bezpieczeństwa TLS i ułatwia użytkownikom nawiązywanie połączenia. Rozwiązania SSL-VPN dla przedsiębiorstw (Cisco AnyConnect, Palo Alto GlobalProtect) obsługują także dzielone tunelowanie i ocenę stanu punktu końcowego.

Dzielone tunelowanie umożliwia klientom VPN kierowanie przez tunel VPN tylko ruchu przeznaczonego do sieci firmowej, podczas gdy ruch internetowy jest wysyłany bezpośrednio do internetu, z pominięciem firmowych mechanizmów kontroli bezpieczeństwa. Ryzyko polega na tym, że zaatakowany punkt końcowy może jednocześnie uzyskiwać dostęp do sieci firmowej (przez VPN) i komunikować się z serwerami C2 złośliwego oprogramowania (bezpośrednio przez internet), skutecznie łącząc sieć firmową z atakującym. Pełne tunelowanie kieruje cały ruch przez bramę VPN, gdzie firmowe mechanizmy kontroli bezpieczeństwa (filtrowanie sieci, DLP, IPS) poddają go inspekcji. Większość organizacji dbających o bezpieczeństwo wymusza pełne tunelowanie, akceptując związane z nim dodatkowe obciążenie przepustowości.

WireGuard to nowoczesny protokół VPN zaprojektowany tak, aby był prostszy, szybszy i bezpieczniejszy niż IPsec i OpenVPN. WireGuard korzysta ze stałego, minimalnego stosu kryptograficznego: ChaCha20 do szyfrowania symetrycznego, Poly1305 do uwierzytelniania, Curve25519 do wymiany kluczy ECDH, BLAKE2s do haszowania oraz SipHash24 do kluczy tablic mieszających. Jego kod źródłowy ma mniej niż 4000 wierszy (w porównaniu z ponad 100 000 w OpenVPN), dzięki czemu można go łatwiej audytować, a powierzchnia ataku jest mniejsza. WireGuard jest obecnie wbudowany w jądro systemu Linux (5.6+) i obsługiwany na wszystkich głównych platformach.

Sieci VPN typu site-to-site łączą całe sieci (oddziały, centra danych, chmurowe VPC) za pomocą trwałych szyfrowanych tuneli między urządzeniami brzegowymi. W przeciwieństwie do sieci VPN zdalnego dostępu, z którymi łączą się poszczególni użytkownicy, tunele site-to-site są stale aktywne między stałymi punktami końcowymi. Najczęściej stosowaną technologią jest IPsec w trybie tunelowym. Konfiguracja wymaga zgodnych propozycji IKE (szyfrowanie, integralność, grupa DH, czas życia) po obu stronach — niezgodności są najczęstszą przyczyną problemów z sieciami site-to-site. Nadmiarowe tunele z funkcją wykrywania niedostępności partnera (DPD) zapewniają przełączenie awaryjne po usterce głównej ścieżki.

Sieci VPN obsługują wiele mechanizmów uwierzytelniania. Klucze wstępnie współdzielone (PSK): wspólny sekret skonfigurowany na obu punktach końcowych — rozwiązanie proste, ale w przypadku ujawnienia klucza tworzy pojedynczy punkt podatny na kompromitację; odpowiednie w przypadku połączeń site-to-site. Uwierzytelnianie oparte na certyfikatach: każdy klient lub brama przedstawia certyfikat X.509 — rozwiązanie silniejsze, skalowalne dla wielu użytkowników, z możliwością unieważniania certyfikatów. EAP (Extensible Authentication Protocol): obsługuje integrację z RADIUS, umożliwiając uwierzytelnianie za pomocą nazwy użytkownika i hasła, MFA (EAP-TTLS, EAP-TLS) oraz integrację z Active Directory. W większości wdrożeń firmowych uwierzytelnianie certyfikatem (tożsamość urządzenia) łączy się z MFA (tożsamość użytkownika).

Nowoczesne bramy VPN wykonują kontrole stanu punktu końcowego przed przyznaniem dostępu, aby upewnić się, że urządzenia łączące się z siecią spełniają wymagania bezpieczeństwa. Kontrole obejmują: wersję systemu operacyjnego i poziom poprawek (odrzucanie systemów, dla których zakończono wsparcie), obecność programu antywirusowego i aktualność sygnatur, włączone szyfrowanie dysku, brak nieautoryzowanego oprogramowania oraz aktywną zaporę. Urządzenia, które nie przejdą kontroli stanu, są umieszczane w kwarantannym VLAN-ie z ograniczonym dostępem — zwykle tylko do zasobów potrzebnych do usunięcia problemu — do czasu spełnienia wymagań zasad. Zapobiega to bezpośredniemu dostępowi zaatakowanego urządzenia osobistego do produkcyjnej sieci firmowej, nawet przy użyciu prawidłowych danych uwierzytelniających.

VPN zawsze aktywny zapewnia, że punkty końcowe organizacji utrzymują stałe połączenie VPN zawsze, gdy znajdują się poza siecią firmową. W przeciwieństwie do tradycyjnych sieci VPN, z którymi użytkownicy łączą się ręcznie, VPN zawsze aktywny nawiązuje połączenie przed zalogowaniem (czasami z użyciem uwierzytelniania certyfikatem urządzenia) i pozostaje połączony przez całą sesję. Dzięki temu cały ruch punktu końcowego jest sprawdzany przez firmowe mechanizmy kontroli bezpieczeństwa, także w przypadku pracowników zdalnych. Microsoft DirectAccess (poprzednik) oraz rozwiązania takie jak Cisco AnyConnect Always-On i GlobalProtect implementują ten model. Wadą jest większe obciążenie bramy — każdy zdalny punkt końcowy utrzymuje stałą sesję.

Koncentrator VPN to dedykowane urządzenie lub urządzenie wirtualne, które kończy dużą liczbę sesji VPN i obsługuje obciążenie związane z przetwarzaniem kryptograficznym, które przeciążyłoby router lub zaporę ogólnego przeznaczenia. Koncentratory VPN dla przedsiębiorstw obsługują tysiące jednoczesnych sesji i integrują się z RADIUS na potrzeby uwierzytelniania, z LDAP/AD na potrzeby wyszukiwania użytkowników oraz z urzędami certyfikacji na potrzeby weryfikacji certyfikatów klientów. Konfiguracje wysokiej dostępności (HA) wykorzystują klastry active/standby lub active/active z synchronizacją sesji, dzięki czemu użytkownicy nie zostają rozłączeni w przypadku awarii jednego koncentratora. Właściwe zaplanowanie HA jest niezbędne dla organizacji, które polegają na VPN w ramach krytycznych operacji.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: IPsec zabezpiecza ruch IP w warstwie 3 za pomocą AH (tylko integralność) lub ESP (szyfrowanie + integralność) w trybie transportowym albo tunelowym, wykorzystując IKEv2 do negocjowania kluczy; SSL-VPN tworzy tunele przez HTTPS, co ułatwia wdrażanie za zaporami sieciowymi w porównaniu z IPsec; natomiast dzielone tunelowanie stanowi zagrożenie dla bezpieczeństwa, ponieważ pozwala złośliwemu oprogramowaniu na punktach końcowych łączyć się bezpośrednio z internetem, gdy sieć VPN jednocześnie zapewnia dostęp do sieci firmowej. W ten sposób kończy się kurs Secure Protocols — teraz zajmiemy się architekturą Zero Trust.