[HaBo]

nimrod

hi leute,
wie der titel schon sagt, ich suche vergleiche, vor- und nachteile der jeweiligen lösung, praxiserfahrungen etc.
leider findet sich im internet kaum eine direkte gegenüberstellung.
bin über jeden link, dokumente usw dankbar.

mfg

nimrod

Dresko

Du wirst keinen direkten Vergleich finden, da IPSec und SSL/TLS grundsätzlich anders arbeiten und daher auch für verschieden Zwecke eingesetzt werden.

SSL/TLS arbeitet auf Layer 6 und ummantelt dabei quasi das eigentliche Anwendungs-Protokoll (HTTP z.B.), während IPSec viel weiter unten ansetzt (Layer 3) und quasi das IP-Protokoll um Sicherheitsfunktionen erweitert.

http://de.wikipedia.org/wiki/Transport_Layer_Security
http://de.wikipedia.org/wiki/IPsec

__________________
Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning.
- Rick Cook -

nimrod

ok ich hab mich falsch ausgedrückt.
mir geht es darum das ich die entscheidung finden muss ob ich openvpn oder openswan/strongswan einsetzte. es geht um reinen roadwarriorbetrieb mit windows xp kisten. die unterschiede der protokolle sind mir schon bewusst. nur nicht wie das sich in der praxis auswirkt bezgl. sicherheitslücken usw.
ich hab den shrewsoft vpn client im auge und tendier zu ipsec mit ikev1 aber hätte halt gerne ein paar meinungen von leuten mit mehr erfahrung / wissen. thx

Dresko

Das kommt auf den speziellen Fall an.
Grundsätzlich ist OpenVPN einfacher einzurichten und zu administrieren. Dafür ist es nicht so flexibel.
IPSec bedeutet mehr Aufwand wegen dem komplexeren Setup. Dafür kannst du damit bspw. ein verteiltes VPN aufziehen, mit mehreren Gateways, zertifikatsbasierender Authentifizierung, usw. IPSec ist da wesentlich flexibler und lässt sich besser anpassen.
Wenn du aber nur einen bzw. mehrere Tunnel von Punkt A zu Punkt B brauchst (z.B. für Notebooks in offenen WLAN's zu schützen), würde ich dir OpenVPN empfehlen, da es einfacher umzusetzen ist.
Von der Sicherheit nehmen/geben sich beide Varianten nicht viel. Der IKE- und SSL-Handshake sind fast identisch und die jeweilige Paketverschlüsselung hängt letzendlich vom gewählten Algorithmus ab. Ansonsten bietet IPSec durch AH und ESP afaik eine bessere Authentizität und höhere Integrität der Daten. Außerdem läuft IPSec im Kernelspace während OpenVPN im Userspace läuft und somit angreifbarer durch andere Programme ist.

__________________
Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning.
- Rick Cook -

nimrod

das schreckt mich erstmal nicht ab
Ich brauch halt ein Gateway das für mehrere Roadwarrior einen Zugang zu einem lokalen Netz herstellt. Früher war anscheinend NAT-T ein Problem bei IPSEC und deshalb wurde oft auf OpenVPN verwiesen (eben weil die Pakete erst ab Layer 6 verändert werden) aber mittlerweile scheint es gut zu funktionieren (UDP encapsulation), ich konnte bei meinen Tests bis jetzt auch keine Probleme feststellen.

Auch meiner Meinung nach ist die Authentizität und Integrität bei IPSEC robuster weil ein komplett neues IP Paket mit dem ursprünglichen IP-Paket als Payload gebildet wird. Aber mir fehlen leider konkrete Beispiele / Angriffsmöglichkeiten im Vergleich zu TLS die das belegen. Sowas such ich den so gut bin ich auch wieder nicht das ich mir das selbst ausmalen könnte.

Läuft IPSEC nicht nur im Kernelspace wenn ich es direkt in den Kernel reinkompiliere, sprich den Kernel neu übersetzte mit den entsprechenden Modulen? Ich dachte immer: Direkt im Kernel: Kernelspace, als Kernelmodul: Userspace.
Danke
nimrod

Chromatin

IPSec. Gateway einrichten auf OpenBSD (30 minuten), fertig.
Die Zeiten wo IPSec sehr kompliziert einzurichten war, sind definitiv vorbei.

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

Habo Blog - http://blog.hackerboard.de/

nimrod

Jap so kommts mir auch vor. Aber ich brauche Fakten.

Dresko

Eine genaue Sicherheitsanalyse von IPSec kann ich dir leider nicht liefern, aber vielleicht hast du diesen Link noch nicht gefunden. Der Bericht stammt allerdings aus dem Jahre 2003.

Alles was in irgendeiner Art und Weise Zugriff auf Hardware brauch, muss im Kontext des Kernels ausgeführt werden, da er als Supervisor einzig dafür die entsprechende Rechte hat. Kernel-Module laufen also grundsätzlich auch im Kernelspace.
Wenn ein Benutzerprogramm, das im Userspace läuft, Interrupts oder Systemaufrufe absetzen muss, wird "einfach" vom Userspace in den Kernelspace gewechselt.
Hier ist das etwas ausführlicher erklärt: http://www.oreilly.de/german/freeboo.../building.html

__________________
Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning.
- Rick Cook -

Chromatin

Was die Einrichtung angeht, so muss man das einfach mal aufsetzen und sich selbst ein Bild machen ob man das managen kann/will.

Sicherheitstechnisch ist mir kein Angriff bekannt, auszer die Geschichte mit dem Schluesselaustausch.

Aber fuer deine Zwecke kann ich ein solches OpenBSD Gateway mit beliebigen clients (greenBow, oder windows' native Ipsec implementierung) nur waermstens empfehlen.

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

Habo Blog - http://blog.hackerboard.de/

nimrod

Ich danke euch beiden!
Die Links sind super Dresko.

Ich hab auch noch einen ganz interesanten Link falls es jemanden interesiert.

Internet Key Exchange (IKE) protocol vulnerability risks:
http://www.netlab.tkk.fi/opetus/s383...ari_180504.ppt

Wenn ich noch sowas in Richting TLS find werd ichs auch noch posten.

Natürlich wär ein IPSEC mit ikev2 der Hit aber da gibts leider nur teure kommerzielle Clients für WinXP.



Schönen Freitag

Chromatin

Es gibt zusatzsoftware von MS fuer Windows, welche IPSec beinhaltet.
Afaik supportet Windows ab Vista nativ IPSec.

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

Habo Blog - http://blog.hackerboard.de/

nimrod

Mag sein ich weis von Win7 dass es nativ IPSEC mit IKEv2 supported aber ich brauch ne Lösung für XP.

Bei Windows XP mit Boardmitteln ist IPSEC aber ein ziemliches gefrickel und funktioniert auch nur mit IPSEC over L2TP. Wen ich falsch liege bitte korregiert mich.


Dieser Client macht nen ordentlichen Eindruck und ist bei meinen Tests auch gut gelaufen allerdings nur IKEv1:
http://www.shrew.net/