IPSEC vs. SSL/TLS

N

nimrod

0
hi leute,
wie der titel schon sagt, ich suche vergleiche, vor- und nachteile der jeweiligen lösung, praxiserfahrungen etc.
leider findet sich im internet kaum eine direkte gegenüberstellung.
bin über jeden link, dokumente usw dankbar.

mfg

nimrod
 
Du wirst keinen direkten Vergleich finden, da IPSec und SSL/TLS grundsätzlich anders arbeiten und daher auch für verschieden Zwecke eingesetzt werden.

SSL/TLS arbeitet auf Layer 6 und ummantelt dabei quasi das eigentliche Anwendungs-Protokoll (HTTP z.B.), während IPSec viel weiter unten ansetzt (Layer 3) und quasi das IP-Protokoll um Sicherheitsfunktionen erweitert.

http://de.wikipedia.org/wiki/Transport_Layer_Security
http://de.wikipedia.org/wiki/IPsec
 
ok ich hab mich falsch ausgedrückt.
mir geht es darum das ich die entscheidung finden muss ob ich openvpn oder openswan/strongswan einsetzte. es geht um reinen roadwarriorbetrieb mit windows xp kisten. die unterschiede der protokolle sind mir schon bewusst. nur nicht wie das sich in der praxis auswirkt bezgl. sicherheitslücken usw.
ich hab den shrewsoft vpn client im auge und tendier zu ipsec mit ikev1 aber hätte halt gerne ein paar meinungen von leuten mit mehr erfahrung / wissen. thx
 
Das kommt auf den speziellen Fall an.
Grundsätzlich ist OpenVPN einfacher einzurichten und zu administrieren. Dafür ist es nicht so flexibel.
IPSec bedeutet mehr Aufwand wegen dem komplexeren Setup. Dafür kannst du damit bspw. ein verteiltes VPN aufziehen, mit mehreren Gateways, zertifikatsbasierender Authentifizierung, usw. IPSec ist da wesentlich flexibler und lässt sich besser anpassen.
Wenn du aber nur einen bzw. mehrere Tunnel von Punkt A zu Punkt B brauchst (z.B. für Notebooks in offenen WLAN's zu schützen), würde ich dir OpenVPN empfehlen, da es einfacher umzusetzen ist.
Von der Sicherheit nehmen/geben sich beide Varianten nicht viel. Der IKE- und SSL-Handshake sind fast identisch und die jeweilige Paketverschlüsselung hängt letzendlich vom gewählten Algorithmus ab. Ansonsten bietet IPSec durch AH und ESP afaik eine bessere Authentizität und höhere Integrität der Daten. Außerdem läuft IPSec im Kernelspace während OpenVPN im Userspace läuft und somit angreifbarer durch andere Programme ist.
 
Zuletzt bearbeitet von einem Moderator:
IPSec bedeutet mehr Aufwand wegen dem komplexeren Setup
Zum Vergrößern anklicken....
das schreckt mich erstmal nicht ab :)
Ich brauch halt ein Gateway das für mehrere Roadwarrior einen Zugang zu einem lokalen Netz herstellt. Früher war anscheinend NAT-T ein Problem bei IPSEC und deshalb wurde oft auf OpenVPN verwiesen (eben weil die Pakete erst ab Layer 6 verändert werden) aber mittlerweile scheint es gut zu funktionieren (UDP encapsulation), ich konnte bei meinen Tests bis jetzt auch keine Probleme feststellen.

Auch meiner Meinung nach ist die Authentizität und Integrität bei IPSEC robuster weil ein komplett neues IP Paket mit dem ursprünglichen IP-Paket als Payload gebildet wird. Aber mir fehlen leider konkrete Beispiele / Angriffsmöglichkeiten im Vergleich zu TLS die das belegen. Sowas such ich den so gut bin ich auch wieder nicht das ich mir das selbst ausmalen könnte:D.

Läuft IPSEC nicht nur im Kernelspace wenn ich es direkt in den Kernel reinkompiliere, sprich den Kernel neu übersetzte mit den entsprechenden Modulen? Ich dachte immer: Direkt im Kernel: Kernelspace, als Kernelmodul: Userspace.
Danke
nimrod
 
IPSec. Gateway einrichten auf OpenBSD (30 minuten), fertig.
Die Zeiten wo IPSec sehr kompliziert einzurichten war, sind definitiv vorbei.
 
nimrod hat gesagt.:
das schreckt mich erstmal nicht ab :)
Ich brauch halt ein Gateway das für mehrere Roadwarrior einen Zugang zu einem lokalen Netz herstellt. Früher war anscheinend NAT-T ein Problem bei IPSEC und deshalb wurde oft auf OpenVPN verwiesen (eben weil die Pakete erst ab Layer 6 verändert werden) aber mittlerweile scheint es gut zu funktionieren (UDP encapsulation), ich konnte bei meinen Tests bis jetzt auch keine Probleme feststellen.

Auch meiner Meinung nach ist die Authentizität und Integrität bei IPSEC robuster weil ein komplett neues IP Paket mit dem ursprünglichen IP-Paket als Payload gebildet wird. Aber mir fehlen leider konkrete Beispiele / Angriffsmöglichkeiten im Vergleich zu TLS die das belegen. Sowas such ich den so gut bin ich auch wieder nicht das ich mir das selbst ausmalen könnte:D.
Zum Vergrößern anklicken....
Eine genaue Sicherheitsanalyse von IPSec kann ich dir leider nicht liefern, aber vielleicht hast du diesen Link noch nicht gefunden. Der Bericht stammt allerdings aus dem Jahre 2003.

Läuft IPSEC nicht nur im Kernelspace wenn ich es direkt in den Kernel reinkompiliere, sprich den Kernel neu übersetzte mit den entsprechenden Modulen? Ich dachte immer: Direkt im Kernel: Kernelspace, als Kernelmodul: Userspace.
Zum Vergrößern anklicken....
Alles was in irgendeiner Art und Weise Zugriff auf Hardware brauch, muss im Kontext des Kernels ausgeführt werden, da er als Supervisor einzig dafür die entsprechende Rechte hat. Kernel-Module laufen also grundsätzlich auch im Kernelspace.
Wenn ein Benutzerprogramm, das im Userspace läuft, Interrupts oder Systemaufrufe absetzen muss, wird "einfach" vom Userspace in den Kernelspace gewechselt.
Hier ist das etwas ausführlicher erklärt: http://www.oreilly.de/german/freebooks/linuxdrive2ger/building.html
 
Zitat:
Zitat von Chromatin
IPSec. Gateway einrichten auf OpenBSD (30 minuten), fertig.
Die Zeiten wo IPSec sehr kompliziert einzurichten war, sind definitiv vorbei.

Jap so kommts mir auch vor. Aber ich brauche Fakten.
Zum Vergrößern anklicken....

Was die Einrichtung angeht, so muss man das einfach mal aufsetzen und sich selbst ein Bild machen ob man das managen kann/will.

Sicherheitstechnisch ist mir kein Angriff bekannt, auszer die Geschichte mit dem Schluesselaustausch.

Aber fuer deine Zwecke kann ich ein solches OpenBSD Gateway mit beliebigen clients (greenBow, oder windows' native Ipsec implementierung) nur waermstens empfehlen.
 
Es gibt zusatzsoftware von MS fuer Windows, welche IPSec beinhaltet.
Afaik supportet Windows ab Vista nativ IPSec.
 
Chromatin hat gesagt.:
Es gibt zusatzsoftware von MS fuer Windows, welche IPSec beinhaltet.
Afaik supportet Windows ab Vista nativ IPSec.
Zum Vergrößern anklicken....

Mag sein ich weis von Win7 dass es nativ IPSEC mit IKEv2 supported aber ich brauch ne Lösung für XP.

Bei Windows XP mit Boardmitteln ist IPSEC aber ein ziemliches gefrickel und funktioniert auch nur mit IPSEC over L2TP. Wen ich falsch liege bitte korregiert mich.


Dieser Client macht nen ordentlichen Eindruck und ist bei meinen Tests auch gut gelaufen allerdings nur IKEv1:
http://www.shrew.net/
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben