암호화가 네트워크 작동 방식을 파괴하지 않는 이유는 무엇입니까?

8

암호화 작동 방식에 대해 매우 기본적으로 알고 있습니다.

내 지식 은 CISCO 과정 에서 CCNA 발견 수준 에 대한 지식입니다 ( 다양한 에피소드에서 " 지금 보안 "에 관한 Steve Gibson 및 Leo Laporte 와 같은 몇 가지 다른 것들과 함께 ).

내 질문은 :

암호화가 패킷 / 프레임에서 소스 IP / Mac 대상 및 MAC 주소의 네트워킹 개념을 위반하지 않습니까?

때문에...

분명히 "암호화"(키) 데이터는 데이터와 함께 전송 될 수 있지만 스위치는 데이터를 지시하고 내부 네트워크에서 MAC 테이블을 작성할 수없는 것과 함께 보안을 손상시킵니다.

이제 내가 아는 것에 대해 몇 가지 가정을 할 것입니다. 어느 한 쪽:

스위치는 패킷 IP 및 MAC 주소의 캡슐화 된 헤더에있는 내용을 사용할 수 있으며, 이전 연결에서 알려진 데이터와 함께 소스 및 대상 프레임 MAC 주소로 캡슐화 된 패킷의 암호화를 해제 할 수 있습니다.
라우터는 패킷 / 이전 연결 패킷 데이터의 내용을 사용하여 소스 및 대상 IP 주소로 캡슐화 된 패킷의 암호화를 해제 할 수 있습니다.
인터넷에서 암호화의 전체 개념은 불가능합니다 (분명히 사실이 아닙니다)
소스 및 대상 MAC / IP는 암호화 된 패킷에 대해 암호화되지 않은 상태로 전송됩니다. (이 경우 중간자 (man-in-the-middle)가 모든 데이터를 캡처하고 기록한 다음 암호를 해독하기 위해 키를 강제로 입력하는 데 많은 시간을 할애 할 수 있습니까?)

그렇지 않으면, 내 가정은 어떤 이유로 가짜입니다 (왜 가짜입니까?).

이 질문은이 과정을 학습함으로써 온 전적으로 이론적 인 지식에서 비롯된 것이므로 분명한 내용을 생각한다고 생각하더라도 절대로 기꺼이 원하는만큼 자세히 설명해주십시오. 나는 실제적인 문제가 있기 때문에 순수한 학문적 이유 / 강렬한 호기심에서 이것을 요구하고 있습니다.

— 디마 티그
소스

그들이 맞습니다. 데이터 만 암호화되며 (응용 프로그램 계층) 전송 계층도 가능합니다 (한 번 세션이 설정 됨). 링크 계층 암호화는 다르게 작동합니다 (WPA2 등 또는 IPsec (?) 참조). IP 및 mac 주소를 숨기려면 (신뢰할 수있는) 익명 프록시 또는 그 밖의 것을 거쳐야합니다.

— conspiritech

5

귀하의 가정 # 4는 부분적으로 정확합니다. SSL / TLS, IP 주소 및 MAC 주소와 같은 기술에서 대부분 암호화되지 않은 상태로 전송됩니다. 보다 구체적으로, OSI 네트워킹 모델을 살펴보면 IP 주소는 레벨 3의 일부이고 MAC 주소는 레벨 2의 일부인 반면 SSL / TLS는 레벨 4입니다. 대부분의 암호화 기술은 주소 지정이 가능하도록 레벨 3 이상에서 작동합니다. 표준 라우터 및 스위치에서 읽습니다.

중간 문제를 해결하기 위해 암호화 기술은 세션을 시작하고 암호화하기 전에 일종의 인증을 제공해야합니다. SSL / TLS 예제에서 신뢰할 수있는 인증 기관 (예 : Verisign)이 제공 한 인증서 사용이 인증에 사용됩니다.

— 무겁게
소스

6

원치 않는 세부 사항으로 이동 : 정확히 우려하는 이유 때문에 암호화는 전송 계층 이상에서 발생합니다. 전송 계층은 IP 및 기타 주소 지정 체계 바로 위에있는 계층입니다. 이는 데이터가 하위 계층에 속하기 때문에 이러한 프로토콜에 필요한 정보가 암호화되지 않았 음을 의미합니다.

예를 들어, TLS 및 해당 선행 SSL은 전송 계층에서 암호화합니다. 즉, 암호화되지 않은 유일한 데이터는 IP 헤더입니다.

한편, 자주 사용하는 전자 메일 프로그램에서 전자 메일을 암호화하기로 선택하면 실제 전자 메일 메시지 만 암호화되고 IP, TCP 및 SMTP 헤더는 모두 암호화되지 않습니다. 이 메시지는 TLS 연결을 통해 전송 될 수 있습니다. 그런 다음 TLS는 TCP 및 SMTP 부분을 암호화하여 메시지 본문을 효과적으로 두 번 암호화합니다. 암호화되지 않은 IP 헤더는 컴퓨터에서 전자 메일 서버로 가져 오기에 충분합니다. 그런 다음 전자 메일 서버는 TLS의 암호를 해독하여 이것이 TCP SMTP 메시지임을 알 수 있습니다. 그런 다음 SMTP 프로그램에이를 제공하여 올바른받은 편지함으로 보낼 수 있습니다. 일단 사용자의 이메일 리더는 메시지 본문을 해독하는 데 필요한 정보를 갖게됩니다.

— jdmichal
소스

이메일 패킷이 정확히 암호화되지 않은 곳은 어디입니까? IP 레이어 만 암호화되지 않은 경우 이메일이 전송되는 내부 네트워크에 들어가면 기본 게이트웨이 라우터 이외의 다른 것을 전달할 수 없습니까? (명확하게

— 말해서

명확히하기 위해 위의 답변을 편집했습니다. 도움이되었는지 알려주십시오.

— jdmichal

5

숫자 4는 사실입니다. 암호화 된 패킷이 전송되면 소스 및 대상 주소가 아닌 데이터가 암호화됩니다.

이 SSH 로그인 패킷을 살펴보십시오.

대체 텍스트

암호화 된 요청 패킷으로 표시됩니다. 보시다시피 소스 및 대상 세부 정보가 표시됩니다.

— 존 T
소스

jdmichal의 답변에서 내 질문을 살펴볼 수 있습니까? 내부 네트워크 통과에는 MAC 주소가 필요합니다. 기본 게이트웨이 라우터 수준에서 모두 처리됩니까? 그렇다면 패킷이 해당 라우터와 다른 모든 홉을 어떻게 구분합니까?

— Dmatig

2

WEP 및 WPA는 무선 네트워크에 대한 질문 태그입니다. 이 프로토콜은 네트워크 계층의 암호화를 처리하지만 네트워크에없는 사람들이 네트워크가 전송하는 내용을 볼 수 없도록하는 데 사용됩니다.

무선 네트워크의 모든 노드는 암호화 키를 알아야 네트워크의 라우터가 모든 트래픽을 디코딩 할 수 있습니다. 암호화 된 무선 네트워크에 연결된 모든 노드가 해당 네트워크의 모든 트래픽을 스니핑 할 수 있음을 의미합니다.

따라서 WEP 및 WPA는 귀하와 동일한 네트워크에있는 악의적 인 사용자로부터 보호하지 않습니다. 트래픽을 숨기려면 다른 암호화 계층을 사용해야합니다.

편집하다:

802.11i (일명 WEP2)를 읽은 후에 는 브로드 캐스트 및 멀티 캐스트 패킷 (그룹 임시 키)에 별도의 키를 사용하는 것을 알 수 있습니다. 유니 캐스트 트래픽은 페어 와이즈 트랜지언트 키 (Pairwise Transient Key)를 사용하여 암호화됩니다.이 키는 기지국과 하나의 무선 장치 간의 트래픽에 사용되는 키입니다. WEP도 이런 식으로 작동합니다. 이는 두 무선 장치가 동일한 키를 공유하지 않기 때문에 서로의 트래픽을 읽을 수 없음을 의미합니다.

WEP는 모든 노드에 대해 하나의 공유 키를 사용한다고 생각합니다.

어쨌든 회사 환경은 종종 무선 링크 위에 VPN 기술을 사용합니다. 이 추가 된 암호화 계층은 무선 장치에서 VPN 서버까지 보안을 제공합니다. 무선 네트워크가 스니핑 되어도 VPN 패킷은 계속 암호화됩니다.

— 케빈 판코
소스

흠. 저는 정말로, 지금 SU에서 합법적 인 "단일 질문"이 무엇인지에 대한 경계를 넓히고 있습니다. 그러나. 내가 완전히 내부 네트워크를 가지고 있다고 가정 해 봅시다. IT는 ISR (Intergrated Services Router)을 중앙 지점 (허브 / 스위치 등) 대신 사용합니다. 라우터가 암호화를 제공한다는 것을 알고 있습니다. 외부 트래픽에 대해서만 암호화를 제공합니까? 감사.

— Dmatig

질문을 이해할 수 없습니다. 나는 시스코 마케팅 용어에 올라 있지 않습니다. :) 내부에 암호화되지 않은 네트워크가 있고 외부에 VPN 링크가 있다고 생각합니까? 그렇다면 대답은 '예'입니다.

— Kevin Panko

문제 없습니다 케빈. 나는 지금이 과정의 중간 쯤에있다. 그리고 나의 질문은 그 외의 다른 것의 틀에서 벗어나있다. 최대한 단순화하겠습니다. 모뎀 ISP에 "linksys"라우터가 연결되어 있다고 가정하겠습니다. 나는 영국에 있는데, 그것은 당신의 국가 ISP와 비슷하게 작동 할 것입니다). 다른 한편으로, 당신은 많은 고객이 있습니다 (5라고 말하십시오). 일부 암호화를 사용하여 무선 연결을 설정했습니다. 좀 더 구체적인 아이디어를 원한다면 WPA와 같은 말을

— 하자

나는 char limit에 도달했습니다. ^ 그래서 linksys 라우터가 정보를 해독 할 수 있도록 수집했기 때문에 전체 내부 네트워크 (표준, 링크시스 홈 네트워크 라우터 뒤에있는 모든 것)는 내 홈 네트워크에있는 모든 것을 자유롭게 읽을 수 있습니까? 회사 환경에서이 중 어느 것이 "안전"한지에 대해서는 약간 혼란스러워합니다. 외부 링크는 환영합니다.

— Dmatig

1

Linksys 홈 라우터는 네트워크 스위치, NAT 기능이있는 라우터 및 무선 액세스 포인트입니다. 네트워크 스위치의 역할은 MAC 주소를 기반으로 이더넷 프레임을 대상으로 전송하는 것입니다. 이렇게하면 유선 네트워크 장치가 처리하지 않은 트래픽을 볼 수 없습니다. 물론 방송 프레임은 모든 장치로 전송됩니다. 또한 스위치가 인식하지 못하는 MAC 주소로 주소가 지정된 프레임 (MAC를 보지 못했음)도 모든 장치로 전송됩니다.

— 케빈 판코