Was ist Secure Neighbor Discovery Protokoll (SEND-Protokoll)?
Secure Neighbor Discovery Protocol (SEND-Protokoll) ist eine Sicherheitserweiterung des Neighbor Discovery Protocol (NDP), das in IPv6 zur Erkennung von Nachbarknoten auf der lokalen Verbindung verwendet wird.
NDP ermittelt die Link-Layer-Adressen anderer Knoten, sucht verfügbare Router, verwaltet Erreichbarkeitsinformationen, führt eine Adressauflösung durch und erkennt Adressduplex. SEND erweitert dieses unsichere Protokoll, indem es kryptographisch erzeugte Adressen (CGA) verwendet, um NDP-Nachrichten zu verschlüsseln.
Diese Methode ist unabhängig von IPSec, das normalerweise zum Sichern von IPv6-Übertragungen verwendet wird. Die Einführung von CGA trägt dazu bei, Nachbarschafts- / Anwerbungs- / Werbe-Spoofing, Fehler bei der Erkennung von Unerreichbarkeit von Nachbarn, DOS-Angriffe, Router-Anfragen und Werbe- und Replay-Angriffe zu neutralisieren.
Wenn es nicht gesichert ist, ist NDP anfällig für verschiedene Angriffe. Die ursprünglichen NDP-Spezifikationen forderten die Verwendung von IPsec zum Schutz von NDP-Nachrichten. Die Anzahl der manuell konfigurierten Sicherheitsanwendungen, die zum Schutz von NDP erforderlich sind, kann jedoch sehr groß sein, so dass dieser Ansatz für die meisten Zwecke nicht praktikabel ist.
Das SEND-Protokoll soll den Bedrohungen für NDP entgegenwirken. SEND ist in Umgebungen anwendbar, in denen die physische Sicherheit der Verbindung nicht gewährleistet ist (z. B. über WLAN) und Angriffe auf NDP problematisch sind. SEND verwendet CGAs, eine kryptografische Methode zum Binden eines öffentlichen Signaturschlüssels an ein IPv6. CGAs werden verwendet, um sicherzustellen, dass der Absender einer Neighbor Discovery-Nachricht der „Eigentümer“ der beanspruchten Adresse ist.
Ein öffentlich-privates Schlüsselpaar wird von allen Knoten generiert, bevor sie eine Adresse beanspruchen können. Eine neue NDP-Option, die CGA-Option, wird verwendet, um den öffentlichen Schlüssel und die zugehörigen Parameter zu übertragen. CGA wird gebildet, indem die niedrigstwertigen 64 Bits der 128-Bit-IPv6-Adresse durch den kryptographischen Hash des öffentlichen Schlüssels des Adresseigentümers ersetzt werden.
Die Nachrichten werden mit dem entsprechenden privaten Schlüssel signiert. Nur wenn die Quelladresse und der öffentliche Schlüssel bekannt sind, kann der Verifizierer die Nachricht von dem entsprechenden Absender authentifizieren.
Das SEND-Protokoll benötigt keine Public-Key-Infrastruktur. Gültige CGAs können von jedem Absender generiert werden, einschließlich eines potenziellen Angreifers, sie können jedoch keine vorhandenen CGAs verwenden. Öffentliche Schlüsselsignaturen schützen die Integrität der Nachrichten und authentifizieren die Identität derjenigen, die sie senden. Die Berechtigung eines öffentlichen Schlüssels wird über eine Anzahl von Prozessen abhängig von der Konfiguration und dem Typ der zu schützenden Nachricht festgelegt.