Corso di Reti di calcolatori e Sicurezza

1. Corso di Reti di calcolatori e Sicurezza di Pamela Peretti Prof. Stefano Bistarelli

2. Introduzione La grande diffusione di dispositivi portatili ha favorito la domanda d’accesso ad Internet indipendentemente dalla tecnologia e dal punto d’accesso stesso. La classica ipotesi per cui un terminale si vede assegnato sempre lo stesso punto di accesso alla rete globale non è più sufficiente a rispondere all’esigenza di mobilità degli individui.

3. Mobilità Ma chi è un utente mobile? È forse un individuo che si connette ad una rete wireless e poi si sposta all’interno di un edificio?

4. Mobilità O è un utente che vuole mantenere attiva la propria connessione wireless attraverso diverse reti mentre viaggia da Pescara a Milano?

5. Mobile IP Sviluppato all’interno dell’Internet Engineering Task Force, Mobile IP è un protocollo che permette di gestire la mobilità degli host a livello di rete in maniera indipendente dalle caratteristiche delle singole sotto-reti d’accesso. Il principio di funzionamento del protocollo è semplice e deriva dall’esigenza di sopperire ai limiti imposti, dalla pila protocollare TCP/IP, nei confronti della mobilità.

6. Mobile IP • Obbiettivi di Mobile Ip sono: • Trasparenzain quanto la mobilità è trasparente alle applicazioni ed ai protocolli di livello di trasporto, ad esempio le connessioni TCP non terminano in seguito ad una variazione del punto d’accesso ad Internet da parte degli host. • Compatibilitàin modo tale che un host mobile può interagire con uno fisso anche se quest’ultimo non implementa lo standard Mobile IP. • SicurezzaMobile IP fornisce meccanismi per garantire l’autenticità dei messaggi scambiati.

7. Casa Moreno è un ragazzo che abita con i suoi genitori… Genitori Moreno Entità architetturali

8. Entità architetturali …ma a Moreno piace viaggiare quindi è costretto a cambiare spesso casa e quindi anche il suo indirizzo spesso cambia…

9. Casa Nuovo indirizzo Entità architetturali ?

10. Home Network Foreing Network Indirizzo permanente Mobile Node COA Home Agent Foreing Agent Entità architetturali Ogni nodo mobile è caratterizzato da due indirizzi IP: il primo, detto home address, è permanente e viene assegnato dall’Home Network, il secondo, detto care-of address (COA), è temporaneo e rispecchia la posizione corrente del Mobile Node all’interno di una Foreign Network.

11. Casa Nuovo indirizzo Esempio instradamento indiretto

12. Instradamento indiretto Indirizzo permanente Mobile Node Foreing Agent HomeAgent

13. Instradamento indiretto • Vantaggio • Trasparenza in quanto il corrispondente non si accorge dello spostamento del Mobile node da una rete all’altra dato che continua a inviare i pacchetti verso l’Home Agent. • Svantaggio • Problema dell’instradamento triangolare

14. Casa Nuovo indirizzo Esempio instradamento diretto

15. Instradamento diretto Foreing Agent HomeAgent

16. Instradamento diretto • Vantaggio • Superamento del problema dell’instradamento triangolare Svantaggio • Introduzione di complessità aggiuntiva

17. Descrizione del protocollo • Le principali funzioni supportate dallo standard Mobile IP sono: • Agent Advertisement Attraverso messaggi denominati Agent Advertisement, i mobility agent (Home Agent e Foreign Agent) rendono nota la propria disponibilità a fornire un servizio. • Registration Permette ad un Mobile Node di registrare il care-of address, ottenuto in una foreing network, con il proprio Home Agent. • Tunneling A seguito della registrazione di un Mobile Node, l’Home Agent deve intercettare i datagrammi destinati al Mobile Node (avranno il campo destination address coincidente con l’home address), effettuare un’opportuna procedura d’incapsulamento ed inviarli verso il care-of address. Il percorso seguito da un datagramma incapsulato è detto tunnel.

18. Agent Advertisement I mobility agent devono rendere nota la propria disponibilità a fornire un servizio e devono “pubblicizzarla”. Questo è possibile attraverso una procedura denominata Agent Discovery in base alla quale il mobility agent deve mandare periodicamente in broadcast un messaggio ICMP di scoperta dei router su tutti i link cui è connesso, tali messaggi prendono il nome di Agent Advertisement Message. Mobility Agent

19. Specifica il tempo di validità del messaggio 16 0 8 24 Un Foreign Agent deve pubblicizzare almeno un care-of address type = 9 c hecksum code = 0 campi standarddi ICMP router address length type = 16 sequence # RBHFMGV registration lifetime reserved Estensione deimobilitity agentadvertisement R: è settato per richiedere al nodo mobile di registrarsi 0 o più care-of addresses H/F: è settato in base alla funzione svolta dal mobility agent se svolge la funzione di Home Agent o Foreing Agent. Agent Advertisement

20. Procedura di registrazione La procedura di registrazione è un meccanismo flessibile che permette al Mobile Node di comunicare informazioni di raggiungibilità al proprio Home Agent. In particolare attraverso tale meccanismo il Mobile Node può: • richiedere un servizio di reinstradamento, quando si trova in una Foreign Network, • può comunicare il care-of address, • può rinnovare una registrazione ed infine può deregistrarsi quando torna nella propria Home Network.

21. Registration replayrilanciata al Mobile Node Registration replay Registration requestrilanciata all’Home Agent Registration request Procedura di registrazione

22. Contesti di sicurezza Per garantire l’autenticità dei messaggi di registrazione ogni coppia di entità architetturali (MN-HA, MN-FA, FA-HA) può condividere un “Mobility Security Association”, ovvero un’estensione da applicare a tali messaggi. Ogni estensione conterrà una Security Parameter Index(SPI), cioè un indice dipendente dal contesto di sicurezza utilizzato.

23. Contesti di sicurezza Utilizzo di un Timestamp Il Mobile Node che desidera registrarsi invierà un Registration Request Messagecon il campo Identification contenente una “fotografia” dell’istante in cui invia il messaggio (il Timestamp). In seguito alla ricezione di tale messaggio, l’Home Agent dovrà verificare che il campo Identification contenga un valore “simile” al proprio, e solo in quel caso la registrazione va a buon fine.

24. Contesti di sicurezza Utilizzo di un “pseudorandom number” Il Mobile Node in corrispondenza di ogni messaggio di registrazione inserirà nei 32 bit meno significativi del campo Identification un valore generato casualmente e copierà nella restante parte i 32 bit più significativi del campo Identification contenuto nell’ultimo Registration Reply Message ricevuto. Procedendo in questo modo entrambe le entità architetturali invieranno un valore che sarà controllato nel successivo messaggio ricevuto.

25. Agent Advertisement COA:79.129.13.2 … Registration Request Registration Request COA:79.129.13.2 HA: 128.119.40.7MA: 128.119.40.186 Lifetime: 9999 identification: 714 encapsulation format … COA:79.129.13.2 HA: 128.119.40.7MA: 128.119.40.186 Lifetime: 9999identification:714 … Registration Reply HA: 128.119.40.7MA: 128.119.40.186Lifetime: 4999Identification: 714encapsulation format… Registration Reply HA: 128.119.40.7MA: 128.119.40.18 Lifetime: 4999 Identification: 714 …. Esempio registrazione home agent HA: 128.119.40.7 foreign agent COA: 79.129.13.2 Mobile agentMA: 128.119.40.186

26. Procedura di Tunneling Quando il Mobile Node accede ad Internet dalla propria Home Network opera senza l’ausilio del protocollo Mobile IP, viene quindi considerato come un qualsiasi host fisso. Quando invece è connesso ad una Foreign Network le tre entità architetturali (Home Agent, Foreign Agent e Mobile Node) devono cooperare fra di loro per garantire la corretta consegna dei datagrammi.

27. New Ip header Ip header Ip header Ip payload Ip payload IPoverIP IPoverIP è l’algoritmo standard utilizzato da Mobile IP per incapsulare i datagrammi. L’incapsulamento si ottiene inserendo, prima del datagramma originario, un nuovo header IP. Ad eccezione del campo TTL che viene decrementato di una unità, l’header interno non subisce nessun tipo di modifica. Per quanto riguarda gli indirizzi IP presenti nell’header esterno questi rispecchieranno il mittente ed il destinatario del datagramma (generalmente Home Agent e Foreign Agent).

28. Tunneling Indirizzo permanente128.119.40.186 Indirizzo permanente128.119.40.186 HomeAgent ForeingAgent Tunnel Care-of-address79.129.13.2 • L’home Agent riceve un datagramma destinato al Mobile Node allora lo incapsula in un nuovo datagramma (usando l’algoritmo IPoverIP) e lo immette nel tunnel indirizzandolo al COA (79.129.13.2) • Il Foreing Agent riceve il datagramma lo disincapsula e rilancia il datagramma originale al Mobile Node (all’indirizzo 128.119.40.186)

29. Riferimenti CNR IASI NetLab Tesi di Laurea in Ingegneria delle Telecomunicazioni “Progettazione ed implementazionedi un sistema AAA per Mobile IP” di Paolo Pucciarini. Libro di testo Internet e reti di calcolatori Kurose e Ross della McGrow-Hill. Le slide sono on-line all’indirizzo http://tecweb.unich.it/cleis nella pagina del corso di Reti degli Elaboratori e Sicurezza.