внезапное, про ipsec

Sergey Anohin написал(а) к Victor Sudakov в Mar 15 13:30:42 по местному времени:

Нello, Victor!

SA>> Скажи полностью синтакс куда и что вписать надо, я дебаг вpублю. Бегло
SA>> почитал маны но не осилил с утpа :)
VS> Я в racoon.conf попробовал заменить "3des" на "aes". Результат странный. Связь есть. Но в "setkey -D" вместо
VS> "E: 3des-cbc" стало "E: rijndael-cbc", а никакой не aes.

Их там целых 3 штуки 3des, все три менять? :)

(pts/3)[root@server:/usr/local/etc/racoon]# cat ./racoon.conf
path include "/usr/local/etc/racoon" ;
path presharedkey "/usr/local/etc/racoon/psk.txt" ;
log info;
padding {
maximum_length 20;
randomize off;
strict_check off;
exclusive_tail off;
}

listen
{
isakmp 85.113.221.175 [500];
isakmp_natt 85.113.221.175 [4500];
strict_address;
}

timer
{
counter 5;
interval 20 sec;
persend 1;
phase1 30 sec;
phase2 15 sec;
}

remote anonymous {
exchange_mode main;
doi ipsec_doi;
situation identity_only;
generate_policy on;
proposal_check obey;
nat_traversal on;
dpd_delay 40;
passive on;
ike_frag on;
script "/usr/local/etc/racoon/teardown.sh" phase1down;
script "/usr/local/etc/racoon/teardown.sh" phase1dead;

proposal {
encryption_algorithm rijndael;
hash_algorithm sha1;
authenticationmethod pre_sharedkey;
dh_group 2;
}

proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authenticationmethod pre_sharedkey;
dh_group 2;
}

proposal {
encryption_algorithm 3des;
hash_algorithm md5;
authenticationmethod pre_sharedkey;
dh_group 2;
}

proposal {
encryption_algorithm des;
hash_algorithm sha1;
authenticationmethod pre_sharedkey;
dh_group 1;
}

proposal {
encryption_algorithm des;
hash_algorithm md5;
authenticationmethod pre_sharedkey;
dh_group 1;
}

}

sainfo anonymous {
lifetime time 14400 sec;
encryption_algorithm rijndael 256, blowfish 448, 3des;
authenticationalgorithm hmacsha1;
compression_algorithm deflate;
}

С наилучшими пожеланиями, Sergey Anohin.

--- wfido

Victor Sudakov написал(а) к Sergey Anohin в Mar 15 19:07:20 по местному времени:

Dear Sergey,

07 Mar 15 13:30, you wrote to me:

SA>>> Скажи полностью синтакс куда и что вписать надо, я дебаг вpублю.
SA>>> Бегло почитал маны но не осилил с утpа :)
VS>> Я в racoon.conf попробовал заменить "3des" на "aes". Результат
VS>> странный. Связь есть. Но в "setkey -D" вместо "E: 3des-cbc" стало
VS>> "E: rijndael-cbc", а никакой не aes.

SA> Их там целых 3 штуки 3des, все три менять? :)

У тебя там что-то всего много, у меня проще:


=== Cut ===
# by VAS


# the file should contain key ID/key pairs, for pre-shared key authentication.
path presharedkey "/usr/local/etc/racoon/psk.txt" ;


remote anonymous
{
#exchange_mode main,aggressive,base;
exchange_mode main,base;

#my_identifier fqdn "server.kame.net";
#certificate_type x509 "foo@kame.net.cert" "foo@kame.net.priv" ;

lifetime time 24 hour ; # sec,min,hour

#initial_contact off ;
#passive on ;

# phase 1 proposal (for ISAKMP SA)
proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authenticationmethod pre_sharedkey ;
dh_group 2 ;
}

# the configuration makes racoon (as a responder) to obey the
# initiator's lifetime and PFS group proposal.
# this makes testing so much easier.
proposal_check obey;
}

# phase 2 proposal (for IPsec SA).
# actual phase 2 proposal will obey the following items:
# - kernel IPsec policy configuration (like "esp/transport//use)
# - permutation of the crypto/hash/compression algorithms presented below
sainfo anonymous
{
pfs_group 2;
lifetime time 8 hour ;
encryption_algorithm 3des ;
authenticationalgorithm hmacmd5 ;
compression_algorithm deflate ;
}

# EOF
=== Cut ===
Victor Sudakov, VAS4-RIPE, VAS47-RIPN
--- GoldED+/BSD 1.1.5-b20110223-b20110223

Alex Korchmar написал(а) к Sergey Anohin в Mar 15 16:37:29 по местному времени:

From: Alex Korchmar <noreply@linux.e-moe.ru>

Sergey Anohin <Sergey.Anohin@p1.f10.n5034.z2.fidonet.org> wrote:

SA> Их там целых 3 штуки 3des, все три менять? :)
ни одного. Это isakmp, который меня вообще не интересует.

SA> sainfo anonymous {
SA> lifetime time 14400 sec;
SA> encryption_algorithm rijndael 256, blowfish 448, 3des;
вот здесь должен быть один-единственный алгоритм - aes 256 (или 288, не знаю,
как правильно с точки зрения этой вонючки)
Но скорее всего можно не тратить время - оно не работает и не будет.
SA> authenticationalgorithm hmacsha1;
хм... оно еще и работает? Хотя, возможно, в хитровывернутых мозгах авторов,
это esp auth, а не ah.


> Alex

--- ifmail v.2.15dev5.4

Sergey Anohin написал(а) к Alex Korchmar в Mar 15 17:46:02 по местному времени:

Нello, Alex!

SA>> Их там целых 3 штуки 3des, все три менять? :)
> ни одного. Это isakmp, который меня вообще не интересует.

SA>> sainfo anonymous {
SA>> lifetime time 14400 sec;
SA>> encryption_algorithm rijndael 256, blowfish 448, 3des;
> вот здесь должен быть один-единственный алгоритм - aes 256 (или 288, не знаю,
> как правильно с точки зрения этой вонючки)
> Но скорее всего можно не тратить время - оно не работает и не будет.

на 288 ругань:
2015-03-07 17:34:56: ERROR: /usr/local/etc/racoon/racoon.conf:103: "288" invalid keylen 288
2015-03-07 17:34:56: ERROR: fatal parse failure (1 errors)

Поменял на вот это:
sainfo anonymous {
lifetime time 14400 sec;
# encryption_algorithm rijndael 256, blowfish 448, 3des;
encryption_algorithm aes 256;
authenticationalgorithm hmacsha1;
compression_algorithm deflate;
}

SA>> authenticationalgorithm hmacsha1;
> хм... оно еще и работает? Хотя, возможно, в хитровывернутых мозгах авторов,
> это esp auth, а не ah.

Показывает все равно не то :) Коннекчусь виндой:

85.113.221.175 2.94.182.182
esp mode=any spi=302007821(0x1200460d) reqid=0(0x00000000)
E: rijndael-cbc d48030ce 1a2f0566 188dfde0 aa6f22c8
A: hmac-sha1 902a4bf7 8086acbc efd119ff 254592b7 928f4ca9
seq=0x0000013a replay=4 flags=0x00000000 state=mature
created: Mar 7 17:36:39 2015 current: Mar 7 17:36:57 2015
diff: 18(s) hard: 3600(s) soft: 2880(s)
last: Mar 7 17:36:57 2015 hard: 0(s) soft: 0(s)
current: 68720(bytes) hard: 0(bytes) soft: 0(bytes)
allocated: 314 hard: 0 soft: 0
sadb_seq=1 pid=81069 refcnt=2
2.94.182.182 85.113.221.175
esp mode=transport spi=117229511(0x06fcc7c7) reqid=0(0x00000000)
E: rijndael-cbc 007856d7 312b6603 94a87245 b4241a8e
A: hmac-sha1 682858c2 dac5de20 1299298b 98e4f6ee 4c451309
seq=0x000003ac replay=4 flags=0x00000000 state=mature
created: Mar 7 17:36:39 2015 current: Mar 7 17:36:57 2015
diff: 18(s) hard: 3600(s) soft: 2880(s)
last: Mar 7 17:36:57 2015 hard: 0(s) soft: 0(s)
current: 118498(bytes) hard: 0(bytes) soft: 0(bytes)
allocated: 940 hard: 0 soft: 0
sadb_seq=0 pid=81069 refcnt=1

Вот дебаг установки соединения

http://pastebin.com/jvGQpCvu

Про aes что-то написано, но мне ничего полезного это не дало

С наилучшими пожеланиями, Sergey Anohin.

--- wfido

Sergey Anohin написал(а) к Victor Sudakov в Mar 15 17:47:57 по местному времени:

Нello, Victor!

SA>>>> Скажи полностью синтакс куда и что вписать надо, я дебаг вpублю.
SA>>>> Бегло почитал маны но не осилил с утpа :)
VS>>> Я в racoon.conf попробовал заменить "3des" на "aes". Результат
VS>>> странный. Связь есть. Но в "setkey -D" вместо "E: 3des-cbc" стало
VS>>> "E: rijndael-cbc", а никакой не aes.
SA>> Их там целых 3 штуки 3des, все три менять? :)
> У тебя там что-то всего много, у меня проще:

Я брал из какого-то примера, для коннектов из винды.

С наилучшими пожеланиями, Sergey Anohin.

--- wfido

Alex Korchmar написал(а) к Sergey Anohin в Mar 15 18:43:04 по местному времени:

From: Alex Korchmar <noreply@linux.e-moe.ru>

Sergey Anohin <Sergey.Anohin@p1.f10.n5034.z2.fidonet.org> wrote:

SA> Показывает все равно не то :) Коннекчусь виндой:
надеюсь, ты тут же перезапустил racoon? ;-) Это ключи шифрования,
в открытом виде.

SA> E: rijndael-cbc d48030ce 1a2f0566 188dfde0 aa6f22c8
мда, нету тут aes и близко, и ключ получился 128, самый короткий

SA> http://pastebin.com/jvGQpCvu
SA> Про aes что-то написано, но мне ничего полезного это не дало
это aes в ike. Он может даже и работает, его не ядро считает.

> Alex

--- ifmail v.2.15dev5.4

Serguei E. Leontiev написал(а) к Alex Korchmar в Mar 15 22:48:12 по местному времени:

From: "Serguei E. Leontiev" <leo@sai.msu.ru>

Привет Алексей,

От 4 марта 2015 г., 1:31:20 в fido7.ru.unix.bsd ты писал:
AK> Народ, а я правильно из чтения этой херни:
AK> http://tinyurl.com/pvqb9uz делаю вывод, что ipsec во freebsd
AK> вообще непригоден ни к какому практическому применению, если
AK> данные имеют хоть какую-то ценность, поскольку до сих пор не
AK> поддерживает AES-шифрование. Вообще. Никак. Даже в current.

Понял ты не совсем правильно. Там написано, что FreeBSD не поддерживает
комбинированные алгоритмы AES-GCM и AES-CTR (Combined Mode Algorithm). А
в старых, добрых режимах ESP(Encryption Algorithm+Integrity Algorithm),
AES поддерживается, как один из алгоритмов шифрования.

AK> данные имеют хоть какую-то ценность, поскольку до сих пор не

:) ИМХО не стоит доверять криптографическим системам, которые можно
свободно перевозить из страны в страну, ибо все они удовлетворяет
Вассенарским соглашеним о контроле над вооружениями, так или иначе. :)

--
Успехов, Сергей Леонтьев. E-mail: lse@CryptoPro.ru


--- ifmail v.2.15dev5.4

Serguei E. Leontiev написал(а) к Alex Korchmar в Mar 15 22:54:12 по местному времени:

From: "Serguei E. Leontiev" <leo@sai.msu.ru>

Привет Алексей,

От 4 марта 2015 г., 9:53:42 в fido7.ru.unix.bsd ты писал:
AK> Вот такое показать кто-нибудь сможет с bsd'шной системы?
AK> srv!root# setkey -D
AK> 172.16.3.5 172.16.3.6
AK> esp mode=tunnel spi=52648(0x0000cda8)
AK> reqid=0(0x00000000) E: aes-ctr 12345678 90123456
^^^^^^^

Конкретно FreeBSD, сейчас не поддерживает AES-CTR, но, например, режим
CBC для AES (rijndael) показать можно.

"bsd'шной систем" - OpenBSD AES-CTR, говорят, умеет и pfSense (на основе
FreeBSD) тоже умеет (это я проверял).

--
Успехов, Сергей Леонтьев. E-mail: lse@CryptoPro.ru


--- ifmail v.2.15dev5.4

Sergey Anohin написал(а) к Alex Korchmar в Mar 15 11:45:12 по местному времени:

Нello, Alex!

SA>> Показывает все равно не то :) Коннекчусь виндой:
> надеюсь, ты тут же перезапустил racoon? ;-) Это ключи шифрования,
> в открытом виде.

дык я когда обратно возвращал конфиг в исходное состояние перезапустил.

SA>> E: rijndael-cbc d48030ce 1a2f0566 188dfde0 aa6f22c8
> мда, нету тут aes и близко, и ключ получился 128, самый короткий

Странно, даже когда его в конфиге прописываешь его все равно нет :)

SA>> http://pastebin.com/jvGQpCvu
SA>> Про aes что-то написано, но мне ничего полезного это не дало
> это aes в ike. Он может даже и работает, его не ядро считает.

Ну я делал для Виндовых коннектов из под ната, для личных целей,
работает и хрен с ним

С наилучшими пожеланиями, Sergey Anohin.

--- wfido