Opportunistisk IPsec kryptering

Nogle af den seneste tids nyheder har fået mig til igen at overveje hvordan man får mere af netværkstrafikken krypteret.

Jeg mener at opportunistisk kryptering må være vejen frem, og IPsec lyder som et passende lag at gøre det på, da man så kan kryptere alt IP trafik uafhængigt af protokol. Og en adversary kan dermed ikke vælge at kun forsøge at angribe specifikke protokoller.

Desværre er RFC 4322 ikke nær opportunistisk nok til min smag.

http://tools.ietf.org/html/rfc4322 skrev:

One possible answer is that since no useful authentication can be
done, none should be tried. This mode of operation is named
"anonymous encryption". An active man-in-the-middle attack can be
used to thwart the privacy of this type of communication. Without
peer authentication, there is no way to prevent this kind of attack.

Although it is a useful mode, anonymous encryption is not the goal of
this project. Simpler methods are available that can achieve
anonymous encryption only, but authentication of the peer is a
desirable goal. Authentication of the peer is achieved through key
distribution in DNS, leveraging upon the authentication of the DNS in
DNSSEC.

Min vurdering er at den bedste sikkerhed opnås ved at bruge samme protokol til både anonym og autentificeret kryptering. Målet er at en passiv adversary ikke kan se forskel på de to scenarier.

Det kræver at man bruger kryptering såfremt begge endepunkter understøtter det, og først når man har sat krypteringen op begynder man på at autentificere modparten.

For brugere af autentificeret kryptering vil sikkerheden principielt være uændret, men man vil være lidt mindre synlig, da den samlede mængde krypteret trafik ville stige.

For brugere af anonym kryptering vil sikkerheden være bedre, da aktive angreb vil være mindre sandsynligt. Den anonyme kryptering er sikker imod passive angreb men ikke imod aktive. Men systematiske aktive angreb vil blive opdaget, da adversary ikke kan vide om forbindelser der angribes bruger autentificeret kryptering, hvor alle forsøg på aktive angreb vil blive logget af et endepunkt.

Dermed vil en ganske lille procentdel af autentificeret kryptering give en betydelig forbedret sikkerhed, også for brugere af anonym kryptering. Men det forudsætter en protokol hvor adversary ikke kan skelne de to, før et aktivt angreb sættes ind.

Findes der en bedre løsning, som jeg ikke har kendskab til? Eller er det et problem som jeg skal løse?