Yüksek basarımlı yazılım tabanlı ıpsec güvenlik geçidi tasarımı
High performance software based IPSEC security gateway design
Yazar: URAL ERDEMİR
Danışman: Y.DOÇ.DR. FEZA BUZLUCA
İstanbul Teknik Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2006
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Kriptoloji = Cryptology

Özet:
Veri haberlesmesinde güvenlik konusu günümüzde üzerine en çok arastırma yapılankonulardan biri haline gelmistir. Bugün bilgisayar aglarında kullanılan temel iletisimprotokolü IP protokolüdür ve IPSec, ag katmanında IP protokolü için tasarlanmısstandart güvenlik mimarisidir. Artan güvenlik gereksinimleri ve IPv6 ile beraber IPSec'in kullanımı dünya genelinde daha da artacagı düsünülmektedir. IPSec' in artankullanımı sonucunda IPSec güvenlik geçitlerinin basarımları konusunda bugün içindüsünülmeyen yeni problemler ve arastırma konuları ortaya çıkacaktır. IPSec güvenlikpolitika veritabanlarının, kullanıcı sayısı ile orantılı olarak büyümesi, güvenlik politikaveritabanlarında paketlerin eslesmesini zorlastırarak, IPSec basarımında ciddi bir darbogaz olusturacaktır. Bu konuda çesitli çözümler düsünülse bile günümüz agcihazlarının statik ve degisime kapalı tasarımları çözümlerin gerçeklestirilmesinizorlastırmaktadır. Ag cihazlarının mimarilerinin donanım tabanlı olması bununolmasının en büyük sebebidir. Ancak gelisen teknoloji sayesinde bugün islemci hızlarıçok yüksek mertebelere ulasmıs ve bu gibi sistemlerin yazılım tabanlı olarak da yüksekbasarım göstermesine imkan vermistir. Bu tez çalısması kapsamında öncelikle yüksekbasarımlı ve yazılım tabanlı IPSec' yapan bir güvenlik geçidi tasarlanıp gerçeklenmistir.Tasarım nesneye dayalı bir biçimde, modülerlik ve esneklik ön planda tutularakyapılmıstır. Gerçeklenen modüler ve esnek yapı sayesinde yeni fikirlerin kısa süredegerçeklenip sonuçlarının alınabilecegi örnekler ile gösterilmistir. IPSec' protokolündegüvenlik politikası veritabanının boyutlarının büyümesinin cihaz basarımına etkileritest sonuçları gösterilmis. Bu problem için çesitli çözümler önerilmis ve sonuçları ortayakonmustur. Bu çalısma sonucunda karar tablosunun boyutundan çok az etkilenenyüksek basarımlı ve yazılım tabanlı modüler bir güvenlik geçidi gerçeklenmistir.Normal bir PC donanımı üzerinde yapılan testler sonucunda 16.000 kural sayısında bileyaklasık 700.000 pbs gibi çok yüksek bir basarım elde edilmistir.Anahtar Kelimeler: IP, IPSec, Sanal Özel Ag, Kriptoloji, ESP, Click, ModülerYönlendirici,Yazılım Kalıpları, Güvenlik Geçidi,Nesneye Dayalı Tasarım Modelleme

Abstract:
Nowadays, security has become one of the most interesting research issues in datacommunication, especially in computer networks where resource and time sharing isvery common. There exist many standard systems designed for protection of data andpreventing attacks. Today IP is the most popular protocol of the computer networks.Because security is not inherently built into the protocols of IP, securing IP traffic haslargely been a chore for the higher layers. IPSec provides the major security services.After its proven success in IPv4 and by making IPSec a mandatory part of IPv6, it isexpected that IPSec will be much more widely used. The bandwidth requirement andnumber of nodes in network is growing exponentially, these will bring up new problemsand research issues. With increasing number of rules in the security policy databases,packet classification will be one of the significant performance bottlenecks for IPSecsecurity gateways. Even there exist some suggestions; because of closed, static, andinflexible designs applying them is very difficult and mostly impossible especially forhardware based network processors. In this thesis, we designed a high performance, itsobject oriented software based IPSec security gateway. The most significant features ofour design are its modularity, extensibility and flexibility. It is shown that, new ideas canbe integrated easily with these features. Also in this study, a new scheme for IPSec policysearch presented and its performance measured. Designed software runs in the Linuxkernel and for a size of 16,000-rules security policy database, its maximum IPSecforwarding rate is 700,000 packets per second on a conventional PC hardware.Keywords: IPSec, VPN, Cryptology, Click, Modular Router, Software Patterns, OOA/D