ike-scan

Découvrir et identifier les hôtes IKE (serveurs VPN IPsec)

Table des matières

• Construction et installation
• Aperçu
• Utilisation
• Détails d'implémentation
  • Saisie d'hôtes et besoins en mémoire
  • Limitation du débit
  • Génération de cookies et identification de l'hôte distant
  • Détails des paquets IKE
  • Empreinte digitale par backoff
• Sortie du programme
• Exemples
• Plateformes supportées
• Lectures complémentaires et RFC
• Informations de contact

Construction et installation

ike-scan utilise les outils standard GNU autoconf et automake, donc l'installation se fait normalement :

• Exécutez git clone https://github.com/royhills/ike-scan.git pour obtenir le code source du projet
• Exécutez cd ike-scan pour entrer dans le répertoire source
• Exécutez autoreconf --install pour générer un fichier ./configure viable
• Exécutez ./configure ou ./configure --with-openssl pour utiliser les bibliothèques OpenSSL
• Exécutez make pour compiler le projet
• Exécutez make check pour vérifier que tout fonctionne comme prévu
• Exécutez make install pour installer (vous aurez besoin de root ou sudo pour cette partie)

Si vous prévoyez d'effectuer un cassage de clé pré-partagée, vous devriez configurer ike-scan pour utiliser les fonctions de hachage OpenSSL plutôt que ses fonctions intégrées, car celles d'OpenSSL sont normalement plus rapides. Pour ce faire, assurez-vous d'avoir les fichiers d'en-tête et les bibliothèques OpenSSL installés, puis exécutez configure avec ./configure --with-openssl. Que vous utilisiez OpenSSL ou non n'affecte pas la fonctionnalité d'ike-scan, seulement la vitesse du cassage de clé pré-partagée avec psk-crack.

Certains systèmes d'exploitation installent les en-têtes et bibliothèques OpenSSL par défaut ; d'autres exigent d'installer un package optionnel, par exemple sur Debian Linux vous devez installer le package libssl-dev. Sinon, vous pouvez télécharger et installer l'archive OpenSSL depuis http://www.openssl.org/

Il devrait se compiler sur la plupart des systèmes d'exploitation de type Unix modernes. Il fonctionne sur Windows avec Cygwin et peut être utilisé comme exécutable Windows autonome lorsque cygwin1.dll est présent.

Si vous utilisez le package binaire Windows-32, veuillez également lire le fichier README-WIN32 qui détaille les différences lors de l'exécution sur la plateforme Windows.

Le programme est connu pour se compiler et fonctionner sur Linux, FreeBSD, OpenBSD, NetBSD, Win32/Cygwin, Solaris, MacOS X, HP Tru64, HP-UX, et SCO OpenServer. Pour plus de détails, voir la section « PLATEFORMES SUPPORTÉES » ci-dessous.

Aperçu

ike-scan découvre les hôtes IKE et peut aussi les identifier par leur empreinte digitale en utilisant le motif de retransmission avec backoff.

ike-scan peut effectuer les fonctions suivantes :

• Découverte Déterminer quels hôtes dans une plage IP donnée exécutent IKE. Cela se fait en affichant les hôtes qui répondent aux requêtes IKE envoyées par ike-scan.
• Empreinte digitale Déterminer quelle implémentation IKE les hôtes utilisent, et dans certains cas déterminer la version du logiciel qu'ils exécutent. Cela se fait de deux manières : d'une part par empreinte digitale par backoff UDP qui consiste à enregistrer les temps des paquets de réponse IKE des hôtes cibles et à comparer le motif de retransmission avec backoff observé aux motifs connus ; et d'autre part par empreinte digitale Vendor ID qui compare les charges utiles Vendor ID des serveurs VPN avec les motifs de Vendor ID connus.
• Énumération de transforms Trouver quels attributs de transform sont supportés par le serveur VPN pour la phase 1 d'IKE (par exemple algorithme de chiffrement, algorithme de hachage, etc.).
• Énumération d'utilisateurs Pour certains systèmes VPN, découvrir les noms d'utilisateurs VPN valides.
• Cassage de clé pré-partagée Effectuer un cassage de mot de passe hors ligne par dictionnaire ou force brute pour le mode agressif IKE avec authentification par clé pré-partagée. Cela utilise ike-scan pour obtenir le haché et autres paramètres, et psk-crack (qui fait partie du package ike-scan) pour effectuer le cassage.

Le concept d'empreinte digitale par backoff de retransmission est discuté plus en détail dans le document sur l'empreinte digitale UDP backoff qui devrait être inclus dans le kit ike-scan sous UDP Backoff Fingerprinting Paper.

Le programme envoie des requêtes IKE phase 1 (mode principal ou mode agressif) aux hôtes spécifiés et affiche toutes les réponses reçues. Il gère les tentatives et retransmissions avec backoff pour faire face à la perte de paquets. Il limite également la bande passante utilisée par les paquets IKE sortants.

IKE est le protocole Internet Key Exchange qui est le mécanisme d'échange de clés et d'authentification utilisé par IPsec. Presque tous les systèmes VPN modernes implémentent IPsec, et la grande majorité des VPN IPsec utilisent IKE pour l'échange de clés. Le mode principal est l'un des modes définis pour la phase 1 de l'échange IKE (l'autre mode défini est le mode agressif). La RFC 2409 section 5 spécifie que le mode principal doit être implémenté, donc toutes les implémentations IKE sont censées supporter le mode principal. Beaucoup supportent également le mode agressif.

Utilisation

Pour voir les informations d'utilisation actuelles, exécutez le binaire ike-scan comme suit :ike-scan -h

Additional documentation is provided on the NTA Monitor Wiki

To report bugs or suggest new features, please create a GitHub issue.

Implementation Details

Host Input and Memory Requirements

The hosts to scan can be specified on the command line or read from an input file using the --file=<fn> option. The program can cope with large numbers of hosts limited only by the amount of memory needed to store the list of host_entry structures. Each host_entry structure requires 45 bytes on a 32-bit system, so a class B network (65534 hosts) would require about 2.8 MB for the list. The hosts can be specified as either IP addresses or hostnames, however the program will store all hosts internally as IP addresses and will only display IP addresses in the output (ike-scan calls gethostbyname(3) to determine the IP address of each host, but this can be disabled with the --nodns option).

Rate Limiting

The program limits the rate at which it sends IKE packets to ensure that it does not overload the network connection. By default it uses an outbound data rate of 56000 bits per second. This can be changed with the --bandwidth option.

If you want to send packets at a specific rate, you can use the --interval option.

Cookie Generation and Remote Host Identification