Thesis (M.S. in Computer Science)--Naval Postgraduate School, June 2005. / Thesis Advisor(s): Cynthia E. Irvine, Thuy D. Nguyen. Includes bibliographical references (p. 107-109). Also available online.

H.323 och Session Initiation Protocol är två olika protokoll som kan användas t ex för att koppla upp röstsamtal eller videosamtal via Internet. Det är ofta önskvärt i en uppkoppling mellan två personer att personerna kan autentisera sig för varandra. Denna autentisering är avsedd att garantera identiteten på deltagarna i kommunikationen. Den här undersökningen jämför protokollens struktur vid autentiseringen och visar skillnader i säkerhetssynpunkt. Autentisering finns i 3 skikt i de båda protokollen. I applikationsskiktet skiljer sig protokollen åt då SIP använder sig av lösenord för autentisering medan H.323 både kan använda lösenord och en PKI-baserad lösning med utbyte av nyckelcertifikat. I transportskiktet och nätverksskiktet kan båda protokollen använda TLS och IPSec för autentisering och därmed är det ingen större skillnad på protokollen i dessa skikt.

This master thesis presents how the authentication is handled in two frequently used protocols. It is a study of the authentication procedure in IPsec and TLS where the techniques have been compared based on facts from literature and practical tests. The results in this thesis are to be used as part arguments for continuous development of cooperation between operators using Ericsson´s charging system and content providers. / I detta magisterarbete beskrivs hur autentisering går till i två vanligt förekommande protokoll. Det är en undersökning av autentiseringen i IPsec och TLS där teknikerna har jämförts utifrån litterära studier och praktiska tester. Resultaten i arbetet ska användas som delargument i den fortsatta utvecklingen av samarbeten mellan mobiltelefonoperatörer som använder Ericssons betalningssystem och externa leverantörer.

Today increasing numbers of individuals are working away from the ordinary workplace while still requiring access to the server located at the workplace. New technology is meeting this demand allowing for safe and secure transmission of the data over the Internet. The aim of this project is to analyse two protocols that are used within the Virtual Private Network (VPN) structure today, with the focus on installation, transmission speed on both Local Area Networks (LAN) and via telephone line and security aspects of the protocols. The results show that it is quite complicated to setup a VPN network and to get operational. The results also show that there are security compromises within the VPN structure that indicate that if proper precaution is not taken it may give a false sense of security, where the user believes that it is a secure communication when in reality it is not.

This dissertation thesis is focused on the optimization of bandwidth parameters for the transport of medical image data between medical devices and remote data storage. As real and fully functional structure, which will be analyzed in this work. It was selected system MeDiMed (Metropolitan Digital Imaging System in Medicine). The thesis examines the operation of the small health organizations and their modalities, which use this system for remote data archiving. Traffic analysis is then statistically processed. The thesis also deals with the analysis of increasing the security during accessing health system, and assesses its impact on transmitted data. The effect of setting the transmission parameters and the most widely used types of ciphers on the transfer speed is also compared.

The aim of this thesis is to draft and implement high-speed encryptor of network trafic with throughput 10Gb/s in one way. It has been implementated for FPGA Xilinx Virtex5vlx155t placed on card COMBOv2-LXT. The encryption is based on AES algorithm using 128 bit key length. The security protokol is ESP in version for protokol IPv4. Design is fully synthesizable with tool Xilinx ISE 11.3, however it is not tested on real hardware. Tests in simulation works fine.

Operating System fingerprinting is a reconnaissance method used by Whitehats and Blackhats alike. Current techniques for fingerprinting do not take into account tunneling protocols, such as IPSec, SSL/TLS, and SSH, which effectively `wrap` network traffic in a ciphertext mantle, thus potentially rendering passive monitoring ineffectual. Whether encryption makes VPN tunnel endpoints immune to fingerprinting, or yields the encrypted contents of the VPN tunnel entirely indistinguishable, is a topic that has received modest coverage in academic literature. This study addresses these question by targeting two tunnelling protocols: IPSec and SSL/TLS. A new fingerprinting methodology is presented, several fingerprinting discriminants are identified, and test results are set forth, showing that endpoint identities can be uncovered, and that some of the contents of encrypted VPN tunnels can in fact be discerned. / Dissertation (MSc (Computer Science))--University of Pretoria, 2005. / Computer Science / unrestricted

With the development of mobile (specifically: wide area cellular telephony) technology, users’ requirements have changed from the basic voice service based on circuit switch technology to a desire for high speed packet based data transmission services. Voice over IP (VoIP), a packet based service, is gaining increasing attention due to its high performance and low cost. However, VoIP does not work well in every situation. Today Network address translation (NAT) traversal has become the main obstruction for future VoIP deployment. In this thesis we analyze and compare the existing NAT traversal solutions. Following this, we introduce a VoIP over IPSec (VOIPSec) solution (i.e., a VoIP over IPSec virtual private network (VPN) scheme) and an extended VOIPSec solution mechanism. These two solutions were tested and compared to measure their performance in comparison to a version of the same Session Initiation Protocol (SIP) user agent running without IPSec. In the proposed VOIPSec solution, the IPSec VPN tunnel connects each of the SIP clients to a SIP server, thus making all of the potential SIP participants reachable, i.e., solving the NAT traversal problem. All SIP signaling and media traffic for VoIP calls are transmitted through this prior established tunnel. This VPN tunnel provides the desired universal means for VoIP traffic to traverse NAT equipment. Additionally, the IPSec VPN also guarantees the security of VoIP calls at the IP level. In order to improve the security level of media streams for the VOIPSec solution, we deployed and evaluated an extended VOIPSec solution which provides end-to-end protection of the real time media traffic. In this extended VOIPSec solution, we used SRTP instead of RTP to carry the media content. This extended method was shown to provide all of the advantages of VOIPSec and SRTP without any additional delay for the media traffic (as compared to the VoIPSec solution). Note that the solution proposed in this thesis may be of limited practical importance in the future as more NATs become VoIP capable; but the solution is currently essential for facilitating the increasing deployment of VoIP systems in practice. For VoIP calls that do not need end-to-end security, we recommend the use of the VOIPSec solution as a means to solve the NAT traversal problem and to protect traffic at the IP level. When application to application security is not needed we prefer the VOIPSec solution to the extended VOIPSec solution for the following reasons: (1) our test results show that the time for call setup for the extended VOIPSec solution is twice time the time needed for the VOIPSec solution and the extended VOIPSec solution requires the use of user agents that support SRTP. While, the VOIPSec solution does not require a special user agent and all VoIP clients in the market are compatible with this solution. However, when more SIP user agents add support for SRTP, the extended VOIPSec solution will be applicable for users of these SIP user agents. / Med utvecklingen av mobil (specifikt: wide area cellulär telefoni)-teknik, har användarnas krav ändras från den grundläggande röst-tjänst som bygger på krets kopplad teknik till att vilja ha hög-hastighets paket baserade dataöverföringstjänster. Voice over IP (VoIP) som vinner allt mer uppmärksamhet på grund av sin höga prestanda och låga kostnader är en paket baserad telefon tjänst. Däremot fungerar VoIP inte bra i alla situationer. Network address translation (NAT) har blivit det största hinder för en framtida användning av VoIP. I denna avhandling analyserar vi och jämför nuvarande NAT lösningar. Efter detta inför vi en VoIP över IPSec (VOIPSec) lösning (dvs. ett VoIP över IPSec Virtual Private Network (VPN) system) och en utvidgad VOIPSec lösnings mekanism. Dessa två lösningar testas och jämfördes för att mäta prestationer i förhållande till en version av samma SIP User Agent som körs utan IPSec. I den föreslagna lösningen VOIPSec ansluter IPSec en VPN-tunnel till varje SIP-klient och SIP-server, vilket gör att alla de potentiella SIP deltagarna kan nås, dvs eventuella NAT problem löses. All SIP-signalering och media trafik för VoIP-samtal överförs via denna etablerade tunnel. Denna VPN-tunnel ger allmänna medel för VoIP-trafik att passera NAT utrustningen. Dessutom ger IPSec VPN också garanterad säkerheten för VoIP-samtal på IP-nivå. För att förbättra skyddsnivån för mediaströmmar med VOIPSec, skapade vi och utvärderade en utsträckt VOIPSec lösning som innehåller end-to-end skydd av realtids media trafik. I denna utökade VOIPSec lösning, använde vi SRTP stället för RTP för att bära medieinnehåll. Denna utvidgade metod visade sig ge alla fördelar VOIPSec och SRTP kunde erbjuda utan ytterligare dröjsmål för media trafiken (jämfört med VoIPSec lösningen). Observera att den lösning som föreslås i denna avhandling kan vara av begränsad praktisk betydelse i framtiden då fler NAT lösningar blir VoIP kapabla, men lösningen är idag nödvändigt för att underlätta den ökande användningen av VoIP-system i praktiken. För VoIP-samtal som inte behöver end to end säkerhet rekommenderar vi användning av VOIPSec lösningen som ett sätt att lösa NAT problem och för att skydda trafiken på IP-nivå. När end to end säkerhet inte behövs föredrar vi VOIPSec lösningen av följande skäl: (1) våra testresultat visar att tiden för samtal inställning för det förlängda VOIPSec lösningen är dubbelt den tid som krävs för VOIPSec lösningen och den utökade VOIPSec lösningen kräver användning av användarprogram som stödjer SRTP. Medan VOIPSec lösningen inte kräver en speciell användar agent och alla VoIP-klienter på marknaden är kompatibla med denna lösning. Men när fler SIP användaragenter får stöd för SRTP, kommer den förlängda VOIPSec lösning tillämpas för användare av dessa SIP användarprogram.

Network security is a major topic of research because cyber attackers pose a threat to national security. Securing ground-space communications for NASA missions is important because attackers could endanger mission success and human lives. This thesis describes how an open source IPsec software package was used to create a secure and reliable channel for ground-space communications. A cost efficient, reproducible hardware testbed was also created to simulate ground-space communications. The testbed enables simulation of low-bandwidth and high latency communications links to experiment how the open source IPsec software reacts to these network constraints. Test cases were built that allowed for validation of the testbed and the open source IPsec software. The test cases also simulate using an IPsec connection from mission control ground routers to points of interest in outer space. Tested open source IPsec software did not meet all the requirements. Software changes were suggested to meet requirements.

IPv4-adresser är begränsat när det gäller antalet det finns att dela ut, ett framtida problem är att dessa adresser med största sannolikhet kommer att ta slut. Vårt arbete har således fokuserat på att inhämta information som bidrar till en klarare bild av hur dagsläget ser ut kopplat mot implementeringen av IPv6 som sker i Europa och Sverige. För att kunna förklara denna implementering på ett bra sätt finns det delar i arbetet som beskriver de tekniska hinder och möjligheter som bidrar till införandet av detta protokoll. Huvuddelen av tiden har spenderats med att inhämta information och fakta som ger en fördjupad kunskap i ämnet, med avsikten att skriva en gedigen bas som utredningsdelen i arbetet utger. Intervjuer har också varit en del, denna del finns i syfte att ge en bild över hur internetleverantörer arbetar med införandet av IPv6. De organisationer som finns och arbetar med införandet av IPv6 har alla en bra pool med fakta som beskriver hur situationen ser ut i dagsläget. RIPE NCCs databas visar klart och tydligt de organisationer som finns med i arbetet med implementeringen av IPv6. Denna databas samt information tagen från genomförda intervjuer ger oss en uppfattning om att införandet än så länge inte har kommit särskilt långt, detta i relation till bristen av IPv4 adresser som råder. I Sverige jobbar PTS mycket mot att hjälpa organisationer med en eventuell övergång till IPv6, deras arbete är ordentligt men problematiken där är istället att organisationer idag inte är i behov av denna information. Det positiva är således att informationen finns där, hos PTS, att hämta vid behov.Trots att de sista IPv4-blocken är utdelade finns det egentligen inget behov av att implementera IPv6 i dagsläget. Ett IPv4-nätverk med fungerande NAT fungerar och kommer med största sannolikhet fungera ett bra tag framöver.