freeswan/klips/doc/klipsNGreq/requirements/027/requirement027.tex

   1 \subsection{027: do not permit packets marked to tunnels to get loose}
   2
   3 \subsubsection{027: Definition of requirement }
   4
   5 There is a fundamental design flaw in the current FreeS/WAN KLIPS
   6 implementation, specifically that it must rely on devices and routing
   7 being stable ({\bf always} up).  Worse there seems to be a bug (that RGB and
   8 MCR are currently chasing) that is stroking the flaw in at least FreeS/WAN
   9 version "1.9".
  10
  11 The simple way to see both the flaw (and the result of the bug) is
  12 take a FreeS/WAN Security Gateway setup for VPN and issue the command:
  13 $$
  14         ifconfig ipsec0 down
  15 $$
  16
  17 and look closely at the results.  The bad thing that happens is that
  18 all the routes put in for various CIDR's one wants to be 'secure' are
  19 removed by the routing machinery.  Since the SG has a default route
  20 (in the dumb global routing table) it will get used for all the
  21 packets that were (a moment ago) to be encrypted.
  22
  23 This is a major security breach should it happen, and it can happen
  24 quite silently should the other ends your talking to not drop "in the
  25 clear" packets that should have been encrypted.
  26
  27 Worse, many users don't notice this problem as a security failure
  28 but write it off as a temporary network problem.  It's easy to see why
  29 too as the entire FreeS/WAN machinery continues to function, never
  30 it's self noticing that it's not in use any more (for outgoing
  31 traffic).
  32
  33 \subsubsection{027: response}
  34
  35 In the design work for a KLIPS replacement this will not be a
  36 problem when running a vanilla box.
  37
  38
  39