第十章 網路安全

常見的網路安全通訊協定IPSec

網路層的網路安全通訊協定網路層的網路安全通訊協定

IPSecIPSec 通訊協定通訊協定（（IP Security Protocol)IP Security Protocol)

IPSecIPSec運作模式運作模式 IPSecIPSec金匙管理金匙管理

2

IPSecIPSec 通訊協定通訊協定

IPSecIPSec是目前網際網路是目前網際網路TCP/IPTCP/IP通訊協定通訊協定IPv4IPv4的延的延伸，亦相容於伸，亦相容於IPv6IPv6的標準，目的是提供的標準，目的是提供IPIP封包封包的來源可認證性，以防止的來源可認證性，以防止IPIP來源位址來源位址((source source address)address)被被假冒，並保證假冒，並保證IPIP封包在網路傳送的私封包在網路傳送的私密性與完整性。密性與完整性。IPSecIPSec可可區分為兩種協定區分為兩種協定：： Authentication HeaderAuthentication Header協定協定((簡稱簡稱AHAH))主要提供主要提供來源可認證性來源可認證性及資料及資料完整性等安全完整性等安全功能。功能。

Encapsulating Security PayloadEncapsulating Security Payload ((簡稱簡稱ESPESP))提供資料提供資料私密性的安全功能。私密性的安全功能。

3

IPSecIPSec 通訊協定：通訊協定：AHAH 協定協定AHAH主要有一欄位主要有一欄位((稱為稱為認証資料欄，認証資料欄，Authentication Authentication DataData))，，存放封包的認証資訊，讓接收者能對封包的來存放封包的認証資訊，讓接收者能對封包的來源作確認及保證整個源作確認及保證整個封包封包的完整性。的完整性。以下為以下為AHAH協定的協定的格式：格式：

IP標頭 AH 資料

下個 標頭

tcp/udp標頭

長度 保留

安全參數索引

順序編號

認証資料

簽章IP資料本體

4

5

AH HdrIP Hdr Payload

N ext H dr Payld Lgth R eserved

Security Param eter Index (SP I)

Sequence N um ber

Authentication D ata(Integrity C heck Value)

(variable s ize)

32 bits

AH Header FormatSSecurity PParameter IIndex ( 安全參數識別碼 ) 32 bit 之任意整數 , 來指明通訊兩端事先約定所採用的加密或身份驗證之演算法與其他參數。此 識別碼 識別碼 (SPI) (SPI) 和 目的位址目的位址、 轉換格式 轉換格式 (( 此即為 AH 轉換 ) 三者唯一決定一個安全參數組合 (SSecurity AAssociation) 。

Sequence Number ( 序號 ) : 為一個 32 bit 之嚴格遞增整數，用來去除資料封包在傳遞時產生的重複 ( Duplicated ) 封包。

Authentication Data ( 身份驗證資料 ) : 本欄位為任意長度 ( IPv4 為 32bit 的整數倍， IPv6 為 64bit 的整數倍 ) 之資料，其內容為 Integrity Check Value ，其長度視所採用的身份認證演算法而定。

IPSecIPSec 通訊協定：通訊協定： ESPESP 協定協定

以下為以下為 ESPESP協定的資料保密格式協定的資料保密格式：：

I P標 頭 E SP標 頭 資 料tcp/udp標 頭

安 全 參 數 索 引

順 序 編 號

I P資 料 本 體

加 密

E SP尾 部

填 充 字 串

填 充 字 串長 度

下 個 標 頭

A HA H協定並不提供資料保密的安全功能，利用協定並不提供資料保密的安全功能，利用ESPESP協定的封包才能保證資料傳送的機密性。協定的封包才能保證資料傳送的機密性。

6

7

Aut

hent

icat

ed

Encr

ypte

d

ESP HdrIP Hdr Payload ESP

TrailerESP Auth

32 b its

ESP Trailer

ESP Auth Data

IV(for transforms that require explicit IVs this is sent in the clear before the actual encrypted payload)

Security Param eter Index (SP I)

Sequence Num ber

Payload D ata (variable)

P ad Leng th

N ext H dr

Authentication Data (variable)

Padding (0-255 bytes)

ESP Header

ESP Header Format

SSecurity PParameter IIndex ( 安全參數識別碼 ) :32 bit 之任意整數 , 來指明通訊兩端事先約定所採用的加密或身份驗證之演算法與其他參數。此 識別碼識別碼 (SPI) (SPI) 和 目的位址目的位址、 轉換格式 轉換格式 (( 此即為 ESP 轉換 ) 三者唯一決定一個安全參數組合 (SSecurity AAssociation) 。

Sequence Number ( 序號 ) : 為一個 32 bit 之嚴格遞增整數，用來去除資料封包在傳遞時產生的重複 ( Duplicated ) 封包。

Rayload Data ( 承載密文 )完整的 IP Packet 之密文或IP Packet 的資料部份之密文

Authentication Data ( 身份驗證資料 ) : 此部份僅為承載之密文之完整檢查碼，與 AH 不同。AH 為整個 IP 資料封包之完確檢查值。

I P S e cI P S e c 通 訊 協 定 ：通 訊 協 定 ： E S PE S P 協 定協 定 E S PE S P 協 定 的 完 整 格 式協 定 的 完 整 格 式 包 括 了包 括 了 E S PE S P 標 頭標 頭 、、 E S PE S P 尾尾

部 及部 及 E S PE S P 認 証 資 料 ， 這 樣 的 格 式 讓 整 個 封 包 具認 証 資 料 ， 這 樣 的 格 式 讓 整 個 封 包 具有 機 密 性 、 完 整 性 及 資 料 來 源 認 証 性 。有 機 密 性 、 完 整 性 及 資 料 來 源 認 証 性 。

與與 A HA H 協 定 的 格 式 比 較 ，協 定 的 格 式 比 較 ， E S PE S P 提 供提 供 來 源 認 証 性來 源 認 証 性的 功 能 要 比的 功 能 要 比 A HA H 弱弱 ， 這 是 因 為， 這 是 因 為 E S PE S P 在 簽 章 時 並在 簽 章 時 並沒 有 將沒 有 將 I PI P 標 頭 的 資 料 列 入 計 算標 頭 的 資 料 列 入 計 算 ， 因 此 無 法 偵 測， 因 此 無 法 偵 測出 封 包 的出 封 包 的 I PI P 位 址 是 否 遭 受 到 竄 改位 址 是 否 遭 受 到 竄 改 。。

I P 標 頭 E S P 標 頭 資 料t c p / u d p 標 頭

簽 章

加 密

E S P 尾 部E S P 認 証

資 料

8

IPSec IPSec 運作模式運作模式

運輸模式運輸模式 ((Transport Mode)Transport Mode)當兩台主機都有執行當兩台主機都有執行IPSecIPSec的能力時的能力時，他們就可以，他們就可以直接用直接用運輸模式來傳送運輸模式來傳送資料，其封包在網路上傳送資料，其封包在網路上傳送時，所經過的每個路由器視該封包為一般的時，所經過的每個路由器視該封包為一般的IPIP封包封包而處理之。而處理之。

隧道模式隧道模式 ((Tunnel Mode)Tunnel Mode)將執行將執行IPSecIPSec的工作放在對外的安全閘口的工作放在對外的安全閘口((security security gateway)gateway)上上，這安全閘口可以是一路由器、防火牆，這安全閘口可以是一路由器、防火牆或一特製的網路裝置；內部的主機則利用安全閘口或一特製的網路裝置；內部的主機則利用安全閘口的的IPSecIPSec功能來傳收資料。功能來傳收資料。

無論是無論是AHAH或或ESPESP，，IPSecIPSec的運作模式有以下兩的運作模式有以下兩種：種：

9

10

• ESP 的傳送模式：

Internet

SecurityGateway

GW1

SecurityGateway

GW2

主機A

主機B

主機C

主機D

( 隧道模式 )

( 傳送模式 )AB ：運輸模式BC ：隧道模式

11

• IP ESP 的隧道模式及運輸模式各有其優點。– 隧道模式可以在兩個 Security Gateway 間建

立一個安全“隧道”。

– 運輸模式加密的部份較少，沒有額外的 IP

標頭，故工作效率較佳。

12

• 格式說明– SPI 、 Sequence Number: 和 AH 的相同– Payload Data: ESP 中定義所承載的密文，有兩種可

能(1) 完整的 IP 資料封包之密文(2)IP 資料封包的資料部份之密文• 前者稱為隧道模式 (Tunnel Mode) ，後者稱為運輸模

式 (Transport Mode)

• 加密演算法由 SPI 指明通訊的兩端事先約定所採用的演算法

IP S ec IP S ec 運作模式運作模式IP S ecIP S ec隧道模式範例：隧道模式範例：

G1安 全 閘 口

IP標 頭 資 料

HA HB

資 料

HA HB

新 的IP標 頭

G1 G2

IPSec標 頭

原 始 的IP標 頭 G2安 全 閘 口

IP標 頭 資 料

HA HB

隧 道

HA主 機

HB主 機13

I P S e c I P S e c 運 作 模 式運 作 模 式

A HA H 隧 道 模 式 的 格 式隧 道 模 式 的 格 式 ：：

新 的I P 標 頭

A H 資 料t c p / u d p 標 頭

簽 章

原 始 的I P 標 頭

資 料t c p / u d p 標 頭

原 始 的I P 標 頭

14

I P S e c I P S e c 運 作 模 式運 作 模 式

E S PE S P 隧 道 模 式 的 格 式隧 道 模 式 的 格 式

新 的I P 標 頭

E S P 標 頭 資 料t c p / u d p 標 頭

簽 章

加 密

E S P 尾 部E S P 認 証資 料

原 始 的I P 標 頭

資 料t c p / u d p 標 頭

原 始 的I P 標 頭

15

IPSec IPSec 金匙管理金匙管理

手動式的管理手動式的管理((Manual management)Manual management)系統管理者將系統管理者將IPSecIPSec所需要的安全協議等相關資訊所需要的安全協議等相關資訊利用人工輸入電腦，這樣的利用人工輸入電腦，這樣的手動式手動式金匙管理方式只金匙管理方式只適用在通訊對象固定且人數少的環境。適用在通訊對象固定且人數少的環境。

自動化的管理自動化的管理((Automated management)Automated management)在通訊對象經常變動或人數眾多的環境，必須讓電在通訊對象經常變動或人數眾多的環境，必須讓電腦執行金匙管理協定，自動化產生安全協議等相關腦執行金匙管理協定，自動化產生安全協議等相關資訊。資訊。

IPSecIPSec的金匙管理有下面兩種方式：的金匙管理有下面兩種方式：

16

IPSec IPSec 金匙管理：金匙管理：自動化的管理自動化的管理

ISAKMP (Internet Security Association and Key ISAKMP (Internet Security Association and Key Management Protocol)Management Protocol)

OakleyOakley

SKEMI (Secure Key Exchange Mechanism for SKEMI (Secure Key Exchange Mechanism for Internet)Internet)

目前最常被使用的目前最常被使用的自動化自動化金匙管理協定稱為金匙管理協定稱為IKE IKE (Internet Key Exchange(Internet Key Exchange，，網際網路金匙交換協定網際網路金匙交換協定))，，IKEIKE主要是結合了以下三種通訊協定：主要是結合了以下三種通訊協定：

17

IPSec IPSec 金匙管理：金匙管理：自動化的管理自動化的管理

第一階段：建立安全通訊管道。第一階段：建立安全通訊管道。讓執行讓執行IKEIKE的雙方在不安全的網路上建立一安全的通訊的雙方在不安全的網路上建立一安全的通訊管道，即雙方協商好在此階段之後，雙方執行安全通管道，即雙方協商好在此階段之後，雙方執行安全通訊所使用的加密演算法、雜湊函數、身份認證方式及訊所使用的加密演算法、雜湊函數、身份認證方式及執行執行DiffieDiffie--HellmanHellman演算法所需要的參數。演算法所需要的參數。

第二階段第二階段：：設置設置安全協議。安全協議。利用第一階段所建立好的安全通訊管道去設置雙方未利用第一階段所建立好的安全通訊管道去設置雙方未來執行來執行IPSecIPSec所需要的安全協議。所需要的安全協議。在此階段，雙方可視在此階段，雙方可視需要建立多個需要建立多個AHAH或或ESPESP安全協議。安全協議。

IKEIKE的運作流程可分為兩個階段：的運作流程可分為兩個階段：

18

19

SA SA ( SSecurity AAssociation ) : 是一組兩端通訊實體的單向關係。由識別碼 ( SPI ) 和目的位址、 轉換格式 ( AH 或 ESP ) 組合而成。

IPSec 的運作方式• 資料傳送前 IPSec Driver 會檢查 IPSec Policy 決定資料是否需加密

處理• IPSec Driver 通知 IKE 進行協商，而後產生 SA

• IPSec Driver 依照 SA 的內容進行資料的傳輸

IKEIKE ( IInternet KKey EExchange ) : Key 為 IPSec作加解密時所須參考的數值。運用 IPSec 的實體兩端必需知道一組相對的加密金鑰及解密金鑰才能正常運作。 IETF 定義一組金鑰交換的通訊定 : IIneternet KKey EExchange ( IKE )

Secure IP Packet

20

IPSec 的運作方式 (cont'd)

My PC(1.1.1.1)

My company's main computer (2.2.2.2)

The Internet1 - Destination 1.1.1.1 IP packet 1 DES Encryption key

Com bine IP packet and key using ESP algorithm. Place combined packet into 1 tunnel mode IP Packet

SPI 601 - Destination 1.1.1.1 IP packet 1 DES Encryption key

Com bine IP packet and key using ESP algorithm . Place combined packet into 1 tunnel mode IP Packet

SPI 60

1 - Destination 2.2.2.2 IP packet 1 DES Encryption key

Combine IP packet and key using ESP algorithm. Place combined packet into 1 tunnel mode IP Packet

SPI 891 - Destination 2.2.2.2 IP packet 1 DES Encryption key

Combine IP packet and key using ESP algorithm. Place combined packet into 1 tunnel mode IP Packet

SPI 89

#@ % *8^% $#@ !*& ))_^$#@ !!@ $% ^& H F^

SAs SAs

I P S e c I P S e c 金 匙 管 理 ：金 匙 管 理 ：D i f f i eD i f f i e -- H e l l m a nH e l l m a n 演 算 法演 算 法

D i f f i eD i f f i e -- H e l l m a nH e l l m a n 演 算 法 的 目 的 是 讓 兩 個 使 用 者演 算 法 的 目 的 是 讓 兩 個 使 用 者 AA 及及 BB 可 以可 以分 別 獨 立 且 安 全 地 產 生 一 把 使 用 者分 別 獨 立 且 安 全 地 產 生 一 把 使 用 者 AA 及及 BB 共 有 的 秘 密 鑰共 有 的 秘 密 鑰匙匙 (( S e c r e t K e y )S e c r e t K e y )，， 它 的 方 法 如 下 ：它 的 方 法 如 下 ：

A使 用 者

q α a產 生 ， 及 私 有 值

Y計 算 A = α a m o d q

q α Y， ， A

B使 用 者

b產 生 私 有 值

Y計 算 B = α b m o d q

計 算 秘 密 鑰 匙

K = ( Y A ) b m o d q

YB

計 算 秘 密 鑰 匙

K = ( Y B ) a m o d q

21

IPSec IPSec 金匙管理：金匙管理：DiffieDiffie--HellmanHellman演算法演算法

容易遭受到容易遭受到””CloggingClogging””的網路攻擊的網路攻擊

容易遭受到容易遭受到””Man in the MiddleMan in the Middle””的網路攻擊的網路攻擊

在在DiffieDiffie--HellmanHellman演算法演算法中，中，使用者使用者AA及及BB在交換在交換訊息時都沒有對訊息的來源作身份認證，因此訊息時都沒有對訊息的來源作身份認證，因此會有下述兩項缺點：會有下述兩項缺點：

22

I P S e c I P S e c 金 匙 管 理 ：金 匙 管 理 ：D i f f i eD i f f i e -- H e l l m a nH e l l m a n 演 算 法演 算 法

C l o g g i n gC l o g g i n g 網 路 攻 擊網 路 攻 擊

網 路 攻 擊 者

q α Y， ， A 1

B使 用 者

b 1 Y產 生 私 有 值 ， 計 算B 1

= α b 1 m o d qK 1 = (Y計 算 秘 密 鑰 匙

A 1) b 1 m o d q

q α Y， ，A 2

q α Y， ，A n

b 2 Y產 生 私 有 值 ， 計 算B 2

= α b 2 m o d qK 2 = (Y計 算 秘 密 鑰 匙 A 2) b 2 m o d q

b n Y產 生 私 有 值 ， 計 算B n

= α b n m o d qK n = (Y計 算 秘 密 鑰 匙

A n) b n m o d q

23

IP S ec IP S ec 金匙管理：金匙管理：D iffieD iffie -- H e llm anH ellm an演算法演算法

利用利用 co o k iesco o k ies來防範來防範 C lo g g in gC lo g g in g網路攻擊網路攻擊

A使 用 者

q α a產 生 ， 及 私 有 值

Y計 算 A = α a mod q

C A

B使 用 者

C A C， B Y， B

計 算 秘 密 鑰 匙

K = (YB)a mod q

cookies C產 生 A

C A C， Bcookies C產 生 B

C A C， B q α Y， ， ， A

b產 生 私 有 值

Y計 算B

= α b mod q

計 算 秘 密 鑰 匙

K = (Y A )b mod q

cookies驗 證 的 正 確 性

cookies驗 證 的 正 確 性

24

I P S e c I P S e c 金 匙 管 理 ：金 匙 管 理 ：D if f ieD if f ie -- H e l lm a nH e l lm a n演 算 法演 算 法

M a n in th e M id d leM a n in th e M id d le網 路 攻 擊網 路 攻 擊

A使 用 者

q α a產 生 ， 及 私 有 值

Y計 算 A = α a m od q q α Y， ，A

B使 用 者

b產 生 私 有 值

Y計 算 B = α b m od q

計 算 秘 密 鑰 匙

KB C

= (YC

)b m od q

Y B

計 算 秘 密 鑰 匙

K A C = (Y C )a m od q

C網 路 攻 擊 者

C產 生 私 有 值

Y計 算 C = α C m od q

Y C

計 算 秘 密 鑰 匙

K B C = (Y B )C m od q

KA C

= (YA

)C m od q

YC

25

IPSec IPSec 金匙管理：金匙管理： IKEIKE運作流程運作流程

PresharedPreshared keykey

Digital signatureDigital signature

Public key encryptionPublic key encryption

第一階段：第一階段：建立安全通訊管道建立安全通訊管道。。此階段的運作模式有兩種：主要模式此階段的運作模式有兩種：主要模式((Main Main mode)mode)或是積極或是積極模式模式((Aggressive mode)Aggressive mode)；；且雙方且雙方在交換信息時，對訊息來源做身份認證的方法在交換信息時，對訊息來源做身份認證的方法有三種有三種: :

26

IKEIKE第一階段的第一階段的訊息交換流程訊息交換流程((主要模式；主要模式；數位簽章數位簽章的訊息來源確認的訊息來源確認方式方式) )

A使用者

q α a產生 ， 及私有值

Y計算 A = α a mod q

CA， ISA A

B使用者

CA

C，B

Y，B

N，B

計算秘密鑰匙

K = (Y B)a mod q

cookies C產生 A

CA C， B ISA， Bcookies C產生 B

CA

C，B

E，SK EY IDe

(IDA

CERT、A

E、Sa

(HA SHA))

b產生私有值

Y計算 B = α b mod q

計算秘密鑰匙

K = (YA)b mod q

cookies驗證 的正確性

cookies驗證 的正確性

CA C， B q α Y， ， ， A N， A

cookies驗證 的正確性及確認對方的身份

CA C， B E， SK EY IDe(IDB CERT、 B E、 Sb(HA SHB))cookies驗證 的正確性及確認對方的身份

27

IPSec IPSec 金匙管理：金匙管理： IKEIKE運作流程運作流程

第二階段：第二階段：設置設置安全協議。安全協議。此階段的運作模式有兩種：快速模式此階段的運作模式有兩種：快速模式((quick quick mode)mode)或是新群組或是新群組模式模式((New group mode)New group mode)

第二階段一定是在第一階段被成功的執行後才第二階段一定是在第一階段被成功的執行後才能被執行，而且雙方可視需要同時執行多個第能被執行，而且雙方可視需要同時執行多個第二階段的協商二階段的協商((negotiation)negotiation)程序，以同時建立多程序，以同時建立多個安全協議個安全協議((Security Association)Security Association)。。

28

IKEIKE第二階段第二階段((快速模式快速模式))的的訊息交換流程訊息交換流程

A使用者 B使用者

HA SH(1)產生

cookies驗證 及HA SH(1)的正確性

HA SH(2)產生

CA C， B M sgID E， ， SK EY IDe(HA SH(1) SA、 A N、 A)

CA C， B M sgID E， ， SK EY IDe(HA SH(2) SA、 B N、 B)

cookies驗證 及HA SH(2)的正確性

HA SH(3)產生

CA C， B M sgID E， ， SK EY IDe(HA SH(3))

cookies驗證 及HA SH(3)的正確性

29

30

IPSec 實作測試環境：測試環境： RedHat 7.3RedHat 7.3

安裝相關套件安裝相關套件ftp://ftp.xs4all.nl/pub/crypto/freeswan/binaries/RedHat-RPMs/2.4.18-10/ - RedHat 7.3ftp://ftp.xs4all.nl/pub/crypto/freeswan/binaries/RedHat-RPMs/2.4.18-14/ - Redhat 8.01.freeswan-module-1.99_2.4.18_10-0.i386.rpm2.freeswan-1.99_2.4.18_10-0.i386.rpm 利用 利用 rpm –Uvh rpm –Uvh 安裝安裝

啟動 啟動 ipsec serviceipsec service service ipsec start

31

IPSec 實作FreeS/WAN relies on two configuration files:

• /etc/ipsec.conf

– Setup

– Default parameter

– Configuration of the tunnel

• /etc/ipsec.secrets

– private RSA keys

– shared secrets

32

IPSec 實作

hostname:left ( 總公司 )IP:192.168.0.254

hostname:right ( 分公司） IP:192.168.0.253

在 在 left left 及 及 right right 均 均 install install 相關 相關 rpmrpm

在 在 left (192.168.0.254) left (192.168.0.254) 操作操作

1. print your IPsec public key :1. print your IPsec public key : ipsec showhostkey –left # RSA 2192 bits left leftrsasigkey=0sAQOnwiBPt...

2. get rightrsasigkey2. get rightrsasigkey : ssh right ipsec showhostkey –rightipsec showhostkey –right # RSA 2192 bits right rightrsasigkey=0sAQOqH55O…

42.42.42.1/2442.42.42.1/2442.42.42.0/2442.42.42.0/24

33

IPSec 實作3. Edit3. Edit /etc/ipsec.conf /etc/ipsec.conf conn left-to-right # 取個有意義的名字即可 left=192.168.0.254 # 左邊主機的 ip ( 總公司 server 的 ip ) leftsubnet=42.42.42.0/24 # 左邊的主機所連結 subnet ( 總公司的網段 ) leftid=@left.example.com # 左邊主機的 FQDN ( 總公司 server 的 ip ) leftrsasigkey=0s1LgR7/oUM... # 左邊主機的 public key leftnexthop=X.X.X.X # 左邊主機的 gateway right=192.168.0.253 # 右邊主機的 ip ( 分公司 server 的 ip ) rightsubnet=42.42.42.1/24 # 分公司的網段 rightid=@right.example.com # 右邊主機的 FQDN ( 分公司 server 的 ip ) rightrsasigkey=0sAQOqH55O... # 右邊主機的 public key rightnexthop= X.X.X.X # 右邊主機的 gateway auto=start # 開機時即建立 ipsec tunnel

4.4. 將設定檔 將設定檔 /etc/ipsec.conf copy /etc/ipsec.conf copy 至右邊主機（分公司的至右邊主機（分公司的 server )server )# scp /etc/ipsec.conf root@right.exampel.com:/etc/ipsec.conf

34

RHS346

• ( Developing Red Hat VPN Solutions )–使用 CIPE 架構 VPN–使用 PPTP 架構 VPN–如何使用 Windows 95/98/NT/2000/XP 連接 PPTP Server

–使用 IPSec 架構 VPN

35

Reference Site • Linux FreeS/WAN team http://www.freeswan.org/• Secure VPN Gateway in Redhat 7.3 http://www.hkes.com/themes/hkes/resources/secure

_vpn_gateway_in_redhat.htm• Virtual Private Network Consortium- www.vpnc.org • The Automotive Network Exchange - www.anxo.com • National Institute of Standards and Technology - www-08.nist.gov • RADIUS - www.funk.com/RADIUS • TACACS - www.easynet.de/tacacs-faq• Commercial Encryption Export Controls - www.bxa.doc.gov/Encryption• Encryption Privacy and Security Resource Page - www.crypto.com• VPN info on the WEB - kubarb.phsx.ukans.edu/~tbird/vpn.html• http://www.spenneberg.org/