IPsec
IPsec to zbiór protokołów stosowanych do zapewnienia bezpiecznych połączeń i wymiany kluczy szyfrowania między komputerami. Główne zastosowanie IPsec to tworzenie Wirtualnej Sieci Prywatnej (VPN). VPN oparta na IPsec korzysta z dwóch kanałów: kanału wymiany kluczy oraz kanałów transmisji danych, które korzystają z protokołu ESP (Encapsulating Security Payload).
Architektura IPsec
Protokoły IPsec zapewniają bezpieczne przesyłanie pakietów IP poprzez szyfrowanie oryginalnych pakietów i dodawanie nagłówka IPsec. Bezpieczeństwo może być dwojakie, w zależności od używanego protokołu. Protokół IKE (Internet Key Exchange) jest odpowiedzialny za dystrybucję kluczy i uwierzytelnianie.
Protokół IKE
Protokół IKE, opracowany przez NSA, składa się z dwóch głównych części: metod kryptograficznych uwierzytelnienia oraz negocjacji kluczy. Główne cele IKE to:
- Uwierzytelnienie obu stron komunikacji (metody: hasło, podpisy RSA, certyfikaty X.509).
- Nawiązanie bezpiecznego kanału (ISAKMP SA).
- Negocjacja kluczy kryptograficznych.
Protokół IKE automatyzuje proces uzgadniania kluczy, co ułatwia konfigurację.
Szczegóły IPsec
Podstawowe cechy protokołów ESP i AH obejmują minimalną ilość informacji dostępnych dla potencjalnych atakujących. Pakiety zawierają jedynie SPI (Security Parameter Index) oraz numer sekwencyjny, co utrudnia analizę komunikacji. Kanały IPsec są jednokierunkowe, co oznacza, że każdy kanał obsługuje tylko ruch w jednym kierunku.
Klucze kryptograficzne
Dla pełnej komunikacji wymagane są dwa kanały IPsec. W przypadku użycia ESP, każdy kanał potrzebuje dwóch kluczy: jednego do szyfrowania danych oraz drugiego do ochrony integralności. W przypadku AH używany jest tylko klucz do integralności, co upraszcza konfigurację.
Tryb transportowy i tunelowy
IPsec może działać w trybie transportowym, gdzie nagłówki IP są widoczne, lub w trybie tunelowym, gdzie pakiety są w pełni enkapsulowane. Tryb tunelowy zapewnia lepszą ochronę i jest stosowany w VPN.
IPsec NAT Traversal
Protokół AH nie pozwala na zmianę adresu źródłowego, co utrudnia translację NAT. Protokół ESP umożliwia zmianę adresu, ale wymaga zastosowania NAT Traversal (NAT-T), które kapsułkuje pakiety IP w nagłówku UDP, co ułatwia ich trasowanie przez routery.
Dokumentacja IETF
IPsec jest regulowany przez wiele standardów i dokumentów RFC, które określają jego specyfikację, funkcjonalność oraz zalecane praktyki.
