IPsec

A substância deste artigo em computadores é para ser verificado (setembro de 2016)

Melhore ou discuta coisas para verificar . Se você acabou de afixar o banner, indique aqui os pontos a serem verificados .

O IPsec ( Internet Protocol Security ), definido pelo IETF como um framework de padrões abertos para garantir comunicações privadas e protegidas em redes IP, através da utilização de serviços de segurança criptográfica , é um conjunto de protocolos que utiliza algoritmos que permitem o transporte seguro de dados através de um Rede IP . O IPsec difere dos padrões de segurança anteriores por não estar limitado a um único método ou algoritmo de autenticação e é por isso que é considerado uma estrutura de padrões abertos . Além disso, o IPsec opera na camada de rede (camada 3 do modelo OSI ), ao contrário dos padrões anteriores que operavam na camada de aplicativo (camada 7 do modelo OSI ), o que o torna independente dos aplicativos e significa que os usuários não o fazem não precisa configurar cada aplicativo para os padrões IPsec.

Apresentação

Desenvolvido para funcionar com o protocolo IPv6 , o conjunto de protocolos IPsec foi adaptado para o protocolo IPv4 atual .

Seu objetivo é autenticar e criptografar os dados: o fluxo só pode ser entendido pelo destinatário final (confidencialidade) e a modificação dos dados por intermediários não pode ser possível (Integridade).

O IPsec é frequentemente um componente da VPN , está na origem de seu aspecto de segurança (canal seguro ou túnel ).

A implementação de uma arquitetura segura baseada em IPsec é detalhada no RFC  4301.

Operação

Ao estabelecer uma conexão IPsec, várias operações são realizadas:

Troca de chave

O protocolo IKE ( Internet Key Exchange ) é responsável por negociar a conexão. Antes que uma transmissão IPsec seja possível, o IKE é usado para autenticar ambas as extremidades de um túnel seguro, trocando chaves compartilhadas. Este protocolo permite dois tipos de autenticação, PSK ( segredo pré- compartilhado ou segredo compartilhado ) para a geração de chaves de sessão RSA ou usando certificados.

Esses dois métodos são diferenciados pelo fato de que o uso de um certificado assinado por um terceiro chamado Autoridade de Certificação (CA) fornece autenticação . Enquanto estiver usando as chaves RSA, uma parte pode negar ser o originador das mensagens enviadas.

O IPsec usa uma associação de segurança para ditar como as partes farão uso do AH (cabeçalho de autenticação) , um protocolo que define um formato de cabeçalho específico contendo informações de autenticação e o encapsulamento da carga útil de um pacote.

Transferência de dados

Um ou mais canais de dados através dos quais o tráfego da rede privada é transmitido, dois protocolos são possíveis:

Modos de operação

O IPsec pode operar no modo de transporte host a host ou no modo túnel de rede.

Modo de transporte

No modo de transporte, apenas os dados transferidos (a parte da carga útil do pacote IP) são criptografados e / ou autenticados. O resto do pacote IP não é alterado e, portanto, o roteamento dos pacotes não é alterado. No entanto, como os endereços IP não podem ser alterados pelo NAT sem corromper o hash do cabeçalho AH gerado pelo IPsec, o AH não pode ser usado em um ambiente que exija essas alterações de cabeçalho. No entanto, o encapsulamento NAT-T pode ser usado para encapsular IPSec ESP. O modo de transporte é usado para a comunicação do referido host para host ( Host-to-Host ).

Modo túnel

No modo túnel, todo o pacote IP é criptografado e / ou autenticado. O pacote é então encapsulado em um novo pacote IP com um novo cabeçalho IP. Ao contrário do modo de transporte, este modo, portanto, suporta bem a passagem de NAT quando o protocolo ESP é usado. O modo de túnel é usado para criar redes virtuais privadas ( VPNs ) que permitem rede a rede (ou seja, entre dois sites remotos), host a rede (acesso remoto por um usuário) ou comunicação host a host (mensagens privadas. )

Algoritmos criptográficos

Para que as implementações de IPsec interoperem, elas devem ter um ou mais algoritmos de segurança em comum. Os algoritmos de segurança usados ​​para uma associação de segurança ESP ou AH são determinados por um mecanismo de negociação, como Internet Key Exchange ( IKE ).

Os algoritmos de criptografia e autenticação para IPsec que encapsulam o protocolo ESP e AH são:

Com referência a RFC 8221

Lista de RFCs relacionados ao IPsec

Controverso

Dentro dezembro de 2010, Gregory Perry (ex-diretor técnico da empresa NETSEC) afirmou em um e-mail para a equipe de desenvolvimento do OpenBSD que backdoors foram colocados na estrutura OCF do OpenBSD a pedido do FBI nos anos 2000, não mais sujeitos a uma cláusula de confidencialidade de 10 anos . Esta pilha foi reutilizada em outros projetos, embora amplamente modificada desde então.

Apêndices

Bibliografia

(pt) Ido Dubrawski , How to Cheat at Securing Your Network , Burlington, MA, Syngress,novembro de 2007, 432  p. , 235  mm × 191  mm × 25  mm ( ISBN  978-1-59749-231-7 )

Referências

  1. Dubrawski 2007 , p.  83 .
  2. (em) "  Arquitetura de Segurança para o Internet Protocol  ", Request for comments n o  4301,dezembro de 2005.
  3. Dubrawski 2007 , p.  85 .
  4. (em) "  requisitos de implementação de criptografia algoritmo para encapsular Security Payload (ESP) e autenticação de cabeçalho (AH)  ," Request for comments n o  4835,abril de 2007.
  5. "  O FBI teria colocado backdoors no código da pilha IPSec do OPENBSD  " ( Arquivo • Wikiwix • Archive.is • Google • O que fazer? ) , No kernel trap ,14 de dezembro de 2010

Artigos relacionados