IPsec

La sustancia de este artículo en los ordenadores es a verificar (septiembre de 2016).

Mejore o discuta cosas para verificar . Si acaba de colocar el banner, indique los puntos a marcar aquí .

IPsec ( Internet Protocol Security ), definido por el IETF como un marco de estándares abiertos para garantizar comunicaciones privadas y protegidas sobre redes IP, mediante el uso de servicios de seguridad criptográfica , es un conjunto de protocolos que utilizan algoritmos que permiten el transporte seguro de datos a través de un Red IP . IPsec se diferencia de los estándares de seguridad anteriores por no estar limitado a un único método o algoritmo de autenticación y es por eso que se considera un marco de estándares abiertos . Además, IPsec opera en la capa de red (capa 3 del modelo OSI ) a diferencia de los estándares anteriores que operaban en la capa de aplicación (capa 7 del modelo OSI ), lo que lo hace independiente de las aplicaciones y significa que los usuarios no lo hacen. No es necesario configurar cada aplicación según los estándares IPsec.

Presentación

Desarrollado para trabajar con el protocolo IPv6 , el conjunto de protocolos IPsec se ha adaptado al protocolo IPv4 actual .

Su objetivo es autenticar y cifrar los datos: el flujo solo puede ser entendido por el destinatario final (confidencialidad) y la modificación de los datos por intermediarios no puede ser posible (Integridad).

IPsec es a menudo un componente de VPN , está en el origen de su aspecto de seguridad (canal seguro o tunelización ).

La implementación de una arquitectura segura basada en IPsec se detalla en RFC  4301.

Operación

Al establecer una conexión IPsec, se realizan varias operaciones:

Intercambio de llaves

El protocolo IKE ( Internet Key Exchange ) es responsable de negociar la conexión. Antes de que sea posible una transmisión IPsec, IKE se utiliza para autenticar ambos extremos de un túnel seguro mediante el intercambio de claves compartidas. Este protocolo permite dos tipos de autenticación, PSK ( secreto previamente compartido o secreto compartido ) para la generación de claves de sesión RSA o el uso de certificados.

Estos dos métodos se distinguen por el hecho de que el uso de un certificado firmado por un tercero llamado Autoridad de certificación (CA) proporciona autenticación . Mientras que con el uso de claves RSA, una parte puede negar ser el autor de los mensajes enviados.

IPsec utiliza una asociación de seguridad para dictar cómo las partes utilizarán AH (encabezado de autenticación) , un protocolo que define un formato de encabezado específico que lleva información de autenticación y la encapsulación de la carga útil de un paquete.

Transferencia de datos

Uno o más canales de datos a través de los cuales se transmite el tráfico de la red privada, son posibles dos protocolos:

Modos de funcionamiento

IPsec puede funcionar en modo de transporte de host a host o en modo de túnel de red.

Modo de transporte

En el modo de transporte, solo los datos transferidos (la parte de carga útil del paquete IP) están encriptados y / o autenticados. El resto del paquete IP no se modifica y, por lo tanto, el enrutamiento de los paquetes no se modifica. Sin embargo, dado que NAT no puede cambiar las direcciones IP sin dañar el hash del encabezado AH generado por IPsec, AH no puede usarse en un entorno que requiera estos cambios de encabezado. Sin embargo, la encapsulación NAT-T se puede utilizar para encapsular IPSec ESP. El modo de transporte se utiliza para la comunicación de dicho host a host ( Host-to-Host ).

Modo túnel

En el modo de túnel, todo el paquete IP está encriptado y / o autenticado. Luego, el paquete se encapsula en un nuevo paquete IP con un nuevo encabezado IP. A diferencia del modo de transporte, este modo admite el cruce de NAT cuando se utiliza el protocolo ESP. El modo túnel se utiliza para crear redes privadas virtuales ( VPN ) que permiten la comunicación de red a red (es decir, entre dos sitios remotos), de host a red (acceso remoto de un usuario) o de host a host (mensajería privada. )

Algoritmos criptográficos

Para que las implementaciones de IPsec interoperen, deben tener uno o más algoritmos de seguridad en común. Los algoritmos de seguridad utilizados para una asociación de seguridad ESP o AH están determinados por un mecanismo de negociación, como el Intercambio de claves de Internet ( IKE ).

Los algoritmos de encriptación y autenticación para IPsec que encapsulan el protocolo ESP y AH son:

Con referencia a RFC 8221

Lista de RFC relacionadas con IPsec

Polémico

En diciembre de 2010, Gregory Perry (ex director técnico de la empresa NETSEC) afirmó en un correo electrónico al equipo de desarrollo de OpenBSD que se colocaron puertas traseras en el marco OCF de OpenBSD a petición del FBI en la década de 2000, ya no están sujetas a una cláusula de confidencialidad de 10 años. . Esta pila se ha reutilizado en otros proyectos, aunque se ha modificado ampliamente desde entonces.

Apéndices

Bibliografía

(es) Ido Dubrawski , Cómo hacer trampa para proteger su red , Burlington, MA, Syngress,noviembre 2007, 432  p. , 235  mm × 191  mm × 25  mm ( ISBN  978-1-59749-231-7 )

Referencias

  1. Dubrawski 2007 , p.  83 .
  2. (en) "  Arquitectura de Seguridad para el Protocolo de Internet  ," Petición de observaciones n o  4301,diciembre de 2005.
  3. Dubrawski 2007 , p.  85 .
  4. (en) "  Requisitos de implementación criptográfica algoritmo para la carga de seguridad encapsuladora (ESP) y Authentication Header (AH)  ," Petición de observaciones n o  4835,abril 2007.
  5. "  El FBI habría colocado puertas traseras en el código de la pila IPSec de OPENBSD  " ( Archivo • Wikiwix • Archive.is • Google • ¿Qué hacer? ) , En la trampa del kernel ,14 de diciembre de 2010

Artículos relacionados