IPsec

En informàtica, Internet Protocol Security (amb acrònim anglès IPsec) és un conjunt de protocols de xarxa segurs que autentica i xifra paquets de dades per proporcionar una comunicació xifrada segura entre dos ordinadors a través d'una xarxa de protocol d'Internet. S'utilitza en xarxes privades virtuals (VPN).^[1]

IPsec inclou protocols per establir l'autenticació mútua entre agents a l'inici d'una sessió i la negociació de claus criptogràfiques per utilitzar durant la sessió. IPsec pot protegir els fluxos de dades entre un parell d'amfitrions (host-to-host), entre un parell de passarel·les de seguretat (network-to-network) o entre una passarel·la de seguretat i un host (network-to-host). IPsec utilitza serveis de seguretat criptogràfica per protegir les comunicacions a través de xarxes de protocol d'Internet (IP). Admet l'autenticació d'iguals a nivell de xarxa, l'autenticació d'origen de dades, la integritat de les dades, la confidencialitat de les dades (xifratge) i la protecció de reproducció (protecció contra atacs de reproducció).^[2]

La suite IPv4 inicial es va desenvolupar amb poques disposicions de seguretat. Com a part de la millora d'IPv4, IPsec és un model OSI de capa 3 o un esquema de seguretat d'extrem a extrem de la capa d'Internet. En canvi, mentre que alguns altres sistemes de seguretat d'Internet d'ús generalitzat operen per sobre de la capa de xarxa, com ara Transport Layer Security (TLS) que opera per sobre de la capa de transport i Secure Shell (SSH) que opera a la capa d'aplicació, IPsec pot protegir automàticament les aplicacions. a la capa d'Internet.

A principis de la dècada de 1970, l'Agència de Projectes d'Investigació Avançada va patrocinar una sèrie de dispositius experimentals d'encriptació ARPANET, al principi per al xifratge de paquets ARPANET natiu i, posteriorment, per al xifratge de paquets TCP/IP; alguns d'aquests van ser certificats i col·locats. De 1986 a 1991, la NSA va patrocinar el desenvolupament de protocols de seguretat per a Internet sota el seu programa Secure Data Network Systems (SDNS). Això va reunir diversos venedors, inclòs Motorola, que va produir un dispositiu de xifratge de xarxa el 1988. El treball va ser publicat obertament des de l'any 1988 pel NIST i, d'aquests, el Protocol de seguretat a la capa 3 (SP3) es convertiria finalment en l'estàndard ISO Network Layer Security Protocol (NLSP).^[3]

L'IPsec és un estàndard obert com a part de la suite IPv4. IPsec utilitza els protocols següents per realitzar diverses funcions:

• Les capçaleres d'autenticació (AH) ofereixen integritat de dades sense connexió i autenticació d'origen de dades per als datagrames IP i ofereixen protecció contra atacs de reproducció.
• Encapsulating Security Payloads (ESP) ofereix confidencialitat, integritat de dades sense connexió, autenticació d'origen de dades, un servei antireproducció (una forma d'integritat de seqüència parcial) i confidencialitat del flux de trànsit limitat.
• Internet Security Association and Key Management Protocol (ISAKMP) proporciona un marc per a l'autenticació i l'intercanvi de claus, amb material de claus autenticat real proporcionat per configuració manual amb claus precompartides, intercanvi de claus d'Internet (IKE i IKEv2), negociació d'Internet Kerberized. of Keys (KINK) o registres DNS IPSECKEY. L'objectiu és generar les associacions de seguretat (SA) amb el conjunt d'algorismes i paràmetres necessaris per a les operacions AH i/o ESP.

Algorismes: ^[4]

• HMAC - SHA1 / SHA2 per a la protecció de la integritat i l'autenticitat.
• TripleDES - CBC per confidencialitat.
• AES- CBC i AES-CTR per a la confidencialitat.
• AES - GCM i ChaCha20-Poly1305 proporcionen confidencialitat i autenticació junts de manera eficient.

• Diffie–Hellman (RFC 3526)
• ECDH (RFC 3526)

• RSA
• ECDSA (RFC 4754)
• PSK (RFC 6617)