Qu'est-ce que l'échange de clé Internet?
IKE (Internet Key Exchange) est un ensemble de protocoles de support créés par IETF (Internet Engineering Task Force) et utilisés avec les normes IPSec (Internet Protocol Security) pour fournir des communications sécurisées entre deux périphériques, ou homologues, sur un réseau. En tant que protocole, IKE peut être utilisé dans un certain nombre d'applications logicielles. Un exemple courant est la configuration d’un réseau privé virtuel sécurisé (VPN). Quoique standard sur pratiquement tous les systèmes d’exploitation informatiques et équipements de réseau modernes, l’essentiel de la fonction Internet Key Exchange est dissimulé aux yeux de l’utilisateur moyen.
Les protocoles d'IKE établissent ce qu'on appelle une association de sécurité (SA) entre deux homologues ou plus via IPSec, indispensable pour toute communication sécurisée via IPSec. La SA définit l'algorithme de cryptographie utilisé dans la communication, les clés de cryptage et leurs dates d'expiration. tout cela va ensuite dans la base de données d'association de sécurité (SAD) de chaque pair. Alors que IPSec peut avoir sa SA configurée manuellement, Internet Key Exchange négocie et établit automatiquement les associations de sécurité entre homologues, y compris la possibilité de créer ses propres.
Internet Key Exchange est connu sous le nom de protocole hybride. IKE utilise un cadre de protocole appelé ISAKMP (Internet Security Association). ISAKMP offre à IKE la possibilité d'établir le SA, et définit le format de la charge utile des données et détermine le protocole d'échange de clés à utiliser. ISAKMP peut utiliser plusieurs méthodes pour échanger des clés, mais son implémentation dans IKE utilise deux aspects. La plupart des processus d’échange de clés utilisent la méthode OAKLEY (OAKLEY Key Determination Protocol), qui définit les différents modes, mais IKE utilise également une partie de la méthode SKEME (Source Key Exchange Mechanism), qui permet le chiffrement à clé publique et permet actualiser les clés rapidement.
Lorsque des homologues souhaitent communiquer en toute sécurité, ils se transmettent ce qu’on appelle un "trafic intéressant". Le trafic intéressant est constitué de messages qui adhèrent à une stratégie IPSec qui a été établie sur les pairs. Un exemple de cette politique trouvée dans les pare-feu et les routeurs s'appelle une liste d'accès. Une politique de cryptographie est attribuée à la liste d'accès en vertu de laquelle certaines instructions de la politique déterminent si des données spécifiques envoyées via la connexion doivent être cryptées ou non. Une fois que les homologues intéressés par la communication sécurisée ont mis en correspondance une stratégie de sécurité IPSec, le processus d'échange de clé Internet commence.
Le processus IKE se déroule en plusieurs phases. De nombreuses connexions sécurisées commencent dans un état non sécurisé. La première phase consiste donc à négocier la manière dont les deux pairs vont poursuivre le processus de communication sécurisée. IKE authentifie d'abord l'identité des pairs, puis sécurise leur identité en déterminant les algorithmes de sécurité que les deux pairs utiliseront. À l'aide du protocole de cryptographie à clé publique Diffie-Hellman, capable de créer des clés correspondantes via un réseau non protégé, Internet Key Exchange crée des clés de session. IKE termine la phase 1 en créant une connexion sécurisée, un tunnel, entre les homologues qui seront utilisés en phase 2.
Lorsque IKE entre en phase 2, les pairs utilisent le nouvel SA SAI pour configurer les protocoles IPSec qu'ils utiliseront pendant le reste de leur connexion. Un en-tête d'authentification (AH) est établi pour vérifier que les messages envoyés sont reçus intacts. Les paquets doivent également être chiffrés. IPSec utilise ensuite le protocole de sécurité d'encapsulation (ESP) pour chiffrer les paquets, les protégeant ainsi des regards indiscrets. L'AH est calculé sur la base du contenu du paquet et le paquet est crypté, de sorte que les paquets sont protégés de toute personne tentant de remplacer des paquets par des faux ou de lire le contenu d'un paquet.
IKE échange également des informations cryptographiques au cours de la phase 2. Une information est un nombre ou une chaîne utilisée une seule fois. Le nonce est ensuite utilisé par un pair s'il doit créer une nouvelle clé secrète ou empêcher un attaquant de générer de faux SA, empêchant ainsi ce que l'on appelle une attaque par relecture.
Une approche en plusieurs phases pour IKE présente les avantages suivants: en utilisant l’association de phase 1, chaque pair peut lancer une phase 2 à tout moment pour renégocier un nouveau fournisseur d’assurance afin de garantir la sécurité de la communication. Une fois les phases de l'échange de clés Internet terminées, un tunnel IPSec est créé pour l'échange d'informations. Les paquets envoyés via le tunnel sont cryptés et décryptés conformément aux associations de sécurité définies lors de la phase 2. Une fois l'opération terminée, le tunnel se termine, soit en expirant selon un délai prédéfini, soit après le transfert d'une certaine quantité de données. Bien entendu, des négociations supplémentaires de phase 2 IKE peuvent maintenir le tunnel ouvert ou, au contraire, ouvrir une nouvelle négociation de phase 1 et de phase 2 pour établir un nouveau tunnel sécurisé.