Qu'est-ce que l'échange de clés Internet?

L'Internet Key Exchange (IKE) est un ensemble de protocoles de support créés par le groupe de travail d'ingénierie Internet (IETF) et utilisé avec les normes de sécurité des protocoles Internet (IPSEC) pour fournir des communications sécurisées entre deux appareils, ou pairs, sur un réseau. En tant que protocole, Ike peut être utilisé dans un certain nombre d'applications logicielles. Un exemple courant est la configuration d'un réseau privé virtuel sécurisé (VPN). Bien que standard sur pratiquement tous les systèmes d'exploitation informatique modernes et l'équipement de mise en réseau, une grande partie de ce que fait l'échange de clés Internet est caché à la vue de l'utilisateur moyen.

Les protocoles d'Ike établissent ce qu'on appelle une association de sécurité (SA) entre deux ou plusieurs pairs sur IPSec, qui est requis pour toute communication sécurisée via IPSEC. La SA définit l'algorithme cryptographique utilisé dans la communication, les clés de chiffrement et leurs dates d'expiration; Tout cela va ensuite dans la base de données de l'association de sécurité de chaque paier (SAD). Tandis que iPsec peut se faire configurer manuellement sa SA,L'échange de clés Internet négocie et établit automatiquement les associations de sécurité entre les pairs, y compris la possibilité de créer la sienne.

L'échange de clés Internet est connu comme un protocole hybride. IKE utilise un cadre de protocole connu sous le nom d'association de sécurité Internet et le protocole de gestion des clés (ISAKMP). ISAKMP offre à Ike la possibilité d'établir le SA et fait les travaux de définition du format de la charge utile des données et de décider du protocole d'échange clé qui sera utilisé. ISAKMP est capable d'utiliser plusieurs méthodes pour échanger des clés, mais son implémentation dans IKE utilise des aspects de deux. La majeure partie du processus d'échange de clés utilise la méthode Oakley Key Determination Protocol), qui définit les différents modes, mais IKE utilise également une partie de la méthode de mécanisme d'échange de clés source (SKEME), qui permet le chiffrement public des clés et a la capacité de rafraîchir rapidement les clés.

Lorsque les pairs souhaitent communiquer en toute sécurité, ils envoient ce qu'on appelle le "trafic intéressant" les uns aux autres. Le trafic intéressant est des messages qui adhèrent à une politique IPSEC qui a été établie sur les pairs. Un exemple de cette politique trouvé dans les pare-feu et les routeurs s'appelle une liste d'accès. La liste d'accès reçoit une politique de cryptographie par laquelle certaines instructions au sein de la politique déterminent si des données spécifiques envoyées sur la connexion doivent être cryptées ou non. Une fois que les pairs intéressés par une communication sécurisée ont correspondant à une politique de sécurité IPSEC entre eux, le processus d'échange de clés Internet commence.

Le processus IKE a lieu en phases. De nombreuses connexions sécurisées commencent dans un état non garanti, de sorte que la première phase négocie comment les deux pairs vont poursuivre le processus de communication sécurisée. Ike authentifie d'abord l'identité des pairs, puis sécurise leur identité en déterminant quels algorithmes de sécurité utiliseront les deux pairs. Utilisation du Diffie-Hellman PProtocole de cryptographie Ublic Key, qui est capable de créer des clés correspondantes via un réseau non protégé, l'échange de touches Internet crée des clés de session. Ike termine la phase 1 en créant une connexion sécurisée, un tunnel, entre les pairs qui sera utilisé dans la phase 2.

Lorsque Ike entre dans la phase 2, les pairs utilisent le nouveau IKE SA pour mettre en place les protocoles IPSEC qu'ils utiliseront pendant le reste de leur connexion. Un en-tête d'authentification (AH) est établi qui vérifiera que les messages envoyés sont reçus intacts. Les paquets doivent également être cryptés, donc IPSec utilise ensuite le protocole de sécurité d'encapsulation (ESP) pour crypter les paquets, en les gardant à l'abri des yeux indiscrets. L'AH est calculé sur la base du contenu du paquet, et le paquet est crypté, de sorte que les paquets sont sécurisés par quiconque tente de remplacer les paquets par des bidon ou la lecture du contenu d'un paquet.

Ike échange également les non-cryptographies pendant la phase 2. Un nonce est un nombre ou une chaîne qui n'est utilisé qu'une seule fois.Le nonce est ensuite utilisé par un pair s'il a besoin de créer une nouvelle clé secrète ou d'empêcher un attaquant de générer de faux SAS, empêchant ce qu'on appelle une attaque de relecture.

Les avantages d'une approche en plusieurs phases pour IKE est qu'en utilisant la phase 1 SA, l'un ou l'autre pair peut initier une phase 2 à tout moment pour renégocier une nouvelle SA pour garantir la sécurité de la communication. Une fois que l'échange de clés Internet a terminé ses phases, un tunnel IPSEC est créé pour l'échange d'informations. Les paquets envoyés via le tunnel sont cryptés et déchiffrés selon les SAS établis pendant la phase 2. Une fois terminé, le tunnel se termine, en expirant sur la base d'un délai prédéterminé, ou après une certaine quantité de données transférées. Bien sûr, des négociations supplémentaires de la phase 2 IKE peuvent garder le tunnel ouvert ou, alternativement, démarrer une nouvelle négociation de phase 1 et de phase 2 pour établir un nouveau tunnel sécurisé.