Cos'è lo scambio di chiavi Internet?
Internet Key Exchange (IKE) è un insieme di protocolli di supporto creati dalla Task Force (IETF) di Internet Engineering (IETF) e utilizzati con gli standard di sicurezza di Internet Protocol Security (IPSEC) per fornire comunicazioni sicure tra due dispositivi o peer, su una rete. Come protocollo, IKE può essere utilizzato in una serie di applicazioni software. Un esempio comune è la creazione di una rete privata virtuale sicura (VPN). Sebbene standard praticamente su tutti i moderni sistemi operativi per computer e apparecchiature di networking, gran parte di ciò che fa lo scambio di chiavi Internet è nascosto dalla vista dell'utente medio.
I protocolli in IKE stabiliscono quella che viene chiamata un'associazione di sicurezza (SA) tra due o più colleghi su IPSEC, che è richiesta per qualsiasi comunicazione sicura tramite IPSEC. La SA definisce l'algoritmo crittografico utilizzato nella comunicazione, nelle chiavi di crittografia e nelle loro date di scadenza; Tutto questo va quindi nel database dell'associazione di sicurezza di ciascun peer (SAD). Mentre Ipsec può avere la sua SA configurata manualmente,Internet Key Exchange negozia e stabilisce automaticamente le associazioni di sicurezza tra i coetane
Lo scambio di chiavi Internet è noto come protocollo ibrido. IKE utilizza un framework di protocollo noto come Internet Security Association e Key Management Protocol (ISAKMP). ISAKMP fornisce a Ike la capacità di stabilire la SA e svolge i lavori di definizione del formato del payload di dati e decisione sul protocollo di scambio chiave che verrà utilizzato. ISAKMP è in grado di utilizzare diversi metodi per lo scambio di chiavi, ma la sua implementazione in IKE utilizza aspetti di due. La maggior parte del processo di scambio chiave utilizza il metodo Oakley (Oakley Key Determintion Protocol), che definisce le varie modalità, ma IKE utilizza anche parte del metodo Skeme (Sorte Key Exchange Mechanism), che consente la crittografia delle chiavi pubbliche e ha la possibilità di aggiornare rapidamente le chiavi.
Quando i coetanei desiderano comunicare in modo sicuro, inviano quello che viene chiamato "traffico interessante". Il traffico interessante sono i messaggi che aderiscono a una politica IPsec che è stata stabilita sui coetanei. Un esempio di questa politica trovata in firewall e router è chiamato elenco di accesso. All'elenco di accesso viene fornita una politica di crittografia attraverso la quale determinate dichiarazioni all'interno della politica determinano se i dati specifici inviati sulla connessione debbano essere crittografati o meno. Una volta che i colleghi interessati alla comunicazione sicuri hanno abbinato una politica di sicurezza IPSEC tra loro, inizia il processo di scambio di chiave Internet.
Il processo IKE si svolge in fasi. Molte connessioni sicure iniziano in uno stato non garantito, quindi la prima fase negozia come i due colleghi continueranno il processo di comunicazione sicura. Ike prima autentica l'identità dei coetanei e quindi protegge le loro identità determinando quali algoritmi di sicurezza utilizzeranno entrambi i pari. Usando il diffie-hellman pProtocollo di crittografia a chiave UBLIC, che è in grado di creare chiavi di corrispondenza tramite una rete non protetta, lo scambio di chiavi Internet crea chiavi di sessione. Ike termina la fase 1 creando una connessione sicura, un tunnel, tra i coetanei che verranno utilizzati nella fase 2.
Quando Ike entra nella fase 2, i colleghi usano il nuovo IKE SA per la configurazione dei protocolli IPSEC che useranno durante il resto della loro connessione. Viene stabilita un'intestazione di autenticazione (AH) che verificherà che i messaggi inviati siano ricevuti intatti. I pacchetti devono anche essere crittografati, quindi IPSEC utilizza quindi il Protocollo di sicurezza incapsulante (ESP) per crittografare i pacchetti, mantenendoli al sicuro dagli occhi indiscreti. L'AH è calcolato in base al contenuto del pacchetto e il pacchetto viene crittografato, quindi i pacchetti sono fissati da chiunque stia tentando di sostituire i pacchetti con quelli falsi o leggere il contenuto di un pacchetto.
Ike scambia anche non GE crittografici durante la fase 2. Un nonce è un numero o una stringa che viene utilizzato una sola volta.La nonce viene quindi utilizzata da un peer se è necessario creare una nuova chiave segreta o per impedire a un aggressore di generare SAS falsi, impedendo quello che viene chiamato un attacco di replay.
I vantaggi di un approccio multi-fase per IKE è che utilizzando la Fase 1 SA, entrambi i peer possono iniziare una fase 2 in qualsiasi momento per rinegoziare una nuova SA per garantire che la comunicazione rimanga sicura. Dopo che lo scambio di chiave Internet completa le sue fasi, viene creato un tunnel IPSEC per lo scambio di informazioni. I pacchetti inviati tramite il tunnel vengono crittografati e decrittografati in base al SAS stabilito durante la fase 2. Al termine, il tunnel termina, scadendo in base a un limite di tempo predeterminato o dopo che una certa quantità di dati è stata trasferita. Naturalmente, ulteriori negoziati IKE di Fase 2 possono mantenere il tunnel aperto o, in alternativa, avviare una nuova negoziazione di fase 1 e fase 2 per stabilire un nuovo tunnel sicuro.