Che cos'è lo scambio di chiavi Internet?
Internet Key Exchange (IKE) è un insieme di protocolli di supporto creati dall'Internet Engineering Task Force (IETF) e utilizzati con gli standard IPSec (Internet Protocol Security) per fornire comunicazioni sicure tra due dispositivi, o peer, su una rete. Come protocollo, IKE può essere utilizzato in diverse applicazioni software. Un esempio comune è la creazione di una rete privata virtuale protetta (VPN). Sebbene standard su praticamente tutti i moderni sistemi operativi per computer e apparecchiature di rete, gran parte di ciò che fa Internet Key Exchange è nascosto alla vista dell'utente medio.
I protocolli in IKE stabiliscono quella che viene chiamata un'associazione di sicurezza (SA) tra due o più peer su IPSec, che è necessaria per qualsiasi comunicazione sicura tramite IPSec. La SA definisce l'algoritmo crittografico utilizzato nella comunicazione, le chiavi di crittografia e le loro date di scadenza; tutto questo va quindi nel database delle associazioni di sicurezza (SAD) di ogni peer. Mentre IPSec può avere la sua SA configurata manualmente, Internet Key Exchange negozia e stabilisce automaticamente le associazioni di sicurezza tra peer, inclusa la possibilità di crearne una propria.
Internet Key Exchange è noto come protocollo ibrido. IKE utilizza un framework di protocollo noto come Internet Security Association e Key Management Protocol (ISAKMP). ISAKMP fornisce a IKE la possibilità di stabilire la SA e svolge i compiti di definire il formato del payload dei dati e decidere il protocollo di scambio delle chiavi che verrà utilizzato. ISAKMP è in grado di utilizzare diversi metodi per lo scambio di chiavi, ma la sua implementazione in IKE utilizza aspetti di due. La maggior parte del processo di scambio di chiavi utilizza il metodo OAKLEY Key Determination Protocol (OAKLEY), che definisce le varie modalità, ma IKE utilizza anche alcuni dei metodi SKEME (Source Key Exchange Mechanism), che consente la crittografia della chiave pubblica e ha la capacità di aggiorna rapidamente i tasti.
Quando i peer desiderano comunicare in modo sicuro, si inviano l'un l'altro quello che viene chiamato "traffico interessante". Il traffico interessante sono i messaggi che aderiscono a una politica IPSec stabilita sui peer. Un esempio di questa politica presente nei firewall e nei router è chiamato elenco di accesso. All'elenco di accesso viene fornita una politica di crittografia in base alla quale determinate dichiarazioni all'interno della politica determinano se i dati specifici inviati tramite la connessione debbano essere crittografati o meno. Una volta che i peer interessati alla comunicazione protetta hanno abbinato una politica di sicurezza IPSec tra loro, inizia il processo di scambio di chiavi Internet.
Il processo IKE si svolge in fasi. Molte connessioni sicure iniziano in uno stato non protetto, quindi la prima fase negozia il modo in cui i due peer continueranno il processo di comunicazione sicura. IKE autentica prima l'identità dei peer e quindi protegge le loro identità determinando quali algoritmi di sicurezza verranno utilizzati da entrambi i peer. Utilizzando il protocollo di crittografia a chiave pubblica Diffie-Hellman, in grado di creare chiavi corrispondenti tramite una rete non protetta, Internet Key Exchange crea chiavi di sessione. IKE termina la Fase 1 creando una connessione sicura, un tunnel, tra i peer che verranno utilizzati nella Fase 2.
Quando IKE entra nella Fase 2, i peer usano la nuova IKE SA per impostare i protocolli IPSec che useranno durante il resto della loro connessione. Viene stabilita un'intestazione di autenticazione (AH) che verificherà che i messaggi inviati vengano ricevuti intatti. Anche i pacchetti devono essere crittografati, quindi IPSec utilizza quindi il protocollo di sicurezza incapsulante (ESP) per crittografare i pacchetti, proteggendoli da occhi indiscreti. L'AH viene calcolato in base al contenuto del pacchetto e il pacchetto viene crittografato, quindi i pacchetti sono protetti da chiunque tenti di sostituire i pacchetti con quelli falsi o di leggere il contenuto di un pacchetto.
IKE scambia anche noncript crittografici durante la Fase 2. Un nonce è un numero o una stringa che viene utilizzata una sola volta. Il nonce viene quindi utilizzato da un peer se deve creare una nuova chiave segreta o impedire a un utente malintenzionato di generare false SA, impedendo quello che viene chiamato un attacco di replay.
I vantaggi di un approccio a più fasi per IKE è che utilizzando la SA di Fase 1, entrambi i peer possono avviare una Fase 2 in qualsiasi momento per rinegoziare una nuova SA per garantire che la comunicazione rimanga sicura. Dopo che Internet Key Exchange ha completato le sue fasi, viene creato un tunnel IPSec per lo scambio di informazioni. I pacchetti inviati tramite il tunnel vengono crittografati e decrittografati in base alle SA stabilite durante la Fase 2. Al termine, il tunnel termina, scadendo in base a un limite di tempo predeterminato o dopo il trasferimento di una determinata quantità di dati. Naturalmente, ulteriori trattative IKE di Fase 2 possono mantenere aperto il tunnel o, in alternativa, avviare una nuova negoziazione di Fase 1 e Fase 2 per stabilire un nuovo tunnel sicuro.