Définition
IPsec (Internet Protocol security) est un framework (et non pas un protocole) les plus utilisés pour réalisés des réseaux VPN (virtual private network).
Il a été développé avec IPv6 dans le but de combler au manque de IPv4. En effet ce protocole n’offre pas d’authentification ( on est jamais réellement sûr et certain de s’adresser à la bonne personne).
IPv6 ayant du chemin à parcourir pour se démocratiser, IPsec a été implémenté comme une sur couche à IP).
Il offre donc les fonctionnalités suivantes :
- Authentification (non répudiation)
- Chiffrement
- intégrité
- … et parfois anti rejeu (le fait de ne pas pouvoir refaire la même information dans une même communication)
- Protocole 50 : ESP (Encapsulation Security payload) qui fournit de l’intégrité, chiffrement et authentification (RFC 2406)
- Protocole 51 : AH (Authentication Header) qui fournit de l’intégrité et de l’authentification (le nom est suffisamment parlant) (RFC 2402)
Chiffrement
Ipsec fournit un chiffrement symétrique des données. Cela permet de faire transiter des données de manière protégée à travers un réseau non sécurisé.
Les algorithmes de chiffrement seront naturellement DES, 3DES, AES etc …
Nous n’étudierons pas les algorithmes, nous ne sommes pas dans un cours de maths
Intégrité
Pour rappel, l’intégrité est une manière d’assurer au destinataire que les données n’ont pas été modifié (involontaire ou pas …).
Les algorithmes seront tout comme SSL, MD5 et SHA-1 (SHA-128 … etc).
Nous ne sommes toujours pas un cours de maths mais nous verrons juste le grand principe de l’intégrité (hache).
Authentification
IPsec permet donc de chiffrer les données mais rien ne dit que vous n’échangez pas des données avec un tiers indésirable. C’est la principal faiblesse de IPv6.
Nous ne sommes jamais à l’abri d’une redirection DNS (DNS cache poisoning) , d’une manipulation d’une table de routage via un routeur corrompu ou plus simplement d’un petit malin sur son propre réseau LAN qui va écouter un trafic via diverses techniques (port mirroring sur un switch corrompu, ARP cache poisoning, HUB ethernet etc …).
L’authentification va nous permettre d’être sûr et certain de “parler” avec le bon destinataire.
L’authentification est réalisée par des algorithmes comme HMAC-md5 ou HMAC-SHA qui reposent sur les signatures digitales. Un message haché est combiné par une clef.
Négociation
Si j’ai bien suivi jusque là, IPsec va nous fournir une sorte de tunnel sécurisé entre deux personnes. Ce tunnel va nous permettre de casser toute tentative de “man in the middle” …
Oui le petit malin boutonneux (ou pas) qui veut absolument lire vos documents échangés à votre agence.
Avant d’en arriver à ce résultat, un processus assez lourd va être enclenché afin de :
- Négocier les protocoles et algorithmes de chiffrement et d’intégrité (hache)
- Méthode d’authentification
- durée de vie du tunnel
- La longueur de la clef de chiffrement
- La durée de vie de cette même clef.
- Sécurité via une durée de vie courte
- Performance via une durée de vie longue