|
IPsec  Cet article ne cite pas suffisamment ses sources (). Si vous disposez d'ouvrages ou d'articles de référence ou si vous connaissez des sites web de qualité traitant du thème abordé ici, merci de compléter l'article en donnant les références utiles à sa vérifiabilité et en les liant à la section « Notes et références ».
En pratique : Quelles sources sont attendues ? Comment ajouter mes sources ?
 Le fond de cet article sur l'informatique est à vérifier (). Améliorez-le ou discutez des points à vérifier.
Si vous venez d’apposer le bandeau, merci d’indiquer ici les points à vérifier.
 IPsec (Internet Protocol Security), défini par l'IETF comme un cadre de standards ouverts pour assurer des communications privées et protégées sur des réseaux IP, par l'utilisation des services de sécurité cryptographiques[1], est un ensemble de protocoles utilisant des algorithmes permettant le transport de données sécurisées sur un réseau IP. IPsec se différencie des standards de sécurité antérieurs en n'étant pas limité à une seule méthode d'authentification ou d'algorithme et c'est la raison pour laquelle il est considéré comme un cadre de standards ouverts[1]. De plus, IPsec opère à la couche réseau (couche 3 du modèle OSI) contrairement aux standards antérieurs qui opéraient à la couche application (couche 7 du modèle OSI), ce qui le rend indépendant des applications, et veut dire que les utilisateurs n'ont pas besoin de configurer chaque application aux standards IPsec[1]. PrésentationRéalisée dans le but de fonctionner avec le protocole IPv6, la suite de protocoles IPsec a été adaptée pour l'actuel protocole IPv4. Son objectif est d'authentifier et de chiffrer les données : le flux ne pourra être compréhensible que par le destinataire final (confidentialité) et la modification des données par des intermédiaires ne pourra être possible (Intégrité). IPsec est souvent un composant de VPN, il est à l'origine de son aspect sécurité (canal sécurisé ou tunneling). La mise en place d'une architecture sécurisée à base d'IPsec est détaillée dans la RFC 4301[2]. FonctionnementLors de l'établissement d'une connexion IPsec, plusieurs opérations sont effectuées :
Le protocole IKE (Internet Key Exchange) est chargé de négocier la connexion. Avant qu'une transmission IPsec puisse être possible, IKE est utilisé pour authentifier les deux extrémités d'un tunnel sécurisé en échangeant des clés partagées. Ce protocole permet deux types d'authentifications, PSK (secret prépartagé ou secret partagé) pour la génération de clefs de sessions RSA ou à l'aide de certificats. Ces deux méthodes se distinguent par le fait que l'utilisation d'un certificat signé par une tierce-partie appelée Autorité de certification (CA) assure l'authentification. Tandis qu'avec l'utilisation de clefs RSA, une partie peut nier être à l'origine des messages envoyés. IPsec utilise une association de sécurité (Security association) pour dicter comment les parties vont faire usage de AH (Authentication header), protocole définissant un format d'en-tête spécifique portant les informations d'authentification, et de l'encapsulation de la charge utile d'un paquet.
Un ou plusieurs canaux de données par lesquels le trafic du réseau privé est véhiculé, deux protocoles sont possibles :
Modes de fonctionnement IPsec peut fonctionner dans un mode transport hôte à hôte ou bien dans un mode tunnel réseau.
Dans le mode transport, ce sont uniquement les données transférées (la partie payload du paquet IP) qui sont chiffrées et/ou authentifiées. Le reste du paquet IP est inchangé et de ce fait le routage des paquets n'est pas modifié. Néanmoins, les adresses IP ne pouvant pas être modifiées par le NAT sans corrompre le hash de l'en-tête AH généré par IPsec, AH ne peut pas être utilisé dans un environnement nécessitant ces modifications d'en-tête. En revanche, il est possible d'avoir recours à l'encapsulation NAT-T pour encapsuler IPSec ESP. Le mode transport est utilisé pour les communications dites hôte à hôte (Host-to-Host).
En mode tunnel, c'est la totalité du paquet IP qui est chiffré et/ou authentifié. Le paquet est ensuite encapsulé dans un nouveau paquet IP avec un nouvel en-tête IP. Au contraire du mode transport, ce mode supporte donc bien la traversée de NAT quand le protocole ESP est utilisé. Le mode tunnel est utilisé pour créer des réseaux privés virtuels (VPN) permettant la communication de réseau à réseau (c.a.d. entre deux sites distants), d'hôte à réseau (accès à distance d'un utilisateur) ou bien d'hôte à hôte (messagerie privée.) Algorithmes cryptographiquesPour que les réalisations d'IPsec interopèrent, elles doivent avoir un ou plusieurs algorithmes de sécurité en commun. Les algorithmes de sécurité utilisés pour une association de sécurité ESP ou AH sont déterminés par un mécanisme de négociation, tel que Internet Key Exchange (IKE)[4]. Les algorithmes de chiffrement et d'authentification pour IPsec encapsulant le protocole ESP et AH sont :
En référence avec la RFC 8221 Liste des RFC relatives à IPsec Cette section contient une ou plusieurs listes. Le texte gagnerait à être rédigé sous la forme de paragraphes synthétiques. Les listes peuvent demeurer si elles sont introduites par une partie rédigée et sourcée, de façon à bien resituer les différents éléments (septembre 2022).
ControverseEn , Gregory Perry (ex directeur technique de la société NETSEC) a prétendu dans un mail adressé à l’équipe de développement d’OpenBSD que des portes dérobées auraient été placées dans le framework OCF d'OpenBSD à la demande du FBI dans les années 2000, n'étant plus sous le coup d'une clause de confidentialité de 10 ans[5]. Cette pile a été réutilisée dans d'autres projets, bien que largement modifiée depuis. Notes et références
AnnexesBibliographie
Articles connexes |
