Kryptografie (16) : VPN - IPSec

Im vorherigen Artikel wurde das Prinzip des Tunneling erläutert. Mit IPSec sollen nun auf Kryptographie basierende Sicherheitsfunktionen angeboten werden.
Damit soll die Vertraulichkeit, Integrität und Authentizität gewährleistet werden. IPSec basiert auf drei Standards: Der Authentication Header (AH), das Encapsulating Security Payload (ESP) sowie das Internet Key Exchange (IKE).

• Authentication Header
  Mit dem AH werden die Authentizität und die Integrität durch einen verschlüsselten Hashwert (MAC) sichergestellt.

• Encapsulating Security Payload
  Das ESP sichert die Vertraulichkeit ab, indem das IP-Paket symmetrisch (AES) verschlüsselt wird.

• Internet Key Exchange
  In dem IKE handeln der Sender und der Empfänger diverse Parameter aus, wie z.B. die zu benutzenden Algorithmen für Verschlüsselung oder die Hash-Algorithmen. Beim Aufbau einer VPN-Verbindung authentisieren sich die beiden Parteien gegenseitig.

Nachdem diese Vorkehrungen getroffen sind, folgt nun die Datenübertragung. IPSec bietet zwei Arten der Übertragung an. Einmal der Transportmodus (transport mode) und der Tunnelmodus (tunnel mode).
Im Transportmodus wird nur die Nutzlast eines IP-Paketes verändert. Um einen AH zu ermitteln, wird aus dem gesamten IP-Paket ein MAC berechnet und im IP-Paket eingefügt. Ein ESP entsteht, wenn das TCP-Paket sowie die Nutzlast symmetrisch verschlüsselt wird. Die Nutzlast wird quasi gekapselt, daher der Begriff encapsulating.
Wählt man den Tunnelmodus, so wird das vollständige IP-Paket als Nutzlast in einem weiteren IP-Paket untergebracht.

AH, ESP mit Tunnelmodus

Diese Grafik soll demonstrieren, wenn der Authentication Header, das Encapsulating Security Payload sowie der Tunnelmodus gewählt wird.
Wird nur der Transportmodus mit AH und ESP gewählt, so entfällt der unterste Teil dieser Grafik.

• Quelle(n)
  [1] Rami Rosen. Creating VPNs with IPsec and SSL/TLS. In: Linux Journal, Januar 2008, Belltown Media, ISSN: 1075-3583