IPSEC (INTERNET PROTOCOL SECURITY) : une technologie courante de tunnelisation VPN

IPsec, également connu sous le nom de Internet Protocol Security, définit l’architecture des services de sécurité pour un trafic réseau IP.

IPsec décrit le cadre de travail pour assurer la sécurité de la couche IP, ainsi que la suite de protocoles conçus pour assurer cette sécurité, par l’authentification et le chiffrement des paquets du réseau IP.

IPsec comprend également des protocoles qui définissent les algorithmes cryptographiques utilisés pour chiffrer, déchiffrer et authentifier les paquets, ainsi que les protocoles nécessaires à l’échange sécurisé et à la gestion des clés.

A l’origine, IPsec a défini deux mécanismes pour imposer la sécurité aux paquets IP : le protocole Encapsulating Security Payload (ESP), qui définit une méthode de chiffrement des données dans les paquets IP, et le protocole Authentication Header (AH), qui définit une méthode de signature numérique des paquets IP. Le protocole IKE (Internet Key Exchange) est utilisé pour gérer les clés cryptographiques utilisées par les hôtes pour IPsec.

IPsec peut être utilisé pour protéger les données réseau, par exemple, en mettant en place des circuits utilisant le tunneling IPsec, dans lequel toutes les données envoyées entre deux points finaux sont cryptées, comme avec une connexion VPN (Virtual Private Network), pour crypter les données de la couche application, et assurer la sécurité des routeurs qui envoient les données de routage sur internet (voir notre article : → Qui utilise un VPN ?).

IPsec peut également être utilisé pour fournir une authentification sans chiffrement, par exemple pour authentifier que des données proviennent d’un expéditeur connu.

Le trafic internet peut être sécurisé d’hôte en hôte sans l’utilisation d’IPsec, par exemple par chiffrage au niveau de la couche application (couche 7 du modèle OSI) avec HTTP Secure (HTTPS) ou de la couche transport (couche 4 du modèle OSI) avec le protocole Transport Layer Security (TLS). Toutefois, lorsque le trafic utilise le chiffrement ou l’authentification à ces niveaux supérieurs, les acteurs de menaces peuvent toujours être en mesure d’intercepter des informations de protocole non chiffrées.

Aux origines d’IPsec

IPsec a été développé par l’IETF (Internet Engineering Task Force) pour le transfert sécurisé d’informations à la couche 3 de l’OSI sur un réseau IP public non protégé comme internet.

IPsec permet à un système de sélectionner et de négocier les protocoles de sécurité, les algorithmes et les clés secrètes nécessaires pour les services demandés.

IPsec fournit des services d’authentification de base, d’intégrité des données et de chiffrage pour protéger la consultation et la modification non autorisées des données.

Il utilise deux protocoles de sécurité différents :

[su_list icon=”icon: share” icon_color=”#FF6138″]

• AH (Authentication header)
• et ESP (Encapsulated Security Payload)

[/su_list]

Cependant, IPsec est limité à l’envoi de paquets IP.

Les protocoles de sécurité pour la sécurité du trafic

IPsec utilise les protocoles AH et ESP pour fournir des services de sécurité :

1. AH (Authentication Header) fournit l’authentification de la source et l’intégrité des paquets IP, mais ne possède pas de cryptage. Un en-tête AH ajouté au paquet IP contient un hachage des données, un numéro de séquence, ainsi que des informations qui peuvent être utilisées pour vérifier l’expéditeur, assurer l’intégrité des données et empêcher la redondance des attaques.
2. Le protocole ESP (Encapsulated Security Payload) assure la confidentialité des données, en plus de l’authentification de la source et de l’intégrité. L’ESP utilise des algorithmes de chiffrage symétrique, tels que 3DES, pour assurer la confidentialité des données. L’algorithme doit être le même sur les deux pairs communicants. L’ESP peut également prendre en charge les configurations de chiffrement seul ou d’authentification seule. Cependant, des recherches menées en 2007 ont montré que toute implémentation conforme à la RFC d’IPsec qui n’utilise que l’ESP peut être interrompue (source).

Voir aussi : Les différents types de VPN

Modes de fonctionnement

Chaque protocole de sécurité prend en charge deux modes de fonctionnement :

[su_list icon=”icon: share” icon_color=”#FF6138″]

• un mode tunnel
• et un mode transport.

[/su_list]

Le mode tunnel chiffre et/ou authentifie l’en-tête et les données de chaque paquet. Inversement, le mode transport chiffre et/ou authentifie uniquement les données elles-mêmes.

1. Le mode tunnel de bout en bout

Ici, l’ensemble du paquet est protégé. Le paquet IP d’origine est inséré dans un nouveau paquet IP, tandis que l’AH et l’ESP sont appliqués au nouveau paquet.

Le nouvel en-tête IP pointe vers le point final de la balise tunnel.

A la réception du paquet, le point final du tunnel décryptera le fichier. Le paquet d’origine est ensuite acheminé vers sa destination finale dans le répertoire réseau cible.

2. Le mode transport d’hôte à hôte

Ici, les en-têtes AH et ESP sont appliquées aux données de l’IP d’origine.

Ce mode chiffre et / ou authentifie les données mais pas l’IP en-tête. La surcharge ajoutée est inférieure à celle requise en mode tunnel. Le danger, c’est que les attaquants peuvent effectuer une analyse de trafic basée sur les informations d’en-tête. C’est pourquoi il n’est généralement utilisé que pour les connexions d’hôte à hôte.