IPsec: IKEv2-, ESP- und AH-Protokolle

IPsec ist kein einzelnes Protokoll, sondern eine Standardsuite zur Authentifizierung und Verschlüsselung von IP-Datenverkehr. Die wichtigsten Komponenten sind IKE (Internet Key Exchange) zum Aufbau und zur Verwaltung von Security Associations, ESP (Encapsulating Security Payload) zur Verschlüsselung und Integritätssicherung sowie AH (Authentication Header) zur Integritätssicherung ohne Verschlüsselung. IPsec arbeitet auf der Netzwerkschicht und schützt den gesamten Datenverkehr, ohne dass Anwendungen geändert werden müssen.

IKEv2 (RFC 7296) hat IKEv1 durch ein einfacheres und effizienteres Design ersetzt. IKEv1 erforderte mehrere Modi und Nachrichtenaustausche; IKEv2 verwendet ein einheitliches Austauschmodell. IKEv2 bietet außerdem integriertes NAT-Traversal, EAP-Unterstützung für die Benutzerauthentifizierung, MOBIKE für Änderungen mobiler IP-Adressen und sicherere Standardeinstellungen. Die meisten modernen VPN-Implementierungen verwenden IKEv2.

Der Austausch IKE_SA_INIT baut die IKE Security Association auf. Der Initiator sendet unterstützte Algorithmen, einen Diffie-Hellman-Schlüsselanteil und eine Nonce. Der Responder wählt die Algorithmen aus und sendet seinen DH-Schlüsselanteil sowie eine Nonce. Beide Parteien berechnen dasselbe gemeinsame Geheimnis und leiten daraus Schlüssel für die IKE SA ab. Dieser Austausch schützt die anschließende Phase IKE_AUTH.

Der Austausch IKE_AUTH authentifiziert die Gegenstellen und erstellt die erste Child SA für den tatsächlichen Datenverkehr. Die Authentifizierung kann über X.509-Zertifikate (am sichersten), Pre-Shared Keys (PSK) oder EAP-Verfahren zur Authentifizierung auf Benutzerebene erfolgen. Beim Austausch werden außerdem die Parameter der Child SA ausgehandelt: die Traffic-Selectoren (also, welche IP-Bereiche geschützt werden), der Verschlüsselungsalgorithmus und der Integritätsalgorithmus.

ESP (Encapsulating Security Payload) ist das zentrale Protokoll zum Schutz des IPsec-Datenverkehrs. Im Tunnelmodus kapselt ESP das gesamte ursprüngliche IP-Paket in ein neues IP-Paket mit einem ESP-Header und bietet dadurch sowohl Verschlüsselung als auch Integritätssicherung. Im Transportmodus schützt ESP nur die Nutzlast des ursprünglichen IP-Pakets, wobei der ursprüngliche IP-Header erhalten bleibt. AES-256-GCM ist der empfohlene Algorithmus für ESP in modernen Implementierungen.

AH (Authentication Header) bietet Integrität und Authentifizierung ohne Verschlüsselung. Es umfasst den ursprünglichen IP-Header (anders als ESP), wodurch AH jedoch nicht mit NAT kompatibel ist, da NAT Felder im IP-Header verändert. Da AH keine Vertraulichkeit bietet und NAT-Traversal verhindert, wird es in der Praxis nur selten verwendet. ESP mit starken AEAD-Algorithmen bietet besseren Schutz als AH in Kombination mit einer separaten Verschlüsselung.

Im Transportmodus schützt IPsec die Nutzlast zwischen zwei Endpunkten, während die IP-Header sichtbar bleiben. Dies wird für die Host-zu-Host-Kommunikation verwendet, wenn Routinginformationen nicht verborgen werden müssen. Im Tunnelmodus wird das gesamte ursprüngliche IP-Paket in ein neues Paket gekapselt, wodurch Quelle und Ziel für Beobachter verborgen werden. VPN-Gateways verwenden immer den Tunnelmodus, um Netzwerke miteinander oder Benutzer mit Netzwerken zu verbinden.

Standardmäßiges ESP kann nicht durch NAT hindurchgelangen, da NAT IP-Header und Portnummern verändert, die von der ESP-Integritätsprüfung abgedeckt werden. IPsec löst dies mit NAT-T (NAT Traversal): NAT wird während des IKE-Austauschs erkannt und ESP-Pakete werden in UDP über Port 4500 gekapselt. Diese UDP-Hülle ermöglicht es NAT, Adressen zu übersetzen, ohne die ESP-Integritätsprüfung zu beeinträchtigen.

IPsec verwaltet eine Security Association Database (SAD), in der alle aktiven SAs mit ihren Schlüsseln, Algorithmen und Lebensdauern gespeichert werden. Die Security Policy Database (SPD) legt fest, welcher Datenverkehr geschützt, umgangen oder verworfen werden soll. Wenn ausgehender Datenverkehr einem SPD-Eintrag entspricht, sucht der Kernel die entsprechende SA in der SAD oder erstellt sie und wendet den festgelegten Schutz an.

EAP (Extensible Authentication Protocol) in IKEv2 ermöglicht Authentifizierungsverfahren auf Benutzerebene, die über Zertifikate und PSK hinausgehen. EAP-TLS verwendet Clientzertifikate, EAP-MSCHAPv2 verwendet Benutzernamen und Passwort (bei Windows-Clients üblich), und EAP-TTLS tunnelt innere Verfahren innerhalb einer TLS-Sitzung. Viele IPsec-VPNs in Unternehmen verwenden Zertifikatsauthentifizierung für das Gateway und EAP für einzelne Benutzer.

Security Associations haben Begrenzungen für die Lebensdauer in Bezug auf Datenmenge und Zeit. Wenn sich die Lebensdauer einer Child SA ihrem Ende nähert, erstellt IKEv2 über einen CREATE_CHILD_SA-Austausch automatisch eine neue SA mit frischen Schlüsseln. Dieses Rekeying sorgt für Forward Secrecy: Wird der aktuelle Schlüssel kompromittiert, wird dadurch kein Zugriff auf vergangenen, mit vorherigen Schlüsseln verschlüsselten Datenverkehr möglich. Die Lebensdauer der IKE SA ist typischerweise länger als die der Child SA.

Welcher IPsec-Modus kapselt das gesamte ursprüngliche IP-Paket in ein neues Paket und verbirgt dadurch die ursprünglichen Quell- und Zieladressen?

Zusammenfassung zu IPsec: IKEv2 baut Security Associations über IKE_SA_INIT (DH-Schlüsselaustausch) und IKE_AUTH (Authentifizierung der Gegenstellen) auf, ESP stellt verschlüsselten und authentifizierten Datenverkehr im Tunnelmodus bereit, AH wird wegen seiner Inkompatibilität mit NAT nur selten verwendet, NAT-T kapselt ESP für die NAT-Durchquerung in UDP, und automatisches Rekeying sorgt während der gesamten Lebensdauer der VPN-Sitzung für Forward Secrecy.