IPsec: protocolli IKEv2, ESP e AH

IPsec non è un singolo protocollo, ma una suite di standard per autenticare e crittografare il traffico IP. I componenti principali sono IKE (Internet Key Exchange) per stabilire e gestire le Security Association, ESP (Encapsulating Security Payload) per la crittografia e l'integrità e AH (Authentication Header) per l'integrità senza crittografia. IPsec opera a livello di rete e protegge tutto il traffico senza richiedere modifiche alle applicazioni.

IKEv2 (RFC 7296) ha sostituito IKEv1 con una progettazione più semplice ed efficiente. IKEv1 richiedeva più modalità e scambi di messaggi; IKEv2 utilizza un unico modello di scambio unificato. IKEv2 include inoltre l'attraversamento NAT integrato, il supporto EAP per l'autenticazione degli utenti, MOBIKE per i cambiamenti dell'indirizzo IP dei dispositivi mobili e impostazioni predefinite più sicure. La maggior parte delle implementazioni VPN moderne utilizza IKEv2.

Lo scambio IKE_SA_INIT stabilisce la Security Association IKE. L'iniziatore invia gli algoritmi supportati, la propria chiave condivisa Diffie-Hellman e un nonce. Il responder seleziona gli algoritmi e invia la propria chiave condivisa DH e il proprio nonce. Entrambe le parti calcolano lo stesso segreto condiviso e derivano le chiavi per la IKE SA. Questo scambio protegge la successiva fase IKE_AUTH.

Lo scambio IKE_AUTH autentica i peer e crea la prima Child SA per il traffico effettivo. L'autenticazione può utilizzare certificati X.509 (la soluzione più sicura), chiavi precondivise (PSK) o metodi EAP per l'autenticazione a livello utente. Lo scambio negozia inoltre i parametri della Child SA: i selettori del traffico (quali intervalli IP proteggere), l'algoritmo di crittografia e l'algoritmo di integrità.

ESP (Encapsulating Security Payload) è il componente principale della protezione del traffico IPsec. In modalità tunnel, ESP incapsula l'intero pacchetto IP originale all'interno di un nuovo pacchetto IP con un'intestazione ESP, fornendo crittografia e integrità. In modalità di trasporto, ESP protegge solo il payload del pacchetto IP originale, lasciando intatta l'intestazione IP originale. AES-256-GCM è l'algoritmo consigliato per ESP nelle implementazioni moderne.

AH (Authentication Header) fornisce integrità e autenticazione senza crittografia. Copre l'intestazione IP originale (a differenza di ESP), ma questo rende AH incompatibile con NAT, che modifica i campi dell'intestazione IP. Poiché AH non offre riservatezza e impedisce l'attraversamento NAT, nella pratica viene utilizzato raramente. ESP con algoritmi AEAD robusti offre una protezione migliore rispetto all'uso separato di AH e crittografia.

In modalità di trasporto, IPsec protegge il payload tra due endpoint, lasciando però visibili le intestazioni IP. Questa modalità viene utilizzata per le comunicazioni host-to-host quando non è necessario nascondere le informazioni di routing. In modalità tunnel, l'intero pacchetto IP originale viene incapsulato all'interno di un nuovo pacchetto, nascondendo origine e destinazione agli osservatori. I gateway VPN utilizzano sempre la modalità tunnel per connettere reti oppure utenti alle reti.

ESP standard non può attraversare il NAT perché il NAT modifica le intestazioni IP e i numeri di porta coperti dall'integrità di ESP. IPsec risolve il problema con NAT-T (NAT Traversal): rileva la presenza del NAT durante lo scambio IKE e incapsula i pacchetti ESP all'interno della porta UDP 4500. Questo involucro UDP consente al NAT di tradurre gli indirizzi senza compromettere la verifica dell'integrità di ESP.

IPsec mantiene un Security Association Database (SAD) che archivia tutte le SA attive con le relative chiavi, gli algoritmi e le durate. Il Security Policy Database (SPD) definisce quale traffico debba essere protetto, escluso o scartato. Quando il traffico in uscita corrisponde a una voce SPD, il kernel cerca o crea la SA appropriata nel SAD e applica la protezione specificata.

EAP (Extensible Authentication Protocol) in IKEv2 abilita metodi di autenticazione a livello utente oltre ai certificati e alle PSK. EAP-TLS utilizza certificati client, EAP-MSCHAPv2 utilizza nome utente e password (una combinazione comune nei client Windows) ed EAP-TTLS incapsula i metodi interni all'interno di una sessione TLS. Molte VPN IPsec aziendali utilizzano l'autenticazione tramite certificato per il gateway ed EAP per i singoli utenti.

Le Security Association hanno limiti di durata espressi in byte e tempo. Quando una Child SA si avvicina alla scadenza, IKEv2 crea automaticamente una nuova SA con chiavi aggiornate attraverso uno scambio CREATE_CHILD_SA. Questo rekeying garantisce la forward secrecy: la compromissione della chiave attuale non espone il traffico passato crittografato con le chiavi precedenti. Le durate delle IKE SA sono in genere più lunghe di quelle delle Child SA.

Quale modalità IPsec incapsula l'intero pacchetto IP originale all'interno di un nuovo pacchetto, nascondendo gli indirizzi di origine e destinazione originali?

Riepilogo di IPsec: IKEv2 stabilisce le Security Association tramite IKE_SA_INIT (scambio di chiavi DH) e IKE_AUTH (autenticazione dei peer), ESP fornisce una modalità tunnel crittografata e autenticata per il traffico, AH viene utilizzato raramente a causa dell'incompatibilità con NAT, NAT-T incapsula ESP in UDP per attraversare il NAT e il rekeying automatico garantisce la forward secrecy per tutta la durata della sessione VPN.