IPsec

Steht für „Internet Protocol Security“.

IPsec ist eine Gruppe von Protokollen, die dabei helfen, sichere Verbindungen zwischen zwei Geräten über ein Netzwerk herzustellen. Es arbeitet auf Grundlage der standardmäßigen IP-Protokollfamilie und fügt dem Netzwerkverkehr Authentifizierung und Verschlüsselung hinzu – unabhängig davon, ob er über ein lokales Netzwerk oder das öffentliche Internet übertragen wird. IPsec wird am häufigsten verwendet, um sichere Verbindungen für virtuelle private Netzwerke (VPNs) herzustellen, kann aber Datenübertragungen für viele Zwecke absichern.

Die IPsec-Protokollfamilie besteht aus drei Protokollen, die zusammenarbeiten, um IP-Datenverkehr zu authentifizieren und zu verschlüsseln:

• Das Protokoll Internet Key Exchange (IKE) übernimmt die Verhandlungen zwischen zwei Geräten auch (Hosts genannt), um festzulegen, welche Algorithmen für die Authentifizierung und Verschlüsselung verwendet werden. Außerdem erzeugt es einen sicheren, gemeinsamen kryptografischen Schlüssel, den beide Hosts zum Verschlüsseln und Entschlüsseln von Daten verwenden können.
• Das Protokoll Authentication Header (AH) fügt dem Header jedes Datenpakets Authentifizierungsinformationen hinzu. Diese Informationen enthalten einen kryptografischen Hash des Paketinhalts. Der Empfänger kann damit feststellen, ob jemand das Paket während der Übertragung verändert hat.
• Das Protokoll Encapsulating Secure Payload (ESP) nimmt ein normales IP-Daten-Paket, verschlüsselt es mit dem vereinbarten Algorithmus und kryptografischen Schlüssel und erstellt anschließend ein neues Datenpaket mit einem neuen Header. Dieser enthält unter anderem die vom AH-Protokoll erzeugten Informationen und das verschlüsselte ursprüngliche Paket als Nutzdaten.

Diese drei Protokolle arbeiten zusammen, um den IP-Datenverkehr durchgängig zu schützen. Das IKE-Protokoll erstellt eine sichere Verbindung zwischen Hosts und legt die Einzelheiten für Authentifizierung und Verschlüsselung fest. Anschließend verschlüsselt das ESP-Protokoll jedes Datenpaket, während das AH-Protokoll Header-Informationen hinzufügt, die das Paket zu seinem Ziel weiterleiten. Außerdem stellt es sicher, dass das empfangende Gerät das Paket authentifizieren und den Empfänger benachrichtigen kann, falls ein anderes Gerät es abgefangen hat.

IPsec-Modi

Die IPsec-Protokollfamilie unterstützt zwei Modi für die sichere Übertragung von Daten. Welcher verwendet wird, hängt von der Art des Netzwerks ab, über das sie betrieben wird, und von der Art der Daten, die sie überträgt.

• Tunnelmodus verschlüsselt das gesamte IP-Paket und kapselt es in ein neues Paket ein. Dieses Paket enthält einen vollständig neuen Header mit den Ursprungs- und Zieladressen der Endpunkte des Tunnels – typischerweise der Router, die direkt mit den an der Sitzung beteiligten Computern verbunden sind. Der empfangende Router entschlüsselt das Paket, liest seine Zieladresse und leitet es an sein Ziel weiter. Der Tunnelmodus wird typischerweise für VPN-Verbindungen und bei der Übertragung von IPsec-Paketen über das öffentliche Internet verwendet.
• Transportmodus verschlüsselt nur den Inhalt eines IP-Pakets und lässt den ursprünglichen Header unverändert. Er fügt dem Header Informationen des AH-Protokolls zur Authentifizierung hinzu, verbirgt jedoch nicht die Adressen der Ursprungs- und Zielhosts. Der Transportmodus benötigt für jedes Paket etwas weniger zusätzlichen Verwaltungsaufwand und wird typischerweise verwendet, wenn IPsec-Pakete über ein lokales Netzwerk übertragen werden.