IPsec

Staat voor "Internet Protocol Security."

IPsec is een groep protocollen die helpen beveiligde verbindingen tussen twee apparaten via een netwerk tot stand te brengen. Het werkt boven op de standaard IP-protocolsuite om authenticatie en versleuteling aan netwerkverkeer toe te voegen, ongeacht of dit via een lokaal netwerk of het openbare Internet verloopt. Het wordt meestal gebruikt om beveiligde verbindingen voor Virtual Private Networks (VPN's) tot stand te brengen, maar kan gegevensoverdrachten voor veel doeleinden helpen beveiligen.

De IPsec-protocolsuite bestaat uit drie protocollen die samenwerken om IP-verkeer te authenticeren en te versleutelen:

• Het Internet Key Exchange-protocol (IKE) handelt onderhandelingen tussen twee apparaten ook wel (hosts genoemd) af om te bepalen welke algoritmen voor authenticatie en versleuteling worden gebruikt. Het genereert ook een veilige, gedeelde cryptografische sleutel die beide hosts kunnen gebruiken om gegevens te versleutelen en ontsleutelen.
• Het Authentication Header-protocol (AH) voegt authenticatiegegevens toe aan de header van elk gegevenspakket. Deze informatie bevat een cryptografische hash van de inhoud van het pakket, waarmee de ontvanger kan controleren of iemand het pakket tijdens de overdracht heeft gewijzigd.
• Het Encapsulating Secure Payload-protocol (ESP) neemt een normaal IP-gegevenspakket, versleutelt dit met het overeengekomen algoritme en de cryptografische sleutel en maakt vervolgens een nieuw gegevenspakket met een nieuwe header (inclusief de door het AH-protocol gegenereerde informatie) waarin het versleutelde oorspronkelijke pakket als payload is opgenomen.

Deze drie protocollen werken samen om IP-verkeer van begin tot eind te beschermen. Het IKE-protocol maakt een beveiligde verbinding tussen hosts en stelt de details voor authenticatie en versleuteling vast. Het ESP-protocol versleutelt vervolgens elk gegevenspakket en het AH-protocol voegt headerinformatie toe die het pakket naar zijn bestemming routeert. Het zorgt er ook voor dat het ontvangende apparaat het pakket kan authenticeren en de ontvanger kan waarschuwen als een ander apparaat het heeft onderschept.

IPsec-modi

De IPsec-protocolsuite ondersteunt twee modi voor het veilig overdragen van gegevens, afhankelijk van het type netwerk waarover deze werkt en het soort gegevens dat wordt vervoerd.

• Tunnelmodus versleutelt het volledige IP-pakket en kapselt het in een nieuw pakket in. Dit pakket bevat een volledig nieuwe header met de bron- en bestemmingsadressen van de eindpunten van de tunnel — doorgaans de routers die rechtstreeks verbinding maken met de computers die bij de sessie betrokken zijn. De ontvangende router ontsleutelt het pakket, leest het bestemmingsadres en stuurt het naar zijn bestemming door. Tunnelmodus wordt meestal gebruikt voor VPN-verbindingen en bij het overdragen van IPsec-pakketten via het openbare Internet.
• Transportmodus versleutelt alleen de inhoud van een IP-pakket en laat de oorspronkelijke header intact. Het voegt informatie van het AH-protocol aan de header toe voor authenticatie, maar verbergt de adressen van de bron- en bestemmingshosts niet. Transportmodus vereist iets minder overhead per pakket en wordt meestal gebruikt bij het overdragen van IPsec-pakketten via een lokaal netwerk.