Definition Was ist IPsec (Internet Protocol Security)?

Anbieter zum Thema

ICP Deutschland GmbH

Paessler AG

Southern Tech GmbH

IPsec ist eine Sammlung verschiedener Protokolle, Standards und Protokollerweiterungen für das Internet Protokoll. Die Protokolle arbeiten auf der Internetschicht des TCP/IP-Referenzmodells und ermöglichen die sichere Kommunikation in IP-Netzwerken. Sowohl die Integrität und Vertraulichkeit der Daten als auch die Authentisierung der Kommunikationspartner lässt sich sicherstellen.

Bei der Internet Protocol Security, abgekürzt IPsec, handelt es sich um eine Sammlung verschiedener Protokolle, Standards und Protokollerweiterungen des Internet-Protokolls (IP). Internet Protocol Security ist integraler Bestandteil der IP Version 6 (IPv6) und für IPv4 nachträglich in zahlreichen RFCs spezifiziert.

Die Architektur ist in den RCFs 2401 und 4301 beschrieben. Von diesen RFCs wird auf andere RFCs verwiesen, die weitere, elementare Protokolle der Internet Protocol Security wie Internet Key Exchange (IKE), Encapsulated Security Payload (ESP) oder Authentication Header (AH) definieren.

Die Internet Protocol Security arbeitet im TCP/IP-Referenzmodell auf der Internetschicht (entspricht im ISO/OSI-Schichtenmodell der Vermittlungsschicht; Layer 3) und ist für Protokolle höherer Schichten und Anwendungen transparent. Mithilfe der Internet Protocol Security lassen sich Daten sicher über potenziell unsichere IP-Netze wie das Internet übertragen, indem Daten verschlüsselt und Kommunikationspartner authentisiert werden. Wichtiger Anwendungsbereich ist die Realisierung von virtuellen privaten Netzen (VPNs) über Internetverbindungen.

Dank verschiedener Modi wie Transportmodus oder Tunnelmodus sind unterschiedliche VPN-Architekturen wie Host-to-Host-, Host-to-Gateway- oder LAN-to-LAN-VPNs realisierbar. Angriffstechniken wie das missbräuchliche Verwenden fremder IP-Adressen (IP-Spoofing) oder Replay-Angriffe lassen sich mit Internet Protocol Security zuverlässig verhindern.

Die wichtigsten Merkmale der Internet Protocol Security

Die wichtigsten Merkmale der Internet Protocol Security sind:

• Interoperabilität mit der TCP/IP-Protokollwelt

• transparent für Anwendungen und Protokolle höherer Schichten

• Sicherstellung der Integrität der übertragenen Daten

• Sicherstellung der Vertraulichkeit der übertragenen Daten durch Verschlüsselung

• Unterstützung manueller Schlüsselverwaltung und automatischer Schlüsselmanagementverfahren

• gegenseitige Authentisierung der Kommunikationspartner (auch zertifikatsbasierte Authentisierung)

Transportmodus und Tunnelmodus der Internet Protocol Security

IPsec kennt die beiden Modi Transportmodus und Tunnelmodus. Mit dem Transportmodus lässt sich eine direkt Punkt-zu-Punkt-Verbindung zwischen zwei IPsec-Endpunkten herstellen. Hierfür wird zwischen dem IP-Header und den Nutzdaten ein zusätzlicher IPsec-Header eingefügt. Dieser Modus wird benutzt, wenn die beiden kryptografischen Endpunkte direkt miteinander kommunizieren. Allerdings ist es im Transportmodus nicht möglich, komplette Netze miteinander über Internet Protocol Security zu koppeln. Für diesen Anwendungsfall kommt der Tunnelmodus zum Einsatz. Er verbindet Netzwerke über zwei Gateways und einen Tunnel sicher miteinander. Die einzelnen Endgeräte in den verbundenen Netzwerken müssen kein IPsec unterstützen. Der Transportmodus fügt den inneren IP-Paketen mit ihrem Header und ihren Nutzdaten einen zusätzlichen IP- und IPsec-Header an und schützt so die übertragenen Daten der Endgeräte. Die eigentlichen Nutzdaten sind nur auf dem Teilstück zwischen den beiden Gateways geschützt.

Die verschiedenen Schlüsselverwaltungsmethoden

Zur Verschlüsselung der Daten definiert die Internet Protocol Security Verfahren zum Schlüsselaustausch und zur Schlüsselverwaltung. Grundsätzlich ist es möglich, die Schlüsselverwaltung vollständig manuell abzuwickeln. Diese Methode ist jedoch aufwendig und skaliert schlecht, weshalb in der Regel das Schlüsselaustauschprotokoll Internet Key Exchange Protokoll (IKE) zum Einsatz kommt.

Zur sicheren Erzeugung von Schlüsseln nutzt IKE das Diffie-Hellman-Verfahren. IKEv2 ist eine Erweiterung von IKE und beseitigt einige Schwachstellen. Zudem vereinfacht es die Konfiguration und den Aufbau einer Verbindung. Die maßgeblichen RFCs für IKE und IKEv2 sind die RFCs 2407 bis 2409 und 5996. IKE erlaubt es den Kommunikationspartnern vor dem Start der verschlüsselten Kommunikation, einen Schlüssel-Algorithmus auszuhandeln und sich gegenseitig zu authentisieren. Die Authentisierung kann zertifikatsbasiert oder mit Pre-Shared-Keys (PSKs) erfolgen.

Encapsulated Security Payload (ESP) und Authentication Header (AH)

Encapsulated Security Payload (ESP) und Authentication Header (AH) sind ebenfalls elementare Standards der Internet Protocol Security. AH ist im RFC 4302 (ursprünglich RFC 2402) spezifiziert und soll die Integrität und Authentizität der übertragenen Daten sicherstellen. Hierfür wird eine Prüfsumme über die Daten und Teile des IP-Headers gebildet und als eine Art digitale Signatur jedem Paket zugewiesen. Dadurch lässt sich verhindern, dass Daten des IP-Pakets oder bestimmte Informationen des IP-Headers verändert oder ausgetauscht werden. Eine Verschlüsselung der Daten nimmt AH nicht vor.

Hier kommt ESP ins Spiel. Die wesentlichen Elemente von Encapsulating Security Payload sind in den RFCs 4301, 4303 und 4305 beschrieben. ESP stellt durch Verschlüsselung die Vertraulichkeit der übertragenen Informationen sicher. Es kommen symmetrische Verschlüsselungsverfahren zum Einsatz. Zur Verschlüsselung der Nutzlast fügt ESP einen ESP-Header ein.

Internet Protocol Security und Network Address Translation (NAT)

Die im Internetumfeld häufig verwendete Network Address Translation (NAT) der IPv4 Adressen kann zu Problemen bei der per IPsec gesicherten Übertragung der Daten führen. Grund hierfür ist, dass NAT die IP-Adressen und TCP- oder UDP-Ports der IP-Pakete austauscht. Da die Integrität der übertragenen Daten dann nicht mehr gegeben ist, können diese veränderten Informationen des IP-Headers für die Internet Protocol Security zu ungültigen Paketen führen. Pakete werden verworfen und der Verbindungsaufbau oder Datenaustausch scheitert. Ein weiteres Problem mit NAT ist, dass Internet Protocol Security unter Umständen IP-Adressen und Ports verschlüsselt. Für NAT-Router sind diese Adressen dann nicht mehr lesbar und nicht mehr durch andere Adressen ersetzbar.

Zur Behebung der Probleme mit Internet Protocol Security und Network Address Translation sind spezielle Verfahren wie IPsec mit NAT-Traversal oder IPsec-Passthrough definiert.

(ID:46370528)