Definition

Was ist IPsec (Internet Protocol Security)?

| Autor / Redakteur: Stefan Luber / Andreas Donner

Die wichtigsten IT-Fachbegriffe verständlich erklärt.
Die wichtigsten IT-Fachbegriffe verständlich erklärt. (Bild: © aga7ta - stock.adobe.com)

IPsec ist eine Sammlung verschiedener Protokolle, Standards und Protokollerweiterungen für das Internet Protokoll. Die Protokolle arbeiten auf der Internetschicht des TCP/IP-Referenzmodells und ermöglichen die sichere Kommunikation in IP-Netzwerken. Sowohl die Integrität und Vertraulichkeit der Daten als auch die Authentisierung der Kommunikationspartner lässt sich sicherstellen.

Bei der Internet Protocol Security, abgekürzt IPsec, handelt es sich um eine Sammlung verschiedener Protokolle, Standards und Protokollerweiterungen des Internet-Protokolls (IP). Internet Protocol Security ist integraler Bestandteil der IP Version 6 (IPv6) und für IPv4 nachträglich in zahlreichen RFCs spezifiziert.

Die Architektur ist in den RCFs 2401 und 4301 beschrieben. Von diesen RFCs wird auf andere RFCs verwiesen, die weitere, elementare Protokolle der Internet Protocol Security wie Internet Key Exchange (IKE), Encapsulated Security Payload (ESP) oder Authentication Header (AH) definieren.

Die Internet Protocol Security arbeitet im TCP/IP-Referenzmodell auf der Internetschicht (entspricht im ISO/OSI-Schichtenmodell der Vermittlungsschicht; Layer 3) und ist für Protokolle höherer Schichten und Anwendungen transparent. Mithilfe der Internet Protocol Security lassen sich Daten sicher über potenziell unsichere IP-Netze wie das Internet übertragen, indem Daten verschlüsselt und Kommunikationspartner authentisiert werden. Wichtiger Anwendungsbereich ist die Realisierung von virtuellen privaten Netzen (VPNs) über Internetverbindungen.

Dank verschiedener Modi wie Transportmodus oder Tunnelmodus sind unterschiedliche VPN-Architekturen wie Host-to-Host-, Host-to-Gateway- oder LAN-to-LAN-VPNs realisierbar. Angriffstechniken wie das missbräuchliche Verwenden fremder IP-Adressen (IP-Spoofing) oder Replay-Angriffe lassen sich mit Internet Protocol Security zuverlässig verhindern.

Die wichtigsten Merkmale der Internet Protocol Security

Die wichtigsten Merkmale der Internet Protocol Security sind:

  • Interoperabilität mit der TCP/IP-Protokollwelt
  • transparent für Anwendungen und Protokolle höherer Schichten
  • Sicherstellung der Integrität der übertragenen Daten
  • Sicherstellung der Vertraulichkeit der übertragenen Daten durch Verschlüsselung
  • Unterstützung manueller Schlüsselverwaltung und automatischer Schlüsselmanagementverfahren
  • gegenseitige Authentisierung der Kommunikationspartner (auch zertifikatsbasierte Authentisierung)

Transportmodus und Tunnelmodus der Internet Protocol Security

IPsec kennt die beiden Modi Transportmodus und Tunnelmodus. Mit dem Transportmodus lässt sich eine direkt Punkt-zu-Punkt-Verbindung zwischen zwei IPsec-Endpunkten herstellen. Hierfür wird zwischen dem IP-Header und den Nutzdaten ein zusätzlicher IPsec-Header eingefügt. Dieser Modus wird benutzt, wenn die beiden kryptografischen Endpunkte direkt miteinander kommunizieren. Allerdings ist es im Transportmodus nicht möglich, komplette Netze miteinander über Internet Protocol Security zu koppeln. Für diesen Anwendungsfall kommt der Tunnelmodus zum Einsatz. Er verbindet Netzwerke über zwei Gateways und einen Tunnel sicher miteinander. Die einzelnen Endgeräte in den verbundenen Netzwerken müssen kein IPsec unterstützen. Der Transportmodus fügt den inneren IP-Paketen mit ihrem Header und ihren Nutzdaten einen zusätzlichen IP- und IPsec-Header an und schützt so die übertragenen Daten der Endgeräte. Die eigentlichen Nutzdaten sind nur auf dem Teilstück zwischen den beiden Gateways geschützt.

Die verschiedenen Schlüsselverwaltungsmethoden

Zur Verschlüsselung der Daten definiert die Internet Protocol Security Verfahren zum Schlüsselaustausch und zur Schlüsselverwaltung. Grundsätzlich ist es möglich, die Schlüsselverwaltung vollständig manuell abzuwickeln. Diese Methode ist jedoch aufwendig und skaliert schlecht, weshalb in der Regel das Schlüsselaustauschprotokoll Internet Key Exchange Protokoll (IKE) zum Einsatz kommt.

Zur sicheren Erzeugung von Schlüsseln nutzt IKE das Diffie-Hellman-Verfahren. IKEv2 ist eine Erweiterung von IKE und beseitigt einige Schwachstellen. Zudem vereinfacht es die Konfiguration und den Aufbau einer Verbindung. Die maßgeblichen RFCs für IKE und IKEv2 sind die RFCs 2407 bis 2409 und 5996. IKE erlaubt es den Kommunikationspartnern vor dem Start der verschlüsselten Kommunikation, einen Schlüssel-Algorithmus auszuhandeln und sich gegenseitig zu authentisieren. Die Authentisierung kann zertifikatsbasiert oder mit Pre-Shared-Keys (PSKs) erfolgen.

Encapsulated Security Payload (ESP) und Authentication Header (AH)

Encapsulated Security Payload (ESP) und Authentication Header (AH) sind ebenfalls elementare Standards der Internet Protocol Security. AH ist im RFC 4302 (ursprünglich RFC 2402) spezifiziert und soll die Integrität und Authentizität der übertragenen Daten sicherstellen. Hierfür wird eine Prüfsumme über die Daten und Teile des IP-Headers gebildet und als eine Art digitale Signatur jedem Paket zugewiesen. Dadurch lässt sich verhindern, dass Daten des IP-Pakets oder bestimmte Informationen des IP-Headers verändert oder ausgetauscht werden. Eine Verschlüsselung der Daten nimmt AH nicht vor.

Hier kommt ESP ins Spiel. Die wesentlichen Elemente von Encapsulating Security Payload sind in den RFCs 4301, 4303 und 4305 beschrieben. ESP stellt durch Verschlüsselung die Vertraulichkeit der übertragenen Informationen sicher. Es kommen symmetrische Verschlüsselungsverfahren zum Einsatz. Zur Verschlüsselung der Nutzlast fügt ESP einen ESP-Header ein.

Internet Protocol Security und Network Address Translation (NAT)

Die im Internetumfeld häufig verwendete Network Address Translation (NAT) der IPv4 Adressen kann zu Problemen bei der per IPsec gesicherten Übertragung der Daten führen. Grund hierfür ist, dass NAT die IP-Adressen und TCP- oder UDP-Ports der IP-Pakete austauscht. Da die Integrität der übertragenen Daten dann nicht mehr gegeben ist, können diese veränderten Informationen des IP-Headers für die Internet Protocol Security zu ungültigen Paketen führen. Pakete werden verworfen und der Verbindungsaufbau oder Datenaustausch scheitert. Ein weiteres Problem mit NAT ist, dass Internet Protocol Security unter Umständen IP-Adressen und Ports verschlüsselt. Für NAT-Router sind diese Adressen dann nicht mehr lesbar und nicht mehr durch andere Adressen ersetzbar.

Zur Behebung der Probleme mit Internet Protocol Security und Network Address Translation sind spezielle Verfahren wie IPsec mit NAT-Traversal oder IPsec-Passthrough definiert.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

SD-WAN-Gateway für bis zu 3.000 Außenstellen

Anbindung über High Scalability VPN

SD-WAN-Gateway für bis zu 3.000 Außenstellen

Das „Integrated Services Gateway“ ISG-8000 bildet laut Hersteller Lancom die sichere, skalierbare Grundlage für große und sehr große Multi-Service-IP-Netzwerke. Mit dem Gerät sei es möglich, bis zu 3.000 Standorte über hochsicheres IPsec-VPN anzubinden. lesen

SD-WANs für globale cloudorientierte Unternehmen

SD-WAN-Edge-Plattform für mehr als 10.000 Standorte

SD-WANs für globale cloudorientierte Unternehmen

Mit Silver Peak Unity EdgeConnect sei nun die Orchestrierung und Verwaltung unterschiedlicher Netzwerk-Fabrics, eine „One-Click“-Automatisierung für die Anbindung an führende Cloud-Services, eine erweiterte Netzwerksegmentierung sowie ein unternehmensweiter Netzaufbau im Cloud-Maßstab möglich. lesen

Juniper SD-WAN kann jetzt auch SD-LAN

SD-Branch-Lösung für einheitliche Abläufe

Juniper SD-WAN kann jetzt auch SD-LAN

Die Juniper-Networks-Lösung für die Implementierung und das Management skalierbarer SD-WANs ist nun, so der Hersteller, auch für den SD-LAN-Betrieb verfügbar. Darüber hinaus habe Juniper die SRX- und NFX-CPE-Serien mit neuen Optionen für sichere und skalierbare Netzwerkverbindungen versehen. lesen

VPN-Client für macOS Catalina

Lancom unterstützt aktuelles Betriebssystem

VPN-Client für macOS Catalina

Mit der Version 4.0 des Lancom Advanced VPN Clients macOS und der Unterstützung des aktuellen Betriebssystems macOS Catalina (10.15) sollen Nutzer von MacBook Pro, iMac, Mac Pro usw. über hochsicheres IPsec-VPN und jede Internetverbindung vollwertig auf ihr Firmennetz zugreifen können. lesen

Keine Multi-Cloud ohne Software-Defined WAN

Effektives Zusammenspiel aller WAN-Verbindungen

Keine Multi-Cloud ohne Software-Defined WAN

Immer mehr Unternehmen nutzen Anwendungen in der Multi-Cloud. Dies ist mittlerweile eine echte Herausforderung für herkömmliche Wide-Area-Network-Architekturen (WAN) geworden. Denn sie müssen eine schnelle Bereitstellung von Ressourcen, optimale Cloud-Anbindung und bestmögliche Sicherheit bieten. Hier schafft der Ansatz eines Software-Defined WAN (SD-WAN) Abhilfe. lesen

Comfortel D-400: SIP-Telefon von Auerswald

Für moderne Arbeitsplatzumgebungen

Comfortel D-400: SIP-Telefon von Auerswald

Anfang des Jahres erweiterte der Hersteller Auerswald sein SIP-Portfolio um eine neue Modellreihe. Ab Dezember wird die D-Serie durch das Comfortel D-400 ergänzt. Es soll sich vor allem durch seine Premium-Features auszeichnen. lesen

Die beliebtesten VPN-Anbieter 2019

IT-Awards 2019

Die beliebtesten VPN-Anbieter 2019

Wer über das Internet eine sichere Verbindung zu einem Firmennetzwerk herstellen will, setzt in der Regel auf ein Virtual Private Network (VPN). Es gestattet den Aufbau einer verschlüsselten, in sich geschlossenen und manipulationssicheren Kommunikation über eigentlich öffentlich zugängliche Netzwerke. lesen

Im Test: Peplink Pepwave Max HD4 LTE

SD-WAN/VPN-Multifunktions-Router auf dem Prüfstand

Im Test: Peplink Pepwave Max HD4 LTE

Der Peplink Pepwave Max Cellular Router vom Typ HD4 ist ein ganz besonderer Router. Mit seinen zahlreichen LAN-, WLAN-, WAN- und LTE-Schnittstellen und seiner ausgefuchsten Management-Oberfläche beherrscht der kompakte und robuste Router SD-WAN und VPN wie kaum ein zweiter. Doch wie so oft steckt auch beim HD4 die meiste Finesse im Detail. lesen

VPN-Clients mit QoS und Catalina-Kompatibilität

Remote-Access-Lösungen auf der it-sa 2019

VPN-Clients mit QoS und Catalina-Kompatibilität

NCP Engineering präsentierte vom 8. bis 10. Oktober auf der it-sa 2019 in Nürnberg seine aktuellen Lösungen zum Thema Remote Access, darunter auch VPN-Clients mit Quality of Service (QoS) sowie VPN-Clients für das im Oktober veröffentlichte Apple-Betriebssystem macOS Catalina. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46370528 / Definitionen)