IPSEC

Explicación del funcionamiento de la suite de protocolos IPSec

Fuentes

• AWS

• Wikipedia

Internet Protocol security

Resumen

IPSec es un conjunto de protocolos encargados de proteger comunicaciones sobre IP, autenticando y cifrando cada paquete IP de un flujo de datos. Trabaja en la capa de red. A diferencia de SSL/TLS, que cifran el contenido pero no el destinatario, IPSec cifra el paquete de red entero.

Dado que IPSec no es un protocolo específico, conviene detallar algunos de lo que lo forman.

Authentication Header (AH) -> Integridad

Se encarga de asegurar que el paquete proviene del destinatario y que no ha sido manipulado, pero NO cifra el payload.

• Añade un encabezado con datos de autenticación. Si el hash del payload no coincide con el encabezado, se sabe que el paquete ha sido manipulado.

Dado que AH protege la cabecera IP, si un dispositivo está tras un NAT (que manipula los header), se detectará una "manipulación" (aunque no maliciosa). Por esto, AH no es compatible con NAT.

Encapsulated Security Payload (ESP) -> Cifrado

Según el modo de IPSec en uso, ESP cifra:

• Todo el paquete IP, al trabajar en modo túnel. (Útil para comms. por VPN entre Gateways, ocultando direcciones internas.)

• Solo el payload, al trabajar en modo transporte. (Útil para comms. entre hosts finales, dado que requiere menos procesamiento.)

Internet Key Exchange (IKE) -> Negociación

Negocia y establece Asociaciones de Seguridad (SA) para IPSec. Las SA son en sí el conjunto de reglas y parámetros que ambos extremos han acordado para poder entenderse y proteger el tráfico.

Más info en IKE