IPSec : IP Security Protocole fournissant un mécanisme de

Présentation au sujet: "IPSec : IP Security Protocole fournissant un mécanisme de"— Transcription de la présentation:

1 IPSec : IP Security Protocole fournissant un mécanisme de sécurisation au niveau IP. RFC 2401 concernant IPSEC RFC 2402 concernant le mode AH (authentification) RFC 2406 concernant le mode ESP (chiffrement) RFC 2409 concernant IKE (Internet Key Exchange)

2 IPSec : intérêt et exemple d’application.

3 IPSEC: positionnement
Http, telnet, ftp... « application » Https S/MIME PGP SMTP SSL TCP/UDP « déplacement de bout en bout » I.P. « routage » IPSec:AH+ESP Liaison de Données Physique « déplacement de point en point »

4 IPSec : fonctionnalités
IPSEC permet: - le chiffrement. - l ’authentification. - la gestion des clés. Mécanisme des « SA » (Security Association) permet une négociation préalable avant toute communication des algorithmes utilisés, au travers d ’un protocole distinct. (ex: IKE, ISAKMP …)

5 IPSEC: Fonctionnement
2 mécanismes de sécurité : - format AH : Authentification Header utilisé en cas de besoin d ’authentification et d’intégrité. - format ESP : Encapsulation Security Payload utilisé en cas de besoin de chiffrement (confidentialité).

6 IPSEC: Fonctionnement
2 modes de fonctionnement : - le mode tunnel (entete IP modifiée) - le mode transport (entête IP non modifiée) Ces 2 modes sont possibles aussi bien dans le cadre de l ’utilisation de AH que de ESP.

7 IPSEC : fonctionnement AH
Données Entête IP Datagramme d ’origine Authentifié (sauf champs variables d ’entête IP) Données Entête IP Mode Transport AH Données Mode tunnel Entête IP Nouvel Entête IP AH Authentifié (sauf champs variables d ’entête IP)

8 IPSEC: fonctionnement ESP
Données Entête IP Datagramme d ’origine chiffré Mode Transport Données Entête IP Entête ESP Trailer ESP Authen. authentifié Données Mode Tunnel chiffré Nouvel Entête IP Entête ESP Entête IP Trailer ESP Authen. authentifié

9 IPSec : les associations de sécurité (SA)
SA = connexion de service, offrant des fonctionnalités de sécurité au traffic transporté. Les services fournis par une SA mettent en œuvre soit le protocole AH soit ESP, mais pas les deux. Si les deux protocoles doivent être appliqués à un flux, il faut créer deux SA. Une communication bi-directionnelle classique entraine l’ouverture de deux SA (une dans chaque sens)

10 IPSEC : le problème des clés.
Notions mises en jeu : algorithmes asymétriques, hachage (MD5), certificats X509, infrastructures de gestion de clés… 2 solutions: - gestion manuelle des clés + négociation des SA. - gestion de P.K.I. (I.C.P) + négociation des SA. Protocole ISAKMP (Internet Security Association and Key Management Protocol) transport UDP port protocole IKE (Internet Key Exchange)

11 IPSEc : gestion des clés ?
Le terme “gestion” englobe: - la génération des clés. - la distribution des clés. - le stockage des clés. - la révocation des clés. - la destruction des clés.

12 IPSec : Synoptique

13 IPSec: le protocole ISAKMP (1)
ISAKMP permet: - la négociation, - l’établissement, - la modification, - la suppression des SA et de leurs attributs. La négociation est indépendante du protocole de sécurité utilisé. Les Paramètres négociés sont décrits dans un “domain of interpretation” (DOI).

14 IPSec: le protocole ISAKMP (2)
ISAKMP procède en 2 étapes: -création d’une première SA “ISAKMP” permettant ensuite d’assurer la sécurité des négociations. - création d’une SA pour le compte d’un protocole de sécurité, par exemple IPSec. ISAKMP est en fait un “toolkit” permettant de négocier une SA selon des directives “DOI”. Cela permet d’employer ISAKMP pour d’autres protocoles que IPSec.

15 IPSec : le protocole ISAKMP (3)
IKE ISAKMP Tunnel IKE bi-directionnel (1) ISAKMP SA UDP (2) IPSec SA IP IPSec

16 IPSec : le protocole IKE
IKE (Internet Key Exchange) est un système développé spécifiquement pour IPsec qui vise à fournir des mécanismes d’authentification et d’échange de clef adaptés à l’ensemble des situations qui peuvent se présenter sur l’Internet. Il est composé de plusieurs éléments : le cadre générique ISAKMP et une partie des protocoles Oakley et SKEME. Lorsqu'il est utilisé pour IPsec, IKE est de plus complété par un “domaine d'interprétation” pour IPsec.