Il protocollo IPsec
Il principale vantaggio di inserire funzionalità crittografiche, direttamente a livello IP, protocollo che è alla base dell’internet pubblica, consiste nella possibilità di rendere sicure tutte le applicazioni, intervenendo su un unico protocollo dello stack TCP/IP.
Per questo il lavoro del comitato che ha provveduto alla standardizzazione della nuova versione del protocollo IP (IPv6) ha inserito la possibilità di usare funzioni crittografiche idonee a garantire data privacy e data integrity direttamente al livello di rete.
In IPv6 esistono due funzioni opzionali (e relative intestazioni) che possono essere utilizzate nella formattazione di un generico pacchetto IP e che consentono di specificare i parametri necessari a garantire i requisiti di sicurezza richiesti.
Purtroppo, anche se il processo di standardizzazione di IPv6 è stato completato nel 1995, una lunga serie di fattori ha ritardato l’introduzione su vasta scala di tale soluzione, rendendo ad oggi di fatto ancora inutilizzabile tale approccio al fine di assicurare integrità e riservatezza ai pacchetti scambiati su backbone IP pubblici.
Per evitare di dover attendere un passaggio a IPv6 che ancora oggi tarda ad arrivare, a fine anni 90 i massimi esperti di sicurezza, hanno ritenuto opportuno implementare le funzioni crittografiche descritte per IPv6 come opzioni già nella versione 4 del protocollo.
I servizi di autenticazione e di codifica, pensati originalmente come elementi del nuovo standard Ipv6, sono stati perciò sviluppati come protocolli indipendenti, e resi disponibili anche con infrastrutture di rete basate su IPv4.
Il risultato di questo processo è noto come architettura IPsec.
L’architettura IPsec permette di ottenere una maggiore protezione sui dati trasmessi introducendo le funzionalità necessarie, affinche le entità IP coinvolte possano:
- selezionare le funzioni crittografiche necessarie;
- determinare gli algoritmi da utilizzare per ciascun servizio;
- scambiarsi le chiavi relative.
L’architettura IPsec si compone di due protocolli per il trasporto dei messaggi e di uno per la negoziazione delle componenti crittografiche.
Per il trasporto, lo standard definisce Authentication Protocol (AH), da usarsi se è richiesta solo l’integrità dei dati, e Encapsulation Security Payload Protocol (ESP), capace di garantire sia l’integrità che la riservatezza dei dati.
Per il controllo del canale di comunicazione è invece utilizzato il canale ISAKMP.
Per poter fruire in Internet dei servizi offerti da Ipsec è sufficiente dotarsi di stazioni e/o gateway abilitati.
L’abilitazione può richiedere un aggiornamento software, raramente risulta necessaria una modifica dell’hardware in dotazione.
Nessuna modifica è invece necessaria sulle altre componenti attive che costituiscono il backbone IP.
Le trasformazioni crittografiche insite nell’uso di IPsec e i controlli sui parametri contenuti nelle intestazioni AH o ESP sono infatti effettuate solo dai terminatori del canale di comunicazione (terminatori di tunnel).
Nella progettazione e realizzazione della propria VPN IPsec occorre prendere in considerazione il carico di lavoro aggiuntivo a cui vengono sottoposti gli apparati terminali e verificare che attivando l’uso delle funzioni crittografiche il throughput effettivo del dispositivo non ne risenta in maniera significativa.
Se il rate di traffico, che può essere protetto via IPsec in condizioni di saturazione della capacità elaborativa degli apparati, risultasse non soddisfacente è bene ricordare che molto spesso è possibile migliorare le cose ricorrendo a schede acceleratrici hardware.
