ipsec : internet protocol security

IPSec (Internet Protocol Security) est un protocole de la couche 3 du modèle OSI
IPSec est un protocole destiné à fournir différents services de sécurité. Il propose ainsi plusieurs choix et options qui lui permettent de répondre de façon adaptée aux besoins des entreprises, nomades, extranets, particuliers, etc... Néanmoins, son intérêt principal reste sans conteste son mode dit de tunneling, c'est-à-dire d'encapsulation d'IP qui lui permet entre autres choses de créer des réseaux privés virtuels (ou VPN en anglais). Cette technologie à pour but d'établir une communication sécurisée (le tunnel) entre des entités éloignées, séparées par un réseau non sécurisé voir public comme Internet, et ce de manière quasi-transparente si on le désire. Dans l'article qui suit, c'est ce mode d'IPSec, le mode tunneling, qui sera décrit en priorité.

De manière succincte, citons quelques propriétés générales des tunnels destinés aux VPNs :

-les données transitant sont chiffrées (confidentialité) et protégées (intégrité)
-les 2 extrémités sont authentifiées
-les adresses sources et destinations sont chiffrées, avec IPSec (IP dans IPSec)
-ils peuvent présenter, suivant le protocole, des qualités anti-rejeux ou empêcher les attaques type man-in-the-middle.

Il ne faut pas non plus négliger les aspects pratiques tel que la charge processeur due au chiffrement, le débit théorique possible, l'overhead induit et donc le débit effectif... De plus IPsec n'est pas le seul protocole permettant d'établir des tunnels, il en existe d'autres comme les "point-à-point" tel que L2TP, L2F ou encore PPTP qui peuvent induire un overhead non négligeable surtout lors d'encapsulations successives (L2TPoATM avec AAL5, L2TPoEthernet, L2TPoUDP...). Voir la fiche consacrée au tunneling pour plus de détails

Les services proposés par IPSec

Revenons à présent au protocole en lui-même. Nous avons cité précédemment quelles étaient les propriétés basiques des tunnels de chiffrement, et ce indépendamment du protocole utilisé. Citons à présent quels sont les services de sécurité proposés par IPSec, services qui permettent notamment d'assurer les propriétés des tunnels et VPNs citées précédemment :


Authentification des extrémités : cette authentification mutuelle permet à chacun de s'assurer de l'identité de son interlocuteur. Rappelons tout de même qu'IPSec est un protocole de niveau 3 et qu'il ne fournit donc qu'une authentification de niveau égal, c'est-à-dire une authentification des machines mettant en oeuvre le protocole plutôt que des personnes utilisant réellement la machine. Nous verrons techniquement comme l'authentification est effectuée dans les paragraphes suivants.
Confidentialité des données échangées : IPSec permet si on le désire de chiffrer le contenu de chaque paquet IP pour éviter que quiconque ne le lise.
Authenticité des données : IPSec permet de s'assurer, pour chaque paquet échangé, qu'il a bien été émis par la bonne machine et qu'il est bien à destination de la seconde machine.
Intégrité des données échangées : IPSec permet de s'assurer qu'aucun paquet n'a subit de modification quelconque (attaque dite active) durant son trajet.
Protection contre les écoutes et analyses de trafic : IPSec permet de chiffrer les adresses IP réelles de la source et de la destination, ainsi que tout l'en-tête IP correspondant. C'est le mode de tunneling, qui empêche tout attaquant à l'écoute d'inférer des informations sur les identités réelles des extrémités du tunnel, sur les protocoles utilisés au-dessus d'IPSec, sur l'application utilisant le tunnel (timing-attacks et autres)...
Protection contre le rejeu : IPSec permet de se prémunir contre les attaques consistant à capturer un ou plusieurs paquets dans le but de les envoyer à nouveau (sans pour autant les avoir déchiffrés) pour bénéficier des même avantages que l'envoyeur initial.