Artigo

IPSec (Internet Protocol Security)

O IPSec baseia-se em um modelo ponto-a-ponto que permite a troca de informações entre dois computadores de maneira segura, os quais devem “concordar” com um conjunto comum de regras e de definições do protocolo. Com o uso do IPSec e das tecnologias associadas, os dois computadores são capazes de se autenticar mutuamente e manter uma comunicação segura, mesmo usando um meio não seguro como a Internet.

Os primeiros esforços de padronização para o estabelecimento do IP com segurança, autenticação e criptografia de datagramas foram escritos em 1995, conforme definido na RFC1825/1829, em virtude da pilha do TCP/IP, que vinha sendo utilizada no mundo IPv4 não possuir características de proteção ou segurança. Em resposta a essa necessidade, a Internet Architecture Board (IAB) incluiu autenticação e criptografia como características necessárias de segurança para a nova geração de IP, a qual foi designada como IPv6. Essa capacidade de segurança foi projetada para fornecer serviços não apenas em ambientes IPv4, mas também em ambientes IPv6, de forma que as empresas fornecedoras de software pudessem oferecer alguma capacidade de IPSec em seus produtos.

O IPSec é uma plataforma aberta formada por um conjunto de protocolos que fornecem serviços de autenticação, de integridade, de controle de acesso e de confidencialidade na camada de rede IP, para redes LAN's, WAN's públicas e privadas e Internet. Assim, a tecnologia IPSec é uma das opções de se implementar VPN's e seus serviços podem ser utilizados por quaisquer protocolos das camadas superiores, como TCP, UDP, ICMP, BGP, etc.

O IPSec fornece três facilidades principais: uma função somente de autenticação, referenciada como Authentication Header (AH), uma função combinada de autenticação/criptografia, chamada Encapsulating Security Payload (ESP), e uma função de troca de chave.

As especificações IPSec são bastante complexas e descritas por grande quantidade de documentos. As mais importantes, emitidas em Novembro de 1998, são as RFC's 2401, 2402, 2406 e 2408.

O conjunto de serviços oferecidos inclui controle de acesso, integridade não orientada à conexão, autenticação da origem dos dados e confidencialidade. Esses serviços são implementados através da utilização conjunta de protocolos de segurança de tráfego de dados, de autenticação de cabeçalho, de encapsulamento seguro do payload ou conteúdo dos dados e de procedimentos e protocolos de gerência de chaves.

Objetivo: desenvolver mecanismos que forneçam proteção ao pacote IP e às aplicações que rodam sobre o IP, estabelecendo níveis de segurança para as comunicações host-to-host, subnet-to-subnet e host-to-subnet.

Características do IPSec:

- Modelo ponto-a-ponto: troca de informações entre dois computadores de maneira segura - devem “concordar”com regras comuns e definições do protocolo;

- Comunicação segura, mesmo usando um meio não seguro como a Internet; e

- Plataforma aberta formada por um conjunto de protocolos que fornecem serviços na camada de rede IP:

- Autenticação;

- Integridade; e

- Confidencialidade.

- Aplicações: redes LAN's, WAN's (públicas e privadas) e Internet.

Definição

O Protocolo de Segurança IP (IP Security Protocol, também conhecido pela sigla IPSec) é tratado por alguns autores como um framework que, segundo Fayad e Schmidt (1997), “é um conjunto de classes que colaboram para realizar uma responsabilidade para um domínio de um subsistema da aplicação”, possuindo padrões abertos com o objetivo de garantir a comunicação segura em redes, ainda que as informações trafeguem por meios não seguros, como é o caso da Internet.

Constitui uma extensão do IP (Internet Protocol) que se propõe a fornecer privacidade ao usuário ou confidencialidade, integridade dos dados e autenticidade das informações ou identity spoofing, quando se transmite dados através de redes IP públicas.

Vale salientar que o IPSec surge a partir da perceptível falta de segurança encontrada na internet, que vem crescendo muito rapidamente em nossos dias.

Nota:

Fica evidente a semelhança de definições entre VPN - Virtual Private Network - e IPSec. Não é para menos: a combinação deste último com o L2TP é uma das formas mais recomendadas para criação de conexões do tipo Rede Privada Virtual.

Vale salientar que o IPSec não se traduz literalmente em autenticação e encriptação, mas sim num gerenciador e implementador destes mecanismos.

Descrição

O IPSec é muito utilizado em VPN’s, Redes Privadas Virtuais, conectando funcionários remotos aos escritórios e empresas matrizes a suas diversas filias, independente da distância, e isso tudo é feito de modo rápido, eficaz e seguro.

Segundo descreve a UFRJ – Universidade Federal do Rio de Janeiro, este protocolo de segurança implementa encriptação e autenticação na camada de rede, fornecendo uma solução de segurança fim-a-fim, ao contrário da camada de enlace, que é ponto-a-ponto. O IPSec pode ser implementado nos roteadores ou no sistema operacional dos terminais. Assim os aplicativos não precisam de alterações para poder utilizar comunicações seguras.

Como os pacotes encriptados têm o mesmo formato de pacotes IP comuns, eles podem ser roteados sem problemas em qualquer rede IP e sem qualquer alteração nos equipamentos de rede intermediários. Os únicos dispositivos de rede que precisam ser alterados são os do início e do fim das comunicações IPSec, reduzindo assim os custos de implementação e gerenciamento.

O IPSec possui as seguintes tecnologias implementadas a fim de garantir confidencialidade, integridade e autenticidade:

- Mecanismo de troca de chaves de Diffie-Hellman – Refere-se a um método de criptografia publicado em 1976;

- Criptografia de chave pública para assinar as trocas de chave de Diffie-Hellman, garantindo assim a identidade das duas partes e evitando ataques do tipo man-in-the-middle, conhecido pela sigla MITM, em que “se ouve a rede” com a ajuda de um instrumento chamado sniffer;

- Algoritmos de encriptação para grandes volumes de dados, como o DES (Data Encryption Standard), que é um método de criptografia utilizado em larga escala em todo o mundo;

- Algoritmos para cálculo de hash (resto de uma divisão, de tamanho fixo) com utilização de chaves, com o HMAC (Autenticação de Código Baseado em Mensagem Hash), combinado com os algoritmos de hash tradicionais como o MD5 ou SHA, autenticando os pacotes;

- Certificados digitais assinados por uma autoridade certificadora, que agem como identidades digitais.

O IPSec também se refere a diversos outros protocolos (mencionados nas RFC's 2401-2411 e 2451), que servem para proteger datagramas IP. Eles são: Protocolo de Segurança IP e Internet Key Exchange (IKE). O primeiro define que informações adicionar ao pacote IP para permitir o controle da confidencialidade, autenticidade e integridade, assim como a forma em que os dados devem ser encriptados. Já o segundo negocia Associações de Segurança (Security Association, SA) entre duas entidades e realiza a troca de chaves. O uso da IKE não é obrigatório, mas a configuração manual de Associações de Segurança é difícil e trabalhosa, tornando-se impossível para comunicações seguras em larga escala.

Temos ainda os chamados Pacotes IPSec que são definidos como novos cabeçalhos que são colocados após o cabeçalho IP e antes do cabeçalho da camada superior (como o dos protocolos de transporte TCP ou UDP). Temos os cabeçalhos AH (Authentication Header) e o ESP (Encapsulating Security Payload).

O cabeçalho de Authentication Header garante a integridade e autenticidade dos dados, incluindo os campos do cabeçalho original que não são alterados entre a origem e o destino; no entanto, não fornece confidencialidade. É utilizada uma função hash com chave, ao invés de assinatura digital, pois o mecanismo de assinatura digital é bem mais lento e poderia reduzir a capacidade da rede.

Já o cabeçalho de Encapsulating Security Payload tem a função de garantir a confidencialidade, integridade e autenticidade da informação. Se o ESP for usado para validar a integridade, ele não inclui os campos invariantes do cabeçalho IP.

Os dois cabeçalhos podem ser utilizados separadamente ou em conjunto.

No portal TechNet, de desenvolvedores da Microsoft, há exemplos na utilização do IPSec nos sistemas operacionais Windows 2000, Windows XP e família Windows Server 2003. Nestes sistemas, o IPSec é implementado principalmente como uma ferramenta administrativa que pode ser utilizado para aplicar diretivas de segurança no tráfego de rede IP. Os filtros IPSec estão inseridos na camada IP da pilha de protocolo de rede TCP/IP do computador de forma que podem examinar (filtrar) todos os pacotes IP de entrada e de saída. Exceto por um pequeno atraso necessário para negociar uma relação de segurança entre dois computadores, o IPSec é transparente para aplicativos de usuário final e serviços de sistema operacional.

Um conjunto de configurações de diretiva IPSec é conhecido como uma diretiva IPSec. O Windows 2000, o Windows XP e a família Windows Server 2003 fornecem uma interface gráfica de usuário e várias ferramentas de linha de comando que podem ser usadas para configurar uma diretiva IPSec e atribuí-la ao computador.

Para garantir que a comunicação IPSec seja bem-sucedida e que a segurança IPSec atenda aos requisitos de segurança da organização, devem ser criadas, configuradas, coordenadas e gerenciadas diretivas.

Em se falando destes sistemas operacionais, em várias organizações um administrador pode ser responsável por configurar e gerenciar as diretivas IPSec para muitos computadores.

Arquitetura de Segurança

Com relação ao IPSec, existem dois modos de proteção, no que diz respeito ao conteúdo encriptado: o de Transporte e o de Tunelamento.

Modo de Transporte

Esta forma de proteção é aplicada na comunicação host-a-host e criptografa apenas a carga útil (payload) a ser transmitida.

Modo de Tunelamento

Neste caso, todo o pacote IP é criptografado. Portanto, para transferi-lo, um novo Protocolo de Internet é encapsulado. Tem sua aplicação nas comunicações rede-a-rede, host-a-rede ou ainda host-a-host através da Internet.

 

Vantagens e Desvantagens do IPSec

Uma das vantagens do IPSec é que só necessitam ser implementados os seus serviços nos sites de origem e destino, não sendo necessário implementá-los em sub-redes.

Outra vantagem é que, com ele, não há a necessidade de configurar as estações ou aplicações. E também pode-se, por meio do IPSec, proteger determinado tipo de tráfego, deixando outros circularem sem ação dos serviços de segurança implementados.

Ele ainda tem manutenção simples, facilitando as políticas de segurança dentro de uma empresa e podendo ser implementado nos roteadores, firewalls e gateways.

Embora tenha todas estas vantagens, o IPSec não pode ser seguro se o sistema utilizado não for, pois deve ser garantida a segurança das máquinas em que se implementa gateways IPSec.

Ele não autentica usuários, mas apenas as máquinas. Por isso, pode apenas garantir que a comunicação entre as máquinas transcorra de forma segura e quais delas se conectam ao servidor.

Conclusão

O IPSec é um protocolo de segurança muito útil em nosso dias, com o aumento do número de usuários da internet. Trata-se de um protocolo que opera sob a camada de rede (ou camada 3) do modelo OSI.

Ele pode proteger os tráfegos da internet, tornando confiável a troca de informações, facilitando as políticas de segurança e fornecimento de privacidade, integridade e autenticidade das informações transferidas através de redes IP, anexando-se ao IPv6.

O IPSec ainda possui acoplado o Protocolo de Segurança IP e a Internet Key Exchange (IKE) - que ajudam na proteção de datagramas IP, além de diversas tecnologias implementadas. Tudo isso o torna tão confiável.

Referências Bibliográficas

- TANENBAUM, Andrew S. Redes de Computadores - 4ª Edição - Editora Campus. Amsterdam, Holanda. Tradução: Vandenberg D. de Souza;

- IPSecutity. Profº Otto Carlos Muniz Bandeira Duarte e Aluno Norberto G. Lopez - 2003. Disponível em: <http://www.gta.ufrj.br/grad/03_1/ip-security/>. Acesso em: 24set.2010;

- Vantagens e Desvantagens do IPSec. Eduardo Pereira. Hoje, Tecnologia - 05Jan.2009. Disponível em: <http://www.vivenciaemtecnologia.com/vantagens-e-desvantagens-do-ipsec/>. Acesso em: 24set.2010;

- IPSec. Wikipédia. Disponível em: <http://pt.wikipedia.org/wiki/IPsec>. Acesso em: 24set.2010;

- IPSec - Protocolo de Segurança IP. Disponível em: <http://www.gta.ufrj.br/~rezende/cursos/eel879/trabalhos/vpn/ipsec.html/>. Acesso em: 24set.2010;

- Tutorial de TCP/IP – Parte 18 – Introdução ao IPSec. Júlio Batisti. Disponível em: <http://www.juliobattisti.com.br/artigos/windows/tcpip_p18.asp>. Acesso em: 24set.2010.