CRIPTOGRAFIA - FESP

Modos de operação
O IPSec fornece dois modos de operação, como mostrado nas figuras 5 e 6.
No modo de transporte, somente a informação (payload) é encriptada, enquanto
o cabeçalho IP original não é alterado. Este modo tem a vantagem de adicionar
apenas alguns octetos a cada pacote, deixando que dispositivos da rede pública
vejam a origem e o destino do pacote, o que permite processamentos especiais
(como de QoS) baseados no cabeçalho do pacote IP. No entanto, o cabeçalho da
camada 4 (transporte) estará encriptado, limitando a análise do pacote. Passando
o cabeçalho sem segurança, o modo de transporte permite que um atacante faça
algumas análises de tráfego, mesmo que ele não consiga decifrar o conteúdo das
mensagens.
No modo de tunelamento, todo o datagrama IP original é encriptado e passa a
ser o payload de um novo pacote IP. Este modo permite que um dispositivo de
rede, como um roteador, aja como um Proxy IPSec (o dispositivo realiza a
encriptação em nome dos terminais). O roteador de origem encripta os pacotes e
os envia ao longo do túnel IPSec; o roteador de destino decripta o datagrama IP
original e o envia ao sistema de destino. A grande vantagem do modo de
tunelamento é que os sistemas finais não precisam ser modificados para
aproveitarem os benefícios da segurança IP; além disto, esse modo também
protege contra a análise de tráfego, já que o atacante só poderá determinar o
ponto de início e de fim dos túneis, e não a origem e o destino reais.
Cabeçalho genérico para o modo de transporte
Exemplo de um cabeçalho do modo túnel
Como definido pelo IETF, o modo de transporte só pode ser utilizado quanto
tanto a origem quanto o destino “entendem” IPSec. Na maior parte dos casos, é
mais fácil trabalhar com o modo de tunelamento, o que permite a implementação