2003:13 - Karlstads universitet

Då detta arbete inriktar sig på VPN baserat på enbart IPsec kommer vi här att beskriva
protokollen i tunnel mode. I detta läge krypteras både IP-header och payload, till skillnad från
transport mode som endast krypterar payload. Det sistnämnda är till för tunnlar som skapas
med PPTP eller L2TP över IPsec.
3.3.3.1 Internet Key Exchange
Internet Key Exchange (IKE) är ett förhandlingsprotokoll som hanterar autentisering av
publika nycklar, genererar den information som behövs för att varje part ska kunna härleda en
symmetrisk sessionsnyckel samt förhandlar fram alla säkerhetsparametrar som gäller för det
aktuella kommunikationstillfället. Dessa säkerhetsparametrar behöver inte vara desamma från
gång till annan, utan bestäms gemensamt av klient och server. Detta beror på vad de
kommunicerande parterna kan hantera för säkerhetsinställningar.
För att kunna komma överens om en gemensam, symmetrisk sessionsnyckel över ett
publikt nät använder sig IKE av ett protokoll som kallas för Diffie-Hellman [14].
3.3.3.2 Authentication Header
AH är ett av de två säkerhetsprotokollen som IPsec hanterar. Protokollet tillhandahåller
integritet och autentisering [11].
N y
I P - h e a d e r
A u t h e n t i c a t i o n H e a d e r
A H - h e a d e r
U r s p r u n g l i g
I P - h e a d e r
13
T C P / U D P - s e g m e n t
Figur 3.5: Authentication Header – datagrambeskrivning
I AH-headern ligger en message digest, skapad med en hash-algoritm, baserad på hela
TCP/UDP-segmentet samt sändar- och mottagaradresserna. Det enda som inte tas med i hash-
värdet är de fält som förändras på vägen, såsom ” hop count” och ” fragment offset” . Om något
av de statiska värdena ändras kommer inte det hashade värdet att överensstämma med
datagrammet, och mottagaren kan se att en förändring har skett. Det felaktiga paketet kastas
därmed. Integriteten bevaras i och med detta, och som en positiv biprodukt fås även
autentisering, då det hashade värdet måste krypteras. Om kryptering ej sker erhålles heller inte