Architecture d'IPSec

IPsec utilise les protocoles suivants pour exécuter diverses fonctions :

+   Le protocole AH (En-têtes d'authentification) : Fournit l'intégrité et l'authentification. En effet  il authentifie les paquets en les signant, ce qui assure l'intégrité de l'information. Une signature unique est créée pour chaque paquet envoyé et empêche que l'information soit modifiée

+   Le protocole ESP (Encapsulating Security payload): en plus de l'authentification et l'intégrité fournit également la confidentialité par l'entremise de la cryptographie.

Le protocole AH (Authentification Header) fournit les services de sécurité suivants :

+    Intégrité des données

+   Authentification des données

                    L'en-tête AH est décrite dans l'image suivante :

Le protocole ESP (Encapsulating Security Payload) fournit les services de sécurité suivants :

+   En plus de l’Intégrité  et l’Authentification des données

Il assure aussi :

+   La Confidentialité

+   La Protection contre de l'analyse de trafic

On peut voir tout de suite que le protocole ESP couvre les services offerts par AH, mais néanmoins il faut souligner  que le protocole AH est le seul à protéger l'en-tête du paquet (en-tête original en mode Transport, en-tête IPSec en mode Tunnel).

Description des modes d'IPsec

Il existe trois modes d’IPsec:

        Le mode Tunnel

        Le mode Nesting

Le mode Transport ne modifie pas l'en-tête initial; il s'intercale entre le protocole réseau (IP) et le protocole de transport (TCP, UDP...). Plusieurs variantes existent, conformément aux protocoles décrits plus haut :

En mode transport, uniquement la charge utile du paquet IP est généralement chiffrée et/ou authentifiée.

Le routage est intact, étant donné que l'en-tête IP n'est ni modifiée ni chiffrée ;

Lorsque l'en-tête d'authentification est utilisé, les adresses IP ne peuvent pas toutefois être traduites

     Les couches transport et application sont toujours sécurisées par hachage.

En mode tunnel, la totalité du paquet IP est chiffrée et/ou authentifiée. Elle est ensuite encapsulée dans un nouveau paquet IP avec un en-tête IP.

Le mode tunnel est utilisé pour créer des réseaux privés virtuels pour les communications

+   Réseau à réseau (exemple : entre les routeurs pour relier des sites),

+   Hôte-à-réseau (exemple : accès des utilisateurs distants) et

+   Hôte-hôte (exemple : chat privé).

Le mode de Nesting est hybride puisqu'il utilise les 2 modes cités précédemment. Il s'agit bien d'encapsuler de l'IPSec dans de l'IPSec :

Comparatif entre protocoles de sécurité