3.2. Come funziona IPsec (How IPsec Works)

IPsec utilizza due protocolli per fornire servizi di sicurezza del traffico -- Authentication Header (AH) ed Encapsulating Security Payload (ESP). Entrambi i protocolli sono descritti in dettaglio nei rispettivi RFC [Ken05b, Ken05a]. Le implementazioni IPsec DEVONO supportare ESP e POSSONO supportare AH.

• L'Authentication Header IP (AH) [Ken05b] offre integrità e autenticazione dell'origine dei dati, con funzionalità anti-replay opzionali (a discrezione del ricevitore).

• Il protocollo Encapsulating Security Payload (ESP) [Ken05a] offre lo stesso insieme di servizi e offre anche riservatezza. L'uso di ESP per fornire riservatezza senza integrità NON è RACCOMANDATO (NOT RECOMMENDED).

• Sia AH che ESP offrono controllo degli accessi, applicato attraverso la distribuzione di chiavi crittografiche e la gestione dei flussi di traffico come dettato dal database delle politiche di sicurezza (SPD, sezione 4.4.1).

Questi protocolli possono essere applicati individualmente o in combinazione tra loro per fornire servizi di sicurezza IPv4 e IPv6. Tuttavia, la maggior parte dei requisiti di sicurezza può essere soddisfatta attraverso l'uso di ESP da solo. Ogni protocollo supporta due modalità di utilizzo: modalità trasporto e modalità tunnel. In modalità trasporto, AH ed ESP forniscono principalmente protezione per i protocolli del livello successivo; in modalità tunnel, AH ed ESP vengono applicati ai pacchetti IP tunnelizzati.

IPsec consente all'utente (o all'amministratore di sistema) di controllare la granularità con cui viene offerto un servizio di sicurezza. IPsec, attraverso il paradigma di gestione SPD, incorpora facilità per specificare:

• quale protocollo di sicurezza (AH o ESP) impiegare, la modalità (trasporto o tunnel), le opzioni del servizio di sicurezza, quali algoritmi crittografici utilizzare e in quali combinazioni utilizzare i protocolli e i servizi specificati, e

• la granularità alla quale deve essere applicata la protezione.

Poiché la maggior parte dei servizi di sicurezza forniti da IPsec richiede l'uso di chiavi crittografiche, IPsec si affida a un insieme separato di meccanismi per mettere in atto queste chiavi. Questo documento richiede il supporto sia per la distribuzione manuale che automatizzata delle chiavi. Specifica un approccio specifico basato sulla chiave pubblica (IKEv2 [Kau05]) per la gestione automatica delle chiavi, ma POSSONO essere utilizzate altre tecniche di distribuzione automatica delle chiavi (MAY).

Nota: Questo documento richiede il supporto per diverse funzionalità per le quali il supporto è disponibile in IKEv2 ma non in IKEv1, ad esempio, la negoziazione di una SA che rappresenta intervalli di porte locali e remote o la negoziazione di più SA con gli stessi selettori. Pertanto, questo documento presuppone l'uso di IKEv2 o di un sistema di gestione delle chiavi e delle associazioni di sicurezza con funzionalità comparabili.