4.5. Gestione delle SA e delle chiavi
Tutte le implementazioni IPsec DEVONO supportare sia la gestione manuale che automatizzata delle SA e delle chiavi crittografiche. I protocolli IPsec, AH ed ESP, sono ampiamente indipendenti dalle tecniche di gestione delle SA associate, sebbene le tecniche coinvolte influenzino alcuni dei servizi di sicurezza offerti dai protocolli.
Impatto sui servizi di sicurezza
Ad esempio, il servizio anti-replay opzionale disponibile per AH ed ESP richiede una gestione automatizzata delle SA. Inoltre, la granularità della distribuzione delle chiavi impiegata con IPsec determina la granularità dell'autenticazione fornita. In generale, l'autenticazione dell'origine dei dati in AH ed ESP è limitata dalla misura in cui i segreti utilizzati con l'algoritmo di integrità (o con un protocollo di gestione delle chiavi che crea tali segreti) sono condivisi tra più possibili fonti.
Il testo seguente descrive i requisiti minimi per entrambi i tipi di gestione delle SA.
4.5.1. Tecniche manuali
La forma più semplice di gestione è la gestione manuale, in cui una persona configura manualmente ciascun sistema con il materiale di chiave e i dati di gestione delle SA rilevanti per la comunicazione sicura con altri sistemi. Le tecniche manuali sono pratiche in ambienti piccoli e statici, ma non scalano bene.
Esempio di caso d'uso: Un'azienda potrebbe creare una rete privata virtuale (VPN) utilizzando IPsec in gateway di sicurezza presso diversi siti. Se il numero di siti è piccolo e poiché tutti i siti rientrano nella competenza di un singolo dominio amministrativo, questo potrebbe essere un contesto fattibile per le tecniche di gestione manuale. In questo caso, il gateway di sicurezza potrebbe proteggere selettivamente il traffico da e verso altri siti all'interno dell'organizzazione utilizzando una chiave configurata manualmente, senza proteggere il traffico per altre destinazioni.
Potrebbe anche essere appropriato quando solo comunicazioni selezionate devono essere protette. Un argomento simile potrebbe applicarsi all'uso di IPsec interamente all'interno di un'organizzazione per un piccolo numero di host e/o gateway. Le tecniche di gestione manuale spesso impiegano chiavi simmetriche configurate staticamente, sebbene esistano anche altre opzioni.
4.5.2. Gestione automatizzata delle SA e delle chiavi
L'implementazione diffusa e l'uso di IPsec richiedono un protocollo di gestione delle SA automatizzato, scalabile e conforme agli standard Internet. Tale supporto è necessario per facilitare l'uso delle funzionalità anti-replay di AH ed ESP e per consentire la creazione su richiesta di SA, ad esempio per la crittografia orientata all'utente e alla sessione. (Si noti che la nozione di "rekeying" di una SA implica effettivamente la creazione di una nuova SA con un nuovo SPI, un processo che generalmente implica l'uso di un protocollo automatizzato di gestione delle SA/chiavi.)
Protocollo predefinito: Il protocollo di gestione automatizzata delle chiavi predefinito selezionato per l'uso con IPsec è IKEv2 [Kau05]. Questo documento presuppone la disponibilità di determinate funzioni del protocollo di gestione delle chiavi che non sono supportate da IKEv1. POSSONO essere impiegati altri protocolli di gestione automatizzata delle SA.
Più chiavi per SA
Quando viene impiegato un protocollo automatizzato di gestione delle SA/chiavi, l'output di questo protocollo viene utilizzato per generare più chiavi per una singola SA. Ciò si verifica anche perché vengono utilizzate chiavi distinte per ciascuna delle due SA create da IKE. Se vengono utilizzate sia l'integrità che la riservatezza, sono richieste almeno quattro chiavi. Inoltre, alcuni algoritmi crittografici possono richiedere più chiavi, ad esempio 3DES.
Il sistema di gestione delle chiavi può fornire una stringa di bit separata per ciascuna chiave necessaria per la SA, oppure può generare una singola stringa di bit da cui vengono estratte tutte le chiavi.