Briefing & IPsec

Die Bundesminister stehen fest, unteranderem der Geschäftsführer von MediaMarkt. Amazon schickt jetzt auch Satelliten ins All und ich habe mir für den heutigen Deep Dive Gedanken über IPsec gemacht! :)

Die 5 Top Reads der Woche

• Stromausfall in Südeuropa: Seltenes atmosphärisches Phänomen als Ursache?

• In Sachsen-Anhalt: Dorf fürchtet sich vor Hyperscaler-Rechenzentrum

• Geschäftsführer von MediaMarktSaturn wird Bundesministers für Digitalisierung

• Amazon schickt seine ersten Internet-Satelliten ins All

• WinScript Anleitung: Windows optimieren leicht gemacht

Im heutigen Deep Dive geht es um etwas, das bei IPv4 optional und bei IPv6 normal ist: IPsec!

Deep Dive IPSec

Was ist IPsec?

IPSec operiert auf der Netzwerkschicht (Schicht 3) des OSI-Modells. Das bedeutet, es schützt die Kommunikation auf IP-Ebene - sozusagen an der Wurzel eurer Netzwerkverbindung. Andere Sicherheitsprotokolle wie TLS/SSL arbeiten dagegen auf höheren Schichten (Transportschicht/Schicht 4 oder Anwendungsschicht/Schicht 7). Der Vorteil? IPSec ist für die Anwendungen völlig transparent - sie merken nicht einmal, dass ihre Daten geschützt werden. Wie ein Ninja der Netzwerksicherheit! 

Die kryptografischen Algorithmen

Für die Verschlüsselung:

AES (Advanced Encryption Standard): Mit Schlüssellängen von 128, 192 oder 256 Bit - je länger, desto sicherer und rechenintensiver
3DES (Triple Data Encryption Standard): Der alte Haudegen, langsamer und weniger sicher als AES
ChaCha20: Ein moderner Stream-Cipher, besonders effizient auf Geräten ohne Hardware-AES-Beschleunigung

Für die Authentifizierung:

HMAC-SHA1/SHA2: Der Fingerabdruck eurer Daten
AES-GMAC: Authentifizierung mit AES im Galois Counter Mode

Für den Schlüsselaustausch:

Diffie-Hellman: Der Klassiker für den sicheren Schlüsselaustausch über unsichere Kanäle
Elliptische Kurven: Moderne Alternative, die bei gleicher Sicherheit kürzere Schlüssel erlaubt

Phasen des IPSec-Verbindungsaufbaus

Phase 1: IKE (Internet Key Exchange)
Hier werden die "Security Associations" ausgehandelt - quasi die Spielregeln:

Main Mode (6 Nachrichten):
Nachrichten 1-2: Verhandlung der Verschlüsselungs- und Hash-Algorithmen
Nachrichten 3-4: Diffie-Hellman-Austausch für den gemeinsamen Schlüssel
Nachrichten 5-6: Authentifizierung beider Parteien

Das Ergebnis: Eine bidirektionale ISAKMP/IKE SA mit einem gemeinsamen Schlüssel.