İnternet anahtar değişim protokolü

İnternet anahtar değişim protokolü ya da Internet Key Exchange (IKE ya da IKEv2) internet üzerinde güvenli bir şekilde veri alışverişi için kullanılan anahtarların değişimini sağlayan protokoldür.

Bu protokolde her iki kullanıcı bir bilgi değişimi yapılmadan önce gizli bir anahtar üzerinde anlaşabilirler. Bu protokol genel olarak VPN için kullanılır. Bu anahtar değişim protokolünü her iki tarafta kimliğini doğrulama ve aralarında bir iletişim oturumu şifreleme için kullanabilirler. Karşılıklı doğrulama için anahtar alt yapısı kullanılır.

IP (internet protokol) üzerinde çalışan ve bir güvenlik protokolü olan IPSEC'in (internet protokol security) bir parçası olarak geliştirilmiştir. Asıl amacı internet ağı üzerinde güvenli şifreleme için kullanılan anahtarları değiştirmektir. Bu değişim için Diffie-Hellman anahtar değişimi algoritması yaygın olarak kullanılır. Bu algoritma 500. porttan iletişim sağlayan UDP paketleri aracılığıyla her iki kullanıcının anahtarlarının değişimlerini sağlar. Buna örnek olarak AES şifrelemesi gösterilebilir. Bu şifreleme ile iki kullanıcı arasında sadece 2-3 adımda güvenli bir iletişim kanalı oluşturulabilir.

IKE'de bulunan bazı eksiklikler nedeniyle IKEv2 adında ikinci bir IKE sürümü çıkarılmıştır. IKEv2, Windows 7.0, Windows Server 2008 tarafından tam destekle karşılanmakla birlikte BSD tarafından da destek görmüştür. Hatta burada açık kaynak kodlu bir geliştirme ortamı oluşturulmuştur.

İnternet Anahtar Değişimi (IKE veya IKEv2), IPsec protokolü için bir güvenlik ilişkisi (SA) kurmak için kullanılan bir protokoldür. IKE Oakley protokolu ile ISAKMP üzerine inşa edilmiştir. IKE kimlik doğrulaması için X.509 sertifikasını kullanır. Türetilmiş gizli oturum anahtarını DNS (tercihen DNSSEC) ve Diffie-Hellman anahtar değişimini kullanarak yapar. Buna ek olarak, bağlanılacak her bir eş (peer) için bir güvenlik politikası manuel olarak sürdürülmelidir.

IKE, RFC4306 tarafından sürüm 2’ ye (IKEv2) Kasım 2005’ te güncellenmiştir. Bazı açık ayrıntılar RFC4718 tarafından Ekim 2006’ da netleştirilmiştir. Bu iki doküman artı ilave açıklamalar Eylül 2010’ da yayımlanan güncellenmiş IKEv2 RFC5996 içine kombine edilmiştir. Bir sonraki güncelleme, Proposed Standart to Önerilen standarttan Internet standardına olan dokümanı yükseltmiştir ve RFC7296 olarak Ekim 2014’ te yayımlanmıştır.

Kullanıcı alanı daemonları, gerektiği gibi IPsec uç nokta adresleri, anahtarları ve sertifikaları gibi konfigürasyon bilgisi içeren yığın depolamaya kolay erişime sahiptir. Kernel modülleri, diğer taraftan, paketleri verimli ve minimum yük ile işleyebilir. Bu performans sebepleri için önemlidir.

IKE protokolü genellikle port 500 UDP paketleri kullanır ve genellikle her iki tarafta bir SA oluşturmak için 2-3 kez çevrede dönen 4-6 paketlere ihtiyaç duyar. Anlaşmalı anahtar malzeme daha sonra IPsec yığınına verilir. Örneğin bu, korunan IP uç noktaları ve portları belirleyen bilgi olan bir AES anahtarı olabilir.

IPsec yığını da, eğer gerekirse ilgili IP paketlerini durdurur ve gerektiği gibi bir şifreleme / şifre çözme uygular. Uygulamalar,  paketlerin nasıl durdurulduğuna göre çeşitlenir örneğin, bazıları sanal aygıtlar kullanır, diğerleri güvenlik duvarının dışından bir parça alır gibi.

IKE faz 1’in amacı; iletişimi şifrelemek için paylaşılan gizli anahtarı oluşturmak için Diffie-Hellman anahtar değişimi algoritması kullanarak daha güvenli bir doğrulanmış bir IKE iletişim kanalı kurmaktır. Bu müzakere  tek çift yönlü ISAKMP Güvenlik Ortaklığında (SA) sonuçlandırılmıştır. Kimlik doğrulama işlemi  ya önceden paylaşılmış imzalar, ya da ortak anahtar şifreleme kullanılarak yapılabilir. Faz 1 Ana Mod ve Agresif Mod’dan oluşur Ana Mod çiftlerin kimliklerini korur; Agresif Mod korumaz. Faz 2 boyunca; IKE çifleri, güvenlik ortaklığını IPSEC gibi diğer hizmetler adına müzakere etmek için faz 1 de kurulmuş güvenli kanalı kullanır. Müzakere en az iki tane tek yönlü güvenlik ortaklığıyla (bir gelen ve bir giden) sonuçlanır. Faz 2 yalnızca Hızlı modunda çalışır.

IKE çok sayıda yapılandırma seçenekleri vardı ama tanınmış bir varsayılan durumda(evrensel uygulanan) otomatik müzakere için genel bir olanak yoktu. Sonuç olarak, IKE’deki her iki taraf tam güvenlik ortaklığı  türü üzerinde anlaşmaya vardı Onlar kurulamadı bir bağlantı oluşturmak istedi kurulamayan bir bağlantı yaratmak istediler. Eğer hata ayıklama rutii varsa, hata ayıklama çıkışını yorumlamak zor olduğu gerçeği ortaya çıktı.

Daha az RFC: IKE’ nin özellikleri en az 3 RFC’ de kaplanmıştır. Bunların en az bir tanesi NAT geçişi ve diğer yaygın olarak kullanımda olan uzantıları dikkate alır. IKEv2, genel olarak NAT geçişi ve güvenlik duvarı geçişi için desteklemek üzere, bunları bir RFC’ de bağlar.

Standart Hareketlilik desteği: IKev2 için hareketliliği desteklemek amaçlı standart bir uzantı (MOBIKE olarak adlandırılmıştır) vardır. IKEv2 uzantısının kullanımı ile, IPsec birden çok ana kullanıcılar ve mobil tarafından kullanılabilir.

NAT traversal: UDP port 4500’ deki IKE’ nin ve ESP’ nin kapsüllemesi, bu protokollerin bir aygıt veya güvenlik duvarı üzerinden geçmesine izin verir.

Basit bir mesaj alışverişi: IKEv2, IKE’ nin sekiz tane belirgin olarak farklı başlangıç değişim mekanizması sağladığı yerde, bir tane 4-mesajlı başlangıç değişim mekanizmasına sahiptir. Bu sekiz mekanizmanın her biri hafif avantaj ve dezavantajlara sahiptir.

Daha az şifreleme mekanizmaları: IKEv2 paketlerini korumak için kriptografik mekanizmalar kullanır. Bu paketler, IPsec ESP’ nin IPsec paketlerini korumak için kullandığı paketlere benzer. Bu basit uygulamalara ve Ortak Kriterler ve FIPS 140-2 sertifikalara izin verir.  Bu Ortak Kriterler ve FIPS 140-2 ayrı ayrı onaylanmak için her bir kriptografik uygulamaya ihtiyaç duyar.

Güvenilirlik ve Devlet yönetimi: IKEv2, güvenilirlik sağlamak için sıra numaraları ve bildirimleri kullanır ve bazı hata işleme lojistiklerini ve paylaşılmış durum yönetimini zorunlu kullanır. IKE, güvenilirlik ölçümleri azlığı sebebi yüzünden ölü durum içinde sonlanabilir.  Bu ölçümlerde her iki parti, diğerinin sonuçlanmayan bir çözüm başlatacağını bekler. Çalışma yolları (Ölü-Çift Algılama gibi) geliştirilmiştir; fakat standartize edilmemiştir. Bu durum, çalışma yollarının farklı uygulamalarının her zaman uyumlu olmadığı anlamına gelmektedir.

IETF ipsecme çalışma grubu IKEv2 protokolü modernizasyonu ve yüksek hacimli üretim ortamlarında daha iyi adapte amacıyla, uzantıları bir dizi standart hale getirmiştir.

IKE oturumu yeniden başlatılması: tüm IKE kurulum işlemi (RFC 5723) geçmesi gerek kalmadan, bir hatadan sonra başarısız bir IKE / IPsec "oturumu" devam etmek için.

IPsec trafik görünürlüğü: Daha kolay (örneğin saldırı tespit sistemleri gibi) middleboxes debi (RFC 5840) analiz için yapım amacı ile, kimliği doğrulanmış ancak şifreli değildir ESP paketlerinin özel etiketleme.

Karşılıklı EAP kimlik doğrulama: IKE çiftlerinin  EAP-sadece (yani, sertifika-az) kimlik doğrulaması için destek; amaç, modern parola tabanlı kimlik doğrulama yöntemleri (RFC 5998) kullanılmak üzere izin vermektir.

Yüksek kullanılabilirlik uzantıları: Başarısızlık durumunda (RFC 6311) sonra düştü bağlantıları olasılığını azaltmak için, IPsec uç noktaları bir küme ve bir eş arasında IKE / IPsec düzey protokol senkronizasyonunu geliştirmek.

IKE,  Windows 2000, Windows XP, Windows Server 2003, Windows Vista, ve Windows Server 2008’ teki Ipsec uygulamasının kısmı olarak desteklenir. ISAKMP/IKE uygulaması Cisco ve Microsoft tarafından geliştirilmiştir.

ilişkili IKE yetenekleri ile IPsec’ in  birçok açık kaynak uygulamaları vardır. Linux üzerinde, Openswan ve strongswan uygulamaları pluto olarak çağrılan bir IKE daemonu sağlar. Pluto, KLIPS veya NETKEY kernel tabanlı IPsec yığınlarına konfigüre olabilir. NETKEY, Linux2.6 kernelinin ana Ipsec uygulamasıdır.

Berkeley Yazılım Dağıtımları da bir IPsec uygulaması ve IKE daemonuna ve en önemlisi kriptografik hızlandırıcıları desteklemeyi daha kolay yapan bir kriptografik çerçeveye (OpenBSD Cryptographic Framework, OCF) sahiptir. OCF  yakın zamanda Linux’ a taşınmıştır.

ICSA Labs, dünyanın dört bir yanından gelen 13 satıcıları ile 2007 yılının Mart ayında Orlando, FL’ de en son IKEv2 Interoperability Workshop’ unu düzenledi.