موضوع مقاله: مبادله کلید اینترنت | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # مبادله کلید اینترنت | مقدمه: RFC 5996 این دو سند و توضیحات اضافی را در IKEv2 به روز شده که در سپتامبر ۲۰۱۰ منتشر شد، ترکیب کرد. | ## بخش 1: مبادله کلید اینترنت | به روزرسانی بعدی، این سند را از نسخه پیشنهادی استاندارد به استاندارد اینترنت ، که در اکتبر ۲۰۱۴ به عنوان RFC 7296 منتشر شده‌است، ارتقا داد. سازمان اصلی IETF، انجمن اینترنتی (ISOC)، کپی رایت این استانداردها را بصورت رایگان در دسترس جامعه اینترنت حفظ کرده‌است. مکانهای فضای کاربر در صورت لزوم دسترسی آسان به ذخیره انبوه شامل اطلاعات پیکربندی مانند آدرس‌های انتهایی IPsec، کلیدها و گواهینامه‌ها دارند. از طرف دیگر ماژول‌های هسته می‌توانند بسته‌ها را به صورت کارآمد و با حداقل سربار پردازش کنند - که به دلایل عملکرد بسیار مهم است. پروتکل IKE از بسته‌های UDP، معمولاً در پورت ۵۰۰ استفاده می‌کند، و به‌طور کلی برای ایجاد یک SA (انجمن امنیتی) از هر دو طرف به ۴–۶ بسته با ۲–۳ دور سفر نیاز دارد. به عنوان مثال، این می‌تواند یک کلید AES باشد؛ اطلاعاتی که نقاط پایانی IP و پورت‌هایی را که باید محافظت شوند، و همچنین نوع تونل IPsec ساخته شده را شناسایی می کند. IPsec، به نوبه خود، بسته‌های IP مربوطه را در صورت لزوم رهگیری می‌کند و رمزگذاری / رمزگشایی را طبق نیاز انجام می‌دهد. مثلاً برخی از دستگاه‌های مجازی استفاده می‌کنند، برخی دیگر برشی را از دیواره آتش می‌گیرند و غیره. 5 مراحل IKEv1 هدف IKE فاز اول ایجاد کانال ارتباطی معتبر با استفاده از الگوریتم پروتکل تبادل کلید دیفی-هلمن برای تولید یک کلید مخفی مشترک برای رمزگذاری ارتباطات IKE است. | ## بخش 2: مبادله کلید اینترنت | 5 در فاز دوم IKE، همتایان IKE از کانال ایمن مستقر در فاز ۱ برای مذاکره انجمنهای امنیتی به نمایندگی از سایر خدمات مانند آی‌پی‌سک استفاده می‌کنند. 5 مشکلات IKE در اصل، IKE گزینه‌های پیکربندی بی شماری را داشت اما فاقد امکانات کلی برای مذاکره خودکار برای یک مورد پیش فرض شناخته شده‌است که به‌طور جهانی اجرا می‌شود. در نتیجه، هر دو طرف IKE مجبور بودند دقیقاً در مورد نوع انجمن امنیتی که می‌خواستند ایجاد کنند، توافق کنند - گزینه به گزینه - یا امکان ایجاد ارتباط وجود نداشت. مشخصات IKE در حد قابل توجهی از تفسیر واضح بودند؛ محدود بودن به خطاهای طراحی ( Dead-Peer-Detection مورد در مورد ) و به وجود آوردن پیاده سازی های مختلف IKE به هیچ وجه قادر به ایجاد یک انجمن امنیتی توافق شده برای بسیاری از گزینه ها نیست ، با این حال به درستی پیکربندی شده است و ممکن است در انتهای هرکدام از آنها ظاهر شود. تبادل پیام ساده: IKEv2 دارای یک مکانیسم تبادل اولیه چهار-پیام است که IKE هشت مکانیسم مجزای تبادل اولیه متفاوت را ارائه می‌دهد، که هر یک مزایا و معایب اندکی دارند. این امر منجر به پیاده‌سازی‌ها و گواهینامه‌های ساده‌تر برای معیارهای مشترک و FIPS 140-2 (استاندارد پردازش اطلاعات فدرال (FIPS می‌باشد؛ که هرکدام نیاز به اجرای رمزنگاری به‌طور جداگانه دارد، قابلیت اطمینان و مدیریت دولتی: IKEv2 از اعداد توالی و تأییدیه‌هایی برای تأمین اعتبار استفاده می‌کند و برخی از لجستیک‌های پردازش خطا و مدیریت دولت مشترک را موظف می‌کند. IKE به دلیل عدم وجود چنین اقدامات قابل اطمینانی، در جایی که هردو طرف انتظار دیگری را برای شروع عملی داشتند - که هرگز چنین اتفاقی نیفتاده است - می‌تواند در حالت مرده(dead state) به پایان برسد. اانعطاف‌پذیری حمله منع سرویس: IKEv2 پردازش زیادی انجام نمی‌دهد تا زمانی که مشخص کند درخواست کننده در واقع وجود دارد یا خیر. این مسئله به برخی از مشکلات DoS رنج می‌برد که IKE باعث پردازش رمزنگاری گران‌قیمت زیادی از مناطق مضراب شده‌است. | ## بخش 3: مبادله کلید اینترنت | این امر برای اطمینان از این است که آیا ابتکار عمل واقعاً قادر به پاسخگویی IKE از پاسخ دهنده است یا خیر. قابلیت مشاهده ترافیک IPsec: برچسب زدن ویژه بسته‌های ESP که احراز هویت شده اما رمزگذاری نشده‌اند، با هدف آسان‌تر کردن جعبه‌های میانی (مانند سیستم‌های تشخیص نفوذ) برای تحلیل جریان (RFC 5840). هدف این است که امکان استفاده از روشهای تأیید هویت مدرن مبتنی بر رمز عبور (RFC 5998) فراهم شود. تشخیص سریع تصادف: به حداقل رساندن زمان تا زمانی که یک همکار IKE تشخیص دهد که همتای مخالف خود سقوط کرده‌است (RFC 6290). تعدادی از پیاده‌سازی‌های IKEv2 وجود دارد و برخی از شرکت‌هایی که در صدور گواهینامه IPsec و آزمایش قابلیت کارکردن مشغول به کار هستند، شروع به برگزاری کارگاه‌های آزمایش برای آزمایش و همچنین الزامات اخذ گواهینامه به روز شده برای مقابله با آزمایش IKEv2 می‌کنند. آزمایشگاه‌های ICSA آخرین مارس کارگاه قابلیت همکاری IKEv2 خود را در اورلاندو، فلوریدا در مارس ۲۰۰۷ با ۱۳ فروشنده از سراسر جهان برگزار کرد. با تفکیک دقیق سیستم‌های مشتری در نقاط دسترسی به خدمات متعدد با تنظیمات دقیق تر می‌توان از این امر جلوگیری کرد. | ## جمع‌بندی | هر دو نسخه از استاندارد IKE در هنگام استفاده از رمز ورود آنتروپی پایین مستعد حمله دیکشنری آفلاین هستند.