Overzicht

IPsec (Internet Protocol Security) is een raamwerk van protocollen en standaarden die ontworpen zijn om internetcommunicatie op het IP-niveau te beschermen. In plaats van beveiliging toe te voegen in applicaties, biedt IPsec bescherming op de Internet Layer, zodat alle hogere lagen en toepassingen voordeel trekken zonder aanpassingen. IPsec biedt twee fundamentele diensten: gegevensauthenticatie en optionele vertrouwelijkheid door versleuteling. De set is gedefinieerd en onderhouden door standaarden van de IETF.

Kerncomponenten en protocollen

Het IPsec-ecosysteem bestaat uit verschillende onderdelen die samen veilige IP-communicatie mogelijk maken. Belangrijke protocollen en concepten zijn:

  • Beveiligingsprotocollen zoals AH (Authentication Header) en ESP (Encapsulating Security Payload) die respectievelijk integriteit/authenticatie en versleuteling plus integriteit bieden.
  • Mechanismen voor het opzetten van beveiligingsassociaties en het onderhandelen van sleutelmateriaal via protocollen zoals IKE (Internet Key Exchange), vaak weergegeven in technische specificaties en sleutelonderhandelingsdocumenten.
  • Gebruiksscenario's die IPsec tussen hosts, tussen servers, tussen beveiligingsgateways zoals routers of firewalls, en tussen een gateway en een host ondersteunen.

Werking en eigenschappen

IPsec werkt door datapakketten te verwerken op het IP-niveau: elk pakket kan worden geauthenticeerd en indien gewenst versleuteld. Twee belangrijke modi bestaan: transportmodus, waarbij alleen de payload van het IP-pakket wordt beschermd, en tunnelmodus, waarbij het volledige IP-pakket in een nieuw IP-omhulsel wordt vervoerd. Authenticatie kan gebaseerd zijn op gedeelde sleutels of op certificaten; IPsec definieert ook hoe sleutelmaterialen en beveiligingsparameters worden vastgelegd en onderhouden.

Geschiedenis en standaardisatie

IPsec ontstond als reactie op de behoefte aan een generieke, laag-onafhankelijke beveiligingslaag voor het internetprotocol. Vroege specificaties werden uitgewerkt door de IETF en verzameld in meerdere RFC's, waarvan sommige traditioneel verwezen worden in technische literatuur zoals Internet Protocol-gerelateerde documenten en implementatiegidsen. Omdat IPsec op een relatief laag niveau werkt, werd het vanaf het begin gezien als complementair aan protocolspecifieke oplossingen zoals TLS/SSL of SSH, die elk hun eigen toepassingsgebieden hebben.

Toepassingen, voorbeelden en belang

IPsec wordt veel gebruikt voor het opzetten van virtuele particuliere netwerken (VPN's), beveiligde verbindingen tussen datacenters en router-to-router beveiliging. Het biedt een flexibele manier om bestaande netwerkinfrastructuur te beschermen zonder dat individuele applicaties hoeven te worden aangepast. Doordat het op de Internet Layer werkt, kan IPsec ook bescherming bieden voor meerdere protocollen tegelijkertijd, zoals TCP, UDP en ICMP.

Verschillen en aandachtspunten

Belangrijke verschillen met hogere-laag methoden zijn onder meer implementatiecomplexiteit en interferentie met bepaalde netwerkfuncties. Omdat IPsec laag 3 verwerkt, kan het in sommige netwerkomgevingen moeilijk zijn met firewalls, NAT (network address translation) en mobiele netwerken. Bovendien bestaan er varianten en uitbreidingen voor interoperabiliteit en modernere cryptografische algoritmen; implementaties verwijzen vaak naar aanvullende specificaties en richtlijnen om compatibiliteit te waarborgen, zie bijvoorbeeld authenticatiedocumentatie en versleutelingsrichtlijnen.

Praktische overwegingen

Bij het inzetten van IPsec moet men letten op sleutelbeheer, certificaatinfrastructuur, performantie (door encryptie/decodering), en compatibiliteit met bestaande netwerkapparatuur en beleid. Informeel wordt IPsec soms anders geschreven; de officiële schrijfwijze volgt de IETF-conventies, terwijl alternatieve kapitalisaties voorkomen in documentatie en productnamen. Voor verdere technische verdieping en implementatievoorbeelden zijn er talrijke bronnen en referenties beschikbaar via netwerk- en beveiligingshandboeken en standaardenpagina's, waaronder pakketbeschrijvingen, laagindelingen en aanvullende implementatiegidsen die praktijkvoorbeelden en interoperabiliteit behandelen (algemene informatie).

Meer gedetailleerde technische specificaties en toepassingen van IPsec zijn te vinden in de relevante standaardteksten en documentatie van leveranciers en de IETF: raadpleeg de standaarden en uitvoeringsrichtlijnen voor actuele aanbevelingen en best practices.

Zie ook relevante beveiligingsprotocollen en hoe ze zich verhouden tot IPsec: overzicht protocollen, gateway beveiliging, en verdere literatuur over sleuteldistributie en beveiligingsassociaties.

Trefwoorden: IPsec, VPN, ESP, AH, IKE, authenticatie, encryptie.