Diferències
Ací es mostren les diferències entre la revisió seleccionada i la versió actual de la pàgina.
| info:cursos:pue:ethical-hacker:extras:sincara-ipsec [26/02/2025 02:17] – creat mate | info:cursos:pue:ethical-hacker:extras:sincara-ipsec [26/02/2025 02:26] (actual) – mate | ||
|---|---|---|---|
| Línia 5: | Línia 5: | ||
| == Modos | == Modos | ||
| + | * Modo Transporte. | ||
| + | * Generalmente es el modo usado para comunicaciones de ordenador a ordenador, o de ordenador a red. | ||
| + | * La cabecera IPsec se insertará a continuación de la cabecera IP y justo antes de los datos aportados por la capa de transporte. De esta forma, sólo la carga útil es autenticada y opcionalmente cifrada, y se mantienen las direcciones IP originales. | ||
| + | * El modo transporte asegura la comunicación extremo a extremo pero los extremos deben saber de la existencia del protocolo IPsec y de la clave para poder entenderse. | ||
| + | * Modo Túnel. | ||
| + | * Modo de comunicación entre redes, pero también se usa con ordenadores con redes, y ordenadores con ordenadores. | ||
| + | * Todo el paquete IP (datos más cabeceras del mensaje) es cifrado o autenticado. Debe ser entonces encapsulado en un nuevo paquete IP para que funcione el enrutamiento. | ||
| + | * Generalmente, | ||
| + | |||
| + | == Componentes | ||
| + | * Cabecera de autenticación (AH - Authentication Header). | ||
| + | * Garantiza la integridad y autenticación del datagram, mediante un hash cifrado, pero no su privacidad, los datos no están cifrados, eso solo lo hace ESP. | ||
| + | * El enrutamiento permanece intacto, ya que no se modifica la cabecera IP, las direcciones IP no pueden ser traducidas (NAT), ya que eso invalidaría el hash. | ||
| + | * También ofrece protección opcional contra los llamados " | ||
| + | * Calcula el Hash del contenido del paquete y de la cabecera original, y se añade a la cabecera AH, y lo cifra con la clave previamente compartida. | ||
| + | * Cuando llega al destino, compara ese valor con el Hash calculado. | ||
| + | * Si coincide, el datagrama no ha sido modificado. | ||
| + | * El Hash (y solo el Hash), va codificado con una clave compartida previamente mediante IKE. | ||
| + | * https:// | ||
| + | * Carga de seguridad encapsulada (ESP - Encapsulating Security Payload). | ||
| + | * La función principal del protocolo ESP es proporcionar confidencialidad a los datos, mediante el cifrado de los mismos, aunque es una función opcional. | ||
| + | * Con la opción de cifrado activa, cifra el datagrama IP. Garantiza la confidencialidad. | ||
| + | * Con la opción de autenticación activa, proporciona la misma protección que AH. | ||
| + | * Con ambas opciones activas, proporciona integridad sólida, autenticación de datos y confidencialidad. | ||
| + | * Protocolo de intercambio de claves en internet (IKE - Internet key exchange). | ||
| + | * Es una combinación de ISAKMP y de Oakley. | ||
| + | * ISAKMP (Protocolo de administración de claves y asociaciones de seguridad en Internet) es un protocolo definido por RFC 2408 para establecer asociaciones de seguridad (SA) y claves criptográficas en un entorno de Internet. ISAKMP solo proporciona un marco para la autenticación y el intercambio de claves y este marco es independiente del intercambio de claves. | ||
| + | * Oakley es un protocolo de acuerdo de claves, de intercambio de claves, que permite que las partes autenticadas intercambien material de claves en una conexión no protegida mediante el algoritmo de intercambio de claves Diffie-Hellman. | ||
| + | * Este protocolo se utiliza para generar, administrar e intercambiar las claves necesarias para establecer las conexiones AH y ESP. | ||
| + | * Emplea un intercambio secreto de claves de tipo Diffie-Hellman para establecer el secreto compartido de la sesión. Se suelen usar sistemas de Criptografía de clave pública o clave pre-compartida. | ||
| + | * IKE no sólo está en IPsec sino que puede ser usado en los distintos algoritmos de enrutamiento como OSPF o RIP. | ||
| + | * Es compatible con NAT transversal, | ||
| + | * Es resistente a ataques de denegación de servicio. IKE no realiza ninguna acción hasta que determina si el extremo que realiza la petición realmente existe, de esta forma se protege contra ataques desde direcciones IP falsas. | ||
| + | |||
| + | == Servicios que proporciona IPsec | ||
| + | * **Confidencialidad**: | ||
| + | * **Integridad**: | ||
| + | * **Autenticación**: | ||
| + | * Permite el **acceso remoto** a ordenadores en distintos lugares como si estuviéramos en la misma red local (redes privadas virtuales). Gracias a esta característica podremos tener redes privadas comunicando diferentes sedes de empresas en Internet, sin necesidad de redes físicas privadas con el coste que estas redes conllevan. | ||
| + | * **Negociación del cifrado**: mecanismos que permiten a los dos host que están se están comunicando acordar las claves y algoritmos de cifrado. | ||
| + | * **Cifrado de la comunicación**: | ||
| + | |||
| + | |||
| + | == Enlaces | ||
| + | * https:// | ||
| + | * https:// | ||
| + | * https:// | ||
| + | * https:// | ||