Fases IKE

Fase de IKE correspondiente

Main Mode:

Hace referencia a la fase 1 del proceso de negociación de claves, donde se establece el intercambio de claves autenticadas mediante la formación de SA (Security Association).

En esta fase se negocia la asociación de seguridad de modo principal conocida como asociación segura IKE (SA IKE):

1. El primer paso es la negociación de los cuatro parámetros que componen la SA:

a. Algoritmo de cifrado: DES, 3DES, AES, CAST

b. Algoritmo hash: MD5 ó SHA1.

c. Método de autenticación (RADIUS, LDAP, Tacacs+)

d. Grupo de Diffie-Hellman.

2. En el segundo paso se intercambia la clave pública de Diffie-Hellman.

Aquí, la información básica necesaria para generar la clave secreta compartida es intercambiada, entonces el servicio Oakley genera la clave maestra en cada máquina utilizada para el paso de autenticación.

3. Las máquinas intentan autenticar el intercambio de Diffie-Hellman. La clave maestra es utilizada para autenticar la identidad de las máquinas. La información de identidad es “hasheada” y cifrada para protegerla, usando las claves generadas del intercambio de Diffie-Hellman.

4. Si se realiza la autenticación se inicia el siguiente modo.

Quick Mode:

Hace referencia a la fase 2 del proceso de negociación de claves, donde aprovechando la seguridad de la fase se vuelven a negociar asociaciones de seguridad (SA) con el objetivo de evitar ataques de reutilización de los datagramas de la fase 1.

En esta fase se negocian las asociaciones de seguridad IPSec: conocida como SA IPsec:

1. El primer paso en fase dos es la negociación de la política:

a. Protocolo IPSEC: ESP, AH, ESP+AH

b. El algoritmo hash: MD5 ó SHA1

Cuando las dos máquinas han llegado a un acuerdo, dos SAs se establecen, una para comunicaciones entrantes y otras para comunicaciones salientes.

2. Oakley refresca las claves, y una nueva clave secreta o compartida es generada para autenticar y cifrar.

3. Las SAs y claves son transferidas mediante el protocolo IPSEC y la comunicación se realiza.

Si por alguna causa la SA desaparece (un corte de línea, timeout) ésta volverá a generarse de nuevo.

...