Présentation
RÉSUMÉ
Dès que des communications d'une entreprise sont effectuées au travers d'un réseau public, il est important de rester très prudent. Pour répondre à cette problématique de sécurité, le protocole IPsec, la version sécurisée d'IP, s'avère être la solution la plus complète répondant au plus grand nombre de scénarii. Les problèmes de compatibilité de la suite IPsec avec les mécanismes de base sont exposés. L'usage qui est fait d'IPsec pour sécuriser les VPN, dans le cas de l'interconnexion de réseaux privés distants et de l'accès distant s'y trouve décrit de manière détaillée.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleABSTRACT
Where the communication of a company is carried out via a public network it is important to remain extremely cautious. In order to address this safety issue, the Ipsec protocol, the secured version of IP appears to be the most comprehensive solution meeting the largest amount of scenarios. The compatibility issues of the IPsec suite with basic mechanisms are presented in this article. The use made of IPsec in order to secure the VPNs in the case of the interconnection of remote private networks and of remote access are also detailed.
Auteur(s)
-
Maryline LAURENT-MAKNAVICIUS : Professeur GET/INT, Institut national des télécommunications, Evry
INTRODUCTION
Pour faciliter leurs communications inter et intra entreprises et améliorer ainsi leurs relations commerciales et leur productivité, de nombreuses entreprises se donnent les moyens d'avoir des outils de communication efficaces et sûrs. Généralement, les entreprises souscrivent un service de VPN (Virtual Private Network) auprès de sociétés spécialisées (fournisseurs d'accès Internet, opérateurs, ...).
À l'avenir, ces entreprises souhaiteraient offrir encore plus de flexibilité à leurs employés en leur permettant de communiquer avec tout type d'équipement (contrôlé, bien sûr), en tout lieu et même en se déplaçant. Aujourd'hui, les techniques associées à la mobilité et à la sécurité ne permettent pas d'offrir une telle flexibilité, mais la communauté scientifique y travaille.
Dès que des communications d'une entreprise sont effectuées au travers d'un réseau public, sans verser dans la paranoïa, il est important de rester très prudent. En effet, qu'est-ce qui prouve que ces échanges ne feront pas l'objet d'écoutes lors de leur transfert et qu'ainsi leur teneur ne sera pas révélée à un tiers ? C'est l'une des multiples formes que peut prendre l'espionnage industriel.
De plus, qu'est-ce qui assure que le trafic reçu provient bien du terminal déclaré et qu'il n'est pas issu d'un terminal malveillant ayant usurpé l'identité d'un terminal légitime ? Cette dernière question s'avère d'autant plus problématique qu'à terme il est fort probable qu'un utilisateur pourra se connecter à son réseau d'entreprise depuis tout type de terminaux.
Pour répondre à cette problématique de sécurité, le protocole IPsec (IP security), la version sécurisée d'IP, s'avère être la solution la plus complète répondant au plus grand nombre de scénarii.
Ce protocole, standardisé par l'IETF, permet en effet d'authentifier les entités communicantes, d'assurer l'authenticité, l'intégrité et la confidentialité des données échangées, et de maintenir un niveau de sécurité acceptable, tout au long des connexions, par la mise à jour périodique des paramètres de sécurité. IPsec est largement employé aujourd'hui, dans un contexte de VPN, pour sécuriser l'interconnexion de réseaux privés distants et, dans une moindre mesure, pour sécuriser l'accès distant opéré par un nomade à son réseau privé d'entreprise. Sur ce dernier point, l'offre IPsec est concurrencée par l'offre VPN SSL (Secure Socket Layer).
Si la tendance se confirme, les infrastructures réseaux des opérateurs devraient progressivement évoluer vers le « tout IP » et la solution IPsec devrait ainsi connaître de nouveaux usages.
Ce dossier décrit la suite de protocoles IPsec, en particulier les trois sous-protocoles : AH (Authentication Header), ESP (Encapsulating Security Payload), et IKE (Internet Key Exchange).
Les problèmes de compatibilité de la suite IPsec avec les mécanismes de base, comme la traduction d'adresses, sont exposés. L'usage qui est fait d'IPsec pour sécuriser les VPN, dans le cas de l'interconnexion de réseaux privés distants et de l'accès distant s'y trouve décrit de manière détaillée. En particulier, le fonctionnement de la solution standard « L2TP over IPsec », dans le cas de l'accès distant, y est expliqué.
Une comparaison avec d'autres solutions de VPN basées sur les protocoles SSL ou SSH est présentée, de manière à permettre aux lecteurs de placer chacun de ces protocoles dans leurs usages et limites. Le dossier conclut en décrivant le rôle fondamental que devrait jouer IPsec dans la sécurisation des réseaux mobiles futurs basés sur le protocole de mobilité IPv6 et présente les nouveaux défis à relever.
VERSIONS
- Version archivée 1 de nov. 2003 par Maryline LAURENT-MAKNAVICIUS
DOI (Digital Object Identifier)
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
Accueil > Ressources documentaires > Technologies de l'information > Réseaux Télécommunications > Administration de réseaux, applications et mise en oeuvre > Suite de protocoles IPsec au service des VPN et de la mobilité > Positionnement des VPN IPsec par rapport aux VPN SSL et SSH
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
10. Positionnement des VPN IPsec par rapport aux VPN SSL et SSH
-
Le protocole SSL (Secure Socket Layer) et fut développé dans les années 1990 par Netscape Communications dans l'intention de favoriser le déploiement du commerce électronique. Son succès fut remarquable du fait de sa gratuité et il fut rapidement intégré dans les navigateurs web grand public tels que Netscape Navigator et Internet Explorer.
SSL se présente sous la forme d'une couche protocolaire à placer entre la couche TCP et les applications basées sur TCP. SSL permet donc de protéger tout le trafic issu des applications telnet, HTTP, FTP...
Ces applications, protégées par SSL sont alors renommées HTTPS, telnets, FTPS et sont, par convention, identifiées par un numéro de port particulier.
La version SSLv3.0, de 1996, intégrée dans Netscape Navigator 3.0 et Microsoft Internet Explorer 3.0, permet au serveur web et à l'utilisateur de s'authentifier et de protéger le trafic de données en assurant les services de confidentialité, intégrité, authentification et détection de rejeux.
-
Depuis quelques années, des solutions de VPN, basées sur SSL , ont vu le jour pour la connexion à distance de terminaux nomades. Une passerelle VPN SSL doit être active du côté du réseau privé d'entreprise. Par contre, côté client VPN SSL, il existe deux familles de solutions.
-
La première famille ne nécessite aucun client. Elle est dite « clientless » et suppose que le client dispose d'un simple navigateur.
L'utilisateur accède à son réseau privé en se connectant à la passerelle VPN SSL qui lui offre, par un menu restreint, l'accès à certains services. Tous les échanges, entre la passerelle et le terminal, sont effectués grâce au protocole HTTP, tandis que les échanges entre la passerelle et les serveurs demandés se font dans le protocole d'accès au service (SMTP, HTTP, FTP...). La passerelle se charge alors de traduire la réponse des serveurs en HTTP pour qu'elle puisse être visualisée sur le navigateur client.
On se rend bien compte, dans ce cas de figure, que seules les applications proposées par la passerelle sont accessibles et que seules les applications « webisées » (dont les réponses sont aisément traduisibles en HTTP) pourront figurer dans le menu de la passerelle VPN SSL.
-
La seconde famille appelée « non...
-
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Positionnement des VPN IPsec par rapport aux VPN SSL et SSH
BIBLIOGRAPHIE
-
(1) - CHAOUCHI (H.), LAURENT-MAKNAVICIUS (M.) - La sécurité des réseaux sans fil et mobiles – volume 1 : Concepts fondamentaux - – 1ère édition, traité IC2, Hermès, avril 2007.
-
(2) - CHAOUCHI (H.), LAURENT-MAKNAVICIUS (M.) - La sécurité des réseaux sans fil et mobiles – volume 3 : Technologies émergentes - – 1ère édition, traité IC2, Hermès, mars 2007, ISBN 3 978-2-7462-1699-0.
-
(3) - CIZAULT (G.) - IPv6 Théorie et pratique - . 3ème édition, O'Reilly, 2005.
-
(4) - COMBES (J.-M.), MIGAULT (D.), BOURNELLE (J.), CHAOUCHI (H.), LAURENT-MAKNAVICIUS (M.) - Sécurité des réseaux mobiles IP - – chapitre du traité IC2 .
-
(5) - RESCORLA (E.) - SSL and TLS : Designing and building secure systems - – 2nd edition, Addison-Wesley, 2001.
-
...
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive