Sommaire
IPsec
Fonction du chiffrement opportuniste
IKE ?
DNSsec
Inconvénients

IPsec
Batterie de protocole permettant de sécuriser IP en
utilisant l’authentification et le chiffrement des paquets IP.
AH, ESP, IKE, ISAKMP, OAKLEY
RFC publiée en Novembre 1998
Inclus dans IPv6
Implémentation pour des VPN
Couche 3.5

Rappel IPsec
Protocoles d’échanges de clé (ISAKMP) pour la
création de SA (Security Association)
Authentification des paquets IP (Authentification
Header)
Chiffrement des paquets IP (Encapsulated Security
Payload)
Impossibilité de routage par NAT

Datagramme IPSec

Et le NAT ?

C’est cool mais …
On sécurise les échanges de données entre X sites
et/ou X clients
Accord préalable (échange de clés)
Et le reste des communications ?
Top tendance : Hadopi, Great Firewall of
China, Echellon, …

The solution
Le chiffrement opportuniste
Authentification et Chiffrement sans accord préalable
Chiffrement de toutes les connexions
Propagation non intrusive
Facultatif

« OpportunisticEncryption »
RFC 4322 – Décembre 2005
ANONSEC (« Anonymous Security »)
Vise clairement les attaques par MiM, DPI
(DeepPacket Inspection), écoutes, …

Ouai mais en fait …
Pas d’accord préalable pour HTTPS !
Ouai mais en fait si… intégré au navigateur
Mais mon HTTPS il est pas dans mon navigateur!
Ouai mais exception de sécurité…
Ouai mais CA préconfiguré…

Fonctionnement - Archi

Fonctionnement
L’application d’Alice résout le nom de Bob
Initiation de la communication
Interception par la passerelle et obtention de la
passerelle sécurisée via DNS. Obtention de la clé
publique via DNS.
Phase 1 d’IKE (compléter)

Fonctionnement
La passerelle de Bob obtient via DNS la clé publique
de la passerelle d’Alice
Phase 2 IKE
La passerelle de Bob authentifie la passerelle d’Alice
via DNS.
Etablissement de la connexion

IKE ?! Truc de jedi !

IKE !

IKE
« IPSec Key Exchange »
Sécurisation par secret partagé
Impossibilité d’interception (ESP)
Impossibilité de modification (AH)
Echanges d’informations pour l’établissement d’une
connexion sécurisée (Security Assocations)

DNSSEC ?
Importance cruciale du DNS…
Passage à DNSSEC
Signature hiérarchique
Complexification du DNS
Augmentation du nombre de requêtes DNS et du
volume des réponses

Inconvénients
Latence d’initialisation de connexion
Efficacité d’utilisation de la bande passante
DDoS à cause d’IKE ?
Cout de l’implémentation
Cisco 5510 – 2000€ pour 250 sessions IPSec