IPsec

IPsecは、認証アルゴリズムを特定せず、様々なアルゴリズムを利用する枠組みを提供するのが特徴である。

著している時点で最新となるRFC 3550時点で対応する認証アルゴリズムは次のとおりである。

1. HMAC-MD5-96
2. HMAC-SHA1-96
3. DES-MAC
4. KPDK-MD5
5. AES-XCBC-96

IPsecは、暗号化アルゴリズムを特定せず、様々な暗号を利用する枠組みを提供するのが特徴である。

著している時点で最新となるRFC 3550時点で対応する暗号アルゴリズムは次のとおりである。

1. DES-IV64
2. DES
3. 3DES
4. RC5
5. IDEA
6. CAST
7. Blowfish
8. 3IDEA
9. DES-IV32
10. RC4
11. NULL
12. AES-CBC
13. AES-CTR

実際には、DES、3DES、AESの3アルゴリズムに対応する製品が多い。

IPsecの機能を実現するため、複数のプロトコルが組み合わされて利用されており、この総称がIPsecである。

具体的には、次の三種類のプロトコルが使われている。

• IKE (鍵交換プロトコル)
• ESP (セキュリティペイロードのカプセル化プロトコル)
• AH (認証プロトコル)

IPsecでは(より正確にはESPでは)、どの場所で暗号化するかにより、二種類の方法が提供されている。

• トランスポート・モード
• トンネル・モード

トランスポート・モードは、あらかじめ暗号化したデータを用意し、これをESPでカプセル化し、IPへッダを付けて送信をするものである。送信ホスト、受信ホストが共にIPsecに対応している場合は、これが最もシンプルな動作になる。

トンネル・モードは、途中に用意されたゲートウェイを利用するものである。送信ホストから発信されたIPパケットをゲートウェイが受けとり、IPパケット全体を暗号化してからESPでカプセル化し、新たにIPへッダを付けて送信をするものである。ゲートウェイ間は暗号化されたデータが流れ、これがいわゆるVPNである。

後者トンネル・モードでは、新たに付けられるIPヘッダーは相手先のゲートウェイであり、真の受信先は内部に暗号化されているため、受信先も秘匿にできる。

IPsecの実装は、ホストもしくはセキュリティゲートウェイで機能する。

IPレイヤーの実装に組み込む方式であるため、IPレイヤーのソースコードを書き替える必要があるが、ホストにもセキュリティゲートウェイにも適用できる。

「Bump-in-the-stack」(BITS)方式は、既存のIPスタックとネットワークドライバーの間に実装するもので、IPスタックを触る必要はない。通常、ホストに適用できる。

「Bump-in-the-wire」(BITW)方式は、外挿の暗号プロセッサーを用いる。ホストにもセキュリティゲートウェイにも適用できる。IPsecコプロセッサーなどが比較的安価に市販されており、またSuperHなど組み込み用CPUではハードウェアとして機能を内蔵しているものがある。

IPsecを使う上で最大の特徴と言えるのは、その動作が目に見えにくい点である。

例えば、メールであればPGP、WebではTLSなどが使われるが、これは上位のアプリケーションであり、利用者の目に見えやすい。

しかしIPsecはIPのレイヤーで動作するため、具体的なアプリケーションと結びついたわけでは無い分、利用者の目に付きにくいという特徴がある。