Negociación de claves IKE

El daemon IKE, in.iked, negocia y autentica el material de claves para las asociaciones de seguridad de IPsec en forma segura. El daemon utiliza valores de inicialización aleatorios para claves de funciones internas proporcionadas por el sistema operativo. IKE proporciona confidencialidad directa perfecta (PFS). En PFS, las claves que protegen la transmisión de datos no se utilizan para derivar claves adicionales. Asimismo, los números generadores que se utilizan para crear claves de transmisión de datos no se vuelven a utilizar. Consulte la página del comando man in.iked(1M).

Terminología de claves IKE

La tabla siguiente enumera los términos que se utilizan en el ámbito de la negociación de claves, incluye sus acrónimos habituales y aporta una definición e información del uso de cada término.

Tabla 17-1 Términos de negociación de claves, acrónimos y usos

Término de negociación de claves	Acrónimo	Definición y uso
Intercambio de claves		El proceso de generación de claves para los algoritmos criptográficos asimétricos. Los dos métodos principales son los protocolos RSA y Diffie-Hellman.
Algoritmo Diffie-Hellman	DH	Un algoritmo de intercambio de claves que permite la generación y la autenticación de claves. A menudo se denomina intercambio de claves autenticadas.
Algoritmo RSA	RSA	Un algoritmo de intercambio de claves que permite la generación y el transporte de claves. El protocolo recibe el nombre de sus tres creadores, Rivest, Shamir y Adleman.
Confidencialidad directa perfecta	PFS	Sólo se aplica en el intercambio de claves autenticadas. En PFS, la clave que se emplea para proteger la transmisión de datos no se aplica en la derivación de claves adicionales. La fuente de la clave que se usa para proteger la transmisión de datos tampoco se emplea en la derivación de claves adicionales.
Grupo Oakley		Método para establecer claves para la fase 2 de un modo seguro. El método Oakley se utiliza para negociar PFS.

Intercambio de IKE de fase 1

El intercambio de fase 1 se conoce como modo principal. En el intercambio de fase 1, IKE utiliza métodos de cifrado de claves públicas para autenticarse con entidades IKE equivalentes. El resultado es una asociación de seguridad de Internet y una asociación de seguridad del protocolo de gestión de claves (ISAKMP). Una asociación de seguridad ISAKMP es un canal seguro para que IKE negocie el material de claves para los datagramas IP. A diferencia de las asociaciones de seguridad de IPsec, las asociaciones de seguridad de ISAKMP son bidireccionales, de modo que sólo se necesita una asociación de seguridad.

El modo en que IKE negocia el material de claves en el intercambio de la fase 1 es configurable. IKE lee la información de configuración del archivo /etc/inet/ike/config. La información de configuración incluye:

Parámetros globales, como los nombres de los certificados de claves públicas
Si se utiliza confidencialidad directa perfecta (PFS)
Las interfaces implicadas
Los protocolos de seguridad y sus algoritmos
El método de autenticación

Los dos métodos de autenticación son las claves previamente compartidas y los certificados de claves públicas. Los certificados de claves públicas pueden ser autofirmados. Los certificados también los puede emitir una autoridad de certificación desde una organización de infraestructuras de clave pública (PKI).

Intercambio de IKE de fase 2

El intercambio de fase 2 se conoce como modo rápido (Quick). En el intercambio de fase 2, IKE crea y administra las asociaciones de seguridad de IPsec entre los sistemas que ejecutan el daemon de IKE. IKE utiliza el canal seguro creado en el intercambio de fase 1 para proteger la transmisión del material de claves. El daemon IKE crea las claves a partir de un generador de números aleatorio utilizando el dispositivo /dev/random. La velocidad a la que el daemon actualiza las claves se puede configurar. El material de claves está disponible para los algoritmos especificados en el archivo de configuración para la política IPsec, ipsecinit.conf.

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Administración de Oracle Solaris: servicios IP Oracle Solaris 11 Information Library (Español)