Estás leyendo la publicación: ¿Qué es IKEv2? (Guía para 2023)
Un protocolo VPN se conoce como el método por el cual una red privada virtual (VPN) asegura el enlace entre su computadora y el servidor de la VPN.
Para lograr esto, se debe validar la computadora de destino y luego la validez del servidor VPN, y luego se debe generar un código de acceso. Ambos pueden utilizar eso.
Los datos se pueden cifrar con esta tecnología, se entregan de forma segura entre la computadora y el servidor, y luego se decodifican nuevamente cuando llegan.
No importa cuán confiable sea un proveedor de servicios VPN; si no utiliza un protocolo robusto, no puede proteger verdaderamente los datos de sus usuarios.
IKEv2 es un protocolo crucial y una red privada virtual (VPN) no puede funcionar correctamente sin él.
A lo largo de los últimos años, el protocolo VPN IKEv2 ha acumulado constantemente un número creciente de seguidores, particularmente entre los usuarios de dispositivos móviles.
Dado lo efectivo y seguro que es el tratamiento, no es difícil entender por qué esto es así.
Pero para ser más específicos, ¿qué es exactamente IKEv2?
¿Cómo garantiza exactamente que aquellos que usan Internet tengan una experiencia segura?
Entonces, en ese caso, aquí está todo lo que necesita saber al respecto.
¿Qué es IKEv2?
IKEv2 es un estándar de seguridad de la información para redes privadas virtuales (VPN) que gestiona las operaciones de solicitud y respuesta. Su nombre completo es Internet Key Exchange versión 2.
Lo hace mediante el establecimiento y la gestión de la característica SA (Asociación de seguridad) dentro de un conjunto de autenticación, que normalmente es IPSec porque IKEv2 está básicamente integrado en él y se basa en él.
Esto asegura que el tráfico sea seguro para transmitir. IKEv2 es la versión mejorada del protocolo IKE anterior, que Microsoft creó en colaboración con Cisco.
¿Cómo funciona IKEv2?
IKEV2 se basa en gran medida en IPSec para proteger la comunicación VPN entre el cliente y el servidor. Esto explica por qué el protocolo se denomina con frecuencia IKEv2/IPSec.
IKEv2/IPSec protege y permite la transferencia de claves de cifrado, como su nombre lo indica.
En una palabra, IKEv2 crea una asociación de seguridad (SA) que es responsable de la negociación de las claves de seguridad que utiliza el cliente VPN y el servidor VPN.
Una vez que IKEv2 ha confirmado la validez de la asociación de seguridad, se establece un túnel seguro, lo que hace que los pares comiencen a intercambiar información cifrada.
IKEv2/IPSec emplea un cifrado de 256 bits más seguro que otros protocolos. Admite cifrados VPN, incluidos AES, ChaCha20 y Camellia.
El protocolo VPN también utiliza el conocido algoritmo de intercambio de claves Diffie-Hellman, que permite el intercambio seguro de claves privadas.
También es importante tener en cuenta:
- IKEv2 habilita Perfect Forward Secrecy (PFS) para la seguridad e integridad de la información.
- IKEv2/IPSec utiliza paquetes UDP además del puerto 500.
- Los certificados X.509 se utilizan para la autenticación mediante IKEv2
- IKEv2 se integra eficazmente con software de código abierto como OpenIKEv2, StrongSwan, OpenSwan y otros.
Hay cuatro tipos de mensajes e intercambios IKEv2:
1. IKE SA INICIO
Esta primera comunicación se origina desde el extremo del túnel VPN que inicia el enlace y se envía al otro extremo para configurar los parámetros de seguridad compartidos.
Genera el IKE SA; este procedimiento debe concluir antes de que pueda comenzar el siguiente.
Las actividades asociadas con esta transacción incluyen la negociación de configuraciones de seguridad de SA, claves Diffie-Hellman, técnicas criptográficas y nonces.
Para autenticar el mensaje, el iniciador genera un nonce, que es solo un número aleatorio. Un protocolo para el intercambio de claves de seguridad se conoce como Diffie-Hellman.
Recordando que este intercambio es bidireccional, el iniciador transmite IKE SA INIT, y el receptor envía a cambio IKE SA INIT.
2. AUTORIZACIÓN IKE
El siguiente intercambio sigue al inicial. Similar al primero, necesita completar su protocolo antes de que cualquiera de los extremos pueda enviar más mensajes.
Este intercambio implica comunicar y verificar las identidades de ambos extremos del portal.
En este punto del proceso, se lleva a cabo la autenticación, y ambas partes presentan la información de autenticación discutida y acordada en la etapa anterior.
La confirmación de ambas partes después de esta etapa establece el NIÑO SA, que es cualquier SA acordada a través de las dos primeras plataformas de intercambio.
3. CREAR NIÑO SA Intercambio
Tiene el mismo propósito que el intercambio de modo rápido en IKEv1 cuando se necesitan SA secundarias adicionales o si es necesario cambiar la clave de IKE SA o una de las SA secundarias.
Como se muestra en el diagrama, solo hay dos transmisiones en este intercambio; no obstante, este intercambio se repite para cada rekey o nueva SA.
Fragmentación IKEv2
Varias certificaciones pueden hacer que los paquetes IKEv2 excedan la MTU de la ruta cuando se utiliza la verificación basada en certificados.
Si el tamaño de un mensaje IKE supera la MTU de la ruta, las señales se dividen en el nivel de IP.
Cierto hardware de red, como los enrutadores NAT, prohíbe el paso de fragmentos de IP, lo que impide la construcción de túneles IPsec.
IKEv2 puede funcionar en contextos donde los fragmentos de IP pueden estar prohibidos y los usuarios no podrían establecer una conexión de protección IPsec sin la ayuda de la fragmentación de mensajes IKEv2, que se detalla en RFC 7383, Protocolo de intercambio de claves de Internet versión 2 (IKEv2) Fragmentación de mensajes (SA).
La fragmentación IKEv2 divide una comunicación IKEv2 masiva en una colección de comunicaciones más pequeñas, lo que evita la fragmentación a nivel de IP.
Cuando la comunicación se fragmenta, se hace antes de que el mensaje en sí esté asegurado y autorizado.
Garantiza que cada fragmento esté correctamente encriptado y verificado por derecho propio. Los fragmentos de comunicación se recopilan, validan, descifran y vuelven a ensamblar en el extremo receptor.
Cuándo usar IKEv2
IKEv2 es un protocolo más reciente y sólido para crear comunicaciones cifradas entre dispositivos conectados.
La mayoría de los proveedores de servicios VPN lo utilizan para crear la primera conexión con los dispositivos que utilizan sus clientes antes de transferir el tráfico a OpenVPN u otros protocolos.
La comunicación confidencial se establece entre su computadora y el servidor VPN a través de un mecanismo de intercambio de claves Diffie-Hellman.
IKEv1 se concibió originalmente como una alternativa para el protocolo VPN IPSec patentado de Cisco en términos de compatibilidad. Cumplió esta función admirablemente y todavía se emplea ampliamente.
Además, contiene fallas de seguridad significativas que le dan una opción insegura para ciertas conexiones VPN. IKEv2 se creó para abordar estas dificultades.
Emplea una criptografía más sólida (como exigir el uso de AES-256 en lugar de DES o 3DES) y proporciona una serie de mejoras de seguridad sobre IKEv1.
Además, también se admite MOBIKE, una tecnología que permite la construcción de túneles Vpn redundantes desde puntos finales detrás de firewalls NAT.
Esto lo convierte en una opción perfecta para dispositivos telefónicos que acceden a la web a través de puntos de acceso inalámbricos u otras redes poco confiables.
IKEv1 frente a IKEv2
En 1998, se creó una nueva versión del protocolo Internet Key Exchange como continuación del original.
Numerosos avances sobre su predecesor hacen que IKEv1 quede obsoleto.
- Esto significa que IKEv2 necesita que se transmitan menos mensajes entre los sitios de túneles seguros.
- IKEv1 no admite NAT transversal.
- IKEv2 admite el Protocolo de autenticación extensible (EAP).
- Debido a que IKEv2 incluye Mobility and Multihoming Protocol, o MOBIKE, puede mantener una conectividad segura a Internet incluso si el usuario cambia de dirección IP. No hay ningún requisito para volver a unirse a la VPN, lo que elimina la posibilidad de filtraciones de datos.
- IKEv1 requiere asociaciones de seguridad adicionales para construir un túnel VPN, lo que resulta en una reducción considerable del ancho de banda.
- IKEv1 admite menos técnicas de cifrado que IKEv2
- No es posible derribar la versión 2 de IKE con un ataque de denegación de servicio. Antes de procesar el tráfico de datos, similar a IKEv1, verifica la existencia del solicitante.
- Todos los tipos de mensajes IKEv2 se describen como pares de solicitud y respuesta, lo que aumenta la confiabilidad del protocolo.
- IKEv2 implementa la autenticación asimétrica.
Características del protocolo VPN IKEv2
IKE tiene como objetivo generar un cifrado simétrico idéntico de forma independiente para todas las partes de la comunicación.
Los paquetes de protocolo de Internet estándar utilizados para transportar datos entre socios de VPN se pueden cifrar y descifrar con esta clave.
IKE crea un túnel VPN identificando a ambas partes y negociando protocolos cifrados y de seguridad. Las negociaciones de IKE dan como resultado la Asociación de seguridad (SA).
Secreto directo perfecto
La función PFS de IKEv2 garantiza la seguridad absoluta de sus datos. Lo logra al garantizar que las claves no se dupliquen y que las sesiones caduquen.
Controlar el tráfico de la red
Si una de las interfaces de red en un host de alojamiento múltiple deja de funcionar, es posible cambiar a otra conexión de red usando MOBIKE.
Seguridad robusta
El estándar proporciona una seguridad superior e incluso permite cifrados de cifrado adicionales para una protección óptima.
Por lo tanto, es apropiado para actividades que requieren una seguridad sólida, como la descarga de torrents y la navegación en la dark web.
Velocidad deslumbrante
IKEv2/IPSec es una excepción a la regla de que un protocolo con un alto nivel de protección probablemente tenga una tasa de transmisión baja.
El protocolo proporciona medidas de seguridad sólidas al tiempo que conserva una buena velocidad.
En consecuencia, protegerá de manera eficiente sus datos y ejecutará aplicaciones de uso intensivo de datos, como juegos, torrents y transmisión multimedia.
Compatibilidad
IKEv2/IPSec es compatible con la mayoría de los sistemas operativos; sin embargo, está optimizado para teléfonos inteligentes.
Por esto, es el protocolo oficial para iOS. Además, es accesible con una variedad de enrutadores.
Otras características importantes del IKEv2 incluyen:
- Es compatible con los métodos de cifrado más actuales.
- Normalmente, el IKE funciona en el almacenamiento local, que es la parte de la memoria del sistema dedicada a los servidores de aplicaciones. Mientras tanto, la pila IPsec opera en el almacenamiento del núcleo o en la base del sistema operativo, lo que aumenta el rendimiento.
- Para ejecutar el protocolo IKE se utilizan paquetes UDP con puerto 500.
- Se utilizan de cuatro a seis paquetes para crear la SA.
- Los orígenes de IKE pueden rastrearse hasta tres estándares de seguridad: ISAKMP, SKEME y OAKLEY.
- Cuando se usa IKEv2 en una VPN, se admite MOBIKE. Además de los beneficios mencionados anteriormente, brinda certeza a la pila de protocolos y mejora la experiencia de la conexión VPN móvil.
- IKEv2 es compatible con PFS (Perfect Forward Secrecy).
¿IKEv2 es seguro?
IKEv2 es comúnmente reconocido como confiable. Emplea potentes cifrados de cifrado y el algoritmo Diffe-Hellman para la seguridad del intercambio de claves.
PFA, que es esencial para la seguridad de los datos a largo plazo, también es compatible con esta tecnología. PFA permite que el usuario y el enrutador VPN negocien nuevas claves específicas de sesión.
En otras palabras, si los detalles de inicio de sesión fueron pirateados, no podrían utilizarse para decodificar datos de sesiones anteriores.
La información filtrada reveló que la NSA había descifrado IKEv2, lo que generó dudas sobre si estaba a la altura de su nombre.
Las tecnologías de cifrado como SSL/TLS prohíben la interferencia de terceros.
Los legisladores han argumentado que se debería permitir a las empresas intervenir teléfonos y decodificar documentos gubernamentales encriptados.
En consecuencia, hay poca duda de que un conjunto de organizaciones de inteligencia como la NSA no haya utilizado sus recursos sustanciales para descubrir fallas en la tecnología que les permite monitorear la información digital.
¿IKEv2 es fácil de instalar y configurar?
En la mayoría de los casos, configurar IKEv2 no es demasiado difícil. Es compatible de forma nativa en una variedad de plataformas, como Windows 7+, macOS 10.11+ y la mayoría de los dispositivos móviles (¡incluso BlackBerry!).
Sin embargo, si desea configurar un servidor IKEv2 por su cuenta, las cosas se vuelven más desafiantes. IPSec es un protocolo más complicado que OpenVPN; por lo tanto, requerirá configuraciones adicionales.
¿Para qué es más adecuado IKEv2?
Como resultado de sus funciones avanzadas de reconexión, IKEv2 se volvió increíblemente popular entre los dispositivos telefónicos.
Cambiar de una red móvil a una red Wi-Fi no lo expone al riesgo de fuga de datos. Es ideal para viajeros frecuentes que desean una seguridad robusta para sus dispositivos móviles.
Ventajas y desventajas de IKEv2
Ventajas
- Uno de los protocolos VPN más rápidos disponibles. Más rápido que L2TP y PPTP.
- Extremadamente seguro, ya que codifica con cifrados sofisticados como AES, Camellia y protocolos de seguridad de 256 bits.
- Proporciona una conexión sólida y estable y permite a los consumidores permanecer conectados a la VPN cuando se transfieren entre conexiones.
- Los teléfonos inteligentes BlackBerry solo admiten el protocolo OpenVPN.
Desventajas
- Dado que IKEv2 utiliza el puerto UDP 500, es posible que un firewall o un administrador de red bloqueen la VPN.
- La integración nativa solo está disponible para Mac e iOS; no está disponible para Windows, teléfonos Android o Linux.
La línea de fondo
Ahora ya sabes qué es IKEv2.
El estándar VPN IKEv2 es robusto, seguro, confiable y rápido. IKEv2 no tiene inconvenientes notables.
Por lo tanto, puede utilizarlo de forma segura siempre que lo necesite para encriptar el tráfico de Internet.
Como se describe, IKEv2 es fácil de configurar y es compatible con la mayoría de las aplicaciones móviles de los proveedores de VPN.
Además, debido a su confiabilidad al cambiar de red, es ideal para usar en teléfonos inteligentes.
