IKEv2 je protokol VPN používaný k zabezpečení připojení VPN. Jako součást sady protokolů(nové okno) IPSec se někdy (a přísně vzato i správněji) označuje jako IKEv2/IPSec.
Protokol VPN je sada instrukcí nebo pravidel, která určují, jakým způsobem se navazuje připojení mezi vaším zařízením a VPN serverem.
Zjistěte více o tom, jak VPN funguje
Protokol určuje, jak bezpečné a rychlé připojení je. OpenVPN a WireGuard® jsou alternativní protokoly VPN, které nyní používáme výhradně v oficiálních aplikacích Proton VPN (plus Stealth, který je založen na protokolu WireGuard). Proton VPN však stále můžete nastavit pomocí IKEv2 u klientů VPN třetích stran.
IKEv2 je protokol VPN oficiálně podporovaný na všech zařízeních Apple (počítače Mac, iPhony a iPady), ale způsob, jakým Apple implementuje připojení VPN, má vážné nedostatky.
Co je IPSec?
Internet Protocol Security (IPSec) je flexibilní sada protokolů, která poskytuje rámec pro zabezpečení připojení VPN. Zásadní je, že:
- Nastavuje výměnu klíčů mezi vaším zařízením a VPN serverem.
- Poskytuje ověření k ověření zdroje datových paketů a zajišťuje, že nebyly během přenosu pozměněny bez dovolení.
- Šifruje a dešifruje data odesílaná přes připojení VPN
Jelikož se jedná spíše o rámec než o samostatné kompletní řešení, IPSec pro provádění těchto funkcí podporuje více protokolů a šifrovacích standardů.
Co je IKEv2?
IKEv2 je druhá verze protokolu Internet Key Exchange (IKE). Původně byl vyvinut společnostmi Microsoft a Cisco jako součást sady IPSec, ale dnes již existuje mnoho open-source verzí tohoto protokolu.
IKE se používá k nastavení bezpečnostního přidružení(nové okno) (SA) pro IPSec při připojování vašeho zařízení a VPN serveru. To znamená, že zodpovídá za vyjednání sady vzájemně odsouhlasených klíčů a algoritmů, které budou obě strany používat.
IKE staví na protokolu Oakley(nové okno) a protokolu ISAKMP(nové okno) (Internet Security Association and Key Management Protocol). Pro ověření využívá certifikáty X.509(nové okno) a k zabezpečení výměny klíčů Diffieho-Hellmanovu výměnu(nové okno) (DHE).
Pokud se IPSec používá s IKEv1, často se označuje jednoduše jako IPSec. IKEv2 byl vydán v roce 2005 a vylepšuje IKEv1 v několika klíčových ohledech, včetně využití menší šířky pásma a schopnosti detekovat, zda je připojení stále aktivní. Pokud není, dokáže IKEv2 přerušené připojení rychle obnovit.
Dalším vylepšením je podpora protokolu MOBIKE (Mobility and Multihoming), který protokolu IKEv2 umožňuje snadno přepínat sítě. Například při přechodu mezi hotspoty nebo mezi domácí wifi a mobilním připojením.
IKEv2 je také odolnější vůči útokům typu odepření služby(nové okno) (DoS) než IKEv1, je efektivnější z hlediska počtu používaných kryptografických mechanismů a dokáže snadno procházet firewally s NAT(nové okno).
Je IKEv2/IPSec bezpečný?
Mezi odborníky na kryptografii panuje shoda, že IKEv2/IPSec je bezpečný protokol VPN.
V roce 2013 publikoval John Gilmore(nové okno), technologický specialista a zakládající člen organizace Electronic Frontier Foundation, bílou knihu popisující, jak byl IPSec během své fáze návrhu záměrně oslaben(nové okno). Odhalení, která získal Edward Snowden(nové okno) o programu Bullrun(nové okno) americké Národní bezpečnostní agentury(nové okno) (NSA), navíc vnesla do bezpečnosti protokolu IPSec další pochybnosti.
IPSec však nemá žádné známé slabiny, pokud je implementován s IKEv2 (implementace IKEv2 od Applu je sice problematická, ale chyba je na straně Applu, nikoli samotného IKEv2/IPSec).
Závěrečné myšlenky — IKEv2 vs. OpenVPN a WireGuard
Ačkoli je IKEv2 považován za bezpečný, OpenVPN je považován za ještě bezpečnější a lze jej provozovat přes TCP pro zvýšení odolnosti vůči cenzuře. WireGuard je považován za stejně bezpečný jako OpenVPN, ale je také mnohem rychlejší. V rámci implementace Proton VPN může také běžet přes TCP.
Ačkoli tedy na IKEv2 není nic špatného, v dnešní době již neexistuje téměř žádný důvod, proč jej preferovat před OpenVPN nebo (zejména) WireGuardem.
IKEv2 má i nadále širokou podporu, protože je to oficiálně podporovaný protokol VPN na zařízeních Apple. Jak jsme se však již zmínili, implementaci IKEv2 od Applu je nejlepší se vyhnout.
