IKEv2 er en VPN-protokol, der bruges til at sikre VPN-forbindelser. Som en part af IPSec-protokolstakken(nyt vindue) kaldes den undertiden (og strengt taget mere korrekt) for IKEv2/IPSec.
En VPN-protokol er et sæt instruktioner eller regler, der bestemmer, hvordan forbindelsen mellem Deres enhed og VPN-serveren oprettes.
Få mere at vide om, hvordan en VPN fungerer
Protokollen bestemmer, hvor sikker og hurtig en forbindelse er. OpenVPN og WireGuard® er alternative VPN-protokoller, som vi nu udelukkende bruger i de officielle Proton VPN-apps (plus Stealth, som er baseret på WireGuard). De kan dog stadig konfigurere Proton VPN ved hjælp af IKEv2 i tredjeparts-VPN-klienter.
IKEv2 er den VPN-protokol, der officielt understøttes på alle Apple-enheder (Mac-computere, iPhones og iPads), men den måde, Apple implementerer VPN-forbindelser på, er behæftet med alvorlige fejl.
Hvad er IPSec?
Internet Protocol Security (IPSec) er en fleksibel protokolstak, der udgør en ramme for sikring af VPN-forbindelser. Navnlig:
- Opsætter nøgleudvekslingen mellem Deres enhed og VPN-serveren.
- Giver godkendelse til at bekræfte kilden til datapakker og sikre, at de ikke er blevet manipuleret med under transporten.
- Krypterer og dekrypterer data, der sendes over VPN-forbindelsen
Som en ramme snarere end en komplet løsning i sig selv understøtter IPSec flere protokoller og krypteringsstandarder til at udføre disse funktioner.
Hvad er IKEv2?
IKEv2 er den anden iteration af IKE-protokollen (Internet Key Exchange). Den blev oprindeligt udviklet af Microsoft og Cisco som en del af IPSec-stakken, og i dag findes der mange open source-versioner af protokollen.
IKE bruges til at oprette en sikkerhedsassociering(nyt vindue) (SA) for IPSec, når Deres enhed forbindes med VPN-serveren. Det vil sige, at den er ansvarlig for at forhandle et sæt gensidigt aftalte nøgler og algoritmer, som skal bruges af begge parter.
IKE er bygget på Oakley-protokollen(nyt vindue) og Internet Security Association and Key Management Protocol(nyt vindue) (ISAKMP). Den bruger X.509-certifikater(nyt vindue) til godkendelse og en Diffie-Hellman-udveksling(nyt vindue) (DHE) til at sikre nøgleudvekslingen.
Når IPSec bruges sammen med IKEv1, kaldes det ofte blot IPSec. IKEv2 blev udgivet i 2005 og forbedrer IKEv1 på flere vigtige områder, herunder ved at bruge mindre båndbredde og være i stand til at registrere, om en forbindelse stadig er aktiv. Hvis den ikke er det, kan IKEv2 hurtigt genoprette en afbrudt forbindelse.
En anden forbedring er dens understøttelse af MOBIKE-protokollen (Mobility and Multihoming), som gør det muligt for IKEv2 nemt at skifte netværk. For eksempel når man skifter mellem hotspots eller mellem hjemmets WiFi og mobilforbindelser.
IKEv2 er også mere modstandsdygtig over for denial of service(nyt vindue)-angreb (DoS) end IKEv1, er mere effektiv i forhold til antallet af kryptografiske mekanismer, den bruger, og kan nemt trænge igennem NAT-firewalls(nyt vindue).
Er IKEv2/IPSec sikkert?
Der er konsensus blandt kryptografiske eksperter om, at IKEv2/IPSec er en sikker VPN-protokol.
I 2013 udgav John Gilmore(nyt vindue), en teknologispecialist og stiftende medlem af Electronic Frontier Foundation, et hvidbogsdokument, der skitserede, hvordan IPSec bevidst blev svækket(nyt vindue) i designfasen. Derudover skabte afsløringer indhentet af Edward Snowden(nyt vindue) om den amerikanske efterretningstjeneste National Security Agency(nyt vindue) (NSA’s) Bullrun-program(nyt vindue) yderligere tvivl om IPSec’s sikkerhed.
IPSec har dog ingen kendte svagheder, når det implementeres med IKEv2 (Apples implementering af IKEv2 er problematisk, men problemet ligger hos Apple, ikke hos selve IKEv2/IPSec).
Afsluttende tanker — IKEv2 vs. OpenVPN og WireGuard
Selvom IKEv2 anses for at være sikkert, anses OpenVPN for at være endnu mere sikkert og kan køres over TCP for at øge modstandsdygtigheden mod censur. WireGuard anses for at være lige så sikkert som OpenVPN, men er også meget hurtigere. Under Proton VPN’s implementering kan det også køres over TCP.
Så selvom der ikke er noget i vejen med IKEv2, er der i dag heller ikke megen grund til at bruge det frem for OpenVPN eller (især) WireGuard.
IKEv2 understøttes fortsat i vid udstrækning, fordi det er den VPN-protokol, der officielt understøttes på Apple-enheder. Men som vi allerede har nævnt, bør Apples implementering af IKEv2 helst undgås.
