IKEv2 es un protocolo VPN que se utiliza para proteger las conexiones VPN. Al formar parte del conjunto de protocolos(ventana nueva) de IPSec, a veces se le denomina (y, estrictamente hablando, de forma más correcta) IKEv2/IPSec.
Un protocolo VPN es un conjunto de instrucciones o reglas que determinan cómo se establece la conexión entre tu dispositivo y el servidor VPN.
Más información sobre cómo funciona una VPN
El protocolo determina lo segura y rápida que es una conexión. OpenVPN y WireGuard® son protocolos VPN alternativos que ahora usamos de forma exclusiva en las aplicaciones oficiales de Proton VPN (además de Stealth, que se basa en WireGuard). Sin embargo, aún puedes configurar Proton VPN con IKEv2 en clientes VPN de terceros.
Más información sobre WireGuard
IKEv2 es el protocolo VPN admitido oficialmente en todos los dispositivos Apple (ordenadores Mac, iPhones e iPads), pero la forma en que Apple implementa las conexiones VPN tiene graves fallos.
¿Qué es IPSec?
Internet Protocol Security (IPSec) es un conjunto flexible de protocolos que proporciona un marco para proteger las conexiones VPN. Fundamentalmente:
- Establece el intercambio de claves entre tu dispositivo y el servidor VPN.
- Proporciona autenticación para verificar el origen de los paquetes de datos y garantizar que no hayan sido manipulados durante el tránsito.
- Cifra y descifra los datos enviados a través de la conexión VPN
Como marco en lugar de una solución completa en sí misma, IPSec admite múltiples protocolos y estándares de cifrado para realizar estas funciones.
¿Qué es IKEv2?
IKEv2 es la segunda versión del protocolo Internet Key Exchange (IKE). Desarrollado originalmente por Microsoft y Cisco como parte del conjunto de protocolos IPSec, hoy en día existen muchas versiones de código abierto de este protocolo.
IKE se utiliza para configurar una asociación de seguridad(ventana nueva) (SA) para IPSec al conectar tu dispositivo y el servidor VPN. Es decir, se encarga de negociar un conjunto de claves y algoritmos acordados mutuamente que utilizarán ambas partes.
IKE se basa en el protocolo Oakley(ventana nueva) y en el Internet Security Association and Key Management Protocol(ventana nueva) (ISAKMP). Utiliza certificados X.509(ventana nueva) para la autenticación y un intercambio Diffie-Hellman(ventana nueva) (DHE) para proteger el intercambio de claves.
Cuando se utiliza IPSec con IKEv1, a menudo se le denomina simplemente IPSec. IKEv2 se lanzó en 2005 y mejora a IKEv1 de varias formas clave, como el uso de menos ancho de banda y la capacidad de detectar si una conexión sigue activa. Si no lo está, IKEv2 puede restablecer rápidamente una conexión interrumpida.
Otra mejora es su compatibilidad con el protocolo de movilidad y multihoming (MOBIKE), que permite a IKEv2 cambiar de red fácilmente. Por ejemplo, al pasar de un punto de acceso a otro o entre la red WiFi de casa y las conexiones móviles.
IKEv2 también es más resistente a los ataques de denegación de servicio(ventana nueva) (DoS) que IKEv1, es más eficiente en cuanto al número de mecanismos criptográficos que utiliza y puede atravesar fácilmente cortafuegos NAT(ventana nueva).
¿Es seguro IKEv2/IPSec?
El consenso entre los expertos en criptografía es que IKEv2/IPSec es un protocolo VPN seguro.
En 2013, John Gilmore(ventana nueva), especialista en tecnología y miembro fundador de la Electronic Frontier Foundation, publicó un libro blanco en el que detallaba cómo se debilitó deliberadamente IPSec(ventana nueva) durante su fase de diseño. Además, las revelaciones obtenidas por Edward Snowden(ventana nueva) sobre el programa Bullrun(ventana nueva) de la Agencia de Seguridad Nacional(ventana nueva) (NSA) de EE. UU. sembraron más dudas sobre la seguridad de IPSec.
Sin embargo, IPSec no tiene debilidades conocidas cuando se implementa con IKEv2 (la implementación de IKEv2 de Apple es problemática, pero el problema radica en Apple, no en IKEv2/IPSec en sí).
Reflexiones finales: IKEv2 frente a OpenVPN y WireGuard
Aunque IKEv2 se considera seguro, OpenVPN se considera aún más seguro y puede ejecutarse sobre TCP para una mayor resistencia a la censura. Se considera que WireGuard es tan seguro como OpenVPN, pero también es mucho más rápido. Con la implementación de Proton VPN, también puede ejecutarse sobre TCP.
Por lo tanto, aunque IKEv2 no tiene nada de malo, hoy en día también hay pocos motivos para utilizarlo en lugar de OpenVPN o (especialmente) WireGuard.
IKEv2 se sigue utilizando de forma generalizada porque es el protocolo VPN admitido oficialmente en los dispositivos Apple. Pero como ya hemos mencionado, es mejor evitar la implementación de IKEv2 de Apple.
