IKEv2 to protokół VPN używany do zabezpieczania połączeń VPN. Jako część stosu protokołów(nowe okno) IPSec, jest czasami (i ściśle rzecz biorąc, bardziej poprawnie) nazywany IKEv2/IPSec.
Protokół VPN to zestaw instrukcji lub reguł, które określają, jak nawiązywane jest połączenie między Twoim urządzeniem a serwerem VPN.
Dowiedz się więcej o tym, jak działa VPN
Protokół określa, jak bezpieczne i szybkie jest połączenie. OpenVPN i WireGuard® to alternatywne protokoły VPN, z których obecnie korzystamy wyłącznie w oficjalnych aplikacjach Proton VPN (oraz Stealth, który bazuje na protokole WireGuard). Nadal możesz jednak skonfigurować Proton VPN za pomocą IKEv2 na klientach VPN firm trzecich.
Dowiedz się więcej o WireGuard
IKEv2 to protokół VPN oficjalnie wspierany na wszystkich urządzeniach Apple (komputerach Mac, iPhone’ach i iPadach), ale sposób, w jaki Apple wdraża połączenia VPN, ma poważne wady.
Czym jest IPSec?
Internet Protocol Security (IPSec) to elastyczny zestaw protokołów stanowiący strukturę do zabezpieczania połączeń VPN. Co najważniejsze:
- Konfiguruje wymianę kluczy między Twoim urządzeniem a serwerem VPN.
- Zapewnia uwierzytelnianie w celu weryfikacji źródła pakietów danych i upewnienia się, że nie zostały one naruszone podczas przesyłania.
- Szyfruje i odszyfrowuje dane przesyłane przez połączenie VPN
Jako struktura, a nie kompletne samodzielne rozwiązanie, IPSec obsługuje wiele protokołów i standardów szyfrowania w celu realizacji tych funkcji.
Co to jest IKEv2?
IKEv2 to druga iteracja protokołu Internet Key Exchange (IKE). Pierwotnie opracowany przez firmy Microsoft i Cisco jako część zestawu IPSec, obecnie ma wiele wersji open-source.
Protokół IKE służy do konfigurowania powiązania bezpieczeństwa(nowe okno) (SA) dla IPSec podczas łączenia Twojego urządzenia z serwerem VPN. Oznacza to, że odpowiada on za negocjowanie zestawu wspólnie uzgodnionych kluczy i algorytmów, które będą używane przez obie strony.
IKE bazuje na protokole Oakley(nowe okno) oraz Internet Security Association and Key Management Protocol(nowe okno) (ISAKMP). Wykorzystuje certyfikaty X.509(nowe okno) do uwierzytelniania oraz protokół Diffiego-Hellmana(nowe okno) (DHE) do zabezpieczenia wymiany kluczy.
Gdy IPSec jest używany z IKEv1, często określa się go po prostu jako IPSec. Standard IKEv2 został wydany w 2005 roku i ulepsza IKEv1 pod kilkoma kluczowymi względami, w tym zużywa mniej przepustowości i potrafi wykryć, czy połączenie jest nadal aktywne. Jeśli nie jest, IKEv2 może szybko ponownie nawiązać zerwane połączenie.
Kolejnym ulepszeniem jest obsługa protokołu Mobility and Multihoming (MOBIKE), który pozwala IKEv2 na łatwe przełączanie sieci. Na przykład podczas przemieszczania się między hotspotami lub domową siecią Wi-Fi a połączeniem komórkowym.
IKEv2 jest również bardziej odporny na ataki typu odmowa usługi(nowe okno) (DoS) niż IKEv1, jest bardziej wydajny pod względem liczby stosowanych mechanizmów kryptograficznych i może łatwo przechodzić przez zapory sieciowe NAT(nowe okno).
Czy IKEv2/IPSec jest bezpieczny?
Eksperci ds. kryptografii są zgodni co do tego, że IKEv2/IPSec to bezpieczny protokół VPN.
W 2013 roku John Gilmore(nowe okno), specjalista ds. technologii i współzałożyciel Electronic Frontier Foundation, opublikował białą księgę opisującą, jak IPSec został celowo osłabiony(nowe okno) na etapie projektowania. Dodatkowo informacje ujawnione przez Edwarda Snowdena(nowe okno) na temat programu Bullrun(nowe okno) amerykańskiej Agencji Bezpieczeństwa Narodowego(nowe okno) (NSA) rzuciły dodatkowy cień wątpliwości na bezpieczeństwo IPSec.
IPSec nie ma jednak znanych słabości, gdy jest wdrożony z IKEv2 (wdrożenie IKEv2 przez Apple jest problematyczne, ale problem leży po stronie Apple, a nie samego IKEv2/IPSec).
Podsumowanie — IKEv2 vs OpenVPN i WireGuard
Chociaż IKEv2 jest uważany za bezpieczny, OpenVPN jest uznawany za jeszcze bezpieczniejszy i można go uruchomić przez TCP w celu zwiększenia odporności na cenzurę. WireGuard jest uważany za tak samo bezpieczny jak OpenVPN, ale jest też znacznie szybszy. W implementacji Proton VPN może on również działać przez TCP.
Choć z IKEv2 nie ma nic złego, w dzisiejszych czasach nie ma też większego powodu, by używać go zamiast OpenVPN lub (w szczególności) WireGuard.
IKEv2 jest nadal powszechnie wspierany, ponieważ jest to protokół VPN oficjalnie obsługiwany na urządzeniach Apple. Jednak, jak już wspomnieliśmy, wdrożenia IKEv2 przez Apple najlepiej unikać.
