O IKEv2 é um protocolo VPN utilizado para proteger ligações VPN. Parte do conjunto de protocolos(nova janela) IPSec, é por vezes (e rigorosamente falando, de forma mais correta) referido como IKEv2/IPSec.
Um protocolo VPN é um conjunto de instruções ou regras que determinam como é estabelecida a ligação entre o seu dispositivo e o servidor VPN.
Saiba mais sobre como funciona uma VPN
O protocolo determina o quão segura e rápida é uma ligação. O OpenVPN e o WireGuard® são protocolos VPN alternativos que agora utilizamos exclusivamente nas aplicações oficiais da Proton VPN (além do Stealth, que é baseado no WireGuard). No entanto, ainda pode configurar a Proton VPN utilizando o IKEv2 em clientes VPN de terceiros.
O IKEv2 é o protocolo VPN oficialmente suportado em todos os dispositivos Apple (computadores Mac, iPhones e iPads), mas a forma como a Apple implementa as ligações VPN apresenta falhas graves.
O que é o IPSec?
O Internet Protocol Security (IPSec) é um conjunto de protocolos flexível que fornece uma estrutura para proteger ligações VPN. Crucialmente, este:
- Configura a troca de chaves entre o seu dispositivo e o servidor VPN.
- Fornece autenticação para verificar a origem dos pacotes de dados e garantir que não foram adulterados durante o trânsito.
- Encripta e desencripta dados enviados através da ligação VPN
Como estrutura e não como uma solução completa em si, o IPSec suporta múltiplos protocolos e padrões de encriptação para desempenhar estas funções.
O que é o IKEv2?
O IKEv2 é a segunda iteração do protocolo Internet Key Exchange (IKE). Desenvolvido originalmente pela Microsoft e pela Cisco como parte do conjunto IPSec, existem hoje muitas versões de código aberto do protocolo.
O IKE é utilizado para configurar uma associação de segurança(nova janela) (SA) para o IPSec ao ligar o seu dispositivo ao servidor VPN. Ou seja, é responsável por negociar um conjunto de chaves e algoritmos mutuamente acordados para serem utilizados por ambas as partes.
O IKE baseia-se no protocolo Oakley(nova janela) e no Internet Security Association and Key Management Protocol(nova janela) (ISAKMP). Utiliza certificados X.509(nova janela) para autenticação e uma troca Diffie-Hellman(nova janela) (DHE) para proteger a troca de chaves.
Quando o IPSec é utilizado com o IKEv1, é frequentemente referido simplesmente como IPSec. O IKEv2 foi lançado em 2005 e melhora o IKEv1 de várias formas fundamentais, incluindo a utilização de menos largura de banda e a capacidade de detetar se uma ligação ainda está ativa. Caso não esteja, o IKEv2 pode restabelecer rapidamente uma ligação interrompida.
Outra melhoria é o seu suporte para o protocolo Mobility and Multihoming (MOBIKE), que permite ao IKEv2 mudar de rede facilmente. Por exemplo, ao alternar entre hotspots ou entre o Wi-Fi doméstico e ligações móveis.
O IKEv2 é também mais resistente a ataques de negação de serviço(nova janela) (DoS) do que o IKEv1, é mais eficiente em termos do número de mecanismos criptográficos que utiliza e pode atravessar facilmente as firewalls NAT(nova janela).
O IKEv2/IPSec é seguro?
O consenso entre os especialistas em criptografia é de que o IKEv2/IPSec é um protocolo VPN seguro.
Em 2013, John Gilmore(nova janela), especialista em tecnologia e membro fundador da Electronic Frontier Foundation, publicou um relatório técnico que descrevia como o IPSec foi deliberadamente enfraquecido(nova janela) durante a sua fase de conceção. Além disso, as revelações obtidas por Edward Snowden(nova janela) sobre o programa Bullrun(nova janela) da Agência de Segurança Nacional(nova janela) (NSA) dos EUA lançaram ainda mais dúvidas sobre a segurança do IPSec.
No entanto, o IPSec não tem fraquezas conhecidas quando implementado com o IKEv2 (a implementação do IKEv2 pela Apple é problemática, mas o problema reside na Apple e não no IKEv2/IPSec em si).
Considerações finais — IKEv2 vs. OpenVPN e WireGuard
Embora o IKEv2 seja considerado seguro, o OpenVPN é considerado ainda mais seguro e pode ser executado através de TCP para uma maior resistência à censura. O WireGuard é considerado tão seguro como o OpenVPN, mas é também muito mais rápido. Na implementação da Proton VPN, também pode ser executado através de TCP.
Por isso, embora não haja nada de errado com o IKEv2, também há poucos motivos para o utilizar em detrimento do OpenVPN ou (especialmente) do WireGuard hoje em dia.
O IKEv2 continua a ter um suporte alargado por ser o protocolo VPN oficialmente suportado nos dispositivos Apple. No entanto, como já mencionámos, a implementação do IKEv2 por parte da Apple deve ser evitada.
