IKEv2 — это VPN-протокол, используемый для защиты VPN-подключений. Являясь частью набора протоколов(новое окно) IPSec, он иногда (и, строго говоря, более корректно) называется IKEv2/IPSec.
VPN-протокол — это набор инструкций или правил, определяющих, как устанавливается подключение между вашим устройством и VPN-сервером.
Узнайте подробнее о том, как работает VPN
Протокол определяет, насколько безопасным и быстрым будет подключение. OpenVPN и WireGuard® — это альтернативные VPN-протоколы, которые мы сейчас используем исключительно в официальных приложениях Proton VPN (а также Stealth, созданный на базе WireGuard). Тем не менее, вы все еще можете настроить Proton VPN с помощью IKEv2 в сторонних VPN-клиентах.
IKEv2 — это VPN-протокол, официально поддерживаемый на всех устройствах Apple (компьютерах Mac, iPhone и iPad), однако то, как Apple реализует VPN-подключения, имеет серьезные недостатки.
- Что такое IPSec?
- Что такое IKEv2
- Безопасен ли протокол IKEv2/IPSec?
- IKEv2 в сравнении с OpenVPN и WireGuard
Что такое IPSec?
Internet Protocol Security (IPSec) — это гибкий набор протоколов, обеспечивающий основу для защиты VPN-подключений. Что крайне важно, он:
- Устанавливает обмен ключами между вашим устройством и VPN-сервером.
- Обеспечивает аутентификацию для проверки источника пакетов данных и гарантирует, что они не были изменены в процессе передачи.
- Шифрует и расшифровывает данные, передаваемые по VPN-подключению
Являясь платформой, а не готовым решением, IPSec поддерживает множество протоколов и стандартов шифрования для выполнения этих функций.
Что такое IKEv2?
IKEv2 — это вторая версия протокола Internet Key Exchange (IKE). Изначально разработанный компаниями Microsoft и Cisco как часть набора IPSec, сегодня этот протокол имеет множество версий с открытым исходным кодом.
IKE используется для создания ассоциации безопасности(новое окно) (SA) для IPSec при подключении вашего устройства к VPN-серверу. Иными словами, он отвечает за согласование набора взаимно одобренных ключей и алгоритмов, которые будут использоваться обеими сторонами.
IKE построен на базе протокола Oakley(новое окно) и протокола ISAKMP(новое окно) (Internet Security Association and Key Management Protocol). Он использует сертификаты X.509(новое окно) для аутентификации и протокол Диффи-Хеллмана(новое окно) (DHE) для защиты обмена ключами.
Когда IPSec используется с IKEv1, его часто называют просто IPSec. Протокол IKEv2 был выпущен в 2005 году; он превосходит IKEv1 по нескольким ключевым параметрам, включая меньшее потребление пропускной способности и способность определять, активно ли подключение. Если нет, то IKEv2 может быстро восстановить прерванное подключение.
Еще одним улучшением является поддержка протокола MOBIKE (Mobility and Multihoming), который позволяет IKEv2 легко переключаться между сетями. Например, при перемещении между хот-спотами или переходе с домашнего WiFi на мобильное подключение.
IKEv2 также более устойчив к DoS-атакам (типа «отказ в обслуживании»)(новое окно), чем IKEv1, более эффективен с точки зрения количества используемых криптографических механизмов и может легко обходить брандмауэры NAT(новое окно).
Безопасен ли протокол IKEv2/IPSec?
Среди специалистов по криптографии существует консенсус в отношении того, что IKEv2/IPSec является безопасным VPN-протоколом.
В 2013 году Джон Гилмор(новое окно), специалист по технологиям и один из основателей Фонда электронных рубежей (EFF), опубликовал технический документ, в котором рассказал о том, как IPSec был намеренно ослаблен(новое окно) на этапе разработки. Кроме того, разоблачения Эдварда Сноудена(новое окно) касательно Агентства национальной безопасности(новое окно) (АНБ) США и его программы Bullrun(новое окно) посеяли еще больше сомнений в безопасности IPSec.
Тем не менее, у IPSec нет известных уязвимостей при реализации с IKEv2 (реализация IKEv2 от Apple проблематична, но проблема заключается в самой Apple, а не в IKEv2/IPSec как таковом).
Итоги — IKEv2 в сравнении с OpenVPN и WireGuard
Хотя IKEv2 считается безопасным, OpenVPN считается еще более безопасным и может работать по протоколу TCP для повышения устойчивости к цензуре. WireGuard считается столь же безопасным, как и OpenVPN, но при этом работает гораздо быстрее. В реализации от Proton VPN он также может работать по протоколу TCP.
Поэтому, хотя с IKEv2 все в порядке, сегодня мало причин использовать его вместо OpenVPN или (особенно) WireGuard.
IKEv2 продолжает широко поддерживаться, поскольку это официально поддерживаемый VPN-протокол на устройствах Apple. Но, как мы уже упоминали, реализации IKEv2 от Apple лучше избегать.
