Introduction :

Avec le développement d'Internet, de plus en plus d'entreprises sont connectées

directement via Internet. Cependant, le protocole IP commun sur Internet ne fournit aucun
mécanisme de sécurité et de nombreux utilisateurs et périphériques réseaux peu fiables
peuvent être connectés. Ces inconvénients exposent les données de service des utilisateurs
finaux à la contrefaçon, à la falsification et au vol lors de la traversée d'Internet. Par
conséquent, une solution de sécurité réseau commune compatible IP est urgente.

Pour y remédier, Internet Protocol Security (IPSec) a été développé pour corriger
certaines des failles de sécurité d'IP. 

1. Définition :

L'IPSec (Internet Protocol Security) regroupe un ensemble de services et de protocole qui se

combinent pour fournir différents types de protection permettant de transporter des données sur un
réseau IP de façon sécurisée.

L'IETF (Internet Engineering Task Force) le définit comme un cadre de standards ouverts pour
assurer des communications privées et protégées sur des réseaux IP, par l'utilisation des services de
sécurité cryptographiques.

2. Les services d’IP Sec :

Les services proposés par le protocole IP Sec sont :

2.1 Authentification des extrémités :

Cette authentification mutuelle permet à chacun de s'assurer de l'identité de son interlocuteur.

2.2 Confidentialité des données échangées :

IP Sec permet de chiffrer le contenu de chaque paquet IP pour éviter que quiconque ne le
lise.
 2.3 Intégrité des données échangées :

 IP Sec permet de s'assurer qu'aucun paquet n'a été altérée par quelconque durant son trajet.

2.4 Protection contre le rejeu :

IP Sec intègre la possibilité d'empêcher un pirate d'intercepter un paquet afin de le

renvoyer à nouveau dans le but d'acquérir les mêmes droits que l’envoyeur d’origine.

3. Les mécanismes d’IP Sec :

IP Sec distingue deux niveaux de protection à travers deux protocoles, AH et ESP qui
viennent s’ajouter au traitement IP classique :

3.1 AH (Authentification Header) :

Le protocole AH assure l’intégrité des données et l’authentification de l’origine des

datagrammes IP sans chiffrement des données. Son principe est d’ajouter un bloc au
datagramme IP. Une partie de ce bloc servira à l’authentification, tandis qu’une autre partie,
contenant un numéro de séquence assurera la protection contre le rejeu.

3.2 ESP (Encapsulation security payload) :

Le protocole ESP assure, en plus des fonctions réalisées par AH, la confidentialité des
données. Ce protocole est le plus largement employé.

Le principe d’ESP est de générer, à partir d’un datagramme IP classique, un nouveau

datagramme dans lequel les données et éventuellement l’en-tête original, sont chiffrés.

Le mécanisme est différent de celui de AH. En effet, ce protocole utilise les mécanismes
d’encapsulation et de chiffrement des données.

4. Les modes de fonctionnement IP Sec :

Le fonctionnement d’IP Sec est basé sur deux modes, le mode Transport et le mode
Tunnel.

Ces deux modes diffèrent par la méthode de construction des paquets IP des messages.

4.1 Le mode transport :

 En mode transport, le protocole protège le message transmis depuis la couche de
transport. Le message est traité par AH / ESP et les en-têtes appropriés sont ajoutés devant
l'en-tête de transport (UDP ou TCP). L'en-tête IP est ensuite ajouté devant par IP.
Le défaut présenté par ce mode, et que, étant donné que le mécanisme s’applique au
niveau de la couche transport, il n’y pas de masquage d’adresse.

Remarque :

Ce mode est relativement aisé à mettre en œuvre, mais il n’est utilisable que sur les
équipements terminaux (postes clients, serveurs).

4.2 Le mode tunnel :

Dans le mode tunnel, IP Sec agit directement après l'encapsulation IP. La totalité du
paquet IP est encapsulé dans un paquet IP Sec sécurisé. Dans ce cas, l'en-tête IP d'origine est
protégé et les adresses sont masquées.

En mode tunnel, l’en-tête IP est également protégé (authentification, intégrité et/ou

confidentialité) et remplacé par un nouvel en-tête. Ce nouvel en-tête sert à transporter le
utilisable à la fois sur des équipements terminaux et sur des passerelles de sécurité.

Remarque :
Ce mode permet d’assurer une protection plus importante contre l’analyse du trafic, car il
masque les adresses de l’expéditeur et du destinataire final.

5. La notion d’association de sécurité :

Une association de sécurité (SA) est une connexion logique impliquant deux appareils qui
transfèrent des données. À l'aide des protocoles IP Sec définis, les SA offrent une protection
des données pour le trafic unidirectionnel. Généralement, un tunnel IP Sec comprend deux SA
unidirectionnelles, qui offrent un canal sécurisé en duplex intégral pour les données.

Une association de sécurité comprend les éléments suivants :

 L’index des paramètres de sécurité ou SPI : Un SPI est un bloc de 32 bits inscrit en
clair dans l’en-tête de chaque paquet échangé ; il est choisi par le récepteur.
  L’adresse IP de la source et de la destination.
 Le nom : soit l’identifiant d’un utilisateur, soit le nom d’une machine. Un identifiant
d’utilisateur permet de différencier le trafic issu d’une personne en particulier.
 Le protocole de sécurité : AH ou ESP.
 Les paramètres d’authentification : algorithme de chiffrements, clé de
chiffrement…
 Les protections contre la réplication : un compteur de séquences et un indicateur de
dépassement de séquence. Le compteur génère le numéro de séquence des en-têtes
AH et ESP. Il est positionné à 0 lors de l’établissement de la SA et est incrémenté de 1
chaque fois que vous utilisez la SA pour sécuriser un paquet.
 Le mode utilisé : mode transport ou mode tunnel.
 La durée de vie de la SA : indiquée en unité de temps ou en nombres d’octets.
Lorsqu’une association de sécurité expire, les paquets qui lui sont associés sont
généralement détruits jusqu’à ce qu’une nouvelle SA soit négociée. Pour éviter la
destruction des paquets, il est possible de négocier une nouvelle SA avant que la
précédente expire.
 Les paramètres de fragmentation (PMTU).

6. La gestion des clefs et des associations de sécurité :

Les protocoles sécurisés ont recours à des algorithmes de cryptage, et ont donc besoin de
clefs. Un des problèmes fondamentaux dans ce cas est la gestion de ces clefs. Par gestion,
nous entendons la génération, le stockage et la suppression de ces clefs.

Ces différentes tâches sont dévouées à des protocoles spécifiques à savoir :

6.1 Le protocole IKE (Internet Key Exchange) :

Ce protocole est chargé de négocier la connexion.  Avant qu'une transmission IP Sec soit
réalisable, IKE est utilisé pour authentifier les deux extrémités d'un tunnel sécurisé en
échangeant des clés partagées. Ce protocole permet deux types d'authentifications, PSK (Pre-
Shared Key ou secret partagé) pour la génération de clefs de sessions RSA ou à l'aide de
certificats.
 6.2 ISAKMP (Internet Security Association and Key Management Protocol):

ISAKMP a pour rôle la négociation, l'établissement, et la suppression d'associations de

sécurité (SA), permettant ainsi la sécurisation de paquets devant être acheminés. Il s'agit d'un
cadre générique permettant la négociation des associations de sécurité.

6.3 Configuration et negociation d’une communication IPsec

Cette négociation s'effectue en deux phases, permettant de séparer la négociation des SA

pour la protection des données à transférer, de celle pour la protection du trafic propre à
ISAKMP :

 Phase 1 :
Durant la première phase, un ensemble d'attributs relatifs à la sécurité est négocié, les
identités des tiers sont authentifiées et des clefs sont générées. Ces éléments forment la
SA/ISAKMP qui est bidirectionnelle.

 Phase 2 :

La seconde phase permet de négocier les paramètres de sécurité (SA IP Sec) qui
interviendront pour les transferts des données applicatives (le paquet IP, à l'origine de
l'établissement d'une SA, qui devait être transmis). Les échanges de cette phase sont
sécurisés grâce à la SA ISAKMP. La communication bidirectionnelle complète nécessite au
moins deux SAs, une pour chaque direction.

7. Politique de sécurité :
IP Sec offre des protections basées sur des choix définis dans une base de données de
politique de sécurité (Security Policy Databas, SPD) établie et maintenu par un utilisateur, un
administrateur système ou une application mise en place par ceux-ci lors de la connexion. Elle
permet de décider, pour chaque paquet, s'il doit être sécurisé ou autorisé à passer outre ou
rejeté.

La SPD est consultée pendant le traitement de tout datagramme IP, entrant ou sortant, y
compris les datagrammes non-IP Sec. Pour chaque datagramme, trois comportements sont
envisageables : le rejeter, l’accepter sans traitement IP Sec, ou appliquer IP Sec. Dans le
troisième cas, la SPD précise en outre quels traitements IP Sec appliquer (ESP, AH, mode
tunnel ou transport, quel(s) algorithme(s) de signature et/ou chiffrement utiliser).

Il existe deux SPD par interfaces, une pour le trafic entrant, l’autre pour le trafic sortant.
Chaque entrée de ces SPD précise un traitement à appliquer au paquet pour lequel la règle
s’applique (quand le critère de sélection ou le sélecteur est vrai) ; La base de données SPD
filtre le trafic IP et identifie le mode de traitement des paquets.

8. Principe de fonctionnement d’IP Sec:

Pour bien assimiler le principe de fonctionnement de IP Sec, il faut analyser comment
est traité le trafic sortant et le trafic entrant :

 Trafic sortant :

Lorsque le protocole IP Sec reçoit des données à envoyer, il commence par consulter la
base de données des politiques de sécurité (SPD) pour savoir comment traiter ces données. Si
cette dernière lui indique que le trafic doit se voir appliquer des mécanismes de sécurité, il
récupère les caractéristiques requises pour la SA correspondante et va consulter la base des
SA (SAD). Si la SA nécessaire existe déjà, il est utilisé pour traiter le trafic en question. Dans
le cas contraire, IP Sec fait appel à IKE pour mettre en place une nouvelle SA avec les
caractéristiques requises

 Trafic entrant :

Lorsque les données arrivant au niveau de la couche 3 du modèle OSI, IP Sec reçoit
un paquet en provenance du réseau, il examine l'en-tête pour savoir si ce paquet s'est vu
appliquer un ou plusieurs services IP Sec et si oui, quelle SA. Il consulte alors la SAD pour
connaître les paramètres à utiliser pour la vérification et/ou le déchiffrement du paquet, une
fois le paquet vérifié et/ou déchiffré, la SPD est consultée pour savoir si la SA appliquée au
paquet correspondait bien à celle requise par les politiques de sécurité. Dans le cas où le
paquet reçu est un paquet IP classique, la SPD permet de savoir si ce pendant il a le droit de
passer.
 9. Types d’utilisation d’IP Sec possibles :
IP Sec peut être utilisé au niveau d’équipements terminaux ou au niveau de passerelles de
sécurité (Security Gateway), permettant ainsi des approches de sécurisation lien par lien
comme de bout en bout. Trois configurations de base sont possibles :

 Cas 1 :

La première situation est celle où l’on désire relier des réseaux privés distants par
l’intermédiaire d’un réseau non fiable, typiquement Internet. Les deux passerelles de sécurité
permettent ici d’établir un réseau privé virtuel. Les matériels impliqués sont les passerelles de
sécurités en entrée/sortie des différents réseaux (routeurs, gardes barrières, boîtiers dédiés).
Cette configuration nécessite donc l’installation et la configuration d’IP Sec sur chacun de ces
équipements afin de protéger les échanges de données entre les différents sites.

 Cas 2 :

La deuxième situation est lorsqu’on désire permettre à des employés ou à des partenaires
situés à l’extérieur de l’entreprise d’accéder au réseau interne sans diminuer le niveau de
sécurité. Dans ce cas, le matériel impliqué sont les portes d’entrées du réseau (serveur d’accès
distants, liaison Internet) et les machines utilisées par les employés (ordinateur portable,
ordinateur personnel au domicile).

Cette configuration nécessite l’installation d’IP Sec sur le poste de tous les utilisateurs
concernés et la gestion d’une éventuelle base de données adaptée pour stocker les profils
individuels. En contrepartie, elle représente un gros apport pratique pour les employés qui se
déplacent beaucoup, sans diminution de la sécurité du réseau.

 Cas 3 :

On peut également vouloir utiliser IP Sec pour protéger l’accès à une machine donnée.
Par exemple, si un serveur contient des données sensibles que seul un nombre réduit de
personnes (internes ou externes à l’entreprise) doit pouvoir consulter, IP Sec permet de mettre
en œuvre un contrôle d’accès fort et un chiffrement des données pendant leur transfert sur le
réseau. Les matériels impliqués dans ce type de configuration sont le serveur et les machines
de toutes les personnes devant accéder aux données.
 Conclusion 

Pour sécuriser les échanges ayant lieu sur un réseau TCP/IP, il existe plusieurs
approches, en particulier en ce qui concerne le niveau auquel est effectuée la sécurisation, le
protocole IP Sec vise à sécuriser les échanges au niveau de la couche réseau.

Nous avons choisi IP Sec parce que c’est un ensemble de protocole développés pour
fournir un service de sécurité à base de cryptographie, permettant de garantir
l'authentification, l'intégrité, le contrôle d'accès et la confidentialité des données.

Dans la partie qui va suivre nous allons mettre en œuvre et réaliser un réseau privé virtuel
IP Sec avec des routeurs CISCO.