AH : Authentication Header
Réseau
AH : Authentication Header, protocole d'IPsec (Internet Protocol Security) qui garantit l'intégrité et l'origine des paquets IP sans les chiffrer. « Le protocole qui certifie que personne n'a touché à la lettre, tout en la laissant lisible par tous les facteurs », par analogie avec le sceau de cire apposé sur une carte postale.
Ce qu'il protège : Défini par la RFC 4302 (2005), AH calcule un code d'authentification sur la charge utile et sur les champs de l'en-tête IP qui ne changent pas en route, adresses comprises. Un numéro de séquence protège contre le rejeu. Il porte le numéro de protocole IP 51, ESP le 50.
Fâché avec le NAT : Puisqu'il authentifie les adresses de l'en-tête, toute traduction d'adresses invalide le paquet. Le moindre routeur domestique suffit donc à le rendre inutilisable, ce qui a beaucoup fait pour sa discrétion.
Éclipsé par ESP : ESP (Encapsulating Security Payload) chiffre et authentifie la charge utile, et sait même authentifier sans chiffrer. La RFC 4301 (2005) impose aux implémentations IPsec de prendre en charge ESP mais rend AH facultatif ; en pratique, les VPN IPsec n'utilisent presque jamais qu'ESP.
En IPv6 : AH y figure parmi les en-têtes d'extension. Un pare-feu qui filtre ces en-têtes doit le laisser passer là où IPsec l'emploie, et peut l'écarter ailleurs.
Ce qui arrive si on s'en passe
Sans AH, rien de notable ne manque dans la plupart des réseaux : ESP fournit la même authentification de la charge utile, plus le chiffrement, et traverse le NAT par encapsulation dans UDP. Le risque est plutôt de croire qu'AH protège la confidentialité : un tunnel en AH seul laisse le contenu de chaque paquet lisible par quiconque l'intercepte, avec la garantie certifiée que personne ne l'a modifié. Là où AH reste employé, par exemple pour satisfaire une exigence d'authentification des en-têtes, il faut choisir des algorithmes d'intégrité actuels et ne pas lui confier de données qui doivent rester secrètes.
Explication de la marmotte
IPsec est une technique qui protège les données circulant sur un réseau. AH en est une partie qui sert à vérifier que les données n'ont pas été modifiées en route et qu'elles viennent bien de l'expéditeur annoncé. Mais AH ne les cache pas : tout le monde peut encore les lire. C'est pourquoi on lui préfère presque toujours ESP, l'autre partie d'IPsec, qui fait les deux à la fois.
Où ce terme est utilisé
- IPv6, autoconfiguration et coexistence (3 occurrences)
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (2 occurrences)
- NAT, translations et publication de services (2 occurrences)