ESP : Encapsulating Security Payload
Réseau
ESP : Encapsulating Security Payload. « Charge utile de sécurité encapsulée », par analogie avec la valise diplomatique scellée : on sait qu'elle voyage, pas ce qu'elle contient, et toute effraction se voit.
Rôle dans IPSec : Une fois les associations de sécurité négociées par IKE, ESP chiffre et authentifie les paquets IP. Il apporte confidentialité, intégrité, authentification de l'origine et protection contre le rejeu grâce à des numéros de séquence.
Transport ou tunnel : En mode transport, seule la charge utile est protégée et l'en-tête IP d'origine reste visible. En mode tunnel, le paquet entier est encapsulé dans un nouveau paquet, ce qui masque les adresses internes : c'est le mode des VPN entre sites.
Face à l'en-tête d'authentification : AH (Authentication Header) authentifie sans chiffrer et supporte mal la traduction d'adresses. ESP fait les deux, ce qui explique qu'AH coule désormais une retraite paisible dans les manuels, entouré de l'estime distraite de ceux qui ne s'en servent plus.
Traversée de NAT : ESP n'a pas de numéros de port ; derrière une NAT, on l'encapsule dans UDP pour qu'il passe.
Ce qui arrive si on s'en passe
Sans ESP, un tunnel IPSec ne protège rien des données transportées : les paquets traversent le réseau en clair, lisibles par tout équipement sur le chemin. Avec un chiffrement privé de l'intégrité qu'apporte ESP, un attaquant peut modifier des octets chiffrés et provoquer des effets prévisibles à la réception. Sans la fenêtre anti-rejeu, des paquets capturés peuvent être réinjectés plus tard et acceptés comme légitimes. Configurer ESP avec l'algorithme de chiffrement nul, que la norme autorise, revient à s'en passer pour la confidentialité : l'intégrité reste, le secret non.
Explication de la marmotte
Quand deux bureaux d'une entreprise communiquent par Internet, leurs messages passent par des dizaines de machines inconnues. Ce mécanisme emballe chaque morceau de données dans une enveloppe scellée et codée. Personne en chemin ne peut lire le contenu, et si quelqu'un tente de l'ouvrir ou de le modifier, le destinataire s'en aperçoit et jette le morceau. Il empêche aussi qu'on renvoie plus tard un vieux message intercepté pour tromper le destinataire. C'est un peu la différence entre une carte postale et une lettre recommandée cachetée.
Où ce terme est utilisé
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (11 occurrences)
- TLS ou tunnel VPN IPsec contre l'homme du milieu (4 occurrences)
- IPv6, autoconfiguration et coexistence (3 occurrences)
- Données, signaux, latence et fiabilité (2 occurrences)
- NAT, translations et publication de services (2 occurrences)
- VPN, tunnels, bastions et interconnexions protégées (2 occurrences)