IKE : Internet Key Exchange
Réseau
IKE : Internet Key Exchange. « Échange de clés sur Internet », par analogie avec la poignée de main et le contrôle des papiers d'identité qui précèdent la remise d'un pli scellé.
Rôle : IKE authentifie les deux extrémités d'un tunnel IPSec, négocie les algorithmes et établit les associations de sécurité, puis ESP chiffre effectivement les paquets. Il s'occupe des présentations ; d'autres font la conversation.
Authentification : Les pairs se reconnaissent par certificats, par clé pré-partagée (PSK) ou, en version 2, par des méthodes d'authentification étendues. Un échange DH produit les clés, avec confidentialité persistante quand il est renouvelé.
Versions 1 et 2 : La version 2 réduit le nombre de messages et clarifie la négociation. La version 1 en mode agressif avec clé pré-partagée expose une empreinte de la clé, attaquable hors ligne : une politesse excessive envers les inconnus.
Transport : IKE circule sur UDP, port 500, et bascule sur le port 4500 lorsqu'un équipement NAT se trouve sur le chemin, afin d'encapsuler aussi le trafic protégé.
Ce qui arrive si on s'en passe
Sans négociation automatique des clés, les tunnels chiffrés reposent sur des clés saisies à la main, rarement changées et recopiées d'un équipement à l'autre. La compromission d'une seule de ces clés permet alors de déchiffrer tout le trafic enregistré, passé comme futur, faute de confidentialité persistante. Rien ne vérifie non plus l'identité de la passerelle d'en face : un équipement qui connaît la clé partagée peut s'insérer dans le tunnel. Les algorithmes ne se négocient plus, si bien que retirer un algorithme affaibli impose une intervention manuelle sur chaque site.
Explication de la marmotte
Deux bureaux éloignés veulent se parler par internet comme s'ils étaient dans le même bâtiment, sans que personne ne puisse écouter. Avant de discuter, ils doivent se reconnaître mutuellement et se mettre d'accord sur un code secret commun. Cette étape de présentation se fait automatiquement, un peu comme deux personnes qui échangent un mot de passe convenu à l'avance puis inventent ensemble, sans le crier, une langue secrète pour la suite. Le code est régulièrement changé, pour qu'un secret découvert un jour ne dévoile pas les conversations des autres jours.
Où ce terme est utilisé
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (5 occurrences)
- TLS ou tunnel VPN IPsec contre l'homme du milieu (4 occurrences)
- Chiffrer les flux est-ouest dans un data center (1 occurrence)
- VPN, tunnels, bastions et interconnexions protégées (1 occurrence)
- WireGuard et VPN maillés, fonctionnement, AllowedIPs et limites (1 occurrence)