Definition og grundidé

IPsec (Internet Protocol Security) er en standardiseret metode til at beskytte data, der sendes over IP-netværk. Grundideen er, at trafikken pakkes ind i en beskyttet ”sikker konvol” med kryptering og (i mange opsætninger) autentificering. Det betyder, at andre ikke bare kan læse indholdet, og at ændringer undervejs lettere kan opdages.

Eenvoudigt model: fra afsender til modtager

Tænk på IPsec som et sikkerhedslag mellem netværket og den normale IP-transport.

  1. Før data sendes, beskyttes den relevante IP-trafik med kryptering.
  2. For mange opsætninger tilføjes også autentificering, så modtageren kan kontrollere, at trafikken kommer fra det forventede endepunkt.
  3. Undervejs kan netværket stadig videresende pakker, men uden at kunne “læse” indholdet eller manipulere det uden at det bliver synligt.

Den konkrete effekt for dig afhænger af, om der er valgt kryptering, og hvordan autentificeringen er sat op.

Hvad beskytter IPsec imod – og hvad ikke

IPsec er primært designet til at beskytte selve trafikken i netværket. Det kan derfor mindske risikoen for:

  • Aflytning: Kryptering gør det sværere for uvedkommende at forstå indholdet.
  • Manipulation: Autentificering og integritetsbeskyttelse gør ændringer lettere at opdage.

Samtidig er der grænser:

  • Det beskytter trafikken mellem endepunkter. Hvis din enhed er inficeret, eller et endepunkt allerede er kompromitteret, kan IPsec ikke magisk gøre data trygge lokalt.
  • Det afhænger af korrekt opsætning. Effektiv beskyttelse kræver passende valg af algoritmer og en fungerende nøgle-/sessionshåndtering.
  • Det erstatter ikke sikker praksis. Pålidelige adgangsmetoder, opdateret software og sikre kontroller spiller stadig en rolle.

Centrale forskelle i brug: end-to-end vs. netværksbeskyttelse

IPsec kan bruges på flere måder, afhængigt af hvordan det implementeres i miljøet. I praksis kan det handle om at beskytte forbindelser mellem bestemte systemer eller netværk.

En vigtig afgrænsning er derfor at forstå, hvilke endepunkter der er omfattet af beskyttelsen. Hvis IPsec kun ligger i en del af forbindelsesstien, kan der stadig være stræk, hvor data ikke er beskyttet på samme måde.

Derfor bør du se på:

  • Om IPsec er aktiv i den aktuelle forbindelse.
  • Hvilke endepunkter der udgør “start” og “slut” for den beskyttede trafik.
  • Om der bruges både kryptering og autentificering (ikke kun én af delene).

Undtagelser og kontrolpunkter du kan bruge

Hvis du vil vurdere IPsec’s beskyttelse i en konkret situation, kan du kontrollere følgende uden at antage for meget:

  • Er IPsec faktisk slået til for forbindelsen? Uden aktiv beskyttelse får du ikke effekten.
  • Hvilke sikkerhedsmekanismer er valgt? Kryptering og autentificering er centrale, men deres valg og konfiguration betyder noget.
  • Er endepunkterne troværdige og opdaterede? IPsec beskytter ikke mod kompromitteret udstyr.
  • Er beskyttelsen konsekvent for hele trafikken du har brug for? Hvis kun dele er dækket, kan resten være sårbart.

Hvis en opsætning er uklar, er det ofte et tegn på, at du bør finde ud af, hvilke dele af trafikken der faktisk er beskyttet, og på hvilket niveau (for eksempel hvor IPsec-laget ligger i arkitekturen).