IPsec のキー交換

キーの有効期間では、新しいキーの生成方法ではなく、生成される頻度を決定します。動的なキー更新またはキー再生成とも呼ばれるキーの有効期間を使うと、指定した間隔でキーを強制的に再生成できます。たとえば、通信に 10,000 秒かかり、キーの有効期限に 1,000 秒を指定した場合、その通信を完了するために 10 個のキーが生成されます。これにより、攻撃者が通信の一部を解読しても、その通信の残りの部分は保護されます。キーの有効期間は、マスター キーとセッション キーの両方に対して指定できます。キーの有効期間が切れるたびに、SA も再度ネゴシエートされます。さらに、キーも更新されるか、または再度ネゴシエートされます。1 つのキーで処理されるデータ量は、100 MB を超えないようにしてください。

1 つのクイック モードのセッション キーからのキー更新を繰り返すと Diffie-Hellman 共有シークレットが侵害される可能性があるため、クイック モードのセッション キーの更新制限を使用します。

たとえば、コンピューター A のアリスがコンピューター B のボブにメッセージを送信し、その数分後に別のメッセージをボブに送信したとします。SA は最近確立されたため、同じセッション キー生成情報が再利用される可能性があります。この再利用が行われる回数を制限する場合は、セッション キーの更新制限を小さい値に設定します。

マスター キーの PFS (Perfect Forward Secrecy) を有効にしている場合、クイック モードのセッション キーの更新制限は使われません。セッション キー更新制限を 1 に設定すると、マスター キーの PFS を有効にした場合と同じことになります。メイン モードのマスター キーの有効期間とクイック モードのセッション キーの更新制限を両方指定すると、先に制限に達したものによってその後のキー更新が行われます。既定では、IPsec ポリシーにセッション キー更新制限は指定されていません。

Diffie-Hellman (DH) グループは、DH 交換に使われる基本素数 (キー生成情報) の長さを決定するために使います。DH 交換から派生したキーの強度は、素数の基になっている DH グループの強度に部分的に依存しています。

各 DH グループは、使われるキー生成情報の長さを定義します。Group 1 では 768 ビット、Group 2 では 1,024 ビット、Group 3 では 2,048 ビットのキー生成情報が保護されます。大きなグループが使われた場合、DH 交換から決定されて得られたキーも大きくなり、攻撃者による解読が困難になります。

IKE は、[IKE セキュリティ アルゴリズム] ダイアログ ボックスで構成した設定に基づいて使用するグループをネゴシエートするので、2 つのピア間で DH グループが一致しないことが原因でネゴシエーションに失敗することがありません。

セッション キーの PFS が有効になっている場合、最初のクイック モード SA ネゴシエーションで新しい DH キーがネゴシエートされます。この新しい DH キーによって、マスター キーに対して実行される DH 交換にセッション キーが依存しなくなります。

発信側がセッション キーの PFS を使っている場合、応答側はセッション キーの PFS を使う必要がありません。ただし、発信側がセッション キーの PFS を使っておらず、応答側がセッション キーの PFS を使っている場合、ネゴシエーションに失敗します。

メイン モード SA ネゴシエーションとクイック モード SA ネゴシエーションの両方とも、DH グループは同じです。セッション キーの PFS が有効になっている場合、DH グループは、メイン モード SA ネゴシエーションの一部として設定されていても、クイック モードのセッション キーを確立するためのキー更新に影響を与えます。

キー更新とは異なり、PFS は新しいキーが生成される頻度ではなく生成される方法を決定します。特に、PFS は単一のキーによるアクセスをそのキーで保護されたデータだけに限定するため、通信全体が危害を受けることがありません。これを実現するために、PFS では、転送の保護に使われるキーは、どちらのモードでも追加キーの生成に使用できません。また、使われたキーが特定のキー生成情報から派生した場合、その情報は他のキーの生成に使用できません。

メイン モードのマスター キーの PFS では再認証が必要で、リソースも大量に消費されます。これが有効になっている場合、IKE は ID を再認証しなければならず、認証に Kerberos V5 認証プロトコルを使用している場合はドメイン コントローラーのオーバーヘッドが増加します。クイック モード ネゴシエーションが行われるたびに、新しいメイン モード ネゴシエーションが必要になります。

クイック モードのセッション キーの PFS は再認証せずに使うことができ、リソースの消費も多くありません。セッション キーの PFS では、DH 交換で新しいキー生成情報が生成されます。必要なメッセージは 4 つだけで、認証は必要ありません。

PFS は SA ネゴシエーションに含まれないため、PFS を両方のピアで有効にする必要はありません。応答側が PFS を必要とし、送信側のクイック モード SA の有効期間が切れた場合は、単に送信側のメッセージが拒否され、新しいネゴシエーションが必要になるだけです。送信側はメイン モード SA を有効期間切れにしてから、再度ネゴシエートします。PFS は、マスター キー (メイン モード) とセッション キー (クイック モード) の両方に対して個別に設定できます。

SA は、ネゴシエートされたキー、セキュリティ プロトコル、およびセキュリティ パラメーター インデックス (SPI) の組み合わせです。これらのものによって、送信側から受信側への通信の保護に使われるセキュリティを定義します。SPI は、受信側のコンピューターに存在する複数のセキュリティ アソシエーションを区別するために使われる、SA 内の一意の識別値です。たとえば、あるコンピューターが同時に複数のコンピューターとセキュリティで保護された通信を行っている場合、複数のアソシエーションが存在します。この状況が発生するのは、そのコンピューターが複数のクライアントと通信するファイル サーバーまたはリモート アクセス サーバーである場合がほとんどです。このような状況では、受信側のコンピューターは SPI を使って、受信パケットの処理に使う SA を判定します。

メイン モード SA はキャッシュされるため、複数のクイック モード SA ネゴシエーションが可能です (マスター キー PFS が有効になっている場合を除く)。マスター キーまたはセッション キーの有効期間が切れると、SA が再度ネゴシエートされます。さらに、キーも更新されるか、または再度ネゴシエートされます。

メイン モード SA の既定のタイムアウト期間が経過するか、あるいはマスター キーまたはセッション キーの有効期間が切れると、応答側に削除メッセージが送信されます。IKE 削除メッセージは、メイン モード SA を有効期間切れにするように応答側に通知します。これにより、有効期間が切れたメイン モード SA から、新しいクイック モード SA をさらに作成することが防止されます。IKE はクイック モード SA を有効期間切れにしません。キーを有効期間切れにする秒数またはバイト数を含んでいるのは、IPsec ドライバーだけだからです。

マスター キーとセッション キーで、大幅に異なる有効期間を設定する場合は注意が必要です。たとえば、メイン モードのマスター キーの有効期間を 8 時間、クイック モードのセッション キーの有効期間を 2 時間に設定すると、メイン モード SA の有効期間が切れた後も、クイック モード SA がほぼ 2 時間にわたって使われる場合があります。このようになるのは、メイン モード SA の有効期間が切れる直前にクイック モード SA が生成された場合です。