RFC 2409 – The Internet Key Exchange (IKE)

Überholt: ersetzt durch RFC 4306.

RFC 2409 definiert das Internet Key Exchange (IKE)-Protokoll als hybriden Ansatz, der Elemente von Oakley und SKEME mit dem ISAKMP-Rahmenwerk kombiniert. Ziel ist es, authentifiziertes Schlüsselmaterial für IPsec-Sicherheitsassoziationen (SAs) wie AH und ESP auszuhandeln und bereitzustellen. IKE arbeitet in zwei Phasen: Phase 1 etabliert eine gesicherte ISAKMP-SA, Phase 2 (Quick Mode) leitet daraus SAs für die eigentliche Datenübertragung ab. Das Protokoll unterstützt verschiedene Authentifizierungsmethoden, darunter digitale Signaturen, Public-Key-Verschlüsselung und vorab geteilte Schlüssel.

Im Kern verwendet IKE den Diffie-Hellman-Schlüsselaustausch, um gemeinsames Geheimmaterial zu erzeugen. Aus diesem werden über pseudo-zufällige Funktionen die Schlüssel SKEYID_d (für Ableitungen), SKEYID_a (für Authentifizierung) und SKEYID_e (für Verschlüsselung) abgeleitet. Die Phase-1-Kommunikation kann wahlweise mit Main Mode (sechs Nachrichten, Identitätsschutz) oder Aggressive Mode (drei Nachrichten, schneller) erfolgen. Perfect Forward Secrecy wird durch optionale Diffie-Hellman-Neuberechnungen in Quick Mode realisiert.

Historisch war RFC 2409 ein zentraler Baustein für IPsec-VPNs und Remote-Zugriffslösungen. Es löste die Fragmentierung früherer Ansätze, indem es einen einheitlichen, interoperablen Schlüsselaustausch standardisierte. Das Protokoll wurde später durch RFC 4306 (IKEv2) abgelöst, bleibt aber für das Verständnis älterer IPsec-Implementierungen relevant.