関連トピック

# IPSec のアルゴリズムとプロトコルについて

IPSec は、信頼できないネットワークを通じてトラフィックを送信するデバイス間の通信を保護するセキュリティ プロトコルおよび暗号法に基づいたサービスの集まりです。IPSec は広く知られているプロトコルやアルゴリズムのコレクションの上に構築されているので、Firebox と標準プロトコルをサポートするその他多数のデバイスやクラウドベースのエンドポイントの間に IPSec VPN を作成することができます。

## 暗号化アルゴリズム

暗号化アルゴリズムは、データを保護するので、移行中にサード パティに読まれません。Fireware は、3 つの暗号化アルゴリズムをサポートしています。

- DES (Data Encryption Standard) — 56 ビット長の暗号化キーを使用します。これは、3 つのアルゴリズムの中の最も弱いアルゴリズムです。
- 3DES (Triple-DES) — DES ベースの暗号化アルゴリズムで、DES を使用してデータを 3 回暗号化します。
- AES (Advanced Encryption Standard) — 使用できる最強の暗号化アルゴリズム。Fireware は、128、192 または 256 ビットの以長さの AES 暗号化キーを使用します。

## 認証アルゴリズム

認証アルゴリズムは、データの保全性およびメッセージの信頼性を確認します。Fireware は、3 つの認証アルゴリズムをサポートしています。

HMAC-MD5 (Hash Message Authentication Code — Message Digest Algorithm 5)

MD5 は、128 ビット (16 バイト) のメッセージ ダイジェストを生成するので、SHA1 または SHA2 より速くなります。これは、セキュアレベルが一番低いアルゴリズムです。

HMAC-SHA1 (Hash Message Authentication Code — Secure Hash Algorithm 1)

SHA1 は、160ビット (20 バイト) のメッセージ ダイジェストを生成します。MD5 よりも低速ですが、大きなダイジェストサイズのために総当たり攻撃を防ぐことができます。

HMAC-SHA2 (Hash Message Authentication Code — Secure Hash Algorithm 2)

Fireware v11.8 以上は、メッセージ ダイジェストの長さが異なる 3 種類の SHA2 をサポートしています。

- SHA2-256 — 265 ビット (32 バイト) のメッセージ ダイジェストを生成します。
- SHA2-384 — 384 ビット (48 バイト) のメッセージ ダイジェストを生成します。
- SHA2-512 — 512 ビット (64 バイト) のメッセージ ダイジェストを生成します。

SHA2 は、SHA1 または MD5 のいずれよりも強いアルゴリズムです。

XTM 21、22、23、505、510、520、530、515、525、535、545、810、820、830、1050、および 2050 デバイスでは、SHA-2 は サポートされていません。これらのモデルのハードウェア暗号化アクセラレーションでは、SHA-2 はサポートされていません。他すべてのモデルでは SHA2 がサポートされています。

## IKE プロトコール

IKE (インターネット キー交換) は、IPSec のセキュリティ アソシエーションを設定するのに使用されるプロトコルです。これらのセキュリティ アソシエーションは、セッションの共有シークレットを確立し、トンネル データの暗号化のキーが派生されます。また IKE は、2 つの IPSec ピアの認証にも使用されます。Fireware は BOVPN ゲートウェイまたは BOVPN 仮想インターフェイス構成で IKEv1 と IKEv2 をサポートしています。

- IKEv1 は RFC 2409 で定義されています。
- IKEv2 は RFC 7296 で定義されています。

IKEv2 では Fireware v11.11.2 以降が必要です。

## Diffie-Hellman キー変換アルゴリズム

The Diffie-Hellman (DH) キー交換アルゴリズムは、キーの交換をせずに 2 つのエンティティに対して利用可能な共有暗号化キーを作成するために使用されるメソッドです。2 つのデバイスの暗号化キーは、暗号化データの対称キーとして使用されます。DH キーの交換に含まれる 2 つのパーティのみ共有キーを考慮し、キーがワイヤ上に送信されません。

Diffie-Hellmanキー グループは、Diffie-Hellman キーの交換のために使用される整数のグループです。Fireware は、DH グループ 1、2、5、14、15、19、および 20 を使用できます。

詳細については、次を参照してください：Diffie-Hellman グループについて。

## AH

RFC 2402 に定義されている AH (Authentication Header) は、手動の BOVPN トンネルのフェーズ 2 VPN ネゴシエーションに使用できるプロトコルです。セキュリティを提供するために、AH は IP データグラムに認証情報を追加します。ほとんどの VPN トンネルでは、AH を使用しません。これは、AH が暗号化を提供しないからです。

## ESP

RFC 2406 に定義される ESP (Encapsulating Security Payload) は、データの認証と暗号化を提供します。ESP は、データ パケットの元のペイロードを受け取り、暗号化されたデータに置き換えます。これは、保全性のチェックを追加して、データが移行中に変更されていないことおよびデータが適切なソースから提供されていることを確認します。ESP の方が AH よりセキュアなので、BOVPN のフェーズ 2 ネゴシエーションには ESP の使用をお勧めします。Mobile VPN with IPSec は、常に、ESP を使用します。

#### 関連情報

IPSec VPN の仕組み

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索