IPsec取代SSL 解读IPsec有哪些技术优势

随着证书颁发机构出现了一些数据泄露的问题，SSL(安全套接字层)遭遇了围攻，那是不是该轮到竞争对手协议IPsec登场了呢?出于安全考虑，一些企业开始重新考虑IPsec，但与SSL一样，IPsec同样依赖于一个有缺陷的信任模式。

IPsec有一些关键功能，例如支持各种算法和应用程序(包括VoIP)，并且提供数据包检查功能。但是作为VPN协议，IPsec并没有真正火过，这主要源自对其客户端因素的担忧以及比SSL具有更高的维护管理成本。即便如此，一些企业开始重新考虑IPsec，并将其与SSL一起运用，以加强安全性。

“我们看到很多人开始转向IPsec，他们看到了IPsec的利与弊，”Americas公司NCP Engineering首席技术官Rainer Enders表示，该公司同时销售SSL和IPsec产品。“IPsec是一套非常强大的协议。对于真正高安全的应用程序，IPsec更加有用。IPsec通过其作为安全协议的设计提供了更高的安全性，不是通过加密类型，而是通过部署。”

Enders表示IPsec实际上要比SSL更加安全，部分原因是因为很多SSL部署仍然运行其较旧的TLS协议。IPsec的密钥交换协议更加安全，“从安全技术角度来看，IPsec的确更加安全。”

但不要这么快下结论，安全专家指出，IPsec依赖于与SSL相同的信任模式，而这个信任模式已经崩溃了。

“我认为IPsec是一个完美的协议，但是我认为我们需要想办法避开一些问题，”安全专家Taher Elgamal表示，“如果我们使用IPsec，我们仍然需要使用一些公钥基础设施。所以如果我们不能解决这个实际问题，也就是客户端如何信任服务器证书的问题，那么IPsec将出现与SSL同样的问题。仍然会出现流氓证书机构，仍然会有MD5问题。”

安全专家DanKaminsky同意这个观点，“SSL被破坏了，IPsec将无法修复它，”Kaminsky表示，“只有当我们修复了SSL，才能够重新考虑IPsec。”

Kaminsky表示，根本的问题在于协议和加密。密钥管理问题同时困扰着SSL和IPsec：“IPsec和SSL具有完全相同的密钥管理问题，甚至还多了两个问题，首先，你需要让协议通过NAT(网络地址转换)和防火墙。第二，进行加密工作的内核和与用户通信的应用程序完全无法好好工作。”

内核并不知道找谁验证信任，应用程序不知道如何向用户显示信任，他表示，“IPsec的优势并不在于它是一个更好的协议，而是在于在没有应用程序集成的情况下，你仍然可以进行加密。不过，你需要非常强大的密钥管理系统，所以内核本身知道该对什么进行加密。”

真实性和保密性是所有加密系统的关键要素，Fidelis Security Systems公司研究和服务总监WillIrace表示，“信任模式出现的问题在验证与你通话的人是否是他们自己所声称的人。”而IPsec和SSL都依赖于这种有缺陷的信任模式。

解决证书颁发机构(CA)基础设施的问题并不简单。Moxie Marlinspike开发出一种名为Convergence的web身份验证模式，使用了公证人作为身份验证的依据。每个人都可以选择公证人，但是公证人主要还是由安全公司和web验证专家组成，公证人将创建网站的SSL证书历史记录，并对其一致性进行评级。用户决定是否信任一个网站，而不是依赖浏览器来做判断。

IPsec是否会崛起?“IPsec的优势在于它内置了IPv6，”Fidelis高级安全威胁研究员Ben Greenbag表示，“当企业碰到IPv6机制时，他们已经有了内置IPv6，可以将其用于保护内部通信。”

Kaminsky表示，DNSSEC也将给IPsec助一把力。“最终DNSSEC将是很多密钥管理问题的解决答案，并且它将重振IPsec。”