IPsec (Internet Protocol Security)

Definisi

IPsec (Internet Protocol Security) adalah kumpulan protokol keamanan yang beroperasi di layer jaringan (layer 3 OSI) untuk mengamankan komunikasi berbasis IP. IPsec menyediakan otentikasi, integritas, dan kerahasiaan data pada setiap paket IP. Berbeda dengan SSL/TLS yang bekerja di layer transport, IPsec bisa mengamankan seluruh lalu lintas IP tanpa modifikasi pada aplikasi.

Komponen IPsec

IPsec terdiri dari tiga komponen utama:

1. Authentication Header (AH)

AH memberikan otentikasi dan integritas pada paket IP, tetapi tidak memberikan enkripsi. AH melindungi seluruh paket (termasuk header IP) dari modifikasi di tengah jalan. Protokol ini menggunakan IP Protocol 51. Karena tidak ada enkripsi, AH jarang digunakan sendirian. Kelemahan utama: AH tidak kompatibel dengan NAT karena mengubah header IP yang dilindungi.

2. Encapsulating Security Payload (ESP)

ESP menyediakan enkripsi (kerahasiaan) dan opsional otentikasi (integritas). ESP mengenkripsi payload (data) dan bisa juga mengenkapsulasi seluruh paket IP asli. ESP menggunakan IP Protocol 50. ESP lebih populer daripada AH karena memberikan kerahasiaan data. Mode otentikasi ESP bisa menggunakan algoritma seperti HMAC-SHA256.

3. Internet Key Exchange (IKE)

IKE adalah protokol yang bertugas menegosiasikan dan mengelola kunci kriptografi serta Security Associations (SA). IKE berjalan di UDP port 500 dan versi terbaru disebut IKEv2 (RFC 7296) yang lebih efisien dan tangguh dibanding IKEv1. IKE menggunakan Diffie-Hellman key exchange untuk membuat shared secret yang aman.

Mode Transport vs Tunnel

Transport mode: Hanya melindungi payload paket IP. Header IP asli tetap tidak berubah. Cocok untuk komunikasi end-to-end antar host. Contoh: dua server yang saling berkomunikasi langsung.

Tunnel mode: Seluruh paket IP asli (header + payload) dienkapsulasi dalam paket IP baru. Paket baru ini memiliki header IP baru (dari gateway VPN). Cocok untuk site-to-site VPN antar gateway. Mode ini memungkinkan pengalamatan privat antar jaringan yang terpisah.

Security Associations (SA)

Security Association (SA) adalah kontrak satu arah antara dua entitas IPsec yang mendefinisikan:

• Algoritma enkripsi yang digunakan (AES, 3DES, dll.)
• Algoritma otentikasi (HMAC-SHA256, MD5)
• Kunci sesi (session key)
• SPI (Security Parameter Index) - pengidentifikasi unik untuk SA

Karena SA bersifat satu arah, diperlukan dua SA (inbound dan outbound) untuk komunikasi dua arah. SA disimpan di SAD (Security Association Database).

ISAKMP dan IKE Fase 1 & 2

ISAKMP (Internet Security Association and Key Management Protocol) adalah framework untuk negosiasi SA. IKE menerapkan framework ISAKMP dalam dua fase:

Fase 1

Tujuan: Membangun ISAKMP SA (juga dikenal sebagai IKE SA) - saluran aman untuk negosiasi selanjutnya.

• Pertukaran kunci menggunakan Diffie-Hellman
• Otentikasi menggunakan PSK (Pre-Shared Key) atau sertifikat digital
• Output: kunci master bersama antara dua peer
• Mode: Main mode (6 pesan, lebih aman) atau Aggressive mode (3 pesan, lebih cepat tapi kurang aman)

Fase 2

Tujuan: Membangun IPsec SA untuk melindungi data aktual.

• Dilakukan di dalam channel aman yang sudah dibuat di Fase 1
• Negosiasi parameter enkripsi dan otentikasi spesifik untuk data
• Menggunakan protokol Quick Mode
• IPsec SA bisa diperbarui secara periodik (rekey)
• Mendukung Perfect Forward Secrecy (PFS) - lihat di bawah

Authentication: PSK vs Certificates

PSK cocok untuk deployment kecil (2-3 site). Sertifikat digital wajib untuk deployment enterprise dengan banyak peer.

Perfect Forward Secrecy (PFS)

PFS adalah properti keamanan yang memastikan bahwa jika kunci jangka panjang (private key) bocor, kunci sesi lampau tidak bisa didekripsi ulang. PFS dicapai dengan melakukan pertukaran Diffie-Hellman baru setiap kali fase 2 dijalankan (rekey). Tampa PFS, kebocoran kunci private bisa membuka seluruh komunikasi yang direkam sebelumnya.

PFS diaktifkan dengan mengatur parameter PFS group (misalnya Diffie-Hellman group 14/16/19) pada konfigurasi IPsec. Semakin besar grup, semakin aman tetapi semakin lambat.

Kesimpulan

IPsec adalah teknologi VPN enterprise-grade yang menyediakan keamanan komprehensif di layer jaringan. Dengan kombinasi AH/ESP untuk perlindungan data dan IKE untuk manajemen kunci, IPsec cocok untuk site-to-site VPN, remote access (via IKEv2), dan komunikasi antar cloud. Konfigurasi yang tepat - termasuk pemilihan mode (transport vs tunnel), metode otentikasi (PSK vs sertifikat), dan aktivasi PFS - sangat menentukan tingkat keamanan yang dicapai.