Was kann IPSec nicht?

Es werden nun einige Punkte aufgezählt, die nicht in den Sicherungsbereich von IPSec fallen.

• IPSec ist eingeschränkt auf den Transport von Internet-Protokollen.
• IPSec bietet keinen Schutz vor Viren oder anderen Programmen die z.B. einzelne Tastendrucke aufzeichnen. (Kein Schutz vor Trojansichen Pferden, ...)
• IPSec bietet keinen Schutz, falls jemand Zugang zum geheimen Schlüssel bekommen hat. Die Sicherheit die IPSec bietet hängt immer von dem Schlüssel ab. Liegt der Schlüssel z.B. auf einem Rechner der von einem Hacker geknackt worden ist, so kann IPSec keinen Schutz mehr bieten.
  Nicht außer Acht gelassen werden sollte, daß auch verschlüsselte Netzwerk-Pakete aufgezeichnet werden können. Dies hat zur Folge, daß die Schlüssel bis hin zu ihrer Vernichtung mit besonderer Sorgfalt verwaltet werden sollten. Falls der Schlüssel auch erst Wochen oder Monate später in falsche Hände gelangt, könnten die aufgezeichneten Netzwerk-Pakete entschlüsselt werden.
  Was Aufzeichnungen betrifft, kann man auch davon ausgehen, daß evtl. die Gefahr besteht eine heute noch gut verschlüsselte Nachricht in der Zukunft entschlüsseln zu können. Wichtig in diesem Zusammenhang ist die Schlüssellänge, die je nach Risikoeinschätzung ausreichend lang sein sollte.
• IPSec bietet z.T. keinen umfassenden Schutz vor Schnüfflern.
  Bei der Nutzung von IPSec zur Sicherung einer Kommunikation sind für Außenstehende mehr Komponenten des Netzverkehrs sichtbar als z.B. bei der verbindungsorientierten Verschlüsselung. Je nachdem, wie IPSec konfiguriert wurde, können Außenstehende feststellen, welche Rechner an Ihren Standorten miteinander kommunizieren. Zumindest kann man den Netzverkehr zwischen den Standorten ablesen. Ungeschützt sind Informationen über Paketgröße, Anzahl der Verbindungen und Daten in Protokollfeldern, die zu Netzwerkverkehrsanalysen ausgewertet werden.
• Cut-and-Paste und Rewrite Angriffe
  IPSec kann je nach Konfiguration nicht vor Cut-and-Paste Angriffen schützen. Wird IPSec eingesetzt um ein VPN einzurichten, ohne den AH-Header zu verwenden, so kann der Netzverkehr aufgezeichnet werden und an eine dritte Person (Insider) innerhalb des vertrauenswürdigen Standortes gesendet werden. Diese dritte Person kann somit diese Nachrichten in Klartext empfangen, da die Nachricht vorher durch den IPSec-Proxy entschlüsselt wurde.
  Wird die Zieladresse durch den ESP-Tunnelmodus verborgen, so können immer noch Rewrite-Angriffe gestartet werden. Wenn ein Angreifer ein im ESP-Tunnelmodus verschlüsseltes Paket zwischen Person X und Person Y abfängt, so kann er das abgefangene Paket an ein gesendetes Paket von Person X an den Insider anhängen, um ein neues Paket zu erzeugen. Dieses Verfahren enthüllt dabei einige Daten, selbst wenn es bei DES CBC angewendet wird. Schutz bietet hier jeweils die Verwendung vom Authentication Header (AH).
• Replay Attacken
  Sequenznummern werden zum Schutz von Replay Attacken eingesetzt. Jedoch kann man hier nicht von einem kompletten Schutz von Replay-Attacken sprechen, es handelt sich hierbei vielmehr um eine Erschwerung des Replay Angriffs. Ein kompletter Schutz ist nicht möglich aufgrund der Notwendigkeit, mit Pakete die verlorengegangen oder dupliziert worden sind, umgehen zu müssen.
• IPSec schützt nicht gegen Angriffe, die auf Fehler in diversen Server-Implementationen zurückzuführen sind.
  IPSec kann nicht die Aufgabe eines Firewalls übernehmen. Durch IPSec erhält ein Angreifer unter Umständen eine abgesicherte Verbindung zu einem unsicheren Server. Erst durch den Einsatz eines Firewalls wird es möglich, Zugriffe nur auf Server im LAN zuzulassen, bei denen eine sichere Implementation installiert ist.