Questão de Segurança da Informação — IPSec — VUNESP 2023

IPSec: modos de transporte e túnel

Gabarito: letra D. O IPSec é um conjunto de protocolos que atua na camada de rede (camada 3 do modelo OSI), e não na camada de transporte. A alternativa correta aponta corretamente que o modo túnel adiciona um cabeçalho IP extra, encapsulando o pacote IP original inteiro, o que aumenta o tamanho dos pacotes — essa é a desvantagem clássica desse modo.

O IPSec (Internet Protocol Security) é um conjunto de protocolos projetado para proteger comunicações no nível IP, oferecendo serviços como confidencialidade, integridade, autenticação da origem dos dados e proteção contra replay. Ele opera na camada de rede do modelo OSI, o que o torna transparente para as aplicações — não é necessário modificar o software de cada aplicação para usá-lo.

O IPSec possui dois protocolos principais: o AH (Authentication Header), que oferece integridade e autenticação da origem dos dados, e o ESP (Encapsulating Security Payload), que oferece esses mesmos serviços e também confidencialidade (criptografia). Ambos podem ser usados em dois modos: modo transporte e modo túnel.

No modo transporte, o IPSec protege principalmente os protocolos da camada superior (como TCP, UDP ou ICMP). O cabeçalho IPSec é inserido entre o cabeçalho IP original e o payload. O ESP no modo transporte criptografa e opcionalmente autentica o payload IP, mas não o cabeçalho IP original. Esse modo é tipicamente usado para comunicação ponta a ponta entre dois hosts.

No modo túnel, o pacote IP original inteiro (cabeçalho + payload) é encapsulado dentro de um novo pacote IP. O cabeçalho IPSec é adicionado e, em seguida, um novo cabeçalho IP externo é criado. Todo o pacote original viaja por um túnel, e os roteadores intermediários só conseguem examinar o cabeçalho IP externo. Esse modo é usado quando uma ou ambas as extremidades da associação de segurança são gateways de segurança (firewalls ou roteadores com IPSec).

A principal desvantagem do modo túnel é justamente o overhead: o novo cabeçalho IP externo aumenta o tamanho dos pacotes, o que pode reduzir a eficiência da rede, especialmente em links de menor capacidade. Essa é a característica que a alternativa D aponta corretamente.

O IPSec é totalmente compatível com IPv6 — na verdade, o IPv6 foi projetado com o IPSec em mente, e o suporte a ele é nativo no protocolo. A alternativa E, que afirma o contrário, está incorreta.

Guarde a distinção central: modo transporte protege o payload, modo túnel protege o pacote IP inteiro. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O IPSec atua na camada de rede (camada 3 do modelo OSI), não na camada de transporte. Ele protege o tráfego no nível IP, sendo transparente para as camadas superiores. A confusão aqui é comum: como o IPSec protege segmentos TCP/UDP, alguns candidatos pensam que ele opera na camada de transporte, mas ele opera abaixo dela, na camada de rede.

Alternativa B — ❌ Incorreta

A descrição apresentada é do modo túnel, não do modo transporte. No modo transporte, o cabeçalho IPSec é inserido entre o cabeçalho IP original e o payload, sem criar um novo pacote IP. A alternativa inverte os conceitos dos dois modos — uma pegadinha clássica da banca.

Alternativa C — ❌ Incorreta

A descrição apresentada é do modo transporte, não do modo túnel. No modo túnel, o cabeçalho IPSec é adicionado e, em seguida, um novo cabeçalho IP externo é criado, encapsulando o pacote IP original inteiro. A alternativa inverte os conceitos dos dois modos.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta é a alternativa correta. No modo túnel, o pacote IP original inteiro é encapsulado em um novo pacote IP, com um novo cabeçalho IP externo. Esse cabeçalho extra aumenta o tamanho dos pacotes, o que é uma desvantagem em termos de overhead de rede. Essa é uma característica bem conhecida e documentada do modo túnel.

Alternativa E — ❌ Incorreta

O IPSec é totalmente compatível com IPv6. Na verdade, o IPv6 foi projetado com o IPSec como parte integrante do protocolo, e o suporte a ele é nativo. A alternativa afirma o contrário, o que é um erro técnico grave.

Gabarito: letra D