Sto cercando di capire perché usiamo davvero quelle chiavi pre-condivise quando si crea un tunnel IPSec.
Da tutta la lettura che ho fatto il gruppo DH crea le chiavi che sono usate per fare la vera crittografia dei dati, spero di essere corretto. Se sì, le chiavi pre-condivise sono utilizzate solo per l'autenticazione?
Il ruolo della chiave già condivisa (o certificato) è quello di autenticare l'altro peer. Anche se la connessione è crittografata, è necessario sapere che il peer con cui si stabilisce la connessione è quello che dovrebbe essere. La crittografia garantisce la riservatezza nella connessione e nella chiave già condivisa che solo tu e l'altra parte sanno fornisce l'autenticazione.
La chiave già condivisa viene utilizzata per l'autenticazione, come indicato da @toottoot.
Ha anche un altro ruolo. Viene utilizzato nel calcolo DH per generare le chiavi di sessione. Questo dà alle parti comunicanti un modo per generare nuove chiavi di sessione senza la condivisione di chiavi aggiuntive, rendendo più pratico cambiare frequentemente le chiavi di sessione. In tal modo, possono ridurre al minimo l'impatto di una singola chiave di sessione compromessa. Si noti che, in base alla progettazione, la compromissione di una chiave di sessione non dovrebbe aiutare un utente malintenzionato a compromettere la chiave già condivisa (e quindi altre chiavi di sessione).
Leggi altre domande sui tag ipsec