2 Handshake in sistemi centralizzati: il protocollo KINK

Il protocollo IKE, come già ricordato, è un protocollo peer-to-peer, e potrebbe non essere la soluzione più adatta in ambienti (quali ad esempio una intranet) dove esiste qualche forma di gestione centralizzata. Con un protocollo peer-to-peer è infatti necessario che ogni host conosca e implementi le politiche di sicurezza locali, inoltre IKE utilizza meccanismi quali Diffie-Hellman e le firme digitali, che sono computazionalmente piuttosto onerosi. Essenzialmente, come evidenziato in [23], si potrebbe dire che l'uso di un protocollo peer-to-peer comporta problemi con complessità $O\left(n^{2}\right)$, mentre utilizzando un server centrale la complessità è $O\left(n\right)$.

È attualmente allo studio all'IETF il protocollo KINK (Kerberized Internet Negotiation of Keys) ([23] e [15]), che utilizza Kerberos [24] per costruire e gestire delle security association per IPsec. KINK è un protocollo centralizzato di gestione delle chiavi e può quindi essere utilizzato al posto di IKE, ma è importante notare che non è in grado di sostituire completamente (cioè in ogni situazione) IKE, il quale permette a due interlocutori qualsiasi di autenticarsi vicendevolmente senza l'intervento di una terza parte. È progettato per essere più veloce e leggero rispetto ad IKE, sia per il numero di messaggi scambiati sia per il carico computazionale (riducendo al minimo le onerose operazioni di crittografia asimmetrica), e permette una gestione centralizzata delle politiche di sicurezza.

KINK utilizza i dati forniti da Kerberos per effettuare uno scambio simile alla fase 2 di IKE, in modo da negoziare una security association in soli due o tre messaggi, mentre non prevede nulla di analogo ad uno scambio IKE fase 1. Ha una struttura simile ad ISAKMP (che anzi in parte utilizza) nel prevedere un insieme di payload con diverse funzioni che vengono poi combinati per costruire i messaggi del protocollo. KINK non richiede alcuna modifica né ad IPsec né ad IKE; attualmente non esistono sue implementazioni, se non a scopi sperimentali connessi alla sua definizione.