Estoy tratando de entender por qué realmente usamos esas claves previamente compartidas al crear un túnel IPSec.
De todas las lecturas que he hecho, el grupo DH crea las claves que se utilizan para realizar el cifrado de datos real, espero que sea correcto. En caso afirmativo, ¿las claves compartidas se usan solo para la autenticación?
La función de la clave previamente compartida (o certificado) es autenticar al otro par. Incluso si la conexión está encriptada, debe saber que el par con el que está estableciendo la conexión es el que debería ser. El cifrado proporciona confidencialidad en la conexión y la clave previamente compartida que solo usted y la otra parte sabe que proporciona la autenticación.
La clave previamente compartida se utiliza para la autenticación, como señala @toottoot.
También tiene otro papel. Se utiliza en el cálculo de DH para generar las claves de sesión. Esto brinda a las partes que se comunican una manera de generar claves de sesión nuevas sin necesidad de compartir claves adicionales, por lo que resulta práctico cambiar las claves de sesión con frecuencia. Al hacerlo, pueden minimizar el impacto de una sola clave de sesión comprometida. Tenga en cuenta que, por diseño, comprometer una clave de sesión no debería ayudar a un atacante a comprometer la clave previamente compartida (y, por lo tanto, otras claves de sesión).
Lea otras preguntas en las etiquetas ipsec