Por que a criptografia não destrói o funcionamento das redes?

Eu tenho um entendimento muito básico de como a criptografia funciona.

Meu conhecimento é o do nível de descoberta do CCNA nos cursos da CISCO (juntamente com algumas outras coisas, como Steve Gibson e Leo Laporte em " Security Now " em vários episódios).

Minha (s) pergunta (s) é (são):

A criptografia não quebraria o conceito de rede do destino IP / Mac de origem e do endereço MAC em pacotes / quadros?

Porque...

Obviamente, quaisquer dados de "descriptografia" (chaves) poderiam ser enviados com os dados, mas isso prejudicaria a segurança, além de os switches serem incapazes de direcionar dados e criar suas tabelas MAC em uma rede interna.

Agora vou fazer algumas suposições sobre o que eu sei. Ou:

1. Os comutadores podem usar o conteúdo do cabeçalho encapsulado do endereço IP e MAC dos pacotes, juntamente com os dados conhecidos das conexões anteriores para descriptografar os pacotes encapsulados com o endereço MAC dos quadros de origem e de destino.
2. Os roteadores podem usar o conteúdo dos pacotes / conexões anteriores para descriptografar os pacotes encapsulados com os endereços IP de origem e de destino.
3. Todo o conceito de criptografia na internet é impraticável (obviamente falso)
4. os MACs / ip de origem e de destino são enviados sem criptografia para pacotes criptografados. (Se for esse o caso, isso significa que um homem do meio pode capturar todos os dados, registrá-los e passar o tempo que for necessário para forçar as chaves a descriptografá-los?)

Ou então, minhas suposições são falsas por algum motivo (por que são falsas?).

Esta questão nasce de um conhecimento inteiramente teórico da aprendizagem desses cursos; portanto, entre em tantos detalhes quanto você desejar, mesmo se você estiver pensando que está afirmando o óbvio. Estou perguntando isso por razões puramente acadêmicas / intensa curiosidade, não porque eu tenha um problema prático.

Sua suposição # 4 está parcialmente correta. Geralmente, em tecnologias como SSL / TLS, endereços IP e endereços MAC são enviados sem criptografia. Mais especificamente, se olharmos para o modelo de rede OSI , os endereços IP fazem parte do nível 3, os endereços MAC fazem parte do nível dois, enquanto o SSL / TLS está no nível 4. A maioria das tecnologias de criptografia trabalha acima do nível 3, para que o endereçamento possa ser lido por roteadores e switches padrão.

Para resolver o problema do meio, as tecnologias de criptografia precisam fornecer algum tipo de autenticação antes de iniciar a sessão criptografada. No exemplo SSL / TLS, o uso de certificados fornecidos por uma autoridade de certificação confiável (por exemplo, Verisign) é usado para autenticação.

Para entrar em detalhes possivelmente indesejados: A criptografia ocorre na camada de transporte e acima, exatamente pelos motivos de sua preocupação. A camada de transporte é a imediatamente acima do IP e de outros esquemas de endereçamento. Isso significa que as informações necessárias para esses protocolos não são criptografadas, porque os dados pertencem a uma camada inferior.

Por exemplo, o TLS e seu SSL predecessor criptografam na camada de transporte. Isso significa que os únicos dados não criptografados são os cabeçalhos IP.

Enquanto isso, quando você escolhe criptografar um email no seu programa de email favorito, ele criptografa apenas a mensagem de email real, enquanto os cabeçalhos IP, TCP e SMTP serão todos criptografados. Esta mensagem, por sua vez, pode ser transmitida por uma conexão TLS. O TLS criptografará as partes TCP e SMTP, criptografando efetivamente o corpo da mensagem duas vezes. O cabeçalho IP não criptografado seria suficiente para transferi-lo do seu computador para o servidor de email. O servidor de email descriptografaria o TLS, permitindo ver que essa é uma mensagem TCP SMTP. Daria isso ao programa SMTP, que poderia enviá-lo para a caixa de entrada correta. Uma vez lá, o leitor de e-mail do usuário teria as informações necessárias para descriptografar o corpo da mensagem.

O número 4 é verdadeiro. Quando um pacote criptografado é enviado, os dados são criptografados, não os endereços de origem e destino.

Dê uma olhada neste pacote de login SSH:

É exibido como um pacote de solicitação criptografado. Como você pode ver, os detalhes de origem e destino são visíveis.

WEP e WPA são tags para a pergunta, que são para redes sem fio. Esses protocolos lidam com a criptografia da camada de rede, mas são usados ​​para impedir que as pessoas que não estão na rede possam ver o que a rede está enviando.

Cada nó em uma rede sem fio deve conhecer a chave de criptografia, para que o roteador da rede possa decodificar todo o tráfego. Acredito que isso implica que qualquer nó conectado a uma rede sem fio criptografada pode cheirar todo o tráfego nessa rede.

Portanto, o WEP e o WPA não protegem contra usuários mal-intencionados que estão na mesma rede que você. Você ainda precisa usar outras camadas de criptografia para ocultar o tráfego delas.

Editar:

Depois de ler sobre o 802.11i (também conhecido como WEP2), vejo que ele usa uma chave separada para pacotes de difusão e multicast (chave temporal do grupo). O tráfego unicast é criptografado usando uma Chave de Transição Pairwise, que é uma chave usada para o tráfego entre a estação base e um dispositivo sem fio. O WEP também funciona dessa maneira. Isso significa que dois dispositivos sem fio não conseguem ler o tráfego um do outro, pois não compartilham a mesma chave.

Eu acredito que o WEP usa uma chave compartilhada para todos os nós.

De qualquer forma, os ambientes corporativos geralmente usam a tecnologia VPN em cima do link sem fio. Essa camada adicional de criptografia fornece segurança desde o dispositivo sem fio até o servidor VPN. Mesmo que a rede sem fio seja detectada, os pacotes VPN ainda serão criptografados.