Internetna izmenjava ključev (IKE) je nabor podpornih protokolov, ki jih je ustvarila delovna skupina za internetno inženirstvo (IETF) in se uporablja s standardi za varnost internetnega protokola (IPSec) za zagotavljanje varne komunikacije med dvema napravama ali enakovrednimi napravami prek omrežja. Kot protokol se IKE lahko uporablja v številnih programskih aplikacijah. Eden pogostih primerov je postavitev varnega navideznega zasebnega omrežja (VPN). Čeprav je standardna na skoraj vseh sodobnih računalniških operacijskih sistemih in omrežni opremi, je večina tega, kar počne internetna izmenjava ključev, skrita pred očmi povprečnega uporabnika.
Protokoli v IKE vzpostavljajo tako imenovano varnostno združenje (SA) med dvema ali več enakovrednimi osebami prek IPSec, ki je potrebno za vsako varno komunikacijo prek IPSec. SA opredeljuje kriptografski algoritem, ki se uporablja v komunikaciji, šifrirne ključe in njihove datume poteka; vse to gre nato v bazo podatkov varnostnih asociacij (SAD) vsakega vrstnika. Medtem ko lahko IPSec svoj SA konfigurira ročno, se internetna izmenjava ključev samodejno pogaja in vzpostavi varnostne povezave med enakovrednimi, vključno z možnostjo ustvarjanja lastnih.
Internetna izmenjava ključev je znana kot hibridni protokol. IKE uporablja okvir protokola, znan kot Internet Security Association and Key Management Protocol (ISAKMP). ISAKMP zagotavlja IKE zmožnost vzpostavitve SA in opravlja naloge definiranja formata koristnega tovora podatkov in odločanja o protokolu za izmenjavo ključev, ki bo uporabljen. ISAKMP lahko uporablja več metod za izmenjavo ključev, vendar njegova implementacija v IKE uporablja vidike dveh. Večina procesa izmenjave ključev uporablja metodo OAKLEY Key Determination Protocol (OAKLEY), ki opredeljuje različne načine, vendar IKE uporablja tudi nekaj metode Source Key Exchange Mechanism (SKEME), ki omogoča šifriranje javnega ključa in ima možnost hitro osvežite ključe.
Ko želijo vrstniki varno komunicirati, drug drugemu pošiljajo tako imenovani »zanimiv promet«. Zanimiv promet so sporočila, ki so v skladu s politiko IPSec, ki je bila vzpostavljena na enakovrednih. En primer tega pravilnika, ki ga najdemo v požarnih zidovih in usmerjevalnikih, se imenuje seznam dostopa. Seznamu dostopa je dana kriptografska politika, s katero določeni stavki znotraj pravilnika določajo, ali naj bodo določeni podatki, poslani prek povezave, šifrirani ali ne. Ko so vrstniki, ki jih zanima varna komunikacija, med seboj uskladili varnostno politiko IPSec, se začne postopek izmenjave internetnih ključev.
Postopek IKE poteka v fazah. Številne varne povezave se začnejo v nezavarovanem stanju, zato se v prvi fazi pogajajo, kako bosta enakovredna partnerja nadaljevala proces varne komunikacije. IKE najprej potrdi identiteto enakovrednih in nato zavaruje njihove identitete z določitvijo, katere varnostne algoritme bosta uporabljala oba enakovredna. Z uporabo protokola kriptografije z javnim ključem Diffie-Hellman, ki je sposoben ustvariti ujemajoče se ključe prek nezaščitenega omrežja, internetna izmenjava ključev ustvari ključe sej. IKE konča 1. fazo z ustvarjanjem varne povezave, tunela, med enakovrednimi napravami, ki se bodo uporabljali v 2. fazi.
Ko IKE vstopi v fazo 2, enakovredni uporabijo novo IKE SA za nastavitev protokolov IPSec, ki jih bodo uporabljali med preostankom svoje povezave. Vzpostavljena je avtentikacijska glava (AH), ki bo preverila, ali so poslana sporočila prejeta nedotaknjena. Pakete je treba tudi šifrirati, zato IPSec nato uporabi enkapsulacijski varnostni protokol (ESP) za šifriranje paketov in jih varuje pred radovednimi očmi. AH se izračuna na podlagi vsebine paketa, paket pa je šifriran, tako da so paketi zaščiteni pred vsemi, ki poskušajo pakete zamenjati z lažnimi ali prebrati vsebino paketa.
IKE med 2. fazo izmenjuje tudi kriptografske nonce. Enkratna številka je številka ali niz, ki se uporablja samo enkrat. Nonce nato uporabi enakovredni, če mora ustvariti nov skrivni ključ ali preprečiti, da bi napadalec ustvaril ponarejene SA-je, s čimer prepreči tako imenovani napad ponovnega predvajanja.
Prednosti večfaznega pristopa za IKE so, da lahko z uporabo SA faze 1 kateri koli enakovrednik kadar koli sproži fazo 2, da se ponovno pogaja o novem SA, da zagotovi, da komunikacija ostane varna. Ko internetna izmenjava ključev zaključi svoje faze, se za izmenjavo informacij ustvari tunel IPSec. Paketi, poslani prek tunela, so šifrirani in dešifrirani v skladu s SA, vzpostavljenimi med 2. fazo. Ko je končan, se tunel konča tako, da poteče na podlagi vnaprej določene časovne omejitve ali po prenosu določene količine podatkov. Seveda lahko dodatna pogajanja za fazo 2 IKE ohranijo predor odprt ali pa začnejo nova pogajanja za 1. in 2. fazo za vzpostavitev novega, varnega predora.