Autenticación poscuántica mutua sobre IKEv2 – Serie IPsec, parte 8

En la Parte 7 acuñamos certificados post-cuánticos y los pesamos. Pero los certificados guardados en una carpeta son solo la mitad de la diversión. Es hora de que hagan el trabajo para el que nacieron: demostrar la identidad. Levantaremos dos contenedores, cada uno con un certificado, y veremos cómo se demuestran quiénes son el uno al otro antes de que se establezca el túnel. Eso es autenticación mutua, sobre un intercambio IKEv2 real.

Y lo haremos dos veces, y la progresión es todo el punto:

1. ECDSA Clásico (la postura real de hoy), en un strongSwan estable.
2. ML-DSA Post-cuántico (la vanguardia), en una rama experimental.

Esta Parte utiliza el laboratorio authentication/: su propio pequeño stack, separado del de intercambio de claves. Solo se requiere Docker.

Clonar el repositorio

Obtén el repositorio y entra en el directorio de este laboratorio. Todos los comandos a continuación se ejecutan desde ipsec/authentication/:

git clone https://github.com/juliogomez/pqc.git
cd ipsec/pqc/authentication

Cómo funciona la confianza

Ambos pares confían en una pequeña Autoridad de Certificación que levantamos solo para el laboratorio. La CA firma dos certificados finales (uno por par), y cada par tiene el certificado de la CA preinstalado para que pueda verificar al otro lado. Durante el intercambio, cada par envía solo su propio certificado final; la CA ya es conocida por ambos. (Eso mantiene bajos los bytes transmitidos, lo cual importa mucho una vez que los certificados pasan a ser post-cuánticos, como mostró tan claramente la Parte 7). Un script auxiliar, gen-certs.sh, se encarga de toda la acuñación; tú solo le dices qué algoritmo usar.