Questão de Tecnologia da Informação · CESGRANRIO Transpetro PSP-RH-2018.1 (nº 35)

O IPsec protege dados em pacotes IP de duas formas: modo transporte (protege só a carga útil) e modo túnel (protege o pacote inteiro, encapsulando-o em um novo pacote IP). O protocolo que executa esse encapsulamento total é o ESP, que além de autenticar, criptografa o payload e o cabeçalho original, criando um novo envelope.

• (A) Incorreta: O AH (Authentication Header) faz autenticação e integridade, mas não criptografa e não tunela o pacote inteiro — ele apenas adiciona um cabeçalho de autenticação, deixando o pacote original visível.
• (B) Correta: O ESP (Encapsulating Security Payload) é o protocolo que encapsula (tunela) o pacote IP original inteiro, adicionando um novo cabeçalho IP e protegendo com criptografia e autenticação. É exatamente o que a questão pede: "tunelamento do pacote original inteiro".
• (C) Incorreta: O IKE (Internet Key Exchange) é o protocolo de gerenciamento de chaves — ele negocia e estabelece as associações de segurança (SAs), mas não faz o tunelamento dos dados em si.
• (D) Incorreta: O ISAKMP (Internet Security Association and Key Management Protocol) é um framework para negociação de SAs e chaves, base do IKE. Também não tunela pacotes.
• (E) Incorreta: O PPTP (Point-to-Point Tunneling Protocol) é um protocolo de tunelamento antigo e inseguro, usado em VPNs legadas, mas não faz parte do conjunto IPsec. A banca coloca aqui para testar se você confunde "túnel" genérico com o túnel específico do IPsec.

Armadilha da banca: O distrator mais tentador é o AH, pois muitos alunos lembram que o AH "autentica o pacote" e acham que ele também tunela. Mas o AH não criptografa e, no modo túnel, ele só autentica o pacote original, não o encapsula com um novo cabeçalho IP — quem faz o encapsulamento completo (túnel) é o ESP.