IPsec ESP

Наличие ESP не означает автоматически определённый шифр или даже конфиденциальность. Нужно читать алгоритмы и параметры каждой действующей ассоциации.

1. 01

   ESP способен обеспечивать конфиденциальность, целостность, проверку источника и защиту от повторов, но выбранный набор зависит от ассоциации безопасности.

   Граница применимости: Обработка ESP и согласование алгоритмов по RFC 4303.

2. 02

   Наличие пакетов ESP не доказывает требуемую политику без проверки алгоритмов ассоциации, направления, SPI и селекторов.

   Граница применимости: Эксплуатационная проверка трафика СХД под защитой IPsec.

1. Запишите SPI и направление.
2. Проверьте набор шифрования и контроля целостности.
3. Следите за счётчиками повторов и ошибок.

• Первичная спецификация

  RFC 4303: IP Encapsulating Security Payload

  Internet Engineering Task Force · RFC 4303, December 2005

  Определяет ESP packet format и optional confidentiality, integrity, data-origin authentication и anti-replay services.

  Открыть первоисточник ↗
• Первичная спецификация

  RFC 4301: Security Architecture for the Internet Protocol

  Internet Engineering Task Force · RFC 4301, December 2005

  Определяет IPsec architecture, Security Associations, policy boundaries, transport/tunnel modes и автоматическое key management через IKEv2.

  Открыть первоисточник ↗