4. Giao thức ESP
4.8Một số đánh giá ,phê bình của các chuyên gia về ESP
Nhà mật mã học nổi tiếng Bruce Schneier và cộng sự của ông Neil Ferguson đặc biệt chỉ trích kiến trúc của IPSEC và IKE.Hai ông cho rằng sự phức tạp là đối thủ lớn của bảo mật(điều này có thể hiểu là muốn có tính bảo mật càng cao thì đồng nghĩa phải xây dựng các giao thức ngày càng phức tạp).Đương nhiên quan điểm của họlà đúng.Tuy nhiên thật không may là IPSEC
được xây dựng để nhằm vào một trong những lĩnh vực đặc biệt phức tạp và đa phương diện. IPSEC không chỉ nhằm bảo vệ các gói tin IP mà nó còn phải đảm bảo tính tương thích ,sự hợp tác với rất nhiều các giao thức khác,phải đối mặt với một mô hình mạng mở (open –end network
Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 31
Đểđạt được sựđơn giản theo Bruce Schneier và Neil Ferguson nên loại bỏ giao AH và transport mode .Rất nhiều nhà phát triển IPSEC cho rằng giao thức AH nên bị bỏđivà điều này có thể xảy ra trong phiên bản tiếp theo của IPSEC.Tuy nhiên có một số ý kiến đối lập cho rằng có một số
giao thức đòi hỏi sử dụng AH và điều này chống lại ý kiến phải loại bỏ giao thức này.Tiếp theo khi giới hạn tất cả các SA về tunnel mode, hai ông đề xuất nên sử dụng một header phức hợp
nào đó để giúp tiết kiệm kích thước gói thêm vào khi sử dụng tunnel mode nếu chúng không thật sự cần thiết.Các tác giả thú nhận rằng họ không phải là các chuyên gia về mạng máy tính.Những chuyên gia làm việc trong lĩnh vực này kiên quyết bảo vệ rằng việc bao gồm cả transport mode và tunnel mode là do sự tất yếu của kiến mạng máy tính.
Bruce Schneier và Neil Ferguson không hài lòng với trình tự xử lí của giao thức ESP.Hai ông cho rằng gói tin đi ra ngoài cần được xác thực trước khi mã hóa.Trình tựnày được lựa chọn một cách có chủ ý giúp gói tin inbound nếu không xác thực đúng sẽ không cần phải trải qua việc giải mã tốn thời gian,chi phí.Các tác giả dẫn ra một tình huống khi các quá tình xác thực và mã hóa
khóa chưa hoàn thành,do đó một gói tin sau khi đã được xác thực đúng chưa chắc đảm bảo sẽ được giả mã đúng.Để giải quyết vấn đềnày mà không làm thay đổi trình tự của việc xử lí ESP,hai ông cho rằng nên xác thực cả khóa giải mã và các dữ liệu cần dùng trong mã hóa cùng với dữ liệu của gói tin.Vềphía đối lập ,các chuyên gia mật mã (những người đã tham gia và quá trình xây dựng IPSEC) hài lòng với trình tự này và cho rằng không cần thiết phải xác thực thêm một số dữ liệu như trên.Ngoài ra ,khi IKE thỏa thuận về khóa việc xác thực và mã hóa khóa của ESP là một thành phần của cả quá trình tổng thể.
Các tác giả cho rằng việc sử dụng các SA không định hướng là một điều không thực sự cần thiết,có thểlàm tăng kích thước của SAD.Họđề xuất một SA có hai hướng,cách làm này có thể
làm giảm kích thước của SAD.Tuy nhiên một entry SAD đơn lẻ không thể cho phép một phía có thể lựa chọn cho nó giá trị SPI inbound.Một entry kép.mỗi cái với một SPI riêng của nó có thể làm cho kích thước SAD lớn trở lại.Ngoài ra IPSEC còn được sử dụng trong tình huống các truyền thông chỉđược thực hiện theo một hướng(trong multicast).