4. Giao thức ESP
4.9 Lý do sử dụng hai tiêu đề bảo vệ
Ta có thể dễ dàng nhận thấy rằng ESP cung cấp sự xác thực như AH ngoài ra còn cung cấp thêm cả việc bảo vệtính riêng tư .Vậy việc sử dụng hai tiêu đề riêng biệt có thật sự cần thiết?
Câu trả lời cho câu hỏi này liên quan đến lịch sử và chính trị.Một số quốc gia cấm xuất khẩu các phần mềm thực hiện hoặc hỗ trợ việc mã hóa.Phiên bản đầu của RFC tách biệt phần có thể xuất khẩu được là AH với phần liên quan đến vấn đề về vũ khí chiến tranh (ESP header)( vì một số
quốc gia cho rằng các phần mềm mã hóa là một vũ khí chiến tranh).Trong dạng nguyên thủy của nó,ESP header chỉ cung cấp việc mã hóa nếu việc xác thực được yêu cầu thì cảhai tiêu đềđược sử dụng.Bởi vì một gói tin đã được mã hóa mà chưa được xác thực tạo lỗ hổng cho một số loại tấn công sửa đổi dữ liệu ( modification attack).Mỗi gói tin đã được mã hóa cần phải xác thực,việc này yêu cầu hai SA riêng biệt và phân chia công bằng các xử lí không cần thiết cho mỗi gói tin đã bảo vệ.Do đó trong bản thứ hai của RFC(RFC 2402 và RFC 2406),tính xác thực
Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 32
được đưa vào ESP header.Từđây ESP header luôn cung cấp việc mã hóa còn việc xác thực là một tùy chọn.Việc định nghĩa null encycrypt algorithm là một thuật toán mã hóa cho phép ESP cung cấp sự xác thực mà không cung cấp sự mã hóa.
Có thể khẳng định rằng AH bảo vệcác tiêu đề không được cung cấp bởi ESP,cụ thểlà địa chỉ
nguồn và địa chỉđích.Tuy nhiên việc xác thực của quá trình trao đổi khóa gắn địa chỉ của các bên tham gia với khóa ,điều này là đủđể cung cấp sự bảo vệđịa chỉ nguồn và địa chỉđích.Ngòai ra quá trình xử lí với AH phải đối mặt với nhiều vấn đề phức tạp như là việc phân biệt giữa các loại dữ liệu immutable và mutable …đểđưa vào hàm băm,điều này phức tạp hơn so với
ESP.Việc giữ lại giao thức AH là do các lí do về chính trị,cũng như tránh việc thường xuyên thay
đổi giao thức IP ,một giao thức đã và đang sử dụng.Tuy nhiên sẽđến một thời điểm giao thức AH sẽ bị loại bỏ hoặc chuyển thành một thành phần tùy chọn trong IPSEC