Zusammenfassung

  • Das 64-Bit-Feld Replay Prevention war pro SA optional; der SPI wählte einen Zustand mit oder ohne Feld.
  • Der Zähler begann bei 1, durfte unter demselben Schlüssel nicht umlaufen, und jeder Empfänger bestimmte sein begrenztes Fenster, ohne einen Wert zweimal anzunehmen.
  • Gültiger HMAC und ungesehener Zähler belegten lokale Zulässigkeit unter einer geteilten SA, nicht Multicast-Sender, globale Zeit, Zustellung, Autorisierung oder Anwendungserfolg.

Ein gültig authentifiziertes IP-Paket konnte eine exakte Kopie eines alten Pakets sein. Der MAC passte weiterhin, weil sich die Bytes nicht geändert hatten. RFC 2085 gab eine enge Antwort: Auch ein Zähler wurde authentifiziert, und der Empfänger erinnerte sich an bereits zugelassene Werte.

Der SPI wählte die Feldpräsenz

Das optionale Feld lag zwischen SPI und Authentication Data. Ohne Replay Prevention folgten die Authentifizierungsdaten unmittelbar auf den SPI. Nach RFC 1826 fand der Empfänger über ihn eine unidirektionale SA mit Algorithmus, Schlüssel, Modus und Zustand. Das war ein Verarbeitungsvertrag, keine menschliche Identität.

Der Zähler stieg ab 1; der gemeinsame Schlüssel musste vor einem Umlauf bei 2^64 ersetzt werden. War das Feld vorhanden, ging es in den HMAC ein. Ohne Schlüssel konnte niemand eine alte Zahl austauschen und den MAC erhalten. Dennoch blieben Authentifizierung und Frische getrennt: Der HMAC band Paket und Zahl an das Geheimnis, der Empfängerzustand entschied über die Zulassung.

Steigend bedeutete nicht geordnet angekommen

RFC 2085 erlaubte Umordnung und überließ die Fenstertiefe der Implementierung. Fest stand: Jeder angenommene Wert musste zuvor ungesehen sein.

Eine Zahl unter dem Maximum konnte ein legitimes verspätetes Paket sein, wenn sie im Fenster lag und ihr Seen-Bit frei war. Links davon war sie zu alt, markiert war sie ein Duplikat, rechts konnte sie nach erfolgreicher Authentifizierung das Fenster verschieben. RFC 6479 beschrieb dieses Modell später als Bereich mit Empfangsbits und erklärte größere Fenster bei paralleler Kryptoverarbeitung.

Das Fenster war Empfängerpolitik, keine globale Uhr. Zwei Empfänger konnten Reihenfolge und Breite verschieden sehen. Eine Lücke bewies keinen Verlust, Verspätung keinen Angriff, Annahme durch A keine Annahme durch B. Der genaue Beleg lautete nur: Unter dieser SA und diesem Zustand war diese authentifizierte Zahl noch nicht zugelassen.

Geteiltes Multicast verlor die Senderlinie

RFC 2085 benannte die Grenze selbst. Teilten mehrere Sender dieselbe SA zu einem Multicast-Ziel, sollte Replay Protection nicht aktiviert werden. War sie erforderlich, sollte jeder Sender eine eigene SA erhalten.

Der HMAC funktionierte weiterhin; jeder Geheimnisträger konnte ihn bilden. Es fehlte die Eigentümerschaft am Zähler. Unabhängige Sender, die bei 1 beginnen, kollidieren sofort. Jeder lokale Zähler kann gesund steigen, während der Gesamtstrom Werte wiederholt. Die Spezifikation definierte keinen Mehrsender-Sequencer.

Getrennte SAs stellten die Linie wieder her: SPI und Zustand wiesen jedes Paket der richtigen Historie zu. Abschalten der Prüfung erkannte an, dass Gruppenauthentifizierung blieb, aber keine Aussage über Erstgebrauch.

RFC 4302 behielt diese Grenze bei, machte die Sequenzzahl jedoch verpflichtend und führte logische 64-Bit-ESN ein. Das erklärt den späteren Weg, ändert aber nicht RFC 2085s direkt übertragenes optionales 64-Bit-Feld.

Ein geteilter MAC bewies Schlüsselbesitz, nicht den einzelnen Sprecher

RFC 1826 warnte, dass symmetrische Schlüsselinhaber auch Verkehr eines anderen legitimen Teilnehmers vortäuschen konnten. Ein erfolgreicher HMAC belegte Geheimnisbesitz und Integrität des Abgedeckten, unterschied aber keine Gruppenmitglieder.

Der Zähler begrenzte danach die Annahme; er machte aus dem Gruppengeheimnis keine individuelle Signatur. AH lieferte auch keine Vertraulichkeit. Ein Paket konnte für die SA echt und für das Fenster frisch sein, ohne Anwendungsautorisierung, Zustellung oder dauerhafte Wirkung.

Prüfungen müssen SA-Suche, Feldpräsenz, Zähler, Fensterposition, Seen-Zustand, HMAC, Paketannahme, Anwendungsempfang, Autorisierung und Wirkung trennen. Der Zähler nannte nicht den Sender, sondern eine Stelle in der Annahmehistorie eines Empfängers.

Quellen