要約

  • 実装必須のアルゴリズムは相互運用の可能性を示すだけで、あるピア対が選んだアルゴリズムを示さない。
  • 提案、選択、ローカル方針、認証、SA、ESP、アプリケーション結果は別々の記録を要する。

IKE は IPsec SA のパラメータを交渉するが、RFC 8247 は各ピアがローカル方針により異なるアルゴリズムを交渉できると明記する。実装したことは offer ではない。offer は selection ではない。selection は認証済み IKE SA の成立でもない。

正確な記録には、ピア識別子、提案、選択 transform、方針判断、認証結果、SA 識別子と時刻、必要なら Child SA を結び付ける。これなしに「RFC 8247 準拠」を実際の接続暗号として報告してはならない。

同 RFC は ESP パケット暗号アルゴリズムを更新しない。従って IKEv2 の基準はデータ面の証拠にならない。ESP による保護には対応する SA とパケット観測、相手への到着やサービス完了には別の観測が必要である。IANA registry は名称を示しても、実行中の交渉を見ない。

Heng Lu の最小事実の規律に従い、要件、ビルドのサポート、提案、選択、SA、パケットを混同しない。Wouters は集団標準の共同著者であり、製品やネットワークの運用者を意味しない。

出典