7.2. Mises en garde SSM et RFC 2401 IPsec (SSM and RFC 2401 IPsec Caveats)

Il existe certaines mises en garde liées au SSM (Source-Specific Multicast, multicast spécifique à la source) pour les implémentations existantes d'IPsec RFC 2401 (désormais remplacé par [RFC4301]). Elles sont listées ici. Dans IPsec RFC 2401, l'adresse source n'est pas utilisée comme partie de la clé dans la recherche SAD (Security Association Database, base de données d'associations de sécurité). En conséquence, deux émetteurs utilisant exactement la même adresse de destination SSM et le même SPI (Security Parameter Index, index de paramètre de sécurité) entreront en « collision » dans la SAD de tout hôte recevant les deux canaux. Étant donné que l'adresse du canal et le SPI sont tous deux attribués de manière autonome par l'émetteur, il n'existe aucun moyen raisonnable de garantir que chaque émetteur utilise une adresse de destination ou un SPI unique.

Un problème survient si un récepteur est simultanément abonné à deux canaux non liés utilisant IPsec, dont les sources utilisent par hasard la même adresse IP de destination (IPDA) et le même SPI IPsec. Étant donné que l'adresse de destination du canal est attribuée de manière autonome par l'émetteur, deux hôtes quelconques peuvent utiliser simultanément la même adresse de destination, et il n'existe aucun moyen raisonnable de garantir que cela ne se produira pas. Cependant, le tuple <IPDA, SPI> est composé de 56 bits généralement choisis aléatoirement (24 bits pour la destination IP et 32 bits pour le SPI), ce qui rend une collision par hasard peu probable.

Si une telle collision se produit, le récepteur sera incapable de recevoir simultanément le trafic protégé par IPsec provenant des deux sources en conflit. Le récepteur PEUT détecter cette situation en remarquant qu'il reçoit du trafic avec le même SPI et la même adresse de destination SSM provenant de deux sources différentes.