7.2. SSM and RFC 2401 IPsec Caveats (Avvertenze su SSM e IPsec RFC 2401)

Per le implementazioni esistenti di IPsec RFC 2401, ora sostituito da [RFC4301], esistono alcune avvertenze relative a SSM. In IPsec RFC 2401, l'indirizzo sorgente non viene usato come parte della chiave nella ricerca nella SAD. Di conseguenza, due mittenti che per caso usano lo stesso indirizzo di destinazione SSM e lo stesso Security Parameter Index (SPI) entrano in "collisione" nella SAD di qualsiasi host che riceva entrambi i canali. Poiché gli indirizzi di canale e gli SPI sono allocati autonomamente dai mittenti, non esiste un mezzo ragionevole per garantire che ciascun mittente usi un indirizzo di destinazione o uno SPI univoco.

Si verifica un problema se un ricevitore si iscrive simultaneamente a due canali non correlati che usano IPsec, le cui sorgenti usano per caso lo stesso indirizzo IP di destinazione (IPDA) e lo stesso SPI IPsec. Poiché gli indirizzi di destinazione dei canali sono allocati autonomamente dai mittenti, due host qualunque possono usare simultaneamente lo stesso indirizzo di destinazione, e non esiste un mezzo ragionevole per garantire che ciò non accada. Tuttavia, la tupla <IPDA,SPI> è composta da 56 bit che sono generalmente scelti in modo casuale, 24 bit dell'indirizzo IP di destinazione e 32 bit dello SPI, e una collisione casuale è improbabile.

Se si verifica una collisione di questo tipo, il ricevitore non potrà ricevere simultaneamente traffico protetto da IPsec dalle due sorgenti in collisione. Un ricevitore può rilevare questa condizione notando che riceve traffico da due sorgenti diverse con lo stesso SPI e lo stesso indirizzo di destinazione SSM.