7.2. SSM e avvertenze su IPsec RFC 2401

Per le implementazioni esistenti di IPsec RFC 2401 (ora sostituito da [RFC4301]), ci sono alcune avvertenze relative a SSM. Sono elencate qui. In IPsec RFC 2401, l'indirizzo sorgente non viene utilizzato come parte della chiave nella ricerca SAD. Di conseguenza, due mittenti che utilizzano per caso lo stesso indirizzo di destinazione SSM e lo stesso Security Parameter Index (SPI) "entreranno in collisione" nella SAD di qualsiasi host che riceve entrambi i canali. Poiché sia gli indirizzi dei canali sia gli SPI sono allocati autonomamente dai mittenti, non esiste alcun mezzo ragionevole per garantire che ciascun mittente utilizzi un indirizzo di destinazione o uno SPI univoci.

Sorge un problema se un ricevitore si abbona simultaneamente a due canali non correlati che utilizzano IPsec, le cui sorgenti utilizzano per caso lo stesso indirizzo di destinazione IP (IPDA) e lo stesso SPI IPsec. Poiché gli indirizzi di destinazione dei canali sono allocati autonomamente dai mittenti, due host qualsiasi possono utilizzare contemporaneamente lo stesso indirizzo di destinazione e non esiste alcun mezzo ragionevole per garantire che ciò non accada. La tupla <IPDA,SPI>, tuttavia, è composta da 56 bit generalmente scelti in modo casuale (24 bit della destinazione IP e 32 bit dello SPI), ed è improbabile che si verifichi un conflitto per puro caso.

Se si verifica tale collisione, un ricevitore non sarà in grado di ricevere simultaneamente il traffico protetto da IPsec proveniente dalle due sorgenti in collisione. Un ricevitore può rilevare questa condizione notando che sta ricevendo traffico da due sorgenti diverse con lo stesso SPI e lo stesso indirizzo di destinazione SSM.