メインコンテンツまでスキップ

Appendix A. Summary of Changes from IKEv1 (IKEv1 からの変更点の要約)

Appendix A. Summary of Changes from IKEv1 (IKEv1 からの変更点の要約)​

本改訂における Internet Key Exchange (インターネット鍵交換, IKE) の目標は次のとおりです.

  1. IKE プロトコル全体を単一の文書で定義し, RFC 2407, 2408, 2409 に代え, NAT traversal (NAT トラバーサル), Extensible Authentication (拡張可能な認証), および Remote Address acquisition (リモートアドレス取得) を支援する後続の変更を取り込むこと;

  2. 8 種類の異なる初期交換を単一の 4 メッセージ交換に置き換えて IKE を簡素化すること (認証機構の変更は AUTH ペイロード 1 つのみに影響し, 交換全体の再構成を要しない). 詳しくは [EXCHANGEANALYSIS] を参照;

  3. Domain of Interpretation (解釈領域, DOI), Situation (状況, SIT), Labeled Domain Identifier (ラベル付きドメイン識別子) フィールド, および Commit (コミット) ビットと Authentication only (認証のみ) ビットを削除すること;

  4. 初期交換を 2 往復 (4 メッセージ) とし, その交換に Child Security Association (子 SA, Child SA) のセットアップを piggyback (同梱) できるようにして, 典型的な場合の IKE の遅延を減らすこと;

  5. IKE メッセージ自体を保護するための暗号構文を, Encapsulating Security Payload (カプセル化セキュリティペイロード, ESP) に密接に基づくものに置き換え, 実装とセキュリティ分析を簡素化すること;

  6. プロトコルを信頼できるもの (すべてのメッセージが確認応答される) にし, 順序付けすることで可能なエラー状態の数を減らすこと. これにより CREATE_CHILD_SA 交換を 3 メッセージから 2 メッセージに短縮できる;

  7. 発信者が主張する IP アドレスでメッセージを受信できることを証明するメッセージを受信するまで, 応答者が大きな処理を行わなくてよいようにして堅牢性を高めること;

  8. 認証に用いるハッシュの対称性に関する問題などの暗号的弱点を修正すること (Tero Kivinen により文書化);

  9. Traffic Selector (トラフィックセレクタ) を ID ペイロードに重畳するのではなく独自のペイロード型で指定し, 指定可能なトラフィックセレクタをより柔軟にすること;

  10. 特定のエラー条件や, 理解できないデータを受信したときの必須動作を指定し, 後方互換を壊さない将来の改訂を容易にすること;

  11. ネットワーク障害や Denial of Service (サービス拒否, DoS) 攻撃がある場合の共有状態の維持方法を簡素化し明確にすること; および

  12. 可能な限り既存の構文と magic numbers (マジックナンバー) を維持し, IKEv1 実装が最小限の労力で IKEv2 をサポートできるようにすること.

に最終更新