2.7. Traffic Flow Confidentiality (TFC) Padding (流量流机密性填充)

如上所述, Padding 字段的长度限制为 255 字节。这通常不足以隐藏相对于流量流机密性要求的流量特征。在载荷数据中提供了一个可选字段, 专门用于解决 TFC 要求。

IPsec 实现应该能够通过在 Payload Data 结束后, Padding 字段开始前添加字节来填充流量。但是, 只有当 Payload Data 字段包含 IP 数据报长度的规范时, 才能添加此填充 (以下称为 TFC 填充)。这在隧道模式下始终为真, 在传输模式下可能为真, 具体取决于下一层协议 (例如 IP, UDP, ICMP) 是否包含显式长度信息。此长度信息将使接收方能够丢弃 TFC 填充, 因为 Payload Data 的真实长度是已知的。(ESP 尾部字段通过从 ESP 报文末尾向回计数来定位。) 因此, 如果添加了 TFC 填充, 则包含 IP 数据报长度规范的字段绝对不能修改以反映此填充。本标准没有对此填充值建立任何要求。

原则上, 现有的 IPsec 实现可以以透明方式使用此功能。但是, 由于接收方可能没有准备好处理此填充, SA 管理协议必须在发送方使用它之前协商此服务, 以确保向后兼容性。结合上面第 2.6 节中描述的关于使用协议 ID 59 的约定, ESP 实现能够生成表现出更大长度可变性的虚拟和真实报文, 以支持 TFC。

实现应该提供本地管理控制, 以在每个 SA 基础上启用此功能的使用。控制应允许用户指定是否使用此功能, 并为该功能提供参数控制。