Протокол ESP

Протокол ESP решает две группы задач. К первой относятся задачи, аналогич­ные задачам протокола АН, — это обеспечение аутентификации и целостности данных на основе дайджеста, а ко второй — защита передаваемых данных путем их шифрования от несанкционированного просмотра.

Как видно на рис. 24.12, заголовок делится на две части, разделяемые полем дан­ных. Первая часть, называемая собственно заголовком ESP, образуется двумя полями (SPI и SN), назначение которых аналогично одноименным полям прото­кола АН, и размещается перед полем данных. Остальные служебные поля прото­кола ESP, называемые концевиком ESP, расположены в конце пакета.

Два поля концевика — следующего заголовка и данных аутентификации — также аналогичны полям заголовка АН. Поле данных аутентификации отсутствует, если при установлении безопасной ассоциации принято решение не использовать воз­можностей протокола ESP по обеспечению целостности. Помимо этих полей концевик содержит два дополнительных поля — заполнителя и длины заполни­теля. Заполнитель может понадобиться в трех случаях. Во-первых, для нормаль­ной работы некоторых алгоритмов шифрования необходимо, чтобы шифруемый текст содержал кратное число блоков определенного размера. Во-вторых, фор­мат заголовка ESP требует, чтобы поле данных заканчивалось на границе четырех байтов. И наконец, заполнитель можно использовать, чтобы скрыть действитель­ный размер пакета в целях обеспечения так называемой частичной конфиденци­альности трафика. Правда, возможность маскировки ограничивается сравни­тельно небольшим объемом заполнителя — 255 байт, поскольку большой объем избыточных данных может снизить полезную пропускную способность канала связи.

На рис. 24.12 показано размещение полей заголовка ESP в транспортном режи­ме. В этом режиме ESP не шифрует заголовок IP-пакета, иначе маршрутизатор не сможет прочитать поля заголовка и корректно осуществить продвижение па­кета между сетями. В число шифруемых полей не попадают также поля SPI и SN, которые должны передаваться в открытом виде для того, чтобы прибыв­ший пакет можно было отнести к определенной ассоциации и защититься от ложного воспроизведения лакета.

В туннельном режиме заголовок исходного IP-пакета помещается после заголов­ка ESP и полностью попадает в число защищаемых полей, а заголовок внешнего IP-пакета протоколом ESP не защищается (рис. 24.13).