คำถามเกี่ยวกับ IPSEC ESN

คุณลักษณะ ESN อธิบายไว้ใน RFC 4303 นี่คือคำถามที่รบกวนจิตใจฉัน:

1. เมื่อใช้ ESN ร่วมกับ AES_GCM หรือ AES_GMAC alogrithom ฉันจำเป็นต้องเพิ่มบิต ESN ลำดับสูงลงในแพ็กเก็ตหรือไม่
   ตาม RFC 4303: หากใช้อัลกอริทึมโหมดรวม ตัวเลือกอัลกอริทึมจะกำหนดว่าบิต ESN ลำดับสูงถูกส่งหรือรวมโดยปริยายในการคำนวณ ตาม RFC 4106 กล่าวว่าบิต ESN จำเป็นต้องเป็นส่วนหนึ่งของรูปแบบ AAD หมายความว่าบิต ESN จะต้องเพิ่มลงในแพ็กเก็ตหรือไม่

2. อัลกอริทึมใดที่เราต้องเพิ่ม icv padding เมื่อใช้ ESN ในภาพนี้จาก RFC4303 การเติม icv จะเพิ่มในบางกรณี แต่ฉันเห็นอัลกอริทึม hmac ไม่จำเป็นต้องเพิ่มการเติมเมื่อคำนวณ icv

ตาม RFC 4106 กล่าวว่าบิต ESN จำเป็นต้องเป็นส่วนหนึ่งของรูปแบบ AAD หมายความว่าบิต ESN จะต้องเพิ่มลงในแพ็กเก็ตหรือไม่

ไม่ ข้อมูลตรวจสอบความถูกต้องเพิ่มเติม (AAD) ที่รวมอยู่ในการคำนวณ AES-GCM จะไม่ถูกส่งไปในแบบฟอร์มนั้น นั่นคือประเด็นทั้งหมดของ AAD ไม่ใช่ส่วนหนึ่งของข้อมูลที่เข้ารหัส

อัลกอริทึมโหมดรวมสามารถจำลองหมายเลขลำดับที่สมบูรณ์ (และ SPI) ในข้อมูล Payload ของ ESP ได้ในทางทฤษฎี หากไม่ได้ใช้ AAD แต่รับรองความถูกต้องเฉพาะข้อมูลที่เข้ารหัสเท่านั้น (ดูส่วนที่ 2 ของ RFC 4303) ต้องกำหนดรูปแบบของข้อมูลนั้นสำหรับแต่ละอัลกอริทึม ดังที่คุณเห็นในส่วนที่ 3 ของ RFC 4106 AES-GCM ไม่ต้องการการเข้ารหัส SPI และหมายเลขลำดับ เพียง IV

อัลกอริทึมใดที่เราต้องเพิ่ม icv padding เมื่อใช้ ESN

ดูส่วนท้ายของส่วน 3.3.2.1 ของ RFC 4303 ซึ่งอธิบายว่าการเติมโดยนัยนี้อาจจำเป็นสำหรับอัลกอริทึมความสมบูรณ์ที่ต้องการให้อินพุตมีหลายขนาดบล็อกเฉพาะ HMAC จัดการช่องว่างภายในให้กับขนาดบล็อกภายใน ดังนั้น IPsec จึงไม่ต้องเพิ่มช่องว่างภายในเพิ่มเติม (ดูเช่น หัวข้อ 2.2 ของ RFC 4868)