RFC 4301 – Security Architecture for the Internet Protocol

RFC 4301 spezifiziert die aktualisierte Sicherheitsarchitektur für IP (IPsec) und definiert, wie vertrauenswürdige Sicherheitsdienste auf der IP-Schicht für IPv4- und IPv6-Verkehr bereitgestellt werden. Die Architektur basiert auf drei zentralen Datenbanken: der Security Policy Database (SPD) für die selektorbasierte Zuordnung von Sicherheitsrichtlinien, der Security Association Database (SAD) zur Verwaltung von Sicherheitsassoziationen und der Peer Authorization Database (PAD) für die Authentifizierung von Kommunikationspartnern.

Der Kernmechanismus nutzt die Protokolle Authentication Header (AH) und Encapsulating Security Payload (ESP) sowie das Internet Key Exchange (IKE) für die automatische Schlüsselverwaltung. Sicherheitsassoziationen (SAs) verbinden eindeutig IP-Adressen, Sicherheitsparameterindex (SPI) und Protokolltypen, um Integrität, Authentizität und Vertraulichkeit zu gewährleisten. Die Verarbeitung erfolgt getrennt für ausgehenden und eingehenden Verkehr, wobei Tunnel- und Transportmodus unterschieden werden.

Historisch löste RFC 4301 den Vorgänger RFC 2401 ab und etablierte die bis heute gültige Grundlage für IPsec-Implementierungen. Die Architektur bleibt aktuell, da sie flexible Sicherheitsrichtlinien auf Paketebene ermöglicht und durch die Integration von NAT-Traversal sowie Fragmentierungs- und ICMP-Handling an reale Netzwerkbedingungen angepasst ist.