RFC 4302 – IP Authentication Header

RFC 4302 definiert den IP Authentication Header (AH) für IPv4 und IPv6 und löst RFC 2402 ab. AH bietet verbindungslose Integrität, Datenursprungsauthentifizierung und optionalen Anti-Replay-Schutz für IP-Datagramme. Im Gegensatz zu ESP verschlüsselt AH keine Nutzdaten, sondern sichert einen Großteil des IP-Headers und die darüberliegenden Protokolldaten durch einen Integritätsprüfwert (ICV). Veränderliche IP-Header-Felder werden dabei ausgespart, da sich ihr Wert während der Übertragung ändern kann.

Der Kernmechanismus basiert auf einem Security Association (SA)-Kontext, der Parameter wie den Security Parameters Index (SPI) und die Sequenznummer festlegt. Für ausgehende Pakete berechnet der Sender den ICV über den IP-Header (ohne mutable Felder), den AH-Header und die Nutzdaten. Der Empfänger überprüft diesen ICV nach demselben Verfahren und kann über die Sequenznummer eingehende Pakete gegen Replay-Angriffe absichern. AH unterstützt zwei Betriebsmodi: Transportmodus, bei dem nur die höheren Protokollschichten authentifiziert werden, und Tunnelmodus, bei dem das gesamte ursprüngliche IP-Paket gekapselt wird.

Historisch gesehen war AH ein zentraler Bestandteil der IPsec-Architektur, bevor ESP um integritätssichernde Funktionen erweitert wurde. In der Praxis wird AH heute seltener eingesetzt, da ESP die gleichen Dienste bieten kann und zudem Verschlüsselung ermöglicht. Der Standard bleibt jedoch relevant für Szenarien, in denen eine reine Authentifizierung ohne Vertraulichkeit gefordert ist oder wenn IP-Header-Felder außerhalb von Tunneln geschützt werden müssen.