RFC 4303 – IP Encapsulating Security Payload (ESP)

RFC 4303 spezifiziert das aktualisierte Encapsulating Security Payload (ESP) Protokoll für IPv4 und IPv6. Es ist Teil der IPsec-Architektur und dient dem Schutz von IP-Paketen durch eine Kombination aus Vertraulichkeit (Verschlüsselung), Datenursprungsauthentisierung, verbindungsloser Integrität, Anti-Replay-Schutz sowie eingeschränkter Verkehrsflussvertraulichkeit. Das Protokoll kann zwischen Hosts, zwischen Sicherheitsgateways oder zwischen einem Gateway und einem Host eingesetzt werden und ersetzt die Vorgängerversion RFC 2406.

Der Kern des Protokolls besteht aus einem ESP-Header, der zwischen dem IP-Header und den Nutzdaten platziert wird. Im Transportmodus schützt er die Transportschicht, im Tunnelmodus das gesamte originale IP-Paket. Der Header enthält einen Security Parameters Index (SPI) zur Identifikation der Security Association, eine Sequenznummer für den Anti-Replay-Schutz, die verschlüsselten Nutzdaten, optionale Padding-Felder sowie einen Integrity Check Value (ICV). Der Sender berechnet ICV und Verschlüsselung, der Empfänger prüft Sequenznummer und ICV vor der Entschlüsselung.

Historisch löst RFC 4303 das ältere RFC 2406 ab und stellt die standardisierte Basis für ESP in modernen IPsec-Implementierungen dar. Es definiert optionale Erweiterungen wie 64-Bit-Sequenznummern und Combined Mode Algorithms, die Verschlüsselung und Integrität in einem Schritt vereinen. Als obligatorischer Bestandteil der IPsec-Suite ist ESP heute in VPNs, sicheren Netzzugängen und vielen Sicherheitsanwendungen unverzichtbar.