IPSec为何失败了

1998年，IETF发布IPSEC标准，用于在网络层面提供统一的安全服务，希望端到端的从根本上解决互联网应用的安全问题。但12年过去了，IPSec的实际应用情况是每况愈下。即使是在最拿手的安全VPN领域，也在最近几年被SSL逐渐蚕食了。

自IPSec问世后，互联网上产生了很多应用，但ipbaobao却没有听说哪个应用选择了IPSEC作为应用自己的安全保护手段，而都是自创的一套安全算法，或者使用了应用层/传输层的一些标准化了的安全机制。

Ipbaobao最早跟踪研究和翻译IPSEC，还是10年前制定行业标准时的事情了。ipbaobao分析后认为用户和应用层之所以不选择IPSec，原因是多方面的：

1）策略灵活性不够；

2）动态地址、NAT的使用使得IPSEC难以穿越；

3）WEB化的趋势，都使用SSL/HTTPS去了；

4）使用和配置复杂；

5）性能问题；

6）plug-in模式。因为即使应用想使用，IPv4中有的没有安装或启用。

而IPSEC VPN近年来只所以衰落，有人总结了10个具体原因如下：

1. Use of weak pre-shared keys.

2. Inappropriate use of IKE/ISAKMP aggressive mode (with weak pre-shared keys).

3. Inappropriate method of authentication (pre-shared keys when digital signature [certificate] based authentication might be more appropriate).

4. Inappropriate use of wildcard or group pre-shared keys (where use of alternatives might be more appropriate/possible).

5. Use of identical pre-shared key with multiple peers (similar to #4).

6. Inappropriate use of Extended Authentication (XAuth, which may be vulnerable when used with weak pre-shared keys and aggressive mode IKE/ISAKMP).

7. Vulnerability of NTP and/or CRLs/OCSP used by PKI to DoS attack (relevant when using digital signature authentication).

8. Relatively weakly secured CA private key storage.

9. Storage of IPsec VPN gateway configuration files containing paintext pre-shared keys.

10. Use of encryption without authentication.

cisco对IPSEC产品的提示：

价值中国