usr/src/man/man7p/ipsecesp.7p

   1 '\" te
   2 .\" Copyright (C) 2003, Sun Microsystems, Inc. All Rights Reserved
   3 .\" The contents of this file are subject to the terms of the Common Development and Distribution License (the "License").  You may not use this file except in compliance with the License.
   4 .\" You can obtain a copy of the license at usr/src/OPENSOLARIS.LICENSE or http://www.opensolaris.org/os/licensing.  See the License for the specific language governing permissions and limitations under the License.
   5 .\" When distributing Covered Code, include this CDDL HEADER in each file and include the License file at usr/src/OPENSOLARIS.LICENSE.  If applicable, add the following below this CDDL HEADER, with the fields enclosed by brackets "[]" replaced with your own identifying information: Portions Copyright [yyyy] [name of copyright owner]
   6 .TH IPSECESP 7P "May 18, 2003"
   7 .SH NAME
   8 ipsecesp, ESP \- IPsec Encapsulating Security Payload
   9 .SH SYNOPSIS
  10 .LP
  11 .nf
  12 \fBdrv/ipsecesp\fR
  13 .fi
  14
  15 .SH DESCRIPTION
  16 .sp
  17 .LP
  18 The \fBipsecesp\fR module provides confidentiality, integrity, authentication,
  19 and partial sequence integrity (replay protection) to \fBIP\fR datagrams. The
  20 encapsulating security payload (\fBESP\fR) encapsulates its data, enabling it
  21 to protect data that follows in the datagram. For \fBTCP\fR packets, \fBESP\fR
  22 encapsulates the \fBTCP\fR header and its data only.  If the packet is an
  23 \fBIP\fR in \fBIP\fR datagram, \fBESP\fR protects the inner \fBIP\fR datagram.
  24 Per-socket policy allows "self-encapsulation" so \fBESP\fR can encapsulate
  25 \fBIP\fR options when necessary. See \fBipsec\fR(7P).
  26 .sp
  27 .LP
  28 Unlike the authentication header (\fBAH\fR), \fBESP\fR allows multiple
  29 varieties of datagram protection. (Using a single datagram protection form can
  30 expose vulnerabilities.) For example, only \fBESP\fR can be used to provide
  31 confidentiality. But protecting confidentiality alone exposes vulnerabilities
  32 in both replay attacks and cut-and-paste attacks. Similarly, if \fBESP\fR
  33 protects only integrity and does not fully protect against eavesdropping, it
  34 may provide weaker protection than \fBAH\fR. See \fBipsecah\fR(7P).
  35 .SS "ESP Device"
  36 .sp
  37 .LP
  38 \fBESP\fR is implemented as a module that is auto-pushed on top of \fBIP\fR.
  39 Use the \fB/dev/ipsecesp\fR entry to tune \fBESP\fR with \fBndd\fR(1M).
  40 .SS "Algorithms"
  41 .sp
  42 .LP
  43 \fBESP\fRuses encryption and authentication algorithms. Authentication
  44 algorithms include HMAC-MD5 and HMAC-SHA-1. Encryption algorithms include DES,
  45 Triple-DES, Blowfish and AES. Each authentication and encryption algorithm
  46 contain key size and key format properties. You can obtain a list of
  47 authentication and encryption algorithms and their properties by using the
  48 \fBipsecalgs\fR(1M) command. You can also use the functions described in the
  49 \fBgetipsecalgbyname\fR(3NSL) man page to retrieve the properties of
  50 algorithms. Because of export laws in the United States, not all encryption
  51 algorithms are available outside of the United States.
  52 .SS "Security Considerations"
  53 .sp
  54 .LP
  55 \fBESP\fR without authentication exposes vulnerabilities to cut-and-paste
  56 cryptographic attacks as well as eavesdropping attacks. Like AH, \fBESP\fR is
  57 vulnerable to eavesdropping when used without confidentiality.
  58 .SH ATTRIBUTES
  59 .sp
  60 .LP
  61 See \fBattributes\fR(5) for descriptions of the following attributes:
  62 .sp
  63
  64 .sp
  65 .TS
  66 box;
  67 c | c
  68 l | l .
  69 ATTRIBUTE TYPE  ATTRIBUTE VALUE
  70 Interface Stability     Evolving
  71 .TE
  72
  73 .SH SEE ALSO
  74 .sp
  75 .LP
  76 \fBipsecalgs\fR(1M), \fBipsecconf\fR(1M), \fBndd\fR(1M), \fBattributes\fR(5),
  77 \fBgetipsecalgbyname\fR(3NSL), \fBip\fR(7P), \fBipsec\fR(7P), \fBipsecah\fR(7P)
  78 .sp
  79 .LP
  80 Kent, S. and Atkinson, R.\fIRFC 2406, IP Encapsulating Security Payload
  81 (ESP)\fR, The Internet Society, 1998.