TCP-AO
Le successeur des vieilles signatures MD5 de TCP, disponible depuis 2010 et pourtant à peine utilisé. Ce qui protège les sessions BGP, en théorie.
La variante MD5 de 1998 remplissait son rôle mais souffrait de trois défauts. L'algorithme est faible. Il n'existe qu'une seule clé et aucun moyen d'en changer — la modifier impose de couper la session, ce qui revient en pratique à ne jamais la changer. Et il est impossible de négocier autre chose. TCP-AO ajoute des identifiants de clé permettant d'introduire une nouvelle clé en parallèle et de faire migrer le trafic sans interrompre l'adjacence, prend en charge des algorithmes plus solides, et protège à la fois l'en-tête et les options. Si quinze ans se sont malgré tout écoulés sans adoption large, c'est que les deux extrémités doivent le prendre en charge et se configurer de façon coordonnée — ce qui, entre deux opérateurs, est exactement aussi laborieux que ça en a l'air.