TCP-AO

Wariant MD5 z 1998 roku spełniał zadanie, ale miał trzy wady. Algorytm jest słaby. Istnieje tylko jeden klucz i nie da się go wymienić bez zerwania sesji, więc w praktyce nikt go nie zmienia. Nie ma też możliwości negocjowania czegokolwiek innego. TCP-AO dodaje identyfikatory kluczy, dzięki czemu nowy klucz można wprowadzić równolegle, a ruch przenieść bez zrywania sąsiedztwa; obsługuje silniejsze algorytmy i chroni zarówno nagłówek, jak i opcje. To, że przez piętnaście lat nie doczekał się szerokiego wdrożenia, wynika z tego, że obie strony muszą go wspierać i skoordynować konfigurację — a na styku operatorów idzie to dokładnie tak opornie, jak można się spodziewać.