TCP-AO

A variante MD5 de 1998 cumpria seu papel, mas tinha três problemas. O algoritmo é fraco. Existe apenas uma chave e nenhuma forma de trocá-la — mudar a chave significa derrubar a sessão, o que na prática significa que ela nunca é trocada. E não há como negociar outra coisa. O TCP-AO adiciona identificadores de chave, de modo que uma nova chave pode ser introduzida em paralelo e o tráfego migrar sem derrubar a adjacência, suporta algoritmos mais fortes e protege tanto o cabeçalho quanto as opções. O fato de terem se passado quinze anos sem ampla adoção se deve a que as duas pontas precisam suportar e configurar isso de forma coordenada, o que atravessando uma fronteira entre operadoras é exatamente tão lento quanto parece.