TCP-AO TCP Authentication Option
Efterträdaren till TCP:s gamla MD5-signaturer, som funnits sedan 2010 och ändå knappt används. Det som skyddar BGP-sessioner i teorin.
MD5-varianten från 1998 löste sin uppgift men hade tre bekymmer. Algoritmen är svag. Det finns bara en nyckel och inget sätt att byta den — ändrar man den måste sessionen brytas, vilket i praktiken betyder att nyckeln aldrig byts. Och det går inte att förhandla om något annat. TCP-AO lägger till nyckelidentifierare så att en ny nyckel kan införas parallellt och trafiken glida över utan att grannskapet går ner, stödjer starkare algoritmer, och skyddar både huvudet och optionerna. Att det ändå gått femton år utan bred spridning beror på att båda ändar måste stödja det och konfigureras samordnat, vilket över en operatörsgräns är precis så trögt som det låter.