8.1　消息安全

iSNS使用IPSec安全時，iSNS數據庫的每個iSNS客戶端應與iSNS服務器至少保持一個IKE階段1和一個IKE階段2 SA。客戶端與服務器間的所有iSNS協議消息應利用IKE階段2 SA保護。

所有iSNS實現的安全機制應支持IPSec的重放保護機制，iSNS服務器應支持ESP隧道模式，可支持ESP傳輸模式。

為了提供數據源認證和ESP完整性，應支持HMAC-SHA1，宜支持采用AES-XCBC-MAC認證。

iSNS應支持IKE認證、SA協商、密鑰管理和IPSec DOI。iSNS應使用動態密鑰和密鑰更新，不宜使用手動密鑰。

所有iSNS實現的安全機制應支持預共享密鑰認證，可支持數字簽名證書的端認證。端認證不宜使用公共密鑰加密方式。

所有iSNS實現的安全機制應支持IKE主模式，推薦支持野蠻模式。當任意端使用動態IP地址時，不宜使用預共享密鑰認證的IKE主模式。

使用數字簽名認證時，可以使用IKE主模式或IKE野蠻模式。應保護本地存儲的安全信息（預共享密鑰、私有密鑰、數字簽名），避免加密信息泄露導致IKE/IPSec安全協議失效。

使用數字簽名的認證時，在接受PKI證書之前，IKE協商建議首先檢查證書撤銷列表。