1．机密性保护
IKE使用DiffieHellman组中的加密算法。IKE共定义了五个DiffieHellman组，其中三个组使用乘幂算法（模数位数分别是768、1024、1680位），另两个组使用椭圆曲线算法（字段长度分别是155、185位）。因此，IKE的加密算法强度高，密钥长度大。
2．完整性保护及身份验证
在阶段1、2交换中，IKE通过交换验证载荷（包含散列值或数字签名）保护交换消息的完整性，并提供对数据源的身份验证。IKE列举了四种验证方法：1预共享密钥；2数字签名；3公钥加密；4改进的公钥加密。
3．抵抗拒绝服务攻击
对任何交换来说，第一步都是cookie交换。每个通信实体都生成自己的cookie，cookie提供了一定程度的抗拒绝服务攻击的能力。
如果在进行一次密钥交换，直到完成cookie交换，才进行密集型的运算，比如DiffieHellman交换所需的乘幂运算，则可以有效地抵抗某些拒绝服务攻击，如简单使用伪造IP源地址进行的溢出攻击。
4．防止中间人攻击
中间人攻击包括窃听、插入、删除、修改消息，反射消息回到发送者，重放旧消息以及重定向消息。ISAKMP的特征能阻止这些攻击成功。
5．完美向前保密
完美向前保密（PFS），指即使攻击者破解了一个密钥，也只能还原这个密钥加密的数据，而不能还原其他的加密数据。要达到理想的PFS，一个密钥只能用于一种用途，生成一个密钥的素材也不能用来生成其他的密钥。我们把采用短暂的一次性密钥的系统称为“PFS”。
如果要求对身份的保护也是PFS，则一个IKE SA只能创建一个IPsec SA。
四、IKE的实现
IKE是一个用户级的进程。启动后，作为后台守护进程运行。在需要使用IKE服务前，它一直处于不活动状态。可以通过两种方式请求IKE服务：1当内核的安全策略模块要求建立SA时，内核触发IKE。2当远程IKE实体需要协商SA时，可触发IKE。
1．IKE与内核的接口
内核为了进行安全通信，需要通过IKE建立或更新SA。IKE 同内核间的接口有：
1同SPD通信的双向接口。当IKE得到SPD的策略信息后，把它提交给远程IKE对等实体；当IKE收到远程IKE对等实体的提议后，为进行本地策略校验，必须把它交给SPD。
2同SAD通信的双向接口。IKE 负责动态填充SAD，要向SAD发送消息（SPI请求和SA实例），也要接收从SAD返回的消息（SPI 应答）。
2．IKE 对等实体间接口
IKE为请求创建SA的远程IKE对等实体提供了一个接口。当节点需要安全通信时，IKE与另一个IKE对等实体通信，协商建立IPsec SA。如果已经创建了IKE SA，就可以直接通过阶段2 交换创建新的IPsec SA；如果还没有创建IKE SA，就要通过阶段1、2交换创建新的IKE SA及IPsec SA。
