Barrapunto

Aunque no me expplique muy bien en mi anterior comentario, paso a comentar un poco más ya que veo que eres de los pocos de por aqui que aun les gusta "discutir" sobre algún tema tecnico y no solo a insultar ;)
 
      Por lo que sé, si usásemos criptografía en el campo de datos de tcp (segmento) o directamente en el campo de datos de udp (ip seria lo mismo), si controlamos dentro del propio campo el orden de "segmento" de campo, a no ser que pudieses descifrar el contenido de los datos criptografiados no podrias variar estos. Es decir: si recuerdas la forma de negociación a tres bandas de tcp por ejemplo, verás que al principio se genera un número aleatorio de segmento (por seguridad y practicidad). El ataque man in the middle se realiza captando este numero para asi luego poder enviar paquetes al destino sin provocar un cierre de conexión (lo he explicado muy brevemente).

      Por ello, si uno no puede captar el número de orden (segmento) y modificarlo, una vez establecida la conexión es casi imposible interceptar la conexión (a no ser que conozcas las claves o las descifres, cosas ambas muy dificiles en algunos casos).

      Por otro lado, creo que el problema de añadir a la capa ip criptografía es de costes. Costes de procesamiento, costes de actualización de la propia criptografía y costes de hadware.

      Siempre me ha gustado mucho la estratificación que suelen tener los protocolos de red (similar que una aplicación). Esto genera ventajas y desventajas, aunque en este caso creo que es una desventaja contar con criptografia a nivel de ip, ya que como he explicado más arriba me parece más lógico implementarlo a nivel de aplicación, más que a nivel ip.

      Saludos

Me ha molado tu explicación mucho, tomo nota y admito mi error, pero prometo investigar más a fondo y ya te comentaré, que conste que yo no he dicho de añadir criptografía a la capa IP, he dicho seguridad (viene a ser lo mismo) pero si lo realiza hw y los router son más seguros que los actuales, me refiero a que los paquetes TCP no se procesen en todos los routers intermedios, cosa que se tiene que hacer en IPv4 porque existe fragmentación, pero en IPv6 nop, la cabecera tiene un tamaño fijo y sólo la primera es procesada por los routers, el resto simplemente se expiden siguiendo el camino abierto. (En IPv6 existe fragmentación pero se negocia extremo a extremo). Bueno eso mismo, lo reviso y probablemente te tenga que dar la razón.