IKEv2 SA_INIT è il primo passo di negoziazione in un handshake Internet Key Exchange versione 2. Durante questo scambio, due peer concordano sugli algoritmi crittografici, scambiano nonce e valori Diffie-Hellman e creano l'Associazione di Sicurezza iniziale che protegge il traffico IKE successivo. Avviene prima che venga stabilito il normale accesso VPN o l'autenticazione dell'applicazione.
Questa fase è importante perché si trova al bordo della rete ed è spesso raggiungibile da Internet su gateway VPN e responder IPsec. Gli aggressori cercano bug nell'analisi o nella gestione dello stato di SA_INIT perché il codice può essere eseguito prima dell'autenticazione dell'utente, rendendo possibile lo sfruttamento pre-auth. I difensori riducono il rischio applicando rapidamente le patch ai sistemi responder, limitando l'esposizione delle porte UDP 500 e 4500 e monitorando traffico di negoziazione insolito, crash o ripetuti fallimenti dell'handshake.