計算機系統(tǒng)安全(2)(已修改)
2024-10-30 20:17 本頁面
【正文】 1 計算機系統(tǒng)安全 第十二章 IP安全 2 Inter安全協(xié)議 IETF的各個工作小組從不同角度解決互連網(wǎng)安全問題，形成一些 RFC和草案： ? DNSSEC工作組 RFC213 253 2541 研究 DNS安全及 DNS動態(tài)更新 ? WTS(Web Transaction Security)工作組 建立 SHTTP 認證、完整性保護； RFC2084 ? SECSH工作組 安全 Shell ? IPSEC工作組 ? TLS工作組 (SSL協(xié)議） 3 IP安全面臨的問題 一、 IP安全概述 偽造 IP包的地址；修改其內(nèi)容 重播以前的包；攔截并查看包的內(nèi)容 如何確保收到的 IP數(shù)據(jù)報： 1） 來自原先要求的發(fā)送方 (IP頭內(nèi)的源地址 )； 2） 包含的是發(fā)送方當(dāng)初放在其中的原始數(shù)據(jù)； 3） 原始數(shù)據(jù)在傳輸中途未被其它人看過 。 4 IPSec協(xié)議 一、 IP安全概述 IP安全是整個 TCP/IP安全的基礎(chǔ)與核心 。 它可對上層的各種應(yīng)用服務(wù)提供透明的安全保護 。 IPv4沒有考慮安全性 ， 缺乏對通信雙方身份的認證 ，缺乏對傳輸數(shù)據(jù)的保護 ， 并且容易受竊聽 、 IP地址欺騙等攻擊 。 IPSec工作組于 1994年成立 ，1995年 8月公布了一系列建議標(biāo)準(zhǔn)： RFC2401： IP安全結(jié)構(gòu) RFC2406： AH； RFC2406： ESP RFC2409： IKE RFC2403： HMACMD596 RFC2404:HMACSHA96 5 IPSec概述 一、 IP安全概述 IPSec可保障主機之間 、 網(wǎng)絡(luò)安全網(wǎng)關(guān) （ 如路由器或防火墻 ） 之間或主機與安全網(wǎng)關(guān)之間的數(shù)據(jù)包的安全 。 由于受 IPSec保護的數(shù)據(jù)報本身不過是另一種形式的 IP包 ， 所以完全可以嵌套提供安全服務(wù) ， 同時在主機之間提供像端到端這樣的認證 ， 并通過一個隧道 ， 將那些受 IPSec保護的數(shù)據(jù)傳送出去 （ 隧道本身也通過 IPSec受到安全網(wǎng)關(guān)的保護 ） 。 6 IPSec的協(xié)議 一、 IP安全概述 對 IP數(shù)據(jù)報或上層協(xié)議進行保護的方法是使用某種 IPSec協(xié)議： “ 封裝安全載荷 （ ESP：Encapsulating Security Payload） ”或者 “ 認證頭 （ AH： Authentication Header） ”。 AH可證明數(shù)據(jù)的起源地 、 保障數(shù)據(jù)的完整性 、防止相同數(shù)據(jù)包的重播 。 ESP除具有 AH的所有能力之外 ， 還可選擇保障數(shù)據(jù)的機密性 ， 以及為數(shù)據(jù)流提供有限的機密性保障 。 7 IPSec的安全業(yè)務(wù) AH ESP (加密 ) ESP (加密并認證 ) 訪問控制 √ √ √ 無連接完整性 √ √ 數(shù)據(jù)來源認證 √ √ 對重放數(shù)據(jù)的拒絕 √ √ √ 保密性 √ √ 受限業(yè)務(wù)流的保密性 √ √ 8 密鑰管理協(xié)議 IKE 一、 IP安全概述 密鑰管理協(xié)議 IKE（ Inter Key Exchange）用于動態(tài)地認證 IPSec參與各方的身份 、 協(xié)商安全服務(wù)以及生成共享密鑰等 。 IPSec提供的安全服務(wù)需要用到共享密鑰 ， 它既可用于保障數(shù)據(jù)的機密性 ， 亦可用于數(shù)據(jù)完整性 （ 消息認證碼 MAC） ， 或者同時應(yīng)用于兩者 。 IPSec的運算速度必須夠快 ， 而現(xiàn)有公共密鑰技術(shù) （ 如 RSA或 DSS） 的速度均不夠快 。 公共密鑰技術(shù)仍然限于在密鑰交換期間完成一些初始的認證工作 。 9 IPSec協(xié)議組成 二、結(jié)構(gòu) 安全關(guān)聯(lián) SA （ Security Association） 安全策略數(shù)據(jù)庫 SPD (Security Policy Database） 認證頭 AH （ Authentication Head ） 封裝安全載荷 ESP(Encapsulation Security Payload) IKE（ Inter密鑰交換 ） ISAKMP/Oakley（ 密鑰管理協(xié)議 ） ISAKMP： Inter Security Association and Key Management Protocol Oakley： 是 DH密鑰交換協(xié)議的改進 10 結(jié)構(gòu)圖 二、結(jié)構(gòu) 11 IPSec實施 二、結(jié)構(gòu) IPSec既可在終端系統(tǒng)上實現(xiàn) ， 亦可在某種安全網(wǎng)關(guān)上實現(xiàn) （ 如路由器及防火墻 ） 。 在主機中實施可以有兩種方式： 與操作系統(tǒng)的集成實施 。 在協(xié)議堆棧中的網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之間實施 。 12 操作系統(tǒng)集成 二、結(jié)構(gòu) IPSec作為網(wǎng)絡(luò)層協(xié)議 ， 可在網(wǎng)絡(luò)層實現(xiàn) ， 由 IP層的服務(wù)構(gòu)建 IP頭 。 這個模型與其它網(wǎng)絡(luò)層協(xié)議 （ 比如 ICMP） 的實施等同 。 應(yīng)用 TCP/UDP IP+ IP sec 數(shù)據(jù)鏈路層 13 在協(xié)議堆棧中實施 二、結(jié)構(gòu) 應(yīng)用 TCP/UDP IP IP sec 數(shù)據(jù)鏈路層 14 在主機實施的特點 二、結(jié)構(gòu) a． 保證端到端的安全性 b． 能夠?qū)崿F(xiàn)所有的 IPSEC安全模式 c． 能夠?qū)γ總€數(shù)據(jù)流提供安全保障 d． 在建立 IPSEC的過程中 ， 能夠維持用戶身份的認證 。 15 在路由器中實施 二、結(jié)構(gòu) 如果在路由器中實施 ， 可
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1