【正文】 第 13章 安全協(xié)議 主要內(nèi)容 ?安全協(xié)議概述 ? IPsec協(xié)議 ? SSL協(xié)議 ?安全電子交易協(xié)議 SET 安全協(xié)議基本概念 ?協(xié)議 ? 協(xié)議是指兩個或多個以上參與者為完成某項(xiàng)特定的任務(wù)而采取的一系列步驟。 ?通信協(xié)議 ? 通信協(xié)議是指通信各方關(guān)于通信如何進(jìn)行所達(dá)成的一致性規(guī)則，即由參與通信的各方按確定的步驟做出一系列通信動作，是定義通信實(shí)體之間交換信息的格式及意義的一組規(guī)則。包括語法、語義和同步三大要素。 安全協(xié)議基本概念 ?安全協(xié)議 ? 安全協(xié)議是指通過信息的安全交換來實(shí)現(xiàn)某種安全目的所共同約定的邏輯操作規(guī)則。 ?網(wǎng)絡(luò)安全通信協(xié)議 ? 屬于安全協(xié)議，是指在計算機(jī)網(wǎng)絡(luò)中使用的具有安全功能的通信協(xié)議。 TCP/IP安全分析 ?由于 TCP/IP協(xié)議簇在早期設(shè)計時是以面向應(yīng)用為根本目的的，因此未能充分考慮到安全性及協(xié)議自身的脆弱性、不完備性，導(dǎo)致網(wǎng)絡(luò)中存在著許多可能遭受攻擊的漏洞。 TCP/IP安全分析 ? 網(wǎng)絡(luò)層協(xié)議的安全隱患 ? IP協(xié)議在實(shí)現(xiàn)通信的過程中并不能為數(shù)據(jù)提供完整性和機(jī)密性保護(hù)，缺少基于 IP地址的身份認(rèn)證機(jī)制，容易遭到 IP地址欺騙攻擊。 ? 傳輸層協(xié)議的安全隱患 ? TCP協(xié)議的安全隱患： ?服務(wù)器端維持大量的半連接列表而耗費(fèi)一定的資源。 ?序列號可計算 ? UDP協(xié)議的安全隱患 ?不確認(rèn)報文是否到達(dá) ?不進(jìn)行流量控制 ?不作糾錯和重傳 TCP/IP安全分析 ?應(yīng)用層協(xié)議的安全隱患 ? 大部分協(xié)議以超級管理員的權(quán)限運(yùn)行，一旦這些程序存在安全漏洞且被攻擊者利用，極有可能取得整個系統(tǒng)的控制權(quán)。 ? 許多協(xié)議采用簡單的身份認(rèn)證方式，并且在網(wǎng)絡(luò)中以明文方式傳輸。 TCP/IP的安全體系結(jié)構(gòu) SNMP PGP S/MIME PEM SET IKE TELNET HTTPS RIPv2 SNMPv3 BGP4 SSL TLS TCP UDP IPsec（ AH） IPsec（ ESP） IP PPTP L2TP PPP L2F 硬件設(shè)備驅(qū)動程序及介質(zhì)介入?yún)f(xié)議 應(yīng)用層 傳輸層 網(wǎng)絡(luò)層 鏈路層 IPsec協(xié)議 ? IPsec（ IP Security）產(chǎn)生于 IPv6的制定之中，用于提供 IP層的安全性。 ? IPsec（ Inter Protocol Security, Inter協(xié)議安全）通過 AH（ Authentication Header，驗(yàn)證報頭）和 ESP（ Encapsulating Security Payload，封裝安全有效負(fù)載）兩個安全協(xié)議分別為 IP協(xié)議提供了基于無連接的數(shù)據(jù)完整性和數(shù)據(jù)保密性。 基本概念和術(shù)語 ? 安全關(guān)聯(lián) ? 為了正確封裝和提取 IPsec的數(shù)據(jù)包，有必要采取一套專門的方案，將安全服務(wù)、密鑰等與要保護(hù)的通信數(shù)據(jù)聯(lián)系在一起，這樣的構(gòu)建方案稱為安全關(guān)聯(lián)（ Security Association， SA）。 ? SA是發(fā)送者和接收者兩個 IPsec系統(tǒng)之間的一個單向邏輯連接，若要在一個對等系統(tǒng)間進(jìn)行源和目的的雙向安全通信，則需要兩個 SA。 ? 安全關(guān)聯(lián) SA通過一個三元組（安全參數(shù)索引 SPI、目的 IP地址和安全協(xié)議 AH或 ESP）來唯一標(biāo)識。 ? 實(shí)現(xiàn) IPsec必須維護(hù)這兩個數(shù)據(jù)庫： ?安全策略數(shù)據(jù)庫：對所有出 /入業(yè)務(wù)應(yīng)采取的安全策略 ?安全關(guān)聯(lián)數(shù)據(jù)庫：為進(jìn)入和外出包處理維持一個活動的 SA列表 基本概念和術(shù)語 ?隧道 ? 把一個包封裝在另一個新包中，整個源數(shù)據(jù)包作為新包的有效載荷部分，并在前面添加一個新的 IP頭。 ? 對 IPsec而言， IP隧道的直接目標(biāo)就是對整個 IP數(shù)據(jù)包提供完整的保護(hù)。 ? Inter安全關(guān)聯(lián)和密鑰管理協(xié)議 ? Inter Security Association and Key Management Protocol， ISAKMP ? 為 Inter環(huán)境下安全協(xié)議使用的安全關(guān)聯(lián)和密鑰的創(chuàng)建定義了一個標(biāo)準(zhǔn)通用框架，定義了密鑰管理表述語言通用規(guī)則及要求。 基本概念和術(shù)語 ?解釋域 ? Domain of Interpretation， DOI ? 是 Inter編號分配機(jī)構(gòu) IANA給出的一個命名空間。為使用 ISAKMP進(jìn)行安全關(guān)聯(lián)協(xié)商的協(xié)議統(tǒng)一分配標(biāo)識符。 ? 共享一個 DOI的協(xié)議從一個共同的命名空間中選擇安全協(xié)議和密碼變換、共享密鑰以及交換協(xié)議標(biāo)識符等，從而能使用相同 DOI的協(xié)議對該 DOI下的載荷數(shù)據(jù)內(nèi)容做出統(tǒng)一的解釋。 IPsec組成 ? Authentication Header（ AH，驗(yàn)證報頭）協(xié)議 ? 定義了認(rèn)證的應(yīng)用方法，提供數(shù)據(jù)源認(rèn)證和完整性保證； ? Encapsulating Security Payload（ ESP，封裝安全有效負(fù)載）協(xié)議 ? 定義了加密和可選認(rèn)證的應(yīng)用方法，提供可靠性保證。 ? Inter Key Exchange（ IKE，密鑰的交換標(biāo)準(zhǔn)）協(xié)議。 ? 用于密鑰交換。 AH協(xié)議 ? AH的工作原理： ? 在每一個數(shù)據(jù)包上添加一個身份驗(yàn)證報頭。此報頭包含一個被加密的 hash值（可以將其當(dāng)作數(shù)字簽名，只是它不使用證書），此 hash值在整個數(shù)據(jù)包中計算，因此對數(shù)據(jù)的任何更改將導(dǎo)致 hash值無效，這樣就提供了完整性保護(hù)。 ? AH報頭位置在 IP報頭和傳輸層協(xié)議頭之間。 AH由協(xié)議號“ 51”標(biāo)識 AH報頭結(jié)構(gòu) 0 8 16 31 下一個頭 保留 安全參數(shù)索引 序列號 認(rèn)證數(shù)據(jù) 載荷長度 （ 1）下一個頭（ Next Header）： 8位，標(biāo)識下一個使用 IP協(xié)議號的報頭類型，其取值在 RFC1700中定義。 （ 2）載荷長度（ Payload Length）： 8位，表示以 32位為單位的 AH頭的長度減 2。 （ 3）保留（ Reserved）： 16