計(jì)算機(jī)系統(tǒng)安全(2)-wenkub
2022-11-02 20:17:21 本頁(yè)面
【正文】 鑰以及密鑰的有效存在時(shí)間等 。 原始 IP包： IP頭 + TCP頭 + 數(shù)據(jù) 傳送模式： IP頭 + IPSec頭 + TCP頭 + 數(shù)據(jù) 隧道模式：新 IP頭 + IPSec頭 + IP頭 + TCP頭 + 數(shù)據(jù) 17 安全關(guān)聯(lián) 二、結(jié)構(gòu) 為正確封裝及提取 IPSec數(shù)據(jù)包 ， 要將安全服務(wù) 、密鑰與要保護(hù)的通信數(shù)據(jù)聯(lián)系到一起；同時(shí)要將遠(yuǎn)程通信實(shí)體與要交換密鑰的 IPSec數(shù)據(jù)傳輸聯(lián)系起來(lái) 。 15 在路由器中實(shí)施 二、結(jié)構(gòu) 如果在路由器中實(shí)施 ， 可在網(wǎng)絡(luò)的一部分中對(duì)傳輸?shù)臄?shù)據(jù)包進(jìn)行安全保護(hù) 。 在協(xié)議堆棧中的網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之間實(shí)施 。 IPSec的運(yùn)算速度必須夠快 ， 而現(xiàn)有公共密鑰技術(shù) （ 如 RSA或 DSS） 的速度均不夠快 。 AH可證明數(shù)據(jù)的起源地 、 保障數(shù)據(jù)的完整性 、防止相同數(shù)據(jù)包的重播 。 IPv4沒(méi)有考慮安全性 ， 缺乏對(duì)通信雙方身份的認(rèn)證 ，缺乏對(duì)傳輸數(shù)據(jù)的保護(hù) ， 并且容易受竊聽(tīng) 、 IP地址欺騙等攻擊 。1 計(jì)算機(jī)系統(tǒng)安全 第十二章 IP安全 2 Inter安全協(xié)議 IETF的各個(gè)工作小組從不同角度解決互連網(wǎng)安全問(wèn)題，形成一些 RFC和草案： ? DNSSEC工作組 RFC213 253 2541 研究 DNS安全及 DNS動(dòng)態(tài)更新 ? WTS(Web Transaction Security)工作組 建立 SHTTP 認(rèn)證、完整性保護(hù)； RFC2084 ? SECSH工作組 安全 Shell ? IPSEC工作組 ? TLS工作組 (SSL協(xié)議） 3 IP安全面臨的問(wèn)題 一、 IP安全概述 偽造 IP包的地址；修改其內(nèi)容 重播以前的包；攔截并查看包的內(nèi)容 如何確保收到的 IP數(shù)據(jù)報(bào)： 1） 來(lái)自原先要求的發(fā)送方 (IP頭內(nèi)的源地址 )； 2） 包含的是發(fā)送方當(dāng)初放在其中的原始數(shù)據(jù)； 3） 原始數(shù)據(jù)在傳輸中途未被其它人看過(guò) 。 IPSec工作組于 1994年成立 ，1995年 8月公布了一系列建議標(biāo)準(zhǔn)： RFC2401： IP安全結(jié)構(gòu) RFC2406： AH； RFC2406： ESP RFC2409： IKE RFC2403： HMACMD596 RFC2404:HMACSHA96 5 IPSec概述 一、 IP安全概述 IPSec可保障主機(jī)之間 、 網(wǎng)絡(luò)安全網(wǎng)關(guān) （ 如路由器或防火墻 ） 之間或主機(jī)與安全網(wǎng)關(guān)之間的數(shù)據(jù)包的安全 。 ESP除具有 AH的所有能力之外 ， 還可選擇保障數(shù)據(jù)的機(jī)密性 ， 以及為數(shù)據(jù)流提供有限的機(jī)密性保障 。 公共密鑰技術(shù)仍然限于在密鑰交換期間完成一些初始的認(rèn)證工作 。 12 操作系統(tǒng)集成 二、結(jié)構(gòu) IPSec作為網(wǎng)絡(luò)層協(xié)議 ， 可在網(wǎng)絡(luò)層實(shí)現(xiàn) ， 由 IP層的服務(wù)構(gòu)建 IP頭 。 例如某公司只打算對(duì)傳給地理位置分散的那些部門(mén)的數(shù)據(jù)實(shí)施保護(hù) ， 而且只在數(shù)據(jù)流經(jīng)Inter的時(shí)候進(jìn)行保護(hù) ， 從而構(gòu)建自己的VPN或者內(nèi)聯(lián)網(wǎng) 。 這樣的方案稱(chēng)為安全關(guān)聯(lián) （ Security Association， SA） 。 任何IPSec實(shí)施方案都會(huì)構(gòu)建一個(gè) SA數(shù)據(jù)庫(kù) （ SAD） ，由它來(lái)維護(hù)保障數(shù)據(jù)包安全的 SA記錄 。既可人工創(chuàng)建它 ， 亦可采用動(dòng)態(tài)創(chuàng)建方式 。 存活時(shí)間 （ TTL） 由 IPSec通信雙方在密鑰管理協(xié)議中協(xié)商 。 對(duì)所有出 /入包括非Ipsec業(yè)務(wù)的處理必須咨詢(xún) SPD， 處理有三種可能： 1） 丟棄：不允許在此主機(jī)上存在 ， 或不允許通過(guò)此網(wǎng)關(guān) 。 23 安全參數(shù)索引（ SPI ） 二、結(jié)構(gòu) SPI長(zhǎng)度為 32位 ， 用于唯一地標(biāo)識(shí)出接收端上的一個(gè)SA。 SPI被當(dāng)作 AH和 ESP頭的一部分傳送 。 接收者可以確信消息來(lái)自所聲稱(chēng)的發(fā)送者； 如果消息中包含順序碼 ， 則接收者可以保證消息的正常順序； MAC函數(shù)類(lèi)似于加密函數(shù)，但不需要可逆性。 具體做法是在 IP頭之后 、 需要保護(hù)的數(shù)據(jù)之前 ，插入一個(gè)新頭 —— ESP頭 。 27 ESP原理 ESP保護(hù)示意圖 IP頭 ESP尾ESP頭 受保護(hù)數(shù)據(jù)驗(yàn)證保護(hù)加密保護(hù)28 ESP格式 三、封裝安全載荷 SPI（ 安全參數(shù)索引） 序列號(hào) 初始化向量 受保護(hù)的數(shù)據(jù) 填充項(xiàng) 填充項(xiàng)長(zhǎng)度 下一個(gè)頭 認(rèn)證數(shù)據(jù) 29 ESP格式 三、封裝安全載荷 作為 IPSec頭 ， ESP頭中會(huì)包含一個(gè) SPI字段 。 ESP保護(hù)的實(shí)際數(shù)據(jù)包含在載荷數(shù)據(jù)字段中 。 每個(gè) ESP SA都至少有一個(gè)加密器和一個(gè)認(rèn)證器 。 ESP頭可插在任意一個(gè)擴(kuò)展頭之后 。 隨后 ， 在 ESP頭的前面新增了一個(gè) IP頭 ， 并對(duì)相應(yīng)的字段進(jìn)行填充 （ 賦值 ） — 源地址對(duì)應(yīng)于應(yīng)用 ESP的那個(gè)設(shè)備本身；目標(biāo)地址取自于用來(lái)應(yīng)用 ESP的SA； 協(xié)議設(shè)為 50；其他字段的值則參照本地的 IP處理加以填充 。 隨后 ，將認(rèn)證器的結(jié)果插入 ESP尾的 “ 認(rèn)證數(shù)據(jù) ” 字段中 。 但除非完成了對(duì)它的解密 ， 實(shí)際上不可能知道 ESP保護(hù)的是什么 。 一旦認(rèn)證通過(guò)了一個(gè)有效的 SA， 就可用它開(kāi)始對(duì)包的處理 。 通過(guò)取自 SA的密鑰和密碼算法 ，就可對(duì) ESP包進(jìn)行解密 ， 這個(gè) ESP包從載荷數(shù)據(jù)開(kāi)始到下一個(gè)頭結(jié)束 。 39 處理進(jìn)入數(shù)據(jù)包 三、封裝安全載荷 對(duì)于傳送模式 ， 上層協(xié)議頭與 IP頭是同步的 ， ESP頭的下一個(gè)頭字段被復(fù)制到 IP頭的協(xié)議字段中 ， 并計(jì)算出一個(gè)新的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1