網(wǎng)絡(luò)安全06-安全協(xié)議(文件)
【正文】 New IP ESPH IP TCP Payload ESPT ESPAD 隧道模式 傳輸模式 鑒別保護(hù) 鑒別保護(hù) 加密保護(hù) 加密保護(hù) IPSec的重放保護(hù) ? 在每一個安全關(guān)聯(lián)都維護(hù)一個防重放的滑動窗口，大小 64，向右側(cè)滑動 ? 每個 IPSec分組都被分配一個序列號 ? 在接受方，滿足以下條件的分組才是合法的： ? 分組通過鑒別 ? 分組序號是新的，未在滑動窗口中出現(xiàn)過 ? 分組序號落在滑動窗口內(nèi)或右側(cè) ? 分組序號落在滑動窗口右側(cè)，窗口向右滑動 ? 通過這種機(jī)制，重放攻擊的分組將被丟棄 IPSec密鑰管理 ? 手工管理 ? 自動管理 ? Photuris ? 簡單 Inter密鑰管理協(xié)議 SKIP ? Inter密鑰交換協(xié)議 IKE ? IPSec默認(rèn)的協(xié)議 ? IKE IKE ? AH ESP ? 安全關(guān)聯(lián) SA和會話密鑰建立以后的工作過程 ? IKE ? 用于雙向認(rèn)證、建立共享密鑰和會話關(guān)聯(lián) SA的協(xié)議 ? 包括三個部分 ? IKE ? ISAKMP ? DOI SSL SSL簡介 ? SSL（ Secure Socket Layer，安全套接層）協(xié)議 ? Netscape公司于 1994年最先提出來的 ? 被設(shè)計成使用 TCP來提供一種可靠的端到端的安全服務(wù)，是一種基于會話的 加密和認(rèn)證 的協(xié)議 ? 在客戶和服務(wù)器之間提供了一個安全的管道 ? 為了防止客戶 /服務(wù)器應(yīng)用中的監(jiān)聽、篡改、消息偽造等， SSL提供了 服務(wù)器認(rèn)證 和可選的 客戶端認(rèn)證 ? 通過在兩個實(shí)體間建立一個共享的秘密， SSL提供 保密性 ? SSL工作在傳輸層（ TCP）和應(yīng)用層之間 ? SSL獨(dú)立于應(yīng)用層協(xié)議，高層協(xié)議可基于 SSL進(jìn)行透明的傳輸 SSL協(xié)議的協(xié)議層次 SSL協(xié)議提供的主要服務(wù) ? 加密處理 ? 加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊?。? ? 維護(hù)數(shù)據(jù)的完整性 ? 確保數(shù)據(jù)在傳輸過程中不被改變。已定義的內(nèi)容類型有：修改密碼規(guī)程協(xié)議、告警協(xié)議、握手協(xié)議和應(yīng)用數(shù)據(jù)； ? 主要版本：指示使用 SSL的主要版本號； ? 次要版本：指示使用的次要版本號； ? 壓縮長度 ：明文數(shù)據(jù)段以字節(jié)為單位的長度（如果使用壓縮就是壓縮數(shù)據(jù)段）。 無 client_ hello 客戶啟動握手請求，該消息時當(dāng)客戶第一次連接服務(wù)器時向服務(wù)器發(fā)送的第一條消息。 版本、隨機(jī)數(shù)、會話 ID、密文族、壓縮方法 server_ certificate 服務(wù)器提供的證書。當(dāng)服務(wù)器不使用證書，或其證書中僅提供簽名而不提供密鑰時，需要使用本消息來交換密鑰。 無 client_ certificate 客戶端對服務(wù)器 certificate_request消息的響應(yīng)，只有在服務(wù)器端要求客戶證書的時候使用。 參數(shù)、簽名 certificate_ verify 該消息用于向服務(wù)器提供對客戶證書的驗(yàn)證。 散列值 握手協(xié)議過程 1 ? 第一階段 安全能力的建立 ? (1) 客戶 → 服務(wù)器 ： client_hello ? (2) 服務(wù)器 → 客戶 ： server_hello ? 第二階段 服務(wù)器認(rèn)證和密鑰交換 ? (3) 服務(wù)器 → 客戶 ： server_certificate ? (4) 服務(wù)器 → 客戶 ： server_key_exchange ? (5) 服務(wù)器 → 客戶 ： certificate_request ? (6) 服務(wù)器 → 客戶 ： server_hello_done 握手協(xié)議過程 2 ? 第三階段 客戶認(rèn)證和密鑰交換 ? (7) 客戶 → 服務(wù)器 ： client_certificate ? (8) 客戶 → 服務(wù)器 ： client_key_exchange ? (9) 客戶 → 服務(wù)器 ： certificate_verify ? 第四階段 結(jié)束階段 ? (10) 客戶 → 服務(wù)器 ： change_cipher_spec ? (11) 客戶 → 服務(wù)器 ： finished ? (12) 服務(wù)器 → 客戶 ： change_cipher_spec ? (13) 服務(wù)器 → 客戶 ： finished 修改密碼規(guī)程協(xié)議 ? 位于 SSL記錄協(xié)議之上 ? 僅定義了一個由單個字節(jié)“ 1”構(gòu)成的消息報文 ? 該消息將改變連接所使用的加密規(guī)約 ? 用途：切換狀態(tài) ? 把密碼參數(shù)設(shè)置為當(dāng)前狀態(tài)。若服務(wù)器能被成功地認(rèn)證，客戶機(jī)將繼續(xù)下一步。 謝謝！ 演講完畢，謝謝觀看！ 。同時客戶端也從相同的 pre_master_secret開始得到相同的 master_secret 。 SSL協(xié)議運(yùn)行實(shí)例 1 1. 客戶機(jī)使用 IE瀏覽器向服務(wù)器發(fā)送客戶端的 SSL版本號、密碼設(shè)置、隨機(jī)數(shù)和需要服務(wù)器使用 SSL協(xié)議與客戶機(jī)進(jìn)行通信的其它信息； IE瀏覽器使用 協(xié)議向服務(wù)器申請建立 SSL會話； 2. 服務(wù)器向客戶端發(fā)送服務(wù)器端的 SSL版本號、密碼設(shè)置、隨機(jī)數(shù)和客戶端使用 SSL協(xié)議與服務(wù)器通信需要的其它信息。本消息發(fā)送后，發(fā)送方開始使用協(xié)商的新參數(shù)來執(zhí)行操作。若客戶端沒有合適的證書，則向服務(wù)器端發(fā)送 no_certificate的告警消息（無證書可能
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1