計(jì)算機(jī)網(wǎng)絡(luò)安全概述(ppt 91頁)-全文預(yù)覽
【正文】 密鑰更新技術(shù)。目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文格式 2 之 21/28/2023 82ISAKMP協(xié)商階段目錄 IKEISAKMP協(xié)議 協(xié)商過程分為兩個(gè)階段：w 階段一階段一 兩個(gè)實(shí)體協(xié)商在它們之間如何保護(hù)之后的傳輸，并建立起一個(gè)主秘密，后續(xù)使用的任何秘密都將根據(jù)主秘密產(chǎn)生。目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文格式 2 之 11/28/2023 81解 釋w 下一個(gè)載荷下一個(gè)載荷 8bit，表示緊跟在本載荷之后的下一個(gè)載荷的類型。目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文格式 4 之 31/28/2023 79解 釋w 標(biāo)志標(biāo)志 8bit，目前只有后 3bit有用： bit 0為加密位， bit 1為提交位， bit 2為驗(yàn)證位。w 主版本主版本 4bit，表示 ISAKMP協(xié)議的主版本號(hào)。對(duì)于一個(gè) SA來說必須保證唯一。用。 ISAKMP只是為只是為 SA的屬性和協(xié)商、修改、刪的屬性和協(xié)商、修改、刪除除 SA的方法提供了一個(gè)通用的框架，并沒有定義的方法提供了一個(gè)通用的框架，并沒有定義具體的具體的 SA格式。3 之 11/28/2023 67隧道模式目錄 封裝安全載荷 (ESP)ESP操作模式原始 IP數(shù)據(jù)報(bào)應(yīng)用 ESP后的 IP數(shù)據(jù)報(bào)3 之 21/28/2023 68傳輸模式的加密目錄 封裝安全載荷 (ESP)ESP操作模式 3 之 31/28/2023 69ESP頭格式目錄 封裝安全載荷 (ESP)ESP頭部ESP尾部 ESP驗(yàn)證數(shù)據(jù)1/28/2023 70ESP輸出輸出 輸入處理流程輸入處理流程1/28/2023 71Inter密鑰交換協(xié)議(IKE)目錄w 概述w ISAKMP協(xié)議w IKE協(xié)議1/28/2023 72概 述目錄 IKE IPSec使用共享密鑰來執(zhí)行認(rèn)證和機(jī)密性保障任務(wù)，為數(shù)據(jù)傳輸提供安全服務(wù)。 ESP頭被插在 IP數(shù)據(jù)報(bào)中，緊跟在 IP頭之后和需要保護(hù)的上層協(xié)議數(shù)據(jù)之前，對(duì) IP數(shù)據(jù)報(bào)中的載荷進(jìn)行保護(hù)（加密、認(rèn)證）。為保證互操作性， AH強(qiáng)制所有的 IPSec必須實(shí)現(xiàn)兩個(gè) MAC： HMACMD HMACSHA1。目錄 認(rèn)證頭 AH 3 之 21/28/2023 58AH頭說明 (2)w Sequence Number 32bit，用來避免重放攻擊（指黑客在通信線路上非法竊取數(shù)據(jù)，復(fù)制后發(fā)往對(duì)方進(jìn)行的偽裝攻擊）。w Payload Length 8bit， 用于表示 AH的長度 (32位為單位 )。 隧道模式先將整個(gè) IP數(shù)據(jù)報(bào)（其 IP頭稱為內(nèi)部IP頭）進(jìn)行封裝，然后增加一個(gè) IP頭（稱為外部 IP頭），并在外部與內(nèi)部 IP頭之間插入 AH頭。1/28/2023 48AH操作模式目錄 認(rèn)證頭 AHw 傳輸模式w 隧道模式1/28/2023 49傳輸模式目錄 認(rèn)證頭 AHAH使用模式 傳輸模式用于兩臺(tái)主機(jī)之間實(shí)現(xiàn)端傳輸模式用于兩臺(tái)主機(jī)之間實(shí)現(xiàn)端 端端的安全的安全 。 應(yīng)用的應(yīng)用的 IPSec協(xié)議協(xié)議252。 Discard216。如無應(yīng)用端口。9 之 41/28/2023 41安全策略數(shù)據(jù)庫（ SPD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SPn……SP3SP2SP1 目的 IP地址源 IP地址傳輸層協(xié)議系統(tǒng)名用戶 ID上層端口標(biāo)志SA指針SP條目SPD 完整的完整的 DNS名或名或地址。9 之 31/28/2023 40安全策略數(shù)據(jù)庫（ SPD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SPn……SP3SP2SP1 目的 IP地址源 IP地址傳輸層協(xié)議系統(tǒng)名用戶 ID上層端口標(biāo)志SA指針SP條目SPD 指定傳輸協(xié)議（指定傳輸協(xié)議（只要傳輸協(xié)議能訪問只要傳輸協(xié)議能訪問）。9 之 11/28/2023 38安全策略數(shù)據(jù)庫（ SPD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SPn……SP3SP2SP1 目的 IP地址源 IP地址傳輸層協(xié)議系統(tǒng)名用戶 ID上層端口標(biāo)志SA指針SP條目SPD 32位位 IPv4或或 128位位 IPv6地址。對(duì)于外出的 IP數(shù)據(jù)報(bào)，根據(jù) SA選擇器來查找 SPD中匹配的安全策略條目，它會(huì)指向 0個(gè)或多個(gè) SA，然后在 SAD中檢索這個(gè) SA， SA按指定順序依次對(duì)外出 IP數(shù)據(jù)報(bào)進(jìn)行處理。生了哪種操作。式）。參數(shù)。僅用于進(jìn)入數(shù)據(jù)報(bào)。數(shù)據(jù)報(bào)傳送。在溢出之前字段來檢測(cè)重放攻擊。16 之 6SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 27安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 SPI源 /目的 IP地址IPSec協(xié)議序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA標(biāo)識(shí)符 SA參數(shù)表明是表明是 AH還是還是 ESP的的 SA。 SPI在在AH和和 ESP報(bào)頭中出現(xiàn)。對(duì)于進(jìn)入的流量，如果需要進(jìn)行 IPSec處理， IPSec將從 IP數(shù)據(jù)報(bào)中得到三元組，并利用這個(gè)三元組在 SAD中查找一個(gè) SA。w IKE管理管理 一般來說， SA的自動(dòng)建立和動(dòng)態(tài)維護(hù)是通過 IKE進(jìn)行的， SA有生存周期限制。 16 之 11/28/2023 22SA的定義目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP) SA是兩個(gè)是兩個(gè) IPSec實(shí)體（主機(jī)、安全網(wǎng)關(guān)）之間經(jīng)過協(xié)實(shí)體（主機(jī)、安全網(wǎng)關(guān)）之間經(jīng)過協(xié)商建立起來的一種約定商建立起來的一種約定 ，內(nèi)容包括：采用何種 IPSec協(xié)議（AH？ ESP？）、操作模式（傳輸模式？隧道模式？）、驗(yàn)證算法、加密算法、加密密鑰、密鑰生存期、抗重放窗口、計(jì)數(shù)器等，從而決定了保護(hù)什么？如何保護(hù)？誰來保護(hù)？ 可以說可以說 SA是構(gòu)成是構(gòu)成 IPSec的基礎(chǔ)的基礎(chǔ) 。 DOI:Domain Of Interpretation216。w 兩個(gè)數(shù)據(jù)庫兩個(gè)數(shù)據(jù)庫 安全策略數(shù)據(jù)庫 SPD和安全關(guān)聯(lián)數(shù)據(jù)庫 SAD。本課程只考慮 IPv4情況。 目前因特網(wǎng)占統(tǒng)治地位的是目前因特網(wǎng)占統(tǒng)治地位的是 IPv4。IP安全w TCP/IP協(xié)議w IPSec概述w 安全關(guān)聯(lián) (SA)和安全策略 (SP)w 認(rèn)證頭 (AH)w 封裝安全載荷 (ESP)w Inter密鑰交換協(xié)議 (IKE)w IPSec的實(shí)現(xiàn)1/28/2023 1TCP/IP協(xié)議w Inter概述w Inter安全w IP層安全目錄1/28/2023 2inter和 Inter inter（互聯(lián)網(wǎng)或互連網(wǎng)）（互聯(lián)網(wǎng)或互連網(wǎng)） 是一個(gè)通用名詞，它泛指由多個(gè)計(jì)算機(jī)網(wǎng)絡(luò)互連而成的虛擬網(wǎng)絡(luò)。 IPv6是 IPv4的后續(xù)版本， IPv6簡化了IP首部，其數(shù)據(jù)報(bào)更靈活，同時(shí) IPv6還增加了對(duì)安全性的考慮。 IPSec是是 IPv6的一個(gè)組成部分，也是的一個(gè)組成部分，也是 IPv4的一的一個(gè)可擴(kuò)展協(xié)議個(gè)可擴(kuò)展協(xié)議 。w 一個(gè)密鑰交換管理協(xié)議一個(gè)密鑰交換管理協(xié)議 IKE。 AH:Authentication Header216。 AH和 ESP協(xié)議都使用 SA來保護(hù)通信，而 IKE的主要功能就是在通信雙方協(xié)商 SA。16 之 21/28/2023 23SA的管理目錄 安全關(guān)聯(lián) (SA
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1