計(jì)算機(jī)系統(tǒng)安全 (2)-預(yù)覽頁(yè)
【正文】 ： Inter Security Association and Key Management Protocol Oakley： 是 DH密鑰交換協(xié)議的改進(jìn) 10 結(jié)構(gòu)圖 二、結(jié)構(gòu) 11 IPSec實(shí)施 二、結(jié)構(gòu) IPSec既可在終端系統(tǒng)上實(shí)現(xiàn) ， 亦可在某種安全網(wǎng)關(guān)上實(shí)現(xiàn) （ 如路由器及防火墻 ） 。 這個(gè)模型與其它網(wǎng)絡(luò)層協(xié)議 （ 比如 ICMP） 的實(shí)施等同 。 IPSec實(shí)施方案通過(guò)對(duì)數(shù)據(jù)包進(jìn)行 “ 隧道傳輸 ” ， 從而實(shí)現(xiàn)了對(duì)它們的保護(hù) 。 SA是構(gòu)成 IPSec的基礎(chǔ) 。 18 安全關(guān)聯(lián) 二、結(jié)構(gòu) SA是單向進(jìn)行的 ， 它僅朝一個(gè)方向定義安全服務(wù) ，要么對(duì)通信實(shí)體收到的包進(jìn)行 “ 進(jìn)入 ” 保護(hù) ， 要么對(duì)實(shí)體外發(fā)的包進(jìn)行 “ 外出 ” 保護(hù) 。 SA駐留在 “ 安全關(guān)聯(lián)數(shù)據(jù)庫(kù) （ SAD） ”內(nèi) 。 TTL非常重要 ， 因?yàn)槭芤粋€(gè)密鑰保護(hù)的通信量必須加以謹(jǐn)慎地管理 。 2） 繞過(guò) Ipsec： 允許通過(guò)而無(wú)需 Ipsec保護(hù) 3） 采用 Ipsec： 對(duì)這種業(yè)務(wù)流 ， SPD要指明提供的安全服務(wù) ， 采用的協(xié)議及使用的算法等 。 作為兩個(gè)主機(jī)秘密通信的協(xié)定 ， SA決定了密鑰和加密算法等參數(shù) 。 接收主機(jī)使用SPI， DST， Protocol這個(gè)字元組來(lái)唯一地標(biāo)定 SA（ DST是 IP頭中的目標(biāo)地址；而 protocol代表協(xié)議是AH或 ESP） 。因此在數(shù)學(xué)上比加密算法被攻擊的弱點(diǎn)要少。 受保護(hù)的數(shù)據(jù)可以是一個(gè)上層協(xié)議 ， 或者是整個(gè) IP數(shù)據(jù)報(bào) 。它和 IP頭之前的目標(biāo)地址以及協(xié)議結(jié)合在一起 ， 用來(lái)標(biāo)識(shí)用于處理數(shù)據(jù)包的特定的 SA。因此 ， 這個(gè)字段的長(zhǎng)度由數(shù)據(jù)長(zhǎng)度決定 。 33 處理外出數(shù)據(jù)包：傳送模式 三、封裝安全載荷 對(duì)在 IPv4上運(yùn)行的傳送模式應(yīng)用來(lái)說(shuō) ， ESP頭跟在IP頭后 ， IP頭的協(xié)議字段被復(fù)制到 ESP頭的 “ 下一個(gè)頭 ” 字段中 ， ESP頭的其余字段則被填滿 — SPI字段分配到的是來(lái)自 SAD的 、 用來(lái)對(duì)這個(gè)包進(jìn)行處理的特定 SA的 SPI； 填充序列號(hào)字段的是序列中的下一個(gè)值；填充數(shù)據(jù)會(huì)被插入 ， 其值被分配；同時(shí)分配的還有填充長(zhǎng)度值 。 34 處理外出數(shù)據(jù)包：隧道模式 三、封裝安全載荷 對(duì)隧道模式應(yīng)用來(lái)說(shuō) ， ESP頭是加在 IP包前面的 。 35 加密認(rèn)證 三、封裝安全載荷 不管哪種模式下 ， 接下去的步驟都是相同的 。 對(duì)外出數(shù)據(jù)包進(jìn)行處理的最后一步是：重新計(jì)算位于 ESP前面的 IP頭的校驗(yàn)和 。 如果收到的 IPSec包是一個(gè)分段 ， 必須把它保留下來(lái) ， 直到這個(gè)包的其他部分收完為止 。 首先檢查序列號(hào) 。 傳送身份認(rèn)證和解密檢查成功之后 ， 就可對(duì)結(jié)果數(shù)據(jù)包進(jìn)行初步的有效性檢驗(yàn) 。 為進(jìn)行下一步的處理 ， 可將一個(gè)經(jīng)過(guò)改造和認(rèn)證的包轉(zhuǎn)發(fā)出去 。 除了機(jī)密性之外 ， AH提供 ESP能夠提供的一切東西 。 在 IPv4中數(shù)據(jù)報(bào)的協(xié)議字段值是 51， 表明 IP頭之后是一個(gè) AH頭 。 將 AH頭插入 IPv6的規(guī)則與 ESP插入規(guī)則類似 。另外 ， 也不需要一個(gè)初始化向量 。 載荷長(zhǎng)度字段表示采用 32位的字減 2表示頭本身的長(zhǎng)度 。 45 認(rèn)證頭格式 四、認(rèn)證頭 SPI和外部 IP頭的目的地址一起 ， 用于識(shí)別對(duì)這個(gè)包進(jìn)行身份認(rèn)證的 SA。 AH沒(méi)有定義身份認(rèn)證器 ， 但有兩個(gè)強(qiáng)制實(shí)施身份認(rèn)證器： HMACSHA96和 HMACMD596。不同之處在于它保護(hù)的數(shù)據(jù)要么是一個(gè)上層協(xié)議 ， 要么就是一個(gè)完整的 IP數(shù)據(jù)報(bào) 。 下一個(gè)頭是 TCP。 49 隧道模式 四、認(rèn)證頭 IP頭 下一個(gè)頭 載荷長(zhǎng)度 保留 SPI 序列號(hào) 認(rèn)證數(shù)據(jù) IP頭 數(shù)據(jù) 已認(rèn)證 下一個(gè)頭是 IPinIP 50 AH處理 四、認(rèn)證頭 外出數(shù)據(jù)包與一個(gè) SPD條目 （ 表示采用 AH保護(hù) ）匹配時(shí) ， 要求 SAD查看是否存在一個(gè)合適的 SA。AH始終保護(hù)的是 ESP， 別無(wú)它物 。 AH頭的其余字段都將填滿恰當(dāng)?shù)闹?。 對(duì)沒(méi)有包含在身份認(rèn)證 ICV中的 IPv4頭來(lái)說(shuō) ， 它的不定字段包括 Type of service（ 服務(wù)類型 ） 、 Flags（ 標(biāo)志 ） 、 Fragment offset(分段偏移 )、 Time to live(存活時(shí)間 )和 Header checksum(頭校驗(yàn)和 )。 對(duì)有些 MAC來(lái)說(shuō) ，比如 DESCBCMAC， 要求在其上面應(yīng)用 MAC的數(shù)據(jù)必須是算法的塊尺寸的倍數(shù) 。 對(duì)于 IPv4， AH頭必須是 32個(gè)字節(jié)的一倍 ， IPv6則是 64個(gè)字節(jié)的一倍 。 54 輸出處理 四、認(rèn)證頭 通過(guò)把密鑰從 SA和整個(gè) IP包 （ 包括 AH頭 ） 傳到特定的算法 （ 它被認(rèn)作 SA中的身份認(rèn)證程序 ）這一方式 ， 對(duì) ICV進(jìn)行計(jì)算 。根據(jù)包的大小 ， 在放到線上之前 ， 可將它分段 ，或在兩個(gè) IPSec同級(jí)之間的傳送過(guò)程中 ， 由路由器進(jìn)行分段 。 如果沒(méi)有找到合適的 SA， 這個(gè)包就會(huì)被丟棄 。 56 輸入處理 四、認(rèn)證頭 現(xiàn)在必須檢查完整性檢查值 （ ICV） 了 。 IKE協(xié)議是 Oakley和 SKEME協(xié)議的混合 ， 并在由ISAKMP規(guī)定的一個(gè)框架內(nèi)運(yùn)作 。 58 Inter密鑰交換 IKE的用途 Oakley和 SKEME定義了通信雙方建立共享密鑰的步驟 。 階段 2：對(duì) Sa可提供的服務(wù)及所需密鑰進(jìn)行協(xié)商 。 ? IPSec的典型應(yīng)用是構(gòu)建虛擬專用網(wǎng) VPN VPN通過(guò)保密隧道在非信任公共網(wǎng)絡(luò)上產(chǎn)生安全私有連
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1