網(wǎng)絡(luò)與信息安全ip安全-文庫(kù)吧在線文庫(kù)
【正文】 1 I P 包選 擇 器S P DA H E S PS AS P I D e s t協(xié) 議S A D傳 輸模 式隧 道模 式傳 輸模 式隧 道模 式旁 路 I P S e c丟 棄IPSec包轉(zhuǎn)發(fā)處理流程 22 AH(Authentication Header)：提供數(shù)據(jù)完整性和 IP包認(rèn)證功能 利用 MAC碼實(shí)現(xiàn)認(rèn)證 ， 雙方必須共享一個(gè)密鑰 認(rèn)證算法由 SA指定 支持兩種認(rèn)證模式： 傳輸模式：不改變 IP地址 ， 插入一個(gè) AH 隧道模式：生成一個(gè)新的 IP頭 ， 把 AH和原來(lái)的整個(gè) IP包放到新 IP包的有效載荷數(shù)據(jù)中 認(rèn)證報(bào)頭 AH 23 IPSec的 AH頭 鄰接報(bào)頭 （ 8bit） ：緊跟著認(rèn)證頭的下一個(gè)報(bào)頭類型說(shuō)明 有效載荷長(zhǎng)度 （ 8bit） ： AH頭的長(zhǎng)度 （ 以 32bits的字為單位 ） 2 保留 （ 16bit） 安全參數(shù)索引 （ 32bit） ：標(biāo)識(shí)一個(gè) SA 序列號(hào) （ 32bit） ：一個(gè)單調(diào)遞增計(jì)數(shù)器 ， 防止重放攻擊 認(rèn)證數(shù)據(jù) （ 長(zhǎng)度可變 ） ：包含了 MAC或完整性校驗(yàn)值 （ ICV） 24 對(duì) IP包的數(shù)據(jù)完整性和認(rèn)證提供支持 完整性校驗(yàn)值 （ ICV） ： MAC或者是 MAC值的削減版 認(rèn)證數(shù)據(jù)域計(jì)算內(nèi)容包括： IP頭中在傳輸過(guò)程中不可變或可以預(yù)測(cè)的部分 、 AH報(bào)頭中除了認(rèn)證數(shù)據(jù)域外的其他域 ， 以及上層協(xié)議數(shù)據(jù)， 而其余可變域置為 0 提供反重放攻擊服務(wù) 序列號(hào)不允許循環(huán)使用 ， 一旦到達(dá)循環(huán)值 ， 則生成新的 SA 窗口機(jī)制 AH的功能 若收到的包在窗口中且是新包，驗(yàn)證之，若通過(guò)，則標(biāo)記 若收到的包超過(guò)窗口右邊界且是新包，驗(yàn)證之，若通過(guò)，則窗口前進(jìn)，并標(biāo)記 若收到的包超過(guò)左邊界或未通過(guò)驗(yàn)證，則丟棄 25 傳輸模式和隧道模式 傳輸模式：端到端 隧道模式：端到中間節(jié)點(diǎn) 可以訪問(wèn)中間節(jié)點(diǎn)內(nèi)部網(wǎng)絡(luò) 端 對(duì)端與端對(duì)中間節(jié)點(diǎn)認(rèn)證的比較 26 IPv4環(huán)境下 AH兩種模式示意圖 可變域包括 TTL、校驗(yàn)和，要置 0 27 IPv6環(huán)境下 AH兩種模式示意圖 可變域包括流標(biāo)簽，要置 0 AH可以放到 dest前面或者后面 28 ESP(Encapsulating Security Payload)為 IP包提供保密功能 ， 包括報(bào)文內(nèi)容的機(jī)密性和有限的通信量的機(jī)密性 ， 也可以提供認(rèn)證服務(wù) （ 可選 ） 將需要保密的用戶數(shù)據(jù)進(jìn)行加密后再封裝到一個(gè)新的IP包中 ， ESP只認(rèn)證 ESP頭及之后的信息 加密算法和認(rèn)證算法由 SA指定 同樣支持傳輸模式和隧道模式兩種模式 封裝安全載荷 ESP 29 IPSec的 ESP 安全參數(shù)索引 （ 32bit） ：標(biāo)識(shí)一個(gè)SA 序列號(hào) （ 32bit） ：一個(gè)單調(diào)遞增計(jì)數(shù)器 ， 防止重放攻擊 載荷數(shù)據(jù) （ 長(zhǎng)度可變 ） ：被加密保護(hù)的傳輸層分段 （ 傳輸模式 ） 或 IP包 （隧道模式 ） 填充域：擴(kuò)展 ESP包到需要的長(zhǎng)度 填充長(zhǎng)度：標(biāo)明填充域的長(zhǎng)度 鄰接報(bào)頭 （ 8bit） ：通過(guò)標(biāo)識(shí)載荷中的第一個(gè)報(bào)頭來(lái)標(biāo)識(shí)包含在載荷數(shù)據(jù)域中的數(shù)據(jù)類型 認(rèn)證數(shù)據(jù) （ 長(zhǎng)度可變 ） ：包含完整性校驗(yàn)值 （ ICV） 30 加密算法： 三重 DES RC5 IDEA 三重 IDEA CAST Blowfish 認(rèn)證算法： HMACSHA196 HMACMD596 加密和認(rèn)證算法
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1