計(jì)算機(jī)網(wǎng)絡(luò)安全第五章(ip安全)-文庫吧在線文庫
【正文】 8/2023 9應(yīng)用層安全目錄 TCP/IP協(xié)議 3 之 21/28/2023 10IP層安全 IP層的主要協(xié)議是 IP協(xié)議，有兩種版本的 IP：IPv4和 IPv6。 IPv4在設(shè)計(jì)之初沒有考慮安全性， IP數(shù)據(jù)報(bào)本身并不具備任何安全特性，導(dǎo)致在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)很容易收到各式各樣的攻擊：業(yè)務(wù)流被監(jiān)聽和捕獲、 IP地址欺騙、信息泄露和數(shù)據(jù)項(xiàng)篡改等。7 之 21/28/2023 15IPSec安全體系結(jié)構(gòu)目錄ESP:封裝安全載荷AH :驗(yàn)證頭DOI:解釋域7 之 31/28/2023 16IPSec的文檔目錄ArchitectureRFC 2401AHRFC 2402ESPRFC 2406DOIRFC 2407ISAKMPRFC 2408OaklyRFC 2412IKERFC 2409216。 SA是單向的， 進(jìn)入進(jìn)入 SA負(fù)責(zé)處理接收到的 IP數(shù)據(jù)報(bào)， 外外出出 SA負(fù)責(zé)處理要發(fā)送的 IP數(shù)據(jù)報(bào)。 每個(gè) SA由三元組唯一標(biāo)識(shí)：SPI，源，源 /目的目的 IP地址，地址， IPSec協(xié)議協(xié)議 1/28/2023 25安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA參數(shù) 安全參數(shù)索引。16 之 71/28/2023 28安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA參數(shù) 用于生成用于生成 AH或或 ESP頭中的序列頭中的序列號(hào)域，僅用于外出數(shù)據(jù)報(bào)。16 之 9SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 30安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA參數(shù) 用來確定一個(gè)輸入的用來確定一個(gè)輸入的 AH或或ESP數(shù)據(jù)包是否是一個(gè)重放包。16 之 12SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 33安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA參數(shù) ESP加密算法、密鑰、初始加密算法、密鑰、初始化向量（化向量（ IV）和）和 IV模式（模式（ ECB、CBC、 CFB和和 OFB）。16 之 16SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 37安全策略（ SP）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP) 安全策略決定了應(yīng)用于 IP數(shù)據(jù)報(bào)的安全服務(wù)以及如何對(duì) IP數(shù)據(jù)報(bào)進(jìn)行處理。地址。地址。 Bypass IPSec216。它所保護(hù)的 IP數(shù)據(jù)報(bào)的通信終點(diǎn)必須是 IPSec終點(diǎn)。w Reserved 8bit，保留，未使用時(shí)必須設(shè)為 0。目錄 認(rèn)證頭 AH 3 之 31/28/2023 59AH輸出輸出 輸入處理流程輸入處理流程1/28/2023 60封裝安全載荷 (ESP)目錄w 概述w ESP操作模式w ESP頭格式w ESP處理過程1/28/2023 61概 述目錄 封裝安全載荷 (ESP)w 提供保密功能，包括報(bào)文內(nèi)容的機(jī)密性和有限的通信量的機(jī)密性，也可以提供認(rèn)證服務(wù)（可選）；w ESP協(xié)議認(rèn)證的原理與 AH協(xié)議相同， ESP協(xié)議加密采用的是對(duì)稱密鑰加密算法；w 加密算法和認(rèn)證算法由 SA指定；w 兩種操作模式：傳輸模式和隧道模式。利用 Inter密鑰交換協(xié)議（ IKE）可以動(dòng)態(tài)地驗(yàn)證 IPSec參與各方的身份、協(xié)商安全服務(wù)以及生成共享密鑰等，也即建立 “安全關(guān)聯(lián) ”（ SA）關(guān)系。1/28/2023 75ISAKMP報(bào)文格式目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文可通過 TCP或 UDP傳輸，端口為 500，一般情況下常用 UDP協(xié)議。w 次版本次版本 4bit，表示 ISAKMP協(xié)議的次版本號(hào)。這樣，不同的載荷可以像鏈條一樣鏈接起來，最后一個(gè)載荷的本字段為 0。 IKE與 ISAKMP不同之處在于： IKE實(shí)際定義了一個(gè)密鑰交換的過程，而 ISAKMP僅僅提供了一個(gè)可由任意密鑰交換協(xié)議使用的通用密鑰交換框架。 一月 21一月 2113:02:5013:02:50January 28, 2023w 1他鄉(xiāng)生白發(fā)，舊國見青山。 一月 2113:02:5013:02Jan2128Jan21w 1世間成事，不求其絕對(duì)圓滿，留一份不足，可得無限完美。 一月 21一月 21Thursday, January 28, 2023w 閱讀一切好書如同和過去最杰出的人談話。 2023/1/28 13:02:5013:02:5028 January 2023w 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。勝人者有力，自勝者強(qiáng)。 。 2023/1/28 13:02:5013:02:5028 January 2023w 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 一月 21一月 21Thursday, January 28, 2023w 雨中黃葉樹，燈下白頭人。本階段的目的是在通信實(shí)體之間建立一個(gè)已經(jīng)通過身份驗(yàn)證和安全保護(hù)的通道。w 報(bào)文報(bào)文 ID 32bit，包含的是由第二階段協(xié)商的發(fā)起方生成的隨機(jī)值，這個(gè)唯一的報(bào)文標(biāo)識(shí)可以唯一確定第二階段的協(xié)議狀態(tài)。w 接收方接收方 Cookie 64bit，作用同上。格式。3 之 11/28/2023 64傳輸模式目錄 封裝安全載荷 (ESP)ESP操作模式原始 IP數(shù)據(jù)報(bào)應(yīng)用 ESP后的 IP數(shù)據(jù)報(bào)3 之 21/28/2023 65傳輸模式的加密目錄 封裝安全載荷 (ESP)ESP操作模式 3 之 31/28/2023 66隧道模式目錄 封裝安全載荷 (ESP)ESP操作模式 隧道模式用于主機(jī)隧道模式用于主機(jī) 路由器或路由器路由器或路由器 路由器之路由器之間的點(diǎn)間的點(diǎn) 點(diǎn)通信，點(diǎn)通信， 保護(hù)整個(gè) IP數(shù)據(jù)報(bào)。具體做法：發(fā)送方將每個(gè) IPSec分組依次將序號(hào)加 1后發(fā)送，接收方對(duì)此序號(hào)進(jìn)行校驗(yàn)就可以抵御重放攻擊。該模式的通信終點(diǎn)由受保護(hù)的內(nèi)部 IP頭指定，而 IPSec終點(diǎn)則由外部 IP頭指定，如果其終點(diǎn)是 IPSec網(wǎng)關(guān)，則該網(wǎng)關(guān)會(huì)還原出內(nèi)部 IP數(shù)據(jù)報(bào)，再轉(zhuǎn)發(fā)到最終目的地。 運(yùn)用的密碼算法運(yùn)用的密碼算法252。如無法訪問，則使用通配法訪問，則使用通配符。許多情況下，只）。對(duì)于進(jìn)入的 IP數(shù)據(jù)報(bào)，首先要對(duì) IP數(shù)據(jù)報(bào)進(jìn)行安全處理。16 之 14SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 35安全關(guān)聯(lián)數(shù)據(jù)庫（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1