(16)ip安全(編輯修改稿)
2025-01-22 06:37 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 密。 ? ICV 域是可選的。僅當(dāng)選擇了完整性服務(wù)且該服務(wù)或者由一個(gè)單獨(dú)的完整性算法提供，或者由用于 ICV 的組合式算法提供時(shí)，該域才會(huì)出現(xiàn)。 ICV 值是在加密完成后才被計(jì)算。 ? 這種處理順序能使在對(duì)包解密前就可對(duì)接收者的重放或偽造作出快速的檢測(cè)與拒絕，從而可以潛在地降低拒絕服務(wù)器攻擊（ DoS）的影響。它還對(duì)接收者對(duì)包的并行處理的可能性留有余地。也就是說(shuō)，解密和完整性校驗(yàn)可以并行處理。注意，由于 ICV 值未作加密保護(hù)，對(duì) ICV 值的計(jì)算需要用帶密匙的完整性算法。 填充（ padding）域有如下幾個(gè)作用： ? 如果加密算法要求明文為某個(gè)數(shù)目字節(jié)的整數(shù)倍（如分塊加密中要求明文是單塊長(zhǎng)度的整數(shù)倍），填充域用于把明文（包括載荷數(shù)據(jù)、填充、填充長(zhǎng)度、鄰接報(bào)頭域）擴(kuò)展到需要的長(zhǎng)度。 ? ESP 格式要求填充長(zhǎng)度和鄰接報(bào)頭域?yàn)橛覍?duì)齊的 32比特的字，同樣，密文也是 32比特的整數(shù)倍，填充域用來(lái)保證這樣的排列。 ? 增加額外的填充能隱藏載荷的實(shí)際長(zhǎng)度，從而提供部分流量的保密。 ? 4. 反重放服務(wù) ? 重放攻擊 就是一個(gè)攻擊者得到了一個(gè)經(jīng)過(guò)認(rèn)證的包的副本，稍后又將其傳送到其希望被傳送到的目的站點(diǎn)的攻擊。重復(fù)的接收經(jīng)過(guò)認(rèn)證的 IP 包可能會(huì)以某種方式中斷服務(wù)或產(chǎn)生一些不希望出現(xiàn)的結(jié)果。序列號(hào)域就是為了阻止這樣的攻擊而設(shè)計(jì)的。 ? 安全關(guān)聯(lián) SA是發(fā)送端和接收端之間用于對(duì)它們之間傳遞的數(shù)據(jù)流提供安全服務(wù)的一個(gè)單向邏輯連接。 ? AH 和 ESP 都支持兩種使用模式：傳輸模式和隧道模式。 傳輸模式通常應(yīng)用于主機(jī)之間端對(duì)端通信，該模式要求主機(jī)支持 IPSec。 隧道模式應(yīng)用于網(wǎng)關(guān)模式中，即在主機(jī)的網(wǎng)關(guān)（防火墻、路由器）上加載 IPSec，這個(gè)網(wǎng)關(guān)就同時(shí)升級(jí)為 SG（ Security Gateway，安全網(wǎng)關(guān)）。 ? 傳輸模式 主要為上層協(xié)議提供保護(hù)， AH或 ESP報(bào)頭插入在 IP報(bào)頭和傳輸層協(xié)議報(bào)頭之間。 原 始 I P 頭傳 輸 模 式 應(yīng) 用 E S P 后 ：加 密 數(shù) 據(jù)A H傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù)原 始 I P 頭 E S P 頭 傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù) E S P 尾E S P 認(rèn) 證驗(yàn) 證 數(shù) 據(jù)原 始 I P 頭 傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù)傳 輸 模 式 應(yīng) 用 A H 后 ： 隧道模式 ，整個(gè) IP包都封裝在一個(gè)新的 IP包中，并在新的 IP報(bào)頭和原來(lái)的 IP報(bào)頭之間插入 IPSec頭（ AH/ESP）。 傳輸模式下的 AH和 ESP都沒(méi)有對(duì) IP報(bào)頭進(jìn)行封裝，隧道模式下整個(gè) IP包都被封裝了。當(dāng)采用 ESP進(jìn)行數(shù)據(jù)加密時(shí)，原始 IP報(bào)頭中的源地址和目的地址都被隱藏起來(lái)，具有更好的安全性。 新 I P 頭 原 始 I P 頭隧 道 模 式 應(yīng) 用 E S P 后 ：加 密 數(shù) 據(jù)A H傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù)新 I P 頭 原 始 I P 頭E S P 頭 傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù) E S P 尾E S P 認(rèn) 證驗(yàn) 證 數(shù) 據(jù)原 始 I P 頭 傳 輸 層 包 頭 （ T C P / U D P ） 數(shù) 據(jù)隧 道 模 式 應(yīng) 用 A H 后 ： ? 傳輸模式 ESP 用于加密和認(rèn)證（認(rèn)證可選） IP 攜帶的數(shù)據(jù)（如 TCP分段），如圖所示。 ? 當(dāng)傳輸模式使用于 IPv4 時(shí)， ESP 報(bào)頭被插在傳輸層報(bào)頭（例如 TCP、 UDP、 ICMP）前面的 IP 包中， ESP 尾（填充、填充長(zhǎng)度和鄰接報(bào)頭域）被放在 IP 包的后面。如果選擇認(rèn)證， ESP 認(rèn)證數(shù)據(jù)域就被放在 ESP 尾部之后，整個(gè)傳輸層分段和 ESP 尾部一起被加密，認(rèn)證覆蓋了所有的密文和 ESP 報(bào)頭。 ( a ) 應(yīng) 用 E S P 之 前I P v 4原
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1