第五章：安全協議(編輯修改稿)
2025-02-05 15:00 本頁面
【文章內容簡介】 協議（ ISAKMP）、 IP安全解釋域（ DOI）、 Inter密鑰交換（ IKE）、IP安全文檔指南、 OAKLEY密鑰確定協議等，它們分別發(fā)布在RFC2401~RFC2412的相關文檔中。 IPsec的體系結構 IPsec工作原理?設計 IPsec是為了給 IPv4和 IPv6數據提供高質量的、可互操作的、基于密碼?學的安全性。 IPsec通過使用兩種通信安全協議：認證頭（ AH）和封裝安全載荷（ ESP），以及像 Inter密鑰交換（ IKE）協議這樣的密鑰管理過程和協議來達到這些目標。?AH協議提供數據源認證，無連接的完整性，以及一個可選的抗重放服務。?ESP協議提供數據保密性，有限的數據流保密性，數據源認證，無連接的完整性以及抗重放服務。?對于 AH和 ESP都有兩種操作模式：傳輸模式和隧道模式。?IKE協議用于協商 AH和 ESP所使用的密碼算法，并將算法所需要的密鑰放在合適的位置。 IPsec的模式?IPsec協議即可以用來保護一個完整的 IP載荷，也可以用來保護某個 IP載荷的上層協議。這兩個方面的保護分別由 IPsec兩種不同的 “ 模式 ” 來提供：傳輸模式和隧道模式。?傳輸模式在傳輸模式中， IP頭與上層協議頭之間需要插入一個特殊的 IPsec頭。傳輸模式保護的是 IP包的有效載荷或者說保護的上層協議。通常情況下，傳輸模式只用于兩臺主機之間的安全通信。 IPsec的模式?隧道模式隧道模式是為了整個 IP包提供保護。要保護的整個 IP包都需要封裝到另一個 IP數據包中，同時在外部與內部 IP頭之間插入一個 IPsec頭。所有原始的或內部包通過這個隧道從 IP網的一端傳遞到另一端，沿途的路由器只檢查最外面的 IP抱頭，不檢查內部原來的 IP報頭。由于增加了一個新的 IP報頭，因此，新 IP報文的目的地址可能與原來的不一致。IPsec的實現方式?IPsec可以在主機、路由器或防火墻中同時實施和部署。用戶可以根據對安全服務的需要決定究竟在什么地方實施， IPsec的實現方式可分為集成式、BITS方式、 BITW方式三種。?（ 1）集成方式：把 IPsec集成到 IP協議的原始實現中，這需要處理 IP源代碼，適用于在主機和安全網關中實現；?（ 2） BITS（堆棧中的塊）方式：把 IPsec作為一個 “ 楔子 ” 插入原來的 IP協議棧和鏈路層之間。這不需要處理 IP源代碼，適用于對原有系統(tǒng)的升級改造。這種方法通常用在主句方式中；?（ 3） BITW（線纜中的塊）方式：將 IPsec的實現在一個設備中進行，該設備直接接入路由器或主機設備。當用于支持一臺主機時，與 BITS的實現非常相似，但在支持理由器或防火墻時，它必須起到一臺安全網關的作用。認證頭 AH協議? AH的目標? AH協議包格式? AH處理AH協議包格式AH的處理?AH如何完成 IPsec報頭的封裝和接封裝，具體步驟：?Step 1： 外出數據包與一個 SPDB（安全策略數據庫）條目匹配時，查看SADB（安全關聯數據庫）是否有合適的 SA。如果有，就將 AH應用到這個與之相符的數據包，該數據包在 SPDB條目指定的那個模式中。如果沒有，可用 IKE動態(tài)的建立一個，并把序列號計數器初始化為 0。在利用這個 SA構建一個 AH頭之前，計算器就開始遞增，這樣保證了每個 AH報頭中的序列號都是獨一無二的、非零的和單向遞增的數。?Step2：向 AH的其余字段填滿恰當的值；?Step 3：根據驗證算法的要求，或出于排列方面的原因，需要進行適當的填充。AH的處理?Step4： 計算 ICV；?Step5：輸出經過處理的報文；?Step6：對于進入的數據報， AH協議處理的目的就是從數據報中將 AH報頭剝離下來，還原出封裝在 IPsec內的高層數據包；?Step7：重組分段；?Step8：查詢 SADB；?Step9：進行序列號檢查；?Step10：檢查 ICV；?Step 11：接收窗口的序列號可以遞增，結束 AH處理過程，驗證通過的整個數據報傳遞給下一步的 IP來處理。封裝安全載荷 ESP協議? ESP的目標? ESP協議包格式? ESP處理ESP協議隧道模式的數據報格式ESP處理?外出包處理過程如下：?Step1：安全關聯查詢；?Step2：包加密；?Step3：序列號產生；?Step4：完整性校驗值（ ICV）計算；?Step5：分段；?Step 6：重新計算位于 ESP前面的 IP頭檢驗和，按 IPsec格式重新封裝數據報。ESP處理?對于進入包的處理過程如下：?Step1：重組；?Step2： SA查詢；?Step3：序列號驗證；?Step4： ICV驗證；?Step5：包解密。Inter密鑰交換（ IKE）協議?兩臺 IPsec計算機在交換數據之前，必須首先建立某種約定，這種約定稱為“ 安全關聯 ” ，指雙方需要就如何保護信息、交換信息等公用的安全設置達成一致，更重要的是，必須有一種方法，使兩臺計算機安全地交換一套密鑰，以便在連接中使用。 Inter工程任務組 IETF制定的安全關聯標準和密鑰交換解決方案 ——IKE（ Inter密鑰交換）負責這些任務，它提供一種方法供兩臺計算機建立安全關聯（ SA）。?SA對兩臺計算機之間的策略協議進行編碼，指定它們將使用哪些算法和什么樣的密鑰長度，以及實際的密鑰本身。 IKE主要完成兩個作用：?（ 1）安全關聯的集中化管理，減少連接時間；?（ 2）密鑰的生成和管理。Inter密鑰交換（ IKE）協議?安全關聯 SA是單向的，在兩個使用 IPsec的實體間建立的邏輯連接，定義了實體間如何使用安全服務進行通信。它由下列元素組成：
教學課件相關推薦
鄂ICP備17016276號-1