網(wǎng)絡(luò)安全06-安全協(xié)議(編輯修改稿)
2025-02-12 12:58 本頁面
【文章內(nèi)容簡介】 eader Payload length Reserved SPI Sequence number Authentication data AH頭的長度 下一個協(xié)議類型 AH協(xié)議的鑒別 ? 鑒別數(shù)據(jù) ICV，用于數(shù)據(jù)源鑒別 ? 缺?。?96bits的 MAC ? 算法： HMACMD596， HMACSHA196, etc ? ICV的生成方式 ? IP分組頭中傳輸中保持不變的或者接受方可以預(yù)測的字段 ? AH頭中除“鑒別數(shù)據(jù)”以外的所有數(shù)據(jù) ? 被 AH保護的所有數(shù)據(jù)，如高層協(xié)議數(shù)據(jù)或被 AH封裝的 IP分組 ? 除此以外，所有數(shù)據(jù)在計算 ICV時被清 0 AH協(xié)議的鑒別范圍 – IPv4 IP TCP Payload IP AH TCP Payload 原始分組 New IP AH IP TCP Payload 隧道模式 傳輸模式 除 IP頭中的可變字段外，都被 AH保護 除 new IP頭中的可變字段外，都被 AH保護 ESP協(xié)議 ? ESP – Encapsulating Security Payload ? 提供更高級別的安全保護 ? 訪問控制 ? 數(shù)據(jù)源鑒別 ? 數(shù)據(jù)完整性 ? 數(shù)據(jù)保密性 ? 重放保護 ? 有限的流量保密 ? ESP支持的加密算法 ? 3DES、 IDEA、 RC5 …… ? 支持的鑒別算法 ? 與 AH相同 ESP協(xié)議 ? 安全參數(shù)索引 SPI：標(biāo)識與分組通信相關(guān)聯(lián)的 SA ? 序列號 Sequence Number：單調(diào)遞增的序列號，用來抵抗重放攻擊 ? 凈荷數(shù)據(jù)：被加密保護 ? 填充與填充長度：被加密保護 ? 通過填充使得 ESP協(xié)議段的長度為 32bits的整數(shù)倍 ? 通過填充，隱藏了原始數(shù)據(jù)的長度，提供了有限的流量保密 ? 下一協(xié)議擴展頭類型：被保護的數(shù)據(jù)的協(xié)議類型 ? 鑒別數(shù)據(jù) Authentication Data：包含進行數(shù)據(jù)源鑒別的數(shù)據(jù)（ MAC），即 ICV SPI SN Payload (protected) Pad Pad Length Next header Authentication data ESP的安全保障 – IPv4 IP TCP Payload IP ESPH TCP Payload ESPT ESPAD 原始分組 New IP ESPH IP TCP Payload ESPT ESPAD 隧道模式 傳輸模式 鑒別保護 鑒別保護 加密保護 加密保護 IPSec的重放保護 ? 在每一個安全關(guān)聯(lián)都維護一個防重放的滑動窗口，大小 64，向右側(cè)滑動 ? 每個 IPSec分組都被分配一個序列號 ? 在接受方，滿足以下條件的分組才是合法的： ? 分組通過鑒別 ? 分組序號是新的，未在滑動窗口中出現(xiàn)過 ? 分組序號落在滑動窗口內(nèi)或右側(cè) ? 分組序號落在滑動窗口右側(cè)，窗口向右滑動 ? 通過這種機制，重放攻擊的分組將被丟棄 IPSec密鑰管理 ? 手工管理 ? 自動管理 ? Photuris ? 簡單 Inter密鑰管理協(xié)議 SKIP ? Inter密鑰交換協(xié)議 IKE ? IPSec默認的協(xié)議 ? IKE IKE ? AH ESP ? 安全關(guān)聯(lián) SA和會話密鑰建立以后的工作過程 ? IKE ? 用于雙向認證、建立共享密鑰和會話關(guān)聯(lián) SA的協(xié)議 ? 包括三個部分 ? IKE ? ISAKMP ? DOI SSL SSL簡介 ? SSL（ Secure Socket Layer，安全套接層）協(xié)議 ? Netscape公司于 1994年最先提出來的 ? 被設(shè)計成使用 TCP來提供一種可靠的端到端的安全服務(wù)，是一種基于會話的 加密和認證 的協(xié)議 ? 在客戶和服務(wù)器之間提供了一個安全的管道 ? 為了防止客戶 /服務(wù)器應(yīng)用中的監(jiān)聽、篡改、消息偽造等， SSL提供了 服務(wù)器認證 和可選的 客戶端認證 ? 通過在兩個實體間建立一個共享的秘密， SSL提供 保密性 ? SSL工作在傳輸層（ TCP）和應(yīng)用層之間 ? SSL獨立于應(yīng)用層協(xié)議，高層協(xié)議可基于 SSL進行透明的傳輸 SSL協(xié)議的協(xié)議層次 SSL協(xié)議提供的主要服務(wù) ? 加密處理 ? 加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊??； ? 維護數(shù)據(jù)的完整性 ? 確保數(shù)據(jù)在傳輸過程中不被改變。 ? 認證服務(wù) ? 認證用戶（可選）和服務(wù)器，確保數(shù)據(jù)發(fā)送到正確的客戶機（可選）和服務(wù)器； SSL的兩個重要概念 1 ? SSL會話（ session） ? 一個 SSL會話指客戶與服務(wù)器之間的聯(lián)系 ? 會話由 SSL握手協(xié)議 創(chuàng)建，定義了一套安全加密參數(shù)，為多個連接所共享 ? 握手協(xié)議的職責(zé)是 協(xié)調(diào)客戶和服務(wù)器的狀態(tài) ，使得雙方在不能精確地并行的情況下，也能工作一致 ? 會話狀態(tài) ? 會話標(biāo)識 ? Peer 證書： peer的 x509證書 ? 壓縮方法 ? 密碼規(guī)范：加密算法；消息摘要算法；有關(guān)密碼的一些屬性 ? 主密鑰：客戶和服務(wù)器共享的主密鑰 ? 恢復(fù)：用一個標(biāo)志位表示該會話是否可以初始化一個新的連接。 SSL的兩個重要概念 2 ? SSL連接（ connection) ? 用于實現(xiàn)特定類型的服務(wù)數(shù)據(jù)的安全傳輸 ? SSL的連
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1