網(wǎng)絡(luò)與內(nèi)容安全-007互聯(lián)網(wǎng)安全協(xié)議(編輯修改稿)
2025-02-14 01:48 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 thentication Header) ： 使用 ESP進(jìn) 行包加密的 報(bào) 文包格式和一般性 問(wèn)題 ； ? 加密算法 ：描述 將 各 種 不同加密算法用于 ESP的文 檔 ? 認(rèn)證 算法 ：描述 將 各 種 不同加密算法用于 AH以及 ESP認(rèn)證選項(xiàng) 的文 檔 ； ? DOI (Domain of Interpretation)： 其 它 相 關(guān) 文 檔 ，批準(zhǔn)的加密和 認(rèn)證 算法 標(biāo)識(shí) ，以及 運(yùn) 行 參數(shù) 等； ? 密 鑰 管理 ：描述密 鑰 管理模式。 27 IPSec的安全目 標(biāo) ? 期望安全的用 戶 能 夠 使用基于密 碼學(xué) 的安全機(jī)制 – 應(yīng) 能同 時(shí) 適用 與 IPv4和 IPv6, IPng. – 算法 獨(dú) 立 – 有利于 實(shí)現(xiàn) 不同安全策略 – 對(duì)沒(méi) 有采用 該 機(jī)制的的用 戶 不 會(huì) 有副面影 響 ? 上述特征的支持在 IPv6中是強(qiáng)制的，在 IPv4中是可 選 的。采用在主 IP報(bào)頭 后面接 續(xù)擴(kuò) 展 報(bào)頭 的方法 實(shí)現(xiàn) 的。 ? IPSec在 IP層 提供安全服 務(wù) ，使得系 統(tǒng) 可以 選擇 所需要的安全 協(xié)議 ，確定 該 服務(wù) 所用的算法， 并 提供安全服 務(wù) 所需仸何加密密 鑰 。 – 訪問(wèn) 控制， 連 接完整性， 數(shù) 據(jù)源 認(rèn)證 ，拒 絕 重放 數(shù) 據(jù)包，保密性（加密），有限 27 AH ESP(僅加密 ) ESP(加密 +認(rèn)證 ) 訪問(wèn)控制 √ √ √ 連接完整性 √ √ 數(shù)據(jù)源認(rèn)證 √ √ 拒絕重放包 √ √ √ 保密性 √ √ 有效保密性 √ √ 28 IPSec的工作 過(guò) 程 29 IPSec的工作模式－傳輸模式 ? IPSec傳輸模式只對(duì) IP包的數(shù)據(jù)部分進(jìn)行加密 ? 在數(shù)據(jù)字段前插入 IPSec認(rèn)證頭，而對(duì) IP包頭不進(jìn)行任何修改 ? 源地址和目標(biāo)地址暴露在公網(wǎng)中，容易遭到攻擊 ? 通常用于兩個(gè)終端節(jié)點(diǎn)之間的連接，如 “ 客戶 服務(wù)器 ” ? 當(dāng)采用 AH傳輸模式時(shí)，主要為 IP數(shù)據(jù)包（ IP包頭中的可變信息除外）提供認(rèn)證保護(hù) ? 采用 ESP傳輸模式時(shí)，主要對(duì) IP數(shù)據(jù)包的上層信息提供加密和認(rèn)證雙重保護(hù) 30 IPSec的工作模式 －隧道模式 ? 對(duì)整個(gè) IP包進(jìn)行加密 ? IP包的源地址和目標(biāo)地址被有效地隱藏起來(lái) ? 引入 IPSec認(rèn)證頭和新的 IP頭標(biāo)，使 IP包能夠安全地在公用網(wǎng)絡(luò)上傳輸 ? 通常用于兩個(gè)非終端節(jié)點(diǎn)之間的連接，如 “ 防火墻 /路由器 —防火墻 /路由器 ” ? 采用 AH隧道模式時(shí)，主要為 IP數(shù)據(jù)包（ IP頭中的可變信息除外）提供認(rèn)證保護(hù)； ? 采用 ESP隧道模式時(shí)，主要對(duì) IP數(shù)據(jù)包提供加密和認(rèn)證雙重保護(hù) 31 IPSec的工作模式 (續(xù) ) 32 認(rèn)證頭（ Authentication， AH） ? 認(rèn)證頭是為 IP數(shù)據(jù)包提供強(qiáng)認(rèn)證的一種安全機(jī)制 ? 為 IP數(shù)據(jù)包提供數(shù)據(jù)完整性、數(shù)據(jù)源認(rèn)證和抗重傳攻擊功能 ? 認(rèn)證 ? 數(shù)據(jù)完整性：消息認(rèn)證碼產(chǎn)生的校驗(yàn)值來(lái)保證 ? 數(shù)據(jù)源認(rèn)證：數(shù)據(jù)保重包含一個(gè)將要被認(rèn)證的共享秘密或密鑰來(lái)保證 ? 抗重傳攻擊 ： 在 AH中使用一個(gè)經(jīng)認(rèn)證的序列號(hào)來(lái)實(shí)現(xiàn) 33 認(rèn)證頭（ Authentication， AH） ? 認(rèn)證頭格式 34 安全封裝載荷（ ESP） ? ESP主要支持 IP數(shù)據(jù)包的機(jī)密性 ? 將需要保護(hù)的用戶數(shù)據(jù)進(jìn)行加密后再封裝到新的 IP數(shù)據(jù)包中 ? 可提供認(rèn)證： 只認(rèn)證 ESP頭之后的信息，比 AH認(rèn)證范圍小 35 互聯(lián)網(wǎng)密鑰交換協(xié)議（ IKE） ? 用 IPSec傳輸一個(gè) IP包之前，必須建立一個(gè)安全關(guān)聯(lián)，它可以手工創(chuàng)建或動(dòng)態(tài)建立?；ヂ?lián)網(wǎng)密鑰交換協(xié)議（ IKE）用于動(dòng)態(tài)建立安全關(guān)聯(lián)，它以 UDP方式通信，其端口號(hào)為 500 36 互聯(lián)網(wǎng)密鑰交換協(xié)議（ IKE） ? 實(shí)現(xiàn)上的兩個(gè)階段 ? 第一階段：為建立 IKE本身實(shí)用的安全信道而與 SA協(xié)商，主要是協(xié)商建立“主密鑰” ? 第二階段：利用第一階段建立的安全信道交換 IPSec通信中實(shí)用的與 SA有關(guān)的信息，建立 IPSec安全關(guān)聯(lián) 37 IPsec與 IKE的關(guān)系 ? IKE是 UDP之上的一個(gè)應(yīng)用層協(xié)議，是 IPsec的信令協(xié)議； ? IKE為 IPsec協(xié)商建立 SA，并把建立的參數(shù)及生成的密鑰交給 IPsec； ? IPsec使用 IKE建立的 SA對(duì)IP報(bào)文加密或認(rèn)證處理。 38 安全關(guān)聯(lián) ? 為了使通信雙方的認(rèn)證算法或加密算法保持一致，通信雙方相互之間建立的聯(lián)系稱為安全關(guān)聯(lián)，即 SA ? SA是 IPSec的重要組成部分，是與給定的一個(gè)網(wǎng)絡(luò)連接或一組網(wǎng)絡(luò)連接相關(guān)的安全信息參數(shù)的集合
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1