【文章內(nèi)容簡介】 返回 IP層調(diào)用進程（多個 SA需要進行多次變換處理）。如果 SA尚未建立，策略引擎根據(jù)用戶配置的安全策略，通知 Inter密鑰協(xié)商（ IKE）模塊創(chuàng)建 SA。 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 1） AH(Authentieation Header) AH協(xié)議為 IP報文提供數(shù)據(jù)完整性、數(shù)據(jù)源驗證以及可選擇的抗重放攻擊保護，但不提供數(shù)據(jù)加密服務(wù)。對 AH的詳細描述在 RFC2402中。 AH協(xié)議使用散列技術(shù)來驗證數(shù)據(jù)完整性和驗證數(shù)據(jù)源。常用的散列函數(shù)有 MD SHA HMACMD HMACSHA1等。注意： AH不對受保護的 IP數(shù)據(jù)報的任何部分進行加密。由于 AH不提供機密性保證，所以它也不需要加密算法。 AH可用來保護一個上層協(xié)議 (傳輸模式 )或一個完整的 IP數(shù)據(jù)報 (隧道模式 ) 它既可以單獨使用也可以和 ESP聯(lián)合使用。 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 1） AH(Authentieation Header) 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 1） AH(Authentieation Header) AH封裝劃分為兩種模式：傳輸模式和隧道模式。如果將 AH頭插入 IP頭和路由擴展頭之后，上層協(xié)議數(shù)據(jù)和端到端擴展頭之前，則稱這種封裝為傳輸模式；如果將 AH頭插入原 IP分組的 IP頭之前，并在 AH頭之前插入新的 IP頭，則稱這種封裝為隧道模式。 第 4章 網(wǎng)絡(luò)安全協(xié)議 傳輸方式和隧道方式 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 2） ESP(Encapsulating Security Payload) ESP協(xié)議為保證重要數(shù)據(jù)在公網(wǎng)傳輸時不被他人竊取，除了提供AH提供的所有服務(wù)外還提供數(shù)據(jù)加密服務(wù)。常用的數(shù)據(jù)加密方法有： DES， 3DES等。 ESP通過使用消息碼提供認證服務(wù)，常用的認證算法有： HMACMD5， HMACSHA1等。 ESP是一個通用的易擴展的安全機制，它把基本的 ESP定義和實際提供安全服務(wù)的算法分開。其加密算法和認證算法是由 ESP安全聯(lián)盟的相應(yīng)組件所決定的。同樣， ESP通過插入一個唯一的單向遞增的序列號提供抗重放攻擊的服務(wù)。 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 2） ESP(Encapsulating Security Payload) 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 （ 2） ESP(Encapsulating Security Payload) ESP封裝的兩種模式：傳輸模式和隧道模式。 第 4章 網(wǎng)絡(luò)安全協(xié)議 ? IPSec Services 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 3） IKE（ Inter Key Exchange） Inter密鑰交換協(xié)議 (IKE)是一個以受保護方式為 SA協(xié)商并提供經(jīng)認證的密鑰信息的協(xié)議。用 IPSec保護一個 IP包之前，必須先建立一個安全關(guān)聯(lián)(SA)。正如前面指出的那樣， SA可以手工建立或動態(tài)建立。 IKE用于動態(tài)建立 SA。 IKE代表 IPSec對 SA進行協(xié)商，并對安全關(guān)聯(lián)數(shù)據(jù)庫 (SADB)進行填充。IKE由 RFC2409文件描述。 IKE實際上是一種混合型協(xié)議，它建立在由 Inter安全關(guān)聯(lián)和密鑰管理協(xié)議 (ISAKMP， Inter Security Association and Key Management Protocol)定義的一個框架上。同時 IKE還實現(xiàn)了兩種密鑰管理協(xié)議（ Oakley和 SKEME）的一部分。 IKE協(xié)商的安全參數(shù)包括加密機制、散列機制、認證機制、 DiffieHellman組、密鑰資源以及 IKE SA協(xié)商的時間限制等。其交換的最終結(jié)果是一個通過驗證的密鑰以及建立在雙方同意基礎(chǔ)上的安全聯(lián)盟。由于 IKE同時借鑒了 ISAKMP SA中的“階段”概念和 OAKLEY協(xié)議中的“模式”概念，所以在 IKE的分階段交換中，每個階段都存在不同的交換模式。 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 3） IKE（ Inter Key Exchange） IKE將密鑰交換分成兩個階段，在第一個階段，就是ISAKMP SA的建立階段，通信實體之間建立一個經(jīng)過認證的安全通道，用于保護階段 2中消息的安全。階段 1的交換模式有兩種：分別是主模式和積極模式： ①主模式實際上是 ISAKMP中定義的身份保護交換模式的一個具體實例化，它提供了對交換實體的身份保護，交換雙方在主模式中要交換三對共六條消息，頭兩條消息進行 cookie交換和協(xié)商策略，包括加密算法、散列算法及認證方法等；中間兩條用于交換 DiffieHellman公開值和一些必要的輔助數(shù)據(jù)，例如現(xiàn)時載荷 Nonce等；最后兩條消息用于驗證 DH交換和身份信息。 第 4章 網(wǎng)絡(luò)安全協(xié)議 IPSec協(xié)議簇 IPSec中的主要協(xié)議 （ 3） IKE（ Inter Key Exchange） ②積極模式則是 ISAKMP中積極交換模式的具體實例化，積極模式通常要求交換三條消息，前兩條消息用于安全策略協(xié)商，交換 DH公開值和一些輔助數(shù)據(jù)，并且在第二條消息中還要認證響應(yīng)者的身份；第三條消息用于對發(fā)起者的身份進行認證，并提供參與交換的證據(jù)。由此可見，積極模式能夠減少協(xié)商的步驟并加快協(xié)商的過程。 階段 2是在階段 1建立起的 ISAKMP SA的基礎(chǔ)上，為特定的協(xié)議協(xié)商 SA，用于保護通信雙方的數(shù)據(jù)傳輸安全。階段 2的交換模式為“快速交換模式”。在階段 2中，可由通信的任何一方發(fā)起一個快速模式(Quick Mode)交換，其目的是建立針對某一安全協(xié)議的 SA，即建立用于保護通信數(shù)據(jù)的 IPSecSA。一個階段 1協(xié)商可以用于保護多個階段 2協(xié)商，一個階段 2協(xié)商可以同時請求多個安全關(guān)聯(lián)。 第 4章 網(wǎng)絡(luò)安全協(xié)議 傳輸層安全通信協(xié)議 傳輸層的任務(wù)就是提供主機中兩個進程之間的通信，其數(shù)據(jù)傳輸單位是報文段，而網(wǎng)絡(luò)層是提供主機與主機之間的邏輯通信。在協(xié)議棧中，傳輸層正好位于網(wǎng)絡(luò)層之上，傳輸層安全協(xié)議是為進程之間的數(shù)據(jù)通信增加安全屬性，如 SSL/TLS等。 在傳輸層提供安全機制的優(yōu)點在于：它不需要強制為每個應(yīng)用作安全方面的改進；傳輸層能夠為不同的通信應(yīng)用配置不同的安全策略和密鑰。 在傳輸層提供安全機制的缺點在于傳輸層不可能提供類似于“隧道” (路由器對路由器 )和“防火墻” (路由器對主機 )這樣的服務(wù)。 第 4章 網(wǎng)絡(luò)安全協(xié)議 SSL/TLS協(xié)議簇 1995年， Netscape公司在瀏覽器 接層協(xié)議 SSL(Secure Socket Layer)，以保護瀏覽器和 Web服務(wù)器之間重要數(shù)據(jù)的傳輸，該協(xié)議的第一個成熟的版本是 ，并被集成到 Netscape公司的 Inter產(chǎn)品中，包括 Navigator瀏覽器和 Web服務(wù)器產(chǎn)品等。 ，基本上解決了 Web通信協(xié)議的安全問題，很快引起了大家的關(guān)注。 1996年， Netscape公司發(fā)布了 《 draftfreiersslversion302： The SSL Protocol Version 》 ，該版本相比 ，因此，很快就成為了事實上的工業(yè)標(biāo)準。 第 4章 網(wǎng)絡(luò)安全協(xié)議 ? SSL and TLS – SSL was originated by Netscape – TLS working group was formed within IETF – First version of TLS can be viewed as an ? SSL Architecture IP HTTP/ S HTTP FTP SMTP TCP SSL or TLS SSL/TLS協(xié)議簇 第 4章 網(wǎng)絡(luò)安全協(xié)議 ? SSL會話和 SSL連接 – 連接：提供恰當(dāng)類型服務(wù)的傳輸 – 會話：客戶和服務(wù)器之間的關(guān)聯(lián)，通過握手協(xié)議來創(chuàng)建 ? 會話狀態(tài)的定義 – 會話標(biāo)識符、對方證書、壓縮方法、密文規(guī)約、主密碼、可重新開始 ? 連接狀態(tài)的定義 – 服務(wù)器和客戶機的隨機數(shù)、服務(wù)器寫 MAC密碼、客戶寫 MAC密碼、服務(wù)器寫密鑰、客戶寫密鑰、初始化向量、序號 SSL/TLS協(xié)議簇 第 4章 網(wǎng)絡(luò)安全協(xié)議 ? SSL記錄協(xié)議為 SSL連接提供兩種服務(wù) – 機密性：握手協(xié)議定義了共享的、可以用于對 SSL有效載荷進行常規(guī)加密的密鑰 – 報文完整性：握手協(xié)議定義了共享的、可以用來形成報文的鑒別碼 MAC的密鑰 SSL/TLS協(xié)議簇 第 4章 網(wǎng)絡(luò)安全協(xié)議 SSL/TLS協(xié)議簇 第 4章 網(wǎng)絡(luò)安全協(xié)議 握手協(xié)議 ? 握手協(xié)議是 SSL/TLS中最為重要的一個