【網(wǎng)絡(luò)通信安全管理員認(rèn)證－中級】ipsec(編輯修改稿)
2025-03-10 12:31 本頁面
【文章內(nèi)容簡介】 定的進(jìn)程就是 Inter Key Exchange,即IKE。 IKE的用途就是在 IPSec通信雙方之間通過協(xié)商建立起共享安全參數(shù)及驗(yàn)證過的密鑰，也就是建立安全聯(lián)盟。?IKE協(xié)議是 Oakley和 SKEME協(xié)議的混合，在由ISAKMP規(guī)定的一個(gè)框架內(nèi)運(yùn)作，可以為多種需要安全服務(wù)的協(xié)議進(jìn)行策略磋商和密鑰建立，比如SNMPv3,OSPFv2,IPSec等。密鑰交換包格式 (ISAKMP)—1因特網(wǎng)安全關(guān)聯(lián)和密鑰管理協(xié)議（ ISAKMP,Inter Security Association and Key Management Protocol)密鑰交換包格式 (ISAKMP)2?安全聯(lián)盟載荷，?轉(zhuǎn)碼載荷表示協(xié)商時(shí)供對方選擇的一組安全屬性字段的取值，比如算法，安全聯(lián)盟的存活期，密鑰長度等等。?密鑰交換載荷，表示了實(shí)施密鑰交換必需的信息。 散列載荷，是一個(gè)散列函數(shù)的運(yùn)算結(jié)果值。?nonce載荷，是一串偽隨機(jī)值，用以衍生加密材料。?證書載荷，在身份驗(yàn)證時(shí)向?qū)Ψ教峁┳C書。?證書請求載荷。安全聯(lián)盟的協(xié)商通信雙方要建立共享的安全聯(lián)盟，必須進(jìn)行協(xié)商。雙方根據(jù)本方的實(shí)際安全需求，制定采用的算法，密鑰刷新頻率，密鑰的長度等等策略。發(fā)起方在發(fā)送的安全聯(lián)盟載荷中，根據(jù)策略的優(yōu)先級順序，將計(jì)劃采用的安全參數(shù)的組合以提案載荷和轉(zhuǎn)碼載荷的形式級聯(lián)表示出來，響應(yīng)方收到后，依據(jù)策略選擇最合適的一種，再構(gòu)建應(yīng)答的安全聯(lián)盟，此時(shí)應(yīng)答方只包含了選中的一種安全參數(shù)組合。這樣，一個(gè)共享的安全聯(lián)盟就可以獲得了。 在協(xié)商的進(jìn)程中，雙方也通過計(jì)算得到共享的密鑰。密鑰交換的兩個(gè)階段 (phase1exchange):在 “階段一 ”周期里，兩個(gè) IKE實(shí)體建立一個(gè)安全的，經(jīng)驗(yàn)證的信道進(jìn)行后續(xù)通信，要建立這樣的安全信道，雙方會建立一對 ISAKMP安全聯(lián)盟。階段一交換可以用身份保護(hù)模式 (也叫主模式 )或野蠻模式來實(shí)現(xiàn)，而這兩種模式也僅用于階段一中。 (phase2exchange):“階段二 ”周期里， IKE實(shí)體會在階段一建立起來的安全信道中，為某種進(jìn)程協(xié)商和產(chǎn)生需要的密鑰材料和安全參數(shù)，在 VPN實(shí)現(xiàn)中，就是建立IPSec安全聯(lián)盟?？焖倌Ｊ浇粨Q可用來實(shí)現(xiàn)階段二交換并且僅用于此階段中。 DiffieHellman密鑰交換DH交換的安全性源于在有限域上計(jì)算離散對數(shù)比計(jì)算指數(shù)更為困難。交換流程（ 1）（階段一身份保護(hù)模式）交換流程（ 2）階段一說明在消息 (1)中，發(fā)起者生成他認(rèn)為適當(dāng)?shù)陌踩岚噶斜?，提交給響應(yīng)方。消息 (2)中，響應(yīng)者與本地策略進(jìn)行匹配和選擇之后，將最終決定的安全聯(lián)盟內(nèi)容同樣用相應(yīng)載荷回送發(fā)起者。在消息 (3)、 (4)中，發(fā)起者和響應(yīng)者交換 DH公開值，和隨機(jī)信息串 nonce，在第四步完成時(shí)，雙方已經(jīng)可以經(jīng)計(jì)算得出共享的 DH公共值，以及各自計(jì)算出 SKEYID和相關(guān)衍生密鑰。消息 (5)和消息 (6)中，雙方使用前兩步得出的加密、驗(yàn)證算法和密鑰保護(hù)傳輸?shù)臄?shù)據(jù)。當(dāng)采用數(shù)字簽名的身份驗(yàn)證方法時(shí)，消息 (5)和 (6)可以包含證書載荷，將自己的公鑰證書發(fā)給對方，驗(yàn)證數(shù)據(jù) AUTHDATA就是數(shù)字簽名的運(yùn)算結(jié)果，在這里數(shù)字證書也可以是從有效的遠(yuǎn)程有效的認(rèn)證中心通過 LDAP、 DNSSEC等協(xié)議獲得。 交換流程（ 3）（階段二快速模式）交換流程（ 4）階段二說明所有消息從 ISAKMP頭之后都是加密傳輸?shù)模⑶以谙㈩^之后緊跟了散列值進(jìn)行驗(yàn)證。如果使用了完美向前加密(PFS)，則消息交換中還包含一次 DH交換的公開值載荷 KE,身份載荷表示的是要保護(hù)的通信流的源和目的，通常是子網(wǎng)內(nèi)的主機(jī)或主機(jī)的集合。在前兩個(gè)消息交換完成后，雙方可以計(jì)算出共享的密鑰材料，這將是最終提供給 IPSec模塊的密鑰信息。五、 IPSec的安全性評價(jià)及其改進(jìn) IPSec VPN的優(yōu)勢 IPSec過于復(fù)雜 IPSec 協(xié)議存在的問題對 IKE協(xié)議的改進(jìn) IPSec與 NAT的共處遠(yuǎn)程撥號接入支持組播對先加密后認(rèn)證順序的評價(jià)對 IPSec的總體評價(jià) IPSec VPN的優(yōu)勢（ 1）VPN技術(shù)雖然種類眾多，但 IETF下的 IPSec工作組推出的 IPSec協(xié)議是目前工業(yè)界 IP VPN標(biāo)準(zhǔn)，以 IPSec協(xié)議構(gòu)建虛擬專用網(wǎng)已成為主流。基于 IPSec構(gòu)建 IP VPN是指利用實(shí)現(xiàn) IPsec協(xié)議的安全網(wǎng)關(guān)（ Security Gateway）充當(dāng)邊界路由器，完成安全的遠(yuǎn)程接入和在廣域網(wǎng)上內(nèi)部網(wǎng)絡(luò)的 “ 虛擬 ” 專線互聯(lián)等。 IPSec VPN的優(yōu)勢（ 2）為數(shù)據(jù)的安全傳輸提供了身份鑒別、數(shù)據(jù)完整性、機(jī)密性保證等措施，并且其提供的安全功能與密鑰管理系統(tǒng)松散耦合。端到端的 IPSec VPN專線租費(fèi)比 PVC等物理專線的租用費(fèi)低很多。遠(yuǎn)程接入 IPSec VPN接入成本比長途電話費(fèi)用低（只考慮本地?fù)芴柡?VPN隧道占用費(fèi)）。 IPSec過于復(fù)雜（ 1）
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1