電子商務(wù)安全技術(shù)第10章安全通信協(xié)議與交易協(xié)議ip安全-資料下載頁
2025-01-08 23:11本頁面
【正文】 時可通過手工或 IKE將序列號計算器初始化成 0。 在利用這個 SA構(gòu)建一個 AH頭之前 ， 計算器就開始遞增 。 這樣保證了每個 AH頭中的序列號都是一個獨一無二的 、 非零的和單向遞增的數(shù) 。 AH頭的其余字段都將填滿恰當(dāng)?shù)闹?。 SPI字段分配的值是取自 SA的 SPI； 下一個頭字段分配的是跟在 AH頭之后的數(shù)據(jù)類型值；載荷長度分配的是“ 32位字減二 ” ； “ 身份認(rèn)證數(shù)據(jù) ” 字段設(shè)成 0。 52 輸出處理 和 ESP不一樣 ， AH將安全保護擴展到外部 IP頭的原有的或預(yù)計有的字段 。 因此 ， 要將完整性檢查值 (ICV)之前的不定字段調(diào)成零 。 對沒有包含在身份認(rèn)證 ICV中的 IPv4頭來說 ， 它的不定字段包括 Type of service（ 服務(wù)類型 ） 、 Flags（ 標(biāo)志 ） 、 Fragment offset(分段偏移 )、 Time to live(存活時間 )和 Header checksum(頭校驗和 )。 對 IPv4選項或 IPv6擴展頭來說 ， 如果它們是固定的或預(yù)定的 ， 都會包含在 ICV計算之中 。 否則 ，必需在計算 ICV之前 ， 把它們調(diào)成零 。 53 輸出處理 身份認(rèn)證可能要求進行適當(dāng)?shù)奶畛?。 對有些 MAC來說 ，比如 DESCBCMAC， 要求在其上面應(yīng)用 MAC的數(shù)據(jù)必須是算法的塊尺寸的倍數(shù) 。 因此 ， 必須進行填充 ， 以便正確地使用 MAC（ 注 :兩種強制算法均無此要求 ） 。 這個填充項是隱式添加的 。 它必須一概為零 ， 其大小不包括在載荷長度中 ， 并且不隨數(shù)據(jù)包一起傳送 。 對于 IPv4， AH頭必須是 32個字節(jié)的一倍 ， IPv6則是 64個字節(jié)的一倍 。 若 MAC的輸出和這項要求不符 ， 就必須添加 AH頭 。 對于填充項的值 ， 必須包括在 ICV計算中 ，并在載荷長度中反映出填充項的大小 。 如果強制實施身份認(rèn)證程序正確對齊了 ， 在用 HMACMD596或 HMACSHA96時 ， 就不再需要填充項 。 54 輸出處理 通過把密鑰從 SA和整個 IP包 （ 包括 AH頭 ） 傳到特定的算法 （ 它被認(rèn)作 SA中的身份認(rèn)證程序 ）這一方式 ， 對 ICV進行計算 。 由于不定字段已設(shè)成零 ， 不會包括在 ICV計算中 。 接下來 ， ICV值被復(fù)制到 AH的 “ 身份認(rèn)證數(shù)據(jù) ” 字段中 ， IP頭中的不定字段就可根據(jù) IP處理的不同得以填充 。 現(xiàn)在 ， AH處理結(jié)束 ， AH保護的 IP包可以輸出了 。根據(jù)包的大小 ， 在放到線上之前 ， 可將它分段 ，或在兩個 IPSec同級之間的傳送過程中 ， 由路由器進行分段 。 55 輸入處理 如果一個受安全保護的包在被收到之前分成了幾段 ， 就要在 AH輸入處理前對這些分段進行重組 。 接收 IPSec包首先要找出用來保護這個包的 SA。然后 ， IP頭的目的地址 、 特定協(xié)議 （ 這里是 51）和取自 AH頭的 SPI這三者再對 SA進行識別 。 如果沒有找到合適的 SA， 這個包就會被丟棄 。 找到 SA之后 ， 進行序列號檢查 。 抗重播檢查會決定這個包是新收的還是以前收到的 。 如果檢查失敗 ， 這個包就會被丟棄 。 56 輸入處理 現(xiàn)在必須檢查完整性檢查值 （ ICV） 了 。 對整個數(shù)據(jù)包應(yīng)用 “ 身份認(rèn)證器 ” 算法 ， 并將獲得的摘要同保存下來的 ICV值進行比較 。 如相符 ， IP包就通過了身份認(rèn)證；如不符 ， 便丟棄該包 。 57 Inter密鑰交換 IKE的用途是在 IPSec通信雙方之間 ， 建立起共享安全參數(shù)及認(rèn)證過的密鑰 （ 即建立 “ 安全關(guān)聯(lián) ” ） 。 IKE協(xié)議是 Oakley和 SKEME協(xié)議的混合 ， 并在由ISAKMP規(guī)定的一個框架內(nèi)運作 。 ISAKMP是“ Inter安全關(guān)聯(lián)和密鑰管理協(xié)議 ” 的簡稱 ，即 Inter Security Association and Key Management Protocol。 ISAKMP定義了包格式 、重發(fā)計數(shù)器以及消息構(gòu)建要求 。 它定義了整套加密通信語言 。 58 Inter密鑰交換 IKE的用途 Oakley和 SKEME定義了通信雙方建立共享密鑰的步驟 。 IKE利用 ISAKMP語言描述這些步驟以及其它信息交換措施 。 59 建立 IKE的兩個階段 階段 1：協(xié)商創(chuàng)建并認(rèn)證一個通信信道 (IKE SA)， 為雙方下一步通信提供保密 、 完整以及數(shù)據(jù)源認(rèn)證服務(wù) 。 本階段有兩種運行模式：Main mode和 aggressive模式 。 階段 2：對 Sa可提供的服務(wù)及所需密鑰進行協(xié)商 。 IKE支持四種認(rèn)證方式：基于數(shù)字簽名的認(rèn)證 、 兩種基于公鑰的認(rèn)證 、 基于共享密鑰的認(rèn)證 。 IKE使用 UDP協(xié)議和 500端口 。 60 六、 IPSec的應(yīng)用 ? IPSec是 IPv6必須支持的功能，它與防火墻、安全網(wǎng)關(guān)結(jié)合可形成各種安全解決方案；與其他協(xié)議相結(jié)合將使安全性更高；能使企業(yè)將其 Extra擴展到貿(mào)易伙伴進行電子商務(wù)，而不用擔(dān)心安全協(xié)議的兼容性。 ? IPSec的典型應(yīng)用是構(gòu)建虛擬專用網(wǎng) VPN VPN通過保密隧道在非信任公共網(wǎng)絡(luò)上產(chǎn)生安全私有連接。它能把遠程用戶、分支機構(gòu)和商業(yè)伙伴連接組成一個自治網(wǎng)絡(luò)，達到與專用網(wǎng)同樣的安全、可靠、可擴充、可管理、服務(wù)質(zhì)量。 IPSec為VPN的互操作性、管理、通信提供了有力手段。
試題試卷相關(guān)推薦
鄂ICP備17016276號-1