網(wǎng)絡(luò)安全協(xié)議課程設(shè)計——對ipsec協(xié)議的分析與優(yōu)化(參考版)
2025-05-12 14:54本頁面
【正文】 14 參考文獻(xiàn) 【 1】 王蔚，馮運波，楊義先 .IPsec 的實踐途徑及主要產(chǎn)品 《電信科學(xué)》 2021年 【 2】 鄧亞平著 《計算機(jī)網(wǎng)絡(luò)安全》 人民郵電出版社 2021 年 【 3】 陳性元 楊艷 任志宇著 《網(wǎng)絡(luò)安全通信協(xié)議》 高等教育出版社 【 4】 武安河等 《 Windows 2021 驅(qū)動程序開發(fā)大全》 機(jī)械工業(yè)出版社 20213年 【 5】 吳鴻鐘 IPsec 于 NAT 的協(xié)同工作研究 《網(wǎng)絡(luò)安全與信息保密》 2021 年 15 課程設(shè)計評價 課程設(shè)計教師評語及成績 指導(dǎo)教師： 日期： 。特別是通過此次課程設(shè)計，自己 得以 動手 分析和改進(jìn) IPsec 協(xié)議 ， 使自己更加深入了解和認(rèn)識 IPsec 協(xié)議的構(gòu)成、安全性以及其中 AH 協(xié)議和 ESP 協(xié)議的 兩種操作模式 —— 傳輸模式和隧道模式的具體流程 ， 以及對 IPsec 協(xié)議的安全性分析；也希望通過這次的的課程設(shè)計，使自己提高將學(xué)到的理論知識于具體實際相結(jié)合的能力 ， 為自己以后分析實際問題提供科學(xué)的實踐和方法，當(dāng)然也會為自己 以后 解決 網(wǎng)絡(luò)安全 通信協(xié)議 有 關(guān)問題提供 很大 的 幫助。 IPsec*模型使用隧道模式，數(shù)據(jù)包格式如下圖所示。其結(jié)構(gòu)方面的改進(jìn)在于改進(jìn)了 ESP 協(xié)議，表現(xiàn)在：缺省的提供認(rèn)證功能，加密功能則是可選的；認(rèn)證范圍是整個包；強(qiáng)制使用抗重播功能。 從圖上可以看出， IPsec*僅提供安全分裝載荷（ ESP），其他成分和 IPsec 相同。 因此，消除傳輸模式同時允許消除 AH 協(xié)議，而不丟失任何功能性。 其次，兩者實現(xiàn)的驗證功能完全一樣，例如他們選用的驗證算法、驗證步驟都完全一樣。對負(fù)載的驗證證明它源于某個知道正確驗證密鑰的人，就其自身來說可以提供足夠的信息。 首先，兩種協(xié)議提供的功能性也有些重疊， AH 提供了對負(fù)載和數(shù)據(jù)包頭的鑒別，而 ESP 提供了對負(fù)載的鑒別和機(jī)密性。 IPsec 協(xié)議的制定者為了功能分配上的清晰，對 AH 和 ESP 進(jìn)行了區(qū)分，體現(xiàn)了一定的靈活性。當(dāng)同時使用 AH 和 ESP 時，由 AH 提供驗證功能， ESP 提供加密功能。 協(xié)議的優(yōu)化 IPsec 中 AH 提供驗證功能， ESP 在提供加密功能的同時也提供驗證功能。由于兩種模式的實際操作方式、效率、和代價差別甚微，這種區(qū)分是沒有實際的意義的，實際使用時完全可以只選擇對整個數(shù)據(jù)報的保護(hù)。實際應(yīng)用中這種區(qū)分完全沒有必要的。開 11 發(fā)基于該協(xié)議的網(wǎng)絡(luò)安全系統(tǒng)是必要的，是有實際應(yīng)用價值的 。但就總體上看，我個人認(rèn)為IPsec 協(xié)議仍然不失是一種功能強(qiáng)大、適用范圍較寬韻網(wǎng)絡(luò)安全技術(shù) 。 5. 除了 IP 協(xié)議外， IPsec 不支持其他的網(wǎng)絡(luò)層協(xié)議 。 這也 是導(dǎo)致 IPsec 效率低的一個原因 。因此它比 CET 的運行效率更低。但都還存在一定的缺陷和不足 。 IPsec 的局限性 雖然 IPsec協(xié)議是一個功能強(qiáng)大的協(xié)議簇，但 IPsec協(xié)議也有一定的局限性， 主要表現(xiàn)在： 1. IPsec 協(xié)議本身只能嚴(yán)格地以單播數(shù)據(jù)報韻形式工作，不能以組播或者廣 播口數(shù)據(jù)報的形式工作 。 HMAC 具有唯一性，改動數(shù)據(jù)的內(nèi)容將使其無法在接收端通過驗證，從而保證了數(shù)據(jù)的源 IP 地址和信息內(nèi)容不會在轉(zhuǎn)發(fā)過程中被篡改。 10 四、 IPsec協(xié)議安全性分析 服務(wù)內(nèi)容 1. 機(jī)密性服務(wù) IPsec 提供了數(shù)據(jù)機(jī)密性服務(wù) ，以保護(hù)數(shù)據(jù)在傳輸過程中不被非法用戶竊聽，它由 ESP 提供，算法采用加密快鏈接方式，這樣確保了即使是信息在傳輸過程中被非法用戶竊聽，也無法得知信息的真實內(nèi)容。 在第一階段，通信各方彼此間建立了一個己通過的身份認(rèn)證和安全保護(hù)的通道，即建立 IKE 安全聯(lián)盟（這個安全聯(lián)盟是雙向的 ）。 IKE 是一個混合協(xié)議，它使用到了三個不同協(xié)議的相關(guān)部分：沿用了 ISAKMP（ Inter 安全連接和密鑰管理協(xié)議）的基礎(chǔ)部分、 Oakley（密鑰確定協(xié)議）的模式部 分以及 SKEME（安全密鑰交換機(jī)制）的密鑰更新技術(shù) ， 從而定義出自己的驗證加密材料生成技術(shù)，以及協(xié)商共享策略 。 SPD 的每一個條目都包含一個或者多個選擇符 和一個標(biāo)志，該標(biāo)志用于表明與條目的選擇符相匹配的數(shù)據(jù)報的策略：丟棄 、繞過或者實施 IPsec 處理。 選擇符與數(shù)據(jù)通信流相匹配的第一個條目將被應(yīng)用到通信中 。 IPsec 協(xié)議要求在所有通信流處理的過程中都必須查詢 SPD。當(dāng)沒有 SA 條目與選擇符相匹配時，如果數(shù)據(jù)包是一個輸入包，就將它丟棄 ；如果數(shù)據(jù)包是一個輸出包，則創(chuàng)建一 個新的 SA，并將其存入輸出 SAD 中 。 對于輸入和輸出通信，將搜索各自的 SAD 來查找與從數(shù)據(jù)包頭域中解析出來的與選擇符相匹配的索引。 SAD 中除了可以唯一標(biāo)識 SA 的三元組索引之外，還包含以下域：序列號計數(shù)器，序列號溢出，抗重放窗口， AH 認(rèn)證密碼算法和所 需要的密鑰， ESP 認(rèn)證密碼算法和所需要的密鑰， ESP 加密算法和所需 要的密鑰， IPsec 協(xié)議操作模式， SA 生存期等 。 一個 SA 協(xié)商完成時，兩個對等方都在它們的 SAD 中存儲該 SA 參數(shù)；當(dāng)一個 SA 終止時，它的條目將從 SAD 中刪除。 因此， IPsec 數(shù)據(jù)報的接收方易于識 別 SPI。
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1