計算機(jī)系統(tǒng)安全(2)(參考版)
2024-10-21 20:17本頁面
【正文】 。它能把遠(yuǎn)程用戶、分支機(jī)構(gòu)和商業(yè)伙伴連接組成一個自治網(wǎng)絡(luò)，達(dá)到與專用網(wǎng)同樣的安全、可靠、可擴(kuò)充、可管理、服務(wù)質(zhì)量。 60 六、 IPSec的應(yīng)用 ? IPSec是 IPv6必須支持的功能，它與防火墻、安全網(wǎng)關(guān)結(jié)合可形成各種安全解決方案；與其他協(xié)議相結(jié)合將使安全性更高；能使企業(yè)將其 Extra擴(kuò)展到貿(mào)易伙伴進(jìn)行電子商務(wù)，而不用擔(dān)心安全協(xié)議的兼容性。 IKE支持四種認(rèn)證方式：基于數(shù)字簽名的認(rèn)證 、 兩種基于公鑰的認(rèn)證 、 基于共享密鑰的認(rèn)證 。 本階段有兩種運行模式：Main mode和 aggressive模式 。 IKE利用 ISAKMP語言描述這些步驟以及其它信息交換措施 。 它定義了整套加密通信語言 。 ISAKMP是“ Inter安全關(guān)聯(lián)和密鑰管理協(xié)議 ” 的簡稱 ，即 Inter Security Association and Key Management Protocol。 57 Inter密鑰交換 五、 Inter密鑰交換 IKE的用途是在 IPSec通信雙方之間 ， 建立起共享安全參數(shù)及認(rèn)證過的密鑰 （ 即建立 “ 安全關(guān)聯(lián) ” ） 。 對整個數(shù)據(jù)包應(yīng)用 “ 身份認(rèn)證器 ” 算法 ， 并將獲得的摘要同保存下來的 ICV值進(jìn)行比較 。 如果檢查失敗 ， 這個包就會被丟棄 。 找到 SA之后 ， 進(jìn)行序列號檢查 。然后 ， IP頭的目的地址 、 特定協(xié)議 （ 這里是 51）和取自 AH頭的 SPI這三者再對 SA進(jìn)行識別 。 55 輸入處理 四、認(rèn)證頭 如果一個受安全保護(hù)的包在被收到之前分成了幾段 ， 就要在 AH輸入處理前對這些分段進(jìn)行重組 。 現(xiàn)在 ， AH處理結(jié)束 ， AH保護(hù)的 IP包可以輸出了 。 由于不定字段已設(shè)成零 ， 不會包括在 ICV計算中 。 如果強(qiáng)制實施身份認(rèn)證程序正確對齊了 ， 在用 HMACMD596或 HMACSHA96時 ， 就不再需要填充項 。 若 MAC的輸出和這項要求不符 ， 就必須添加 AH頭 。 它必須一概為零 ， 其大小不包括在載荷長度中 ， 并且不隨數(shù)據(jù)包一起傳送 。 因此 ， 必須進(jìn)行填充 ， 以便正確地使用 MAC（ 注 :兩種強(qiáng)制算法均無此要求 ） 。 53 輸出處理 四、認(rèn)證頭 身份認(rèn)證可能要求進(jìn)行適當(dāng)?shù)奶畛?。 對 IPv4選項或 IPv6擴(kuò)展頭來說 ， 如果它們是固定的或預(yù)定的 ， 都會包含在 ICV計算之中 。 因此 ， 要將完整性檢查值 (ICV)之前的不定字段調(diào)成零 。 SPI字段分配的值是取自 SA的 SPI； 下一個頭字段分配的是跟在 AH頭之后的數(shù)據(jù)類型值；載荷長度分配的是“ 32位字減二 ” ； “ 身份認(rèn)證數(shù)據(jù) ” 字段設(shè)成 0。 這樣保證了每個 AH頭中的序列號都是一個獨一無二的 、 非零的和單向遞增的數(shù) 。 51 輸出處理 四、認(rèn)證頭 創(chuàng)建一個外出 SA時可通過手工或 IKE將序列號計算器初始化成 0。 如果它是一束 SPD， 應(yīng)用順序就由它所涉及的協(xié)議而定 。如果沒有 ， 可用 IKE動態(tài)地建立一個 。 隧道模式可用來替換端對端安全服務(wù)的傳送模式 ， AH只用于保證收到的數(shù)據(jù)包在傳輸過程中不會被修改 ， 保證由要求發(fā)送它的當(dāng)事人將它發(fā)送出去 ， 以及保證它是一個新的非重播的數(shù)據(jù)包 。 IP頭 下一個頭 載荷長度 保留 SPI 序列號 認(rèn)證數(shù)據(jù) 數(shù)據(jù) 已認(rèn)證 48 隧道模式 四、認(rèn)證頭 AH用于隧道模式時 ， 它將自己保護(hù)的數(shù)據(jù)報封裝起來 ， 另外 ， 在 AH頭之前 ， 另添了一個 IP頭 。通信終點必須是 IPSec終點 。 任何一種情況下 ， AH都要對外部 IP頭的固有部分進(jìn)行身份認(rèn)證 。 46 模式 四、認(rèn)證頭 和 ESP一樣 ， AH可用于傳送模式和隧道模式 。 和 ESP一樣 ， 輸出結(jié)果被切短成 96個位 。 認(rèn)證數(shù)據(jù)字段長度不固定 ， 其中包括完整性校檢的結(jié)果 。 序列號是一個單向遞增的計算器 ， 等同于 ESP中使用的序列號 。 沒有使用預(yù)留字段時 ， 必須將它設(shè)成 0。 AH頭是一個 IPv6擴(kuò)展頭 ， 按照 RFC2460，它的長度是從 64位字表示的頭長度中減去一個64位字而來的 。 在隧道模式下 ， 值為 4， 表示 IPinIP（ IPv4） 封裝或 IPv6封裝的 41這個值 。 43 認(rèn)證頭格式 四、認(rèn)證頭 AH格式 下一個頭 載荷長度 保留 SPI 序列號 認(rèn)證數(shù)據(jù) 44 認(rèn)證頭格式 四、認(rèn)證頭 下一頭字段表示 AH頭之后是什么 。 由于不需要填充和一個填充長度指示器 ， 因此也不存在尾 。AH和 ESP保護(hù)的數(shù)據(jù)相同時 ， AH頭會一直插在 ESP頭之后 。 如果 AH頭之前有擴(kuò)展頭 ，緊靠在 AH頭前面的擴(kuò)展頭中的下一個頭字段就會被設(shè)成 51。 在 IPv6中 ， 下一個頭字段的值由擴(kuò)展頭的存在來決定 。 41 認(rèn)證頭概述 認(rèn)證頭的保護(hù) IP頭 AH頭 受保護(hù)數(shù)據(jù)驗證保護(hù)42 認(rèn)證頭概述 四、認(rèn)證頭 AH是另一個 IPSec協(xié)議 。 不需要加密算法 （ 加密器 ） ， 而需要一個認(rèn)證器（ 身份認(rèn)證器 ） 。 它定義在 RFC2402中 。 如果它是一個傳送模式包 ， 就會轉(zhuǎn)發(fā)到一個高一級的協(xié)議層 （ 比如 TCP或 UDP） ， 由它們對這個包進(jìn)行處理；如果它是一個隧道模式包 ， 就會重新插入到 IP處理流中 ， 繼續(xù)轉(zhuǎn)發(fā)到它的最終目的地 。 39 處理進(jìn)入數(shù)據(jù)包 三、封裝安全載荷 對于傳送模式 ， 上層協(xié)議頭與 IP頭是同步的 ， ESP頭的下一個頭字段被復(fù)制到 IP頭的協(xié)議字段中 ，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1