第三章防御技術(shù)pki網(wǎng)絡(luò)安全協(xié)議(參考版)
2025-01-08 13:33本頁面
【正文】 結(jié)點 1 結(jié)點 2DK明文 X結(jié)點 nEK明文 X結(jié)點 0 EK(X)鏈路 1 EK(X)鏈路 2 EK(X) 鏈路 n端到端鏈路傳送的都是密文在端到端加密的情況下， PDU 的控制信息部分 (如源結(jié)點地址、目的結(jié)點地址、路由信息等 )不能被加密，否則中間結(jié)點就不能正確選擇路由。n 在網(wǎng)絡(luò)互連的情況下，僅采用鏈路加密是不能實現(xiàn)通信安全的。因此必須采取有效措施。 鏈路加密 n 由于報文是以明文形式在各結(jié)點內(nèi)加密的，所以結(jié)點本身必須是安全的。 D1 E2明文 X結(jié)點 1D2 E3明文 X結(jié)點 2Dn明文 X用戶 BE1明文 X用戶 A E1(X)鏈路 1 E2(X)鏈路 2 En(X)鏈路 n E3(X)密文 密文 密文 密文相鄰結(jié)點之間具有相同的密鑰，因而密鑰管理易于實現(xiàn)。 鏈路加密與端到端加密 鏈路加密 n 在采用鏈路加密的網(wǎng)絡(luò)中，每條通信鏈路上的加密是獨立實現(xiàn)的。(2) 加密的 SSL 會話 客戶和服務(wù)器交互的所有數(shù)據(jù)都在發(fā)送方加密，在接收方解密。 SSL 提供以下三個功能 (1) SSL 服務(wù)器鑒別 允許用戶證實服務(wù)器的身份。 SSL 的位置 TCP應(yīng)用層SSL運輸層HTTP IMAPSSL 功能標準套接字在發(fā)送方， SSL 接收應(yīng)用層的數(shù)據(jù)（如 HTTP 或 IMAP 報文），對數(shù)據(jù)進行加密，然后把加了密的數(shù)據(jù)送往 TCP 套接字。n 在聯(lián)絡(luò)階段完成之后，所有傳送的數(shù)據(jù)都使用在聯(lián)絡(luò)階段商定的會話密鑰。在 IP 數(shù)據(jù)報中的ESP 的各字段 IP 首部 ESP 首部 TCP/UDP 報文段使用 ESP 的 IP 數(shù)據(jù)報原 數(shù)據(jù)報的數(shù)據(jù)部分ESP 尾部 ESP 鑒別加密 的部分鑒別 的部分協(xié)議 = 50 運輸層安全協(xié)議1. 安全套接層 SSLn SSL 是安全套接層 (Secure Socket Layer)，可對萬維網(wǎng)客戶與服務(wù)器之間傳送的數(shù)據(jù)進行加密和鑒別。n ESP 鑒別和 AH 中的鑒別數(shù)據(jù)是一樣的。3. 封裝安全有效載荷 ESP（續(xù)）n 在 ESP 尾部中有下一個首部（ 8 位，作用和 AH 首部的一樣）。當 IP 首部檢查到協(xié)議字段是 50 時，就知道在 IP 首部后面緊接著的是 ESP 首部，同時在原 IP 數(shù)據(jù)報后面增加了兩個字段，即 ESP 尾部和 ESP 數(shù)據(jù)。因此可用來鑒別源主機和檢查 IP 數(shù)據(jù)報的完整性。(6) 鑒別數(shù)據(jù) (可變 )。(5) 保留 (16 位 )。(4) 序號 (32 位 )。(3) 安全參數(shù)索引 SPI (32 位 )。標志緊接著本首部的下一個首部的類型（如 TCP 或 UDP）。當數(shù)據(jù)報到達終點時，目的主機才處理 AH 字段，以鑒別源點和檢查數(shù)據(jù)報的完整性。 2. 鑒別首部協(xié)議 AH n 在使用鑒別首部協(xié)議 AH 時，把 AH 首部插在原數(shù)據(jù)報數(shù)據(jù)部分的前面，同時把 IP 首部中的協(xié)議字段置為 51。它由一個三元組唯一地確定，包括：(1) 安全協(xié)議（使用 AH 或 ESP）的標識符(2) 此單向連接的源 IP 地址(3) 一個 32 位的連接標識符，稱為 安全參數(shù)索引 SPI (Security Parameter Index)n 對于一個給定的安全關(guān)聯(lián) SA，每一個 IPsec 數(shù)據(jù)報都有一個存放 SPI 的字段。n IPsec 就把傳統(tǒng)的因特網(wǎng)無連接的網(wǎng)絡(luò)層轉(zhuǎn)換為具有邏輯連接的層。 安全關(guān)聯(lián) SA(Security Association) n 在使用 AH 或 ESP 之前，
教學課件相關(guān)推薦
鄂ICP備17016276號-1