計算機系統(tǒng)安全(2)-文庫吧資料
2024-10-24 20:17本頁面
【正文】 并計算出一個新的 IP校驗和； 對于隧道模式 ， 就拋開外部 IP頭和 ESP頭 —— 我們需要的是這個解開封裝的包 。 如果用來處理這個數據包的 SA表明在某一特定模式下 —— 要么是隧道模式 ， 要么是傳送模式 —只能處理 ESP包 ， 那么還必須檢驗這個包的適用性 。 通過取自 SA的密鑰和密碼算法 ，就可對 ESP包進行解密 ， 這個 ESP包從載荷數據開始到下一個頭結束 。 由于 ESP身份認證密文而不是明文 ， 接下來進行的便是對這個包進行身份認證 。 一旦認證通過了一個有效的 SA， 就可用它開始對包的處理 。 37 處理進入數據包 三、封裝安全載荷 收到 ESP包后 ， 首先要檢查處理這個包的 SA是否存在 —— 這是基本的 IPSec要求 ， 而不是ESP專有的 。 但除非完成了對它的解密 ， 實際上不可能知道 ESP保護的是什么 。 36 處理進入數據包 三、封裝安全載荷 接收端在收到一個 ESP包之后 ， 若不對這個包進行處理 ， 就無法得知它究竟處于隧道模式 ，還是傳送模式 。 隨后 ，將認證器的結果插入 ESP尾的 “ 認證數據 ” 字段中 。從恰當的 SA中選擇加密器 （ 加密算法 ） ， 對包進行加密 （ 從載荷數據的開頭 ， 一直到“ 下一個頭 ” 字段 ） 。 隨后 ， 在 ESP頭的前面新增了一個 IP頭 ， 并對相應的字段進行填充 （ 賦值 ） — 源地址對應于應用 ESP的那個設備本身；目標地址取自于用來應用 ESP的SA； 協(xié)議設為 50；其他字段的值則參照本地的 IP處理加以填充 。 如果封裝的是一個 IPv4包 ， 那么 ESP頭的“ 下一個頭 ” 字段分配到值 4；如果封裝的是一個 IPv6包 ， 則分配到值 41。 ESP頭可插在任意一個擴展頭之后 。 隨后 ， IP頭的協(xié)議字段得到的是 ESP的值 ， 50。 每個 ESP SA都至少有一個加密器和一個認證器 。 某些加密算法要用到初始化向量 （ IV） ， 它也受到保護 。 ESP保護的實際數據包含在載荷數據字段中 。 通過序列號 ， ESP具有了抵抗重播攻擊的能力 。 27 ESP原理 ESP保護示意圖 IP頭 ESP尾ESP頭 受保護數據驗證保護加密保護28 ESP格式 三、封裝安全載荷 SPI（ 安全參數索引） 序列號 初始化向量 受保護的數據 填充項 填充項長度 下一個頭 認證數據 29 ESP格式 三、封裝安全載荷 作為 IPSec頭 ， ESP頭中會包含一個 SPI字段 。 最后 ，還要在最后追加一個 ESP尾 。 具體做法是在 IP頭之后 、 需要保護的數據之前 ，插入一個新頭 —— ESP頭 。 25 MAC的基本應用方式 二、結構 1）消息認證 A?B: M||CK(M) 2）消息認證 +保密 A?B: EK2[ M||CK1(M)] 3）消息認證 +保密 A?B: EK2 [M]||CK1(EK2 [M]) 26 封裝安全載荷 概述 三、封裝安全載荷 ESP（ Encapsulating Security Payload） 屬于IPSec的一種協(xié)議 ， 可用于確保 IP數據包的機密性 、 數據的完整性以及對數據源的身份認證 。 接收者可以確信消息來自所聲稱的發(fā)送者； 如果消息中包含順序碼 ， 則接收者可以保證消息的正常順序； MAC函數類似于加密函數，但不需要可逆性。 24 消息認證碼 MAC 二、結構 MAC： 使用一個保密密鑰生成固定大小的小數據塊，并加入到消息中，稱 MAC， 或加密和。 SPI被當作 AH和 ESP頭的一部分傳送 。 必須采用某種機制 ， 讓通信源指出用哪個 SA來保護數據包；而對通信的目的地 ， 則需指出用哪個 SA來檢查收到的包是否安全 。 23 安全參數索引（ SPI ） 二、結構 SPI長度為 32位 ， 用于唯一地標識出接收端上的一個SA。 22 安全策略 二、結構 用戶可以根據自己的要求 ， 對不同的通信設定不同級別的安全策略 。 對所有出 /入包括非Ipsec業(yè)務的處理必須咨詢 SPD， 處理有三種可能： 1） 丟棄：不允許在此主機上存在 ， 或不允許通過此網關 。 若超時使用一個密鑰 ， 會為攻擊者侵入系統(tǒng)提供更多的機會 。 存活時間 （ TTL） 由 IPSec通信雙方在密鑰管理協(xié)議中協(xié)商 。 19 SA創(chuàng)建 二、結構 若用人工方式加以創(chuàng)建 ， SA便會一直存在下去 ， 除非再用人工方式將其刪除 。既可人工創(chuàng)建它 ， 亦可采用動態(tài)創(chuàng)建方式 。 SA由一個三元組唯一標識： 1） 安全參數索引 （ SPI） ： 存在于 IPSec協(xié)議頭內； 2） 安全協(xié)議 （ AH、 ESP） 標識符； 3） 目標 IP地址：它同時決定了關聯方向 。 任何IPSec實施方案都會構建一個 SA數據庫 （ SAD） ，由它來維護保障數據包安全的 SA記錄 。 它由兩個通信實體協(xié)商建立 。 這樣的方案稱為安全關聯 （ Security Association， SA） 。 16 IPSec兩種不同的使用模式 二、結構 傳送模式：保護上層協(xié)議；用于兩主機之間； 隧道模式：保護整個 IP數據報；當一方為網關時 。 例如某公司只打算對傳給地理位置分散的那些部門的數據實施保護 ， 而且只在數據流經Inter的時候進行保護 ， 從而構建自己的VPN或者內聯網 。 應用 TCP/UDP IP+ IP sec 數據鏈路層 13 在協(xié)議
教學課件相關推薦
鄂ICP備17016276號-1