【正文】 體應用 167。 2. 沒有針對每個數(shù)據(jù)報文的完整性校驗，就有可能進行拒絕服務攻擊：發(fā)送假冒的控制信息，導致 L2TP通道或者底層 PPP連接的關閉。 L2 T P 通道 167。 非 IPSec 的應用層 VPN 解決方案 ? SOCKS 位于 OSI模型的會話層，在 SOCKS協(xié)議中，客戶程序通常先連接到防火墻 1080端口，然后由 Firewall建立到目的主機的單獨會話，效率低，但會話控制靈活性大 ? SSL 屬于高層安全機制，廣泛用于 Web Browse and Web Server， 提供對等的身份認證和應用數(shù)據(jù)的加密。 結論 1. 網絡層對所有的上層數(shù)據(jù)提供透明方式的保護，但無法為應用提供足夠細的控制粒度 2. 數(shù)據(jù)到了目的主機，基于網絡層的安全技術就無法繼續(xù)提供保護，因此在目的主機的高層協(xié)議棧中很容易受到攻擊 3. 應用層的安全技術可以保護堆棧高層的數(shù)據(jù)，但在傳遞過程中，無法抵抗常用的網絡層攻擊手段，如源地址、目的地址欺騙 4. 應用層安全幾乎更加智能，但更復雜且效率低 5. 因此可以在具體應用中采用多種安全技術，取長補短 VPN概述 VPN功能 VPN工作原理 VPN具體應用 第二章 VPN功能 ? 數(shù)據(jù)機密性保護 ? 數(shù)據(jù)完整性保護 ? 數(shù)據(jù)源身份認證 ? 重放攻擊保護 VPN概述 VPN功能 VPN工作原理 VPN具體應用 167。 數(shù)據(jù)完整性保護 內部工作子網 管理子網 一般子網 內部 WWW 重點子網 下屬機構 DDN/FR 原始數(shù)據(jù)包 對原始數(shù)據(jù)包進行 Hash 加密后的數(shù)據(jù)包 摘要 Hash 摘要 對原始數(shù)據(jù)包進行加密 加密后的數(shù)據(jù)包 加密 加密后的數(shù)據(jù)包 摘要 加密后的數(shù)據(jù)包 摘要 摘要 解密 原始數(shù)據(jù)包 Hash 原始數(shù)據(jù)包 與原摘要進行比較 ， 驗證數(shù)據(jù)的完整性 167。 重放攻擊保護 保留 負載長度 認證數(shù)據(jù) （完整性校驗值 ICV） 變長 序列號 安全參數(shù)索引（ SPI） 下一頭部 填充（ 0~255字節(jié)） 下一頭部 填充長度 認證數(shù)據(jù) （變長的） 負載數(shù)據(jù) （變長的） 序列號 安全參數(shù)索引（ SPI） AH協(xié)議頭 ESP協(xié)議頭 SA建立之初，序列號初始化為 0，使用該 SA傳遞的第一個數(shù)據(jù)包序列號為 1，序列號不允許重復，因此每個 SA所能傳遞的最大 IP報文數(shù)為232— 1，當序列號達到最大時，就需要建立一個新的 SA， 使用新的密鑰。 密碼學術語 1. 密碼學：一門以保障數(shù)據(jù)和通信安全為目的的科學，它使用加密、解密、身份認證來實現(xiàn)目的。用來加密和解密的函數(shù)叫做密碼算法。 對稱密鑰算法 加密密鑰 解密密鑰 加密密鑰 解密密鑰 兩者相等 可相互推導 ? 分組密碼算法：操作單位是固定長度的明文比特串 DES算法： Data Encryption Standard (老算法 ) ， 密鑰 =56位 CDMA算法： Commercial Data Masking Facility， 密鑰 =40位 3DES算法： Triple Data Encryption Standard IDEA算法： International Data Encryption Algorithm（ 新算法） ， 密鑰 =128位 ? 流密碼算法：每次只操作一個比特 VPN概述 VPN功能 VPN工作原理 VPN具體應用 167。 哈希函數(shù) 1. 特點：輸入是變長的數(shù)據(jù)，輸出是定長的數(shù)據(jù) HASH值； 2. 主要應用方向：數(shù)據(jù)完整性校驗和身份認證技術 3. 有用的 HASH函數(shù)必須是單向的，即正向計算很容易，求逆極其困難，就像還原搗碎的土豆 4. 常用的 HASH函數(shù)： MD SHA— 1， 這兩種 HASH函數(shù)都沒有密鑰輸入，其中 MD5的輸出為 128位、 SHA— 1的輸出為 160位 5. MAC： 輸出結果不僅依賴輸入消息，同時還依賴密鑰的HASH函數(shù)叫做消息認證代碼； IPSec 中使用的是 MAC， 而不是直接使用 MD5或者 SHA— 1 VPN概述 VPN功能 VPN工作原理 VPN具體應用 加密 MD5 填充 負 載 IP頭部 AH 共享密鑰 HASH運算 (MD5) 輸入要發(fā)送的消息 輸入共享密鑰 得到 128位的定長輸出 將輸出結果填入到 AH頭部的認證數(shù)據(jù)字段 加密 SHA— 1 填充 負 載 IP頭部 AH 共享密鑰 HASH運算 (SHA— 1) 輸入要發(fā)送的消息 輸入共享密鑰 得到 160位的定長輸出 將輸出結果填入到 AH頭部的認證數(shù)據(jù)字段 數(shù)字簽名標準（ DSS） 填充 負 載 IP頭部 私鑰 進行 HASH運算 輸入要發(fā)送的消息 用私鑰加密 HASH輸出結果 得到定長輸出 將數(shù)字簽名附在數(shù)據(jù)報的后面供對方驗證身份 得到數(shù)字簽名 167。 IPSec 概念 ? 通道 將一個數(shù)據(jù)報用一個新的數(shù)據(jù)報封裝 〈 Security Parameter Index, IP Destination Address, Security Protocol〉 ? 安全關聯(lián) (SA) SA就是兩個 IPSec系統(tǒng)之間的一個單向邏輯連接 ? 32比特，用于標識具有相同 IP地址和相同安全協(xié)議的不同 SA。 IPSec 框架的組成 ? 身份認證報頭 —— AH協(xié)議 提供數(shù)據(jù)源身份認證、數(shù)據(jù)完整性保護、重放攻擊保護功能 ? 負載安全封裝 —— ESP協(xié)議 提供數(shù)據(jù)保密、數(shù)據(jù)源身份認證、數(shù)據(jù)完整性、重放攻擊保護功能 ? 因特網安全關聯(lián)和密鑰管理協(xié)議 —— IKE(以前被叫 ISAKMP/Oakley) 提供自動建立安全關聯(lián)和管理密鑰的功能 VPN概述 VPN功能 VPN工作原理 VPN具體應用 167。長度 =整數(shù)倍 32位比特 保留負載長度認證數(shù)據(jù)（完整性校驗值 ） 變長序列號安全參數(shù)索引（ ）下一頭部? 下一頭部： 8比特，標識認證頭后面的下一個負載類型 ? 負載長度： 8比特，表示以 32比特為單位的 AH頭部長度減 2， Default=4 ?保留字段： 16比特，保