網(wǎng)絡(luò)與信息安全ip安全-在線瀏覽
2025-02-28 02:12本頁面
【正文】 31 傳輸模式的 ESP服務(wù) 加密機制以及可選的認(rèn)證機制在兩個主機之間直接實現(xiàn) 32 隧道模式的 ESP服務(wù) 利用隧道模式建立 VPN 在安全網(wǎng)關(guān)處建立對每一個內(nèi)部網(wǎng)絡(luò)的隧道 ， 適用于保護(hù)可信內(nèi)部網(wǎng)絡(luò) 33 傳輸模式 ESP（加密＋認(rèn)證） 原始 IP頭未被加密 ， 因此無法抵御基于最終目的端的流量分析 加密操作在兩端主機處進(jìn)行 源端加密（認(rèn)證可選），組成 IP包 將包路由到目的地，中間路由器檢查和處理 IP報頭及明文擴展報頭 目的節(jié)點檢查和處理 IP報頭及明文擴展報頭，并基于 ESP報頭的 SPI解密，恢復(fù)原始 IP包 34 ESP的格式 35 隧道模式 ESP（加密＋認(rèn)證） 原始 IP頭被加密 ， 生成新 IP頭 ， 能夠抵御基于最終目的端的流量分析 加密操作在外部主機和安全網(wǎng)關(guān)或者安全網(wǎng)關(guān)之間進(jìn)行 ， 減少了內(nèi)部主機的處理負(fù)擔(dān) 源端加密（認(rèn)證可選），生成新的 IP報頭，形成新的 IP包 將包路由到目的防火墻，中間路由器檢查和處理新 IP報頭和外部 IP擴展報頭 目的防火墻檢查和處理新 IP報頭和外部 IP擴展報頭，并基于ESP報頭的 SPI解密，恢復(fù)原 IP包 原 IP包（內(nèi)部包）在內(nèi)部網(wǎng)絡(luò)中路由到目的主機 36 為什么需要 SA組合 一個 SA只能實施 AH或 ESP， 不能同時實施 而一個特定的數(shù)據(jù)流可能同時需要主機間和安全網(wǎng)關(guān)間的 IPSec服務(wù) 得到認(rèn)證＋機密性 ， 但是帶有認(rèn)證選項的 ESP也可以具有該能力 認(rèn)證應(yīng)用于密文而不是明文 ， 而且認(rèn)證覆蓋區(qū)域少 SA組合是 SA序列 SA組合的好處：得到認(rèn)證＋機密性 傳輸鄰接：先加密再認(rèn)證 ， 即內(nèi)部傳輸模式 ESP（ 僅加密 ） ＋外部傳輸模式AH ， 認(rèn)證機制可以覆蓋更多的 IP頭中的域 傳輸 隧道束：先認(rèn)證再加密 ， 即內(nèi)部傳輸模式 AH＋外部隧道模式 ESP， 認(rèn)證原始數(shù)據(jù)并經(jīng)過加密 SA組合 37 SA組合方式 1 通過多個 SA進(jìn)行通信的兩個終端系統(tǒng) 38 SA組合方式 2 僅在網(wǎng)關(guān)之間提供安全性 ， 沒有主機實施 IPSec 簡單的 VPN 39 SA組合 方式 3 在網(wǎng)關(guān)間的隧道模式基礎(chǔ)上增加端到端間的安全機制 40 SA組合方式 4 遠(yuǎn)程用戶通過 Inter到達(dá)某組織的安全網(wǎng)關(guān) ， 并訪問網(wǎng)關(guān)后面的服務(wù)器或工作站 41 IPSec要求支持兩種類型的密鑰管理 手工方式 ， 適用于小型的 、 相對靜態(tài)的網(wǎng)絡(luò)環(huán)境 自動方式 ， 適用于大型的 、 配置不斷變化的網(wǎng)絡(luò)環(huán)境 默認(rèn)的自動類型密鑰管理協(xié)議 ISAKMP/Oakley Oakley密鑰確定協(xié)議 （ 基于優(yōu)化的 DiffieHellman算法實現(xiàn) ） Inter SA和密鑰管理協(xié)議 （ ISAKMP） ， 提供了一個 Inter密鑰交換的框架和特定的協(xié)議支持 ， 早期強制使用 Oakley協(xié)議 IPSec的密鑰管理 42 DiffieHellman密鑰交換算法回顧 只能用于密碼交換 對手若想計算 K， 必須通過 q， α， YA， YB來確定私鑰 XA或 XB， 再計算 K – 但是 ， XB = dlogα, p(YB) ， 而離散對數(shù)的計算相當(dāng)難 43 優(yōu)點 需要的時候才創(chuàng)建密鑰 ， 不需存儲 除了全局信息 （ 一個大素數(shù) q和一個 q的本原根 α） 的約定外 ，密鑰不需要任何基礎(chǔ)條件 缺點 沒有提供有關(guān)雙方身份的任何信息 容易受到中間人的攻擊 ， C
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1