計(jì)算機(jī)系統(tǒng)安全-閱讀頁(yè)
2025-08-16 14:04本頁(yè)面
【正文】 果收到的 IPSec包是一個(gè)分段 ， 必須把它保留下來 ， 直到這個(gè)包的其他部分收完為止 。 如果沒有 SA， 這個(gè)包就會(huì)被丟棄 。 首先檢查序列號(hào) 。 38 處理進(jìn)入數(shù)據(jù)包 三、封裝安全載荷 然后是解密 。 傳送身份認(rèn)證和解密檢查成功之后 ， 就可對(duì)結(jié)果數(shù)據(jù)包進(jìn)行初步的有效性檢驗(yàn) 。 如果這個(gè)包與要求的模式不符 ， 就必須把它丟棄 。 為進(jìn)行下一步的處理 ， 可將一個(gè)經(jīng)過改造和認(rèn)證的包轉(zhuǎn)發(fā)出去 。 40 認(rèn)證頭概述 四、認(rèn)證頭 認(rèn)證頭 （ AuthenticationHeader， AH） 是一種 IPSec協(xié)議 ， 用于為 IP提供數(shù)據(jù)完整性 、 數(shù)據(jù)原始身份認(rèn)證和一些可選的 、 有限的抗重播服務(wù) 。 除了機(jī)密性之外 ， AH提供 ESP能夠提供的一切東西 。 AH定義保護(hù)方法 、 頭的位置 、 身份認(rèn)證的覆蓋范圍以及輸出和輸入處理規(guī)則 ， 但沒有對(duì)所用的身份認(rèn)證算法進(jìn)行定義 。 在 IPv4中數(shù)據(jù)報(bào)的協(xié)議字段值是 51， 表明 IP頭之后是一個(gè) AH頭 。 如果沒有擴(kuò)展頭 ， 下一個(gè)頭字段將是 51。 將 AH頭插入 IPv6的規(guī)則與 ESP插入規(guī)則類似 。 AH頭比 ESP頭簡(jiǎn)單 ， 因?yàn)樗惶峁C(jī)密性 。另外 ， 也不需要一個(gè)初始化向量 。 在傳送模式下 ， 將是處于保護(hù)中的上層協(xié)議的值 ， 如 UDP或TCP協(xié)議的值 。 載荷長(zhǎng)度字段表示采用 32位的字減 2表示頭本身的長(zhǎng)度 。 但 AH采用 32位字來計(jì)算 ， 因此 ，我們減去兩個(gè) 32位字 （ 或一個(gè) 64位字 ） 。 45 認(rèn)證頭格式 四、認(rèn)證頭 SPI和外部 IP頭的目的地址一起 ， 用于識(shí)別對(duì)這個(gè)包進(jìn)行身份認(rèn)證的 SA。 序列號(hào)提供抗重播功能 。 AH沒有定義身份認(rèn)證器 ， 但有兩個(gè)強(qiáng)制實(shí)施身份認(rèn)證器： HMACSHA96和 HMACMD596。同時(shí) ， 也沒有針對(duì) AH的使用 ， 定義公共密鑰身份認(rèn)證算法 （ 比如 RSA和 DDS） 。不同之處在于它保護(hù)的數(shù)據(jù)要么是一個(gè)上層協(xié)議 ， 要么就是一個(gè)完整的 IP數(shù)據(jù)報(bào) 。 47 傳送模式 四、認(rèn)證頭 AH用于傳送模式時(shí) ， 保護(hù)的是端到端通信 。 下一個(gè)頭是 TCP。 “ 里面的 ” IP數(shù)據(jù)報(bào)中包含了通信的原始尋址 ， 而 “ 外面的 ” IP數(shù)據(jù)報(bào)則包含了 IPSec端點(diǎn)的地址 。 49 隧道模式 四、認(rèn)證頭 IP頭 下一個(gè)頭 載荷長(zhǎng)度 保留 SPI 序列號(hào) 認(rèn)證數(shù)據(jù) IP頭 數(shù)據(jù) 已認(rèn)證 下一個(gè)頭是 IPinIP 50 AH處理 四、認(rèn)證頭 外出數(shù)據(jù)包與一個(gè) SPD條目 （ 表示采用 AH保護(hù) ）匹配時(shí) ， 要求 SAD查看是否存在一個(gè)合適的 SA。 如果有 ，就將 AH應(yīng)用到這個(gè)與之相符的數(shù)據(jù)包 ， 該數(shù)據(jù)包在 SPD條目指定的那個(gè)模式中 。AH始終保護(hù)的是 ESP， 別無它物 。 在利用這個(gè) SA構(gòu)建一個(gè) AH頭之前 ， 計(jì)算器就開始遞增 。 AH頭的其余字段都將填滿恰當(dāng)?shù)闹?。 52 輸出處理 四、認(rèn)證頭 和 ESP不一樣 ， AH將安全保護(hù)擴(kuò)展到外部 IP頭的原有的或預(yù)計(jì)有的字段 。 對(duì)沒有包含在身份認(rèn)證 ICV中的 IPv4頭來說 ， 它的不定字段包括 Type of service（ 服務(wù)類型 ） 、 Flags（ 標(biāo)志 ） 、 Fragment offset(分段偏移 )、 Time to live(存活時(shí)間 )和 Header checksum(頭校驗(yàn)和 )。 否則 ，必需在計(jì)算 ICV之前 ， 把它們調(diào)成零 。 對(duì)有些 MAC來說 ，比如 DESCBCMAC， 要求在其上面應(yīng)用 MAC的數(shù)據(jù)必須是算法的塊尺寸的倍數(shù) 。 這個(gè)填充項(xiàng)是隱式添加的 。 對(duì)于 IPv4， AH頭必須是 32個(gè)字節(jié)的一倍 ， IPv6則是 64個(gè)字節(jié)的一倍 。 對(duì)于填充項(xiàng)的值 ， 必須包括在 ICV計(jì)算中 ，并在載荷長(zhǎng)度中反映出填充項(xiàng)的大小 。 54 輸出處理 四、認(rèn)證頭 通過把密鑰從 SA和整個(gè) IP包 （ 包括 AH頭 ） 傳到特定的算法 （ 它被認(rèn)作 SA中的身份認(rèn)證程序 ）這一方式 ， 對(duì) ICV進(jìn)行計(jì)算 。 接下來 ， ICV值被復(fù)制到 AH的 “ 身份認(rèn)證數(shù)據(jù) ” 字段中 ， IP頭中的不定字段就可根據(jù) IP處理的不同得以填充 。根據(jù)包的大小 ， 在放到線上之前 ， 可將它分段 ，或在兩個(gè) IPSec同級(jí)之間的傳送過程中 ， 由路由器進(jìn)行分段 。 接收 IPSec包首先要找出用來保護(hù)這個(gè)包的 SA。 如果沒有找到合適的 SA， 這個(gè)包就會(huì)被丟棄 。 抗重播檢查會(huì)決定這個(gè)包是新收的還是以前收到的 。 56 輸入處理 四、認(rèn)證頭 現(xiàn)在必須檢查完整性檢查值 （ ICV） 了 。 如相符 ， IP包就通過了身份認(rèn)證；如不符 ， 便丟棄該包 。 IKE協(xié)議是 Oakley和 SKEME協(xié)議的混合 ， 并在由ISAKMP規(guī)定的一個(gè)框架內(nèi)運(yùn)作 。 ISAKMP定義了包格式 、重發(fā)計(jì)數(shù)器以及消息構(gòu)建要求 。 58 Inter密鑰交換 IKE的用途 Oakley和 SKEME定義了通信雙方建立共享密鑰的步驟 。 59 建立 IKE的兩個(gè)階段 五、 Inter密鑰交換 階段 1：協(xié)商創(chuàng)建并認(rèn)證一個(gè)通信信道 (IKE SA)， 為雙方下一步通信提供保密 、 完整以及數(shù)據(jù)源認(rèn)證服務(wù) 。 階段 2：對(duì) Sa可提供的服務(wù)及所需密鑰進(jìn)行協(xié)商 。 IKE使用 UDP協(xié)議和 500端口 。 ? IPSec的典型應(yīng)用是構(gòu)建虛擬專用網(wǎng) VPN VPN通過保密隧道在非信任公共網(wǎng)絡(luò)上產(chǎn)生安全私有連接。 IPSec為VPN的互操作性、管理、通信提供了有力手
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1