xxxx教科版選修3網(wǎng)絡(luò)安全基礎(chǔ)(已改無(wú)錯(cuò)字)
2023-04-01 17:49:37 本頁(yè)面
【正文】 capsulating Security Payload， ESP）三個(gè)子協(xié)議組成。 IPSec通過(guò)在 IP協(xié)議中增加兩個(gè)基于密碼的安全機(jī)制 —— 認(rèn)證頭和安全封裝載荷來(lái)支持 IP數(shù)據(jù)段的秘密性、可認(rèn)證性和完整性。通過(guò) IP安全協(xié)議和密鑰管理協(xié)議構(gòu)建起 IP層安全體系結(jié)構(gòu)的框架，以保護(hù)所有基于 IP的服務(wù)和應(yīng)用。當(dāng)這些安全機(jī)制正確實(shí)現(xiàn)時(shí)，它不會(huì)對(duì)用戶、主機(jī)和其他未采用這些安全機(jī)制的 Inter部件產(chǎn)生負(fù)面影響。由于這些安全機(jī)制是獨(dú)立于算法的，所以在選擇和改變算法時(shí)也不會(huì)影響其它部分的實(shí)現(xiàn)，對(duì)用戶和上層應(yīng)用是透明的。 1/31/2023 33 ?1）因特網(wǎng)密鑰交換協(xié)議（ IKE） ：用于動(dòng)態(tài)建立安全關(guān)聯(lián)（ SA：Security Association），所謂 SA是通信對(duì)等方中間對(duì)某些要素的一種協(xié)定。 IKE協(xié)議主要是對(duì)密鑰交換進(jìn)行管理，它主要包括三個(gè)功能：對(duì)使用的協(xié)議、加密算法和密鑰進(jìn)行協(xié)商；方便的密鑰交換機(jī)制 (這可能需要周期性的進(jìn)行 )；跟蹤對(duì)以上這些約定的實(shí)施。 ?2）認(rèn)證頭（ AH） ：設(shè)計(jì) AH協(xié)議的主要目的是用來(lái)增加數(shù)據(jù)完整性的認(rèn)證機(jī)制，為 IP數(shù)據(jù)流提供高強(qiáng)度的密碼認(rèn)證，以確保修改過(guò)的數(shù)據(jù)包可以被檢查出來(lái)。通過(guò)它可以防止地址欺騙攻擊和重發(fā)攻擊。它支持的散列算法是 HMAC－ MD5－ 96， HMAC－ SHA－ 1－ 96。 ?3）安全封裝載荷（ ESP） ：設(shè)計(jì) ESP協(xié)議的主要目的是提供 IP數(shù)據(jù)包的安全性。 ESP的作用是提供機(jī)密性、數(shù)據(jù)完整性、數(shù)據(jù)源認(rèn)證和抗重播保護(hù)等安全服務(wù)。 ESP支持的加密算法有： 3DES， RC5， IDEA，三密鑰三重 IDEA， CAST， Blowfish，支持的散列算法有 HMAC－MD5－ 96， HMAC－ SHA－ 1－ 96。 IPSec各個(gè)子協(xié)議的功能 1/31/2023 34 IPSec體系結(jié)構(gòu)模型 TCP/UDP 傳輸層 IPSec驅(qū)動(dòng)程序 受保護(hù)的 IP數(shù)據(jù)包 TCP/UDP 傳輸層 IPSec驅(qū)動(dòng)程序 IKE SA對(duì) 主機(jī) A IKE SA對(duì) 主機(jī) B 網(wǎng)絡(luò)層 SA協(xié)商 1/31/2023 35 基于 IPSec的虛擬專用網(wǎng) ? IPSec作為網(wǎng)絡(luò)層安全協(xié)議，產(chǎn)生于 IPv6的制定之中，用于提供 IP層的安全性。 ? 目前 IPSec最主要的應(yīng)用是構(gòu)建安全虛擬專用網(wǎng)（ VPN， Virtual Private Network）。 VPN是利用開(kāi)放的公眾網(wǎng)絡(luò)資源建立私有數(shù)據(jù)傳輸通道，將遠(yuǎn)程的分支機(jī)構(gòu)、商業(yè)伙伴、移動(dòng)辦公人員等連接起來(lái)，并且提供安全的端到端的數(shù)據(jù)通信的一種廣域網(wǎng)技術(shù)。 VPN有兩層含義：它是“虛擬的”，即建立隧道或虛電路把不同的物理網(wǎng)絡(luò)或設(shè)備連接起來(lái)，不再使用物理的專線建立專用網(wǎng)，而是將其建立在分布廣泛的公共網(wǎng)絡(luò)上，如 Inter；它是“專用的”，對(duì)基于 IPSec的 VPN而言，是一組連接的閉合用戶群（ CVC），它不僅具有服務(wù)質(zhì)量（ QoS）的保證，而且更多地強(qiáng)調(diào)安全服務(wù)。 VPN是企業(yè)網(wǎng)在公共網(wǎng)絡(luò)上的無(wú)縫延伸， VPN可將位于不同地點(diǎn)的遠(yuǎn)程用戶、分支機(jī)構(gòu)和合作伙伴等連接起來(lái)。 1/31/2023 36 ? VPN是當(dāng)前企業(yè)最大限度的利用 Inter進(jìn)行安全經(jīng)濟(jì)商務(wù)活動(dòng)的最佳解決方案。安全是構(gòu)建 VPN的首要考慮問(wèn)題， IPSec是實(shí)現(xiàn) VPN安全性的關(guān)鍵技術(shù)，并已成為 VPN國(guó)際標(biāo)準(zhǔn)， IPSec為 VPN的可互操作性、安全網(wǎng)絡(luò)管理和通信提供了一個(gè)安全手段。 1/31/2023 37 IPSec的應(yīng)用舉例 建立和實(shí)現(xiàn) IPSec的過(guò)程： 1）建立域或本地計(jì)算機(jī)策略，制定哪些網(wǎng)絡(luò)通信需要是安全的，以及如何處理安全性。 2）根據(jù)這些策略， IPSec將建立一組篩選器，以決定需要安全地傳輸哪些網(wǎng)絡(luò)數(shù)據(jù)包。 3）當(dāng) IPSec從發(fā)送應(yīng)用程序到接收一系列需要安全傳輸?shù)鼐W(wǎng)絡(luò)數(shù)據(jù)包時(shí)，發(fā)送計(jì)算機(jī)將這種情況傳遞到接收計(jì)算機(jī)。兩臺(tái)計(jì)算機(jī)將根據(jù) IPSec策略交換證書(shū)，并驗(yàn)證彼此的身份。 4）在驗(yàn)證了身份之后，兩臺(tái)計(jì)算機(jī)將商定一個(gè)算法，每一臺(tái)計(jì)算機(jī)都將生成同一個(gè)私鑰，而不必在網(wǎng)絡(luò)上傳輸密鑰，這同樣是根據(jù) IPSec策略進(jìn)行的。 5）發(fā)送計(jì)算機(jī)使用私鑰加密所傳輸?shù)臄?shù)據(jù)包，加上數(shù)字簽名，這樣接收計(jì)算機(jī)就知道是誰(shuí)發(fā)送數(shù)據(jù)包，然后傳輸數(shù)據(jù)包。 6）接收計(jì)算機(jī)驗(yàn)證數(shù)字
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1