信息安全标准.pptVIP

2 第八章 信息安全标准 8.1 概述 安全标准可以分成以下几大类： 安全体系结构和框架标准 分层安全协议标准 安全技术标准 具体应用安全标准 安全管理标准 8.2 安全体系结构8.2.1 OSI安全体系结构简介 OSI安全体系结构的研究由ISO/IEC JTC1/SC21于1988年完成。其制定的标准是ISO 7498-2标准，作为OSI基本参考模型的新补充。1990年，ITU决定采用ISO7498-2作为它的X.8OO推荐标准。 OSI安全体系结构不是能具体实现的标准，而是如何设计标准的标准。 在ISO 7498-2定义了所有安全服务及其变体，并且对定义有详细说明，OSI安全体系结构没有详细说明这些安全服务应该如何来实现。 8.2.2 OSI分层安全服务 物理层 数据链路层 网络层 传输层 会话层 表示层 应用层 8.2.3 OSI安全框架 OSI安全框架定义了一些通用的概念： 安全策略：用于限定一个或一组对象进行安全相关活动的规则集。 安全机构：该实体对安全策略的实现负责，它可以使用安全策略限制其他实体的活动； 安全区域：一组对象，加上安全策略、安全权威机构和一组与安全相关的活动。 安全交互规则：在安全区域之间进行交互应遵守的规则。 8.2.3 OSI安全框架 安全框架系列（ISO/IEC 1O181）包括七部分（也有可能会进一步扩展），它们是： 安全框架综述 认证框架 访问控制框架 非否认框架 机密性框架 完整性框架 安全审计框架 认证框架定义术语 主体： 声称者： 验证者： 论证信息： 交换认证信息 声称者认证信息 验证者认证信息 基本认证模型 内联式认证模型 在线认证模型 离线认证模型 8.3 IPSec安全协议8.3.1 IP协议的安全缺欠 IPv4提供不安全的服务 IPv4操作过程不安全 IPv6的安全特性：IPv6作为新一代的IP协议，具有如下5个方面的特性： 扩展地址空间，增强路由 地址的自动配置 IP数据包包头简化 服务质量 QoS 安全控制 8.3.2 IPSec 结构 1、IPSec IPSec是指IETF以RFC形式公布的一组安全IP协议集，是在IP包级为IP业务提供保护的安全协议标准。IPSec在IP层提供安全业务的方式是让系统选择所要求的安全协议、决定所需的算法和密钥。安全协议有两个，一个是由协议的包头，即认证报头 AH（Authentication Header）指定的认证协议，另一个是由协议数据包格式，即封装的安全负载 ESP（Encapsulating Security Payload）指定的将加密和认证结合起来的协议。安全业务有访问控制、无连接的完整性、数据源的认证性、对重放数据包的拒绝、保密性、受限的业务流保密性等。 IPSec的安全业务 8.3.2 IPSec 结构 IPSec通过在IP层对所有业务流加密和认证，保证了所有分布式应用程序（包括远程登录、客户机/服务器、电子邮件系统、文件传输、Web的访问等）的安全性，因此可以提供网络内（包括局域网LAN、广域网WANS等）或网际间的安全通信。 3. IPSec的作用 IPSec用于防火墙和路由器等网际设备，可以为通过网际设备的业务流提供强安全业务，且在LAN内（比如一个公司的LAN）的业务无需进行安全性处理。 由IPSec提供安全服务的业务流的发方到收方的一个单向逻辑关系，用来表示IPSec为SA所承载的数据通信提供安全服务，其方式是使用AH或ESP之一，一个SA不能同时使用AH和ESP保护。一个SA可由三个参数惟一地表示为： ＜安全参数索引，目标IP地址，安全协议标识符＞ IPSec的实现还需维护两个数据库 安全关联数据库SAD 安全策略数据库SPD 传输模式 传输模式主要用于对上层协议的保护。 以传输模式运行的ESP协议对负载进行加密和认证（认证性可供选择。 隧道模式 用于对整个IP数据包的保护，它是将一个数据包用一个新的数据包包装，即给原数据包加一个新的包头，称为外部包头，这样原数据包就成为新数据包的负载。 8.3.3 认证报头 认证报头AH用于保证IP数据包的数据完整性、认证性，并用于防地址欺骗攻击、消息重放攻击等。其认证性由消息认证码MAC实现，因此要求通信双方有共享的密钥。 AH的格式： 下一报头 负载长度 保留 安全参数索引SPI 序列号 认证数据 1、防重放攻击 AH包头中的“序列号”字段用于防止攻击者截获已经认证过的数据包后实施重放攻击。 2、完整性校验值ICV 认证报头AH中，字段“认证数据”的值称为完整性校验值ICV，ICV是由MAC算法产生的消息认证码或截短的消息认证码。 8.