第十二章IP安全.ppt

第十二章IP安全 结构 IP包本身没有任何安全特性，攻击者和容易伪造IP包的地址，修改包内容、重播以前的包以及在传输的过程中拦截并查看包的内容，应此，我们受到的IP数据报源地址可能不是来自真实的发送方，包含的原始数据可能遭到修改，原始数据在传输的过程中可能被其他人看过。 IPSec的目标是为了IPv4和IPv6提供透明的安全服务。IPSec在IP层上提供数据源的验证、无连接数据完整性、数据机密性、抗重播性和悠闲业务流机密性等安全服务。各种应用程序可以享用IP层提供的安全服务和密钥管理，不必设计和实现自己的安全机制，降低了产生安全漏洞的可能性。 IPSec可保障主机之间、网络安全网关之间或主机与安全网关之间的数据包的安全。 使用IPSec可以防范以下几种攻击 Sniffer：IPSec对数据进行加密对抗Sniffer，保持数据的机密性 数据篡改：IPSec用密钥为每一个IP包生成一个消息验证码MAC，该密钥仅为数据的发送方和接受方共享，对数据包的篡改，接受方都能够检测，保证数据的完整性。 身份欺骗：IPSec的身份交换和认证机制不会暴露信息，依赖数据完整性服务服务实现数据起源认证。 重放攻击：IPSec防止数据包被捕获并重新投放到网上，即目的地会检测并拒绝老的或重复的数据包。 拒绝服务攻击：IPSec依据IP地址范围、协议甚至特定的协议端口号来决定哪些数据流需要受到保护，哪些数据流可以被也许通过，哪些需要拦截。 IPSec安全体系结构 包含了一般的概念、安全需求、定义和定义IPSec的技术机制。 封装安全载荷：覆盖了为了包加密（可选身份验证）与ESP的使用相关的包格式和常规问题。 验证头：包含使用AH进行包身份验证相关的包格式和一般问题 加密算法：描述各种加密算法如何用于ESP 验证算法：描述各种身份验证算法如何用于AH中和ESP身份验证选项。 密钥管理 解释域：彼此相关个部分的标识符及运作参数。 策略：确定两个实体之间能否通信，以及如何进行通信 传送模式与通道模式 IPSec协议包括（AH和ESP）既可用来保护一个完整的IP载荷，也可用来保护某个IP载荷的上层协议。这两方面的保护分别是由IPSec两种不同的模式来提供的。其中，传送模式用来保护上层协议，通道模式用来保护整个IP数据包。 安全关联（SA） 安全关联（SA）的概念是IP安全框架的基础。使用AH和ESP，要求发送方和接收方协商密钥、认证算法、加密算法以及算法涉及的其他参数。 安全关联将密钥管理和安全机制分离开来。密钥管理更新安全关联中的变量，而安全机制则读取和使用这些变量。唯一共存于密钥管理和安全协议的是安全参数索引（SPI）。 安全关联是单向的“连接”或“关系”，为保证两个主机或安全网关之间双向通信的安全，在会话的每个方向上都有一个SA。 选择基于主机的还是基于用户的安全关联，取决于安全策略，从实现的角度看，安全策略定义了选择安全关联和SPI所需的所有变量。 认证头（AH） AH和ESP都支持两种应用模式：传输模式和隧道模式。在传输模式中，协议主要是对上层协议提供保护，在隧道模式中，协议应用于整个隧道IP分组。 认证头提供了数据包源的认证和完整性检查，以确认数据包在传输过程中不曾被修改过。认证基于对一个整体包。被支持的散列算法是MD5或SHA。 ?AH协议不支持数据机密性服务，因而可以广泛应用，甚至可以在控制使用加密技术的国家使用。总之，在不需要机密性时，AH是个不错的协议。在内联网或外联网虚拟专用网（VPN），机密性很重要，因此IPSEC的应用就只带有封装安全负载的隧道模式。 ESP ???ESP增加了数据通信的秘密性。源数据包，包括包头，都被加密。被支持的加密算法是56比特的DES、3DES和其他对称密钥算法。ESP也对上层协议提供某种认证，也可以增加一些可变的填充来隐藏源数据包的真实长度。 一个新的传输包被加进ESP封装包中，然后这个包在发送到目的地，这种传输模式称为“隧道模式”，因为一个IP数据包在另一个IP数据包内，以一种更为安全的方式发送。 IPSec驱动程序 IPSec驱动程序负责监视、筛选和保护IP通信。它负责监视所有出入站IP数据包，并将每个 IP 数据包与作为 IP 策略一部分的 IP 筛选器相匹配。一旦匹配成功，IPSec驱动程序通知IKE开始安全协商。 下图为IPSec驱动程序服务示意图 发送端IPSec驱动程序执行以下步骤 从IKE处获得SA和会话密钥 在IPSec驱动程序数据库中查找相匹配的出站SA，并将SA中的SPI插入IPSec报头 对数据包签名--完整性检查；如果要求机密保护，则另外加密数据包 将数据包随同SPI发送至IP层，然后进一步转发至目的主机 接收端IPSec驱动程序执行以下步骤 从IKE处