协议安全.pptVIP

IP安全 已有的安全机制 电子邮件：PGP，S/MIME 客户端/服务器：Kerberos Web访问：安全套接字层等 没有应用安全机制的网络安全？ IP级别安全 认证：确认收到的包是包头标志的源端实体发出的，保证传输过程不被篡改 保密：正在通信点对点消息加密，防止第三方窃听 密钥管理机制与密钥交换安全相关 IPSec IPSec提供了在LAN,专用和公用WAN以及互联网中安全通信的性能。用途包括以下方面： 通过互联网安全分支机构接入 通过互联网进行安全远程访问 与合作者建立企业间联网 和企业内联网接入 加强电子商务安全 能在IP层对所有的流量进行加密或认证，保证所有分布式应用，包括远程登录、客户端/服务器、电子邮件、文件传输、Web访问等 IPSec好处 路由器和防火墙中使用IPSec，对通过边界的所有通信流量提供强安全性 防火墙内的IPSec能在所有外部流量必须使用IP时阻止旁路，防火墙是唯一通道 IPSec位于传输层之下，队有所的应用都是透明的，因此没有必要对服务系或客户端的软件做任何修改，上层软件不受影响 IPSec对终端用户是透明的，不需要对用户进行安全机制的培训 IPSec能给个人用户提供安全性，组件安全虚拟子网络 路由应用中使用IPSec 可确保路由器广播来自于授权路由器 可确保邻居广播来自于授权路由器 确保重定向报文，来自于被发送给初始包的路由器 确保路由更新未被伪造 没有这些安全措施，攻击者可能中断通信或转发某些流，路由协议（OSPF）应该运行在由IPSec定义的路由器间安全关联的最上层 IPSec文档 RFC2401 RFC2402 RFC2406 RFC2408 这些安全特性均是在主IP包头之后的扩展抱头来实现的，用于认证的扩展报头叫做认证报头，用于加密扩展报头叫做封装安全载荷报头 除四个文档之外还包括其他草案。可分成7各部分：体系结构、封装安全载荷、认证报头、加密算法、认证算法、密钥管理、解释域 IPSec服务 IPSec通过让系统选择所需的安全协议，决定服务中使用的算法和为请求服务提供任何加密密钥来实现IP级的安全服务。两种协议可以用来提供安全性：AH报头认证协议和加密/认证联合协议ESP.提供的服务： 访问控制、无连接完整性、数据源认证、拒绝重放包、保密性、受限制的流量保密性 安全挂念 关联是发送方和接收方之间的单向关系，该关联围棋上的流提供安全服务。双向需要两个安全关联(SA)。一个安全关联由三个参数唯一确定： 安全参数索引：AH ESP报头携带，使得接收系统能选择合适的SA IP目的地址：SA目的端地址，可以使用过户系统或者防火墙、路由器这样的网络系统 安全协议标志：标志关联是一个AH安全关联还是一个ESP安全关联 传输模式和隧道模式 传输模式主要为上层协议提供保护。如对tcp段、udp段、icmp包的保护，用于两个主机之间进行端对端的通信 隧道模式对整个IP包提供保护。为了达到这个目的，在把AH或者ESP域添加到IP包中后，整个包加上安全域被作为带有新外部IP报头的新“外部”IP包的载荷。沿途路由器不能检查内部的IP报头 隧道模式工作的一个例子 一台主机A生成了以另一个网络中的主机B作为目的地址的IP包。这个包先路由到源主机A所在的网络边缘的路由器或安全网关。防火墙给过滤所有输出包来决定是否要进行IPSec处理。如果需要IPSec处理，则防火墙执行IPSec处理并用外部的IP报头对包进行包装。此外部IP包的源IP地址是防火墙的IP地址，目的IP地址可能是B的本地网络边界防火墙的IP地址。此包被路由到B的防火墙，中间的路由器仅检查外部IP报头。在B的防火墙处，外部的IP报头被除去，内部的包向主机B传输 认证报头AH 认证报头给数据完整性和IP包认证提供支持。数据完整性的特性保证了不会出现一个包的内容被改变而不察觉的情况。认证的特性使终端系统或网络设备能够对用户或应用进行认证，并按认证放行。同时能防止现在互联网出现的地址欺诈攻击。组成： 邻接报头，载荷长度，保留比特，安全参数索引，序列号，认证数据 AH 反重放攻击 完整性校验值 传输模式和隧道模式 封装安全载荷ESP ESP格式 安全参数索引，序列号，在和数据，填充域，填充长度，邻接报头，认证数据 加密和认证算法 3DES,RC5,IDEA,3DES3IDEA,CAST,Blowfish ESP 传输模式：传输模式为使用它的任何应用提供了保密性，这样就不用在每个应用中实现保密性。同时这种模式的操作也是相当高效的，仅增加了少量IP包长度。弱点：对传输包进行流量分析是可能的 隧道模式：加密整个IP包。该模式可阻止流量分析。 安全关联组合 单个SA能实现AH或ESP，但不能同时实现两者。安全关联束指的是一系列的SA，在这些SA上必须处理流量来提供一组