ipweb.ppt

IP安全与Web安全 内容提要 ◎ IPSec的必要性，IPSec中的AH协议和ESP协议 ◎ 密钥交换协议IKE ◎ VPN的功能以及解决方案 ◎ Web安全性的3个方面和SSL和TLS安全协议的内容与体系结构 IP安全概述 大型网络系统内运行多种网络协议（TCP/IP、IPX/SPX和NETBEUA等），这些网络协议并非为安全通信设计。 而其IP协议维系着整个TCP/IP协议的体系结构，除了数据链路层外，TCP/IP的所有协议的数据都是以IP数据报的形式传输的，TCP/IP协议簇有两种IP版本：版本4（IPv4）和版本6（IPv6）。IPv6是IPv4的后续版本，IPv6简化了IP头，其数据报更加灵活，同时IPv6还增加了对安全性的考虑。 IP安全的必要性 目前占统治地位的是IPv4，IPv4在设计之初没有考虑安全性，IP包本身并不具备任何安全特性，导致在网络上传输的数据很容易受到各式各样的攻击：比如伪造IP包地址、修改其内容、重播以前的包以及在传输途中拦截并查看包的内容等。因此，通信双方不能保证收到IP数据报的真实性。 为了加强因特网的安全性，从1995年开始，IETF着手制定了一套用于保护IP通信的IP安全协议（IP Security，IPSec）。IPSec是IPv6的一个组成部分，是IPv4的一个可选扩展协议。IPSec弥补了IPv4在协议设计时缺乏安全性考虑的不足。 IPSec的应用 Internet上的安全分支办公室连接 一个公司可以在Internet或公共广域网上建立安全的虚拟专用网 Internet上安全的远程访问 配备了IPSec的最终用户可以通过调用本地网络服务提供商的服务获得对公司网络的安全访问 与合作者之间建立企业内部和外部的连接 IPSec可以用于与其他组织之间的安全通信 增强电子商务的安全性 所有分布式应用，都可以透过IPSec增加安全性 TCP/IP Example IPv4 Header IPv6 Header IPSec的优点 提供强大的安全性，应用于防火墙和路由器 防火墙内部的IPSec可以抵制旁路 IPSec在传输层以下，对应用程序透明 IPSec对终端用户透明 需要时可以为单个用户提供安全性 路由选择应用，IPSec保证： 路由器的通告(新的路由器通告它的存在)来自被认可的路由器 邻站通告(一个路由器尝试与另一个路由选择域的一台路由器建立或维护邻站关系)来自被认可的路由器 重定向报文来自于原始报文发给它的路由器 路由选择更新不会被假造 IPSec协议簇 IPSec定义了一种标准的、健壮的以及包容广泛的机制，可用它为IP以及上层协议（比如TCP或者UDP）提供安全保证。IPSec的目标是为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全功能，在IP层实现多种安全服务，包括访问控制、数据完整性、机密性等。IPSec通过支持一系列加密算法如DES、三重DES、IDEA和AES等确保通信双方的机密性。 IPSec协议簇包括两个安全协议：AH协议和ESP协议。 AH协议（Authentication Header，验证头）：可以证明数据的起源地、保障数据的完整性以及防止相同数据包在因特网重播。 ESP协议（Encapsulating Security Payload，封装安全载荷）：具有所有AH的功能，还可以利用加密技术保障数据机密性。 虽然AH和ESP都可以提供身份认证，但它们有2点区别： ESP要求使用高强度的加密算法，会受到许多限制。 多数情况下，使用AH的认证服务已能满足要求，相对来说，ESP开销较大。 有两套不同的安全协议意味着可以对IPSec网络进行更细粒度的控制，选择安全方案可以有更大的灵活度。 IPSec的实现方式 IPSec的实现方式有两种：传输模式和隧道模式，都可用于保护通信。其中传输模型的作用方式 传输模式用于两台主机之间，保护传输层协议头，实现端到端的安全性。当数据包从传输层传送给网络层时，AH和ESP会进行拦截，在IP头与上层协议之间需插入一个IPSec头。当同时应用AH和ESP到传输模式时，应该先应用ESP，再应用AH。 隧道模式 隧道模式用于主机与路由器或两部路由器之间，保护整个IP数据包。将整个IP数据包进行封装（称为内部IP头），然后增加一个IP头（称为外部IP头），并在外部与内部IP头之间插入一个IPSec头。 IPSec的实施 IPSec可在终端主机、网关/路由器或者两者中同时进行实施和配置。至于IPSec在网络什么地方配置，则由用户对安全保密的要求来决定。 在需要确保端到端的通信安全时，在主机实施显得尤为有用。然而，在需要确保网路一部分的通信安全时，在路由器中实施IPSec就显得非常重要。 验