第8章网络安全协议终稿.pptxVIP

第8章网络安全协议 网络安全协议 针对网络协议栈中的数据链路层、网络层、传输层、应用层数据进行安全保护的协议 常用的有 链路层：L2TP(Layer 2 Tunneling Protocol)、PPTP(Point to Point Tunneling Protocol) 网络层：IPSec(Internet Protocol Security) 传输层：SSL(Secure Socket Layer) 应用层：S/MIME(Secure Multipurpose Internet Mail Extensions), PGP(Pretty Good Privacy), SET (Secure Electronic Transactions) IPSec协议 IPSec协议 针对IP数据进行安全保护的一系列协议 提供的安全服务包括 数据鉴别：保障数据的源发性、完整性 数据加密：保护数据的私密性 IPSec体系结构 ESP协议 加密算法 密钥管理 鉴别算法 AH协议 体系结构 IPSec的主要协议 鉴别头部(Authentication Header, AH)，提供数据源发性和完整性保证 封装安全载荷(Encapsulating Security Payload)， 提供数据私密性保护以及数据源发性和完整性保证 密钥管理协议(一系列协议)，建立安全关联并协商密钥 IPSec协议数据的传输 IPSec协议数据作为IP载荷传输，AH协议号41，ESP协议号50，密钥管理协议有协议号 IPSec协议(AH和ESP)数据的传输操作分为传输模式和隧道模式两种 IP头部 IPSec头 载荷数据 新IP头部 IPSec头 载荷数据 原IP头部 IPSec数据包 IPSec数据包 鉴别头部(AH)数据包格式 0 8 16 31 下一个头部 载荷长度 保留 安全参数索引(Security Parameter Index，SPI) 序列号(Sequence Number) 鉴别数据或完整性检查值(Integrity Check Value, ICV) 载荷数据 截断的HMAC AH数据包-传输模式 IP头部 源地址，目的地址 IP数据 TCP/UPD/ICMP IP头部 源地址，目的地址 IP数据 TCP/UPD/ICMP AH头部 HMAC HMAC-SHA-1/MD5 Authentication Header 鉴别头部 AH数据包-隧道模式 内网IP头部 源地址，目的地址 IP数据 TCP/UPD/ICMP 外网IP头部 源地址，目的地址 AH头部 HMAC HMAC-SHA-1/MD5 Authentication Header 鉴别头部 内网IP头部 源地址，目的地址 IP数据 TCP/UPD/ICMP ESP数据包格式 0 8 16 31 安全参数索引(Security Parameter Index，SPI) 序列号(Sequence Number) 鉴别数据或完整性检查值(Integrity Check Value, ICV) 截断的HMAC 下一个头部 填充长度 填充数据(0~255) 载荷数据 ESP数据包-传输模式 IP头部 源地址，目的地址 IP头部 源地址，目的地址 IP数据 TCP/UPD/ICMP ESP 头部 DES/3DES/AES加密 填充 ESP HMAC ESP 头部 Encapsulated Security Payload 封装的安全载荷 HMAC-SHA-1/MD5 ESP 尾部 IP数据 TCP/UPD/ICMP 填充 ESP 尾部 IP数据 TCP/UPD/ICMP ESP数据包-隧道模式 内网IP头部 源地址，目的地址 外网IP头部 源地址，目的地址 加密后的 IP数据 ESP 头部 HMAC-SHA-1/MD5 DES/3DES/AES加密 填充 ESP HMAC ESP 头部 Encapsulated Security Payload 封装的安全载荷 ESP 尾部 加密后的 IP数据 填充 ESP 尾部 加密后的 IP数据 加密后的 IP数据 填充 ESP 尾部 安全关联(SA) Security Association(SA)，是一个单向IPSec连接所涉及的安全参数和策略的集合，它决定了保护什么、如何保护，规定了保护数据的IPSec协议类型(AH或ESP)、操作模式、加密算法、消息鉴别算法、密钥、数据序列号等 通过密钥管理协议建立 在传送方和接收方通过IPSec数据包的SPI (Security Parameter Index)引用 SA表示一个单向安全连接，双向通信需建立两个SA IPSec密钥管理协议 互联网密钥交换协议，Internet Key Exchange Protocol (I