IPSEC协.ppt

第10章 IPSec;IPSec（IP Security）是一种由IETF设计的端到端的确保IP层通信安全的机制。IPSec不是一个单独的协议，而是一组协议，这一点对于我们认识IPSec是很重要的。IPSec协议的定义文件包括了12个RFC文件和几十个Internet草案，已经成为工业标准的网络安全协议。;IPSec是随着IPv6的制定而产生的，鉴于IPv4的应用仍然很广泛，所以后来在IPSec的制定中也增加了对IPv4的支持。IPSec在IPv6中是必须支持的，而在IPv4中是可选的。本章中提到IP协议时是指IPv4协议。 IP协议在当初设计时并没有过多地考虑安全问题，而只是为了能够使网络方便地进行互联互通，因此IP协议从本质上就是不安全的。仅仅依靠IP头部的校验和字段无法保证IP包的安全，修改IP包并重新正确计算校验和是很容易的。如果不采取安全措施，IP通信会暴露在多种威胁之下，下面举几个简单的例子。;（1） 窃听 一般情况下IP通信是明文形式的，第三方可以很容易地窃听到IP数据包并提取出其中的应用层数据。“窃听”虽然不破坏数据，却造成了通信内容外泄，甚至危及敏感数据的安全。 （2） 篡改 攻击者可以在通信线路上非法窃取到IP数据包，修改其内容并重新计算校验和，数据包的接收方一般不可能察觉出来。作为网络通信用户，即使并非所有的通信数据都是高度机密的，也不想看到数据在传输过程中有任何差错。 ;（3） IP欺骗 在一台机器上可以假冒另外一台机器向接收方发包。接收方无法判断收到的数据包是否真的来自该IP包中所声称的源IP地址。 （4） 重放攻击法 搜集特定的IP包，进行一定的处理，然后再一一重新发送，欺骗接收方主机。;IP协议之所以如此不安全，就是因为IP协议没有采取任何安全措施，既没有对数据包的内容进行完整性验证，又没有进行加密。如今，IPSec协议可以为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，保证数据的完整性和机密性，有效抵御网络攻击，同时保持易用性。 表10-1列出了与IPSec相关的RFC，如果想进一步了解IPSec的某些内容，请参考相关的网址/rfcs。 ;表 10?1 定义IPSec协议族的各RFC;IPSec具有以下功能： （1） 作为一个隧道协议实现了VPN通信 IPSec作为第三层的隧道协议，可以在IP层上创建一个安全的隧道，使两个异地的私有网络连接起来，或者使公网上的计算机可以访问远程的企业私有网络。这主要是通过隧道模式实现的，有关传输模式和隧道模式参见10.1.6小节。;（2） 保证数据来源可靠 在IPSec通信之前双方要先用IKE认证对方身份并协商密钥，只有IKE协商成功之后才能通信。由于第三方不可能知道验证和加密的算法以及相关密钥，因此无法冒充发送方，即使冒充，也会被接收方检测出来。 （3） 保证数据完整性 IPSec通过验证算法功能保证数据从发送方到接收方的传送过程中的任何数据篡改和丢失都可以被检测。 （4） 保证数据机密性 IPSec通过加密算法使只有真正的接收方才能获取真正的发送内容，而他人无法获知数据的真正内容。;IPSec众多的RFC通过如图10.1所示的关系图组织在一起。 ;图10.1 IPSec体系结构;从图10.1中可以看出，IPSec包含了3个最重要的协议：AH、ESP和IKE。 （1） AH为IP数据包提供如下3种服务：无连接的数据完整性验证、数据源身份认证和防重放攻击。数据完整性验证通过哈希函数（如MD5）产生的校验来保证；数据源身份认证通过在计算验证码时加入一个共享密钥来实现；AH报头中的序列号可以防止重放攻击。;（2） ESP除了为IP数据包提供AH已有的3种服务外，还提供另外两种服务：数据包加密、数据流加密。加密是ESP的基本功能，而数据源身份认证、数据完整性验证以及防重放攻击都是可选的。数据包加密是指对一个IP包进行加密，可以是对整个IP包，也可以只加密IP包的载荷部分，一般用于客户端计算机；数据流加密一般用于支持IPSec的路由器，源端路由器并不关心IP包的内容，对整个IP包进行加密后传输，目的端路由器将该包解密后将原始包继续转发。 AH和ESP可以单独使用，也可以嵌套使用。通过这些组合方式，可以在两台主机、两台安全网关（防火墙和路由器），或者主机与安全网关之间使用。;（3） IKE协议负责密钥管理，定义了通信实体间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。IKE将密钥协商的结果保留在安全联盟（SA）中，供AH和ESP以后通信时使用。 最后，解释域（DOI）为使用IKE进行协商SA的协议统一分配标识符。共享一个DOI的协议从一个共同的命名空间中选择安全协议和变换、共享密码以及交换协议的标识符等，DOI将IPSec的这些RFC文