IP的安全性题库.ppt

Internet密钥交换 交换阶段 交换模式 生成密钥信息 Oakley群 模式配置 混合认证 IKE IKE是一个混合协议，使用到三个不同协议的相关部分： －ISAKMP －Oakley密钥确定协议 －SKEME IKE实际定义了一个密钥交换，而ISAKMP仅仅提供了一个可由任意密钥交换协议使用的通用密钥交换框架 Internet 密钥两阶段协商 阶段1协商 ISAKMP通信双方建立一个ISAKMP SA，即用于保护双方后面的协商通信的一个协定 然后用这个ISAKMP SA为保护其它协议(如AH和ESP)建立SA的协商 阶段2协商 用于为其它安全服务，如AH和ESP建立SA 一个阶段1的SA可用于建立多个阶段2的SA Internet 密钥交换模式 主模式 野蛮模式 快速模式 新群模式 主模式 用于协商阶段1的SA 这种交换模式被设计成将密钥交换信息与身份、认证信息相隔离，便于保护什么信息 主模式 1－发起者发送一个封装有建议载荷的SA载荷，而建议载荷重又封装有变换载荷 2－响应者发送一个SA载荷，表明接受协商的SA的建议 3、4－发起者和接受者交换D-H公开值和各种辅助数据，如nonce。Nonce是计算共享密钥（用来生成加密密钥和认证密钥）所必须的 5、6－双方交换标识数据并认证D-H交换。这两个消息中传递的信息是加密的，用于加密的密钥由消息3－4中交换的密钥信息生成，所以身份信息受到保护 野蛮模式 在不需要保护身份信息时，用于协商阶段1的SA 这种交换模式允许同时传送与SA、密钥交换和认证相关的载荷。将这些载荷组合到一条消息中减少了消息的往返次数 野蛮模式 1－发起者发送一个封装有单个建议载荷的SA载荷，而建议载荷重又封装有变换载荷。在野蛮模式中，只提供带有一个变换的建议载荷，响应者可以选择接受或拒绝该建议。D-H公开值、需要的随机数和身份信息也在其中发送 2－响应者发送一个SA载荷，其中封装有一个包含发起者的建议和推荐的变换的建议载荷。 D-H公开值、需要的随机数和身份信息也在其中发送 3－发送者发送应用一致同意的认证函数生成的结果 快速模式 用于协商阶段2的SA，协商受到阶段1协商好的ISAKMP SA的保护 这种交换模式下交换的载荷都是加密的 新群(new group)模式 用于为D-H密钥交换协商一个新的群 这种交换模式受到阶段1协商好的ISAKMP SA的保护 IPSec和IKE小结 IPSec在网络层上提供安全服务：定义了两个协议AH和ESP IKE提供了密钥交换功能：利用ISAKMP提供的框架、以及Oakley和SKEME的密钥交换协议的优点 通过SA把两部分连接起来 已经发展成为Internet标准 IPSec和IKE小结 IPSec太复杂 － 协议复杂性，导致很难达到真正的安全性 － 管理和配置复杂，使得安全性下降 实现上的兼容性 攻击：DOS，网络层之下的协议、之上的协议的弱点 还在进一步完善 人有了知识，就会具备各种分析能力， 明辨是非的能力。 所以我们要勤恳读书，广泛阅读， 古人说“书中自有黄金屋。 ”通过阅读科技书籍，我们能丰富知识， 培养逻辑思维能力； 通过阅读文学作品，我们能提高文学鉴赏水平， 培养文学情趣； 通过阅读报刊，我们能增长见识，扩大自己的知识面。 有许多书籍还能培养我们的道德情操， 给我们巨大的精神力量， 鼓舞我们前进。 * 安全关联－SA 使用一个32位计数器和位图确定一个输入的 AH或ESP数据包是否是一个重放包 SAn …… SA3 SA2 SA1 安全关联－SA AH认证密码算法和所需要的密钥 SAn …… SA3 SA2 SA1 安全关联－SA ESP认证密码算法和所需要的密钥 SAn …… SA3 SA2 SA1 安全关联－SA ESP加密算法，密钥，初始化向量(IV)和IV模式 IV模式：ECB，CBC，CFB，OFB SAn …… SA3 SA2 SA1 安全关联－SA 传输模式 隧道模式 通配模式：暗示可用于传输隧道模式 SAn …… SA3 SA2 SA1 安全关联－SA 路径最大传输单元 是可测量和可变化的 它是IP数据报经过一个特定的从源主机到 目的主机的网络路由而无需分段的IP数据 包的最大长度 SAn …… SA3 SA2 SA1 安全关联－SA 包含一个时间间隔 外加一个当该SA过期时是被替代还是终止 采用软和硬的存活时间：软存活时间用于在 SA会到期之前通知内核，便于在硬存活时间 到来之前内核能及时协商新的SA SAn …… SA3 SA2 SA1 安全策略－SP 安全策略－SP SP：指定用于到达或源自特定主机/网络的数据流的策略 SPD：包含策略条目的有序列表 通过