AH和ESP各层选项.PPTVIP

讲义 VII：因特网安全 (IPsec) 协定 因特网安全，理论与实作 NCTU/CSIE–92S John K. Zao, PhD SMIEEE 05/31/2004 大纲 简介 威胁和攻击 安全服务 安全机制概要 对称式加密模式 密钥与凭证管理 第1层 密码学 第2层 密码学 第3层 密码学 第5层 密码学？ 第7层 密码学 (较上层的) 第3层的安全特色 安全服务 机密 (有限的数据传输流加密) 资料来源认证 对应端点单位认证 非联机取向其次序完整性 访问控制 (经由金钥管理) 安全是一个独立的网络技术，例如，跨不同的广域网络和局域网络的保护 安全可以提供给一整个局域网络或分别提供给局域网络中一个与路由器功能使用的单一装置 很适合中央集权式装置管理和自动化的金钥管理 IPsec 概要 IETF 已采用的一个标准：RFCs 1825-1829，现在正在被修订当中 IPv4 和IPv6 可兼容的格式 认证标头 (AH) 提供了 (整个数据) 完整性和真实性，以及选用的反回放 封装安全的酬载 (ESP) 以提供模数加密、认证、完整性，和反回放 分开了安全连结关系的协商和金钥管理的协议：Oakley/ISAKMP AH 和ESP 各层选项 IPsec 运作模式 IPsec 路径选项 AH 格式 NEXT长8-位，指的是从IP之后的 “下一个协议” 长度指的是标头长度，长32-位 SPI 长32-位，用来识别这个安全连结关系 序号长32-位，此计数器用来侦测和拒绝回放的封包 保留的 长16-位，目前全部为零 认证数据 包含由认证算法所计算出的数值，并放进冗字填充使其长度为32位的整数倍 ESP 格式 SPI 是用来识别安全连结关系 序号是一个选用的 32-位 计数器 用来侦测与拒绝回放的封包 酬载是由ESP所保护用户数据，如果需要的话，会在其前面前缀一个 IV 冗字填充 是用来将内文酬载长度延伸到 一个等同于6 mod 8 byte 的整数长度，这使得当冗字填充长度和类型字段也加进来之后，其结果是一个整数乘上8 bytes 冗字填充 长度指明冗字填充的长度，用bytes (0-255)计算 类型识别是由ESP协议封装的 AH 与ESP 算法 完整性与真实性 – HMAC 与 MD5 或 SHA-1 机密 – AES 或 Triple DES-CBC 反回放 – 序号与乘上32个窗格大小 (没有严谨地按照顺序排列) 压缩 – 只有为ESP发展中 * IP HDR AH TRANSPORT ... IP HDR TRANSPORT ... ESP AH IP HDR TRANSPORT ... ESP IP HDR TRANSPORT ... ESP IP HDR IP HDR TRANSPORT ... ESP IP HDR AH IP HDR TRANSPORT ... ESP IP HDR AH IP HDR TRANSPORT ... ESP IP HDR AH A B C C A B C 广域网络 C 路由器 1 主机 6 主机 7 主机 3 主机 2 主机 1 A 路由器 2 A A 主机 8 A 移動的 主機 路由器 3 A A 隧道模式 转运模式 A B C C A B C 广域网络 C 路由器 1 主机 6 主机 7 主机 3 主机 2 主机 1 路由器 3 A A 路由器 2 A A A 主机 8 A 移动的 主机 站台对站台 VPN 远程访问 32 位元 NEXT SPI 保留的 LEN 認證資料 (與選用的冗字填充) 序號(選用的) 32 位元 IV (選用的，變數長度) SPI 類型 冗字填充 酬載 冗字填充 冗字填充 長度 序號(選用的) 页眉 * L3-* Copyright ? 1995 Stephen Kent. All Rights Reserved. 页眉 * *