ed网络安全_2.pptVIP

计算机网络原理与实践（第2版）配套课件机械工业出版社 2013年 第8章 网络安全(2) 本章内容（2） 8.4 网络安全协议 8.4.1网络层安全协议Ipsec 8.4.2 传输层安全协议SSL 8.4.3 电子邮件安全协议PGP 8.4.4 无线局域网的安全协议802.11i 8.5 安全标准与法律法规 网络通信的安全性依靠什么保证？ 网络安全协议跟网络协议体系的层次有什么关系？ 网络安全协议主要有哪些？ 8.4 网络安全协议 网络层安全协议IPsec 传输层安全协议SSL （Security Socket Layer） 电子邮件安全协议PGP （Pretty Good Privacy） 无线局域网的安全协议802.11i 8.4.1网络层安全协议IPsec 应用于网络层IP报文数据安全的一整套体系结构。 IPsec的体系结构： 鉴别首部（Authentication Head，AH）协议 封装安全有效载荷（Encapsulation Security Payload，ESP）协议 解释域（Domain of Interpretation，DOI）文档 密钥管理（Internet Key Exchange，IKE）协议 用于网络验证及加密的一些算法等。 IPsec体系结构图 安全关联 安全关联（Security Association，SA）是从源主机到目的主机的立一条网络层的逻辑连接。 安全关联是通信对等方之间对某些要素的一种协定：采用哪种IPSec协议、协议的操作模式（传输模式和隧道模式）、密码算法、密钥、密钥的生存期等等。 安全关联是单向的，因此输入和输出的数据流需要独立的SA。如果同时使用AH和ESP来保护对等方之间的数据流，则需要两个SA：一个用于AH，一个用于ESP。 安全关联的三个部分 一个安全关联SA由以下参数惟一确定： 安全协议的标识符：说明SA使用的是AH协议还是ESP协议。 单向连接的目的IP地址：接收实体的IP地址。 安全参数索引（Security Parameter Index，SPI）：每个IPSec数据报首部 （ AH或ESP）都有32bit的SPI字段。同一SA的所有数据报SPI值相同。接收方通过SPI、目的IP地址和安全协议标识来搜索安全关联数据库（Security Association Database，SAD），确定与该数据报相关联的SA。 解释域 解释域（Domain of Interpretation，DOI）定义AH协议和ESP协议载荷中各字段的取值规则，保证通信双方对通信消息有一致的解释。 具体定义双方必须支持的安全策略，规定所采用的句法，命名相关安全服务信息时的方案，包括加密算法，密钥交换算法，安全策略特性和认证中心等。 密钥管理IKE协议 主要功能：建立和管理SA，协商安全策略。 SA通过密钥管理协议IKE在通信对等方之间进行协商，以使双方确定： 封装形式（AH或者ESP） 加密算法及密钥 密钥的生存期 身份验证算法等 鉴别首部（AH） 主要提供完整性和认证（鉴别）功能。 使用AH时，将AH首部插在原数据报数据部分的前面，同时将IP首部中的协议字段设为51。 在传输过程中，中间的路由器不查看AH首部。当数据报到达目的站时，目的站主机才处理AH字段，以鉴别源主机和检查数据报的完整性。 AH在安全IP报文中的位置 鉴别首部（AH）格式 下一个首部（8bit）：标识紧接着本首部的下一个首部的类型（如TCP或UDP）。 有效载荷长度（8bit）：即鉴别数据字段的长度。 安全参数索引SPI（32bit）：标识一个安全关联。 序列号（32bit）：单调递增的计数值，用来检测重放攻击，以32bit字为单位。 保留（16bit）：预留将来使用，值设为0。 鉴别数据（可变）：为32bit字的整数倍，默认长度为96bit。包含经数字签名的报文摘要。可用来鉴别源主机和检查IP数据报的完整性。 AH的工作过程 发送IP数据报时，首先确定目的IP地址和选择一个安全参数索引SPI，然后产生一个SA，使用这个SA的算法和密钥计算整个IP数据报的散列（如MD5）填入AH首部的鉴别数据部分，然后发送。 接收该数据报时，首先提取鉴别首部的信息，然后根据SPI值决定采用什么SA及其参数进行验证，按同样方式计算IP数据报的散列，最后比较这个散列是否与鉴别首部中的散列一致。如果一致，则验证了IP数据报的完整性。 封装安全有效载荷（ESP） 鉴别首部（AH）可以提供完整性和认证功能，但不能确保数据的保密性。 封装安全有效载荷（ESP）不仅可以提供完整性和认证功能外，还可以确保IP数据报的保密性。 ESP在安全IP报文中的位置 封装安全有效载荷（ESP） 在ESP首部中，包括一个安全关联的安全参数索引S