网络安全之IP安全.pptVIP

第 8 章 IP安全 提纲 IP安全概述 IP安全策略 认证报头 封装安全载荷 安全关联组合 密钥管理 密码组件 TCP/IP Example IPv4 Header IPv6 Header IP通信面临多种威胁 IP通信面临多种威胁 （3） IP欺骗 在一台机器上可以假冒另外一台机器向接收方发包。接收方无法判断收到的数据包是否真的来自该IP包中所声称的源IP地址。 （4） 重放攻击 搜集特定的IP包，进行一定的处理，然后再一一重新发送，欺骗接收方主机。 一、IPSec概述 IPSec（IP Security）是由IETF设计的端到端的确保IP层通信安全的机制。 IPSec是可以在当前的互联网协议（IPv4/6）中增加的功能，通过增加额外的报头来实现。 IPSec包括三个应用领域：认证、保密、密钥管理。 IPSec的应用 IPSec提供了在LAN、专用/公用WAN以及Internet中安全通信的性能： 通过互联网安全分支机构接入（Intranet VPN） 通过互联网进行安全远程访问（Access VPN） 与合作者建立企业间联网和企业内联网接入（Extranet VPN） IPSec的应用 IPSec的优点 当在LAN边界使用IPSec时，可以对所有的通信流提供强安全性，且内部不会增加开销。 IPSec位于传输层之下，对所有应用都是透明的，用户系统和服务器系统的软件不需要进行调整。 不需要对一般终端用户进行安全机制培训。 提供路由选择的安全性。（路由器广播、邻居广播、重定向报文来源、路由更新等的真实性） IPSec文档 最重要的IPSec文档（1998年11月发布）: RFC 2401: 安全体系结构概述 RFC 2402: IP扩展的包认证描述（ IPv4 和 IPv6） RFC 2406: IP扩展的包加密描述（ IPv4 和 IPv6） RFC 2408: 密钥管理性能规范 IPv6必须支持这些特性，IPv4可选择地支持。 IPSec Document Overview IPSec文档 IPSec服务 IPSec提供两个通信协议：AH（认证头） , ESP （封装安全有效载荷） AH：认证头 ,为IP通信提供数据源认证,保护通信免受篡改。 ESP：封装安全有效载荷, 为IP数据包提供完整性检查和加密。 两种协议都支持两种使用模式：传输模式，隧道模式。 传输方式：为上层协议提供保护，保护IP分组的有效载荷。 隧道方式：对整个IP分组提供保护，将整个原数据包当作有效载荷封装起来，外面附上新的IP报头。 IPSec服务 IPSec在IP层提供安全服务，使得系统可以选择所需要的安全协议，确定该服务所用的算法，并提供安全服务所需任何加密密钥。 访问控制 连接完整性 数据源认证 拒绝重放数据包 保密性（加密） 有限信息流保密性 AH的传输模式 ESP的传输模式 二、IP安全策略 安全关联 安全关联数据库 安全策略数据库 IP通信进程 二、IP安全策略 IPSec操作的基础是应用于每个源地址到目的地址传输中IP包安全策略的概念。 IPSec安全策略本质上由两个交互的数据库确定： 安全关联数据库（SAD） 安全策略数据库（SPD） 二、IP安全策略 1、安全关联SA(Security Association) SA是IP认证和保密机制中最关键的概念。 SA是两个应用IPsec实体（主机、路由器）间的一个单向逻辑连接，决定保护什么、如何保护以及谁来保护通信数据。 如果需要一个对等关系，即双向安全交换，则需要两个SA。 SA是用于通信对等方之间对某些要素的一种协定，如IPSec协议、协议的操作模式（传输、隧道）、密码算法、密钥、密钥的生存期等。 1、安全关联SA(Security Association) SA由三个参数唯一确定： Security Parameters Index(SPI)：安全变量索引。分配给这个SA的一个位串并且只有本地有效。SPI在AH和ESP报头中出现，以使得接收系统选择SA并处理收到的报文。 IP目的地址：目前，只允许单播地址；这是该SA的目标终点的地址，它可以是一个最终用户系统或一个网络系统如防火墙或路由器。 安全协议标识符：表明是AH还是ESP的SA。 1、安全关联SA(Security Association) 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 2、安全关联数据库SAD 3、安全策略数据库SPD IP信息流与S