第九章IP的安全性.pptVIP

第九章 IP的安全性 IPSec 网络层安全性 着眼：真实性(认证)、完整性和保密性 好处：对于应用层透明可以针对链路，也可以针对最终用户可以实现在防火墙或者路由器上 弥补IPv4在协议设计时缺乏安全性考虑的不足 IETF成立专门的WG标准化IPSec 目前已有一系列的RFC和Internet Draft 文档结构复杂 IP Security示意图 IPSec的应用 通过Internet建立分支机构 通过Internet远程访问企业内部网络 合作伙伴之间通过Internet建立信任关系 也可用于电子商务应用 IPSec最常见的应用——VPN IPSec的内容 协议包括两大部分 AH: Authentication Header ESP: Encapsulating Security Payload 密钥管理(Key Management) SA(Security Association) ISAKMP定义了密钥管理框架 IKE是目前正式确定的密钥交换协议 IPSec安全体系结构 IPSec安全体系结构 体系结构：包括总体概念，安全需求，以及定义IPSec技术的机制； ESP：使用 ESP进行分组加密和可选的鉴别的分组格式和一般性问题； AH：使用AH进行分组鉴别的格式和一般性问题； 加密算法：描述将各种不同加密算法用于ESP的文档； 鉴别算法：描述将各种不同鉴别算法用于AH以及ESP鉴别选项的文档； 密钥管理：描述密钥管理模式； DOI： 包括一些参数，批准的加密和鉴别算法标识，以及运行参数等 SA(Security Association) 基本概念 是发送者和接收者两个IPSec系统之间的一个简单的单向逻辑连接，是与给定的一个网络连接或一组网络连接相关联的安全信息参数集合 因为SA是单个方向的，所以，对于一个双向通信，则需要两个SA SA与IPSec系统中实现的两个数据库有关 安全策略数据库 安全关联数据库 每个SA通过三个参数来标识 SPI(Security Parameters Index) 目标地址IP 安全协议标识 SPD SAD SPD 对于通过的流量的策略 三种选择：discard, bypass IPsec, apply Ipsec 管理界面 条目的粒度不必很细，因为作用在IP包上 SAD，通常用到以下一些域 Sequence Number Counter Sequence Counter Overflow Anti-Replay Window AH Authentication algorithm, keys, etc ESP Encryption algorithm, keys, IV mode, IV, etc ESP authentication algorithm, keys, etc Lifetime of this Security Association IPsec protocol mode Path MTU AH(Authentication Header) 为IP包提供数据完整性和认证功能 利用MAC码实现认证，双方必须共享一个密钥 认证算法由SA指定 两种认证模式： 传输模式：不改变IP地址，插入一个AH 隧道模式：生成一个新的IP头，把AH和原来的整个IP包放到新IP包的净荷数据中 IPSec Authentication Header Next Header: 下一个头的类型 Payload Length：AH的长度(32位字为单位) SPI：用来标识SA Sequence Number：用来避免重放攻击 Authentication Data：可变长度的域，包含针对这个包的ICV或者MAC AH处理过程 AH定位 在IP头之后，在上层协议数据之前 认证算法 计算ICV或者MAC 对于发出去的包(Outbound Packet )的处理，构造AH 查找SA 产生序列号 计算ICV(Integrity Check Value) 内容包括：IP头中部分域、AH自身、上层协议数据 分片 AH处理过程(续) 对于接收到的包(Inbound Packet )的处理 分片装配 查找SA 依据：目标IP地址、AH协议、SPI 检查序列号(可选，针对重放攻击) 使用一个滑动窗口来检查序列号的重放 ICV检查 AH两种模式示意图 ESP(Encapsulating Security Payload) 提供保密功能，也可以提供认证服务 将需要保密的用户数据进行加密后再封装到IP包中，ESP只认证ESP头之后的信息 认证算法也由SA指定 也有两种模式：传输模式和隧道模式 ESP两种模式示意图 IPSec ESP格式 ESP处理过程 ESP头定位 加密算法和认证算法由SA确定 对于发出去