Sec机制探讨.doc

IP Sec機制探討 國立東華大學資工系 楊慶隆助理教授 E-mail : cnyang@.tw 一、前言 網際網路技術的興起，互連技術的成長，使得大家愈來愈仰賴Internet這個應用廣泛的公眾網路。因此如何讓使用者透過網際網路通訊，而不用擔心傳送的信息封包被截取、假冒，就顯得相當重要。因為這些封包內容可能有你的ID，信用卡號碼等重要的個人資料。 事實上，這幾年來網際網路上的安全標準有很多。例如:RFC1508和1509所規定的GSSAPI(Generic Security Service Application Program Interface)，Telnet，FTP和HTTP都可以使用;網際網路工程小組(Internet Engineering Task Force; IETF)的PSRG小組所訂定的PEM標準可以達到E-mail的安全性，而網路最著名的E-mail安全軟體則是P. Zimmermann的PGP(Pretty Good Privacy);其他如EIT的S-HTTP(Secure HTTP)，Netscape的SSL(Secure Sockets Layer)，Microsoft的PCT以及上面提及的GSSAPI均可建立HTTP的安全機制，Visa的SET(Secure Electronic Transfer)則能達到安全的電子商務(Electric Commerce)。這些不論是對話層(Session Layer)或應用層(Application Layer)上的安全機制，使用者必須使用專屬的通訊協定，或特定廠商的產品。 所以會有這樣的問題，可以說都是TCP/IP惹的禍，IP標頭中有來源(Source)，目的(Destination)位址，裝載資料(Payload)，而TCP只負責將信息切割成封包，若遺失封包TCP再重送，所以TCP/IP根本沒有安全性可言，使用一般Sniffing軟體工具，即可一目瞭然地看到這些信息。 為了確保在任何IP網路上擁有安全的私密通信，也為了整合不同標準及不同廠商產品， IETF著手訂定了一套開放標準網路安全協定IPSec (IP Security)。將密碼技術應用在網路層，以提供傳送、接收端做資料的証證(Authentication)、完整性(Integrity)、存取控制(Access Control)、以及機密性(Confidentiality)等安全服務。高層的應用協也可以直接或間接地使用這些安全服務。 IPSec是設計來達到網路層中端對端安全通訊的第三層協定，它主要的架構是IP認証標頭(Authentication Header; AH)以及IP封裝安全裝載(Encapsulating Security Payload; ESP)。IP AH提供資料的完整性和認證，但不包括機密性，而IP ESP原則上只提供機密性，但也可在ESP Header中訂定適當的演算法及模式來確保資料的完整性並認證，IP AH和IP ESP可以分開使用或一起使用。完整的IPSec還應包括IP AH和ESP中所使用金鑰的交換和管理，也就是安全群組(Security Association; SA)和金鑰管理IKE(Internet Key Exchange)，圖(一)是IPSec架構圖，其中DOI(Domain of interpretation)是為了讓其他協定可以使用ISAKMP而訂定的Framework，圖(一)讓我們很清楚知道IPSec和IKE所扮演的角色。 本文的第二部份將介紹IP AH，第三部份的內容是IP ESP，第四部份敘述安全群組SA的觀念，第五部份則是以一個實際的例子來說明IP AH和IP ESP實際運作的情形，第六部份介紹SKIP及ISAKMP/Qakley兩個IETF所參考的金鑰管理協定。ISAKMP/Oakley較有彈性且能支援較多的協定，已被選為IPv6的IPSec金鑰管理協定。最後一部份則是以ISPec的角度來看它在VPN上的應用，並整理列出目前VPN符合IPSec標準的商用產品。 雖然針對IP層的安全機制尚有其他的IP Tunneling技術，例如基植於PPP而發展的PPIP(Point-to-Point Tunneling Protocol)，這是由Microsoft和Ascend所共同提出，可支援IP/IPX/NetBEUI，支援的廠商則有Nortel，3COM。另外L2TP(Layer 2 Tunneling Protocol)則是融合了PPTP和Cisco的L2F(Layer 2 Forwarding)，主要的廠商有Nortel和IBM。 本文主要介紹IFTF所制定的開放標準IPSec，因為它能整合不同的VPN系統而達到安全地網路互連目的。 ?