IPSec可有效地保护IP数据报的安全-Read.pptVIP

IP数据包格式 I P包本身并不继承任何安全特性 很容易便可伪造出I P包的地址、修改其内容、重播以前的包以及在传输途中拦截并查看包的内容。 我们不能担保收到的I P数据报： 1）来自原先要求的发送方（I P头内的源地址）； 2）包含的是发送方当初放在其中的原始数据； 3）原始数据在传输中途未被其它人看过 I P S e c可有效地保护I P数据报的安全 它采取的具体保护形式包括： 数据起源地验证； 无连接数据的完整性验证； 数据内容的机密性（是否被别人看过）； 抗重播保护； 有限的数据流机密性保证 I P S e c是IETF于1998年11月公布的IP标准，它工作在网络层。 I P S e c为保障I P数据报的安全，定义了一个特殊的方法，它规定了要保护什么通信、如何保护它以及通信数据发给何人。 I P S e c可保障主机之间、网络安全网关（如路由器或防火墙）之间或主机与安全网关之间的数据包的安全。 目标是为IPv4和 IPv6提供具的较强的互操作能力、高质量和基于密码的安全。 一、IPsec体系结构 R F C 2 4 0 1，定义了I P S e c的基本结构，所有具体的实施方案均建立在它的基础之上。 它定义了I P S e c提供的安全服务；它们如何使用以及在哪里使用；数据包如何构建及处理；以及I P S e c处理同策略之间如何协调等等。 IPSec是IPv6的一个组成部分，也是IPv4的一个可选扩展协议。 I P S e c协议（包括A H认证头和E S P封装安全负载）既可用来保护一个完整的I P载荷，亦可用来保护某个I P载荷的上层协议。这两方面的保护分别是由I P S e c两种不同的“模式”来提供的。 传输模式和通道模式 在传输模式中，IP头与上层协议头之间嵌入一个新的IPsec头(AH或ESP) （用来保护上层协议） 在通道模式中，要保护的整个IP包都封装到另一个IP数据包里，同时在外部与内部IP头之间嵌入一个新的IPsec头。（用来保护整个IP数据包） 两种IPsec头都可以同时以传输模式和通道模式工作。 IPSEC体系结构 安全加载封装协议(ESP):覆盖了包加密与ESP使用相关的包格式和常规问题 身份验证报头协议(AH):包含了AH进行包身份验证相关的包格式和一般问题 加密算法:描述各种加密算法如何用于ESP中 验证算法:描述各种身份验证算法如何用于AH中与ESP身份验证选项 密钥管理:密钥管理的一组方案,其中IKE是默认的密钥自动交换协议. 解释域:彼此相关各部分的标识及运作参数 策略:决定两个实体之间能否通信. 策略的核心是 由SA、SADB和SPD三部分组成。 SA（安全联盟）表示了策略实施的具体细节，包括源/目的地址、应用协议、SPI（安全参数索引）、所用算法/密钥/长度 SADB（安全联盟数据库）为进入和外出包处理维持一个活动的SA列表 SPD（安全策略数据库）决定了整个VPN的安全需求 2、IPsec服务 IPsec主要有两种协议用于实现安全功能： AH认证头—协议头指定的协议 ESP封装安全有效负载—由协议报文格式指定的组合的加密/认证协议。 提供的主要服务有： 访问控制 无连接完整性 数据源认证 丢弃重放的报文 机密性（加密） 有限的数据机密性 3、安全联盟 为正确封装及提取I P S e c数据包，有必要采取一套专门的方案，将安全服务／密钥与要保护的通信数据联系到一起；同时要将远程通信实体与要交换密钥的I P S e c数据传输联系到一起。 这样的构建方案称为“安全联盟（Security Association，S A）” “安全联盟” （Security Association，S A） （I P S e c术语，常常简称为S A）是构成I P S e c的基础。S A是两个通信实体经协商建立起来的一种协定。 它们决定了用来保护数据包安全的I P S e c协议、转码方式、密钥以及密钥的有效存在时间等等。 任何I P S e c实施方案始终会构建一个S A数据库（S A D B），由它来维护I P S e c协议用来保障数据包安全的S A记录。 I P S e c的S A是单向进行的。 也就是说，它仅朝一个方向定义安全服务，要么对通信实体收到的包进行“进入”保护，要么对实体外发的包进行“外出”保护 如何需要需要维护一个对等关系，为了保证双向的安全交换，就需要建立两个安全联盟。 另外，S A还是“与协议相关”的。每种协议都有一个S A。 如果主机A和B同时通过A H和E S P进行安全通信，那么每个主机都会针对每一种协议来构建一个独立的S A。 一个安全联盟可以用三个参数