第10章 网络安全协议.ppt

网络协议分析(TCP/IP)第10章网络安全协议
要求:
理解网络层安全协议IPSec,掌握基于IPSec的VPN配置方法。
熟悉传输层安全协议SSL。
了解应用层安全系统PGP。
蹄踢坯还栓哼拘氏劈尝喘稗雕叙屑滥马傍兄壤略焰退举租硕搏自甩泥刺疗第10章网络安全协议第10章网络安全协议
一、网络安全概述
网络信息安全主要包括两个方面:信息的保密性和通信的可靠性。
信息的保密性主要是通过加密来实现,目前主要有两种加密技术,即保密密钥加密和公开密钥加密;
实现通信可靠性的技术有数字签名和基于第三方授权证书的认证技术等。
因特网各种安全协议就是将这些技术进行有效的结合以提供安全服务。
属氛匿她借浦换这么舀炔悸腥鸿冰浮此诧鬼垂测泳粕计淀孵敲衔骑通瞒掌第10章网络安全协议第10章网络安全协议
二、网络层安全协议
1、概述
网络层安全协议( Protocol Security,IPSec)是IETF提供因特网安全通信的一系列规范之一,它提供私有信息通过公用网的安全保障。
IPSec能提供的安全服务包括访问控制、无连接的完整性、数据源认证、拒绝重发包(部分序列完整性形式)、保密性和有限传输流保密性。
IPSec的基本目的是把密码学的安全机制引入IP,通过使用现代密码学方法支持保密和认证服务,使用户能有选择地使用,并得到所期望的安全服务。
旁嘛俯锣蹿摈肌信瘩啥尉梨守呵并檄挝稀滞筏狙旋津分甭众汇傻靛囤绚权第10章网络安全协议第10章网络安全协议
IPSec功能域
IPSec主要包含3个功能域:鉴别机制、机密性机制和密钥管理。
鉴别机制确保收到的报文来自该报文首部所声称的源实体,并保证该报文在传输过程中未被非法篡改;
机密性机制使得通信内容不会被第三方窃听;
密钥管理机制则用于配合鉴别机制和机密性机制处理密钥的安全交换。
恤额闺赁寿叶纳快棱俱脖薛颜叶甲缚藻端搪椒站蔗亚蹄铰番术拜鲍总猿僵第10章网络安全协议第10章网络安全协议
2、IPSec体系结构
IPSec给出了应用于IP层上网络数据安全的一整套体系结构,包括IP首部鉴别协议(Authentication Header,AH)和封装安全载荷协议(Encapsulating Security Playload,ESP)、密钥管理协议( Key Exchange,IKE)和用于网络验证及加密的一些算法等。
坑茧胡揣经湘汞溉野愈卡盛萄控具煎烛唤出僚涵斡椿吏幼需寂叹咏崇判题第10章网络安全协议第10章网络安全协议
说明:
SA(安全关联)是构成IPSec的基础,是两个通信实体经协商(利用IKE协议)建立起来的一种协定,它决定了用来保护数据分组安全的安全协议(AH协议或者ESP协议)、转码方式、密钥及密钥的有效存在时间等。
因特网密钥交换协议IKE是IPSec默认的安全密钥协商方法。IKE通过一系列报文交换为两个实体(如网络终端或网关)进行安全通信派生会话密钥。
啸蚊姻贱绦烁棘尤承剃艺雷洱离锈宴捆抬摩饼厚膘怂卒肋胜续迅刹阁靡耽第10章网络安全协议第10章网络安全协议
3、鉴别首部协议
IP首部鉴别AH协议为IP通信提供数据源认证、数据完整性和反重播保证,它能保护通信免受篡改,但不能防止窃听,适合用于传输非机密数据。
AH的工作原理是在每一个数据报上添加一个鉴别首部。此首部包含一个带密钥的哈希散列,该哈希散列在整个数据报中计算,因此对数据的任何更改将致使散列无效,从而对数据提供了完整性保护。
竖压李预娩拧嫩逾综慨彪障竿量耶缅蹋垫孺咀乌屁鲤汀恍语谍煮傲兵控防第10章网络安全协议第10章网络安全协议
(1)AH报文格式
AH首部位置IP数据报首部和传输层协议首部之间。
闺晃冒掣碱可柜衬褪绷罐孺哺袒巳钒炼掩聘沫凛啪怯莎恨幅起池吩婪岭启第10章网络安全协议第10章网络安全协议
(2)AH处理方式
IP数据报外出处理
使用相应的选择符(目的IP地址,端口号和传输协议)查找安全策略数据库SPD获取策略。如需要对IP数据报进行IPSec处理,且到目的主机的SA已经建立,那么符合数据报选择符的SPD将指向外出SAD的一个相应SA条目。如果SA还未建立,IPSec将调用IKE协商一个SA,并将其连接到SPD条目上。
产生或增加序列号,当一个新的SA建立时,序列号计数器初始化为0,以后每发一个分组,序列号加1。
计算ICV。
转发IP数据报到目的节点。
啥住拔形增再醇狄戎堡垢蓉倒愧押塑齿嗣跑甸雁拜瘴迈吏审窝誓惹溢察兽第10章网络安全协议第10章网络安全协议
(2)AH处理方式(续)
IP数据报进入处理
若IP数据报采用了分片处理,要等到所有分片到齐后重组。
使用IP数据报首部中的SPI、目的IP地址以及IPSec在进入的SAD中查找SA,如果查找失败,则抛弃该数据