计算机网络安全第五章(IP安全).pptx

IP安全TCP/IP协议IPSec概述安全关联(SA)和安全策略(SP)认证头(AH)封装安全载荷 (ESP)Internet密钥交换协议(IKE)IPSec的实现目录TCP/IP协议Internet概述Internet安全IP层安全5 之 1目录TCP/IP协议internet和Internet internet（互联网或互连网）是一个通用名词，它泛指由多个计算机网络互连而成的虚拟网络。 Internet（因特网）是一个专用名词，它特指当前全球最大的、开放的、由众多网络相互连接而成的特定计算机网络，它采用TCP/IP协议簇，且前身是美国的ARPANET。5 之 2目录TCP/IP协议图 示5 之 3OSI/RM和TCP/IP RM5 之 4TCP/IP例子5 之 5TCP/IP中的数据传输3 之 1目录TCP/IP协议网络层安全3 之 2目录TCP/IP协议传输层安全3 之 2目录TCP/IP协议应用层安全3 之 1目录TCP/IP协议IP层安全 IP层的主要协议是IP协议，有两种版本的IP：IPv4和IPv6。IPv6是IPv4的后续版本，IPv6简化了IP首部，其数据报更灵活，同时IPv6还增加了对安全性的考虑。 目前因特网占统治地位的是IPv4。IPv4在设计之初没有考虑安全性，IP数据报本身并不具备任何安全特性，导致在网络上传输的数据很容易收到各式各样的攻击：业务流被监听和捕获、IP地址欺骗、信息泄露和数据项篡改等。3 之 2目录TCP/IP协议IPv4首部3 之 3目录TCP/IP协议IPv6首部7 之 1目录IPSec概述 为加强因特网的安全性，从1995年开始，IETF着手研究制定了一套用于保护IP通信的IP安全协议（IP Security,IPSec），目的是：为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全功能，在IP层实现多种安全服务：访问控制、数据完整性、数据源验证、抗重播、机密性等。 IPSec是IPv6的一个组成部分，也是IPv4的一个可扩展协议。本课程只考虑IPv4情况。7 之 2目录IPSec的构成两个通信协议 AH 和ESP。两种操作模式 传输模式和隧道模式。一个密钥交换管理协议 IKE。两个数据库 安全策略数据库SPD和安全关联数据库SAD。7 之 3目录IPSec安全体系结构ESP:封装安全载荷AH :验证头DOI:解释域7 之 4目录IPSec的文档ArchitectureRFC 2401ESP:Encapsulating Security PayloadAH:Authentication HeaderDOI:Domain Of InterpretationIKE:Internet Key ExchangeISAKMP:Internet Security Association and Management ProtocolESPRFC 2406AHRFC 2402DOIRFC 2407IKERFC 2409ISAKMPRFC 2408OaklyRFC 24127 之 5目录IPSec的服务访问控制无连接完整性数据源认证拒绝重放数据包机密性（保密）有限通信量机密性7 之 6目录IPSec的服务AHESP(加密)ESP(加密+认证)访问控制???无连接完整性??数据源认证??拒绝重放包???保密性??有限保密性??7 之 7目录IPSec的实现目录安全关联(SA)和安全策略(SP)安全关联（SA）安全策略（SP）16 之 1目录安全关联(SA)和安全策略(SP)概 述 理解SA这一概念对于理解IPSec至关重要。AH和ESP协议都使用SA来保护通信，而IKE的主要功能就是在通信双方协商SA。16 之 2目录安全关联(SA)和安全策略(SP)SA的定义 SA是两个IPSec实体（主机、安全网关）之间经过协商建立起来的一种约定，内容包括：采用何种IPSec协议（AH？ESP？）、操作模式（传输模式？隧道模式？）、验证算法、加密算法、加密密钥、密钥生存期、抗重放窗口、计数器等，从而决定了保护什么？如何保护？谁来保护？可以说SA是构成IPSec的基础。 SA是单向的，进入SA负责处理接收到的IP数据报，外出SA负责处理要发送的IP数据报。因此每个通信方必须要有两个SA：一个进入SA，一个外出SA，这两个SA构成了一个SA束（SA Bundle）。16 之 3目录安全关联(SA)和安全策略(SP)SA的管理 手工管理 SA的内容由管理员手工指定、手工维护，但是，手工操作容易出错，而且手工建立的SA没有生存周期限制，除非手工删除，因此有安全隐患。 IKE管理 一般来说，SA的自动建立和动态维护是通过IKE进行的，SA有生存周期限制。如果安全策略要求建立安全、保密的连接，但又不存