第10章网络安全协议.ppt

网 络 协 议 分 析（TCP/IP）第10章 网络安全协议 一、 网络安全概述 网络信息安全主要包括两个方面：信息的必威体育官网网址性和通信的可靠性。 信息的必威体育官网网址性主要是通过加密来实现，目前主要有两种加密技术，即必威体育官网网址密钥加密和公开密钥加密； 实现通信可靠性的技术有数字签名和基于第三方授权证书的认证技术等。 因特网各种安全协议就是将这些技术进行有效的结合以提供安全服务。 二、网络层安全协议 1、概述 网络层安全协议（Internet Protocol Security，IPSec）是IETF提供因特网安全通信的一系列规范之一，它提供私有信息通过公用网的安全保障。 IPSec能提供的安全服务包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、必威体育官网网址性和有限传输流必威体育官网网址性。 IPSec的基本目的是把密码学的安全机制引入IP，通过使用现代密码学方法支持必威体育官网网址和认证服务，使用户能有选择地使用，并得到所期望的安全服务。 IPSec功能域 IPSec主要包含3个功能域：鉴别机制、机密性机制和密钥管理。 鉴别机制确保收到的报文来自该报文首部所声称的源实体，并保证该报文在传输过程中未被非法篡改； 机密性机制使得通信内容不会被第三方窃听； 密钥管理机制则用于配合鉴别机制和机密性机制处理密钥的安全交换。 2、IPSec体系结构 IPSec给出了应用于IP层上网络数据安全的一整套体系结构，包括IP首部鉴别协议（Authentication Header，AH）和封装安全载荷协议（Encapsulating Security Playload，ESP）、密钥管理协议（Internet Key Exchange，IKE）和用于网络验证及加密的一些算法等。 说明： SA（安全关联）是构成IPSec的基础，是两个通信实体经协商（利用IKE协议）建立起来的一种协定，它决定了用来保护数据分组安全的安全协议（AH协议或者ESP协议）、转码方式、密钥及密钥的有效存在时间等。 因特网密钥交换协议IKE是IPSec默认的安全密钥协商方法。IKE通过一系列报文交换为两个实体（如网络终端或网关）进行安全通信派生会话密钥。 3、鉴别首部协议 IP首部鉴别AH协议为IP通信提供数据源认证、数据完整性和反重播保证，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。 AH的工作原理是在每一个数据报上添加一个鉴别首部。此首部包含一个带密钥的哈希散列，该哈希散列在整个数据报中计算，因此对数据的任何更改将致使散列无效，从而对数据提供了完整性保护。 （1）AH报文格式 AH首部位置IP数据报首部和传输层协议首部之间 。 （2）AH处理方式 IP数据报外出处理 使用相应的选择符（目的IP地址，端口号和传输协议）查找安全策略数据库SPD获取策略。如需要对IP数据报进行IPSec处理，且到目的主机的SA已经建立，那么符合数据报选择符的SPD将指向外出SAD的一个相应SA条目。如果SA还未建立，IPSec将调用IKE协商一个SA，并将其连接到SPD条目上。 产生或增加序列号，当一个新的SA建立时，序列号计数器初始化为0，以后每发一个分组，序列号加1。 计算ICV。 转发IP数据报到目的节点。 （2）AH处理方式（续） IP数据报进入处理 若IP数据报采用了分片处理，要等到所有分片到齐后重组。 使用IP数据报首部中的SPI、目的IP地址以及IPSec在进入的SAD中查找SA，如果查找失败，则抛弃该数据报，并记录事件。 使用已查到的SA进行IPSec处理。 使用数据报中的选择符进入SPD查找一条域选择符匹配的策略，检查策略是否相符。 检查序列号，确定是否为重放分组。 使用SA指定的MAC算法计算ICV（整性检查值 ），并与认证数据域中的ICV比较，如果两值不同，则抛弃数据报。 4、封装安全载荷协议 ESP协议用于提高IP层的安全性。它可为IP提供机密性、数据源验证、抗重放以及数据完整性等安全服务。ESP属于IPSec的机密性服务。其中，数据机密性是ESP的基本功能，而数据源身份认证、数据完整性检验以及抗重传保护都是可选的。 ESP主要保障IP数据报的机密性，它将需要保护的用户数据进行加密后再重新封装到新的IP数据包中。 （1）ESP报文格式 （2）、ESP的处理方式 IP数据报外出处理 使用分组的相应选择符（目的IP地址、端口、传输协议等）查找安全策略数据库（SPD）获取策略，如分组需要IPSec处理，且其SA已建立，则与选择符相匹配的SPD项将指向安全关联数据库中的相应SA，否则则使用IKE建立SA。 生成或增加序列号。 加密分组，SA指明加密算法，一般采用对称密码算法。 计算完整性校验值。 （2）、ESP的处理方式（续） IP数据报进入处理 若IP分组分