第八章IP和TCP层安全.ppt

IPSec是随着Internet技术的发展而提出的。1995年8月，IETF发布了一组关于IP安全的RFC文档，IPSec是IP安全(Internet Protocol Security)的缩写形式。IPSec包含一组涉及IP安全的标准： RFC 1825 IP安全体系结构 RFC 1826 IP鉴别首部 RFC 1827 IP封装安全有效载荷 RFC 1828 使用带密钥的MD5的IP鉴别 RFC 1829 IP封装安全有效载荷的DES-CBC变换 1998年11月，IETF又发布了一组新的关于IP安全的RFC文档，部分新文档取代了旧文档，另外增加了几个关于密钥管理、密钥交换和散列函数方面的新文档。 IP层的安全主要包含三个功能域：鉴别、机密性和密钥管理。 鉴别机制确保收到的报文分组来自该分组首部所声称的源实体，并且保证该报文分组在传输过程中未被非法篡改。 机密性机制使得通信内容不被第三方窃听。 密钥管理机制用于处理密钥的安全交换。 企业的远程访问用户、分支机构和合作伙伴可以通过IPSec在公用网上建立安全的虚拟专用网。 IPSec是第三层安全协议，在路由器或防火墙中实现时，对应用程序是透明的,对远程用户也可以是透明的。 IPSec可以保护路由器的安全，在路由器之间交换信息时能够对路由器的身份进行鉴别。 IP安全体系结构关注的问题：IPv4和IPv6环境下IP层的安全，它描述了IPSec协议的安全机制、该安全机制所提供的服务。 IPSec（IP安全，IP Security）的目的是为IP层传输提供安全服务。安全服务提供包括访问控制、数据完整性、数据源认证、抗重播(replay)保护和数据保密性在内的服务。这些服务是基于IP层的，提供对IP及其上层协议的保护。例如，TCP，UDP，ICMP，BGP等等。 IPSec使用两个协议来提供流量安全：鉴别首部(AH)和IP封装安全有效载荷(ESP)。 AH用于对IP数据报提供鉴别服务。 AH支持的安全服务包括：访问控制、无连接完整性、数据源鉴别和可选的抗重放攻击服务。 ESP用于对IP数据报提供机密性和鉴别服务。 ESP支持的机密性服务包括：访问控制、抗重放攻击、内容机密性和有限流量机密性等服务。 ESP支持的鉴别服务包括：无连接完整性、数据源鉴别服务。 AH和ESP既可以单独使用，也可以结合使用。 运行位置：IPSec在主机或安全网关环境中运行。 机理： IPSec根据用户或系统管理员建立和维护的安全策略数据库的要求，对通信流量进行保护。 根据选择器定义的可用的数据库安全策略，一个报文分组面临三种可能：接受IPSec安全服务、被丢弃、或者被旁路。 对于使用IPSec安全服务的数据流根据其安全关联决定其安全服务。 安全关联 安全关联SA (Security Association) 是与一个或者一组给定的网络连接相关的一组安全信息。安全关联是一个为其承载的流量提供安全服务的单一连接关系。安全服务由AH或ESP提供，一个SA只能单独用于AH或ESP，当两者同时使用时，需要产生两个(或多个)安全关联为流量提供保护。 安全关联可表示为一个三元组： SA=(SPI，IPDA，SPR) SPI：安全参数索引。SPI是一个32比特的值，用于区别相同目的地和相同安全协议的不同安全关联。SPI只具有本地意义。SPI出现在AH和ESP的首部，接收方根据首部中的SPI确定对应的SA。 IPDA ：IP目的地址。只定义了单播地址。 SPR：安全协议标识。 (AH或ESP)。 安全关联数据库 与安全关联SA相关的数据库有两个： 安全策略数据库SPD(Security Policy Database) 安全关联数据库SAD(Security Association Database)。 安全策略数据库SPD SPD是SA处理的基本元素，它定义了对从主机和安全网关出入站的IP通信流量的处理策略，对IP数据报以什么形式提供什么样的服务。IPSec必须实现用户或管理员管理SPD的管理接口。该接口允许用户或管理员对每个进入和发出的报文分组定义应对其施加的安全处理。SPD包含一个排序的策略项的列表。每个表项标明如何处理与该策略相匹配的信息流，IPSec定义了三种处理方法：旁路、丢弃或者进行IPSec安全处理。若对信息流进行IPSec安全处理，表项还应列出IPSec协议(AH/ESP)、模式(传输模式/隧道模式)、使用的算法以及嵌套要求。 安全关联数据库SAD SAD包含与SA相关的各种安全参数。 SAD的每一项定义与某个安全关联相关的参数。因此，每个SA在SAD中都有一个对应的表项。 在对出站信息进行处理时，由SPD中的表项指明SAD的表项。 在对进站信