网络层安全要点
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
补充内容
网络层安全
内容提要
IPsec概述 AH协议 ESP协议
IKE协议
IPsec问题
IPsec概述
实现模式
工作模式
产生背景 发展概述 设计目标
wk.baidu.com
安全关联
安全策略
协议特点
系统架构
IPsec是什么？
为了弥补TCP/IP协议的安全缺陷，为IP层及其以上层协议提供保护而 设计的，由IETF工作组于1998年制定的一组基于密码学的安全的开 放网络安全协议，成为IPsec安全体系结构，IP security。 “Internet 协议安全性 (IPSec)”是一种开放标准的框架结构，通过使 用加密的安全服务以确保在 Internet 协议 (IP) 网络上进行保密而安全 的通讯。Microsoft® Windows® 2000、Windows XP 和 Windows Server 2003 家族实施 IPSec 是基于“Internet 工程任务组 (IETF)”IPSec 工作组开发的标准。 IPSec 是安全联网的长期方向。它通过端对端的安全性来提供主动的 保护以防止专用网络与 Internet 的攻击。在通信中，只有发送方和接 收方才是唯一必须了解 IPSec 保护的计算机。在 Windows XP 和 Windows Server 2003 家族中，IPSec 提供了一种能力，以保护工作 组、局域网计算机、域客户端和服务器、分支机构（物理上为远程机 构）、Extranet 以及漫游客户端之间的通信。
该模式允许为下列企业方案成功部署 IPSec：
局域网 (LAN)：客户端/服务器和对等网络
广域网 (WAN)：路由器到路由器和网关到网关 远程访问：拨号客户机和从专用网络访问 Internet
通常，两端都需要 IPSec 配置（称为 IPSec 策略）来设置选项 与安全设置，以允许两个系统对如何保护它们之间的通讯达成协议。 Microsoft® Windows® 2000、Windows XP 和 Windows Server 2003 家族实施 IPSec 是基于“Internet 工程任务组 (IETF)”IPSec 工作组开发的业界标准。IPSec 相关服务部分是由 Microsoft 与 Cisco Systems, Inc. 共同开发的。
以IPv4为代表的TCP/IP协议没有考虑安全性问题，主要存在的安全隐 患有： IP协议没有为通信提供良好的数据源认证机制。而是采用基于IP地址 的身份认证机制。IP地址伪造就可以冒充他人。 IP协议没有为数据提供完整性保护机制。只是通过IP头的校验和为IP 分组提供了一定程度的完整性保护。 IP协议没有为数据提供任何形式的机密性保护机制，明文传输成为电 子商务等的应用瓶颈。 协议本身的设计存在一些细节上的缺陷和实现上的安全漏洞。
IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络 数据安全的一整套体系结构，包括网络认证协议 Authentication Header（AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和 用于网络认证及加密的一些算法等。IPSec 规定了如何在对等层之 间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、 数据源认证、数据加密等网络安全服务。
IPSec 有两个目标： 保护 IP 数据包的内容。 通过数据包筛选及受信任通讯的实施来防御网络攻击。 这两个目标都是通过使用基于加密的保护服务、安全协议 与动态密钥管理来实现的。这个基础为专用网络计算机、域、 站点、远程站点、Extranet 和拨号用户之间的通信提供了既有 力又灵活的保护。它甚至可以用来阻碍特定通讯类型的接收和 发送。 IPSec 基于端对端的安全模式，在源 IP 和目标 IP 地址之 间建立信任和安全性。考虑认为 IP 地址本身没有必要具有标识， 但 IP 地址后面的系统必须有一个通过身份验证程序验证过的标 识。只有发送和接收的计算机需要知道通讯是安全的。每台计 算机都假定进行通讯的媒体不安全，因此在各自的终端上实施 安全设置。除非两台计算机之间正在进行防火墙类型的数据包 筛选或网络地址转换，否则仅从源向目标路由数据的计算机不 要求支持 IPSec。
· 数据可靠性（加密） 在传输前，对数据进行加密，可以保证在 传输过程中，即使数据包遭截取，信息也无法被读。该特性在 IPSec中为可选项，与IPSec策略的具体设置相关。 · 认证 数据源发送信任状，由接收方验证信任状的合法性， 只有通过认证的系统才可以建立通信连接。
IPsec产生背景
IPsec发展过程
IETF(The Internet Engineering Task Force ) RFC相关标准
IPSec的安全特性主要有：
不可否认性 “不可否认性”可以证实消息发送方是唯一可能的发 送者，发送者不能否认发送过消息。“不可否认性”是采用公钥技 术的一个特征，当使用公钥技术时，发送方用私钥产生一个数 字签名随消息一起发送，接收方用发送者的公钥来验证数字签 名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者 才可能产生该数字签名，所以只要数字签名通过验证，发送者 就不能否认曾发送过该消息。但“不可否认性”不是基于认证的共 享密钥技术的特征，因为在基于认证的共享密钥技术中，发送 方和接收方掌握相同的密钥。 反重播性 “反重播”确保每个IP包的唯一性，保证信息万一被截 取复制后，不能再被重新利用、重新传输回目的地址。该特性 可以防止攻击者截取破译信息后，再用相同的信息包冒取非法 访问权（即使这种冒取行为发生在数月之后）。 · 数据完整性 防止传输过程中数据被篡改，确保发出数据和接收 数据的一致性。IPSec利用Hash函数为每个数据包产生一个加 密检查和，接收方在打开包前先计算检查和，若包遭篡改导致 检查和不相符，数据包即被丢弃。
网络层安全
内容提要
IPsec概述 AH协议 ESP协议
IKE协议
IPsec问题
IPsec概述
实现模式
工作模式
产生背景 发展概述 设计目标
wk.baidu.com
安全关联
安全策略
协议特点
系统架构
IPsec是什么？
为了弥补TCP/IP协议的安全缺陷，为IP层及其以上层协议提供保护而 设计的，由IETF工作组于1998年制定的一组基于密码学的安全的开 放网络安全协议，成为IPsec安全体系结构，IP security。 “Internet 协议安全性 (IPSec)”是一种开放标准的框架结构，通过使 用加密的安全服务以确保在 Internet 协议 (IP) 网络上进行保密而安全 的通讯。Microsoft® Windows® 2000、Windows XP 和 Windows Server 2003 家族实施 IPSec 是基于“Internet 工程任务组 (IETF)”IPSec 工作组开发的标准。 IPSec 是安全联网的长期方向。它通过端对端的安全性来提供主动的 保护以防止专用网络与 Internet 的攻击。在通信中，只有发送方和接 收方才是唯一必须了解 IPSec 保护的计算机。在 Windows XP 和 Windows Server 2003 家族中，IPSec 提供了一种能力，以保护工作 组、局域网计算机、域客户端和服务器、分支机构（物理上为远程机 构）、Extranet 以及漫游客户端之间的通信。
该模式允许为下列企业方案成功部署 IPSec：
局域网 (LAN)：客户端/服务器和对等网络
广域网 (WAN)：路由器到路由器和网关到网关 远程访问：拨号客户机和从专用网络访问 Internet
通常，两端都需要 IPSec 配置（称为 IPSec 策略）来设置选项 与安全设置，以允许两个系统对如何保护它们之间的通讯达成协议。 Microsoft® Windows® 2000、Windows XP 和 Windows Server 2003 家族实施 IPSec 是基于“Internet 工程任务组 (IETF)”IPSec 工作组开发的业界标准。IPSec 相关服务部分是由 Microsoft 与 Cisco Systems, Inc. 共同开发的。
以IPv4为代表的TCP/IP协议没有考虑安全性问题，主要存在的安全隐 患有： IP协议没有为通信提供良好的数据源认证机制。而是采用基于IP地址 的身份认证机制。IP地址伪造就可以冒充他人。 IP协议没有为数据提供完整性保护机制。只是通过IP头的校验和为IP 分组提供了一定程度的完整性保护。 IP协议没有为数据提供任何形式的机密性保护机制，明文传输成为电 子商务等的应用瓶颈。 协议本身的设计存在一些细节上的缺陷和实现上的安全漏洞。
IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络 数据安全的一整套体系结构，包括网络认证协议 Authentication Header（AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和 用于网络认证及加密的一些算法等。IPSec 规定了如何在对等层之 间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、 数据源认证、数据加密等网络安全服务。
IPSec 有两个目标： 保护 IP 数据包的内容。 通过数据包筛选及受信任通讯的实施来防御网络攻击。 这两个目标都是通过使用基于加密的保护服务、安全协议 与动态密钥管理来实现的。这个基础为专用网络计算机、域、 站点、远程站点、Extranet 和拨号用户之间的通信提供了既有 力又灵活的保护。它甚至可以用来阻碍特定通讯类型的接收和 发送。 IPSec 基于端对端的安全模式，在源 IP 和目标 IP 地址之 间建立信任和安全性。考虑认为 IP 地址本身没有必要具有标识， 但 IP 地址后面的系统必须有一个通过身份验证程序验证过的标 识。只有发送和接收的计算机需要知道通讯是安全的。每台计 算机都假定进行通讯的媒体不安全，因此在各自的终端上实施 安全设置。除非两台计算机之间正在进行防火墙类型的数据包 筛选或网络地址转换，否则仅从源向目标路由数据的计算机不 要求支持 IPSec。
· 数据可靠性（加密） 在传输前，对数据进行加密，可以保证在 传输过程中，即使数据包遭截取，信息也无法被读。该特性在 IPSec中为可选项，与IPSec策略的具体设置相关。 · 认证 数据源发送信任状，由接收方验证信任状的合法性， 只有通过认证的系统才可以建立通信连接。
IPsec产生背景
IPsec发展过程
IETF(The Internet Engineering Task Force ) RFC相关标准
IPSec的安全特性主要有：
不可否认性 “不可否认性”可以证实消息发送方是唯一可能的发 送者，发送者不能否认发送过消息。“不可否认性”是采用公钥技 术的一个特征，当使用公钥技术时，发送方用私钥产生一个数 字签名随消息一起发送，接收方用发送者的公钥来验证数字签 名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者 才可能产生该数字签名，所以只要数字签名通过验证，发送者 就不能否认曾发送过该消息。但“不可否认性”不是基于认证的共 享密钥技术的特征，因为在基于认证的共享密钥技术中，发送 方和接收方掌握相同的密钥。 反重播性 “反重播”确保每个IP包的唯一性，保证信息万一被截 取复制后，不能再被重新利用、重新传输回目的地址。该特性 可以防止攻击者截取破译信息后，再用相同的信息包冒取非法 访问权（即使这种冒取行为发生在数月之后）。 · 数据完整性 防止传输过程中数据被篡改，确保发出数据和接收 数据的一致性。IPSec利用Hash函数为每个数据包产生一个加 密检查和，接收方在打开包前先计算检查和，若包遭篡改导致 检查和不相符，数据包即被丢弃。