第9章：--网络通信安全要点课件.ppt

《第9章：--网络通信安全要点课件.ppt》由会员分享，可在线阅读，更多相关《第9章：--网络通信安全要点课件.ppt（75页珍藏版）》请在三一办公上搜索。

1、第9章 网络通信安全,本章主要内容：9.1 网络通信的安全性 9.2 网络通信存在的安全威胁9.3 调制解调器的安全 9.4 IP安全,2023年4月3日星期一11时31分35秒,1,知识点,网络通信线路的安全网络通信存在的安全威胁 IP安全、Psec的概念,2023年4月3日星期一11时31分35秒,2,难 点,不同层的安全IP安全机制,2023年4月3日星期一11时31分35秒,3,要求,熟练掌握以下内容：网络通信线路的安全 传输过程中威胁IP基础知识、IP安全和IPsec安全了解以下内容：不同层的安全RAS的安全性,2023年4月3日星期一11时31分35秒,4,随着计算机网络技术的不断

2、发展，网络安全已经成为一个很重要的问题。为了能够使网络上的各种资源达到网络共享的目的，就必须保证计算机通信网络具有很高的通信安全性。不仅要充分认识计算机网络系统的脆弱性和面临的各种威胁，还要采取各种卓有成效的安全策略，保证计算机网络具有高度的保密性和完整性。,2023年4月3日星期一11时31分35秒,5,9.1 网络通信的安全性,线路安全 不同层的安全,2023年4月3日星期一11时31分35秒,6,9.1.1 线路安全,如果所有的系统和所有连接到系统的网络和连接到系统的终端都封闭在一个环境里，那通信是安全的，但是，现在通信网络业的发达，所有系统不可能封闭在一个环境中，因此当系统的通信线在这

3、个封闭的环境外，问题便会随之而来。用一种简单但很昂贵的高新技术给电缆加压，可以获得通信的物理安全。这一技术是为美国电话技术而开发的。通信电缆密封在塑料套管中，并在线缆的两端充气加压。线上连接了带有报警器的显示器，用来测量压力。如果压力下降，则意味着电缆可能被破坏了，维修人员将被派出维修出现问题的电缆。,2023年4月3日星期一11时31分35秒,7,9.1.1 线路安全,电缆加压技术提供了安全的通信线路。不是将电缆埋在地下，而是架线于整座楼中，每寸电缆都暴露在外。如果任何人企图割电缆，监视器会自动报警。如果有人成功地在电缆上接上了自己的通讯设备，安全人员定期检查电缆的总长度，就会发现电缆的拼接

4、处。加压电缆是屏蔽在波纹铝钢包皮中的，因此几乎没有电磁辐射，如果要用电磁感应窃密，势必会动用大量可见的设备，因此很容易被发觉。,2023年4月3日星期一11时31分35秒,8,9.1.2 不同层的安全,1.Internet层的安全性对于Internet层的安全协议进行标准化的工作已经进行的很多，比较典型的有美国国家安全局以及标准技术协会为“安全数据网络系统（SDNS）”的一部分而制定的“安全协议3号（SP3）”；由国际标准化组织为“无连接网络协议（CLNP）”制定的“网络层安全协议（NLSP）”；由美国国家科技研究所提出的“集成化NLSP”等。这些协议用的都是IP封装技术。Internet 工

5、程特谴组IETF（Internet Engineering Task Force）已经特许Internet协议安全协议（IPSEC）工作组对IP安全协议（IPSP）和对应的Internet密钥管理协议（IKMP）进行标准化工作。IPSP的主要目的是使需要使用安全措施的用户能够使用相应的加密安全体制。该体制既能在目前通行的IP V4下工作，也能在IP V6下工作。该体制必须能实行多种安全策略，但要避免给不使用该体制的人造成不利影响。按照以上要求，IPSEC工作组制定了一个规范：认证头（Authentication Header，AH）和封装安全有效负荷（Encapsulating Securit

6、y Payload，ESP）。简言之，AH提供IP包的真实性和完整性，ESP提供机要内容。,2023年4月3日星期一11时31分35秒,9,9.1.2 不同层的安全,IP AH 指一段消息认证代码（Message Authentication Code，MAC），在发送IP包之前，它已经被事先计算好。发送方用加密密钥算出AH，接收方用同一或另一密钥对之进行验证。如果收发双方使用的是单钥体制，那它们就使用同一密钥；如果收发双方使用的是公钥体制，那它们就使用不同的密钥。RFC 1828首次规定了加封状态下AH的计算和验证中要采用带密钥的MD5算法。而与此同时，MD5和加封状态都被批评为加密强度太弱

7、，并有替换的方案提出。IP ESP的基本想法是对整个IP包进行封装，或者只对ESP内上层协议的数据（运输状态）进行封装，并对ESP的绝大部分数据进行加密。在管道状态下，为当前已经加密的ESP附加了一个新的IP头（纯文本），它可以用来对IP包在Internet上作路由选择。接受方把这个IP 头去掉，再对ESP 进行解密，处理并去掉ESP 头。再对原来的IP 包或更高层的协议的数据像普通的IP包那样进行处理。,2023年4月3日星期一11时31分35秒,10,9.1.2 不同层的安全,Internet层安全性的主要优点是它的透明性，也就是说，提供完全服务并不需要应用程序、其它通信层协议和网络部件做

8、任何改动。它的主要缺点是Internet层一般对属于不同进度和相应条例的包不作区别。对所有去网络中同一地址的包，它将按照同样的加密密钥和访问控制策略来处理。这可能导致提供不了所需的功能，也会导致性能下降。简而言之，Internet层是非常适合提供基于主机对主机的安全服务的。相应的安全协议可以用来在Internet上建立安全的IP通道和虚拟私有网。例如，利用它对IP包的加密和解密功能，可以简捷地强化防火墙系统的防卫能力。,2023年4月3日星期一11时31分35秒,11,9.1.2 不同层的安全,2.传输层的安全性在Internet应用编程中，通常使用广义的进程间通信（IPC）机制来与不同层次的

9、安全协议打交道。比较流行的两个IPC编程界面是BSD Sockets和传输层界面（TLI）.Netscape通信公司遵循了这个思路，制定了建立在可靠的传输服务（如TCP/IP可提供）基础上的安全套接层协议（SSL）。SSL版本3于1995年2月制定，它主要包含以下两个协议：（1）SSL记录协议：它涉及应用程序提供的信息的分段、压缩、数据认证和加密。SSL v3提供对数据认证用的MD5和SHA以及数据加密用的R4和DES等的支持，用来对数据进行认证和加密的密钥可以通过和SSL的握手协议来协商。,2023年4月3日星期一11时31分35秒,12,9.1.2 不同层的安全,（2）SSL握手协议：它用

10、来交换版本号、加密算法、（相互）身份认证并交换密钥，SSL v3提供对Deffie-Hellman密钥交换算法、基于RSA的密钥交换机制和另一种实现在Fortezza chip 上的密钥交换机制的支持。传输层安全机制的主要缺点就是要对传输层IPC界面和应用程序两端都进行修改和基于UDP的通信很难在传输层建立起安全机制来。传输层安全机制的主要优点是它提供基于进程对进程的（而不是主机对主机的）安全服务。,2023年4月3日星期一11时31分35秒,13,9.1.2 不同层的安全,3.应用层的安全性在应用层提供安全服务的方法比较多。在RFC 1421至1424中,IETF规定了私用强化邮件（PEM）

11、来为基于SMTP的电子邮件系统提供安全服务。而Internet业界采纳PEM的步子还是比较慢的主要原因是PEM依赖于一个现存的、完全可操作的PKI（公钥基础结构）。PEM PKI是按层次组织的，由下述三个层次构成：（1）顶层为Internet安全政策登记机构（IPRA）（2）次层为安全政策证书颁发机构（PCA）（3）底层为证书颁发机构（CA）,2023年4月3日星期一11时31分35秒,14,9.1.2 不同层的安全,S-HTTP是Web上使用的超文本传输协议的安全增强版本，由企业集成技术公司设计。S-HTTP提供了文件级的安全机制，因此每个文件都可以被设成私人/签字状态。用作加密及签名的算法

12、可以由参与通信的收发双方协商。S-HTTP提供了对多种单向散列（Hash）函数的支持，如：MD2、MD5和SHA；对多种单钥体制的支持，如：DES、3DES、RC2、RC4和CDMF；对数字签名体制的支持，如：RSA和DSS。目前还没有Web安全性的公认标准，S-HTTP和SSL是从不同角度提供Web安全性的。S-HTTP对单个文件作“私人/签字”之区分，而SSL则把,2023年4月3日星期一11时31分35秒,15,9.1.2 不同层的安全,参与通信的相应进程之间的数据通道按“私用”和“已认证”进行监管。Terisa公司的SecereWeb工具软件包可以用来为任何Web提供安全功能。该工具软

13、件包提供有RSA数据安全公司的加密算法库，并提供对SSL和S-HTTP的全面支持。另一个重要的应用是电子商务，尤其是信用卡交易。为了使Internet上的信用卡交易安全起见，MasterCard公司和其它一些国际信用卡公司指定了安全电子付费协议（SEPP），Visa国际公司和微软公司制定了安全交易技术（STT）协议。同时，MasterCard、Visa国际和微软已经同意联手推出Internet上的安全信用卡交易服务。他们发布了相应的安全付费的方法。这套机制的后台有一个颁发证书的基础机构，提供对X.509证书的支持。,2023年4月3日星期一11时31分35秒,16,9.2 网络通信存在的安全威

14、胁,9.2.1 传输过程中的威胁9.2.2 TCP/IP协议的脆弱性,2023年4月3日星期一11时31分35秒,17,9.2.1 传输过程中的威胁,1安全威胁计算机网络通信安全即数据在网络中的传输过程的安全，是指如何保证信息在网络传输的过程中不被泄露与不被攻击的问题。当网络中的计算机通信双方的发送方给接收方发送信息时，在传输的过程中可能会有截获、窃听、篡改和伪造四种攻击类型发生。1）截获信息被非法用户截获，这时接收方没有接收到应该接收的信息，从而使信息中途丢失。,2023年4月3日星期一11时31分35秒,18,9.2.1 传输过程中的威胁,2）窃听信息虽然没有丢失，接收方也接收到了应该接收

15、的信息，但该信息已被不该看的人看到。如果传输的信息是有关政治、军事或经济信息方面的重要信息，那么就有可能造成严重的问题。3）篡改信息表面上虽然没有丢失，接收方也接收到了信息，但该信息在传输的过程中已被截获并被修改过，或插入了欺骗性的信息，实际上接收方所接收的信息是错误的。4）伪造发送方并没有发送信息给接收方，而接收方收到的信息是第三方伪造的，如果接收方不能通过有效办法发现这一情况，那就有可能会出现严重的后果。,2023年4月3日星期一11时31分35秒,19,9.2.1 传输过程中的威胁,2防范措施加密防止网络窃听最好的方法就是给网上的信息加密，使得侦听程序无法识别这些信息模式。加密也可以提高

16、终端和网络通信的安全，有三种方法加密传输数据。1）链接加密在网络节点间加密，在节点间传输加密，传送到节点后解密，同节点之间用不同的密码。2）节点加密与链接加密类似，不同的只是当数据在节点间传送时，不用明码格式传送，而是用特殊的加密硬件进行解密和重加密，这种专用硬件通常旋转在安全保险箱中。,2023年4月3日星期一11时31分35秒,20,9.2.1 传输过程中的威胁,3）首尾加密这种方法的优点是网络上的每个用户（通常是每个机器的一个用户）可以有不同的加密关键词，并且网络本身不需要增添任何专门的加密设备。缺点是每个系统必须有一个加密设备和相应的软件（管理加密关键词）。或者每个系统必须自己完成加密

17、工作（当数据传输速率是按兆位秒的单位计算时，加密任务的计算量是非常大的）。终端数据加密是一种特殊情况，此时链接加密法和首尾加密法是一样的方法，终端和计算机都是即为节点又为终止端点。,2023年4月3日星期一11时31分35秒,21,9.2.2 TCP/IP协议的脆弱性,1.TCP/IP协议的特点为了能使全世界各地的网络作为因特网的子网接入，并允许连入各个子网的计算机在具有不同类型和使用不同操作系统的情况下，保证因特网能够正常工作，要求所有连入因特网的计算机都使用相同的通信协议，即TCP/IP协议。TCP/IP协议包括TCP协议、IP协议及其他一些协议。TCP协议主要用于在应用程序之间传送数据，

18、而IP协议主要用于在主机之间传送数据。虽然TCP/IP协议都不是OSI标准，但它们被认为是公认的事实上的标准，是因特网中计算机之间通信时必须共同遵循的一种通信协议。它不仅规定了计算机之间通信的所有细节，每台计算机信息表示的格式与含义，还规定了计算机之间通信所使用的控制信息和接到控制信息的所做出的反应。,2023年4月3日星期一11时31分35秒,22,9.2.2 TCP/IP协议的脆弱性,1.TCP/IP协议的特点TCP/IP协议可以免费使用，是开放的协议标准。它独立于特定的网络硬件、计算机硬件和操作系统，具有标准化的高层协议，可以提供多种可靠的用户服务，使得整个TCP/IP设备在网中都具有唯

19、一的地址。基于TCP/IP协议的服务有很多，常用如WWW服务、FTP服务；人们不太熟悉的有TFTP服务、NFS服务和Finger服务等，这些服务都在不同程度上存在着安全缺陷。当用户使用防火墙保护站点时，就要考虑好应允许提供那些服务、禁止那些服务等。,2023年4月3日星期一11时31分35秒,23,9.2.2 TCP/IP协议的脆弱性,2.TCP/IP 协议的安全缺陷TCP/IP协议是因特网使用的最基本的通信协议，由于该协议在创建时只是想要扩展它，在定义TCP/IP和其他相关协议时没有考虑其安全性。现存的TCP/IP协议有一些安全缺陷，它们是：易被窃听和欺骗、脆弱的TCP/IP服务、扩大了访问

20、权限、复杂的配置等。（1）易被窃听和欺骗TCP/IP协议中存在的漏洞之一是无法证实一台主机的身份，并且比较容易冒充其他主机。在因特网这个特定环境下，要在主机之间提供安全并且秘密的传输信道是比较困难的。因此TCP/IP协议常常受到IP欺骗和网络窥探攻击。,2023年4月3日星期一11时31分35秒,24,9.2.2 TCP/IP协议的脆弱性,因特网上的大多数信息是没有加密的，口令系统是目前暴露最多的网络弱点。网络安全问题中约80%是由不安全的口令造成的，破解口令的工具软件可从网上免费获得，因此，要经常更换因特网上的口令，以免受到攻击。在合理的网络中，系统管理员通过嗅探器可以方便地判断网络问题，例

21、如：可确定出：哪台主机正占据着主要通信协议？多少通信量属于哪个网络协议？报文发送占用多少时间？相互主机的报文传送间隔时间？等等。同样，如果黑客使用嗅探器的话，也可以获得和管理员一样多的信息。这将对网络安全造成极大的威胁，给用户带来不可估量的严重后果。实现窃听和欺骗行为的工具有很多，而且在网上都是免费提供的。,2023年4月3日星期一11时31分35秒,25,9.2.2 TCP/IP协议的脆弱性,（3）缺乏安全策略在因特网上，很多站点在防火墙的配置上几乎都无意识地扩大了访问的权限，结果权限被内部人员滥用，这种行为没有得到网络管理人员的有效制止，使黑客通过一些服务，从中获得了有用的信息。(4)复杂

22、的系统配置由于访问控制的配置比较复杂，有时会出现错误的配置，结果使黑客有机可乘，给网络安全带来危害。,2023年4月3日星期一11时31分35秒,26,9.2.2 TCP/IP协议的脆弱性,3.TCP/IP服务的脆弱性（1）WWW服务 WWW（World Wide Web，中文名为万维网）服务可以说是因特网上最方便、最常用和最受用户欢迎的服务，它是由瑞士日内瓦欧洲粒子物理实验室发明的，目前正广泛用于电子商务、远程教育、远程医疗与信息服务等领域。,2023年4月3日星期一11时31分35秒,27,9.2.2 TCP/IP协议的脆弱性,超文本是WWW实现的关键技术之一，是WWW的信息组织形式。WW

23、W是以超文本标注语言HTML与超文本传输协议HTTP为基础的，集合了因特网上所有的HTTP服务器，用超文本把Web站点上的文件（包括文本、图形、声音、视频以及其他形式）以主页的形式连在一起存储在WWW服务器中。不管文件在何处，都可通过Netscape Navigator和 MicrosoftInternet Explorer浏览器搜索。信息资源用户通过游览器向WWW服务器发出请求，WWW服务器则根据请求内容从中选中某个页面发给客户端，经过游览器的解释后将图、文、声并茂的画面呈现给用户，用户通过页面中的链接就可访问WWW服务器及其他类型的网络信息资源。当用户使用浏览器时，实际上是在申请相应的服务

24、器。而这些服务器本身就存在着不安全隐患。,2023年4月3日星期一11时31分35秒,28,9.2.2 TCP/IP协议的脆弱性,(2)电子邮件服务电子邮件服务又称E-mail服务，目前E-mail地址已成为人们的通信地址，为因特网用户之间发送和接收消息提供了一种现代化通信手段，在国际交往和电子商务中起到了很重要的作用。邮件服务器主要负责接收用户送来的邮件，然后根据收件人的地址发送到对方的邮件服务器中。同时它还能接收由其他邮件服务器发来的邮件，并根据收件人的地址分发到相应的电子邮箱中。电子邮件附着的Word文件或其他文件中有可能带有病毒，邮件箱被塞满的情况时有发生，电子邮件炸弹令人烦恼，邮件溢

25、出是E-mail的一个安全问题。,2023年4月3日星期一11时31分35秒,29,9.2.2 TCP/IP协议的脆弱性,(3)文件传输服务文件传输服务主要是指FTP和TFTP，这两个服务都是用于传输文件的，但由于用的场合不同，所以安全等级也不同。TFTP服务用于局域网，在无盘工作站启动时用于传输系统文件，因为它不带任何安全认证而且安全性极差，所以常被人用来窃取密码文件/etc/passwd。FTP服务对于局域网和广域网都可以用来下载任何类型的文件。网上有许多匿名FTP服务站点，其中有许多免费的软件、图片和游戏，匿名FTP是人们常使用的一种服务方式。当然，FTP服务的安全性要好一些，起码它需要

26、输入用户名称和口令，而匿名FTP服务就像匿名WWW服务一样是不需要口令的，但用户权利同时也会受到严格的限制，匿名FTP存在一定的安全隐患。,2023年4月3日星期一11时31分35秒,30,9.2.2 TCP/IP协议的脆弱性,（4）Finger服务Finger服务用于查询用户的信息，包括网上成员的真实姓名、用户名、最近的登陆时间和地点等，也可以用来显示当前登陆在机器上的所有用户名，这对于入侵者来说是无价之宝。因为它能告诉入侵者在本机上的有效的登陆名，然后入侵就可以注意它们的活动。,2023年4月3日星期一11时31分35秒,31,9.3 调制解调器的安全,9.3.1 拨号调制解调器访问安全9

27、.3.2 RAS的安全性概述,2023年4月3日星期一11时31分35秒,32,9.3.1 拨号调制解调器访问安全,调制解调器是人们常用的一种通信设备，计算机是通过调制解调器与电话线路连接实现远程通信。在发送端，调制解调器将计算机产生的数字信号转换成电话交换网可以传送的模拟信号；在接收端，调制解调器将接收到的模拟数据信号还原成数字信号传送给计算机。用户计算机无论在什么地方，都可通过调制解调器和电话线访问因特网或局域网。因此,调制解调器已经给人们的工作和学习带来了非常大的便利。但是，调制解调器在给人们带来方便的同时也带来了危险，黑客可以利用调制解调器入侵网络。目前有很多加强拨号调制解调器安全的方

28、法，如：使用一次性口令、基于位置的身份验证、设置回呼安全机制、增加核实身份服务器等。这些方法不是互相排斥的，而是相辅相成的，如果能将这些方法配合使用一定会收到事半功倍的效果。,2023年4月3日星期一11时31分35秒,33,9.3.1 拨号调制解调器访问安全,（1）使用一次性口令口令可以是静态的，要妥善保管好用户口令，不要将它写在明显的、别人能找到的地方，如本上或桌子上。最好使用一次性口令，并且要考虑到使用相对较安全的口令。避免使用用户名或其变化形式、自己或亲友的生日、常用英文单词以及5或5位以下的字符等容易破解的作为口令，以保护好拨号服务器。在电话线上窃听口令不像在局域网上那样简单，因为入

29、侵者需要把探针插入电话线来窃听电话。,2023年4月3日星期一11时31分35秒,34,9.3.1 拨号调制解调器访问安全,（2）基于位置的身份验证利用GPS全球定位系统判断用户是否在规定的位置上进行拨号入网，如果不是在规定的位置上，则拒绝入网。这种基于位置的身份验证方法，由于GPS定位系统的关系，所以技术上还不太成熟，另外，由于其价格昂贵，所以，这样方法远还没有普及，不过如果在特殊场合，它还是非常有用的，比如在军事领域等。,2023年4月3日星期一11时31分35秒,35,9.3.1 拨号调制解调器访问安全,（3）设置回呼安全机制使用安全性能较好的调制解调器，如回拨调制解调器、安静调制解调器

30、等。回拨调制解调器的功能是：当用户输入的用户名和口令被系统检验为是一个合法的远程客户后就会断开连接，查到该用户提供的或预置的电话号码后，重新拨叫该电话号码并建立连接。之后用户重新输入用户名和口令而进入该系统。安静调制解调器在登录完成之前不会发出特殊的建立连接信号，这样就可以防止别人按顺序搜索计算机拨号系统的电话号码。,2023年4月3日星期一11时31分35秒,36,9.3.1 拨号调制解调器访问安全,（4）增加核实身份服务器在因特网上增加一个用于核实身份的服务器，这样，用户只有通过该服务器验证才能进入该系统，同时该服务器对登录情况进行审计，以帮助在事后发现谁以及何时进入该系统。,2023年4

31、月3日星期一11时31分35秒,37,9.3.2 RAS的安全性概述,网络的安全性是因特网的一个重要问题，特别是当远程用户访问网络资源时，其安全性更显得尤其重要。在Windows NT操作系统域中，主域控制器是通过RAS服务器实现其安全性的。RAS服务器只允许合法的域用户访问，并且对已认证和注册的信息加密。如果远程用户和RAS服务器之间的物理连接被破坏，那么既使黑客得到了数据也是不能解密的。为了简化用户账号的管理，RAS服务器的远程用户使用相同的账号数据库，而不需要不同的账号数据库。对于非授权用户来说，RAS服务器不仅能够拒绝访问，同时还能够及时了解它的目的和企图，并对该事件进行记录等。,20

32、23年4月3日星期一11时31分35秒,38,9.3.2 RAS的安全性概述,通过在RAS客户和RAS服务器之间连接一个中间的安全性主机，而使为RAS配置另一个级别的安全机制成为可能。当使用中间的安全性主机时，用户先要接受中间的安全性主机的审核，才能登录到RAS服务器上。另外，RAS可以提供回呼安全机制，即允许计算机用户建立从RAS客户到RAS服务器之间的初始连接。RAS服务器首先检验该客户是否为合法客户，如果是合法的远程客户并且这个用户使用了回呼安全机制，则RAS服务器就中断连接，立即重新拨叫用户提供的或预置的RAS客户的电话号码，并且重新检验客户的合法性。,2023年4月3日星期一11时3

33、1分35秒,39,9.4 IP安全,9.4.1 IPSec概述9.4.2 IP和Ipv69.4.3 IPSec：AH和ESP9.4.4 IPSec：IKE,2023年4月3日星期一11时31分35秒,40,9.4.1 IPSec概述,IPSec(Internet安全协议)是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，保护TCPIP通信免遭窃听和篡改，可以有效抵御网络攻击。IPSec有两个基本目标：保护IP数据包安全和为抵御网络攻击提供防护措施。IPsec是IPV6的一个组成部分，也是IPV4的一个可选扩展协议。IPsec弥补了IPV4在协议设计时缺乏安全性考虑的不足。IPsec

34、提供三种不同的形式来保护通过公有或私有IP网络传送的私有数据。,2023年4月3日星期一11时31分35秒,41,9.4.1 IPSec概述,1）认证：通过认证可以确定所接受的数据与所发送的数据是否一致，同时可以确定申请发送者在实际上是真实的，还是伪装的发送者。2）数据完整性：通过验证，保证数据在从原发地到目的地的传送过程中没有发生任何无法检测的丢失与改变。3）保密：使相应的接收者能获取发送的真正内容，而无关的接收者无法获知数据真正的内容。IPsec有三个基本要素来提供以上三种保护形式：验证头（AH）、封装安全载荷（ESP）和互联网密钥管理协议（IKMP）。,2023年4月3日星期一11时31

35、分35秒,42,9.4.1 IPSec概述,1.IPSec安全体系结构 目前，IPSec已成为IP安全体系结构的标准，包括以下内容：1)体系结构。覆盖了定义IP安全技术的一般性概念、安全需求、定义和机制。2）ESP协议。覆盖了使用ESP进行分组加密和可选的鉴别有关分组的格式和一般问题。3)AH协议。覆盖了使用AH进行分组鉴别的分组的格式和一般问题 4)加密算法。一组文档描述了怎样将不同的加密算法用ESP。5)鉴别算法。一组文档描述了怎样将不同的鉴别算法用于AH和ESP可选的鉴别选项。6)密钥管理。描述密钥管理机制的文档。7)解释域。包含了其他文档需要的为了彼此问相互联系的一些值。8)策略。决定

36、两个实体之间能否通信，以及如何进行通信。,2023年4月3日星期一11时31分35秒,43,9.4.1 IPSec概述,2.IPsec的优势与目前TCP层或应用层的安全解决方案相比，IPSec大致有以下的优势：1）IPsec在传输层以上的应用程序来说是透明的。由于IPSec位于较低的网络层，所以不会牵动上层的TCP层或应用层。2）当IPSec路由或防火墙上安装IPsec时，无需更改用户或服务器系统中的软件设置。执行IPsec后，就会为周边的通信提供强有力的安全保障。3）IPsec对终端用户来说是透明的，因此不必对用户进行安全培训。4）IPsec还可以为个体用户提供安全保障，保护企业内部的敏感信

37、息，提供较大的管理弹性。5）目前因特网的路由协议，主要是由路由器之间彼此交换路由信息而建立整个路由架构。由于IPSec可确保路由器之间的通讯安全，也因此可加强路由架构的安全性，减少破坏的可能性。,2023年4月3日星期一11时31分35秒,44,9.4.1 IPSec概述,3.IPSec的运作方式 IPSec的运作需先经过以下的步骤：1）在初始化时，双方必须建立安全联结(Security Associations)。这个步骤的主要目的是让双方对于如何使用IPSec的方式达成共识，例如，选择何种安全功能；决定加密的算法；使用密钥的原则等等。2)密钥交换。这个步骤主要是利用非对称加密法，让双方各自

38、拥有相同的密钥(Secret Key，专指对称式加密法所用的密钥)。3)开始以安全的管道来传输信息。,2023年4月3日星期一11时31分35秒,45,9.4.2 IP和Ipv6,目前的全球因特网所采用的协议族是TCP/IP协议族。IP是TCP/IP协议族中网络层的协议，是TCP/IP协议族的核心协议。目前IP协议的版本号是IPv4，它的下一个版本就是IPv6。IPv6正处在不断发展和完善的过程中，在不久的将来将取代目前被广泛使用的IPv4。,2023年4月3日星期一11时31分35秒,46,9.4.2 IP和Ipv6,1.IPTCP/IP协议其实是一个协议集合，它包括了TCP协议(Trans

39、port Control Protocol，传输控制协议)、IP协议(Internet Protocol Internet协议)及其它一些协议。层与层之间的关系是,下层总是为上一层服务的,上层屏蔽下一层的服务细节。TCP/IP模型包括四层：(1)网络接口层：严格来说它不是一个层次，而仅仅是一个接口，用以提供在下面的数据链路层和物理层的接口。(2)IP网络层：主要有网际协议IP，地址解析协议ARP，逆地址解析协议RARP。(3)TCP运输层：有面向连接的传输控制协议TCP，无连接的用户数据报协议UDP。(4)应用层：有TELNET，FTP，SMTP等应用层协议。,2023年4月3日星期一11时3

40、1分35秒,47,9.4.2 IP和Ipv6,IP地址：IP地址分为A、B、C、D、E5类。常用的是B和C两类。A类：在IP地址的四段号码中，第一段号码为网络号码，剩下的三段号码为本地计算机的号码。如果用二进制表示IP地址的话，A类IP地址就由1字节的网络地址和3字节主机地址组成，网络地址的最高位必须是“0”。A类IP地址中网络的标识长度为7位，主机标识的长度为24位，A类网络地址数量较少，可以用于主机数达1600多万台的大型网络。A类IP地址 地址范围1.0.0.1-126.255.255.254。B类：和前面类似，B类IP地址就由2字节的网络地址和2字节主机地址组成，网络地址的最高位必须是

41、“10”。B类IP地址中网络的标识长度为14位，主机标识的长度为16位，B类网络地址适用于中等规模的网络，每个网络所能容纳的计算机数为6万多台。B类IP地址范围128.1.0.1-191.254.255.254。,2023年4月3日星期一11时31分35秒,48,9.4.2 IP和Ipv6,C类：和前面类似，C类IP地址就由3字节的网络地址和1字节主机地址组成，网络地址的最高位必须是“110”。C类IP地址中网络的标识长度为21位，主机标识的长度为8位，C类网络地址数量较多，适用于小规模的局域网络，每个网络最多只能包含254台计算机。C类IP地址范围192.0.1.1-223.255.254.

42、254。D类IP地址又称多点广播地址，用来一次寻址一组计算机，它标识共享同一协议的一组计算机。地址范围224.0.0.1-239.255.255.254。E类IP地址以“11110”开始，保留用于将来和实验使用。,2023年4月3日星期一11时31分35秒,49,9.4.2 IP和Ipv6,IP地址是网络层的地址，而下传到链路层要转变为MAC帧后才能发送到网络。而MAC帧使用的是硬件地址。如何将32位的IP地址转变成48位的局域网地址，这就是地址解析协议ARP要解决的问题。假设是在本局域网中，A主机向B主机发生数据报。首先A主机查看ARP高速缓存内的IP地址到物理地址的映射表，如果找到就写入M

43、AC帧发送，否则进行以下步骤：在本局域网上广播发送一个ARP请求分组，在本局域网上的所有主机上运行的ARP进程都收到此ARP请求分组；主机B在ARP请求分组中见到自己的IP地址，就向主机A发送一个ARP响应分组，上面写入自己的物理地址；主机A收到主B的ARP响应分组后，就在其ARP高速缓存中写入主机B的IP地址到物理地址的映射。有时还要用到逆地址解析协议RARP使只知道自己物理地址的主机能够知道其IP地址，如无盘工作站的引导就可以通过逆地址解析协议RARP来解决。,2023年4月3日星期一11时31分35秒,50,9.4.2 IP和Ipv6,2.IPV6从1990年开始，互联网工程任务小组IE

44、TF开始规划IPv4的下一代协定，除要解决即将遇到的IP地址短缺问题外，还要发展更多的扩充功能，。IPv6的计划是建立未来互联网扩充的基础，其目标是取代IPv4，预计在2025年以前IPv4仍会被支持，以便给新协议的修正留下足够的时间。从IPv4到IPv6最显著的变化就是网络地址的长度。RFC 2373 和RFC 2374定义的IPv6地址有128位长；IPv6地址的表达形式一般采用32个十六进制数。IPv6中可能的地址有2128 3.41038个。,2023年4月3日星期一11时31分35秒,51,9.4.2 IP和Ipv6,IPv6 位址可分为三种：（1）单播（unicast）位址：单播位

45、址标识一个网络接口。协定会把送往位址的封包投送给其接口。IPv6 的单播位址可以有一个代表特殊位址名字的范畴，如 link-local 位址和唯一区域位址（ULA，unique local address）。（2）任播（anycast）位址任播位址用于指定给一群接口，通常这些接口属于不同的节点。若封包被送到一个任播位址时，则会被转送到成员中的其中之一。通常会根据路由协定，选择 最近 的成员。任播位址通常无法轻易分别它们拥有和正常单播位址一样的结构，只是会在路由协定中将多个节点加入网络中。,2023年4月3日星期一11时31分35秒,52,9.4.2 IP和Ipv6,（3）多播（multicas

46、t）位址多播位址也被指定到一群不同的接口，送到多播位址的封包会被传送到所有的位址。多播位址由皆为一的字节起始，它们的前置为 FF00:/8。其第二个字节的最后四个位元用以标明 范畴。IPv6封包由两个主要部分组成：头部和负载。包头是包的前40字节并且包含有源和目的地址，协议版本，通信类别（8位元，包优先级），流标记（20位元，QoS服务质量控制），负载长度（16位），下一个头部（用于向后兼容性），和跳段数限制（8位元，生存时间，相当于IPv4中的TTL）。后面是负载，至少1280字节长，或者在可变MTU（最大传输单元）大小环境中这个值为1500字节。负载在标准模式下最大可为65535字节，或者

47、在扩展包头的jumbo payload选项进行设置。IPv6地址在域名系统中为执行正向解析表示为AAAA记录（所谓4A记录）（类似的IPv4表示为A记录A records）；反向解析在ip6.arpa（原先ip6.int）下进行，在这里地址空间为半字节16进制数字格式。这种模式在RFC 3596给与了定义。,2023年4月3日星期一11时31分35秒,53,9.4.3 IPSec：AH和ESP,IPSec提供了两种安全机制：认证和加密。IPSec协议组包含认证头（AH）协议、封装安全有效载荷（ESP）协议和Internet密钥交换（IKE）协议。其中，AH协议定义了认证的应用方法，提供数据源认

48、证、完整性和反重保证；ESP协议定义了加密和应用方法，提供可靠性保证。,2023年4月3日星期一11时31分35秒,54,9.4.3 IPSec：AH和ESP,1.认证头AHAH协议是以IP数据包的形式实现的。AH报头位置在IP报头和传输层协议报头之间，如图3-2所示。IP协议号字段为51，AH可以单独使用也可以与ESP协议结合使用。,2023年4月3日星期一11时31分35秒,55,9.4.3 IPSec：AH和ESP,AH报头的结构包括以下内容：（1）下一个报头。占8位，该字段通过协议号指明在IPSec头之后的第4层协议的类型(2)长度。占8位，IPSec协议头长度减2的值。(3)安全参数

49、索引（SPI）。占32位，包括目上IP地址、IPSec协议以及编号，用来唯一地为分组确定安全联盟SA。(4)序列号。点32位，从1开始的32位单增序列号，不允许复，唯一地标识了每一个发送的数据包，为安全联盟提供反重播保护。(5)认证数据。包含完整性检查和。由于IPSes存在传输模式和隧道模式这两种工作模式，所以AH报头的位置也不相同。,2023年4月3日星期一11时31分35秒,56,9.4.3 IPSec：AH和ESP,(1)传输模式：AH用于传输模式时，保护的是端到端的通信。AH报头紧跟在IP报头之后和上层协议报文之前，对这个数据包进行保护，如图3-3所示。,2023年4月3日星期一11时

50、31分35秒,57,9.4.3 IPSec：AH和ESP,(2)隧道模式：在隧道模式下,内层的IP报头含有该IP数据包的最终目点地址和最初源地址,外层的IP报头可能含有与内层不同的地址,在该模式下,AH协议保护了整个内层IP数据包。AH报头的位置也是紧跟在最外面的IP报头之后,如图3-4所示。,2023年4月3日星期一11时31分35秒,58,9.4.3 IPSec：AH和ESP,AH安全协议对于外出和进入的IP分别进行处理。(1)对外出分组的处理：首先,依据待处理的IP分组,构造出选择,即，并以此选择符为索引，对安全策略数据库(SPD)条目直接指向的安全联盟SA条目，能找到用以处理数据的SA