当前课程知识点:网络技术与应用 > 第9讲 网络安全 > 9.7 安全协议 > 9.7 安全协议
网络的目的是数据传输和资源共享
因此网络体系结构以及每层的协议
都是围绕着这个目标来设计的
但是随着网络应用的不断深入
网络协议逐步暴露出安全性方面的问题
需要对这些网络协议根据安全要求进行补充
这就是安全协议
下面就来学习安全协议的内容
首先来了解一下TCP/IP的安全缺陷
然后学习安全协议的功能
安全协议的体系结构
最后通过一个安全协议IP Sec
了解安全协议的功能以及它的设计机制
首先了解一下TCP/IP体系结构存在的安全缺陷
第一个是源端鉴别问题
比如网际协议IP
IP首部当中有个控制信息 源IP地址
通过源IP地址确定源发送终端是哪个终端
所有的路由器和接收端都是通源IP地址确定发送终端
但是黑客终端也利用这一点
比如这是一个黑客终端
它冒充目标终端B
用终端B的IP地址IP B
作为源IP地址
发送一个IP分组给终端A
由于终端A无法确认IP地址是不是真的是终端B的
它认为这个IP分组是终端B发送的
因此它结束到一个ECHO请求报文以后
就给终端B发送一个响应报文
这是源端鉴别问题
因此就需要更加安全有效的源终端鉴别机制
还有数据传输的保密性问题
和数据传输的完整性问题
比如在这样一个网络当中
终端A给终端B发送数据
正常的话 按照这样一个传输通路传输数据的
如果黑客终端通过嗅探和截获IP分组的方式
截获到IP分组的话
由于IP分组当中对数据没有加密
黑客终端就截获到IP分组当中的数据
那么它的安全性就成了问题
保密性也存在问题
另外 黑客终端可以对IP分组中的数据进行修改
修改完了以后 把IP分组发送给终端B
也就是它的完整性就存在问题
因此就需要有对IP分组中的数据字段进行加密的机制
和保障IP分组完整性的机制
还有身份鉴别的问题
比如前面讲过的钓鱼网站的问题
用户无法确定它所使用的网站是真的还是假的
因此需要有一种能够对访问网站
或者数据接收端的身份进行鉴别的机制
这是TCP/IP存在的安全缺陷
因此安全协议就需要具备这样一些功能
一是双向身份鉴别
现在的身份鉴别主要是通过共享密钥和证书
共享密钥就是安全协议需要双方预先配置共享密钥K
一方要向另一方证实自己身份的时候
向对方证明自己拥有密钥K就可以了
证书就是需要双方事先从权威机构获得证明对方的公钥
比如PK
与对方身份标识符如x之间关联的证书
获得方法在前面数字签名技术当中介绍过了
在这里不再赘述
第二个是数据加密功能
数据加密在安全协议中需要完成密钥分发
加密算法协商等工作
第三 数据完整性检测
数据完整性检测对于安全协议来说
需要完成密钥分发 报文摘要算法协商 加密算法协商
第四 防重放攻击机制
重放攻击是这样
攻击者截获到报文以后
一种情况是重复发送报文给接收端
另外一种情况是延迟一段时间后发送该报文给接收端
从而使得接收端在报文处理的时候出错
因此安全协议当中需要在报文当中添加序号字段
使得每个报文跟其它报文有互相区别的标识
二是安全协议设置一个序号窗口
并且能够动态调整接收端的序号窗口
这是安全协议总体要完成的功能
对于TCP/IP体系结构来说
我们知道它是一个协议族
许多协议都存在安全问题
因此对这些存在安全问题的协议
都需要补充 生成相应的安全协议
比如不同的传输网络需要生成对应的安全协议
不同的层需要有相应的安全协议
对原来的协议在安全方面进行补充
因此还生成了一个安全协议的体系结构
下面以安全协议IP Sec为例
说明一下安全协议的功能和工作机制
IP Sec有两个协议 AH协议和ESP协议
这两个协议的共同点是都能够完成数据完整性检测
IP分组源端鉴别 防重放攻击
这样一些功能
ESP协议还可以进行数据加密
下面看一下这个协议的工作过程
为了安全传输数据
首先必须建立发送者到接收者之间的安全关联
什么是安全关联
安全关联的目的是什么呢
安全关联的目的就是要鉴别发送者
然后进行数据加密和完整性检测等目的
关联是有方向性的
它的关联方向是从发送端到接收端
是单向的
建立的关联是从发送端到接收端的关联
关联的内容是发送者到接收端传输的数据
所使用的加密算法 加密密钥 消息鉴别码算法
和消息鉴别码密钥等
每一个安全关联都要有一个安全参数索引
简称为SPI
SPI是由接收端生成的
接收端生成以后发送给发送端
下面看一下
对于一个接收端来说
它可以和多台终端传输数据
比如终端A和终端C都可以给终端B发送数据
那么每一个发送数据的过程都要建立一个安全关联
比如终端A和终端B建立的安全关联
需要一个安全关联标识符
以及协商一些安全关联参数
终端C和终端B建立的安全关联
也有相应的安全关联标识符
也要协商一些安全关联参数
安全关联标识符包括SPI
目的终端的IP地址以及安全协议标识符
SPI是由终端B生成的
因此终端A和终端C与终端B的安全关联的SPI是不同的
另外 安全协议标识符目前只有两种 AH和ESP
安全关联参数有加密算法 加密密钥
MAC算法 MAC密钥等
这是对于目的终端
对于发送终端也需要有一些安全策略记录
比如终端A给终端B发送数据
需要进行安全关联
而且终端A给终端B可以建立多个关联
不同的安全关联的安全策略可能不同
可以把终端A给终端B之间发送的数据进行分类
不同的数据和不同的安全关联绑定在一起
另外一个终端还可以给多个终端发送数据
因此在终端A也要建立一个安全策略数据库
我们看一下安全策略数据库的内容
首先有分类规则
还有安全关联标识符 安全关联参数
分类规则包括源IP地址 目的IP地址 源端口号
目的端口号以及服务类型 安全协议等
安全关联标识符和刚才一样
也有SPI 目的终端IP地址以及安全协议标识符
安全关联参数有序号 防重放攻击窗口大小
加密算法 加密密钥以及MAC算法 MAC密钥
安全协议模式
安全协议模式是什么意思呢
安全协议模式有两种
一种是传输模式
传输模式是什么情况呢
比如一个源终端和目的终端建立安全关联
这个安全关联是建立在源终端和目的终端之间的
也就是保证数据是端到端的安全传输的
这是传输模式的第一点
第二 IP Sec所保护的数据
就是作为IP分组净荷的上层协议数据
第三 安全关联建立在数据源端和目的端之间
第二个模式是隧道模式
隧道模式的安全关联不是源终端到目的终端
假定终端A和终端B是连接在一个内部网络里的
这两个内部网络之间有个公共网络隔开了
内部网络的IP地址是不能在互联网当中路由传输的
因此 假如目的IP地址是IP B
源IP地址是IP A
这两个IP地址都是本地IP地址
这个IP分组需要作为净荷字段封装成另外一个IP分组
这个IP分组的源IP地址是路由器R1连接公共网络
端口的IP地址
目的IP地址是路由器R2连接公共网络的端口的IP地址
我们把这种把整个IP分组作为另一个IP分组的净荷
的封装方式称为隧道格式
因此安全关联就是在隧道的两端
在隧道模式下的安全关联和传输模式下的安全关联
的两端是不同的
这是两种安全协议模式
下面看一下原来的IP分组怎么样变成安全的IP分组
也就是说对原来IP分组加上安全协议的控制信息
它有两种模式
一种是传输模式
一种是隧道模式
传输模式在原来IP分组的基础上
在IP首部和净荷之间增加一个AH首部控制信息
隧道模式下是这样
把原来的IP分组作为AH分组的净荷字段
加上AH首部
然后再加上外层的IP首部
下面看一下AH首部的控制信息
AH首部的控制信息有这么一些字段
第一个是下一个首部
它是8个二进制位
下一个首部的控制信息的内容是什么呢
在IP分组当中 有一个协议字段
下一个首部的内容就是协议字段的值
这个协议字段的值是封装成传输模式的AH报文后
刚才的协议字段的值为51
表明是一个AH报文
如果是封装成隧道模式的AH报文以后
外层IP首部中协议字段值为51
表明是AH报文
接下来是鉴别首部长度
也就是用32位为单位给出AH的总长度
安全参数索引SPI刚才已经说过了
这个值是接收端把SPI和AH报文的目的IP地址
以及IP首部中IP Sec协议类型
一起用于确定AH报文所属的安全关联的参数
还有一个是序号
序号主要用来防重放攻击的
最后一个是鉴别数据
鉴别数据是一个消息鉴别码
主要用于鉴别源端身份和数据完整性检测
鉴别数据的计算可以有这样两种算法
一个是HMAC-MD5-96算法
还有是HMAC-SHA-1-96
这些报文摘要算法在前面已经介绍过了
这里不再详细介绍
再来看一下ESP协议的封装形式以及首部控制信息
ESP协议封装成传输模式的封装形式是这样
增加一个ESP首部和ESP尾部
还要增加一个ESP MAC
隧道模式是这样
把原来的IP分组作为它的数据净荷字段
然后增加一个ESP首部
ESP尾部和ESP MAC
再增加一个外层IP首部
下面看一下ESP协议的控制信息
控制信息有三部分
ESP首部 ESP尾部和ESP MAC
ESP首部和刚才介绍的协议是一样的
内容是安全参数索引和序号
ESP尾部内容包括填充数据
8位填充长度字段和8位下一个首部
填充长度字段值以字节为单位给出填充数据长度
下一个首部给出净荷的协议类型
ESP尾部主要是数据加密时用的
在净荷后面添加填充数据的目的有这么几个方面
一是对净荷进行加密运算时
要保证净荷+ESP尾部是数据段长度的整数倍
二是净荷+ESP尾部必须是32位的整数倍
因此需要填充内容
三是有了填充数据后
可以隐藏实际净荷长度有利于数据传输的安全性
最后 看一下防重放攻击过程
有了这样一个协议以后
黑客要伪造源终端到目的终端的AH或ESP报文
是不可能的
因此黑客利用重复发送某个AH或ESP报文
或者是延迟一段时间以后
再转发AH或ESP报文
用这样一种攻击的方式使得接收端处理数据出错
因此防重放攻击机制就是要解决这样的问题
我们看一下怎么解决
在接收端设置一个序号窗口
假设序号窗口的大小是W
假设目前接收到的报文最大序号是N
因此序号窗口的范围是N-W+1到N
这样一个范围
当目的终端每接收到一个AH或ESP报文
都要做这样一些操作
如果这个报文序号小于N-W+1
也就是序号窗口的最小序号
或者这个序号对应的报文已经正确接收了
这个报文就丢弃了
如果报文序号在窗口的范围内
而且未接收到该序号对应的报文
就接收下这个报文
并且把这个报文所对应的标志位
改为正确接收的标志
如果报文序号大于N
也就是大于窗口序号的最大值
假设这个值是L L>N
窗口的范围就要调整了
窗口的范围就要改成L-W+1到L
并且把序号L对应的标志改为
已经正确接收这个序号对应的报文的标识
这是防重放攻击的过程
最后对刚才的内容做下简单的小结
TCP/IP协议存在安全缺陷
这是和一开始网络的初衷有关系的
安全协议用于弥补TCP/IP协议的安全缺陷
每一层都有对应的安全协议
安全协议主要解决以下问题
源端鉴别问题 数据传输的保密性问题
数据传输的完整性问题以及身份鉴别问题
IP Sec是网际层的安全协议
-课程先导语
--先导语
-1.1 网络内涵
--网络内涵
-1.2 互联网发展过程
--互联网发展过程
-1.2 互联网发展过程--作业
-1.3 交换方式
--电路交换
-- 虚电路交换
--数据报交换
--三种交换方式比较
--html
-1.3 交换方式--作业
-1.4 计算机网络体系结构和协议
--分层结构
--OSI体系结构
-1.4 计算机网络体系结构和协议--作业
-第一讲内容的启示
--html
-例题分析
--例题分析
-测验--作业
-本讲内容简介
-2.1 数据传输系统
-2.1 数据传输系统--作业
-2.2 信号
--2.2 信号
-2.2 信号--作业
-2.3 编码和调制
--2.3-1 编码
--2.3-2 调制
-2.3 编码和调制--作业
-2.4 差错控制
-2.4 差错控制--作业
-2.5 传输媒体
--2.5 传输媒体
-2.5 传输媒体--作业
-2.6 Packet Tracer6.2使用说明
-第二讲内容的启示
--html
-例题分析
--例题分析
-测验--作业
-以太网发展过程与内容简介
-以太网发展过程与内容简介--作业
-3.1 总线形以太网
-3.1 总线形以太网--作业
-3.2 网桥与冲突域分割
-3.2 网桥与冲突域分割--作业
-3.3 交换式以太网与VLAN
-3.3 交换式以太网与VLAN--作业
-3.4 以太网标准
-3.4 以太网标准--作业
-第三讲内容的启示
--html
-例题分析
--例题分析
-案例设计
--案例设计
-测验--作业
-本讲内容简介
--无线局域网
-4.1 无线局域网概述
-4.1 无线局域网概述--作业
-4.2 无线局域网应用方式
-4.2 无线局域网应用方式--作业
-4.3 无线局域网MAC层
-4.3 无线局域网MAC层--作业
-4.4 终端接入无线局域网过程
-4.4 终端接入无线局域网过程--作业
-4.5 无线局域网设计和分析
-第四讲内容的启示
--html
-例题分析
--例题分析
-测验--作业
-本讲内容简介
-- IP与网络互连
-5.1 网络互连机制
-5.1 网络互连机制--作业
-5.2 网际协议
-5.2 网际协议--作业
-5.3 IP分组传输过程
-5.3 IP分组传输过程--作业
-5.4 路由表建立过程
-5.4 路由表建立过程--作业
-5.5 IP over以太网
-5.5 IP over以太网--作业
-5.6 三层交换机与VLAN间通信过程
-5.7 Internet控制报文协议
-5.7 Internet控制报文协议--作业
-第五讲内容启示
--html
-案例设计
--案例设计
-例题分析
-测验--作业
-本讲内容简介
--本讲内容简介
-6.1 Internet接入控制机制
-6.1 Internet接入控制机制--作业
-6.2 以太网和ADSL接入技术
-6.2 以太网和ADSL接入技术--作业
-6.3 家庭局域网接入方式与无线路由器
-6.3 家庭局域网接入方式与无线路由器--作业
-6.4 接入综合演示实验
-6.4 接入综合演示实验--作业
-第六讲内容的启示
--html
-例题分析
--第六讲 例题分析
-测验--作业
-本讲内容简介
--传输层
-7.1 传输层服务特性
--传输层服务特性
-7.1 传输层服务特性--作业
-7.2 端口号
--端口号
-7.3 用户数据报协议UDP
-7.3 用户数据报协议UDP--作业
-7.4 传输控制协议TCP
--TCP特点和格式
-- TCP的几点说明
-7.4 传输控制协议TCP--作业
-第七讲内容启示
--html
-例题分析
--例题分析
-测验--作业
-本讲内容简介
-- 应用层
-8.1 应用结构
--应用结构
-8.1 应用结构--作业
-8.2 域名解析
-8.2 域名解析--作业
-8.3 动态主机配置协议
-8.3 动态主机配置协议--作业
-8.4 万维网
-- 万维网
-8.4 万维网--作业
-8.5 电子邮件
--html
-8.6 文件传输协议
--html
-例题分析
--例题分析
-案例设计
--CH8 案例设计
-应用层启示
--html
-测验--作业
-本讲内容简介
-9.1 网络安全概述
-9.1 网络安全概述--作业
-9.2 网络安全基础
-9.2 网络安全基础--作业
-9.3 病毒检测与防御技术
-9.3 病毒检测与防御技术--作业
-9.4 以太网安全技术
-9.4 以太网安全技术--作业
-9.5 无线局域网安全技术
-9.5 无线局域网安全技术--作业
-9.6 防火墙
-9.6 防火墙--作业
-9.7 安全协议
--9.7 安全协议
-9.7 安全协议--作业
-例题分析
--例题分析
-防火墙演示实验
-- 防火墙演示实验
-案例设计
--案例设计
-网络安全的启示
--html
-测验--作业
-附录1:综合应用分析
--综合应用分析
-附录2:Cisco实际设备网络构建与配置
-期末考试--考试试题