当前课程知识点:网络技术与应用 >  第9讲 网络安全 >  9.7 安全协议 >  9.7 安全协议

返回《网络技术与应用》慕课在线视频课程列表

9.7 安全协议在线视频

9.7 安全协议

下一节:例题分析

返回《网络技术与应用》慕课在线视频列表

9.7 安全协议课程教案、知识点、字幕

网络的目的是数据传输和资源共享

因此网络体系结构以及每层的协议

都是围绕着这个目标来设计的

但是随着网络应用的不断深入

网络协议逐步暴露出安全性方面的问题

需要对这些网络协议根据安全要求进行补充

这就是安全协议

下面就来学习安全协议的内容

首先来了解一下TCP/IP的安全缺陷

然后学习安全协议的功能

安全协议的体系结构

最后通过一个安全协议IP Sec

了解安全协议的功能以及它的设计机制

首先了解一下TCP/IP体系结构存在的安全缺陷

第一个是源端鉴别问题

比如网际协议IP

IP首部当中有个控制信息 源IP地址

通过源IP地址确定源发送终端是哪个终端

所有的路由器和接收端都是通源IP地址确定发送终端

但是黑客终端也利用这一点

比如这是一个黑客终端

它冒充目标终端B

用终端B的IP地址IP B

作为源IP地址

发送一个IP分组给终端A

由于终端A无法确认IP地址是不是真的是终端B的

它认为这个IP分组是终端B发送的

因此它结束到一个ECHO请求报文以后

就给终端B发送一个响应报文

这是源端鉴别问题

因此就需要更加安全有效的源终端鉴别机制

还有数据传输的保密性问题

和数据传输的完整性问题

比如在这样一个网络当中

终端A给终端B发送数据

正常的话 按照这样一个传输通路传输数据的

如果黑客终端通过嗅探和截获IP分组的方式

截获到IP分组的话

由于IP分组当中对数据没有加密

黑客终端就截获到IP分组当中的数据

那么它的安全性就成了问题

保密性也存在问题

另外 黑客终端可以对IP分组中的数据进行修改

修改完了以后 把IP分组发送给终端B

也就是它的完整性就存在问题

因此就需要有对IP分组中的数据字段进行加密的机制

和保障IP分组完整性的机制

还有身份鉴别的问题

比如前面讲过的钓鱼网站的问题

用户无法确定它所使用的网站是真的还是假的

因此需要有一种能够对访问网站

或者数据接收端的身份进行鉴别的机制

这是TCP/IP存在的安全缺陷

因此安全协议就需要具备这样一些功能

一是双向身份鉴别

现在的身份鉴别主要是通过共享密钥和证书

共享密钥就是安全协议需要双方预先配置共享密钥K

一方要向另一方证实自己身份的时候

向对方证明自己拥有密钥K就可以了

证书就是需要双方事先从权威机构获得证明对方的公钥

比如PK

与对方身份标识符如x之间关联的证书

获得方法在前面数字签名技术当中介绍过了

在这里不再赘述

第二个是数据加密功能

数据加密在安全协议中需要完成密钥分发

加密算法协商等工作

第三 数据完整性检测

数据完整性检测对于安全协议来说

需要完成密钥分发 报文摘要算法协商 加密算法协商

第四 防重放攻击机制

重放攻击是这样

攻击者截获到报文以后

一种情况是重复发送报文给接收端

另外一种情况是延迟一段时间后发送该报文给接收端

从而使得接收端在报文处理的时候出错

因此安全协议当中需要在报文当中添加序号字段

使得每个报文跟其它报文有互相区别的标识

二是安全协议设置一个序号窗口

并且能够动态调整接收端的序号窗口

这是安全协议总体要完成的功能

对于TCP/IP体系结构来说

我们知道它是一个协议族

许多协议都存在安全问题

因此对这些存在安全问题的协议

都需要补充 生成相应的安全协议

比如不同的传输网络需要生成对应的安全协议

不同的层需要有相应的安全协议

对原来的协议在安全方面进行补充

因此还生成了一个安全协议的体系结构

下面以安全协议IP Sec为例

说明一下安全协议的功能和工作机制

IP Sec有两个协议 AH协议和ESP协议

这两个协议的共同点是都能够完成数据完整性检测

IP分组源端鉴别 防重放攻击

这样一些功能

ESP协议还可以进行数据加密

下面看一下这个协议的工作过程

为了安全传输数据

首先必须建立发送者到接收者之间的安全关联

什么是安全关联

安全关联的目的是什么呢

安全关联的目的就是要鉴别发送者

然后进行数据加密和完整性检测等目的

关联是有方向性的

它的关联方向是从发送端到接收端

是单向的

建立的关联是从发送端到接收端的关联

关联的内容是发送者到接收端传输的数据

所使用的加密算法 加密密钥 消息鉴别码算法

和消息鉴别码密钥等

每一个安全关联都要有一个安全参数索引

简称为SPI

SPI是由接收端生成的

接收端生成以后发送给发送端

下面看一下

对于一个接收端来说

它可以和多台终端传输数据

比如终端A和终端C都可以给终端B发送数据

那么每一个发送数据的过程都要建立一个安全关联

比如终端A和终端B建立的安全关联

需要一个安全关联标识符

以及协商一些安全关联参数

终端C和终端B建立的安全关联

也有相应的安全关联标识符

也要协商一些安全关联参数

安全关联标识符包括SPI

目的终端的IP地址以及安全协议标识符

SPI是由终端B生成的

因此终端A和终端C与终端B的安全关联的SPI是不同的

另外 安全协议标识符目前只有两种 AH和ESP

安全关联参数有加密算法 加密密钥

MAC算法 MAC密钥等

这是对于目的终端

对于发送终端也需要有一些安全策略记录

比如终端A给终端B发送数据

需要进行安全关联

而且终端A给终端B可以建立多个关联

不同的安全关联的安全策略可能不同

可以把终端A给终端B之间发送的数据进行分类

不同的数据和不同的安全关联绑定在一起

另外一个终端还可以给多个终端发送数据

因此在终端A也要建立一个安全策略数据库

我们看一下安全策略数据库的内容

首先有分类规则

还有安全关联标识符 安全关联参数

分类规则包括源IP地址 目的IP地址 源端口号

目的端口号以及服务类型 安全协议等

安全关联标识符和刚才一样

也有SPI 目的终端IP地址以及安全协议标识符

安全关联参数有序号 防重放攻击窗口大小

加密算法 加密密钥以及MAC算法 MAC密钥

安全协议模式

安全协议模式是什么意思呢

安全协议模式有两种

一种是传输模式

传输模式是什么情况呢

比如一个源终端和目的终端建立安全关联

这个安全关联是建立在源终端和目的终端之间的

也就是保证数据是端到端的安全传输的

这是传输模式的第一点

第二 IP Sec所保护的数据

就是作为IP分组净荷的上层协议数据

第三 安全关联建立在数据源端和目的端之间

第二个模式是隧道模式

隧道模式的安全关联不是源终端到目的终端

假定终端A和终端B是连接在一个内部网络里的

这两个内部网络之间有个公共网络隔开了

内部网络的IP地址是不能在互联网当中路由传输的

因此 假如目的IP地址是IP B

源IP地址是IP A

这两个IP地址都是本地IP地址

这个IP分组需要作为净荷字段封装成另外一个IP分组

这个IP分组的源IP地址是路由器R1连接公共网络

端口的IP地址

目的IP地址是路由器R2连接公共网络的端口的IP地址

我们把这种把整个IP分组作为另一个IP分组的净荷

的封装方式称为隧道格式

因此安全关联就是在隧道的两端

在隧道模式下的安全关联和传输模式下的安全关联

的两端是不同的

这是两种安全协议模式

下面看一下原来的IP分组怎么样变成安全的IP分组

也就是说对原来IP分组加上安全协议的控制信息

它有两种模式

一种是传输模式

一种是隧道模式

传输模式在原来IP分组的基础上

在IP首部和净荷之间增加一个AH首部控制信息

隧道模式下是这样

把原来的IP分组作为AH分组的净荷字段

加上AH首部

然后再加上外层的IP首部

下面看一下AH首部的控制信息

AH首部的控制信息有这么一些字段

第一个是下一个首部

它是8个二进制位

下一个首部的控制信息的内容是什么呢

在IP分组当中 有一个协议字段

下一个首部的内容就是协议字段的值

这个协议字段的值是封装成传输模式的AH报文后

刚才的协议字段的值为51

表明是一个AH报文

如果是封装成隧道模式的AH报文以后

外层IP首部中协议字段值为51

表明是AH报文

接下来是鉴别首部长度

也就是用32位为单位给出AH的总长度

安全参数索引SPI刚才已经说过了

这个值是接收端把SPI和AH报文的目的IP地址

以及IP首部中IP Sec协议类型

一起用于确定AH报文所属的安全关联的参数

还有一个是序号

序号主要用来防重放攻击的

最后一个是鉴别数据

鉴别数据是一个消息鉴别码

主要用于鉴别源端身份和数据完整性检测

鉴别数据的计算可以有这样两种算法

一个是HMAC-MD5-96算法

还有是HMAC-SHA-1-96

这些报文摘要算法在前面已经介绍过了

这里不再详细介绍

再来看一下ESP协议的封装形式以及首部控制信息

ESP协议封装成传输模式的封装形式是这样

增加一个ESP首部和ESP尾部

还要增加一个ESP MAC

隧道模式是这样

把原来的IP分组作为它的数据净荷字段

然后增加一个ESP首部

ESP尾部和ESP MAC

再增加一个外层IP首部

下面看一下ESP协议的控制信息

控制信息有三部分

ESP首部 ESP尾部和ESP MAC

ESP首部和刚才介绍的协议是一样的

内容是安全参数索引和序号

ESP尾部内容包括填充数据

8位填充长度字段和8位下一个首部

填充长度字段值以字节为单位给出填充数据长度

下一个首部给出净荷的协议类型

ESP尾部主要是数据加密时用的

在净荷后面添加填充数据的目的有这么几个方面

一是对净荷进行加密运算时

要保证净荷+ESP尾部是数据段长度的整数倍

二是净荷+ESP尾部必须是32位的整数倍

因此需要填充内容

三是有了填充数据后

可以隐藏实际净荷长度有利于数据传输的安全性

最后 看一下防重放攻击过程

有了这样一个协议以后

黑客要伪造源终端到目的终端的AH或ESP报文

是不可能的

因此黑客利用重复发送某个AH或ESP报文

或者是延迟一段时间以后

再转发AH或ESP报文

用这样一种攻击的方式使得接收端处理数据出错

因此防重放攻击机制就是要解决这样的问题

我们看一下怎么解决

在接收端设置一个序号窗口

假设序号窗口的大小是W

假设目前接收到的报文最大序号是N

因此序号窗口的范围是N-W+1到N

这样一个范围

当目的终端每接收到一个AH或ESP报文

都要做这样一些操作

如果这个报文序号小于N-W+1

也就是序号窗口的最小序号

或者这个序号对应的报文已经正确接收了

这个报文就丢弃了

如果报文序号在窗口的范围内

而且未接收到该序号对应的报文

就接收下这个报文

并且把这个报文所对应的标志位

改为正确接收的标志

如果报文序号大于N

也就是大于窗口序号的最大值

假设这个值是L L>N

窗口的范围就要调整了

窗口的范围就要改成L-W+1到L

并且把序号L对应的标志改为

已经正确接收这个序号对应的报文的标识

这是防重放攻击的过程

最后对刚才的内容做下简单的小结

TCP/IP协议存在安全缺陷

这是和一开始网络的初衷有关系的

安全协议用于弥补TCP/IP协议的安全缺陷

每一层都有对应的安全协议

安全协议主要解决以下问题

源端鉴别问题 数据传输的保密性问题

数据传输的完整性问题以及身份鉴别问题

IP Sec是网际层的安全协议

网络技术与应用课程列表:

先导语

-课程先导语

--先导语

第1讲 概论

-1.1 网络内涵

--网络内涵

-1.2 互联网发展过程

--互联网发展过程

-1.2 互联网发展过程--作业

-1.3 交换方式

--电路交换

-- 虚电路交换

--数据报交换

--三种交换方式比较

--html

-1.3 交换方式--作业

-1.4 计算机网络体系结构和协议

--分层结构

--网络体系结构与协议

--OSI体系结构

--TCP/IP体系结构

-1.4 计算机网络体系结构和协议--作业

-第一讲内容的启示

--html

-例题分析

--例题分析

-测验--作业

第2讲 数据通信基础

-本讲内容简介

--2.0 数据通信基础

-2.1 数据传输系统

--2.1 数据传输系统

-2.1 数据传输系统--作业

-2.2 信号

--2.2 信号

-2.2 信号--作业

-2.3 编码和调制

--2.3-1 编码

--2.3-2 调制

-2.3 编码和调制--作业

-2.4 差错控制

--2.4-1 差错控制—检错码

--2.4-2 差错控制—确认和重传

-2.4 差错控制--作业

-2.5 传输媒体

--2.5 传输媒体

-2.5 传输媒体--作业

-2.6 Packet Tracer6.2使用说明

--2.6 Packet Tracer6.2使用说明

-第二讲内容的启示

--html

-例题分析

--例题分析

-测验--作业

第3讲 以太网

-以太网发展过程与内容简介

--3.1 以太网发展过程和本讲内容简介

-以太网发展过程与内容简介--作业

-3.1 总线形以太网

--3.1-1 总线形以太网基础

--3.1-2 基带传输与曼彻斯特编码

--3.1-3 数据帧封装格式:mac帧

--3.1-4 CSMA/CD算法

--3.1-5 CSMA/CD算法缺陷

-3.1 总线形以太网--作业

-3.2 网桥与冲突域分割

--3.2-1 网桥与冲突域分割

--3.2-2 网桥工作过程演示

-3.2 网桥与冲突域分割--作业

-3.3 交换式以太网与VLAN

--3.3-1 VLAN与广播域分割

--3.3-2 单交换机VLAN划分过程

--3.3-3 跨交换机VLAN划分

--3.3-4 跨交换机VLAN划分配置过程演示

-3.3 交换式以太网与VLAN--作业

-3.4 以太网标准

--3.4 以太网标准

-3.4 以太网标准--作业

-第三讲内容的启示

--html

-例题分析

--例题分析

-案例设计

--案例设计

-测验--作业

第4讲 无线局域网

-本讲内容简介

--无线局域网

-4.1 无线局域网概述

--4.1-1 无线数据传输

--4.1-2 无线局域网体系结构

-4.1 无线局域网概述--作业

-4.2 无线局域网应用方式

--4.2 无线局域网组网方式

-4.2 无线局域网应用方式--作业

-4.3 无线局域网MAC层

--4.3-1 无线局域网的MAC帧

--4.3-2 DCF和CSMA/CA

-4.3 无线局域网MAC层--作业

-4.4 终端接入无线局域网过程

--4.4 终端接入无线局域网过程

-4.4 终端接入无线局域网过程--作业

-4.5 无线局域网设计和分析

--4.5-1 无线局域网设计

--4.5-2 无线局域网设计演示实验

-第四讲内容的启示

--html

-例题分析

--例题分析

-测验--作业

第5讲 IP和网络互连

-本讲内容简介

-- IP与网络互连

-5.1 网络互连机制

--5.1 网络互连机制

-5.1 网络互连机制--作业

-5.2 网际协议

--5.2-1 IP-分类编址

--5.2-2 IP-无分类编址

--5.2-3 IP-分组格式

-5.2 网际协议--作业

-5.3 IP分组传输过程

--5.3 IP分组传输过程

-5.3 IP分组传输过程--作业

-5.4 路由表建立过程

--5.4-1 人工配置静态路由项

--5.4-2 路由协议与动态路由项

-5.4 路由表建立过程--作业

-5.5 IP over以太网

--5.5 IP Over以太网

-5.5 IP over以太网--作业

-5.6 三层交换机与VLAN间通信过程

--5.6-1 多端口路由器实现VLAN间通信过程

--5.6-2单臂路由器实现VLAN间通信过程

--5.6-3 三层交换机实现Vlan间通信过程

--5.6-4 三层交换机实现VLAN间通信过程演示实验

--5.6-5 互联设备之间的区别

-5.7 Internet控制报文协议

--5.7 Internet控制报文协议

-5.7 Internet控制报文协议--作业

-第五讲内容启示

--html

-案例设计

--案例设计

-例题分析

--5.9-1 例题分析1

--5.9-2 例题分析2

--5.9-3 例题分析3

-测验--作业

第6讲 Internet接入技术

-本讲内容简介

--本讲内容简介

-6.1 Internet接入控制机制

--6.1 Internet接入控制机制

-6.1 Internet接入控制机制--作业

-6.2 以太网和ADSL接入技术

--6.2-1 通过以太网接入Internet过程

--6.2-2 通过ADSL接入Internet过程

-6.2 以太网和ADSL接入技术--作业

-6.3 家庭局域网接入方式与无线路由器

--6.3-1 家庭局域网接入方式

--6.3-2 家庭无线路由器的配置

-6.3 家庭局域网接入方式与无线路由器--作业

-6.4 接入综合演示实验

--6.4 接入综合演示实验

-6.4 接入综合演示实验--作业

-第六讲内容的启示

--html

-例题分析

--第六讲 例题分析

-测验--作业

第7讲 传输层

-本讲内容简介

--传输层

-7.1 传输层服务特性

--传输层服务特性

-7.1 传输层服务特性--作业

-7.2 端口号

--端口号

-7.3 用户数据报协议UDP

--用户数据报协议UDP

-7.3 用户数据报协议UDP--作业

-7.4 传输控制协议TCP

--TCP特点和格式

--建立和释放连接过程

--TCP差错控制机制

--TCP拥塞控制机制

-- TCP的几点说明

-7.4 传输控制协议TCP--作业

-第七讲内容启示

--html

-例题分析

--例题分析

-测验--作业

第8讲 应用层

-本讲内容简介

-- 应用层

-8.1 应用结构

--应用结构

-8.1 应用结构--作业

-8.2 域名解析

--8.2-1 域名结构与资源记录

--8.2-2 域名解析过程

--8.2-3 DNS演示实验

-8.2 域名解析--作业

-8.3 动态主机配置协议

--8.3-1 动态主机配置协议

--8.3-2 DHCP无中继演示实验

--8.3-3 DHCP中继演示实验

-8.3 动态主机配置协议--作业

-8.4 万维网

-- 万维网

-8.4 万维网--作业

-8.5 电子邮件

--html

-8.6 文件传输协议

--html

-例题分析

--例题分析

-案例设计

--CH8 案例设计

-应用层启示

--html

-测验--作业

第9讲 网络安全

-本讲内容简介

--9.0 网络安全内容简介

-9.1 网络安全概述

--9.1-1 网络安全现状与目标

--9.1-2 网络攻击举例

--9.1-3 DHCP欺骗攻击演示实验

-9.1 网络安全概述--作业

-9.2 网络安全基础

--9.2-1 数据加密

--9.2-2 报文摘要和数字签名

-9.2 网络安全基础--作业

-9.3 病毒检测与防御技术

--9.3 病毒检测与防御技术

-9.3 病毒检测与防御技术--作业

-9.4 以太网安全技术

--9.4-1 以太网安全技术

--9.4-2 防DHCP欺骗演示实验

-9.4 以太网安全技术--作业

-9.5 无线局域网安全技术

--9.5 无线局域网安全技术

--9.5-2 无线局域网安全演示实验

-9.5 无线局域网安全技术--作业

-9.6 防火墙

--9.6-1 无状态分组过滤器

--9.6-2 有状态分组过滤器

-9.6 防火墙--作业

-9.7 安全协议

--9.7 安全协议

-9.7 安全协议--作业

-例题分析

--例题分析

-防火墙演示实验

-- 防火墙演示实验

-案例设计

--案例设计

-网络安全的启示

--html

-测验--作业

附录

-附录1:综合应用分析

--综合应用分析

-附录2:Cisco实际设备网络构建与配置

--Cisco实际设备网络构建与配置

期末考试

-期末考试--考试试题

9.7 安全协议笔记与讨论

也许你还感兴趣的课程:

© 柠檬大学-慕课导航 课程版权归原始院校所有,
本网站仅通过互联网进行慕课课程索引,不提供在线课程学习和视频,请同学们点击报名到课程提供网站进行学习。