毕业设计（论文）PPT答辩-IP及IPSec协议安全性分析.ppt

ip协议及ipsec协议安全分析,院系： 计算机与通信工程学院 专业： 计算机科学与技术 班级： 计算机03级1班,摘 要,了解现今互联网安全状况 分析现有ip协议及其安全的脆弱性 学习ipsec协议的相关知识，并分析其结构 通过ethereal验证ipsec的加密及完整性检查,一.现今互联网安全状况,信息泄漏、信息污染、信息不易受控 控制权分散的管理问题 网络入侵 越来越严重,二. ip协议及其安全的脆弱性,ip协议没有为通信提供良好的数据源认证机制 ip协议没有为数据提供强的完整性保护机制 ip协议没有为数据提供任何形式的机密性保护,2.1 缺点一：无数据源认证机制,仅采用基于ip地址的身份认证机制，用户通过简单的ip地址伪造就可以冒充他人。即在ip网上传输的数据，其声称的发送者可能不是真正的发送者。 典型案例：mac欺骗,2.1 ethereal捕获结果,2.2 缺点二：无强完整性保护机制,虽然通过ip头的校验和为ip分组提供一定程度的完整性保护，但这对蓄意攻击者远远不够，他可以在修改分组后重新计算校验和。因此，需要在ip层对分组提供一种强的数据完整性保护机制。 典型案例：修改数据包，产生“脏包”,2.2 ethereal捕获结果,2.3 缺点三：机密性保护,网上的任何信息都以明文传输，无任何机密而言，这已经成为电子商务应用的瓶颈问题。因此，对ip网的通信数据的机密性保护势在必行。,2.3 ethereal捕获结果,三.ipsec协议综述,ipsec协议介绍 ipsec提供的安全服务-ah、esp,ipsec体系结构,ike: internet密钥交换协议,internet密钥交换协议（ ike ）用于应用 ipsec双方商和建立安全联盟，交换密钥。 ike定义了通信双方进行身份认证、协商加密算法以及生成共享的会话密钥的方法。 ike的特点在于它永远不在不安全的网络上直接传送密钥，而是通过一系列数据的交换，通信双方最终计算出共享的密钥。,sa: 安全关联,1.一个安全联盟是一个单向的安全“连接”，该“连接”上的数据流享有安全服务。 2.安全联盟的内容包括安全协议、算法（包括加密算法以及验证算法）、算法使用的密钥、隧道对端的 ip地址。 3.更新周期：以时间或流量为标准。,3.1 ipsec认证的实现认证头(ah),ah 是报文头验证协议，主要提供数据源验证、数据完整性校验和防报文重放功能。 在传输模式下, ah协议验证 ip承载的数据和 ip头不变部分。 在隧道模式下, ah协议验证全部的内部 ip报文和外部 ip头的不变部分。,ah头的传输及隧道模式,3.2 ipsec加密的实现封装安全载荷(esp),ipsec的esp协议能够满足在传输报文前，对data进行加密，起到密文传送的作用。 在传输模式下, esp协议对ip承载的数据进行加密。 在隧道模式下, esp协议对整个内部 ip报文进行加密。,esp传输模式及隧道模式,四. 介绍基于ethereal的嗅探技术,ethereal介绍 ethereal的协议分析方法 ethereal数据捕获特点,4.1 ethereal介绍,ethereal是一个网络探测器，它运行在windows，linux、solaris等各种平台，它主要是针对tcp/ip协议的不安全性对运行该协议的机器进行监听。对于网络管理员来说，它既可以通过对现有tcp/ip协议以及其他网络协议作分析，来做出安全策略，也可以通过捕包分析，来确定一些异常的流量和局域网内部的非正常用户与外界的通信 。 ethereal是一个开放源码的网络分析系统。因此，大量的开源支持者为ethereal添加了很多新的协议解析器。,4.2 ethereal的协议分析方法,1. osi协议封装顺序； 2. 双层次化的数据包协议分析方法，即协议分析和协议还原； 3. ethereal系统采用协议树的方式对捕获报文进行过滤和分析； 4.ethereal的插件技术,4.3 ethereal 数据捕获平台,ethereal捕获数据过程,capture_start,捕包程序,主程序,pipe 通道,fail y/n,create,y,save_data & create list,n,传给分析模块,五.验证ipsec加密及认证,拓扑图如下所示：,对server/client分别进行ipsec设置 双方必须采用完全一致的协商方案 （eg. sha_1 & des） 要为双方提供完全一致的预共享密钥,ethereal捕获的加密登录信息,由于验证实验采用的是esp的方案，因此能够利用认证和加密对data达到双重保护。,下面是ethere