IPv6技术第6章ppt课件.ppt

第6章IPv6安全技术 机械工业出版社ISBN7 111 23468 5 第6章学习内容和要求 本章学习内容及要求要求了解IPv6安全问题的主要内容熟知IPv6中用到的加密机制及其特点熟知IPv6的安全要素掌握IPv6中的IPsec描述 实现和部署方法掌握IPv6中的认证 加密 密钥交换原理 6 1IPv6安全问题 6 1 1IPv6安全问题概述IPv6的安全脆弱性可以分为四类 实现和部署上的漏洞和不足 与IPv6协议有关的设计 算法和软硬件的实现离不开人的工作 非IP层攻击 IPv6的安全仅作用在IP层 其它层出现对IPv6网络的攻击仍然存在 IPv4向IPv6过渡时期的安全脆弱性 IPv4网络和IPv6网络并存的环境以及过渡技术存在安全隐患 IPv6协议特有的脆弱性 例如无状态地址自动配置 ICMPv6和路径MTU发现PMTU 邻居发现协议进行IP地址和MAC地址的解析 移动IPv6中由错误绑定报文引起的拒绝服务攻击等 构成IPv6网络安全面临的新问题 电子信息对网络安全提出特殊要求 一般情况 区分纸质文本的原件和复印件是可能的电子信息是二进制位串 要区分原件和复印件是很困难的 对纸质文本的修改必然会留下一些物理些痕迹 而对内存中或存储设备中的电子信息二进制位串的修改不会留下任何物理痕迹 所有与纸质文本有关的物理证据都来自纸质文本自身的物理特征 例如手写签名 阴文或阳文的公证印章等电子信息只能依靠自身所记录的二进制信息例如数字签名 数字水印等信息来提供这些认证 网络安全的特征 身份可认证性 机密性 完整性 可控性 可审查性 网络安全需要考虑到三个方面 安全攻击 是任何危及网络系统信息安全的活动 安全机制 用来保护网络系统不受截听 阻止安全攻击 恢复受到攻击的系统 安全服务 提供加强网络信息传输安全的服务 利用一种或多种安全机制阻止对网络的攻击 网络安全面临的威胁可以分为四类 截获 interception 从常用的窃听器 到在系统中放置特洛伊木马来控制系统 中断 interruption 中断是让接收者接收不到信息中断攻击主要包括服务中断或者拒绝服务 DoS 篡改 modification 故意修改网络中传输的报文 伪造 fabrication 伪造是无中生有 被动攻击和主动攻击 截获属于被动攻击 其他属于主动攻击 源站 目的站 攻击站 截获 源站 目的站 中断 源站 目的站 攻击站 篡改 源站 目的站 攻击站 伪造 6 1 3基本的安全需求和技术 计算机网络安全服务的内容包括 保密性 Confidentiality 完整性 Integrity 不可抵赖性 Nonrepudiation 可用性 Availability 安全协议设计SPD SecurityProtocolDesign 接入控制AC AccessControl 真实性 信息提供者的身份可以被证实 网络安全加密技术模型 数据加密过程为 在发送端 明文X用加密算法E和加密密钥K处理后得到密文Y EK X 密文在信道上传输到达接收端后 利用解密算法D和解密密钥H解出明文 公式为 DH Y DH EK X X数据加密 解密过程有五个基本成分 网络安全模型及对称密码加密过程 对称密钥密码体制也称为常规密钥密码体制加密密钥与解密密钥是相同的 公钥密码体制 公钥密码体制出现的原因主要是两个一个是用来解决常规密钥密码体制中的密钥分配 keydistribution 问题另一个是解决和实现数字签名 digitalsignature 需要说明的问题 第一种误解是认为从密码分析的角度看 公钥密码比传统密码更安全第二种误解是公钥密码是一种通用的方法第三种误解是传统密码中实现与密钥中心握手是一件很不容易的事情 数字签名和报文鉴别 数字签名可以保证 接收方可以核实发送方对报文的签名 发送方不能抵赖对报文的签名 接收方不能伪造对报文的签名 6 2Internet的安全技术 6 2 1数据包过滤和防火墙防火墙所起的作用是 限制访问者进入一个被严格控制的点 防止进攻者接近受到保护的设备 限制人们离开一个严格控制的点 这样的过滤可在网络层和运输层实施例如检查IP ICMP UDP和TCP协议首部字段的内容也可在应用层实施 防火墙的构成 构成防火墙的主要部分有 路由器 插有两块以上网卡的主机具有两个以上的网络接口一个和内部网络连接另一个和外部网络连接 各种代理服务器主机 子网 6 2 2运输层保护 传输层主要有两个安全协议 安全套接字层SSL SecureSocketsLayer 保密通信技术PCT PrivateCommunicationsTechnology SSL协议层最初是Netscape为了保护web服务器和客户端之间的HTTP会话而设计的而现在几乎所有web软件的供应商和其他客户端 服务器软件 例如telnet和FTP的提供者 都把SSL加入到它们的产品中 6 2 3应用层安全 应用层的安全协议是在特定应用中建立起来的安全防护措施独立与任何通信网络的安全措施新的应用层安全机制包括传输过程中的验证用来保证数据发送方和接收方的真实性以及数据没有在传输过程中发生改变 6 2 4Internet安全的开放性 影响Internet安全的开放性实施的主要原因有 现有的不能协同工作的加密 验证系统和产品过多缺少一种通用的公共密钥基础设施PKI安全服务涉及到的功能层次的划分还处在争论中一个安全框架之下的一个操作系统中的一点细微的改动 可能带来整个安全框架 或它的一部分 的升级一些利用了 嵌入式 安全模块和方法 可能和已经安装的系统安全模型不兼容需要考虑安全环境的一致性问题在IT安全软件和特定的安全配置中也会存在错误和缺陷法律和规则上的不健全和不规范问题 6 3IPv6的安全要素 6 3 1IPsec协议的功能IPsec的目标是提供既可用于IPv4也可用于IPv6的安全性机制 IPsec提供的网络安全功能包括 访问控制无连接的完整性数据源身份认证序列完整性中的抗重播保护有限传输流的保密性IPsec工作在主机 路由器 网关 防火墙等设备或安全位置上 6 3 2IPsec框架 IPsec框架由6个截然不同的要素组成 IP安全体系结构 对网络层上安全需求和机制的一般性描述 封装安全载荷 ESP 专门用于加密的安全要素 在RFC2406文档中定义 身份认证首部 AH 专门用于验证的安全要素 在RFC2402文档中定义 加密算法 对加密和验证所使用的具体密码算法的定义 身份认证算法 对通信伙伴之间的安全策略和安全关联的定义 密钥交换协议 IPsec密钥管理 它是基于更一般的框架之上的密钥管理 IPsec框架组成部分及联系 6 3 3IPsec安全关联SA SA是两个通信实体经协商建立起来的约定决定了用来保护数据包安全的IPsec协议 转码格式 密钥以及密钥的有效存在时间等任何SA实施方案都要构建一个安全关联数据库SAD SA中用到的参数包括 序列号 序列号溢出 抗重播窗口 生命期时间 存活期 模式 隧道目的地 IPsec有两种不同类型的操作模式 传输模式 在传输模式下 SA在两个端系统之间定义传输邻接是指对同一个IP数据报多次以传输模式使用AH或者ESP进行加密 即在同一个IP数据报内同时使用加密和验证服务 隧道模式 隧道模式 2 6 3 4IPsec安全策略 SA的实现涉及到两个安全数据库 安全关联数据库 SAD 安全策略数据库SPD SecurityPolicyDatabase 在IPsec实施中 SA必须有管理依据和规则安全策略数据库SPD规定的策略决定着所有流进系统或从系统流出的IP流量的处理方式所有定义好的SA都保存在一个安全关联数据库 SAD 中通过一个由安全参数索引SPI SecurityParameterIndex IP目的地址和安全协议 AH或ESP 标识符三部分组成的数值来识别 6 3 5IPsec部署 IPsec可以在终端主机之间 网关之间和路由器之间 或者主机与网关和路由器之间进行实施和配置IPsec若同时在终端主机和路由器配置可以针对不同的问题 给网络安全部署带来好处 IPsec的实施有三种方法 将IPsec作为IPv6协议栈的一部分来实现与操作系统OS集成实施 将IPsec作为协议栈中的一块 BITS 来实现这种方法将特殊的IPsec代码插入到网络协议栈中 在网络协议栈的网络层和数据链路层之间实施还有一种方法是将IPsec作为线路的一块 BITW 来实现这种方法使用外部加密硬件来执行安全性处理功能 IPsecVPN部署过程描述 6 3 6IPsec存在的问题 IPsec的最大缺陷是复杂性 IPsec包含了太多的选项和太多的灵活性IPsec是通过专门工作组制定的一个开放标准框架该框架制定的过程中过多顾及到一些国家和大公司的利益 这给IPsec的实现带来一定的困难 目前各种IPsec产品之间的兼容性问题尚有待解决 另外 IPsec的使用会给网络传输性能带来影响 6 4IPv6中的认证 6 4 1认证的内容和方法认证扩展首部每个认证扩展首部都包含着一个固定的协议要素序列报文摘要计算和IPv6认证遵循的规则IPv6认证计算时对IP数据报内容的选取遵循的规则 6 4 2IPv6认证 IPv6认证有两种操作模式 传输模式和隧道模式 它对所有端到端载荷和选中的首部字段进行认证 隧道模式认证首部 6 5IPv6中的加密 6 5 1IPv6中的加密概述在IPv6网络中 通过封装安全载荷 ESP 扩展首部 下一首部值为50 提供在一个IP数据包中传输的所有端到端数据的完整性和机密性每个ESP扩展首部都包含一个固定的协议字段序列ESP是惟一被分割为两个部分的扩展首部 第一部分首部带有有关接收方如何对加密的SA进行正确处理和检查的基本信息 第二部分报尾则带有附加的信息IPv6标准包含了一种密码的算法 采用分组加密链模式的数据加密标准DES CBC 6 5 2IPv6中的加密模式 ESP实现的加密有两种操作模式 传输模式和隧道模式传输模式对所有端到端载荷 包括传输协议首部在内都进行加密如果需要对整个IP数据包进行加密的话 就必须采用隧道模式通过把原始的完全加密的IP数据包封装在一个外部IP数据包中 通过建立一条隧道在外部网络中传输 6 6密钥交换 IKE 协议 6 6 1密钥交换协议概述网络的安全取决于密钥和密钥分配的安全 密钥分发属于密钥管理 密钥管理的内容有 密钥的产生 分配 注入 验证和使用 人们已经提出了以下几种公钥分配方案 公开发布 公开可访问目录 公钥授权 公钥证书 通过设立密钥分配中心KDC KeyDistributionCenter 通过KDC来分配密钥 5种密钥交换模式有 主模式 积极模式 快速模式 信息交换 新组模式交换 6 6 2ISAKMP ISAKMP为处理SA和密钥交换提供了一个一般框架 ISAKMP是由美国国家安全局NSA的研究人员开发的 ISAKMP定义了一套程序和信息包格式用于建立 协商 修改和删除安全关联SA ISAKMP的协议结构 6 6 3密钥交换协议OAKLEY和SKEME OAKLEY密钥交换协议是基于Dime Hellman密钥交换的一种协议它描述了一系列称为模式的密钥交换Internet安全密钥交换机制SKEM SecureKeyExchangeMechanism 描述了一种能够提供匿名 密钥否定和快速密钥刷新的快速密钥交换技术 6 6 4Internet密钥交换 IKE IKE可以被描述为一种协商协议 用于实现在不安全的网络环境中安全地建立或更新密钥 IKE是一个通用的协议 可以为IPsec协商安全关联也可以为SNMPv3 RIPv2 OSPFv2等任何需要保密的网络协议提供协商安全参数IKE利用ISAKMP中定义的数据格式基于OAKLEY和SKEME密钥交换机制来交换密钥和SA信息IKE使用属于ISAKMPSA的属性这些属性都是强制性的 并且必须进行协商 关联和密钥管理标准的关系 6 6 5IPsec与其它技术的联系 IPsec服务的提供也影响着应用层协议中使用的安全元素例如telnet FTP DNS和基于SNMP的网络管理等应用服务可以仅依赖IPsec来获取足够的安全性网络地址转换NAT是在Internet上广泛使用的技术 在IPsec环境下必须谨慎考虑移动性例如漫游和远程访问服务质量QoS对数据丢失有一定的要求采用了IPsec之后 丢弃数据包将被看成是一种违背安全性的行为 1 网络安全的特征有哪些 2