网络安全导论 课件 第9、10章 密钥管理、安全通信

第9章密钥管理0WIFI5的密钥1对称密钥的分发2公钥加密体制的密钥管理3秘密分享提要

现代密码体制中，密码算法都是公开的，密码系统的安全性完全依赖于密钥的安全。密钥一旦泄露，敌手便可不费吹灰之力，轻易地把加密数据还原成明文或伪造签名信息。因此，密钥的安全管理在基于密码理论建立的信息安全环境中意义重大。密钥管理的本质和目的就是确保密钥是安全的，防止密钥泄漏。要防止密钥泄漏，就要对密钥的产生、密钥的分发、密钥的储存、密钥的使用和销毁等各个环节进行精心设计。许多标准化组织提出了一些密钥管理技术的标准，如ISO11770-X和IEEE1363。本章我们主要讨论密钥的产生和分发问题，探讨对称体制下共享密钥的建立方法、公钥体制下的公钥管理办法和多人分享密钥问题。提要本章要求学生重点掌握主密钥、会话密钥、数字证书、PKI和秘密分享等概念，理解Diffie-Hellman密钥协商协议和Shamir秘密分享方案。非IT专业学生应练习如何安装和使用数字证书，IT专业学生应尝试编程实现数字证书的创建与分发。

0

WIFI的密钥？你在家使用WIFI加密数据时，你的密钥和你爸的密钥是一样的吗？？财经大学的WIFI安全还是你家的WIFI更安全？Wi-Fi中的数据加密密钥TK

你家：即WPA2-PSK模式下，TK的产生过程为：无线网络密码(PSK)--PMK--PTK–TK。学校：WPA2-Enterprise模式下，TK的产生过程为：802.1X认证协商--PMK--PTK–TK。你家与学校你家Pmk=hash(pskIIssid)学校：pmk=hash(masterkey,snonce,anonce)

你知道两个问题的答案了吗？用对称密码体制进行保密通信时，首先必须有一个共享的秘密密钥.为防止攻击者得到密钥，还必须时常更新密钥。密码系统的强度也依赖于密钥分配技术。1对称密钥分发1、一方产生，然后安全的传给另一方2、两方协商产生；3、通过可信赖第三方的参与产生。第一种办法

在现实生活中是很普遍的。很多机构的内部网络在投入使用时，其初始的对称密钥往往是员工的身份证号码。当然，这种密钥的传送方式的安全性是值得商榷的。物理手段亲自递送、通过挂号信或电子邮件传送密钥等方法也属于这种类型。第2种方法Diffie-Hellman密钥交换是W.Diffie和M.Hellman于1976年提出的第一个公钥密码算法，已在很多商业产品中得以应用。算法的惟一目的是使得两个用户能够安全地交换密钥，得到一个共享的会话密钥，算法本身不能用于加、解密。算法的安全性基于求离散对数的困难性。

Diffie-Hellman密钥交换图1是密钥分配的一个实例。假定两个用户A、B分别与密钥分配中心KDC(keydistributioncenter)有一个共享的主密钥KA和KB，A希望与B建立一个共享的一次性会话密钥，可通过以下几步来完成：第3种方法图1密钥分配实例①A向KDC发出会话密钥请求。表示请求的消息由两个数据项组成，第1项是A和B的身份，第2项是这次业务的惟一识别符N1，称N1为一次性随机数，可以是时戳、计数器或随机数。每次请求所用的N1都应不同，且为防止假冒，应使敌手对N1难以猜测。因此用随机数作为这个识别符最为合适。②KDC为A的请求发出应答。应答是由KA加密的消息，因此只有A才能成功地对这一消息解密，并且A可相信这一消息的确是由KDC发出的。消息中包括A希望得到的两项内容：一次性会话密钥KS；A在①中发出的请求，包括一次性随机数N1，目的是使A将收到的应答与发出的请求相比较，看是否匹配。因此A能验证自己发出的请求在被KDC收到之前，是否被他人篡改。而且A还能根据一次性随机数相信自己收到的应答不是重放的过去的应答。此外，消息中还有B希望得到的两项内容：一次性会话密钥KS；A的身份（例如A的网络地址）IDA。这两项由KB加密，将由A转发给B，以建立A、B之间的连接并用于向B证明A的身份。③A存储会话密钥，并向B转发EKB[KS‖IDA]。因为转发的是由KB加密后的密文，所以转发过程不会被窃听。B收到后，可得会话密钥KS，并从IDA可知另一方是A，而且还从EKB知道KS的确来自KDC。这一步完成后，会话密钥就安全地分配给了A、B。然而还能继续以下两步工作：④B用会话密钥KS加密另一个一次性随机数N2，并将加密结果发送给A。⑤A以f(N2)作为对B的应答，其中f是对N2进行某种变换（例如加1）的函数，并将应答用会话密钥加密后发送给B。这两步可使B相信第③步收到的消息不是一个重放。注意：第③步就已完成密钥分配，第④、⑤两步结合第③步执行的是认证功能。密钥可根据其不同用途分为会话密钥和主密钥两种类型，会话密钥又称为数据加密密钥，主密钥又称为密钥加密密钥。由于密钥的用途不同，因此对密钥的使用方式也希望加以某种控制。如果主密钥泄露了，则相应的会话密钥也将泄露，因此主密钥的安全性应高于会话密钥的安全性。一般在密钥分配中心以及终端系统中主密钥都是物理上安全的，如果把主密钥当作会话密钥注入加密设备，那么其安全性则降低。主密钥与会话密钥会话密钥更换得越频繁，系统的安全性就越高。因为敌手即使获得一个会话密钥，也只能获得很少的密文。但另一方面，会话密钥更换得太频繁，又将延迟用户之间的交换，同时还造成网络负担。所以在决定会话密钥的有效期时，应权衡矛盾的两个方面。主密钥与会话密钥对面向连接的协议，在连接未建立前或断开时，会话密钥的有效期可以很长。而每次建立连接时，都应使用新的会话密钥。如果逻辑连接的时间很长，则应定期更换会话密钥。无连接协议（如面向业务的协议），无法明确地决定更换密钥的频率。为安全起见，用户每进行一次交换，都用新的会话密钥。然而这又失去了无连接协议主要的优势，即对每个业务都有最少的费用和最短的延迟。比较好的方案是在某一固定周期内或对一定数目的业务使用同一会话密钥。公钥加密的一个主要用途是分配单钥密码体制使用的密钥。本节介绍两方面内容：——公钥密码体制所用的公开密钥的分配。——如何用公钥体制来分配单钥体制所需密钥。2公钥加密体制的密钥管理1.公开发布公开发布指用户将自己的公钥发给每一其他用户，或向某一团体广播。例如PGP（prettygoodprivacy）中采用了RSA算法，它的很多用户都是将自己的公钥附加到消息上，然后发送到公开（公共）区域，如因特网邮件列表。2.1公钥的分配特点：方法简单。缺点：一个非常大的缺点，即任何人都可伪造这种公开发布。如果某个用户假装是用户A并以A的名义向另一用户发送或广播自己的公开钥，则在A发现假冒者以前，这一假冒者可解读所有意欲发向A的加密消息，而且假冒者还能用伪造的密钥获得认证。2.公用目录表公用目录表指一个公用的公钥动态目录表，公用目录表的建立、维护以及公钥的分布由某个可信的实体或组织承担，称这个实体或组织为公用目录的管理员。与第1种分配方法相比，这种方法的安全性更高。该方案有以下一些组成部分：①管理员为每个用户都在目录表中建立一个目录，目录中有两个数据项:一是用户名，二是用户的公开钥。②每一用户都亲自或以某种安全的认证通信在管理者那里为自己的公开钥注册。③用户如果由于自己的公开钥用过的次数太多或由于与公开钥相关的秘密钥已被泄露，则可随时用新密钥替换现有的密钥。④管理员定期公布或定期更新目录表。例如，像电话号码本一样公布目录表或在发行量很大的报纸上公布目录表的更新。⑤用户可通过电子手段访问目录表，这时从管理员到用户必须有安全的认证通信。本方案的安全性虽然高于公开发布的安全性，但仍易受攻击。如果敌手成功地获取管理员的秘密钥，就可伪造一个公钥目录表，以后既可假冒任一用户又能监听发往任一用户的消息。而且公用目录表还易受到敌手的窜扰。3.公钥证书分配公钥的另一方法是公钥证书，用户通过公钥证书来互相交换自己的公钥而无须与公钥管理机构联系。公钥证书由证书管理机构CA(certificateauthority)为用户建立，图5证书的产生过程X.509证书格式美国银行数字证书示例因为只有用CA的公钥才能解读证书，接收方从而验证了证书的确是由CA发放的，且也获得了发送方的身份IDA和公开钥PKA。时戳T为接收方保证了收到的证书的新鲜性，用以防止发送方或敌方重放一旧证书。因此时戳可被当作截止日期，证书如果过旧，则被吊销。公钥基础设施PKI

上述数字证书要能在网络环境下广泛使用，必须要解决如下问题：证书颁发机构必须是可信的，其公钥也必须被大家所熟知或能够被查证。必须提供统一的接口，使用户能方便地使用基于数字证书的加密、签名等安全服务。一个证书颁发机构所支持的用户数量是有限的，多个证书颁发机构需要解决相互之间的承认与信任等问题。用户数字证书中公钥所对应私钥有可能被泄露或过期，因而必须要有一套数字证书作废管理办法，避免已经泄露私钥的数字证书再被使用。公钥基础设施PKI

公钥基础设施PKI，即“PublicKeyInfrastructure”，是基于公钥理论和技术解决上述问题的一整套方案。PKI的构建和实施主要围绕认证机构CA、证书和证书库、密钥备份及恢复系统、证书作废处理系统、证书历史档案系统和多PKI间的互操作性来进行。国家网络信任体系建设公开钥分配完成后，用户就可用公钥加密体制进行保密通信。然而由于公钥加密的速度过慢，以此进行保密通信不太合适，但用于分配单钥密码体制的密钥却非常合适。2.2用公钥加密分配单钥密码体制的密钥也称为托管加密，其目的是保证对个人没有绝对的隐私和绝对不可跟踪的匿名性，即在强加密中结合对突发事件的解密能力。其实现手段是把已加密的数据和数据恢复密钥联系起来，数据恢复密钥不必是直接解密的密钥，但由它可得解密密钥。数据恢复密钥由所信任的委托人持有，委托人可以是政府机构、法院或有契约的私人组织。一个密钥可能是在数个这样的委托人中分拆。调查机构或情报机构通过适当的程序，如获得法院证书，从委托人处获得数据恢复密钥。3密钥托管意义：密钥托管加密技术提供了一个备用的解密途径，政府机构在需要时，可通过密钥托管技术解密用户的信息，而用户的密钥若丢失或损坏，也可通过密钥托管技术恢复自己的密钥。所以这个备用的手段不仅对政府有用，而且对用户自己也有用。1993年4月，美国政府为了满足其电信安全、公众安全和国家安全，提出了托管加密标准EES(escrowedencryptionstandard)，该标准所使用的托管加密技术不仅提供了强加密功能，同时也为政府机构提供了实施法律授权下的监听功能。这一技术是通过一个防窜扰的芯片(称为Clipper芯片)来实现的。3.1美国托管加密标准简介它有两个特性：①一个加密算法——Skipjack算法，该算法是由NSA设计的，用于加（解）密用户间通信的消息。该算法已于1998年3月公布。②为法律实施提供“后门”的部分——法律实施存取域LEAF(lawenforcementaccessfield)。通过这个域，法律实施部门可在法律授权下，实现对用户通信的解密。1.Skipjack算法Skipjack算法是一个单钥分组加密算法，密钥长80比特，输入和输出的分组长均为64比特。可使用4种工作模式：电码本模式，密码分组链接模式，64比特输出反馈模式，1、8、16、32或64比特密码反馈模式。算法的内部细节在向公众公开以前，政府邀请了一些局外人士对算法作出评价，并公布了评价结果。评价结果认为算法的强度高于DES，并且未发现陷门。Skipjack的密钥长是80比特，比DES的密钥长24比特，因此通过穷搜索的蛮力攻击比DES多224倍的搜索。所以若假定处理能力的费用每18个月减少一半，那么破译它所需的代价要1.5×24=36年才能减少到今天破译DES的代价。在导弹控制发射、重要场所通行检验等情况下，通常必须由两人或多人同时参与才能生效，这时都需要将秘密分给多人掌管，并且必须有一定人数的掌管秘密的人同时到场才能恢复这一秘密。由此，引入门限方案（thresholdschemes）的一般概念。4秘密分割

4.1秘密分割门限方案定义5.1设秘密s被分成n个部分信息，每一部分信息称为一个子密钥或影子，由一个参与者持有，使得：①由k个或多于k个参与者所持有的部分信息可重构s。②由少于k个参与者所持有的部分信息则无法重构s。则称这种方案为(k,n)秘密分割门限方案，k称为方案的门限值。如果一个参与者或一组未经授权的参与者在猜测秘密s时，并不比局外人猜秘密时有优势，即③由少于k个参与者所持有的部分信息得不到秘密s的任何信息。则称这个方案是完善的，即(k,n)-秘密分割门限方案是完善的。下面介绍最具代表性的两个秘密分割门限方案。Shamir门限方案是基于多项式的Lagrange插值公式的。设{(x1,y1),…,(xk,yk)}是平面上k个点构成的点集，其中xi(i=1,…,k)均不相同，那么在平面上存在一个惟一的k-1次多项式f(x)通过这k个点。若把密钥s取作f(0),n个子密钥取作f(xi)(i=1,2,…,n)，那么利用其中的任意k个子密钥可重构f(x)，从而可得密钥s。4.2Shamir门限方案这种门限方案也可按如下更一般的方式来构造。设GF(q)是一有限域，其中q是一大素数，满足q≥n+1,秘密s是在GF(q)\{0}上均匀选取的一个随机数，表示为s∈RGF(q)\{0}。k-1个系数a1,a2,…,ak-1的选取也满足ai∈RGF(q)

\{0}(i=1,2,…,k-1)。在GF(q)上构造一个k-1次多项式f(x)=a0+a1x+…+ak-1xk-1。n个参与者记为P1,P2,…,Pn,Pi分配到的子密钥为f(i)。如果任意k个参与者要想得到秘密s，可使用{(il,f(il))|l=1,…,k}构造如下的线性方程组：(5.1)因为il(1≤l≤k)均不相同，所以可由Lagrange插值公式构造如下的多项式：从而可得秘密s=f(0)。然而参与者仅需知道f(x)的常数项f(0)而无需知道整个多项式f(x)，所以仅需以下表达式就可求出s：如果k-1个参与者想获得秘密s,他们可构造出由k-1个方程构成的线性方程组,其中有k个未知量。对GF(q)中的任一值s0，可设f(0)=s0，这样可得第k个方程，并由Lagrange插值公式得出f(x)。因此对每一s0∈GF(q)都有一个惟一的多项式满足式（5.1），所以已知k-1个子密钥得不到关于秘密s的任何信息，因此这个方案是完善的。例5.1设k=3,n=5,q=19,s=11，随机选取a1=2,a2=7，得多项式为f(x)=(7x2+2x+11)mod19分别计算 f(1)=(7+2+11)mod19=20mod19=1 f(2)=(28+4+11)mod19=43mod19=5 f(3)=(63+6+11)mod19=80mod19=4 f(4)=(112+8+11)mod19=131mod19=17 f(5)=(175+10+11)mod19=196mod19=6得5个子密钥。如果知道其中的3个子密钥f(2)=5,f(3)=4,f(5)=6，就可按以下方式重构f(x)：所以从而得秘密为s=11。首先选取一大素数q，正整数s，以及n个严格递增的数m1,m2,…,mn,满足①q>s。②(mi,mj)=1(i,j,i≠j)。③(q,mi)=1(i)。④。4.3Asmuth-Bloom门限方案以s作为秘密数据，条件①指出，秘密数据小于q，条件④指出，N/q大于任取的k-1个不同的mi之积。进而，随机选取A，满足0≤A≤[N/q]-1，并公布q和A。求y=s+Aq(由上知y<N)，和yi≡y(modmi)(i=1,…,n)，(mi,yi)即为一个子密钥，集合{(mi,yi)}ni=1即构成了一个(k,n)门限方案。这是因为，当k个参与者（记为i1,i2,…,ik）提供出自己的子密钥时，由{(mij,yij)}kj=1建立方程组根据中国剩余定理可求得y≡y′(modN′)式中因为y<N≤N′，所以y=y′是惟一的，再由y-Aq即得秘密数据s。另一方面，若仅有k-1个参与者提供出自己的子密钥(mi,yi)，则只能求得y″≡y(modN″)，式中。由条件④得N″<N/q,即N/N″>q。由于N/N″>q，(N″,q)=1,故集合{[x]|[x]={x:xmodN″≡y″}}将覆盖所有的模q同余类。或者更简单地说，至少以下整数y″+αN″(0≤α<q)都是y的可能取值。因此无法确定y。例5.2设k=2，n=3，q=7,s=4,m1=9,m2=11,m3=13，则N=m1m2=99>91=7·13=q·m3在之间随机地取A=10，求y=s+Aq=4+10×7=74，y1≡ymodm1≡74mod9≡2，y2≡ymodm2≡74mod11≡8，y3≡ymodm3≡74mod13≡9。{(9,2),(11,8),(13,9)}即构成(2,3)门限方案。若知道{(9,2),(11,8)}，可建立方程组解之得y≡(11×5×2+9×5×8)mod99≡74，所以s=y-Aq=74-10×7=4。1.列出在两个实体之间建立起共享密钥的方法。2、简介Diffie-Hellman密钥交换协议。3.什么是数字证书？简述X.509证书的结构。4.什么是公钥基础设施?5.银行发放的U盾起什么作用？6.你家的wifi还是学校的wifi更安全？思考题

第十章

安全通信（1）本章提要应用安全技术构建网络安全协议并进而采用安全协议进行通信，是保护网络通信安全的客观要求。科研人员针对不同的网络层研制了大量特制的安全协议。在哪个层次上应用哪个协议，要依赖于具体应用的安全目标和协议所能实现的功能。本章提要网络层安全协议簇IPsec使用共享密钥为数据传输提供安全服务。传输层安全协议簇SSL/TLS主要用于保护Web通信。部署SSL/TLS证书是保证网银系统和电子商务网站通信安全的最佳解决方案。。本章要求本章重点是IPsec协议。要求学生掌握IPsec的框架、AH和ESP采用的算法和能够提供的安全服务，理解TLS协议在实现层次和认证方法上与IPsec协议的不同，能够利用IPsec或TLS构建VPN。1网络安全性协议概述通信协议是关于通信如何所达成的一致性规则。网络安全协议是指在计算机网络中使用具有安全功能的通信协议就是把密码技术用于通信。不要想当然地认为我只要在应用层用用一下密码技术就可以了。安全协议概念安全协议：通信各方为保证信息交换安全协商的规则集合。安全协议目标：信息交换安全=站点之间+站点内部安全协议语法：安全交换数据格式+安全交换操作格式安全协议语义：数据项和数据操作的具体含义安全协议时序：数据交换和数据操作先后次序安全协议主要技术：密码技术安全协议分类按功能分类：认证协议+密钥管理协议+防否认协议+信息安全交换协议认证协议：消息认证+源认证+身份认证密钥管理协议：密钥分配+密钥交换+密钥保存+密钥更新+密钥共享防否认协议：数字签名+数字证书+数字指纹信息安全交换协议：例如IPsec、S-MIME、sHTTP郑州轻工业学院计算机与通信TCP/IP协议族分层HTTPSMTPDNSRTPTCPUDP硬件接口网络层链路层运输层应用层………以太网FRATMIGMPARPPARPICMP令牌网物理介质/0层电缆FDDI双绞线双绞线微波无线卫星IPTCP/IP协议族安全架构网络用户物理介质（物理防护与日常检修）设备驱动与接入协议PPTPL2FPPPL2TPIPIPsec(ah)IPsec(esp)TCPssltlsudP应用程序setE-mailpgps/mimepemsnmpiketelnethttpsDNS安全扩展x.509ripv2snmpv3bgp4链路层网际层传输层应用层相关网络安全协议Applicationlayerssh,S/MIME,PGP,httpdigest,TransportlayerSSL,TLS,WTLSNetworklayerIPsecDataLinklayerCHAP,PPTP,L2TP,

WEP(WLAN),A5(GSM),BluetoothPhysicallayerScrambling,Hopping,

QuantumCommunicationsCommunicationlayersSecurityprotocols什么VPN?就是利用上述某个协议，实现在公共网络上构建私人专用网2

IPSec79一、IP安全性概述80IPv4这是目前互联网采用的最基本协议，它向其它运行在网络层或网络层之上的协议提供了数据传送服务。任何类型的数据都能通过这个基本的传送机制得到传输服务，但是IP不提供安全服务，IP数据包可以被伪造、篡改。因此如何保障IP传输的安全性是一个很重要的问题。81

IP安全性概述在当今的Internet中，存在着大量特制的协议，专门用来保障网络各个层次的安全。到底在哪个层次上应用安全措施，要依赖于应用（程序）对安全保密的要求，以及用户自己的一些需要。通常可以在应用层、传输层、网络层和链路层实现网络安全。在网络层实现安全服务具有多方面的优点。多种传送协议和应用程序可共享由网络层提供的密钥管理架构。假如安全服务在较低层实现，那么需要改动的应用程序便要少得多。通过它，我们不必集中在较高的层实现大量安全协议。网络层安全最有用的一项特性是能够构建VPN和内联网(Intranet)。由于VPN和内联网是以子网为基础，而且网络层支持以子网为基础的安全，所以很容易实现VPN和内联网。82在网络层提供安全服务的缺点是很难解决像数据的“不可抵赖”之类的问题。这样的问题最好还是在较高的层解决。若在网络层提供安全服务，很难在一部多用户的机器上实现逐用户的控制。然而，我们可在终端主机上提供相应的机制，实现以用户为基础的安全保障。IP安全机制在网络层提供了安全服务，包括鉴别、机密性和密钥管理。鉴别机制保证收到的分组的真实性，以及确保分组在传输过程中未被修改；机密性机制使得通信节点加密报文以防止窃听；密钥管理机制是处理密钥的安全交换的。IPSec是目前唯一一种能为任何形式的Internet通信提供安全保障的协议。此外，IPSec也允许提供逐个数据流或者逐个连接的安全，所以能实现非常细致的安全控制。IP安全性概述83IPv6availabilityGenerallyavailablewith(new)versionsofmostoperatingsystems.BSD,Linux2.2Solaris8AnoptionwithWindows2000/NTMostrouterscansupportIPV684IPv6DesignIssuesOvercomeIPv4scalingproblemlackofaddressspace.Flexibletransitionmechanism.Newroutingcapabilities.Qualityofservice.Security.Abilitytoaddfeaturesinthefuture.85IPv6ProtocolIPv6中的变化体现在以下五个重要方面：•扩展地址。•简化头格式。•增强对于扩展和选项的支持。•流标记。•身份验证和保密。86IPv6HeadersSimplerheader-fasterprocessingbyrouters.Nooptionalfields-fixedsize(40bytes)Nofragmentationfields.NochecksumSupportformultipleheadersmoreflexiblethansimple“protocol”field.87IPv4HeaderVERSHLFragmentOffsetFragmentLengthServiceDatagramIDFLAGTTLProtocolHeaderChecksumSourceAddressDestinationAddressOptions(ifany)Data1byte1byte1byte1byte4forIPv488IPv6HeaderVERSPRIOHopLimitFlowLabelPayloadLengthNextHeader1byte1byte1byte1byte6forIPv6SourceAddress(128bits-16bytes)Dest.Address(128bits-16bytes)89IPv6HeaderFieldsVERS:6(IPversionnumber)Priority:willbeusedincongestioncontrolFlowLabel:experimental-sendercanlabelasequenceofpacketsasbeinginthesameflow.PayloadLength:numberofbytesineverythingfollowingthe40byteheader,or0foraJumbogram.90IPv6HeaderFieldsNextHeaderissimilartotheIPv4“protocol”field-indicateswhattypeofheaderfollowstheIPv6header.HopLimitissimilartotheIPv4TTLfield(butnowitreallymeanshops,nottime).91ExtensionHeadersRoutingHeader-sourceroutingFragmentationHeader-supportsfragmentationofIPv6datagrams.AuthenticationHeaderEncapsulatingSecurityPayloadHeader92ExtensionHeaders93二、IPsec94RFC2411鉴于对IP层上的安全需求，IPSec工作组制定了目前的IP层的安全协议IPSec，IPSec是一组协议套件，其中包括鉴别首部AH、封装安全载荷ESP、Internet密钥交换IKE协议。IPsec提供的是IP的安全性体系结构，而不是Internet的安全性体系结构。两者的区别很重要：IPsec定义了在IP层使用的安全性服务，对IPv4和IPv6都可用。如果在适当的IPv4选项格式中实现AH和ESP头，IPv4也可以使用这种安全性功能，只是在IPv6中更容易实现。IPsec96IPSec提供的安全服务安全服务AHESP（只加密）ESP（加密并鉴别）访问控制YYY无连接完整性YY数据源鉴别YY拒绝重放YYY保密性YY流量保密YY9798IPsec的工作模式IPSec有两种工作模式：传输模式：传输模式的保护对象是IP载荷，即对运行于IP之上的协议进行保护，采用传输模式时，原IP数据包的报文头之后的数据发生改变，IP报文头不变，只有在要求两个主机的端到端的安全保障时，才能使用传输模式隧道模式：隧道模式的保护对象是整个IP数据包，它将一个数据包用一个新的数据包封装，再加上一个新的IP报文头，通常在数据包的始发点或目的地不是安全终点的情况下需要使用隧道模式。99100隧道模式的IPSec运作的举例隧道模式被用在两端或是一端是安全网关的架构中，例如装有IPSec的路由器或防火墙。使用了隧道模式，防火墙内很多主机不需要安装IPSec也能安全地通信。某网络的主机甲生成一个IP包，目的地址是另一个网中的主机乙。这个包从起始主机被发送到主机甲的网络边缘的安全路由器或防火墙。防火墙把所有出去的包过滤，看看有哪些包需要进行IPSec的处理。如果这个从甲到乙的包需要使用IPSec，防火墙就进行IPSec的处理，并把网包打包，添加外层IP包头。这个外层包头的源地址是防火墙，而目的地址可能是主机乙的网络边缘的防火墙。现在这个包被传送到主机乙的防火墙，中途的路由器只检查外层的IP包头。主机乙网络的防火墙会把外层IP包头除掉，把IP内层发送到主机乙去。101AnIPSecurityScenario102IPsecExampleInternetHead

QuartersSubsidiaryIdefixVPNTunnelVPNTunnelAsterix

4Obelix

8VPNClient/16/1655.66.x.xMajestixTroubadix103三、AH104鉴别首部(AH)鉴别首部是IPSec协议之一，用于为IP提供数据完整性、数据源身份验证和一些可选的、有限的抗重放服务。不能提供保密105AH首部的字段106AH的字段含义●下一个头：表示AH头之后首部的类型。在传输模式下，将是处于保护中的上层协议的值，比如UDP或TCP协议的值。在隧道模式下，其数值4表示IP-in-IP(IPv4)封装；数值41表示IPv6封装。●负载长度：采用32位字为单位的长度减去2来表示。●

SPI字段中包含SPI。该字段和外部IP头的目的地址一起，用于识别对这个包进行身份验证的安全关联。●序列号：一个单向递增计数器。主要为了抵抗重放攻击。●认证数据：是一个可变长度字段，其中包括完整性校验的结果。107108输出处理109输入处理110窗口与重放攻击检测由于IP协议是无连接、不可靠的，不能保证接收某个数据包时组成该消息的所有数据包都已顺序接收，在接受端建立了长度为W的窗口，接收到的数据包必须满足下面全部条件才不会被丢弃:1)接收到的数据包序列号必须是新的，即在窗口中未出现过2)接收到的数据包序列号必须落在窗口内部或窗口右侧3)接收到的数据包能通过鉴别检查如果接收到的数据包落在窗口右侧且通过鉴别检查，窗口就会向前走111112四、ESP113封装安全载荷(ESP)封装安全载荷(ESP)为IP提供保密性和抗重播服务，作为可选的功能，ESP也可提供数据完整性和鉴别服务。1141151)安全参数索引(SPI)是一个任意的32位值，它与目的IP地址和安全协议(ESP)结合，惟一地标识这个数据报的SA。2)序列号(SequenceNumber)包含一个单调递增的计数器值。用于抗重放攻击。3)有效载荷数据(PayloadData)包含ESP要保护的数据1164)填充多种情况需要使用填充字段：●采用的加密算法要求明文是某个数量字节的倍数●利用填充字段来确保结果密文是32位的字右对齐●填充字段可以用于隐藏有效载荷实际长度，支持(部分)信息流机密性。1175)填充长度(PadLength)指明紧接其前的填充字节的个数。6)下一个报文头(NextHeader)标识有效载荷字段中包含的数据类型7)认证数据(AuthenticationData)包含一个完整性校验值(ICV)，ESP分组中该值的计算不包含验证数据本身。验证数据字段是可选的，只有SA选择验证服务才包含验证数据字段。118ESP的工作模式ESP使用方式：传输模式或隧道模式。1)传输模式仅在主机中实现，提供对上层协议的保护，不提供对IP报文头的保护。2)隧道模式下，整个受保护的IP包都封装在一个ESP中，并且还增加一个新的IP报文头。119IPv4分组中ESP传输模式120ESP隧道模式121IPsecTunnelModeusingESPOriginal

IPHeaderTCP

HeaderDataIPv4BeforeapplyingESPIPprotocolnumberforESP:50ESPauthenticationisoptionalbutoftenusedinplaceofAHOriginalIPHeaderisencryptedandthereforehiddenOuter

IPHeaderESP

HeaderIPv4AfterapplyingESPencryptedauthenticatedOriginal

IPHeaderTCP

HeaderDataESP

TrailerESP

AuthEncapsulatingSecurity

Payload(ESP):RFC2406122ESP处理过程(输出)123ESP处理过程(输入)124EncryptionandAuthenticationAlgorithmsEncryption:Three-keytripleDESRC5IDEAThree-keytripleIDEACASTBlowfishAuthentication:HMAC-MD5-96HMAC-SHA-1-96125五、安全关联(SA)126安全关联（securityassociation)在使用AH或ESP之前，先要从源主机到目的主机建立一条网络层的逻辑连接，这个逻辑连接就叫安全关联。!

这样，Ipsec就将传统的Internet无连接的网络层转换为具有逻辑连接的层。127安全关联安全关联是一个单向连接，如果双向通信，则需要建立两个安全关联。一个安全关联由一个三元组组成：安全协议标识符（用来标识使用AH或ESP）此单向连接的目的IP一个32bit的连接标识符,称为安全参数索引SPI(securityparameterindex)对于一个给定的安全关联，每个Ipsec数据报都有一个存放SPI的字段，通过此SA的所有数据报都使用同样的SPI值。128在IPSec的实施方案中，需要维护两个逻辑上的数据库：安全关联数据库SAD,安全策略数据库SPD129当一个系统需要对发送的包使用IPSec实施保护时，它查询数据库中的安全关联，根据其相关内容进行特定处理，然后将安全连接的SPI插入到IPSec报头当对等接收方收到数据包时，就利用SPI和目的IP地址，从网络数据库中查询相对应的安全关联，之后根据安全关联的内容对数据包作相关的安全处理。130SA的管理：创建和删除SA管理既可以手工进行，也可以通过一个Internet标准密钥管理协议来完成，比如IKE。SA的创建分两步进行——先协商SA参数，再用SA更新SADB(安全关联数据库)。安全关联数据库包含了每个SA的参数信息，如AH和ESP的算法和密钥、序列号、协议模式和有效期等。131在IPSec的早期开发及测试过程中，SA管理曾得到广泛的应用手工进行。通信双方都需要离线同意SA的各项参数。132在已经配置好的IPSec环境中，SA的建立可以通过因特网标准密钥管理协议(比如IKE)来完成。如果安全策略要求建立安全、保密的连接，但却找不到相应的SA，IPSec的内核便会自动调用IKE。IKE会与目标主机或者途中的主机/路由器协商具体的SA；SA创建好且加入SADB数据库后，在两个主机间正常流动的数据包便会采用SA参数实现相应的安全服务。133可能有很多方面的理由需要删除SA，例如：存活时间过期；密钥已遭破解；使用SA加密/解密或验证的字节数已超过策略设定的某一个阈值；另一端要求删除这个SA。134安全策略安全策略决定了为一个包提供的安全服务。如确定要保护什么样的数据包，采用何种手段保护数据包。对所有IPSec实施方案来说，它们都会将策略保存在一个数据库中，这个数据库名为SPD(安全策略数据库)。IP包的外出和进入处理都要以安全策略为准。在进入和外出包处理过程中，需要查询SPD，以判断为这个包提供的安全服务有哪些。135IKE是一个使用已知的UDP端口（端口为500）的应用层协议六、InternetKeyExchange

IKE136因特网密钥管理协议前面我们在使用IPSec时都假定一个安全关联已经建立，IPSec并没有提供如何建立该安全关联的机制。实际上，因特网工程任务组(IETF)把整个过程分成了两个部分：IPSec提供了分组级别的安全处理，而因特网密钥管理协议(IKMP)负责协商安全关联。IETF确定IKE作为配置IPSec安全关联的标准协议。137IPSec的密钥管理138小结IPSec/IKE系统处理139主机系统的外出IPSec处理只要IPSec功能激活，任何外出数据包都将受到安全策略数据库(SPD)约束，通过查询该数据库来确定是否需要IPSec处理。如果需要，那么就根据数据包的信息来搜索安全关联数据库(SAD)以找到相匹配的SA。如果不存在相应的SA，那么通常会启动IKE协商，并最终为该数据包建立所需的SA。然后对该数据包进行IPSec处理，并发送出去。140主机系统的外出IPSec处理141主机系统的进入IPSec处理进入处理有别于外出处理，收到IP包后，假如包内根本没有包含IPSec头，那么安全层就会对策略进行检查，判断该如何对这个包进行处理。它会用选择符字段来检索SPD数据库。策略的输出可能是下述三种选择：丢弃、绕过或应用。如果策略的输出是丢弃，那么数据包就会被放弃；如果是应用，但SA没有建立，那就要看系统是否支持按需(on-demand)建立进入SA，如果不支持包同样会被丢弃。否则，就将包传递给下一层，作进一步的处理。142主机系统进入IPSec处理143IPsec–AutomaticKeyManagement

TheInternetKeyExchange(IKE)IKE是目前使用着的最通用的密钥协商协议。

IKE允许两个实体或者多个实体（也就是网络主机或网关）通过一系列消息得到安全通信的会话密钥，IKE交换为通信双方的消息提供认证和（或）加密，并且针对洪流、重播、欺骗等攻击提供不同程度保护。

默认的IPSEC密钥协商方式IKE密钥交换协议当然，在IPSEC实施时也可以使用其它密钥协商协议（如SKIP），但是IKE是所有IPSEC实施时都必须遵循的.

144TheInternetKeyExchange(IKE)IKE的核心就是实现密钥信息的安全交换，建立安全的SA（包括IKESA和IPSECSA）。IKE通过两个阶段的ISAKMP完成通信双方的密钥交换.第一阶段:交换模式是主模式或野蛮模式，结果建立了一个安全的IKESA；

第二阶段:交换采用快速模式，结果建立一个安全的IPSECSA。ISAKMP提供了详细的协议描述和包格式。145IPsec–AutomaticKeyManagement

TheInternetKeyExchange(IKE)NegotiatedParametersAuthenticationMechanism(secretorpublickey,certificates)EncryptionAlgorithm(mode,keylength,initializationvector)HashAlgorithmKeyvaluesandkeylifetimesSArenewalperiod146Exchange(IKE)–MainModeInternetKey主模式交换分为三个步骤，每个步骤由两条消息组成，一共六条消息，最终建立了IKESA。模式协商交换；一次Diffie-Hellman交换和一次nonce交换；身份验证信息交换。其中身份验证信息的交换最为重要，验证方法包括：预共享密钥认证，数字签名认证和公共密钥加密认证三种方法。

147Exchange(IKE)–MainModeInternetKeyIKEusesUDPport500ResponderInitiatorIKE

HeaderDHKey

ExchangeNr43IKE

HeaderDHKey

ExchangeNiIKE

HeaderISAKMPSA

Proposal1IKE

HeaderISAKMPSA

Response25IKE

HeaderencryptedIDiCertiSigiencryptedIKE

Header6IDrCertrSigrIKEQuickMode–3messages148IKEMainModeusingPre-SharedKeysPre-sharedkey

●isworkedintoHash

●ispartoftheIKEsessionkey

ResponderInitiatorIKE

HeaderDHKey

ExchangeNr43IKE

HeaderDHKey

ExchangeNiIKE

HeaderISAKMPSA

Proposal1IKE

HeaderISAKMPSA

Response25IKE

HeaderencryptedIDiHashiencryptedIKE

Header6IDrHashr149IKEAggressiveModeusingPreSharedKeysUnencryptedIKEAggressiveModemessagescarryingcleartextIDscanbeeasilysniffedbyapassiveattacker.Pre-SharedKeyisworkedintoHashr,togetherwithotherknownparameters,sothatanoff-linecrackingattackbecomespossible.ResponderInitiator3HashiIKE

HeaderISAKMPSA

Proposal1DHKey

ExchangeNiIDiIKE

HeaderISAKMPSA

Response2DHKey

ExchangeNrIDrHashr150Man-in-the-MiddleAttackpossible

withIKEAggressiveModeandXAUTHVPNGatewayWLANAccessPointAttackerMan-in-the-MiddleWirelessLANUserVPNClientUsername:Password:bodoaznHu4UmXAUTHWithIKEAggressiveMode,use

One-TimePasswordscheme(e.g.SecureID).1GroupPassword2bodoaznHu4UmXAUTHGroupPassword151IKEPhase2–QuickMode

EstablishorRenewanIPsecSA第一阶段建立了IKESA，便可以开始第二阶段的协商了。第二阶段只有一种模式，即快速模式。快速模式交换不一定要在第一阶段后立刻进行，只要目前存在已经建立好的IKESA便可以了。另外在单独一个IKESA的保护下甚至可以进行多个快速模式交换。快速模式要比主模式简单，它由三条消息组成，可以简单地描述为“请求－响应－验证”.152IKEPhase2–QuickMode

EstablishorRenewanIPsecSAEncryptedQuickModeMessageExchangeAllQuickModenegotiationsareencryptedwithasharedsecretkeyderivedfromaDiffie-Hellmannkey-exchangeplusadditionalparameters.NegotiationofIPsecParameters

Phase2QuickModeestablishesanIPsecSAusingthesecure

channelcreatedbythephase1IKESA.ThespecificconfigurationparametersfortheIPsecconnectionarenegotiated(AH,ESP,authentication/encryptionmethodsandparameters).QuickModecanbeusedrepeatedlytorenewIPSecSAsabouttoexpire.OptionalPerfectForwardSecrecyIfperfectforwardsecrecyisrequired,eachconsecutiveQuickModewilldoafreshDiffie-Hellmannkey-exchange.153Antje

BodoAntje

BodoPerfectForwardSecrecy(PFS)usingDHSession1:July10200209:00DataDataSession2:July11200210:00DataDataIfkeys1getscompromised,thenkeys2isstilltotallysecure!(assumingthata1,b1,a2andb2aretrulyrandom)154IPsecSA–ConfigurationExampleInternetHead

QuartersSubsidiaryIdefixVPNTunnelVPNTunnelAsterix

4Obelix

8VPNClient/16/1655.66.x.xMajestixTroubadix155IPsec–RelevantRFCsIKE

RFC2409ISAKMP

RFC2408Oakley

RFC2412IPsecDOI

RFC2407AH

RFC2402ESP

RFC2406ISAKMPInternetSecurityAssociation

andKeyManagementProtocolIKEInternetKeyExchangeDOIDomainofInterpretationAH

AuthenticationHeaderESP

EncapsulatingSecurityPayloadIPsec

RFC2401156MotivationforanewIKERFCIKEv1isspreadoverthreedocuments(RFCs2407,2408,and2409)Toomanymessages(6inMain/3-4inQuickMode)Toomanyvariants(AH/ESP,transport/tunnel,authenticationmodes)Toocomplex–thereforepotentiallyinsecure(BruceSchneier)CookiesnotrequiredwhennotunderDoSattackNewfeatures:NAT-T,QoS,DeadPeerDetection,etc.IKEv2Protocol<draft–ietf–ipsec–ikev2–17.txt>IPsecSAcanbeestablishedwith2request/responsepairsAdditionalChildSAsrequireonerequest/responsepair,eachIKEv2hasbeenapprovedaproposedstandardinSeptember2004IKEv2willnotbebackwardscompatiblewithIKEv1!!!

IKEv2七、VPN的基本概念

VPN(VirtualPrivateNetwork，虚拟专用网)是近年来随着Internet的广泛应用而迅速发展起来的一种新技术，实现在公用网络上构建私人专用网络。“虚拟”主要是指这种网络是一种逻辑上的网络。

1VPN的系统特性安全保障

虽然实现VPN的技术和模式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。在安全性方面，由于VPN直接构建在公用网上，尽管实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。ExtranetVPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。

VPN的系统特性服务质量保证

VPN网应当为企业数据提供不同等级的服务质量保证(QoS)。不同的用户和业务对服务质量保证的要求差别较大。对于移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部企业网应用则要求网络能提供良好的稳定性；对于其他应用(如视频等)则对网络提出了更明确的要求，如网络时延及误码率等。所有以上网络应用均要求网络根据需要提供不同等级的服务质量。在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。

VPN的系统特性可扩充性和灵活性

VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。

可管理性

从用户角度和运营高角度方面应可方便地进行管理、维护。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝隙地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、使其具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。

降低成本

VPN利用现有的Internet或其他公共网络的基础设施为用户创建安全隧道，不需要专门的租用线路，如DDN和PSTN，这样就节省了专门线路的租金。如果是采用远程拨号进入内部网络，访问内部资源，需要长途话费；而采用VPN技术，只需拨入当地的ISP就可以安全地接入内部网络，这样也节省了线路话费。VPN的原理与协议虽然VPN技术非常复杂，但目前实现VPN的几种主要技术及相关协议都已经非常成熟，并且都有广泛应用，尤其以L2TP、IPSec和

SSL协议应用最广，因此做为本节的主要内容。

实现VPN的隧道技术

为了能够有在公网中形成的企业专用的链路网络，VPN采用了所谓的隧道(Tunneling)技术，模拟点到点连接技术，依靠ISP和其他的网络服务提供商在公网中建立自己专用的“隧道”，让数据包通过隧道传输。网络隧道技术指的是利用一种网络协议传输另一种网络协议，也就是将原始网络信息进行再次封装，并在两个端点之间通过公共互联网络进行路由，从而保证网络信息传输的安全性。它主要利用网络隧道协议来实现这种功能，具体包括第二层隧道协议(用于传输二层网络协议)和第三层隧道协议(用于传输三层网络协议)。

第二层隧道协议是在数据链路层进行的，先把各种网络协议封装到PPP包中，再把整个数据包装入隧道协议中，这种经过两层封装的数据包由第二层协议进行传输。第二层隧道协议有以下几种。(1)PPTP(RFC2637，Point-to-PointTunnelingProtocol)。(2)L2F(RFC2341，Layer2Forwarding)。(3)L2TP(RFC2661，LayerTwoTunnelingProtocol)。

第三层隧道协议是在网络层进行的，把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有以下几种：(1)IPSec(IPSecurity)是目前最常用地VPN解决方案。(2)GRE(RFC2784，GeneralRoutingEncapsulation)。

隧道技术包括了数据封装、传输和解包在内的全过程。封装是构建隧道的基本手段，它使得IP隧道实现了信息隐蔽和抽象。封装器建立封装报头，并将其追加到纯数据包的前面。当封装的数据包到达解包器时，封装报头被转换回纯报头，数据包被传送到目的地。

隧道的封装具有以下特点。(1)源实体和目的实体不知道任何隧道的存在。(2)在隧道的两个端点使用该过程，需要封装器和解包器两个新的实体。(3)封装器和解包器必须相互知晓，但不必知道在它们之间的网络上的任何细节。

169SecurityProtocolsfortheOSIStackApplicationlayerssh,S/MIME,PGP,httpdigestTransportlayerSSL,TLS,WTLSNetworklayerIPsecDataLinklayerCHAP,PPTP,L2TP,

WEP(WLAN),A5(GSM),BluetoothPhysicallayerFrequencyHopping,

QuantumCryptographyCommunicationlayersSecurityprotocolsPPTP协议

点对点隧道协议(Point-to-PointTunnelingProtocol，PPTP)是常用的协议。这主要是因为微软的服务器操作系统占有很大的市场份额。PPTP是点对点协议(Point-to-PointProtocol，PPP)的扩展，而PPP是为在串行线路上进行拨入访问而开发的。PPTP是在1996年被引入因特网工程任务组织(IntenetEngineeringTaskForce，IETF)的，它在WindowsNT4.0中就已完全实现了。PPTP将PPP帧封装成IP数据报。以便在基于IP的互联网上(如因特网，或一个专用的内联网)传输。PPTP协议是一个为中小企业提供的VPN解决方案，但PPTP协议在实现上存在着重大安全隐患。有研究表明，其安全性甚至比PPP还弱，因此不用于需要一定安全保证的通信。如果条件允许，用户最好选择完全替代PPTP的下一代二层协议L2TP。

VirtualPrivateNetworksInternetHead

QuartersSubsidiary„RoadWarrior“VPNTunnelVPNTunnelVPNGateway

4VPNGateway

8VPNClient/16/1655.66.x.xExtranetVPNsInternetPartner

NetworkCustomerVPNTunnelVPNTunnelVPNClientCustomer

AccessPrivate

NetworkPartner

AccessVPNGatewayVPNGatewayNetworkaccessmustbepartitionedandtightlycontrolledFlexibleanddynamicsetupofExtranetVPNconnectionsExtranetVPNspansmultipleadministrativetrustdomainsIntranetVPNsInternetPrivateIntranetWireless

IntranetUserVPNTunnel

/0VPNGateway

/FirewallVPNClientIntranet

ServerWLANAccessPointDMZInterfaceWirelessVPNclientstunnel100%oftheirIPtrafficovertheinsecureairlinkusingthepeernetworksubnetmask/0.3.传输层安全协议简介SSLandTLSSSLwasoriginatedbyNetscapeTLSworkinggroupwasformedwithinIETFFirstversionofTLScanbeviewedasanSSLv3.1SSLArchitecture1)用户和服务器的合法性认证认证用户和服务器的合法性，使得它们能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都有各自的识别号，这些识别号由公开密钥进行编号，为了验证用户是否合法，安全套接层协议要求在握手交换数据时进行数字认证，以此来确保用户的合法性。

2)加密数据以隐藏被传送的数据安全套接层协议所采用的加密技术既有对称密钥技术，也有公开密钥技术。在客户机与服务器进行数据交换之前，交换SSL初始握手信息，在SSL握手信息中采用了各种加密技术对其加密，以保证其机密性和数据的完整性，并且用数