大学网站群建设方案,文化建设的成就,互联网舆情处置公司,招标代理公司加盟合作IPSec的起源 目的 出于安全考虑。 最开始的互联网是明文通信#xff0c;很容易被监听、篡改。添加了如crc一类的校验也不能完全保证数据的安全。 在IP层专门做的安全防护。 为什么是IP层#xff1f;在当时IP层可通信的范围最广、应用最多。 开始也是从MAC层开始#xff0c;后…IPSec的起源 目的 出于安全考虑。 最开始的互联网是明文通信很容易被监听、篡改。添加了如crc一类的校验也不能完全保证数据的安全。 在IP层专门做的安全防护。 为什么是IP层在当时IP层可通信的范围最广、应用最多。 开始也是从MAC层开始后来发现MAC层传输的问题局域网内安全进一步研发IP层安全协议。MAC层安全防护现在也有macsec。但数据传输遵照网络协议通信的话二层数据只能在“局域网”中传播。应用场景少、要求高。 技术分析 从技术完善角度看IPSec遇到了密码学的秘钥分发的方法问题以及网络数据加密问题。 因此IPSec过程分为秘钥协商和隧道加密。 历史-维基百科 从1920-70年代初开始美国高级研究项目局赞助了一系列实验性的ARPANET加密设备起初用于本地ARPANET数据包加密随后又用于TCP/IP数据包加密。从1986年到1991年美国国家安全局在其安全数据网络系统SDN计划下赞助了互联网安全协议的开发包括摩托罗拉在内的各种供应商聚集在一起于1988年生产了一种网络加密设备这项工作于1988年由NIST公开发表其中第3层的安全协议SP3演变为ISO标准的网络层安全协议NLSP。 从1992年到1995年有三个研究小组对IP层加密分别进行了独立研究 1 1992年美国海军研究实验室NRL开始了simpleinternetprotocolplusSIPP项目来研究IP加密协议。 2 1993年实验性软件IP加密协议swIPe是由 JohnIoanndis等人在哥伦比亚大学SunOS和ATT贝尔实验室开始研发。 3 1994年Trusted Information SystemsTIS的科学家徐崇伟Wei Xu在白宫信息高速公路项目的支持下开发了第一代 IPSec 协议它是在4.1BSD内核中编码同时支持x86和SUNOS CPU架构增强了刷卡安全协议并为数据加密标准开发了设备驱动程序。到1994年12月TIS发布了由DARPA赞助的开放源代码的“手铐防火墙”产品集成了3DES硬件加密第一次实现IPSec VPN速度超过T1的商用产品。 在美国国防部高级研究计划局DARPA资助的研究工作下1996年NRL为IPsec开发了IETF标准跟踪规范rfc1825到rfc1827它是在4.4 BSD内核中编码的同时支持x86和SPARC CPU架构。 1992年互联网工程任务组IETF成立了IP安全工作组以规范对IP的公开指定的安全扩展称为IPSec。1995年工作组批准了NRL开发的IPSec标准从RFC-1825到RFC-1827发布NRL在1996年USENIX会议论文集中描述 NRL 的开放源代码IPSec由麻省理工学院在线提供并成为大多数初始商业实现的基础。 历史分析 从历史上看IPSec协议发展伴随网络发展而发展。 关联算法发展和网络发展。是密码学在网络上的应用。 因此模糊定义了IPSec的形态。秘钥协商和隧道加密 设计意图 IPSec被设计用来提供1入口对入口通信安全在此机制下分组通信的安全性由单个节点提供给多台机器甚至可以是整个局域网2端到端分组通信安全由作为端点的计算机完成安全操作。上述的任意一种模式都可以用来构建虚拟专用网VPN而这也是IPSec最主要的用途之一。应该注意的是上述两种操作模式在安全的实现方面有着很大差别。 因特网范围内端到端通信安全的发展比预料的要缓慢其中部分原因是因为其不够普遍或者说不被普遍信任。公钥基础设施能够得以形成DNSSEC最初就是为此产生的一部分是因为许多用户不能充分地认清他们的需求及可用的选项导致其作为内含物强加到卖主的产品中这也必将得到广泛采用另一部分可能归因于网络响应的退化或说预期退化就像兜售信息的充斥而带来的带宽损失一样。 简介 IPSec是IETFInternet Engineering Task Force即国际互联网工程技术小组提出的使用密码学保护IP层通信的安全保密架构 [4]是一个协议簇通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇一些相互关联的协议的集合。 [1] IPSec可以实现以下4项功能:①数据机密性IPSec发送方将包加密后再通过网络发送。② 数据完整性IPSec可以验证IPSec发送方发送的包以确保数据传输时没有被改变。③数据认证IPSec接受方能够鉴别IPsec包的发送起源。此服务依赖数据的完整性。④反重放:IPSec接受方能检查并拒绝重放包。 [4] IPSec主要由以下协议组成 一、认证头AH为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护 二、封装安全载荷ESP提供机密性、数据源认证、无连接完整性、防重放和有限的传输流traffic-flow机密性 三、安全关联SA提供算法和数据包提供AH、ESP操作所需的参数。 四、密钥协议IKE提供对称密码的钥匙的生存和交换。 协议介绍 IPSec协议工作在OSI 模型的第三层使其在单独使用时适于保护基于TCP或UDP的协议如 安全套接子层SSL就不能保护UDP层的通信流。这就意味着与传输层或更高层的协议相比IPSec协议必须处理可靠性和分片的问题这同时也增加了它的复杂性和处理开销。相对而言SSL/TLS依靠更高层的TCPOSI的第四层来管理可靠性和分片。 安全协议 (1)AH(AuthenticationHeader) 协议。 它用来向 IP通信提供数据完整性和身份验证,同时可以提供抗重播服务。 在 IPv6 中协议采用 AH 后, 因为在主机端设置了一个基于算法独立交换的秘密钥匙, 非法潜入的现象可得到有效防止, 秘密钥匙由客户和服务商共同设置。在传送每个数据包时,IPv6 认证根据这个秘密钥匙和数据包产生一个检验项。在数据接收端重新运行该检验项并进行比较,从而保证了对数据包来源的确认以及数据包不被非法修改。 (2)ESP(EncapsulatedSecurityPayload) 协议。 它提供 IP层加密保证和验证数据源以对付网络上的监听。因为 AH虽然可以保护通信免受篡改, 但并不对数据进行变形转换, 数据对于黑客而言仍然是清晰的。为了有效地保证数据传输安全, 在IPv6 中有另外一个报头 ESP,进一步提供数据保密性并防止篡改。 安全联盟 SA 安全联盟 SA,记录每条 IP安全通路的策略和策略参数。安全联盟是 IPSec 的基础, 是通信双方建立的一种协定,决定了用来保护数据包的协议、转码方式、密钥以及密钥有效期等。AH和 ESP都要用到安全联盟,IKE的一个主要功能就是建立和维护安全联盟。 密钥管理协议 密钥管理协议 ISAKMP, 提供共享安全信息。Internet密钥管理协议被定义在应用层,IETF规定了Internet安全协议和互联网安全关联和秘钥管理协议ISAKMP(Internet Security Association and Key Management Protocol) 来实现 IPSec 的密钥管理,为身份认证的 SA 设置以及密钥交换技术
