浅谈传输层的安全性

《浅谈传输层的安全性》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、收稿日期：2001-10-15；修回日期：2001-10-30作者简介：刘屹（1970.7–2001）,男，民族（汉），籍贯：山东，职称：讲师，Tel.（029）-3344937浅介OSI第三层的安全性刘屹(空军第二飞行学院西安分院网络管理中心，陕西西安)关键词：密钥PGP中图号：TP393-18文献标识码：C在Internet应用编程中，通常使用广义的进程间通信(IPC)机制来与不同层次的安全协议打交道。比较流行的两个IPC编程界面是BSDSockets和传输层界面(TLI)，在Unix系统V命令里可以找到。在Internet中提供安全服务的方法，首先是强

2、化它的IPC界面，如BSDSockets等，具体做法包括双端实体的认证和数据加密密钥的交换等。Netscape通信公司遵循了这个思路，制定了建立在可靠的传输服务(如TCP/IP所提供)基础上的安全套接层协议(SSL)。SSL版本3(SSLv3)于1995年12月制定。它主要包含以下两个协议：SSL记录协议，它涉及应用程序提供的信息的分段、压缩、数据认证和加密。SSLv3提供对数据认证用的MD5和SHA以及数据加密用的R4和DES等的支持，它用来对数据进行认证和加密的密钥可以通过SSL的握手协议来协商。SSL握手协议用来交换版本号、加密算法、(相互)身份认证并

3、交换密钥。SSLv3提供对Deffie-Hellman密钥交换算法、基于RSA的密钥交换机制和另一种实现在Fortezzachip上的密钥交换机制的支持。Netscape通信公司已经向公众推出了SSL的参考实现(称为SSLref)。另一免费的SSL实现叫做SSLeay。SSLref和SSLeay均可给任何TCP/IP应用提供SSL功能。Internet号码分配当局(IANA)已经为具备SSL功能的应用分配了固定端口号，例如，带SSL的HTTP(https)被分配的端口号为443，带SSL的SMTP(ssmtp)被分配的端口号为465，带SSL的NNTP(sn

4、ntp)被分配的端口号为563。微软推出了SSL2的改进版本称为PCT(私人通信技术)。至少从它使用的记录格式来看，SSL和PCT是十分相似的。它们的主要差别是它们在版本号字段的最显著位(TheMostSignificantBit)上的取值有所不同:SSL该位取0，PCT该位取1。这样区分之后，就可以对这两个协议都给以支持。1996年4月，IETF授权一个传输层安全(TLS)工作组着手制定一个传输层安全协议(TLSP)，以便作为标准提案向IESG正式提交。TLSP将会在许多地方酷似SSL。前面已介绍Internet层安全机制的主要优点是它的透明性，即安全服务

5、的提供不能要求应用层做任何改变。这对传输层来说是做不到的。原则上，任何TCP/IP应用，只要应用传输层安全协议，比如SSL或PCT，就必定要进行若干修改以增加相应的功能，并使用不同的IPC界面。于是，传输层安全机制的主要缺点就是要对传输层IPC界面和应用程序两端都进行修改。可是，比起Internet层和应用层的安全机制来，这里的修改还是相当小的。另一个缺点是，基于UDP的通信很难在传输层建立起安全机制。同网络层安全机制相比，传输层安全机制的主要优点是，它提供基于进程对进程的(而不是主机对主机的)安全服务。这一成就，如果再加上应用级的安全服务，就可以再向前跨越

6、一大步了。应用层的安全性必须牢记:网络层(传输层)的安全协议，允许为主机(进程)之间的数据通道增加安全属性。本质上，这意味着真正的(或许再加上机密的)数据通道还是建立在主机(或进程)之间，但却不可能区分在同一通道上传输的一个具体文件的安全性要求。比如说，如果一个主机与另一个主机之间建立起一条安全的IP通道，那么所有在这条通道上传输的IP包就都要自动地被加密。同样，如果一个进程和另一个进程之间通过传输层安全协议建立起了一条安全的数据通道，那么两个进程间传输的所有消息就都要自动地被加密。如果确实想要区分一个具体文件的不同的安全性要求，那就必须借助于应用层的安全性

7、。提供应用层的安全服务，实际上是最灵活的处理单个文件安全性的手段。例如，一个电子邮件系统可能需要对要发出的信件的个别段落实施数据签名。较低层的协议提供的安全功能一般不会知道任何要发出的信件的段落结构，从而不可能知道该对哪一部分进行签名。只有应用层是唯一能够提供这种安全服务的层次。一般来说，在应用层提供安全服务有几种可能的做法，第一种做法大概就是对每个应用(及应用协议)分别进行修改。一些重要的TCP/IP应用已经这样做了。在RFC1421至1424中，IETF规定了私用强化邮件(PEM)来为基于SMTP的电子邮件系统提供安全服务。由于种种理由，Internet

8、业界采纳PEM的步子还是较慢，一个主要的原因是PEM