电子商务安全技术第10章安全通信协议与交易协议IP安全

《电子商务安全技术第10章安全通信协议与交易协议IP安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IP安全1Internet安全协议IETF的各个工作小组从不同角度解决互连网安全问题，形成一些RFC和草案：DNSSEC工作组RFC2137、2535、2541研究DNS安全及DNS动态更新WTS(WebTransactionSecurity)工作组建立SHTTP认证、完整性保护；RFC2084SECSH工作组安全ShellIPSEC工作组TLS工作组(SSL协议）2IP安全面临的问题伪造IP包的地址；修改其内容重播以前的包；拦截并查看包的内容如何确保收到的IP数据报：1）来自原先要求的发送方(IP头内的源地址)；2）包含的是发送方当初放在其中的原始数据；3）原始数据在传输中途未被其它人

2、看过。3IPSec协议IP安全是整个TCP/IP安全的基础与核心。它可对上层的各种应用服务提供透明的安全保护。IPv4没有考虑安全性，缺乏对通信双方身份的认证，缺乏对传输数据的保护，并且容易受窃听、IP地址欺骗等攻击。IPSec工作组于1994年成立，1995年8月公布了一系列建议标准：RFC2401：IP安全结构RFC2406：AH；RFC2406：ESPRFC2409：IKERFC2403：HMAC-MD5-96RFC2404:HMAC-SHA-964IPSec概述IPSec可保障主机之间、网络安全网关（如路由器或防火墙）之间或主机与安全网关之间的数据包的安全。由于受IPSec保护的

3、数据报本身不过是另一种形式的IP包，所以完全可以嵌套提供安全服务，同时在主机之间提供像端到端这样的认证，并通过一个隧道，将那些受IPSec保护的数据传送出去（隧道本身也通过IPSec受到安全网关的保护）。5IPSec的协议对IP数据报或上层协议进行保护的方法是使用某种IPSec协议：“封装安全载荷（ESP：EncapsulatingSecurityPayload）”或者“认证头（AH：AuthenticationHeader）”。AH可证明数据的起源地、保障数据的完整性、防止相同数据包的重播。ESP除具有AH的所有能力之外，还可选择保障数据的机密性，以及为数据流提供有限的机密性保障。6I

4、PSec的安全业务AHESP(加密)ESP(加密并认证)访问控制√√√无连接完整性√√数据来源认证√√对重放数据的拒绝√√√保密性√√受限业务流的保密性√√7密钥管理协议IKE密钥管理协议IKE（InternetKeyExchange）用于动态地认证IPSec参与各方的身份、协商安全服务以及生成共享密钥等。IPSec提供的安全服务需要用到共享密钥，它既可用于保障数据的机密性，亦可用于数据完整性（消息认证码MAC），或者同时应用于两者。IPSec的运算速度必须够快，而现有公共密钥技术（如RSA或DSS）的速度均不够快。公共密钥技术仍然限于在密钥交换期间完成一些初始的认证工作。8IPSec协

5、议组成安全关联SA（SecurityAssociation）安全策略数据库SPD(SecurityPolicyDatabase）认证头AH（AuthenticationHead）封装安全载荷ESP(EncapsulationSecurityPayload)IKE（Internet密钥交换）ISAKMP/Oakley（密钥管理协议）ISAKMP：InternetSecurityAssociationandKeyManagementProtocolOakley：是D-H密钥交换协议的改进9结构图10IPSec实施IPSec既可在终端系统上实现，亦可在某种安全网关上实现（如路由器及防火墙）。在

6、主机中实施可以有两种方式：1、与操作系统的集成实施。2、在协议堆栈中的网络层和数据链路层之间实施。11操作系统集成IPSec作为网络层协议，可在网络层实现，由IP层的服务构建IP头。这个模型与其它网络层协议（比如ICMP）的实施等同。应用TCP/UDPIP+IPsec数据链路层12在协议堆栈中实施应用TCP/UDPIPIPsec数据链路层13在主机实施的特点a．保证端到端的安全性b．能够实现所有的IPSEC安全模式c．能够对每个数据流提供安全保障d．在建立IPSEC的过程中，能够维持用户身份的认证。14在路由器中实施如果在路由器中实施，可在网络的一部分中对传输的数据包进行安全保护。例如某

7、公司只打算对传给地理位置分散的那些部门的数据实施保护，而且只在数据流经Internet的时候进行保护，从而构建自己的VPN或者内联网。IPSec实施方案通过对数据包进行“隧道传输”，从而实现了对它们的保护。15IPSec两种不同的使用模式传送模式：保护上层协议；用于两主机之间；隧道模式：保护整个IP数据报；当一方为网关时。原始IP包：IP头+TCP头+数据传送模式：IP头+IPSec头+TCP头+数据隧道模式：新IP头+IPSec头