资源描述：
《IPsec IPsec的安全组件和PKI公共密钥基础架构.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、IPsecIPsec的安全组件和PKI公共密钥基础架构IPsec概述什么是IPsecIPsec是IETF的标准,其在网络层使用加密机制实现:IP报文的认证为每一个数据包提供数据完整性的保证对数据进行机密性的保护IPsec由一系列的开放标准组成，用于保护秘密的通信不管是小型的网络还是大型的网络都可以实施IPsec技术IPsecInternetIPsec协议IPsec使用三个主要的协议构建了安全框架:InternetKeyExchange(IKE):为安全框架提供了安全参数协商能力建立认证密钥EncapsulatingSecurityPayload(ESP):为安全框架提
2、供了加密,认证,完整性特性对数据实施保护AuthenticationHeader(AH):仅仅提供了身份认证,完整性保护特性InternetKeyExchangeInternetKeyExchangeIKE能够自动的实现密钥的交换，简化了手工配置的复杂性。同时也解决了IPsec难以扩展的特性。其主要功能:协商SA的安全特性密钥的自动生成易于管理和配置IKE阶段阶段一:认证对等体协商安全安联(安全联盟)两种工作模式:Mainmode和aggressivemode阶段二:协商IPsecSAs/SPIs单一工作模式:快速模式IKE阶段一完成后会产生一个共享密钥,用于阶段二的
3、数据加密使用.ESP和AH协议ESP和AH协议IPsec协议:ESP和AHESP的IP协议号为50AH的IP协议号为51IPsec模式:隧道和传输模式隧道模式会为原始的IP数据包添加额外的IP报头消息的加密依赖于对称式加密算法ESP和AH的报文ESP能够实现对原始的数据包的认证和加密.AH仅仅提供了数据报头的认证能力,其不能够提供加密特性.IPHDRAHIPHDRESPAH认证和完整性AH协议对数据与密钥进行散列运算,将产生的值附加在报文中,对等体仅需要采用相同的方式进行运算并比较,即可确认发送方的身份和报文完整性.ESP协议使用加密提供数据机密性保证使用与AH相同的
4、方法提供了认证和完整性的确认隧道与传输模式隧道模式提供了站点到站点数据传输保护,其能够为inside网络提供穿越公网的能力.传输模式通常使用在双方拥有能够直接通讯IP地址的情况下.认证与完整性使用HASH算法提供认证和完整性MAC通常用于消息的认证和完整性检测.哈希算法被广泛的用于此处,并被称为HMAC机制.通用的哈希算法哈希散列算法为单向算法,即不能根据结果值推算原始数据信息.通常会将产生的结果值称为散列值,指纹或者是“消息摘要”.MD5提供了128-bit输出.SHA-1算法提供了160-bit输出,但在IPsec中仅仅只使用前96位.SHA-1比MD5更具有安全
5、性,但其运算较慢.对称与不对称算法对称与不对称算法对称式算法:加密和解密使用相同的密钥通常用于消息的内容加密例如:DES,3DES,AES不对称式算法:加密和解密使用不同的密钥通常用于数字证书和密钥管理例如:RSA对称与不对称密钥长度SymmetricKeyLengthAsymmetricKeyLength80102411220481283072192768025615,360由于对称式加密和不对称式加密一般用于不同的目的,因此其密钥长度也不相同.两者并不具有可比性.加密算法的安全级别SecurityLevelWorkFactorAlgorithmsWeakO(240
6、)DES,MD5LegacyO(264)RC4,SHA-1BaselineO(280)3DESStandardO(2128)AES-128,SHA-256HighO(2192)AES-192,SHA-384UltraO(2256)AES-256,SHA-512加密算法:DES对称式的加密算法使用56位长度的密钥对64位数据块进行加密DES加密后数据,意味着其可能会有72,057,594,037,927,936种密钥组合.加密算法:3DES对称式的加密算法168-bit密钥长度加密操作大概是DES的3倍时间使用三个不同的56-bit密钥对64-bit数据块实施:加密,加
7、密,加密可能会产生2168=3.7*1050种不同的密钥组合加密算法:AES对称式的加密算法DES和3DES替代者早期被称为“Rijndael”算法其支持128,192,256-bit长度密钥加密算法:RSA基于Diffie-Hellman密钥交换原则公钥用于加密数据同时用于确认数字签名私钥用于解密数据同时用于签署数字签名Diffie-Hellman密钥交换PKI–公共密钥基础架构PKI架构CertificateAuthority证书权威中心PKI系统是以信任为基础通过发布数字证书,并且将用户身份信息绑定到用户公钥证书中方式,确认用户身份.撤销证书需
