安全通信协议与交易协议.ppt

《安全通信协议与交易协议.ppt》由会员上传分享，免费在线阅读，更多相关内容在PPT专区-天天文库。

1、华南理工大学电子商务学院本科课程－－电子商务安全与保密大纲第10章安全通信协议与交易协议1本章要点：→IPSec的体系结构→IPSec的传输模式→SSL协议的体系结构→SSL握手协议→SET协议的基本内容→双签名协议→VPN2IPv4的缺陷缺乏对通信双方身份真实性的鉴别能力缺乏对传输数据的完整性和机密性保护的机制由于IP地址可软件配置以及基于源IP地址的鉴别机制，IP层存在：业务流被监听和捕获、IP地址欺骗、信息泄露和数据项篡改等攻击网络层安全性需求：身份鉴别、数据完整性和保密性好处：对于应用层透明弥补IPv4在协议设计时缺乏安全性考虑的不足

2、3IPSec的历史1994年IETF专门成立IP安全协议工作组，来制定和推动一套称为IPsec的IP安全协议标准。1995年8月公布了一系列关于IPSec的建议标准1996年，IETF公布下一代IP的标准IPv6，把鉴别和加密作为必要的特征，IPSec成为其必要的组成部分1999年底，IETF安全工作组完成了IPSec的扩展，在IPSec协议中加上ISAKMP(InternetSecurityAssociationandKeyManagementProtocol)协议，密钥分配协议IKE、Oakley。ISAKMP/IKE/Oakley支持自动

3、建立加密、鉴别信道，以及密钥的自动安全分发和更新。幸运的是，IPv4也可以实现这些安全特性。4IPSec的应用IPSec为在LAN、WAN和Internet上的通讯提供安全性分支办公机构通过Internet互连。(SecureVPN)通过Internet的远程访问。与合作伙伴建立extranet与intranet的互连。增强电子商务安全性IPSec的主要特征是可以支持IP层所有流量的加密和/或鉴别。因此可以增强所有分布式应用的安全性。5.................................IPSec的优点如果在路由器或防火墙上执行了

4、IPSec，它就会为周边的通信提供强有力的安全保障。IPSec在传输层之下，对于应用程序来说是透明的。IPSec对终端用户来说是透明的。如果需要的话，IPSec可以为个体用户提供安全保障，这样做就可以保护企业内部的敏感信息。6........................IPSec体系结构7...IPSec要素IPSec结构：包含了一般概念、安全需求、定义和定义IPSec的技术机制；ESP：覆盖了为了包加密（可选身份验证）与ESP的使用相关的包格式和常规问题；AH：定义了如何使用AH进行数据包鉴别的处理规则，AH首部的格式以及他们提供的服务。

5、加密算法：何种加密算法用于ESP中---算法、密钥大小、程序等。鉴别算法：何种身份鉴别算法用于AH和ESP的鉴别选项中。密钥管理：密钥管理的一组方案，其中IKE（Internet密钥交换协议）是默认的密钥自动交换协议；解释域：彼此相关各部分的标识符及运作参数；策略：决定两个实体之间能否通信，以及如何进行通信。策略的核心由三部分组成：SA、SAD、SPD。SA（安全关联）表示了策略实施的具体细节，包括源／目的地址、应用协议、Spi（安全策略索引）、所用算法／密钥／长度；SAD为进入和外出包处理维持一个活动的SA列表；SPD决定了整个VPN的安全需

6、求。策略部分是唯一尚未成为标准的组件。8IPSec提供的安全服务协议安全服务9传输模式和隧道模式的比较10......鉴别首部（AH）为IP提供数据完整性防止传输过程中对数据包内容的修改。数据源身份验证（鉴别）防止地址欺骗攻击。一些有限的抗重播服务防止消息重放攻击。不保证任何的机密性11传输模式和隧道模式的AH数据包格式12......封装安全载荷（ESP）提供保密性和抗重播服务包括数据包内容的保密性和有限的流量保密性。可选：提供数据完整性和鉴别服务。是一个通用的、易于扩展的安全机制协议定义同具体的算法是分开的。13ESP的加密和鉴别用来加密的

7、算法叫作加密器（cipher）。负责身份鉴别的算法叫鉴别器（authenticator）。每个ESPSA都至少有一个加密器或一个鉴别器。可选的算法包括：三密钥的三重DES；RC5；IDEA；CAST；Blowfish14传输模式和隧道模式的ESP数据包格15安全关联SA安全关联SA是指由IPSec提供安全服务的数据流的发送者到接收者的一个单向逻辑关系，用来表示IPSec如何为SA所承载的数据通信提供安全服务其方式是使用AH或ESP之一，一个SA不能同时使用AH和ESP两种保护措施。SA决定两个主机间通信的安全特征。16安全关联SA一个SA是由三

8、个参数来惟一标识的：安全参数索引SPI：分配给该SA的32位标识符，其位置在AH和ESP的首部，作用是使接收实体在收到数据时能够确定在哪个SA下进行处