網絡安全的普及宣傳研究畢業論文-wenkub

　

【正文】 理：I．生成序列號；II．加密數據包；III．計算ICV：IV．分段。（1）ESP處理對于ESP來說，密文是得到認證的，認證的明文則是未加密的。IANA 分配給 ESP 一個協議數值 50，在 ESP 頭前的協議頭總是在“next head”字段（IPv6）或“協議”（IPv4）字段里包含該值 50。常見的加密算法有DES、3DES、AES 等。計算ICV的算法因IPSec實施的不同而不同，然而為了保證互操作性，AH有2個默認強制執行的認證器：HMACSHA96和HMACMD596。而序列號的主要作用就是用來防止重放數據報。SPI字段：SPI（任意制定的32bit整數值）、源地址或者外部IP頭的目的地址和安全協議（AH或ESP）三者共同構成的一個三元組，來唯一標識這個包的安全關聯SA。AH作為一種IP協議，其在IPv4數據報中的協議字段值為51，表明IP頭之后是AH頭。IPsec 協議中的AH 協議定義了認證的應用方法，提供數據源認證和完整性保證；ESP 協議定義了加密和可選認證的應用方法，提供數據可靠性保證。為了避免耽擱通信，在現有的SA過期之前，必須協商好一個新的SA。SA在創建好且加入SADB后，保密數據包便會在兩個主機間正常地傳輸。根據IPSec的封裝模式同樣也可以將SA分為傳輸模式SA和隧道模式SA，二者的應用機理則根據IPSec的實際實施來決策。SPD中包含一個策略條目的有序列表，通過使用一個或多個選擇符來確定每一個條目。后續將分別對這三種協議進行詳細探討。在實際進行 IP 通信時，可以根據實際安全需求同時使用這兩種協議或選擇使用其中的一種。通常，傳輸模式應用在兩臺主機之間的通訊，或一臺主機和一個安全網關之間的通信，此時加密點等于通信點。（4）防重放（AntiReplay）：IPsec 接收方可檢測并拒絕接收過時或重復的報文。然而IPsec本身并不是一個協議，而是一個協議簇，包含著為之服務的各種協議，以實現IPsec要完成的各個功能。目前Hash算法有：MD5（Message Digest 5）：將任何數據通過計算后輸出128bit長度的Hash值。最后的過程就是先使用公鑰加密算法安全地交換私鑰算法的密鑰，然后再使用私鑰算法對數據進行加密，這樣既保證了私鑰算法的密鑰安全，同時又獲得了數據加密的速度，兩者兼得。AES（Advanced Encryption Standard）AES加密共有三種形式，分為AES 128（128bit長度加密），AES 192（192bit長度加密）以及AES 256（256bit長度加密）；由于AES 256加密長度夠長，安全性夠高，所以推薦使用AES 256。目前，加密算法多種多樣，加密算法分為加密和解密兩個過程：加密是指將明文數據換算成密文數據；解密是對加密的反運算，將密文數據轉變為明文數據。1） Router B 從Tunnel 接口收到IP 報文，檢查目的地址；2） 如果發現目的地是本路由器，則 Router B 剝掉此報文的IP 報頭，交給GRE協議處理（進行檢驗密鑰、檢查校驗和及報文的序列號等）；3）GRE 協議完成相應的處理后，剝掉GRE 報頭，再交由X 協議對此數據報進行后續的轉發處理。 （2）將原始IP數據包封裝進GRE協議，GRE協議稱為封裝協議（Encapsulation Protocol），封裝的包頭IP地址為虛擬直連鏈路兩端的IP地址。其根本功能就是要實現隧道功能，通過隧道連接的兩個遠程網絡就如同直連，GRE在兩個遠程網絡之間模擬出直連鏈路，從而使網絡間達到直連的效果。其中所為混合VPN則是加密VPN和非加密VPN結合的產物[1]。它允許通信載體和其他服務提供商提供遠程撥號接入，其在某些方面和PPTP有些相似。PPTP：Point to Point Tunneling Protocol，即點到點隧道協議，其功能由兩部分構成：訪問集中器PAC和網絡服務器PNS，而PPTP則是在二者之間實現，而且二者之間并不包括其他系統。MPLS 獨立于第二和第三層協議。VPN同實際物理鏈路網絡一樣，其中有時根據需要也要運行某種網絡協議，VPN常用的協議有以下幾種：IPSec協議：IPSec是保護IP協議安全通信的標準，它主要對IP協議分組進行加密和認證，后續章節將對其進行詳細論述，此處不再深入。以上所最終演變出來的虛擬隧道技術所形成的互聯互通的網絡技術，就是今天眾口皆碑的虛擬專用網技術，即VPN技術。同時運營商只將自己的這部分物理鏈路租用給一家網絡，這顯然使得運營商的物理鏈路沒有得到更高的使用效率，浪費運營商的物理網絡資源。面對這樣的難題，一般的區域網絡建設者和使用者，是無法承受得起這么一筆高額費用。于是，人類逐步想了諸多解決辦法。網絡安全解決方案一個較好的網絡安全解決方案應該具備以下基本條件：易于使用和實施、應該使公司能夠在網絡中開發和部署新的應用；應該使公司能以一個安全的方式使用Internet。這些黑客建立和使用很高級的工具攻入網絡或者干擾網絡中正常運行的各種服務。絕大多數的網絡的安全威脅來自于內部，所以在進行網絡安全設計時，必須通過內部措施處理這個問題，以保護重要資源。網絡安全的由來網絡安全可分為三個基本類型：網絡策略定義中的弱點，包括業務和安全策略弱點，而這些策略則是網絡正常運行的先決條件。計算機技術弱點，包括網絡信息運行協議和操作系統等的安全弱點。安全威脅的基本方式分為無組織的和有組織的兩種威脅類型，其中無組織的威脅是指由于缺乏經驗而崇拜黑客的人試圖獲得對網絡的訪問時形成的安全威脅。以上描述了網絡安全威脅的基本組件，談到威脅的分類，則通常通過以下術語進行分類：勘測攻擊：黑客試圖獲得相關網絡的信息，包括網絡拓撲、網絡中的設備、在設備上運行的軟件以及應用到設備上的配置。思科在網絡安全設計方面則有一套安全輪形圖，其中包含四個步驟，即：保護網絡安全、監控網絡安全、測試網絡安全和改進網絡安全。首先，如果不同區域間的計算機內網相互通信，必然會穿越互聯網，這很顯然會將自己的內部局域網在互聯網上公之于眾，必然面臨諸多網絡安全威脅。顯而易見，這種解決上述難題的辦法在當今互聯網世界里是不切合實際的。后來，人們便又逐漸想出很多種辦法來彌補上述的不足，比如遠程撥入，這種網絡互連方法只能滿足那些在流量需求相對比較小、覆蓋范圍比較小的情況，對于覆蓋范圍大、流量需求大的網絡互聯則體現出遠程撥入的弱勢。 2. VPN技術簡介虛擬專用網（VPN）是通過互聯網來臨時建立一個臨時的、安全的網絡連接，是一種穿越互聯網的安全、穩定的虛擬隧道。GRE協議：GRE協議是VPN的第三層隧道協議，后續章節將對其進行詳細論述，此處不再深入。它提供了一種方式，將 IP 地址映射為簡單的具有固定長度的標簽，用于不同的包轉發和包交換技術。其工作原理很簡單：第一步，具有PAC的遠程計算機用戶撥號接入使用PPP的本地ISP的網絡訪問服務器（NAS）；第二步，PAC通過PPP連接建立一條控制信道，并且通過互聯網連接到屬于本地網絡的PNS；第三步，通過控制隧道協商PPTP隧道參數，建立PPTP隧道；第四步，通過PAC與PNS之間的PPTP隧道，從遠程用戶建立進入專用NAS的PPP連接；第五步，完成以上四個步驟之后，一個PPTP VPN就建立起來，進而進行相應的網絡數據通信。L2TP：Layer 2 Tunneling Protocol，即第二層隧道協議，與PPTP和L2F相似，三者只是基于不同的網絡設備和設備生產商基于不同的目的而開發的。以上兩種劃分方式并非沒有關聯，相反則是相互包含，比如加密VPN有IPSec VPN和SSL VPN等，非加密VPN則有非數據嚴格加密的GRE VPN等，混合VPN則如本課題所涉及到的GRE over IPSec VPN和IPSec over GRE VPN，等等。 GRE的主要特性如下：n（1）將原始數據包被包裹在外層協議之內；n（2）GRE需要在原IP報頭之外增加新的IP報頭；n（3）GRE是一種無狀態協議，不提供可靠地流控傳輸機制；n（4） GRE支持IP協議和非IP協議；n（5）GRE支持單播、組播和廣播；n（6）GRE不具備安全加密功能。（3）將整個GRE數據包當作數據，在外層封裝公網IP包頭，也就是隧道的起源和終點，從而路由到隧道終點。 IPSec概述加密學概述加密算法：當不同的遠程網絡通過Internet連接時，網絡之間直接通過私有地址進行互訪只是需求之一，除此之外，還有個非常重要的需求，那就是數據安全。根據在對數據進行解密時使用的密鑰和加密使用的密鑰是否完全相同，可將加密算法分為兩類：對稱加密算法和非對稱加密算法。（2）對稱加密算法（公約加密算法）RSA公鑰加密算法的名字是發明者的人名：Rivest, Shamir and Adleman，該算法的長度位數不定，由人手工定義。HMAC（Hashed Message Authentication Code）：Hash算法的特征在于任何大小的數據通過Hash計算后，得到的Hash值都是固定長度的，所以如果僅僅是根據Hash值，是無法推算出數據內容的，包括將數據內容還原。SHA1（Secure Hash Algorithm 1）：160bit digest，將任何數據通過計算后輸出160bit長度的Hash值。IPsec所提供的主要安全服務有：（1）數據機密性（Confidentiality）：IPsec 發送方在通過網絡傳輸包前對包進行加密。IPSec的封裝模式IPsec 有如下兩種工作模式：（1）隧道（tunnel）模式：用戶的整個IP 數據包被用來計算AH或ESP 頭，AH或ESP 頭以及ESP加密的用戶數據被封裝在一個新的IP 數據包中。，Data為傳輸層數據。AH和ESP 都可以提供認證服務，不過，AH 提供的認證服務要強于ESP。對于IPSec數據流處理而言，有兩個必要的數據庫：安全策略數據庫SPD和安全關聯數據庫SADB。IPSec選擇符包括：目的IP地址、源IP地址、名字、上層協議、源端口和目的端口以及一個數據敏感級別。SA可以創建也可以刪除，可由手工進行創建和刪除操作，也可通過一個Internet標準密鑰管理協議來完成，如IKE。SA的刪除有諸多情況：（1）存活時間過期；（2）密鑰已遭破解；（3）使用SA加密/解密或驗證的字節數已經超過策略設定的某一個閥值；（4）另一端請求刪除相應SA。 AH和ESPIPsec 提供了兩種安全機制：認證和加密。[21][22]AH（Authentication Header，認證頭）AH用于為IP提供無連接的數據完整性、數據源認證和一些有限的（可選的）抗重放服務，但不提供任何加密服務，故而不需要任何加密算法，但需要一個認證器，用于進行后續的認證操作。： AH頭格式下一個頭字段：8bit長度，表示AH頭之后的下一個載荷的類型。序列號：序列號包含一個單向遞增的計數器，是一個32bit的唯一的無符號整數值。AH規范強制發送方發送序列號給接收方，而接收方有權選擇是否使用抗重放特性，這時接收方可以不管數據流中的數據報序列號。ESP（Encapsulating Security Protocol，封裝安全載荷）[23]IPsec 封裝安全負載（IPsec ESP）是 IPsec 體系結構中的一種主要協議，保證為通信中的數據提供機密性和完整性。同時，作為可選項，用戶可以選擇MDSHA1 算法保證報文的完整性和真實性。ESP 包含一個非加密協議頭，后面是加密數據。其間的含義在于對于外出包來說，先進行加密；對于進入的包來說，認證是首先進行的。2）處理進入數據包當接收方收到ESP包后的第一件事就是檢查處理這個包的SA，如果查找失敗，則丟棄此包，并重新審核該事件。III．檢查所找到的SA是否和步驟II找到的策略相匹配，如果匹配失敗，則重復步驟III和IV，直到所有的策略匹配完成或者匹配成功。一般加密處理對CPU和內存的占用很大，如果允許IPSec系統進行不必要的數據包加密/解密，系統很容易受到拒絕服務攻擊，所以需要加密/解密時，只有成功認證數據包后才進行加密和解密。另外IKE定義了它自身的兩種密鑰交換方式。第2階段則利用第1階段的IKE SA來協商建立IPSec 具體的SA。在這種交換中，IKE通信雙方可相互間傳達有關錯誤信息和狀態咨詢，而且一種新的組交換模式可是各方協商如何在它們之中使用一個新的DiffieHellman組（以下簡稱DH組）。在通信雙方第一條信息時，通信各方在向對方發送一部分外部可見的特征外，彼此都會保留一些私密信息，用于認證和保護IKE消息，以及為其他的安全服務衍生出相應的密鑰。對于SKEID的生成，通信各方都要分別提供一個Cookie和Nonce。、由于本課題方案中采用的是預共享密鑰認證方式，所以下面以預共享密鑰認證為例，來講述主模式的體系結構，而其他認證方式的主模式交換體系結構與此類似。消息3和消息4發起者和響應者交換DH公開值和輔助數據，如Nonce，Nonce是計算共享秘密（用來生成加密密鑰和認證密鑰）所必需的。本次交換中通信雙方各自標定自己的身份，并相互交換認證散列摘要，交換過程中，用SKEYID_e進行加密。由于對消息的數量進行了限制，主動模式同時也限制了它的協商能力，而且不會提供身份保護。（4）快速模式在經過階段1建立好IKE SA之后，可用這些IKE SA為其他安全協議生成相應的SA，而這些SA則是通過快速模式交換建立起來的。其中消息的認證時通過相關散列函數進行，來自IKE SA的SKEYID_a的值作為一個密鑰，對快速模式進行相關認證，這樣除了保障了快速模式下數據的完整性之外，還能提供對數據源的身份認證。如果需要PFS，則此消息中必須包含密鑰交換信息。3）消息3消息3是用于對前面的交換進行認證，僅由ISAKMP和散列載荷組成。根據業務的需要，為了更好更