一文带你了解IPsec协议

最新推荐文章于 2024-03-20 18:23:01 发布

相思寄清风

最新推荐文章于 2024-03-20 18:23:01 发布

阅读量5.9k

点赞数

分类专栏：网络协议文章标签：网络

本文链接：https://blog.csdn.net/weixin_45139342/article/details/126170854

版权

网络协议专栏收录该内容

11 篇文章 0 订阅

订阅专栏

文章目录

前言

互联网安全协议（Internet Protocol Security，IPSec）是一个协议包
通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇（一些相互关联的协议的集合）

简介

IPSec是IETF（Internet Engineering Task Force，即国际互联网工程技术小组）提出的使用密码学额保护IP层通信的安全保密架构，是一个协议簇

通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇（一些相互关联的协议的集合）

IPSec可以实现以下4项功能:

①数据机密性：IPSec发送方将包加密后再通过网络发送
② 数据完整性：IPSec可以验证IPSec发送方发送的包，以确保数据传输时没有被改变
③数据认证：IPSec接受方能够鉴别IPsec包的发送起源。此服务依赖数据的完整性
④反重放:IPSec接受方能检查并拒绝重放包

IPSec主要由以下协议组成：

一、认证头（AH），为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护；
二、封装安全载荷（ESP），提供机密性、数据源认证、无连接完整性、防重放和有限的传输流（traffic-flow）机密性；
三、安全关联（SA），提供算法和数据包，提供AH、ESP操作所需的参数。
四、密钥协议（IKE），提供对称密码的钥匙的生存和交换

技术细节

认证头（AH）

认证头（Authentication Header，AH）被用来保证被传输分组的完整性和可靠性
它还保护不受重放攻击
认证头试图保护IP数据报的所有字段，那些在传输IP分组的过程中要发生变化的字段就只能被排除在外
当认证头使用非对称数字签名算法（如RSA）时，可以提供不可否认性（RFC 1826）

字段含义：

字段	含义
下一个头	标识被传送数据所属的协议
载荷长度	认证头包的大小
保留	为将来的应用保留（目前都置为0）
安全参数索引	与IP地址一同用来标识安全参数
串行号	单调递增的数值，用来防止重放攻击
认证数据	包含了认证当前包所必须的数据

封装安全载荷（ESP）
封装安全载荷（Encapsulating Security Payload，ESP）协议对分组提供了源可靠性、完整性和保密性的支持
与AH头不同的是，IP分组头部不被包括在内

安全结构

IPSec协议工作在OSI 模型的第三层，使其在单独使用时适于保护基于TCP或UDP的协议（如安全套接子层（SSL）就不能保护UDP层的通信流）
这就意味着，与传输层或更高层的协议相比，IPSec协议必须处理可靠性和分片的问题
同时也增加了它的复杂性和处理开销
相对而言，SSL/TLS依靠更高层的TCP（OSI的第四层）来管理可靠性和分片

安全协议

(1)AH(AuthenticationHeader) 协议

它用来向 IP通信提供数据完整性和身份验证,同时可以提供抗重播服务

在 IPv6 中协议采用 AH 后, 因为在主机端设置了一个基于算法独立交换的秘密钥匙, 非法潜入的现象可得到有效防止, 秘密钥匙由客户和服务商共同设置
在传送每个数据包时,IPv6 认证根据这个秘密钥匙和数据包产生一个检验项。在数据接收端重新运行该检验项并进行比较,从而保证了对数据包来源的确认以及数据包不被非法修改

(2)ESP(EncapsulatedSecurityPayload) 协议

它提供 IP层加密保证和验证数据源以对付网络上的监听
因为 AH虽然可以保护通信免受篡改, 但并不对数据进行变形转换, 数据对于黑客而言仍然是清晰的
为了有效地保证数据传输安全, 在IPv6 中有另外一个报头 ESP,进一步提供数据保密性并防止篡改

安全联盟 SA

安全联盟 SA,记录每条 IP安全通路的策略和策略参数
安全联盟是 IPSec 的基础, 是通信双方建立的一种协定，决定了用来保护数据包的协议、转码方式、密钥以及密钥有效期等
AH和 ESP都要用到安全联盟,IKE的一个主要功能就是建立和维护安全联盟

密钥管理协议

密钥管理协议 ISAKMP, 提供共享安全信息
Internet密钥管理协议被定义在应用层
ETF规定了Internet安全协议和互联网安全关联和秘钥管理协议
ISAKMP(Internet Security Association and Key Management Protocol) 来实现 IPSec 的密钥管理,为身份认证的 SA 设置以及密钥交换技术

安全特性

IPSec的安全特性主要有：

不可否认性

"不可否认性"可以证实消息发送方是唯一可能的发送者
发送者不能否认发送过消息
"不可否认性"是采用公钥技术的一个特征，当使用公钥技术时，发送方用私钥产生一个数字签名随消息一起发送，接收方用发送者的公钥来验证数字签名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者才可能产生该数字签名
所以只要数字签名通过验证，发送者就不能否认曾发送过该消息
但"不可否认性"不是基于认证的共享密钥技术的特征
因为在基于认证的共享密钥技术中，发送方和接收方掌握相同的密钥

反重播性