IPsec与网络安全

IPsec与网络安全一IPsec概述IPSec是一种开放标准的框架结构，通过使用加密的安全服务以确保在Internet协网络上进行保密而安全的通讯。IPSec是安全联网的长期方向。它通过端对端的安全性来提供主动的保护以防止专用网络与Internet的攻击。在通信中，只有发送方和接收方才是唯一必须了解IPSec保护的计算机。IPSec提供了一种能力，以保护工作组、局域网计算机、域客户端和服务器、分支机构、Extranet以及漫游客户端之间的通信。二常见问题IPSec基于端对端的安全模式，在源IP和目标IP地址之间建立信任和安全性。考虑认为IP地址本身没有必要具有标识，但IP地址后面的系统必须有一个通过身份验证程序验证过的标识。只有发送和接收的计算机需要知道通讯是安全的。每台计算机都假定进行通讯的媒体不安全，因此在各自的终端上实施安全设置。通常，两端都需要IPSec配置（称为IPSec策略）来设置选项与安全设置，以允许两个系统对如何保护它们之间的通讯达成协议。IPSec协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构。IPSec规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。三功能及作用目标IPsec提供以下的功能,来让两台计算机之间能够安全的传送信息:1）在开始传送信息之前,双方会相互验证对方的身份2）确认所收到的信息,是否在传送的过程中被截取并篡改过,也就是确认信息的完整性3）将传送的信息加密，两台计算机之间在开始将信息安全地传送出去之前,它们之间必须先协商,以便双方同意如何来交换与保护所传送的信息,这个协商的结果被称为SA(securityassociation,安全关联).如果一台计算机同时与多台计算机利用IPsec来通信,则此计算机必然会有多个SA,因此为了避免混淆,IPSec利用SA内的SPI来判断此SA是与哪一台计算机所协商出来的SA。作用目标：1）保护IP数据包的内容。2）通过数据包筛选及受信任通讯的实施来防御网络攻击。这两个目标都是通过使用基于加密的保护服务、安全协议与动态密钥管理来实现的。这个基础为专用网络计算机、域、站点、远程站点、Extranet和拨号用户之间的通信提供了既有力又灵活的保护。它甚至可以用来阻碍特定通讯类型的接收和发送。四IPSec策略IPSec策略是通过规则来决定哪一种场合才需要IPSec,采用哪一种加密的方式,采用哪一种验证身份方式,如何来确认所收到的信息是否被篡改等.1）IP筛选操作:许可-表示许可双方通信,不需要IPSec；阻止-表示拒绝双方通信；协商安全-表示双方需要协商出一种安全的通信方法；2）完整性和加密-表示信息要加密,要确认收到的信息没有被篡改,要确认信息确实是由所要通信的计算机传来的；仅保持完整性-表示要确认收到的信息没有被篡改,要确认信息确实是由所要通信的计算机传来的,但是信息不需要加密；数据和地址不加密的完整性(AH)-它通过AH(AuthenticationHeader)通信协议来确认收到的信息没有被篡改,确认信息确实是由所要通信的计算机传来的,但是信息不会加密.数据完整性和加密，它通过ESP(Encapsulatingsecurityprotocol)通信协议将数据进行加密,确认收到的数据没有被篡改,确认数据确实是由所要通信的计算机传来的.数据完整性与身份验证所使用的方法是MD5或SHA1,而数据加密所使用的方法为DES或3DES隧道设置:传输模式:表示此计算机在与任何一台计算机通信时,都需要双方来协商使用IPSec,其是IPSec的默认模式.隧道模式:表示此计算机只有跟特定的计算机通信时才需要协商使用IPSec,此模式适合于扮演路由器角色的计算机来使用.连接类型:用来指定此台计算机通过哪一种连接方式来与对方通信时,才需要使用IPSec默认的IPSec策略1）服务器(请求安全):主动的请求使用IPSec,当其他计算机要与您的计算机通信时,或是您的计算机与其他计算机通信时,您的计算机都会请求对方使用IPSec,若对方不支持IPSec,您的计算机还是可以接受以没有IPSec的方式来通信.2）客户端(仅响应):被动的使用IPSec,也就是只有其他计算机要求与您的计算机利用IPSec来通信时,您的计算机才会使用IPSec.3）安全服务器(需要安全):主动要求必须使用IPSec.当其他计算机要与您的计算机通信时,或是您的计算机要跟其他计算机通信时,您的计算机都会要求对方必须使用IPSec,若对方不支持IPSec,则无法通信.五密钥体系1）基于电子证书的公钥认证一个架构良好的公钥体系，在信任状的传递中不造成任何信息外泄，能解决很多安全问题。IPSec与特定的公钥体系相结合，可以提供基于电子证书的认证。2）预置共享密钥认证IPSec也可以使用预置共享密钥进行认证。预共享意味着通信双方必须在IPSec策略设置中就共享的密钥达成一致。之后在安全协商过程中，信息在传输前使用共享密钥加密，接收端使用同样的密钥解密，如果接收方能够解密，即被认为可以通过认证。3）公钥加密IPSec的公钥加密用于身份认证和密钥交换。公钥加密即加解密过程需要两把不同的密钥，一把用来产生数字签名和加密数据，另一把用来验证数字签名和对数据进行解密。4）加密和数据可靠性IPSec使用的数据加密算法是DES--DataEncryptionStandard（数据加密标准）。DES密钥长度为56位，在形式上是一个64位数。DES以64位（8字节）为分组对数据加密，每64位明文，经过16轮置换生成64位密文，其中每字节有1位用于奇偶校验，所以实际有效密钥长度是56位。IPSec还支持3DES算法，3DES可提供更高的安全性，但相应地，计算速度更慢。5）密钥管理IPSec策略使用动态密钥更新法来决定在一次通信中，新密钥产生的频率。动态密钥指在通信过程中，数据流被划分成一个个数据块，每一个数据块都使用不同的密钥加密，这可以保证万一攻击者中途截取了部分通信数据流和相应的密钥后，也不会危及到所有其余的通信信息的安全。IPSec策略允许专家级用户自定义密钥生命周期。如果该值没有设置，则按缺省时间间隔自动生成新密钥。六安全特性1）不可否认性不可否认性可以证实消息发送方是唯一可能的发送者，发送者不能否认发送过消息。不可否认性是采用公钥技术的一个特征，当使用公钥技术时，发送方用私钥产生一个数字签名随消息一起发送，接收方用发送者的公钥来验证数字签名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者才可能产生该数字签名，所以只要数字签名通过验证，发送者就不能否认曾发送过该消息。2）反重播性反重播确保每个IP包的唯一性，保证信息万一被截取复制后，不能再被重新利用、重新传输回目的地址。该特性可以防止攻击者截取破译信息后，再用相同的信息包冒取非法访问权。3）数据完整性防止传输过程中数据被篡改，确保发出数据和接收数据的一致性。IPSec利用Hash函数为每个数据包产生一个加密检查和，接收方在打开包前先计算检查和，若包遭篡改导致检查和不相符，数据包即被丢弃。4）数据可靠性（加密）在传输前，对数据进行加密，可以保证在传输过程中，即使数据包遭截取，信息也无法被读。该特性在IPSec中为可选项，与IPSec策略的具体设置相关。5）认证数据源发送信任状，由接收方验证信任状的合法性，只有通过认证的系统才可以建立通信连接。七IPSec实现网络安全1)使用IPSec实现做网络安全之一禁用端口。2）利用IPSec实现网络安全之二身份验证和加密数据。3）基于IPSec的嵌入式网络安全由于嵌入式自身的设备体积小，资源有限以及功能相对单一的特点，它的网络安全有自身的特点：存储器较小，处理器处理数据能力较差，更容易收到攻击，安全性更脆弱;功能单一，所受到的攻击也是比较单一;存储能力相对较弱，是的一些常驻存储器的病毒较难存在，同时也使得内存消耗的攻击也容易得手;由于各种嵌入式设备功能、设计区别都很大，对某一种设备的攻击对另一种设备就可能变得无效;还有很多的嵌入式设备和上网设备是分离的，大多数网络攻击都能被上网功能过滤掉，这样就使得对嵌入式设备的攻击变得更难。IPSec有两种工作方式：隧道模式和传输模式。在隧道方式中，整个用户的IP数据包被用来计算ESP包头，整个IP包被加密并和ESP包头一起被封装在一个新的IP包内。这样当数据在Internet上传送时，真正的源地址和目的地址被隐藏起来。在传输模式中，只有高层协议(TCP、UDP、ICMP等)及数据进行加密。在这种模式下，源地址、目的地址以及所有IP包头的内容都不加密。VPN具体实现是采用隧道技术，而隧道是通过隧道协议实现的，隧道协议规定了隧道的建立，维护和删除规则以及怎样将企业网的数据封装在隧道中进行传输。隧道协议可分为第二层隧道协议PPTP、L2F、L2TP和第三层隧道协议IPsec等。对于IPSec安全隧道IPSec协议把多种安全技术集合到一起，可以建立一个安全、可靠的隧道。在隧道模式下，整个原数据包被当作有效载荷封装了起来，外面附上新的IP报头。其中内部IP报头（原IP报头）指定最终的信源和信宿地址，而外部IP报头（新IP报头）中包含的常常是做中间处理的安全网关地址。与传输模式不同，在隧道模式中，原IP地址被当作有效载荷的一部分受到IPSec的安全保护，另外，通过对数据加密，还可以将数据包目的地址隐藏起来，这样更有助于保护端对端隧道通信中数据的安全性。ESP隧道模式中签名部分（完整性检查和认证部分）和加密部分分别如图所示。ESP的签名不包括新IP头。设计实现IPSec在网络层提供加密和认证服务，IPSec能够保护所有的IP流量。IPSec的安全策略允许用户更加灵活的安全策略的控制。所以，这里以IPSec为基础，融防火墙技术于一体的，建立在IP层的新的嵌人式系统的安全机制。该机制主要特点如下:①它根据分组报的源、宿地址，端口号及协议类型、标志确定是否允许分组报通过;②根据安全策略的安全规则，对输人、输出的数据施行加/解密、认证、数字签名、完整性校验等安全措施，保证数据传输中的安全;③支持虚拟专用网，支持企业内部网络技术体系VPN。大大提高系统的可扩展性能和系统的安全性能。八结语由于IPSec出色的安全特性。随着IPSec的广泛使用基于网络的嵌入式系统安全性是当今一大研究热点，对该领域的研究既具有很强的理论意义又具备很高的现实意义。嵌入式系统只有在对安全性协议提供很好支持的情况下，才能真正发挥其巨大价值，才能对大型高可靠性服务提供全面支持。