|
到安全性网关。因此，整个初始IP数据报以及传送中不变的封装IP头部分都得以保护。
2. AH字段
图9 - 5表示了AH的格式和各字段。与所有的IPv6扩展头一样，第一个字段是8位的下一个头字段，它表示后续的扩展头协议。其他字段包括：
(1) 净荷长度。此8位字段指明AH的整个长度，其值以3 2位字为单位，并减去2 。正如初始的定义， AH包含6 4位，其余部分为身份验证数据(参见后续内容)。因此净荷长度字段只指出身份验证数据以32 位字为单位的长度。加入序列号字段(参见后续内容)后，此值等于身份验证数据加上序列号字段的长度。
(2) 保留。净荷长度字段之后的1 6位为将来使用而保留。目前，此1 6位必须全部置为0。
(3) 安全性参数索引( SPI )。此3 2位字段是一个任意数。与目的IP地址和安全性协议一起使用，SPI是AH使用的SA的唯一标识。若SPI值为0，则表示只用于本地而不予传送；值1 ~ 2 5 5被Internet分配号码授权机构( I A N A )保留作将来使用。
(4) 序列号。此3 2位字段是一个必备的计数器，由发送者插入IP头，但不一定由接收者使用。从0开始，每发送一个数据报，该计数器增1，这可用于预防重放攻击。若接收者使用此字段来对抗重放攻击，对于序列号与已收到的数据报相同的数据报，接收者将予以丢弃。这意味着若计数器重新开始循环，即已经接收到23 2个数据报，则必须协商新的SA。否则，一旦计数器重新置位，接收系统将丢弃所有的数据报。 字串4
(5) 身份验证数据。此字段包含完整性检查值( ICV )，这是AH的核心。其内容的长度必须是3 2位的整数倍，为满足这个条件，其中可能包含填充字段。下节将讨论该值的计算。
3. 计算完整性检查值
对于如何计算ICV以及使用什么机制来计算， RFC 1826的描述比较模糊。实际上，术语“完整性检查值”在该文档中并没有出现，而是出现在将要代替RFC 1826的后续草案中。预期适当的身份验证算法将导致ICV的产生。建议的算法包括：
报文身份验证代码( M A C )，然后对其结果用适当的对称加密算法(如D E S )进行加密。
安全散列功能，如M D 5或SHA的更新版SHA - 1。
按照标准的约定，预计AH的任何实现将必须支持M D 5和SHA - 1密钥散列。身份验证数据针对整个IP数据报净荷以及IP头的不变部分或可预测部分来计算。
9.3.2 封装安全性净荷头
ESP头被用于允许IP节点发送和接收净荷经过加密的数据报。更确切一点， ESP头是为了提供几种不同的服务，其中某些服务与AH有所重叠。ESP头提供的服务包括： 字串7
通过加密提供数据报的机密性。
通过使用公共密钥加密对数据来源进行身份验证。
通过由AH提供的序列号机制提供对抗重放服务。
通过使用安全性网关来提供有限的业务流机密性。
ESP头可以和AH结合使用。实际上，如果ESP头不使用身份验证的机制，建议将AH和ESP头一起使用。
1. 语义
ESP头必须跟随在去往目的节点所途经的中间节点需要处理的扩展头之后， ESP头之后的数据都可能被加密。实际上，加密的净荷是作为ESP头的最后一个字段(参见后续内容)。
与AH 类似，ESP既可用于隧道模式，也可用于透明模式。在透明模式中，如果有AH，IP头以及逐跳扩展头、选路扩展头或分段扩展头都在AH之前，其后跟随 ESP头。任何目的地选项头可以在ESP头之前，也可以在ESP头之后，或者ESP头前后都有，而ESP头之后的扩展头将被加密。
在很多方面，仅仅是常规数据报带着加密净荷从源端传送到目的端。某些情况下，适合在透明模式中使用ESP。但是，这种模式使攻击者有可能研究两个节点之间的业务流，留意正在通信的节点、节点之间交换的数据量、交换的时间等。所有这些信息都可能为攻击者提供有助于对通信双方进行攻击的信息。
类似前面描述的AH的情形，使用安全性网关是一种替代方法。安全性网关可以直接与节点连接，也可以链接到另一个安全性网关。单个节点可以在隧道模式中使用ESP，即加密所有出境包，并封装到单独的IP数据报流中，再发送给安全性网关。然后网关解密业务流，并重新将原始IP数据报发往目的地。 字串8
使用隧道模式时， ESP头对整个IP数据报进行封装，并作为IP头的扩展将数据报定向到安全性网关。ESP头与AH的结合也有几种不同方式，例如以隧道方法传送的数据报可能有透明模式的AH。
2. 字段
ESP头与其他扩展头不同。其一，下一个头字段的位置接近ESP头的末端。其二， ESP头之前的扩展头将其下一个头字段值置为5 0，以指明随后是ESP头。ESP头的其余部分将可能包括如下字段：
安全性参数索引( SPI )。与上节提到的AH中的3 2位SPI值相同。通信节点使用该值来指出SA，SA用于确定数据应如何加密。
序列号。3 2位，从0开始，每发送一个数据报，该值加1。如前所述，序列号可用于防御重放攻击，在循环用完所有23 2个值之前，必须建立新的SA。
净荷数据。此字段长度可变，它实际上包含数据报的加密部分以及加密算法需要的补充数据，例如初始化数据。
填充。头的加密部分(净荷)必须在正确的边界终止，因此有时需要填充。
填充长度。此字段指明净荷数据所需要填充的数据量。
下一个头：此字段像其他IPv6扩展头中的字段一样操作，但是它不位于扩展头的开始，而是靠近扩展头末端。
身份验证数据。此字段是一个ICV，它对除身份验证数据本身之外的整个ESP头进行计算。这种身份验证计算是可选的。 字串2
3. 进行封装
预计一个兼容的ESP实现至少要求支持D E S加密和SHA - 1身份验证。它也可以支持其他算法，但支持上述两个算法是最低要求。
字串9
注:本站资源收集均来子互联网,如有侵权请告知,我们将第一时间删除.
|
|
|
|
|
| ：：免费IT讲座：： |
时间：本周六、日 下午14：00
地点：北大青鸟大兴校区
讲座内容：
1、职业规划篇。
2、日常实用技术讲座。
主讲师：
高级金牌讲师
大兴校区电话：69203100
马甸校区电话：82011433
免费订座报名 |
|
| ：：免费讲座报名：： |
|
|
|
当前位置：
