31十月20221網絡安全06-安全協議23十月20221網絡安全06-安全協議網絡與信息安全的構成物理安全性設備的物理安全：防火、防盜、防破壞等通信網絡安全性防止入侵和信息泄露系統安全性計算機系統不被入侵和破壞用戶訪問安全性通過身份鑒別和訪問控制，阻止資源被非法用戶訪問數據安全性數據的完整、可用數據保密性信息的加密存儲和傳輸網絡與信息安全的構成物理安全性安全的分層結構和主要技術物理安全層網絡安全層系統安全層用戶安全層應用安全層數據安全層加密訪問控制授權用戶/組管理單機登錄身份認證反病毒風險評估入侵檢測審計分析安全的通信協議VPN防火墻存儲備份安全的分層結構和主要技術物理安全層網絡安全層系統安全層用戶安協議協議是指兩方或多方為完成一項任務所進行的一系列步驟，而每一步必須依次執行，在前一步完成之前，后面的步驟都不能執行協議特點：協議中的每一方都必須了解協議，并且預先知道所要完成的所有步驟；協議中的每一方都必須同意并遵循它；協議必須是清楚的，每一步必須明確定義，并且不會引起誤解；協議必須是完整的，對每種可能的情況必須規定具體的動作；協議協議是指兩方或多方為完成一項任務所進行的一系列步驟，而每網絡協議計算機網絡中多個互連的計算機或網絡設備之間不斷交換數據為使相互通信的兩個計算機或網絡設備高度協調地進行數據交換，每臺計算機或網絡設備就必須在信息內容、格式和傳輸順序等方面遵守事先預定好的規則這些為進行網絡中數據通信而制定的規則、標準或約定就是俗稱的網絡協議網絡協議計算機網絡中多個互連的計算機或網絡設備之間不斷交換數安全協議的必要性隨著計算機網絡技術向整個經濟社會各層次的延伸，人們對Internet、Intranet等的依賴性越來越大任何一種網絡應用和服務的使用程度必將取決于所使用網絡的信息安全有無保障網絡安全已成為現代計算機網絡應用的最大障礙，也是急需解決的難題之一安全協議為網絡中的信息交換提供了強大的安全保護安全協議的必要性隨著計算機網絡技術向整個經濟社會各層次的延伸安全協議的含義在網絡協議中使用加密技術、認證技術等密碼技術以保證信息交換安全的網絡協議具體地說就是建立在密碼體系上的一種互通協議，為需要安全的各方提供一系列的密鑰管理、身份認證及信息完整性等措施以保證通信的安全完成安全協議的含義在網絡協議中使用加密技術、認證技術等密碼技術以安全協議的理解首先是協議標準程序語義、語法規則雙方或多方數據交換安全協議是協議中與安全相關的部分同安全相關的協議安全協議的理解首先是協議安全協議的基石通信技術密碼技術對稱密鑰算法公開密鑰算法密碼技術的應用保密：機密性認證：完整性和真實性相關問題密鑰的分發和交換安全協議的基石通信技術

安全協議的種類根據功能分密鑰安全協議指參與協議的雙方或多方之間建立的通信中的會話密鑰認證協議主要用來在信息交換過程中防止信息的假冒、篡改或否認密鑰交換和認證協議將密鑰技術與認證技術相結合，同時完成信息的加密與認證的功能

安全協議的種類根據功能分安全協議–標準IPSecSSL安全協議–標準IPSecTCP/IP協議棧TCP/IP協議棧協議棧的封裝過程協議棧的封裝過程網絡層安全網絡層安全傳輸層安全傳輸層安全應用層安全應用層安全IPSecIPSecIPSecIPSECIP安全協議。不是一個單獨的協議，而是一組開放協議的總稱，它給出了應用于IP層上網絡數據安全的一整套體系結構，包括網絡安全協議AHESP密鑰管理協議IKE認證和加密算法在IP層解決安全問題，涉及的功能：認證、保密和秘鑰管理IPSecIPSECIPSec工作組IETF：IPSecurityProtocolWorkingGroupArchitectureEncapsulatingSecurityPayload(ESP)AuthenticationHeader(AH)EncryptionAlgorithmAuthenticationAlgorithmKeyManagementDomainofInterpretation(DOI)IPSec工作組IETF：IPSecurityProtoIPSec框架體系結構ESP協議AH協議加密算法認證算法DOI密鑰管理IPSec框架體系結構ESP協議AH協議加密算法認證算法DOIPSec總體結構描述體系結構：包括總體概念，安全需求，定義，以及定義IPSec技術的機制；ESP：使用ESP進行加密的消息格式和一般性問題，以及可選的認證；AH：使用認證消息格式和一般性問題；加密算法：描述將各種不同加密算法用于ESP的文檔；認證算法：描述將各種不同加密算法用于AH以及ESP認證選項的文檔；密鑰管理：描述密鑰管理模式；DOI：其它相關文檔，批準的加密和認證算法標識，以及運行參數等；IPSec總體結構描述體系結構：包括總體概念，安全需求，定義IPSec提供的服務訪問控制數據完整性數據源鑒別重放攻擊保護數據保密性密鑰管理有限通信流保密性AHESP僅加密ESP加密、鑒別訪問控制YYY數據完整性YY數據源鑒別YY重放攻擊保護YYY數據機密性YY流量機密性YY協議服務IPSec提供的服務訪問控制AHESPESP訪問控制YYY數IPSec協議的實現OS集成IPSec集成在操作系統內，作為IP層的一部分具有較高的效率IPSec安全服務與IP層的功能緊密集合在一塊嵌入到現有協議棧IPSec作為插件嵌入到鏈路層和IP層之間較高的靈活性效率受到影響ApplicaitonTCP/UDPIP+IPSecDataLinkApplicaitonTCP/UDPIPIPSecDataLinkIPSec協議的實現OS集成ApplicaitonTCP/UIPSec的部署-1可配置和實施IPSec的端點包括主機、路由器、防火墻等在終端主機上部署IPSec提供端到端的安全保障，保護終端之間的IP分組可以支持逐個數據流的安全保障能夠支持IPSec定義的各種工作模式IPSec的部署-1可配置和實施IPSec的端點包括主機IPSec的部署-2在網絡節點（路由器或防火墻）上實施IPSec對通過公用網的子網間通信提供保護對內部網的用戶透明能同時實現對進入專用網絡的用戶進行身份認證和授權缺點：網絡節點開銷大IPSec的部署-2在網絡節點（路由器或防火墻）上實施IIPSec的工作模式在IPSec中，AH/ESP協議用于保護IP分組對IP分組的保護有兩種方式保護IP分組的凈荷（高層協議的數據）保護整個IP分組保護的方式由工作模式決定傳輸模式：保護IP的上層協議隧道模式：保護整個IP分組IPSec的工作模式在IPSec中，AH/ESP協議用于保護傳輸模式保護上層協議（TCP/UDP…）的數據安全操作（加密和認證）在通信終端上（主機）上進行提供端到端的保護IPTCPPayload原始IP分組IPSec保護的IP分組IPIPSecTCPPayloadProtected傳輸模式保護上層協議（TCP/UDP…）的數據IPTCPPa隧道模式在不安全信道上，保護整個IP分組安全操作在網絡設備上完成安全網關、路由器、防火墻……IPTCPPayload原始IP分組IPSec保護的IP分組IPIPSecIPTCPPayloadProtected通信終端的IP地址隧道終端的IP地址隧道模式在不安全信道上，保護整個IP分組IPTCPPaylo安全關聯SASA：SecurityAssociationSA是IP認證和保密機制中最關鍵的概念。是發送者和接收者兩個IPSec系統間一個簡單的單向邏輯連接，是一組與網絡連接相關聯的安全信息參數集合，用于實現安全策略；如果需要一個對等關系，即雙向安全交換，則需要兩個SA。每個SA通過三個參數來標識安全參數索引SPI(SecurityParametersIndex)目標地址IP安全協議標識：AH還是ESP安全關聯SASA：SecurityAssociationSA的參數-1SecurityParametersIndex(SPI)：安全變量索引。分配給這個SA的一個位串并且只有本地有效。SPI在AH和ESP報頭中出現，以使得接收系統選擇SA并在其下處理一個收到的報文。IP目的地址：目前，只允許單點傳送地址；這是該SA的目標終點的地址，它可以是一個最終用戶系統或一個網絡系統如防火墻或路由器。安全協議標識符：表明是AH還是ESP的SASA的參數-1SecurityParametersISA的參數-2序數計數器：一個32位值用于生成AH或ESP頭中的序數字段；計數器溢出位：一個標志位表明該序數計數器是否溢出，如果是，將生成一個審計事件，并禁止本SA的進一步的包傳送。防回放窗口：用于確定一個入站的AH或ESP包是否是一個回放AH信息：認證算法、密鑰、密鑰生存期、以及與AH一起使用的其它參數ESP信息：加密和認證算法、密鑰、初始值、密鑰生存期、以及ESP一起使用的其它參數SA的生存期：一個時間間隔或字節記數，到時后一個SA必須用一個新的SA替換或終止，以及一個這些活動發生的指示。IPSec協議模式：隧道、運輸、統配符。通路MTU：任何遵從的最大傳送單位和老化變量SA的參數-2序數計數器：一個32位值用于生成AH或ESAH協議AH：AuthenticationHeader為IP包提供數據完整性和鑒別功能利用MAC碼實現鑒別，雙方必須共享一個密鑰鑒別算法由SA指定鑒別的范圍：整個包兩種鑒別模式：傳輸模式：不改變IP地址，插入一個AH隧道模式：生成一個新的IP頭，把AH和原來的整個IP包放到新IP包的載荷數據中AH協議AH：AuthenticationHeaderAH提供的服務數據源認證：HMAC，需要共享密鑰無連接的完整性可選的抗重放攻擊服務不提供保密性AH提供的服務數據源認證：HMAC，需要共享密鑰AH協議安全參數索引SPI：標示與分組通信相關聯的SA序列號SequenceNumber：單調遞增的序列號，用來抵抗重放攻擊鑒別數據AuthenticationData：包含進行數據源鑒別的數據（MAC），又稱為ICV（integritycheckvalue）NextHeaderPayloadlengthReservedSPISequencenumberAuthenticationdataAH頭的長度下一個協議類型AH協議安全參數索引SPI：標示與分組通信相關聯的SANexAH協議的鑒別鑒別數據ICV，用于數據源鑒別缺省：96bits的MAC算法：HMAC-MD5-96，HMAC-SHA-1-96,etcICV的生成方式IP分組頭中傳輸中保持不變的或者接受方可以預測的字段AH頭中除“鑒別數據”以外的所有數據被AH保護的所有數據，如高層協議數據或被AH封裝的IP分組除此以外，所有數據在計算ICV時被清0AH協議的鑒別鑒別數據ICV，用于數據源鑒別AH協議的鑒別范圍–IPv4IPTCPPayloadIPAHTCPPayload原始分組NewIPAHIPTCPPayload隧道模式傳輸模式除IP頭中的可變字段外，都被AH保護除newIP頭中的可變字段外，都被AH保護AH協議的鑒別范圍–IPv4IPTCPPayloadIPESP協議ESP–EncapsulatingSecurityPayload提供更高級別的安全保護訪問控制數據源鑒別數據完整性數據保密性重放保護有限的流量保密ESP支持的加密算法3DES、IDEA、RC5……支持的鑒別算法與AH相同ESP協議ESP–EncapsulatingSecurESP協議安全參數索引SPI：標識與分組通信相關聯的SA序列號SequenceNumber：單調遞增的序列號，用來抵抗重放攻擊凈荷數據：被加密保護填充與填充長度：被加密保護通過填充使得ESP協議段的長度為32bits的整數倍通過填充，隱藏了原始數據的長度，提供了有限的流量保密下一協議擴展頭類型：被保護的數據的協議類型鑒別數據AuthenticationData：包含進行數據源鑒別的數據（MAC），即ICVSPISNPayload(protected)PadPadLengthNextheaderAuthenticationdataESP協議安全參數索引SPI：標識與分組通信相關聯的SASPESP的安全保障–IPv4IPTCPPayloadIPESP-HTCPPayloadESP-TESP-AD原始分組NewIPESP-HIPTCPPayloadESP-TESP-AD隧道模式傳輸模式鑒別保護鑒別保護加密保護加密保護ESP的安全保障–IPv4IPTCPPayloadIPEIPSec的重放保護在每一個安全關聯都維護一個防重放的滑動窗口，大小64，向右側滑動每個IPSec分組都被分配一個序列號在接受方，滿足以下條件的分組才是合法的：分組通過鑒別分組序號是新的，未在滑動窗口中出現過分組序號落在滑動窗口內或右側分組序號落在滑動窗口右側，窗口向右滑動通過這種機制，重放攻擊的分組將被丟棄IPSec的重放保護在每一個安全關聯都維護一個防重放的滑動窗IPSec密鑰管理手工管理自動管理Photuris簡單Internet密鑰管理協議SKIPInternet密鑰交換協議IKEIPSec默認的協議IKEIPSec密鑰管理手工管理IKEAH&ESP安全關聯SA和會話密鑰建立以后的工作過程IKE用于雙向認證、建立共享密鑰和會話關聯SA的協議包括三個部分IKEISAKMPDOIIKEAH&ESPSSLSSLSSL簡介SSL（SecureSocketLayer，安全套接層）協議Netscape公司于1994年最先提出來的被設計成使用TCP來提供一種可靠的端到端的安全服務，是一種基于會話的加密和認證的協議在客戶和服務器之間提供了一個安全的管道為了防止客戶/服務器應用中的監聽、篡改、消息偽造等，SSL提供了服務器認證和可選的客戶端認證通過在兩個實體間建立一個共享的秘密，SSL提供保密性SSL工作在傳輸層（TCP）和應用層之間SSL獨立于應用層協議，高層協議可基于SSL進行透明的傳輸SSL簡介SSL（SecureSocketLayer，安SSL協議的協議層次SSL協議的協議層次SSL協議提供的主要服務加密處理加密數據以防止數據中途被竊取；維護數據的完整性確保數據在傳輸過程中不被改變。認證服務認證用戶（可選）和服務器，確保數據發送到正確的客戶機（可選）和服務器；SSL協議提供的主要服務加密處理SSL的兩個重要概念-1SSL會話（session）一個SSL會話指客戶與服務器之間的聯系會話由SSL握手協議創建，定義了一套安全加密參數，為多個連接所共享握手協議的職責是協調客戶和服務器的狀態，使得雙方在不能精確地并行的情況下，也能工作一致會話狀態會話標識Peer證書：peer的x509證書壓縮方法密碼規范：加密算法；消息摘要算法；有關密碼的一些屬性主密鑰：客戶和服務器共享的主密鑰恢復：用一個標志位表示該會話是否可以初始化一個新的連接。SSL的兩個重要概念-1SSL會話（session）SSL的兩個重要概念-2SSL連接（connection)用于實現特定類型的服務數據的安全傳輸SSL的連接是點對點的關系連接是暫時的，每一個連接和一個會話關聯一個SSL會話可包括多種安全連接連接狀態服務器和客戶端隨機序列服務器端寫摘要協議客戶端寫摘要協議服務器端寫密鑰客戶端寫密鑰初始化向量序列號SSL的兩個重要概念-2SSL連接（connectionSSL安全連接的特性連接具有私有性在初始化連接后，協商密鑰，基于對稱密碼體制對數據進行加密（如DES、RC4等）對端實體鑒別可采用非對稱密碼體制或公開密鑰密碼體制（如RSA、DSS）連接是可靠的消息傳輸使用加密MAC算法進行消息完整性檢查SSL安全連接的特性連接具有私有性SSL安全協議記錄協議修改密碼規程協議告警協議握手協議SSL安全協議記錄協議SSL安全協議的組成SSL不是單個的協議，而是兩層協議SSL記錄協議基于可靠的傳輸層協議，用來封裝高層協議高層協議主要包括SSL握手協議、修改密碼參數協議、報警協議、應用數據協議（如HTTP）等。SSL安全協議的組成SSL不是單個的協議，而是兩層協議SSL記錄協議層的功能為高層協議提供基本的安全服務記錄層封裝各種高層協議

以任意大小的非空塊從高層接收尚未解釋的數據分塊將高層數據分割成SSL明文記錄壓縮和解壓所有記錄采用會話狀態中定義的壓縮算法進行壓縮記錄的保護所有記錄通過會話狀態中定義的加密算法和MAC算法進行保護SSL記錄協議層的功能為高層協議提供基本的安全服務SSL記錄協議的操作過程SSL記錄協議的操作過程SSL記錄首部的組成主要類型：用來說明封裝的數據段的更高層的協議。已定義的內容類型有：修改密碼規程協議、告警協議、握手協議和應用數據；主要版本：指示使用SSL的主要版本號；次要版本：指示使用的次要版本號；壓縮長度：明文數據段以字節為單位的長度（如果使用壓縮就是壓縮數據段）。SSL記錄首部的組成主要類型：用來說明封裝的數據段的更高層的握手協議握手協議在SSL記錄層之上，負責建立當前會話狀態的參數客戶端和服務器相互鑒別對方身份（利用證書）協商安全參數（加密和MAC算法，加密密鑰等）由一系列在客戶和服務器間交換的消息組成每個消息由3個字段組成：消息類型、以字節為單位的消息長度以及這個消息有關的參數內容握手協議握手協議在SSL記錄層之上，負責建立當前會話狀態的參握手協議定義的消息類型-1消息類型說明參數hello_request握手請求，服務器可在任何時候向客戶端發送該消息。若客戶端正在進行握手過程就可忽略該消息。否則客戶端發送cleint_hello消息，啟動握手過程。無client_hello客戶啟動握手請求，該消息時當客戶第一次連接服務器時向服務器發送的第一條消息。該消息中包括了客戶端支持的各種算法。若服務器端不能支持，則本次會話可能失敗。版本、隨機數、會話ID、密文族、壓縮方法server_hello其結構與client_hello消息，該消息是服務器對客戶端client_hello消息的恢復。版本、隨機數、會話ID、密文族、壓縮方法server_certificate服務器提供的證書。如果客戶要求對服務器進行認證，則服務器在發送server_hello消息后，向客戶端發送該消息。證書的類型一般是X.509v3。X．509v3證書鏈server_key_exchange服務器密鑰交換。當服務器不使用證書，或其證書中僅提供簽名而不提供密鑰時，需要使用本消息來交換密鑰。參數、簽名握手協議定義的消息類型-1消息類型說明參數hello_握握手協議定義的消息類型-2消息類型說明參數certificate_request用于服務器向客戶端要求一個客戶證書。類型、授權server_hello_done該消息表明服務器端的握手請求報文已經發送完畢，正在等待客戶端的響應。客戶端在收到該消息時，將檢查服務器提供的證書及其他參數是否是有效、可以接受的。無client_certificate客戶端對服務器certificate_request消息的響應，只有在服務器端要求客戶證書的時候使用。一般該消息是客戶端收到server_hello_done消息后所發送的第一條消息。若客戶端沒有合適的證書，則向服務器端發送no_certificate的告警消息（無證書可能導致握手失敗）X．509v3證書鏈client_key_exchange客戶密鑰交換。當客戶不使用證書，或其證書中僅提供簽名而不提供密鑰時，需要使用本消息來交換密鑰。參數、簽名certificate_verify該消息用于向服務器提供對客戶證書的驗證。簽名finished該消息在“加密規約修改”（ChangeCipherSpec）消息之后發送，以證實握手過程已經成功完成。本消息發送后，發送方開始使用協商的新參數來執行操作。該消息需要在兩個方向上傳送。散列值握手協議定義的消息類型-2消息類型說明參數certifi握手協議過程-1第一階段安全能力的建立(1)客戶→服務器：client_hello(2)服務器→客戶：server_hello第二階段服務器認證和密鑰交換(3)服務器→客戶：server_certificate(4)服務器→客戶：server_key_exchange(5)服務器→客戶：certificate_request(6)服務器→客戶：server_hello_done握手協議過程-1第一階段安全能力的建立握手協議過程-2第三階段客戶認證和密鑰交換(7)客戶→服務器：client_certificate(8)客戶→服務器：client_key_exchange(9)客戶→服務器：certificate_verify第四階段結束階段(10)客戶→服務器：change_cipher_spec(11)客戶→服務器：finished(12)服務器→客戶：change_cipher_spec(13)服務器→客戶：finished握手協議過程-2第三階段客戶認證和密鑰交換修改密碼規程協議位于SSL記錄協議之上僅定義了一個由單個字節“1”構成的消息報文該消息將改變連接所使用的加密規約用途：切換狀態把密碼參數設置為當前狀態。在握手協議后，當安全參數協商一致后，發送此消息，以通知接收方下面的記錄將受到剛達成的密碼規范和密鑰的保護修改密碼規程協議位于SSL記錄協議之上告警協議一種通過SSL記錄協議進行傳輸的特定類型的消息主要作用規定了告警的級別和告警的類型，在SSL協議執行過程中通過告警協議來顯示信息交換過程中所發生的錯誤組成：告警協議一種通過SSL記錄協議進行傳輸的特定類型的消息告警級別級別告警名稱含義1警告表示一個一般警告信息.2致命錯誤表示出現了致命的錯誤,立即終止當前連接,同一會話的其它連接還可繼續,不會再產生其它新的連接.告警級別級別告警名稱含義1警告表示一個一般警告信息.2致命錯告警類型類型告警名稱含義0Close_notify通知接受方，發送方在本連接中不再發送消息.10Unexpected_message收到不適當的消息.20Bad_recode_mac接收到的記錄的MAC有錯誤（致命錯誤）.30Decompression_failure解壓縮失敗（致命錯誤）.40Handshake_failure發送方無法進行的安全參數設置（致命錯誤）.41No_certificate認證中心沒有證書.42Bad_certificate證書已破壞.43Unsupported_certificate不支持接收的證書類型.44Certificate_revoked證書已經撤銷.45Certificate_expired證書過期.46Certificate_unknown在產生證書時有不明問題.47Illegal_parameter握手過程某個字段超出范圍.告警類型類型告警名稱含義0Close_notify通知接受方SSL工作過程發送方的工作過程從上層接收要發送的數據對信息進行分段，成若干記錄使用指定的壓縮算法進行數據壓縮數據（可選）；使用指定的MAC算法生成MAC；使用指定的加密算法進行數據加密；發送數據接收方的工作過程接收數據；使用指定的解密算法解密數據；使用指定的MAC算法校驗MAC；使用壓縮算法對數據解壓縮（在需要時進行）；將記錄進行數據重組；將數據發送給高層。SSL工作過程發送方的工作過程接收方的工作過程SSL協議運行實例-1客戶機使用IE瀏覽器向服務器發送客戶端的SSL版本號、密碼設置、隨機數和需要服務器使用SSL協議與客戶機進行通信的其它信息；IE瀏覽器使用https協議向服務器申請建立SSL會話；服務器向客戶端發送服務器端的SSL版本號、密碼設置、隨機數和客戶端使用SSL協議與服務器通信需要的其它信息。同時服務器端發送它自己的數字證書供客戶認證，如果認為客戶端需要身份認證則要求客戶發送證書，該操作是可選的；客戶端利用服務器發送信息認證服務器的真實身份并取得公開密鑰等，如果服務器不被認證，用戶被告警發生了問題，通知不能建立帶有加密和認證的連接。若服務器能被成功地認證，客戶機將繼續下一步。SSL協議運行實例-1客戶機使用IE瀏覽器向服務器發送客SSL協議運行實例-2客戶機利用數字信封技術為將要進行的會話創建會話預密鑰pre_master_secret，并用服務器的公鑰加密它，然后向服務器發送加密的會話預密鑰；當客戶能被成功認證后，服務器會使用它的私人密鑰解密從客戶端得到的會話預密鑰pre_master_secret，并生成真正的會話密鑰master_secret。同時客戶端也從相同的pre_master_secret開始得到相同的master_secret。會話密鑰master_secret是對稱密鑰用于加密和解密在SSL會話期間交換的信息，并驗證信息的完整性；會話密鑰生成后，客戶端向服務器發送消息，通知服務器以后從客戶端來的消息將用會話密鑰加密，這表明握手的客戶端部分已經完成；SSL協議運行實例-2客戶機利用數字信封技術為將要進行的SSL協議運行實例-3服務器向客戶端發送相同的消息，通知從服務器來的消息將用會話密鑰加密，這表明握手的服務器部分已經完成；SSL會話開始，使用安全通道發送消息，客戶端和服務器使用會話密鑰加密和解密它們彼此發送的數據和驗證數據完整性；當通信完成后，一般情況會話密鑰會被丟棄。SSL協議運行實例-3服務器向客戶端發送相同的消息，通知31十月202268網絡安全06-安全協議23十月20221網絡安全06-安全協議網絡與信息安全的構成物理安全性設備的物理安全：防火、防盜、防破壞等通信網絡安全性防止入侵和信息泄露系統安全性計算機系統不被入侵和破壞用戶訪問安全性通過身份鑒別和訪問控制，阻止資源被非法用戶訪問數據安全性數據的完整、可用數據保密性信息的加密存儲和傳輸網絡與信息安全的構成物理安全性安全的分層結構和主要技術物理安全層網絡安全層系統安全層用戶安全層應用安全層數據安全層加密訪問控制授權用戶/組管理單機登錄身份認證反病毒風險評估入侵檢測審計分析安全的通信協議VPN防火墻存儲備份安全的分層結構和主要技術物理安全層網絡安全層系統安全層用戶安協議協議是指兩方或多方為完成一項任務所進行的一系列步驟，而每一步必須依次執行，在前一步完成之前，后面的步驟都不能執行協議特點：協議中的每一方都必須了解協議，并且預先知道所要完成的所有步驟；協議中的每一方都必須同意并遵循它；協議必須是清楚的，每一步必須明確定義，并且不會引起誤解；協議必須是完整的，對每種可能的情況必須規定具體的動作；協議協議是指兩方或多方為完成一項任務所進行的一系列步驟，而每網絡協議計算機網絡中多個互連的計算機或網絡設備之間不斷交換數據為使相互通信的兩個計算機或網絡設備高度協調地進行數據交換，每臺計算機或網絡設備就必須在信息內容、格式和傳輸順序等方面遵守事先預定好的規則這些為進行網絡中數據通信而制定的規則、標準或約定就是俗稱的網絡協議網絡協議計算機網絡中多個互連的計算機或網絡設備之間不斷交換數安全協議的必要性隨著計算機網絡技術向整個經濟社會各層次的延伸，人們對Internet、Intranet等的依賴性越來越大任何一種網絡應用和服務的使用程度必將取決于所使用網絡的信息安全有無保障網絡安全已成為現代計算機網絡應用的最大障礙，也是急需解決的難題之一安全協議為網絡中的信息交換提供了強大的安全保護安全協議的必要性隨著計算機網絡技術向整個經濟社會各層次的延伸安全協議的含義在網絡協議中使用加密技術、認證技術等密碼技術以保證信息交換安全的網絡協議具體地說就是建立在密碼體系上的一種互通協議，為需要安全的各方提供一系列的密鑰管理、身份認證及信息完整性等措施以保證通信的安全完成安全協議的含義在網絡協議中使用加密技術、認證技術等密碼技術以安全協議的理解首先是協議標準程序語義、語法規則雙方或多方數據交換安全協議是協議中與安全相關的部分同安全相關的協議安全協議的理解首先是協議安全協議的基石通信技術密碼技術對稱密鑰算法公開密鑰算法密碼技術的應用保密：機密性認證：完整性和真實性相關問題密鑰的分發和交換安全協議的基石通信技術

安全協議的種類根據功能分密鑰安全協議指參與協議的雙方或多方之間建立的通信中的會話密鑰認證協議主要用來在信息交換過程中防止信息的假冒、篡改或否認密鑰交換和認證協議將密鑰技術與認證技術相結合，同時完成信息的加密與認證的功能

安全協議的種類根據功能分安全協議–標準IPSecSSL安全協議–標準IPSecTCP/IP協議棧TCP/IP協議棧協議棧的封裝過程協議棧的封裝過程網絡層安全網絡層安全傳輸層安全傳輸層安全應用層安全應用層安全IPSecIPSecIPSecIPSECIP安全協議。不是一個單獨的協議，而是一組開放協議的總稱，它給出了應用于IP層上網絡數據安全的一整套體系結構，包括網絡安全協議AHESP密鑰管理協議IKE認證和加密算法在IP層解決安全問題，涉及的功能：認證、保密和秘鑰管理IPSecIPSECIPSec工作組IETF：IPSecurityProtocolWorkingGroupArchitectureEncapsulatingSecurityPayload(ESP)AuthenticationHeader(AH)EncryptionAlgorithmAuthenticationAlgorithmKeyManagementDomainofInterpretation(DOI)IPSec工作組IETF：IPSecurityProtoIPSec框架體系結構ESP協議AH協議加密算法認證算法DOI密鑰管理IPSec框架體系結構ESP協議AH協議加密算法認證算法DOIPSec總體結構描述體系結構：包括總體概念，安全需求，定義，以及定義IPSec技術的機制；ESP：使用ESP進行加密的消息格式和一般性問題，以及可選的認證；AH：使用認證消息格式和一般性問題；加密算法：描述將各種不同加密算法用于ESP的文檔；認證算法：描述將各種不同加密算法用于AH以及ESP認證選項的文檔；密鑰管理：描述密鑰管理模式；DOI：其它相關文檔，批準的加密和認證算法標識，以及運行參數等；IPSec總體結構描述體系結構：包括總體概念，安全需求，定義IPSec提供的服務訪問控制數據完整性數據源鑒別重放攻擊保護數據保密性密鑰管理有限通信流保密性AHESP僅加密ESP加密、鑒別訪問控制YYY數據完整性YY數據源鑒別YY重放攻擊保護YYY數據機密性YY流量機密性YY協議服務IPSec提供的服務訪問控制AHESPESP訪問控制YYY數IPSec協議的實現OS集成IPSec集成在操作系統內，作為IP層的一部分具有較高的效率IPSec安全服務與IP層的功能緊密集合在一塊嵌入到現有協議棧IPSec作為插件嵌入到鏈路層和IP層之間較高的靈活性效率受到影響ApplicaitonTCP/UDPIP+IPSecDataLinkApplicaitonTCP/UDPIPIPSecDataLinkIPSec協議的實現OS集成ApplicaitonTCP/UIPSec的部署-1可配置和實施IPSec的端點包括主機、路由器、防火墻等在終端主機上部署IPSec提供端到端的安全保障，保護終端之間的IP分組可以支持逐個數據流的安全保障能夠支持IPSec定義的各種工作模式IPSec的部署-1可配置和實施IPSec的端點包括主機IPSec的部署-2在網絡節點（路由器或防火墻）上實施IPSec對通過公用網的子網間通信提供保護對內部網的用戶透明能同時實現對進入專用網絡的用戶進行身份認證和授權缺點：網絡節點開銷大IPSec的部署-2在網絡節點（路由器或防火墻）上實施IIPSec的工作模式在IPSec中，AH/ESP協議用于保護IP分組對IP分組的保護有兩種方式保護IP分組的凈荷（高層協議的數據）保護整個IP分組保護的方式由工作模式決定傳輸模式：保護IP的上層協議隧道模式：保護整個IP分組IPSec的工作模式在IPSec中，AH/ESP協議用于保護傳輸模式保護上層協議（TCP/UDP…）的數據安全操作（加密和認證）在通信終端上（主機）上進行提供端到端的保護IPTCPPayload原始IP分組IPSec保護的IP分組IPIPSecTCPPayloadProtected傳輸模式保護上層協議（TCP/UDP…）的數據IPTCPPa隧道模式在不安全信道上，保護整個IP分組安全操作在網絡設備上完成安全網關、路由器、防火墻……IPTCPPayload原始IP分組IPSec保護的IP分組IPIPSecIPTCPPayloadProtected通信終端的IP地址隧道終端的IP地址隧道模式在不安全信道上，保護整個IP分組IPTCPPaylo安全關聯SASA：SecurityAssociationSA是IP認證和保密機制中最關鍵的概念。是發送者和接收者兩個IPSec系統間一個簡單的單向邏輯連接，是一組與網絡連接相關聯的安全信息參數集合，用于實現安全策略；如果需要一個對等關系，即雙向安全交換，則需要兩個SA。每個SA通過三個參數來標識安全參數索引SPI(SecurityParametersIndex)目標地址IP安全協議標識：AH還是ESP安全關聯SASA：SecurityAssociationSA的參數-1SecurityParametersIndex(SPI)：安全變量索引。分配給這個SA的一個位串并且只有本地有效。SPI在AH和ESP報頭中出現，以使得接收系統選擇SA并在其下處理一個收到的報文。IP目的地址：目前，只允許單點傳送地址；這是該SA的目標終點的地址，它可以是一個最終用戶系統或一個網絡系統如防火墻或路由器。安全協議標識符：表明是AH還是ESP的SASA的參數-1SecurityParametersISA的參數-2序數計數器：一個32位值用于生成AH或ESP頭中的序數字段；計數器溢出位：一個標志位表明該序數計數器是否溢出，如果是，將生成一個審計事件，并禁止本SA的進一步的包傳送。防回放窗口：用于確定一個入站的AH或ESP包是否是一個回放AH信息：認證算法、密鑰、密鑰生存期、以及與AH一起使用的其它參數ESP信息：加密和認證算法、密鑰、初始值、密鑰生存期、以及ESP一起使用的其它參數SA的生存期：一個時間間隔或字節記數，到時后一個SA必須用一個新的SA替換或終止，以及一個這些活動發生的指示。IPSec協議模式：隧道、運輸、統配符。通路MTU：任何遵從的最大傳送單位和老化變量SA的參數-2序數計數器：一個32位值用于生成AH或ESAH協議AH：AuthenticationHeader為IP包提供數據完整性和鑒別功能利用MAC碼實現鑒別，雙方必須共享一個密鑰鑒別算法由SA指定鑒別的范圍：整個包兩種鑒別模式：傳輸模式：不改變IP地址，插入一個AH隧道模式：生成一個新的IP頭，把AH和原來的整個IP包放到新IP包的載荷數據中AH協議AH：AuthenticationHeaderAH提供的服務數據源認證：HMAC，需要共享密鑰無連接的完整性可選的抗重放攻擊服務不提供保密性AH提供的服務數據源認證：HMAC，需要共享密鑰AH協議安全參數索引SPI：標示與分組通信相關聯的SA序列號SequenceNumber：單調遞增的序列號，用來抵抗重放攻擊鑒別數據AuthenticationData：包含進行數據源鑒別的數據（MAC），又稱為ICV（integritycheckvalue）NextHeaderPayloadlengthReservedSPISequencenumberAuthenticationdataAH頭的長度下一個協議類型AH協議安全參數索引SPI：標示與分組通信相關聯的SANexAH協議的鑒別鑒別數據ICV，用于數據源鑒別缺省：96bits的MAC算法：HMAC-MD5-96，HMAC-SHA-1-96,etcICV的生成方式IP分組頭中傳輸中保持不變的或者接受方可以預測的字段AH頭中除“鑒別數據”以外的所有數據被AH保護的所有數據，如高層協議數據或被AH封裝的IP分組除此以外，所有數據在計算ICV時被清0AH協議的鑒別鑒別數據ICV，用于數據源鑒別AH協議的鑒別范圍–IPv4IPTCPPayloadIPAHTCPPayload原始分組NewIPAHIPTCPPayload隧道模式傳輸模式除IP頭中的可變字段外，都被AH保護除newIP頭中的可變字段外，都被AH保護AH協議的鑒別范圍–IPv4IPTCPPayloadIPESP協議ESP–EncapsulatingSecurityPayload提供更高級別的安全保護訪問控制數據源鑒別數據完整性數據保密性重放保護有限的流量保密ESP支持的加密算法3DES、IDEA、RC5……支持的鑒別算法與AH相同ESP協議ESP–EncapsulatingSecurESP協議安全參數索引SPI：標識與分組通信相關聯的SA序列號SequenceNumber：單調遞增的序列號，用來抵抗重放攻擊凈荷數據：被加密保護填充與填充長度：被加密保護通過填充使得ESP協議段的長度為32bits的整數倍通過填充，隱藏了原始數據的長度，提供了有限的流量保密下一協議擴展頭類型：被保護的數據的協議類型鑒別數據AuthenticationData：包含進行數據源鑒別的數據（MAC），即ICVSPISNPayload(protected)PadPadLengthNextheaderAuthenticationdataESP協議安全參數索引SPI：標識與分組通信相關聯的SASPESP的安全保障–IPv4IPTCPPayloadIPESP-HTCPPayloadESP-TESP-AD原始分組NewIPESP-HIPTCPPayloadESP-TESP-AD隧道模式傳輸模式鑒別保護鑒別保護加密保護加密保護ESP的安全保障–IPv4IPTCPPayloadIPEIPSec的重放保護在每一個安全關聯都維護一個防重放的滑動窗口，大小64，向右側滑動每個IPSec分組都被分配一個序列號在接受方，滿足以下條件的分組才是合法的：分組通過鑒別分組序號是新的，未在滑動窗口中出現過分組序號落在滑動窗口內或右側分組序號落在滑動窗口右側，窗口向右滑動通過這種機制，重放攻擊的分組將被丟棄IPSec的重放保護在每一個安全關聯都維護一個防重放的滑動窗IPSec密鑰管理手工管理自動管理Photuris簡單Internet密鑰管理協議SKIPInternet密鑰交換協議IKEIPSec默認的協議IKEIPSec密鑰管理手工管理IKEAH&ESP安全關聯SA和會話密鑰建立以后的工作過程IKE用于雙向認證、建立共享密鑰和會話關聯SA的協議包括三個部分IKEISAKMPDOIIKEAH&ESPSSLSSLSSL簡介SSL（SecureSocketLayer，安全套接層）協議Netscape公司于1994年最先提出來的被設計成使用TCP來提供一種可靠的端到端的安全服務，是一種基于會話的加密和認證的協議在客戶和服務器之間提供了一個安全的管道為了防止客戶/服務器應用中的監聽、篡改、消息偽造等，SSL提供了服務器認證和可選的客戶端認證通過在兩個實體間建立一個共享的秘密，SSL提供保密性SSL工作在傳輸層（TCP）和應用層之間SSL獨立于應用層協議，高層協議可基于SSL進行透明的傳輸SSL簡介SSL（SecureSocketLayer，安SSL協議的協議層次SSL協議的協議層次SSL協議提供的主要服務加密處理加密數據以防止數據中途被竊取；維護數據的完整性確保數據在傳輸過程中不被改變。認證服務認證用戶（可選）和服務器，確保數據發送到正確的客戶機（可選）和服務器；SSL協議提供的主要服務加密處理SSL的兩個重要概念-1SSL會話（session）一個SSL會話指客戶與服務器之間的聯系會話由SSL握手協議創建，定義了一套安全加密參數，為多個連接所共享握手協議的職責是協調客戶和服務器的狀態，使得雙方在不能精確地并行的情況下，也能工作一致會話狀態會話標識Peer證書：peer的x509證書壓縮方法密碼規范：加密算法；消息摘要算法；有關密碼的一些屬性主密鑰：客戶和服務器共享的主密鑰恢復：用一個標志位表示該會話是否可以初始化一個新的連接。SSL的兩個重要概念-1SSL會話（session）SSL的兩個重要概念-2SSL連接（connection)用于實現特定類型的服務數據的安全傳輸SSL的連接是點對點的關系連接是暫時的，每一個連接和一個會話關聯一個SSL會話可包括多種安全連接連接狀態服務器和客戶端隨機序列服務器端寫摘要協議客戶端寫摘要協議服務器端寫密鑰客戶端寫密鑰初始化向量序列號SSL的兩個重要概念-2SSL連接（connectionSSL安全連接的特性連接具有私有性在初始化連接后，協商密鑰，基于對稱密碼體制對數據進行加密（如DES、RC4等）對端實體鑒別可采用非對稱密碼體制或公開密鑰密碼體制（如RSA、DSS）連接是可靠的消息傳輸使用加密MAC算法進行消息完整性檢查SSL安全連接的特性連接具有私有性SSL安全協議記錄協議修改密碼規程協議告警協議握手協議SSL安全協議記錄協議SSL安全協議的組成SSL不是單個的協議，而是兩層協議SSL記錄協議基于可靠的傳輸層協議，用來封裝高層協議高層協議主要包括SSL握手協議、修改密碼參數協議、報警協議、應用數據協議（如HTTP）等。SSL安全協議的組成SSL不是單個的協議，而是兩層協議SSL記錄協議層的功能為高層協議提供基本的安全服務記錄層封裝各種高層協議

以任意大小的非空塊從高層接收尚未解釋的數據分塊將高層數據分割成SSL明文記錄壓縮和解壓所有記錄采用會話狀態中定義的壓縮算法進行壓縮記錄的保護所有記錄通過會話狀態中定義的加密算法和MAC算法進行保護SSL記錄協議層的功能為高層協議提供基本的安全服務SSL記錄協議的操作過程SSL記錄協議的操作過程SSL記錄首部的組成主要類型：用來說明封裝的數據段的更高層的協議。已定義的內容類型有：修改密碼規程協議、告警協議、握手協議和應用數據；主要版本：指示使用SSL的主要版本號；次要版本：指示使用的次要版本號；壓縮長度：明文數據段以字節為單位的長度（如果使用壓縮就是壓縮數據段）。SSL記錄首部的組成主要類型：用來說明封裝的數據段的更高層的握手協議握手協議在SSL記錄層之上，負責建立當前會話狀態的參數客戶端和服務器相互鑒別對方身份（利用證書）協商安全參數（加密和MAC算法，加密密鑰等）由一系列在客戶和服務器間交換的消息組成每個消息由3個字段組成：消息類型、以字節為單位的消息長度以及這個消息有關的參數內容握手協議握手協議在SSL記錄層之上，負責建立當前會話狀態的參握手協議定義的消息類型-1消息類型說明參數hello_request握手請求，服務器可在任何時候向客戶端發送該消息。若客戶端正在進行握手過程就可忽略該消息。否則客戶端發送cleint_hello消息，啟動握手過程。無client_hello客戶啟動握手請求，該消息時當客戶第一次連接服務器時向服務器發送的第一條消息。該消息中包括了客戶端支持的各種算法。若服務器端不能支持，則本次會話可能失敗。版本、隨機數、會話ID、密文族、壓縮方法server_hello其結構與client_hello消息，該消息是服務器對客戶端client_hello消息的恢復。版本、隨機數、會話ID、密文族、壓縮方法server_certificate服務器提供的證書。如果客戶要求對服務器進行認證，則服務器在發送server_hello消息后，向客戶端發送該消息。證書的類型一般是X.509v3。X．509v3證書鏈server_key_exchange服務器密鑰交換。當服務器不使用證書，或其證書中僅提供簽名而不提供密鑰時，需要使用本消息來交換密鑰。參數、簽名握手協議定義的消息類型-1消息類型說明參數hello_握握手協議定義的消息類型-2消息類型說明參數certificate_request用于服務器向客戶端要求一個客戶證書。類型、授權server_hello_done該消息表明服務器端的握手請求報文已經發送完畢，正在等待客戶端的響應。客戶端在收到該消息時，將檢查服務器提供的證書及其他參數是否是有效、可以接受的。無client_certificate客戶端對服務器certificate_request消息的響應，只有在服務器端要求客戶證書的時候使用。一般該消息是客戶端收到server_hello_done消息后所發送的第一條消息。若客戶端沒有合適的證書，則向服務器端發送no_certificate的告警消息（無證書可能導致握手失敗）X．509v3證書鏈client_key_exchange客戶密鑰交換。當客戶不使用證書，或其證書中僅提供簽名而不提供密鑰時，需要使用本消息來交換密鑰。參數、簽名certificate_verify該消息用于向服務器提供對客戶證書的驗證。簽名finished該消息在“加密規約修改”（ChangeCipherSpec）消息之后發送，以證實握手過程已經成功完成。本消息發送后，發送方開始使用協商的新參數來執行操作。該消息需要在兩個方向上傳送。散列值握手協議定義的消息類型-2消息類型說明參數certifi握手協議過程-1第一階段安全能力的建立(1)客戶→服務器：client_hello(2)服務器→客戶：server_hello第二階段服務器認證和密鑰交換(3)服務器→客戶：server_certificate(4)服務器→客戶：server_key_exchange(5)服務器→客戶：certifi