网络安全-互联网（网络层、传输层、应用层）使用的安全协议

Dear 丶 2023-02-17 02:52 3阅读 0赞

# 网络层安全协议 #

## IPsec ##

我们经常使用的虚拟专用网（某PN），在某PN中传送的信息都是经过加密的，而IPsec就是提供的这个服务。

IPsec并不是一个单一协议，而是能够在IP层提供互联网通信安全的**协议族**。IPsec并没有限定用户必须使用何种特定的加密和鉴别算法。实际上，IPsec是个框架，它允许通信双方选择合适的算法和参数（例如：密钥长度）。为了保证互操作性，IPsec还包含了一套加密算法，所有IPsec的实现都必须使用。

IPsec协议族中的协议可划分为一下三个部分：

1.  IP安全数据报的两个协议：**鉴别首部AH协议**和**封装安全有效载荷ESP协议**
2.  有关加密算法的三个协议
3.  互联网密钥交换IKE协议。

AH协议功能：

1.  源点鉴别
2.  数据完整性
3.  不能提供保密

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 1]

ESP协议功能：

1.  AH提供的所有功能
2.  数据报加密和数据流加密

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 2]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 3]

因此使用ESP协议就可以不使用AH协议了。

使用ESP或AH协议的IP数据报成为**IP安全数据报（或IPsec数据报）**，它可以再两台主机之间、两路由器之间或一台主机和一个路由器之间发送。

### IP安全数据报两种工作方式 ###

#### 1. 传输模式 ####

传输方式是在整个运输层保温段的前后分别添加若干控制信息，再加上IP首部，构成IP安全数据报。

#### 2. 隧道模式 ####

隧道方式是在原始的IP数据报的前后分别添加若干控制信息，再加上新的IP首部，构成一个IP安全数据报。

无论使用哪种方式，最后得出的IP安全数据报的IP首部都是不加密的。只有使用不加密的IP首部，互联网中的各个路由器才能识别IP首部中的有关信息，把IP安全数据报在不安全的互联网中进行转发，从源点安全地转发到重点。

所谓“安全数据报”是指数据报的数据部分是经过加密的，并且能够鉴别的。通常把数据报的数据部分成为数据报的有效载荷。

### 安全关联SA ###

发送IP安全数据报之前，在源实体和目的实体之间必须创建一条网络层的逻辑连接，即安全关联SA。这样传统的网络中无连接的网络层，就变成了具有逻辑连接的一个层。安全关联是从源点到终点的单向连接，它能够提供安全服务。如果要进行双向安全通信，则两个方向都需要建立安全关联。

### IPsec的其他构件IKE ###

IKE的主要用途就是为IP安全数据报创建安全关联SA。  
IKEv2是其新的版本，以另外三个协议为基础：

1.  Oakley：是个密钥生成协议。
2.  安全密钥交换机制SKEME：用于密钥交换的协议。它利用公钥加密来实现密钥交换协议中的实体鉴别。
3.  互联网安全关联和密钥管理协议ISAKMP。

# 运输层安全协议 #

主要有两个协议：

1.  安全套接字层SSL
2.  运输层安全TLS

应用层使用SSL最多的就是HTTP，但SSL并非仅用于HTTP，而是可用于任何应用层协议。例如，SSL可以用于IMAP邮件存取的鉴别和数据加密。

SSL提供的安全服务可归纳为以下三种：

1.  SSL服务器鉴别，允许用户证实服务器身份。支持SSL的客户端通过验证来自服务器的证书，来鉴别服务器的真是身份并获得服务器的公钥。
2.  SSL客户鉴别，SSL的可选安全服务，允许服务器正式客户的身份。例如：USB-KEY
3.  加密的SSL会话，对客户和服务器间发送的所有报文进行加密，并检测报文是否被篡改。

## SSL工作过程 ##

1.  协商加密算法。浏览器A向服务器B发送浏览器的SSL版本号和一些可选的加密算法。B从中选定自己所支持的算法（如RSA），并告知A。
2.  服务器鉴别。服务器B向A发送包含其RSA公钥的数字证书。A使用该证书的认证机构CA公开发布的RSA公钥对该证书进行验证。
3.  会话密钥计算。由浏览器A随机产生一个秘密数。用服务器B的RSA公钥进行加密后发送给B。双方根据协商的算法产生**共享的对称会话秘钥**。
4.  安全数据传输。双方用会话秘钥加密和解密他们之间传送的数据并验证其完整性

# 应用层安全协议（电子邮件的安全协议） #

当我们使用IPSec或SSL时，我们假设双方在相互之间建立起一个会话并双向的交换数据。而电子邮件中没有会话存在。当A向B发送一个电子邮件时，A和B并不会因此而建立任何会话。而在此后的某个时间，如果B读取了该邮件，他有可能会、也有可能不会回复这个邮件。可见我们所讨论的是单向报文的安全问题。  
为电子邮件提供安全服务的协议PGP。

PGP是一个完整的电子邮件安全软件包，包括加密、鉴别、电子签名和压缩等技术。PGP并没有使用什么新的概念，它只是把现有的一些加密算法（如RSA公钥加密算法或MD5报文摘要算法）综合在一起而已。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200611153156544.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200611153307415.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200611153631829.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200611153831977.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZpbmNlbnRfZHVhbg==,size_16,color_FFFFFF,t_70