密码学-IPSec协议

---

---

IPsec是一套用于保护设备之间连接的协议。IPsec使得通过公共网络安全地传输数据成为可能。它的工作原理是验证IP数据包的来源并对其进行加密。它主要用于建立VPN。

“IPsec”中的“IP”代表“互联网协议”，而“sec”代表“安全”。互联网协议，或互联网协议，是主要的互联网路由协议，它使用IP地址来标识数据的目的地。因为IPsec通过身份验证和加密来改进此过程。

互联网工程任务组(IETF)在20世纪90年代开发了IPSec，以确保连接到开放网络时的机密性、真实性和完整性。例如，为了远程访问公司文件，用户使用IPSec虚拟专用网(VPN)连接到互联网。借助IPSec协议加密，我们可以避免未经授权的监控和敏感数据泄露。服务器还可以验证它接收到的数据包是否已授权。

它是如何工作的？

计算机和IPSec协议使用以下步骤交换数据：

• 发送设备通过将数据传输与其安全策略进行比较来检查是否需要IPSec保护。如果是这种情况，则连接接收设备和启动安全IPSec传输的计算机。
• 两台机器都确定建立安全连接所需的条件。加密、身份验证和其他安全关联(SA)参数应由双方商定。
• 计算机发送和接收加密数据，并验证数据来自可靠的来源。它执行测试以确保底层内容是可信的。
• 传输完成后或会话超时后，计算机终止IPSec连接。

IPSec加密

IPSec加密是用于混淆数据以保护其内容免受未经授权的访问的软件。解密数据需要一个解密密钥，该密钥使用加密密钥进行加密。IPSec支持许多加密方法，例如AES、Blowfish、三重DES、ChaCha和DES-CBC。

IPSec使用非对称和对称加密来平衡数据传输过程中的安全性和速度。非对称加密在公开加密密钥的同时保持解密密钥的私密性。对称加密使用相同的密钥进行加密和解密。为了加快数据传输速度，IPSec使用非对称加密建立安全连接，然后切换到对称加密。

IPSec协议

IPSec协议安全地传输数据包。数据包是一种预定义的结构，用于格式化和准备网络传输的信息。它包含三个部分：报头、有效负载和尾部。

• 报头是数据包的起始部分，包含将其路由到正确目的地的指令。
• 有效负载是指数据包中包含的实际信息。
• 尾部是在有效负载尾部添加的额外数据，用于表示数据包的结尾。

以下是列出的一些IPSec协议：

• AH（身份验证报头） - 身份验证报头 (AH) 协议确保数据包来自真实的来源并且未被篡改，类似于消费产品上的防篡改密封。这些报头不启用加密也不帮助隐藏数据免受攻击者的攻击。
• ESP（封装安全协议） - 封装安全协议 (ESP) 对每个数据包的 IP 报头和有效负载进行加密，除非启用了传输模式，在这种情况下，仅对有效负载进行加密。每个数据包都带有一个特定于 ESP 的报头和尾部。
• SA（安全关联） - SA 指的是一组用于协商加密密钥和算法的协议。互联网密钥交换 (IKE) 是最常用的 SA 协议之一。
• IKE（互联网密钥交换） - 互联网密钥交换 (IKE) 协议在两个互联网连接的设备之间提供安全连接。两个设备都创建一个安全关联 (SA)，这需要在传输和接收后续数据包之前设置加密密钥和算法。

最后，虽然互联网协议 (IP) 不是 IPsec 套件的一部分，但 IPsec 直接在 IP 之上运行。

IPSec算法和协议

IPSec是一组安全协议和基于密码学的服务，旨在保护通过不受信任的网络发送数据的设备之间的通信安全。IPSec基于一组广泛接受的协议和算法，因此可以在Firebox和许多其他支持这些常用协议的设备或云端终结点之间建立IPSec VPN。

加密算法

• AES（高级加密标准）
• 3DES（三重DES）
• DES（数据加密标准）

身份验证算法

• HMAC-MD5（哈希消息认证码 - 消息摘要算法5）
• HMAC-SHA1（哈希消息认证码 - 安全哈希算法1）
• HMAC-SHA2（哈希消息认证码 - 安全哈希算法2）
  • SHA2-256：产生一个265位（32字节）的消息摘要
  • SHA2-384：产生一个384位（48字节）的消息摘要
  • SHA2-512：产生一个512位（64字节）的消息摘要

IPSec的用途

IPsec可用于以下任务：

• 需要路由器安全性的开放互联网数据传输。
• 需要加密的应用程序数据。
• 立即验证数据来自已知发送方。
• 通过创建加密电路或IPsec隧道来加密两个端点之间传输的所有数据，从而保护网络数据。

组织使用IPSec作为针对重放攻击的安全措施。重放攻击或中间人攻击是指拦截和修改实时传输，并将数据发送到充当中介的计算机的行为。IPSec协议为每个数据包分配一个序列号，并检查重复数据包。

IPSec 的模式

IPSec 运行于两种模式，它们具有不同的保护级别。请参见下面的模式：

• 隧道模式 (Tunnel) − IPSec 隧道模式非常适合在公共网络上传输数据，因为它可以提高数据安全性，防止未经授权的访问。计算机对所有数据（有效负载和报头）进行加密，并添加新的报头。
• 传输模式 (Transport) − IPSec 传输模式仅加密数据包的有效负载，而保留 IP 报头不变。未加密的报头帮助路由器确定每个数据包的目标地址。因此，IPSec 传输模式用于封闭和可信的网络中，例如保护两台计算机之间的直接连接。

IPSec 的优势

• IPSec 是一种开放标准协议，得到众多厂商的支持，可应用于各种场景。
• 它提供强大的加密安全功能，以保护敏感数据，同时确保网络隐私和完整性。
• IPSec 可用于保护大型网络，并可根据需要进行扩展或缩减。
• 它可以配置为保护各种网络拓扑结构，例如点对点、站点到站点和远程访问链路。
• IPSec 可以帮助减少网络拥塞并提高网络效率。

IPSec 的缺点

• IPSec 的一个缺点是其高级配置要求专业知识和技能。
• 由于 IP 数据包加密和解密相关的开销，IPSec 会影响网络性能。
• IPSec 仅保护 IP 流量，而其他协议（如 ICMP、DNS 和路由协议）仍然容易受到攻击。
• IPSec 依赖于正确的密钥管理，以保证用于加密和身份验证的加密密钥的安全性。
• IPSec 可能与某些网络设备和软件不兼容，从而导致互操作性问题。