ipsec（安全IP）12

[82669] 主题： ipsec（安全IP）12


作者： qmzh.	标题： ipsec（安全IP）12[转载]
昵称： qmzh.	来自： 202.112..
经验值： 0	发贴时间： 2003年08月08日 00:16:29
等级：新手上路	长度： 2528字

	发信人：qmzh@smth.org (一个人的战争)，信区：cn.bbs.comp.security 标题：ipsec（安全IP）12 发信站：BBS 水木清华站转信站：LeafOK!news.zixia.net!maily.cic.tsinghua.edu.cn!SMTH IKE 的策略数据库则列出了所有保护组（按各个参数的顺序）。由于通信双方决定了一个特定的策略组后，它们以后的通信便必须根据它进行，所以这种形式的协商是两个IK E 通信实体第一步所需要做的。双方建立一个共享的秘密时，尽管事实上有多种方式都可以做到，但IKE 无论如何都只使用一个Diffie-Hellman 交换。进行Diffie-Hellman 交换这一事实是铁定的，是不可协商改变的！但是，对其中采用的具体参数而言，却是可以商量的。 IKE 从Oakley 文档中借用了五个组。其中三个是传统交换，对一个大质数进行乘幂模数运算；另外两个则是椭圆曲线组。Diffie-Hellman 交换以及一个共享秘密的建立是IKE 协议的第二步。Diffie-Hellman 交换完成后，通信双方已建立了一个共享的秘密，只是尚未验证通过。它们可利用该秘密（在IKE 的情况下，则使用自它衍生的一个秘密）来保护自家的通信。但在这种情况下，却不能保证远程通信方事实上真是自己所信任的。因此，IKE 交换的下一个步骤便是对Diffie-Hellman 共享秘密进行验证，同时理所当然地，还要对IKE SA 本身进行验证。IKE定义了五种验证方法：预共享密钥；数字签名（使用数字签名标准，即DSS）；数字签名（使用R SA 公共密钥算法）；用R SA 进行加密的nonce 交换；以及用加密nonce 进行的一种“校订”验证方法，它与其它加密的nonce 方法稍有区别（所谓“nonce ”，其实就是一种随机数字。IKE 交换牵涉到的每一方都会对交换的状态产生影响。这个概念还会在第 7 章详细讲述）。我们将IKE SA 的创建称为“阶段一”。阶段一完成后，阶段二便开始了。在这个阶段中，要创建IPSec SA 。针对阶段一，可选择执行两种交换。一种叫作主模式（M ain Mode ）交换，另一种叫作野蛮模式（Aggressive Mode ）交换。其中，野蛮模式的速度较快，但主模式更显灵活。而阶段二仅能选择一种交换模式，即Quick Mode （快速模式）。这种交换会在特定的IKE SA 的保护之下，协商拟定IPSec SA （IKE SA 是由阶段一的某种交换所创建的）。在默认情况下，IPSec SA 使用的密钥是自IKE 秘密状态衍生的。伪随机 non ce 会在快速模式下进行交换，并与秘密状态进行散列处理，以生成密钥，并确保所有S A 都拥有独一无二的密钥。所有这样的密钥均不具备“完美向前保密（P F S ）”的特性，因为它们都是从同一个“根”密钥衍生出来的（IKE 共享秘密）。为了提供P FS，Diffie-H ellm an 公共值以及衍生出它们的那个组都要和nonce 一道进行交换，同时还要交换具体的I PSec SA 协商参数。最后，用得到的秘密来生成IPSec SA ，以确保实现所谓的“ -- ※ 来源:．武汉白云黄鹤站WWW bbs.whnet.edu.cn. [FROM: 202.110.136.194] -- [m[1;37m※ 来源:·BBS 水木清华站 smth.org·[FROM: 61.174.140.134][m .
	========== * * * * * ==========


		Top