電子商務(wù)安全技術(shù)第章安全通信協(xié)議與交易協(xié)議I安全

IP安全1Internet安全協(xié)議IETF的各個(gè)工作小組從不同角度解決互連網(wǎng)安全問題，形成一些RFC和草案：DNSSEC工作組RFC2137、2535、2541

研究DNS安全及DNS動(dòng)態(tài)更新WTS(WebTransactionSecurity)工作組建立SHTTP認(rèn)證、完整性保護(hù)；RFC2084SECSH工作組安全ShellIPSEC工作組TLS工作組(SSL協(xié)議）2IP安全面臨的問題偽造IP包的地址；修改其內(nèi)容重播以前的包；攔截并查看包的內(nèi)容如何確保收到的IP數(shù)據(jù)報(bào)：1）來(lái)自原先要求的發(fā)送方(IP頭內(nèi)的源地址)；2）包含的是發(fā)送方當(dāng)初放在其中的原始數(shù)據(jù)；3）原始數(shù)據(jù)在傳輸中途未被其它人看過。

3IPSec協(xié)議

IP安全是整個(gè)TCP/IP安全的基礎(chǔ)與核心。它可對(duì)上層的各種應(yīng)用服務(wù)提供透明的安全保護(hù)。IPv4沒有考慮安全性，缺乏對(duì)通信雙方身份的認(rèn)證，缺乏對(duì)傳輸數(shù)據(jù)的保護(hù)，并且容易受竊聽、IP地址欺騙等攻擊。IPSec工作組于1994年成立，1995年8月公布了一系列建議標(biāo)準(zhǔn)：RFC2401：IP安全結(jié)構(gòu)RFC2406：AH；RFC2406：ESPRFC2409：IKERFC2403：HMAC-MD5-96RFC2404:HMAC-SHA-964IPSec概述

IPSec可保障主機(jī)之間、網(wǎng)絡(luò)安全網(wǎng)關(guān)（如路由器或防火墻）之間或主機(jī)與安全網(wǎng)關(guān)之間的數(shù)據(jù)包的安全。由于受IPSec保護(hù)的數(shù)據(jù)報(bào)本身不過是另一種形式的IP包，所以完全可以嵌套提供安全服務(wù)，同時(shí)在主機(jī)之間提供像端到端這樣的認(rèn)證，并通過一個(gè)隧道，將那些受IPSec保護(hù)的數(shù)據(jù)傳送出去（隧道本身也通過IPSec受到安全網(wǎng)關(guān)的保護(hù)）。5IPSec的協(xié)議對(duì)IP數(shù)據(jù)報(bào)或上層協(xié)議進(jìn)行保護(hù)的方法是使用某種IPSec協(xié)議：“封裝安全載荷（ESP：EncapsulatingSecurityPayload）”或者“認(rèn)證頭（AH：AuthenticationHeader）”。AH可證明數(shù)據(jù)的起源地、保障數(shù)據(jù)的完整性、防止相同數(shù)據(jù)包的重播。ESP除具有AH的所有能力之外，還可選擇保障數(shù)據(jù)的機(jī)密性，以及為數(shù)據(jù)流提供有限的機(jī)密性保障。

6IPSec的安全業(yè)務(wù)

AHESP(加密)ESP(加密并認(rèn)證)訪問控制√√√無(wú)連接完整性√

√數(shù)據(jù)來(lái)源認(rèn)證√

√對(duì)重放數(shù)據(jù)的拒絕√√√保密性

√√受限業(yè)務(wù)流的保密性

√√7密鑰管理協(xié)議IKE密鑰管理協(xié)議IKE（InternetKeyExchange）用于動(dòng)態(tài)地認(rèn)證IPSec參與各方的身份、協(xié)商安全服務(wù)以及生成共享密鑰等。IPSec提供的安全服務(wù)需要用到共享密鑰，它既可用于保障數(shù)據(jù)的機(jī)密性，亦可用于數(shù)據(jù)完整性（消息認(rèn)證碼MAC），或者同時(shí)應(yīng)用于兩者。IPSec的運(yùn)算速度必須夠快，而現(xiàn)有公共密鑰技術(shù)（如RSA或DSS）的速度均不夠快。公共密鑰技術(shù)仍然限于在密鑰交換期間完成一些初始的認(rèn)證工作。8IPSec協(xié)議組成安全關(guān)聯(lián)SA（SecurityAssociation）安全策略數(shù)據(jù)庫(kù)SPD(SecurityPolicyDatabase）認(rèn)證頭AH（AuthenticationHead）封裝安全載荷ESP(EncapsulationSecurityPayload)IKE（Internet密鑰交換）ISAKMP/Oakley（密鑰管理協(xié)議）ISAKMP：InternetSecurityAssociationandKeyManagementProtocolOakley：是D-H密鑰交換協(xié)議的改進(jìn)9結(jié)構(gòu)圖

10IPSec實(shí)施IPSec既可在終端系統(tǒng)上實(shí)現(xiàn)，亦可在某種安全網(wǎng)關(guān)上實(shí)現(xiàn)（如路由器及防火墻）。在主機(jī)中實(shí)施可以有兩種方式：1、與操作系統(tǒng)的集成實(shí)施。2、在協(xié)議堆棧中的網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之間實(shí)施。11操作系統(tǒng)集成IPSec作為網(wǎng)絡(luò)層協(xié)議，可在網(wǎng)絡(luò)層實(shí)現(xiàn)，由IP層的服務(wù)構(gòu)建IP頭。這個(gè)模型與其它網(wǎng)絡(luò)層協(xié)議（比如ICMP）的實(shí)施等同。應(yīng)用TCP/UDPIP+IPsec數(shù)據(jù)鏈路層12在協(xié)議堆棧中實(shí)施應(yīng)用TCP/UDPIPIPsec數(shù)據(jù)鏈路層13在主機(jī)實(shí)施的特點(diǎn)a．保證端到端的安全性b．能夠?qū)崿F(xiàn)所有的IPSEC安全模式c．能夠?qū)γ總€(gè)數(shù)據(jù)流提供安全保障d．在建立IPSEC的過程中，能夠維持用戶身份的認(rèn)證。14在路由器中實(shí)施如果在路由器中實(shí)施，可在網(wǎng)絡(luò)的一部分中對(duì)傳輸?shù)臄?shù)據(jù)包進(jìn)行安全保護(hù)。例如某公司只打算對(duì)傳給地理位置分散的那些部門的數(shù)據(jù)實(shí)施保護(hù)，而且只在數(shù)據(jù)流經(jīng)Internet的時(shí)候進(jìn)行保護(hù)，從而構(gòu)建自己的VPN或者內(nèi)聯(lián)網(wǎng)。IPSec實(shí)施方案通過對(duì)數(shù)據(jù)包進(jìn)行“隧道傳輸”，從而實(shí)現(xiàn)了對(duì)它們的保護(hù)。15IP越Se仁c兩種望不同猴的使梯用模為式傳送逢模式第：保臂護(hù)上勢(shì)層協(xié)蜜議；游用于以兩主寇機(jī)之憐間；隧道不模式過：保縫護(hù)整雷個(gè)IP數(shù)據(jù)刪報(bào)；踏當(dāng)一譯方為勾網(wǎng)關(guān)妥時(shí)。原始IP包：IP頭溫+TC鏡P頭昂+秀數(shù)據(jù)傳送距模式鼠：IP頭羊+IP鉛Se致c頭愚+TC豆P頭限+始數(shù)據(jù)隧道子模式頌：新IP頭評(píng)+IP燒Se漲c頭鮮+IP頭形+TC躺P頭劈燕+麥數(shù)據(jù)16安全悼關(guān)聯(lián)為正傘確封準(zhǔn)裝及創(chuàng)提取IP底Se洗c數(shù)據(jù)迷包，蠅要將醉安全柄服務(wù)未、密安鑰與父要保咬護(hù)的蒙通信毀數(shù)據(jù)戲聯(lián)系蓬到一采起；鬧同時(shí)襪要將勻遠(yuǎn)程塊通信伴實(shí)體山與要箏交換您密鑰服的IP蒙Se斬c數(shù)據(jù)喊傳輸繁聯(lián)系臉起來(lái)睬。這松樣的禿方案步稱為樂安全翠關(guān)聯(lián)或（Se汪cu伸ri穿ty統(tǒng)A殼ss亂oc李ia欄ti稼on暮，S倘A）蛛。SA是構(gòu)偏成IP預(yù)Se極c的基閉礎(chǔ)。雅它由肅兩個(gè)瓜通信侮實(shí)體筆協(xié)商遺建立詠。它京們決腥定了穿用來(lái)萄保護(hù)單數(shù)據(jù)甚包安霸全的IP作Se換c協(xié)議勻、密奔鑰以飲及密椅鑰的弟有效總存在幻玉時(shí)間遠(yuǎn)等。載任何IP嚴(yán)Se扭c實(shí)施謀方案捐都會(huì)異構(gòu)建丙一個(gè)SA數(shù)據(jù)酬庫(kù)（SA公D）給，由它頭來(lái)維壓護(hù)保辨障數(shù)鉆據(jù)包籍安全遞的SA記錄反。17安全弟關(guān)聯(lián)SA是單臉向進(jìn)饅行的倍，它炊僅朝芬一個(gè)邪方向睡定義申安全豈服務(wù)敢，要礎(chǔ)么對(duì)婚通信顯實(shí)體貍收到卡的包爬進(jìn)行獸“進(jìn)圈入”擱保護(hù)蛙，要奇么對(duì)印實(shí)體贏外發(fā)抱的包糖進(jìn)行側(cè)“外升出”芝保護(hù)僅。SA由一化個(gè)三只元組椅唯一兩標(biāo)識(shí)?。?）勾安全野參數(shù)踏索引欠（SP交I）沙：存在碰于IP善Se有c協(xié)議鈔頭內(nèi)回；2）院安全盼協(xié)議喘（AH采、E晴SP搞）標(biāo)識(shí)啄符；3）仍目標(biāo)IP地址階：它久同時(shí)盼決定勿了關(guān)礦聯(lián)方則向。通常SA是以栗成對(duì)暈的形谷式存碰在的幣，每去個(gè)朝捕一個(gè)抹方向是。既按可人環(huán)工創(chuàng)育建它輪，亦觸可采自用動(dòng)丑態(tài)創(chuàng)催建方瓦式。SA駐留淺在“膚安全寶關(guān)聯(lián)兩數(shù)據(jù)陳庫(kù)（SA鳥D）谷”內(nèi)。18SA創(chuàng)建若用栗人工憐方式尊加以森創(chuàng)建調(diào)，SA便會(huì)其一直致存在津下去砍，除怖非再秩用人吸工方止式將喉其刪醒除。若用號(hào)動(dòng)態(tài)漁方式祖創(chuàng)建殖，則SA有一蹦個(gè)存謝活時(shí)卷間與盼其關(guān)戴聯(lián)在止一起宜。存供活時(shí)美間（TT斑L）由IP挪Se戶c通信吼雙方歉在密聲鑰管饞理協(xié)壓議中辟協(xié)商焰。TT系L非常疤重要加，因殘為受飛一個(gè)援密鑰集保護(hù)宋的通槽信量餅必須難加以床謹(jǐn)慎氧地管說理。伯若超宜時(shí)使泥用一鉤個(gè)密還鑰，渡會(huì)為寄攻擊善者侵該入系驚統(tǒng)提療供更蔑多的高機(jī)會(huì)油。19安全池關(guān)聯(lián)浪數(shù)據(jù)炕庫(kù)SA紋DSA超D用于知定義石每個(gè)SA的參增數(shù)值換：順序毀號(hào)：勇以AH琴/E憂SP報(bào)頭味中3燙2位bi讀t值表裹示順序躲號(hào)溢亦出標(biāo)規(guī)記：省防止縮慧溢出閃數(shù)據(jù)搭報(bào)的饅傳送反重捧放窗驢口：狀收到趴的AH清/E腫SP數(shù)據(jù)必報(bào)是陰否重陡放AH相/E不SP信息雪：認(rèn)兼證/亭加密跳算法悼、密查鑰、如有效堡期SA有效懲期：您該時(shí)其間間策隔之亡后，SA結(jié)束時(shí)/被窩替代IP猶Se蔑c協(xié)議頂模式撞：傳崖輸模吐式/頸隧道鞋模式路徑嬌最大種傳輸畢單元方：最鏈大數(shù)乘據(jù)報(bào)閃長(zhǎng)度家(不隸分段供)20安全霉策略喪數(shù)據(jù)碧庫(kù)SP氣DSP陷D（Se吸c(diǎn)u罩ri嚼ty燒P盡ol猶ic及y黑Da飾ta雖ba追se膚）定義詠了對(duì)堂所有讀出/頂入業(yè)勤務(wù)應(yīng)濾采取妙的安抹全策觸略，煮為IP數(shù)據(jù)嗎項(xiàng)提殼供什膛么服約務(wù)以互及以欺什么滋方式未提供稅。對(duì)志所有暮出/犧入包面括非Ip付se菠c業(yè)務(wù)孫的處硬理必想須咨攜詢SP序D，處理匹有三嘆種可奪能：1）俱丟棄食：不矛允許脫在此訂主機(jī)互上存集在，息或不拿允許棄通過悄此網(wǎng)礦關(guān)。2）而繞過Ip壞se厚c：允許牛通過膛而無(wú)諷需Ip董se烘c保護(hù)3）采用Ip擴(kuò)se膨c：對(duì)這沃種業(yè)貼務(wù)流魚，SP淡D要指見明提慰供的輔安全晴服務(wù)作，采螺用的落協(xié)議怠及使盆用的費(fèi)算法幸等。21安全什策略用戶厲可以貴根據(jù)導(dǎo)自己結(jié)的要?jiǎng)?chuàng)求，賤對(duì)不少同的析通信朗設(shè)定忽不同偽級(jí)別齡的安禾全策苗略。例：魄在一蔥個(gè)網(wǎng)晚絡(luò)安潮全網(wǎng)乒關(guān)上駱制訂IP斧Se驚c策略河，對(duì)蘭本地孔子網(wǎng)偶與遠(yuǎn)乎程網(wǎng)羊關(guān)的盤子網(wǎng)砍間通捕信數(shù)藝據(jù)采析用DE狗S加密傳，并縫用HM品AC達(dá)-M摩D5進(jìn)行飼認(rèn)證霞；對(duì)揀從遠(yuǎn)孤程子湖網(wǎng)發(fā)品給一棕個(gè)郵茄件服集務(wù)器肆的所極有Te炊ln蝕et數(shù)據(jù)原用3DE視S進(jìn)行向加密增，同抱時(shí)用HM念A(yù)C集-S慶HA進(jìn)行嘗認(rèn)證認(rèn)；對(duì)墨于需惠要加庭密的猛、發(fā)引給另嫌一個(gè)葬服務(wù)虹器的夕所有We炊b通信思數(shù)據(jù)妥，則閘用ID遇EA滿足立其加走密要膨求，殼同時(shí)京用HM蛋AC懸-R噴IP甩EM乞D進(jìn)行臭認(rèn)證輔。22安全汁參數(shù)梯索引榮（SP碰I瓦）SP先I長(zhǎng)度命為3板2位病，用黨于唯哥一地第標(biāo)識(shí)懶出接糧收端擾上的帆一個(gè)SA紛。作為頂兩個(gè)飄主機(jī)暑秘密濁通信享的協(xié)累定，SA決定烏了密柱鑰和瞎加密恐算法暮等參畝數(shù)。沫必須傭采用胸某種扣機(jī)制鎖，讓速通信矩源指天出用勒哪個(gè)SA來(lái)?？?jī)護(hù)數(shù)橡據(jù)包驅(qū)；而培對(duì)通種信的帥目的扛地，兔則需躺指出卵用哪決個(gè)SA來(lái)檢奸查收沙到的專包是踩否安盲全。SP歪I是個(gè)住任意子數(shù)，鴉一般遙是在IK銀E交換鼠過程碌中由丹目標(biāo)戴主機(jī)膚選定傷的。SP承I被當(dāng)角作AH和ES惹P頭的炒一部黑分傳野送。耐接收胳主機(jī)熟使用悄<SP川I，士DS驚T，果Pr挖ot失oc洪ol善>這個(gè)臘字元屯組來(lái)涌唯一蒸地標(biāo)煉定SA濤（D繭ST是IP頭中米的目慰標(biāo)地令址；香而pr象ot毫oc匹ol代表鐵協(xié)議掛是AH或ES臺(tái)P）檢。23消息幼認(rèn)證斑碼MA喪CMA睜C：使用平一個(gè)蓄保密框密鑰逆生成集固定寸大小城的小耽數(shù)據(jù)測(cè)塊，宋并加澡入到葵消息令中，止稱MA菜C，或加戒密和幣。用戶A和用窯戶B，共有圣保密喇密鑰K，消息M，叛MA率C=衫CK(M輔)1、眨接收茅者可沈以確揪信消同息M未被高改變踏。2、得接收煌者可糠以確播信消算息來(lái)晝自所仰聲稱殼的發(fā)紋送者癢；3、狡如果堤消息梳中包粥含順皺序碼，則接戚收者萍可以循保證匆消息陜的正究常順廣序；MA北C函數(shù)偵類似睡于加涌密函撲數(shù)，壞但不牌需要播可逆晃性。居因此雨在數(shù)猜學(xué)上扒比加享密算何法被呼攻擊真的弱墨點(diǎn)要唉少。24MA周C的基觀本應(yīng)挪用方世式1）禿消息因認(rèn)證AB:像M冬||持CK(M得)2）領(lǐng)消息撐認(rèn)證賴+保姓密AB:已EK2[恰M|基|CK1(M應(yīng))]3）誘消息軌認(rèn)證怒+保掌密AB:竊EK2[M也]|纏|CK1(EK2[M隨])25封裝芬安全烏載荷概述ES落P（En第ca毅ps堂ul饒at語(yǔ)in降g孕Se殲cu庫(kù)ri沫ty輸P排ay攤lo廉a(chǎn)d）屬于IP的Se隔c的一察種協(xié)息議，奶可用熱于確候保IP數(shù)據(jù)斃包的豈機(jī)密晝性、嫁數(shù)據(jù)要的完薯整性蕩以及做對(duì)數(shù)紛據(jù)源伯的身線份認(rèn)么證。采此外奧，它從也要蓋負(fù)責(zé)紐奉對(duì)重鑰播攻捕擊的衡抵抗壯。具體奔做法曉是在IP頭之股后、襪需要城保護(hù)蜜的數(shù)財(cái)據(jù)之袍前，記插入侍一個(gè)釀新頭犬——ES老P頭。次受保筒護(hù)的漲數(shù)據(jù)渠可以想是一斬個(gè)上核層協(xié)嘉議，亡或者融是整理個(gè)IP數(shù)據(jù)艷報(bào)。槳最后繩，還懸要在諒最后請(qǐng)追加童一個(gè)ES錫P尾。ES刃P是一并種新衛(wèi)的IP協(xié)議驕，對(duì)ES踏P數(shù)據(jù)襖包的辦標(biāo)識(shí)首是通拳過IP頭的識(shí)協(xié)議注字段柱來(lái)進(jìn)詳行的演。26ES袍P原理ES寺P保護(hù)泳示意晨圖27ES密P格式SPI（安全參數(shù)索引）序列號(hào)初始化向量受保護(hù)的數(shù)據(jù)填充項(xiàng)填充項(xiàng)長(zhǎng)度下一個(gè)頭認(rèn)證數(shù)據(jù)28ES曾P格式作為IP森Se著c頭，ES父P頭中氧會(huì)包俊含一聞個(gè)SP豬I字段軍。它森和IP頭之畫前的虛目標(biāo)名地址忙以及逝協(xié)議誦結(jié)合卡在一它起，綱用來(lái)遣標(biāo)識(shí)嘆用于頌處理勢(shì)數(shù)據(jù)斥包的趴特定固的SA閃。通過件序列灑號(hào)，ES蛙P具有誓了抵駝抗重榴播攻悠擊的輔能力縫。序咬列號(hào)流是一島個(gè)不波重復(fù)起的、單向胃遞增牢的、碑由發(fā)敏送端怨插在ES浪P頭的退一個(gè)忙號(hào)碼倍。ES很P保護(hù)績(jī)的實(shí)命際數(shù)甜據(jù)包大含在藝載荷托數(shù)據(jù)倆字段腦中。透因此煉，這盒個(gè)字尊段的剪長(zhǎng)度捧由數(shù)犯據(jù)長(zhǎng)無(wú)度決醬定。攪某些刑加密唐算法覺要用統(tǒng)到初默始化遣向量葵（IV陰），它也河受到陽(yáng)保護(hù)。29隧道嚴(yán)模式隧道歌模式犯下受ES采P保護(hù)謊的一宵個(gè)IP包，筍下一州個(gè)頭安是TC吵P加密認(rèn)證新IP頭SPI序列號(hào)初始化向量IP頭TCP頭數(shù)據(jù)填充項(xiàng)填充項(xiàng)長(zhǎng)度下一個(gè)頭認(rèn)證數(shù)據(jù)ICV30傳輸冠模式IP頭SPI序列號(hào)初始化向量TCP頭數(shù)據(jù)填充項(xiàng)填充項(xiàng)長(zhǎng)度下一個(gè)頭認(rèn)證數(shù)據(jù)31加密撈與認(rèn)紐奉證由于ES次P同時(shí)摧提供忘了機(jī)丹密性蠶以及宇身份浩認(rèn)證屢機(jī)制光，所氣以在酒其SA中必瓶須同刪時(shí)定踏義兩假套算垮法—射—用從來(lái)確錫保機(jī)驅(qū)密性型的算銀法叫采作ci顧ph份er駕（加密購(gòu)器）探，而貿(mào)負(fù)責(zé)曬身份喇認(rèn)證扇的叫秧作au揀th孟en曉ti爐ca鏟to凍r（認(rèn)證唇器）法。每稱個(gè)ES敲P鄉(xiāng)豐SA都至判少有踐一個(gè)勢(shì)加密狠器和航一個(gè)盟認(rèn)證把器。32處理半外出累數(shù)據(jù)餓包：拉傳送洽模式對(duì)在IP傭v4上運(yùn)停行的價(jià)傳送辜模式童應(yīng)用能來(lái)說壯，ES受P頭跟釘在IP頭后分，IP頭的鋒協(xié)議堵字段茄被復(fù)果制到ES卸P頭的體“下立一個(gè)克頭”簽字段生中，ES塑P頭的討其余場(chǎng)字段鏟則被毯填滿錦—SP拼I字段蹲分配顫到的私是來(lái)慘自SA寧D的、感用來(lái)董對(duì)這哥個(gè)包券進(jìn)行娛處理說的特挖定SA的SP臂I；填充油序列鼓號(hào)字帥段的掠是序既列中頓的下綱一個(gè)旦值；患填充鮮數(shù)據(jù)呼會(huì)被盟插入嘴，其藥值被假分配匙；同指時(shí)分降配的躲還有鞏填充榜長(zhǎng)度禿值。溪隨后弓，IP頭的緩協(xié)議草字段途得到蝴的是ES緒P的值犁，5蠢0。除了鞭頭插曾入位凈置不叮同之胃外，IP蓮v6處理緣瑞規(guī)則斜基本趴上類照似于IP魄v4決。E閃SP頭可滋插在溪任意窩一個(gè)且擴(kuò)展筆頭之副后。33處理爹外出傅數(shù)據(jù)紡包：露隧道長(zhǎng)模式對(duì)隧恢道模微式應(yīng)懷用來(lái)瘦說，ES同P頭是移加在IP包前骨面的賽。如影果封強(qiáng)裝的枕是一錘個(gè)IP耀v4包，庫(kù)那么ES姨P頭的繼“下棄一個(gè)破頭”狐字段狗分配窯到值兼4；碧如果亞封裝釣的是礙一個(gè)IP下v6包，揀則分待配到娃值4泉1。悅其他平字段掏的填物充方絹式和癥在傳裂送?？焓街性暌粯討]。隨眾后，長(zhǎng)在ES夾P頭的抵前面鐘新增吉了一林個(gè)IP頭，例并對(duì)緞相應(yīng)盤的字嘉段進(jìn)回行填延充（咬賦值泛）—謠源地判址對(duì)粱應(yīng)于睬應(yīng)用ES寺P的那瘡個(gè)設(shè)沸備本杰身；稻目標(biāo)騙地址誦取自屯于用殊來(lái)應(yīng)碰用ES蕩P的SA漁；協(xié)議飯?jiān)O(shè)為喚50罩；其耳他字辦段的滋值則媽參照選本地任的IP處理懂加以牛填充圾。34加密護(hù)認(rèn)證不管擴(kuò)哪種群模式梳下，怪接下珠去的貍步驟喇都是武相同踏的。普從恰侍當(dāng)?shù)腟A中選修擇加王密器桿（加吸密算乖法）飄，對(duì)造包進(jìn)厲行加料密（礎(chǔ)從載愉荷數(shù)倆據(jù)的緩開頭大，一聯(lián)直到?！跋戮右粋€(gè)擱頭”撓字段中）。漂隨后層，使查用恰錦當(dāng)?shù)腟A中的午認(rèn)證詳器，榨對(duì)包雅進(jìn)行饞認(rèn)證碌（自ES憐P頭開緞始，握中間充經(jīng)過洋加密第的密循文，爪一直兄到ES論P(yáng)尾）澡。隨蓮后，槐將認(rèn)劫證器季的結(jié)伸果插賽入ES防P尾的丈“認(rèn)悄證數(shù)薦據(jù)”仗字段海中。對(duì)外淡出數(shù)犁據(jù)包飛進(jìn)行登處理錢的最殃后一壤步是坑：重振新計(jì)正算位磨于ES夫P前面荒的IP頭的很校驗(yàn)翁和。35處理逝進(jìn)入娃數(shù)據(jù)含包接收劣端在頂收到支一個(gè)ES機(jī)P包之晉后，火若不啄對(duì)這食個(gè)包擁進(jìn)行悶處理增，就普無(wú)法樂得知租它究層竟處丙于隧停道模噴式，網(wǎng)還是走傳送華模式協(xié)。根劈燕據(jù)對(duì)撤這個(gè)脫包進(jìn)口行處允理的SA譽(yù)，便可剪知道牢它到暮底處主在什驅(qū)么模于式下抵。但狐除非冶完成蠶了對(duì)盒它的獻(xiàn)解密傷，實(shí)叛際上壓不可嚴(yán)能知壟道ES懲P保護(hù)綱的是雨什么擱。如果精收到崇的IP券Se窗c包是蛋一個(gè)漸分段毀，必秤須把難它保逼留下起來(lái)，必直到研這個(gè)尤包的響其他鴿部分描收完飲為止極。36處理抓進(jìn)入責(zé)數(shù)據(jù)竭包收到ES鑄P包后養(yǎng)，首挑先要潔檢查結(jié)處理涉這個(gè)罪包的SA是否滿存在研——溪這是賭基本沃的IP倚Se缺c要求勞，而撓不是ES賤P專有袍的。繪如果堂沒有SA琴，這個(gè)撿包就屬會(huì)被攻丟棄漆。一旦銳認(rèn)證充通過饑了一惜個(gè)有態(tài)效的SA落，就可事用它網(wǎng)開始河對(duì)包電的處刃理。首先漸檢查撥序列絞號(hào)。由于ES森P身份影認(rèn)證菠密文原而不刃是明幣文，目接下蔥來(lái)進(jìn)壁行的恨便是散對(duì)這嶄個(gè)包那進(jìn)行矮身份配認(rèn)證壺。37處理弄進(jìn)入摧數(shù)據(jù)穴包然后巷是解拘密。翅通過國(guó)取自SA的密漏鑰和危密碼伸算法鞠，就眉可對(duì)ES謝P包進(jìn)頌行解倘密，蕉這個(gè)ES鑰P包從崖載荷管數(shù)據(jù)掉開始床到下畝一個(gè)套頭結(jié)腫束。傳送嫁身份測(cè)認(rèn)證談和解柴密檢鋸查成熱功之睡后，窮就可拜對(duì)結(jié)潮果數(shù)負(fù)據(jù)包央進(jìn)行伙初步博的有齒效性賣檢驗(yàn)固。如嬸果用達(dá)來(lái)處槽理這寬個(gè)數(shù)僻據(jù)包熱的SA表明瞎在某域一特沈定模解式下珍——污要么所是隧辦道模喚式，妻要么復(fù)是傳術(shù)送模顫式—圓只能廊處理ES鍬P包，傾那么惰還必目須檢近驗(yàn)這得個(gè)包哥的適統(tǒng)用性責(zé)。如朋果這有個(gè)包暮與要丘求的鳳模式暈不符路，就院必須否把它亡丟棄蘿。38處理鋒進(jìn)入工數(shù)據(jù)奶包對(duì)于謠傳送玩模式椒，上梨層協(xié)碰議頭誦與IP頭是師同步死的，ES抵P頭的憤下一宇個(gè)頭箱字段姑被復(fù)確制到IP頭的衫協(xié)議儀字段鞋中，章并計(jì)困算出控一個(gè)握新的IP校驗(yàn)棚和；對(duì)于深隧道殲?zāi)Ｊ窖?，就衣拋開蘭外部IP頭和ES敬P頭—促—我柏們需栗要的都是這糊個(gè)解氏開封魚裝的頑包。為進(jìn)飯行下勺一步擁的處還理，激可將絲式一個(gè)輔經(jīng)過嘉改造準(zhǔn)和認(rèn)酬證的度包轉(zhuǎn)左發(fā)出虹去。頓如果熟它是推一個(gè)疼傳送鐘模式各包，棵就會(huì)偵轉(zhuǎn)發(fā)癢到一棟個(gè)高強(qiáng)一級(jí)運(yùn)的協(xié)拴議層經(jīng)（比坑如TC嘩P或UD腎P）晴，由它燈們對(duì)雪這個(gè)板包進(jìn)獨(dú)行處皂理；闊如果仙它是先一個(gè)賤隧道套模式尾包，旁就會(huì)成重新胖插入亭到IP處理助流中情，繼括續(xù)轉(zhuǎn)扎發(fā)到凡它的宵最終攻目的泛地。39認(rèn)證昆頭概栽述認(rèn)證訊頭（Au逼th呼en避ti濱ca昨ti怕on僅He誦ad東er擴(kuò)，A息H）是一刑種IP呀Se縣c協(xié)議祝，用曠于為IP提供胡數(shù)據(jù)兄完整禮性、展數(shù)據(jù)曬原始崗身份真認(rèn)證蠶和一添些可煩選的威、有維限的午抗重谷播服單務(wù)。但它定淺義在RF耐C2蠅40辨2中。妨除了廁機(jī)密賓性之豬外，AH提供ES橋P能夠涉提供燙的一野切東姥西。載不需籃要加符密算陽(yáng)法（至加密憤器）奇，而靜需要舟一個(gè)潔認(rèn)證答器（雀身份孔認(rèn)證狼器）尊。AH定義超保護(hù)稿方法蜘、頭第的位字置、代身份金認(rèn)證徹的覆津蓋范遠(yuǎn)圍以占及輸盼出和額輸入效處理西規(guī)則姥，但桃沒有厘對(duì)所釣用的芬身份蔬認(rèn)證脾算法湯進(jìn)行萌定義茅。40認(rèn)證英頭概廳述認(rèn)證勺頭的絕保護(hù)41認(rèn)證哪頭概粘述AH是另爭(zhēng)一個(gè)IP銳Se話c協(xié)議目。在IP輩v4中數(shù)謊據(jù)報(bào)的的協(xié)哨議字動(dòng)段值勵(lì)是5宅1，始表明IP頭之想后是申一個(gè)AH頭。攤在IP朋v6中，曠下一尤個(gè)頭渡字段生的值旦由擴(kuò)慶展頭利的存乓在來(lái)腹決定釘。如迷果沒炎有擴(kuò)滑展頭憑，下頑一個(gè)筑頭字紀(jì)段將努是5驢1。西如果AH頭之丘前有豆擴(kuò)展拖頭，仁緊靠珠在AH頭前庸面的窄擴(kuò)展垮頭中魔的下乎一個(gè)報(bào)頭字孟段就鉗會(huì)被造設(shè)成潛51診。將AH頭插備入IP刺v6的規(guī)老則與ES拾P插入艘規(guī)則辟類似窮。AH和ES凝P保護(hù)腸的數(shù)救據(jù)相構(gòu)同時(shí)姜，AH頭會(huì)頂一直撇插在ES霜P頭之尼后。AH頭比ES捧P頭簡(jiǎn)飛單，估因?yàn)橐曀霍~提供偏機(jī)密忽性。畜由于牧不需鋒要填搏充和貍一個(gè)弟填充抬長(zhǎng)度恰指示潔器，敏因此雙也不鐮存在閑尾。勒另外孟，也嚴(yán)不需靈要一尿個(gè)初滴始化詞向量?jī)敗?2認(rèn)證比頭格罷式AH格式下一個(gè)頭載荷長(zhǎng)度保留SPI序列號(hào)認(rèn)證數(shù)據(jù)43認(rèn)證繳頭格桶式下一畫頭字認(rèn)段表形示AH頭之羽后是策什么澤。在臉傳送姿模式寬下，盯將是連處于推保護(hù)咳中的望上層劇協(xié)議對(duì)的值穩(wěn)，如UD捎P或TC舒P協(xié)議箱的值有。在巧隧道漿模式擋下，杯值為贈(zèng)4，嘆表示IP隆-i雹n-沃IP腫（I忽Pv花4）封裝貫或IP棍v6封裝覽的4拒1這崇個(gè)值紅。載荷嶄長(zhǎng)度毛字段胖表示斧采用也32耍位的森字減飯2表摔示頭飯本身晃的長(zhǎng)疫度。AH頭是賤一個(gè)IP鼻v6擴(kuò)展圾頭，邪按照RF圖C2籍46卸0，它的員長(zhǎng)度遼是從霸64瘋位字還表示湊的頭震長(zhǎng)度散中減妨去一把個(gè)6段4位緣瑞字而容來(lái)的艷。但AH采用碗32重位字堵來(lái)計(jì)畏算，宿因此四，我霧們減吊去兩魯個(gè)3藝2位造字（叫或一牧個(gè)6蕉4位被字）擠。沒挖有使艇用預(yù)姿留字閉段時(shí)代，必迎須將都它設(shè)宵成0囑。44認(rèn)證累頭格驅(qū)式SP汪I和外脈部IP頭的濟(jì)目的鐵地址棵一起先，用餃于識(shí)勾別對(duì)他這個(gè)胃包進(jìn)斜行身剪份認(rèn)柿證的SA壇。序列烏號(hào)是緒一個(gè)企單向乏遞增紀(jì)的計(jì)堪算器興，等靠同于ES芝P中使煙用的吃序列晃號(hào)?；倚蛄械厶?hào)提慨供抗從重播醫(yī)功能樂。認(rèn)證蠅數(shù)據(jù)葉字段泛長(zhǎng)度肥不固妥定，遠(yuǎn)其中濃包括紛完整道性校傻檢的多結(jié)果浴。AH沒有托定義乓身份銹認(rèn)證效器，喇但有然兩個(gè)或強(qiáng)制柴實(shí)施熱身份覆認(rèn)證彩器：HM敗AC光-S撈HA圈-9領(lǐng)6和HM銜AC確-M熔D5圖-9醋6。和ES燦P一樣參，輸駁出結(jié)打果被省切短鳳成9喪6個(gè)許位。橋同時(shí)逝，也紀(jì)沒有紅針對(duì)AH的使夸用，駱定義彼公共額密鑰緞身份沿認(rèn)證茶算法鮮（比臥如RS塑A和DD皺S）欲。45模式和ES洗P一樣越，AH可用笑于傳圍送模炊式和難隧道汗模式溫。不逐同之烈處在束于它稼保護(hù)罪的數(shù)蔑據(jù)要邊么是應(yīng)一個(gè)淋上層杯協(xié)議謎，要聲么就醋是一糟個(gè)完葬整的IP數(shù)據(jù)雅報(bào)?？ㄈ魏斡恳环N酒情況灑下，AH都要陷對(duì)外貫部IP頭的家固有猶部分喝進(jìn)行粱身份戰(zhàn)認(rèn)證程。46傳送鮮模式AH用于爺傳送牽模式貿(mào)時(shí)，院保護(hù)煤的是鴨端到拋端通瞧信。背通信陳終點(diǎn)政必須寧是IP蚊Se模c終點(diǎn)貧。下英一個(gè)宿頭是TC嫁P。IP頭下一個(gè)頭載荷長(zhǎng)度保留SPI序列號(hào)認(rèn)證數(shù)據(jù)數(shù)據(jù)已認(rèn)薯證47隧道主模式AH用于吵隧道躲模式歸時(shí)，環(huán)它將子自己付保護(hù)仆的數(shù)葉據(jù)報(bào)考封裝抖起來(lái)炎，另獄外，謀在AH頭之弟前，烘另添誦了一丸個(gè)IP頭。閑“里繁面的牌”IP數(shù)據(jù)糠報(bào)中史包含臣了通伴信的借原始朵尋址豎，而儉“外定面的質(zhì)”IP數(shù)據(jù)才報(bào)則劈燕包含籃了IP抽Se砌c端點(diǎn)劍的地彩址。種隧道乞模式遵可用株來(lái)替竊換端都對(duì)端障安全璃服務(wù)躺的傳舉送模戚式，AH只用蝦于保潛證收榨到的雞數(shù)據(jù)傘包在蛋傳輸珠過程隊(duì)中不吸會(huì)被磨修改候，保淋證由典要求禽發(fā)送天它的餐當(dāng)事蜻人將離它發(fā)有送出廢去，桌以及孕保證愁它是束一個(gè)唐新的廊非重賽播的炎數(shù)據(jù)醒包。48隧道鍵模式IP頭下一個(gè)頭載荷長(zhǎng)度保留SPI序列號(hào)認(rèn)證數(shù)據(jù)IP頭數(shù)據(jù)已認(rèn)癢證下一企個(gè)頭次是IP瓶-i滴n-丟IP49AH處理外出春數(shù)據(jù)脂包與腦一個(gè)SP轉(zhuǎn)D條目點(diǎn)（表乘示采論用AH保護(hù)鞋）匹飯配時(shí)撇，要疊求SA扇D查看根是否袍存在口一個(gè)楚合適凳的SA掘。如果竿沒有脖，可剩用IK賺E動(dòng)態(tài)然地建悟立一違個(gè)。埋如果腔有，吐就將AH應(yīng)用志到這峰個(gè)與垮之相綿符的草數(shù)據(jù)裕包，撇該數(shù)虛據(jù)包建在SP趣D條目耀指定坡的那埋個(gè)模譯式中玻。如喚果它而是一書束SP肺D，應(yīng)用單順序飲就由殊它所滅涉及夏的協(xié)駛議而胸定。AH始終象保護(hù)蒸的是ES資P，別無(wú)板它物送。50輸出笨處理創(chuàng)建費(fèi)一個(gè)剖外出SA時(shí)可體通過慌手工暖或IK嫌E將序派列號(hào)臂計(jì)算墳器初幣始化病成0汽。在洋利用冷這個(gè)SA構(gòu)建思一個(gè)AH頭之媽前，逗計(jì)算嫌器就絕開始虜遞增苗。這歸樣保侮證了翼每個(gè)AH頭中胃的序兔列號(hào)情都是悔一個(gè)攻獨(dú)一筍無(wú)二永的、敏非零紅的和足單向宴遞增滴的數(shù)澇。AH頭的腿其余范字段竊都將學(xué)填滿幕恰當(dāng)落的值憤。SP投I字段謠分配柴的值賭是取續(xù)自SA的SP劣I；下一店個(gè)頭園字段鋪分配音的是辣跟在AH頭之孫后的虜數(shù)據(jù)艘類型慎值；濃載荷煤長(zhǎng)度解分配窄的是棒“3呀2位棍字減截二”誤；“便身份熊認(rèn)證短數(shù)據(jù)誦”字待段設(shè)移成0蔑。51輸出窮處理和ES捕P不一恢樣，AH將安票全保百護(hù)擴(kuò)吐展到帥外部IP頭的巨原有麗的或蒜預(yù)計(jì)毛有的制字段株。因公此，舊要將隱完整金性檢者查值雪(IC估V)之前惕的不家定字搭段調(diào)驕成零巨。對(duì)桿沒有墓包含估在身等份認(rèn)剝證IC更V中的IP樓v4頭來(lái)茫說，氧它的棉不定鋸字段低包括Ty最pe布o(jì)昂f耍se涼rv己ic犬e（服務(wù)遍類型壯）、Fl春ag陽(yáng)s（標(biāo)志玩）、Fr疊ag轉(zhuǎn)me跑nt矛o健ff殃se客t(分段搭偏移定)、Ti狗me季t桃o餐li寺ve屑(存活別時(shí)間惱)和He扮ad膜er況c害he遲ck雹su虧m(頭校容驗(yàn)和泰)。對(duì)IP膀v4選項(xiàng)筑或IP碎v6擴(kuò)展微頭來(lái)診說，駐如果晃它們患是固孤定的象或預(yù)針定的庭，都霸會(huì)包孕含在IC象V計(jì)算仆之中販。否甩則，那必需鈔在計(jì)更算IC牧V之前驕，把開它們財(cái)調(diào)成露零。52輸出谷處理身份鑄認(rèn)證亡可能亦要求難進(jìn)行鑼適當(dāng)申的填槍充。抽對(duì)有艱些MA搬C來(lái)說舊，比幣如DE兔S-架CB捉CM港AC養(yǎng)，要求候在其世上面燈應(yīng)用MA澤C的數(shù)步據(jù)必襲須是捐算法硬的塊粱尺寸妙的倍仍數(shù)。鑼因此夠，必杠須進(jìn)躁行填品充，急以便豆正確儉地使叮用MA糞C（注:刑兩種雹強(qiáng)制難算法矮均無(wú)摧此要螺求）夠。這買個(gè)填端充項(xiàng)句是隱拿式添論加的絨。它存必須頑一概作為零源，其離大小昂不包圓括在劫載荷流長(zhǎng)度西中，瓦并且狼不隨浪數(shù)據(jù)坦包一籌起傳蘆送。對(duì)于IP則v4，AH頭必墓須是敵32垃個(gè)字含節(jié)的楊一倍碎，IP鉤v6則是切64鋸個(gè)字燃節(jié)的殼一倍澇。若MA飄C的輸養(yǎng)出和碗這項(xiàng)捉要求蛇不符卸，就癥必須防添加AH頭。拳對(duì)于鉤填充起項(xiàng)的宅值，的必須欺包括儉在IC陳V計(jì)算衫中，蹤蝶并在勵(lì)載荷永長(zhǎng)度持中反蔥映出霸填充芝項(xiàng)的末大小干。如去果強(qiáng)個(gè)制實(shí)染施身并份認(rèn)嗎證程割序正兇確對(duì)川齊了贏，在擱用HM葛AC恩-M稿D5傳-9之6或HM撲AC毀-S矩HA禽-9鉗6時(shí)，般就不癥再需泥要填壺充項(xiàng)星。53輸出留處理通過閱把密部鑰從SA和整扮個(gè)IP包（偷包括AH頭）拜傳到瞧特定伯的算夠法（勺它被延認(rèn)作SA中的竄身份型認(rèn)證王程序旁）這喬一方幸式，此對(duì)IC挽V進(jìn)行種計(jì)算帽。由工于不唱定字鬧段已薄設(shè)成懲零，字不會(huì)蟲包括番在IC訴V計(jì)算償中。礦接下焰來(lái)，IC燭V值被乘復(fù)制灰到AH的“責(zé)身份牧認(rèn)證益數(shù)據(jù)宴”字科段中粥，IP頭中懸的不使定字駱段就頌可根汽據(jù)IP處理刮的不睬同得擠以填趕充?，F(xiàn)在賴，AH處理惹結(jié)束依，AH保護(hù)本的IP包可閣以輸康出了衛(wèi)。根堤據(jù)包搏的大衣小，謊在放曾到線考上之衣前，宏可將漿它分培段，歉或在痛兩個(gè)IP犯Se纏c同級(jí)運(yùn)之間粘的傳排送過棟程中柳，由某路由護(hù)器進(jìn)餐行分績(jī)段。54輸入粗處理如果艇一個(gè)跪受安梳全保昆護(hù)的錄包在敢被收村到之嚴(yán)前分筍成了默幾段說，就干要在AH輸入值處理乞前對(duì)予這些略分段委進(jìn)行理重組培。接收IP永Se黎c包首辮先要亞找出像用來(lái)犯保護(hù)恢這個(gè)位包的SA詠。然后滿，IP頭的丘目的滿地址炎、特那定協(xié)近議（獄這里俊是5項(xiàng)1）討和取更自AH頭的SP蔥I這三虜者再讀對(duì)SA進(jìn)行輔識(shí)別啦。如東果沒嚴(yán)有找吼到合臣適的SA給，這個(gè)答包就供會(huì)被陜丟棄勿。找到SA之后膽，進(jìn)鉤行序鄭列號(hào)換檢查爺?？古芍夭ネ迿z查怖會(huì)決蜂定這匙個(gè)包溝是新償收的閑還是早以前悠收到稿的。橡如果惠檢查攤失敗牧，這嶄個(gè)包肚就會(huì)河被丟形棄。55輸入稻處理現(xiàn)在俊必須柔檢查場(chǎng)完整餐