計算機網(wǎng)絡第八節(jié)課件

第八章網(wǎng)絡安全1、網(wǎng)絡安全性概述2、網(wǎng)絡安全技術與策略3、數(shù)據(jù)加密技術4、因特網(wǎng)安全協(xié)議.第一節(jié)網(wǎng)絡安全性概述1、網(wǎng)絡安全性問題信息泄漏：在網(wǎng)絡上存儲或傳輸?shù)男畔⒈晃唇?jīng)許可者截取。身份識別失誤：不能如實判明訪問者，如口令暴露、密碼破解。信息篡改：超越權限對數(shù)據(jù)的修改。.第一節(jié)網(wǎng)絡安全性概述1、網(wǎng)絡安全性問題惡意程序攻擊：可修改其它程序的程序，即傳染過程（病毒）；可在網(wǎng)絡結點間傳送并啟動執(zhí)行的程序（蠕蟲）；給程序增加附加功能的程序（特洛伊木馬）；當運行環(huán)境滿足特定條件時執(zhí)行特殊功能的程序（邏輯炸彈）。.第一節(jié)網(wǎng)絡安全性概述2、網(wǎng)絡安全性要求身份鑒別：口令加密、變更；數(shù)字簽名。訪問控制：資源訪問者權限設置。數(shù)據(jù)完整性鑒別：保障接收到完整數(shù)據(jù)，防止傳輸中被篡改、替換、刪除。.第一節(jié)網(wǎng)絡安全性概述2、網(wǎng)絡安全性要求數(shù)據(jù)加密：保障信息被截取后不可解讀。不可否認：保障發(fā)送者無法否認所發(fā)送的報文，接收者無法否認對報文的接納。審計：運行日志，記錄各類運行狀態(tài)以備追查。.第二節(jié)網(wǎng)絡安全技術與策略1、安全責任與訪問控制安全責任：正確分配系統(tǒng)的管理權限，將共享資源劃分不同的安全等級。安全責任措施：建立帳戶、設置資源訪問權限。安全責任內(nèi)容：用戶的分級（系統(tǒng)管理員、特權用戶、普通用戶）；各級權限的規(guī)定和管理規(guī)則；各種驗證、監(jiān)督、記錄用戶訪問的規(guī)則。.第二節(jié)網(wǎng)絡安全技術與策略1、安全責任與訪問控制訪問控制：實現(xiàn)安全責任的技術手段。訪問控制的目的是在三個級別上實現(xiàn)“網(wǎng)絡資源不被非法用戶訪問”：系統(tǒng)級控制用戶級控制資源級控制.第二節(jié)網(wǎng)絡安全技術與策略1、安全責任與訪問控制1）系統(tǒng)級控制：阻止未經(jīng)許可的用戶接入網(wǎng)絡系統(tǒng)，從系統(tǒng)整體上實施安全管理。用戶注冊：在系統(tǒng)中建立合法帳戶（用戶名、口令）；用戶登錄：輸入“用戶名、口令”進行登錄，驗證合法性，開始記錄日志。.第二節(jié)網(wǎng)絡安全技術與策略1、安全責任與訪問控制2）用戶級控制：合法用戶分級賦予對資源的不同訪問權限。用戶分類：超級用戶（網(wǎng)絡管理員，最高權限）、網(wǎng)絡操作員（較高資源訪問權限）、普通用戶（有限的資源訪問權限）、一般用戶（很少的資源訪問權限）；分配資源訪問權限：對用戶（用戶組）賦予某資源（目錄、文件等）的訪問權限（讀、寫、打開、建立、刪除、執(zhí)行等）。.第二節(jié)網(wǎng)絡安全技術與策略1、安全責任與訪問控制3）資源級控制：對資源本身設置（不依賴于用戶權限的）訪問權限。設置資源屬性包括：只執(zhí)行、隱含、修改、只讀、讀/寫、共享等。.第二節(jié)網(wǎng)絡安全技術與策略2、數(shù)據(jù)加密策略1）鏈路加密：對每段鏈路實行獨立、分別加密。特點：各鏈路使用不同密鑰，便于密鑰管理和分配；鏈路加密對端用戶是透明的；在路由選擇后進行加密轉(zhuǎn)發(fā)，對源/宿主機地址進行有效保密。缺點：中間結點暴露信息內(nèi)容；不適用廣播網(wǎng)絡。ABE1D1E2E3D2DnXE1(X)鏈路2E2(X)E3(X)En(X)鏈路1XXX結點2結點1.第二節(jié)網(wǎng)絡安全技術與策略2）端到端加密：在源結點加密，在宿結點解密。特點：在傳輸層或更高層進行加密，有一定的選擇靈活性；中間結點不會暴露信息。缺點：控制信息不能被加密（否則中間結點無法選擇路由），易暴露通信量；端節(jié)點使用相同密鑰，需要全網(wǎng)范圍的密鑰分配與管理。3）端到端數(shù)據(jù)加密/鏈路控制信息加密：ABXE(X)E(X)XE(X)E(X)EDE(X)端到端加密.第二節(jié)網(wǎng)絡安全技術與策略3、防火墻技術1）防火墻配置與作用防火墻介于內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間，在兩者間起到了隔離、檢查、有選擇的連通作用，可防止來自外部的攻擊，也可防止內(nèi)部重要信息的向外泄露。防火墻外部網(wǎng)絡內(nèi)部網(wǎng)絡.第二節(jié)網(wǎng)絡安全技術與策略3、防火墻技術1）防火墻配置與作用防火墻的內(nèi)部功能結構：兩個過濾路由器和1個應用網(wǎng)關。內(nèi)部過濾路由器檢查向外發(fā)送的數(shù)據(jù)包。外部過濾路由器檢查向內(nèi)發(fā)送的數(shù)據(jù)包。應用網(wǎng)關作進一步檢查，如內(nèi)容關鍵字和應用類型。防火墻外部過濾路由器應用網(wǎng)關內(nèi)部過濾路由器.第二節(jié)網(wǎng)絡安全技術與策略2）防火墻實現(xiàn)結構（主要有三種）雙宿主機結構：利用一臺主機實現(xiàn)防火墻功能。內(nèi)、外網(wǎng)絡必須經(jīng)該雙宿主機的過濾、轉(zhuǎn)發(fā)實現(xiàn)通信。雙宿主機外部網(wǎng)絡內(nèi)部網(wǎng)絡.第二節(jié)網(wǎng)絡安全技術與策略屏蔽主機結構：利用一個路由器實現(xiàn)內(nèi)部網(wǎng)絡和外部網(wǎng)絡的連接，主要執(zhí)行防火墻功能的“堡壘主機”物理上連接于內(nèi)部網(wǎng)絡，但邏輯上同路由器共同實現(xiàn)防火墻功能。堡壘主機外部網(wǎng)絡內(nèi)部網(wǎng)絡路由器防火墻.第二節(jié)網(wǎng)絡安全技術與策略屏蔽子網(wǎng)結構：外部路由器只允許外部網(wǎng)絡訪問堡壘主機。內(nèi)部路由器只接收來自堡壘主機的數(shù)據(jù)包。內(nèi)部網(wǎng)絡只能訪問到堡壘主機，外部路由器只接收源自堡壘主機去向外部網(wǎng)絡的數(shù)據(jù)包。特點：入侵者必須攻破三個設備才能侵入內(nèi)部網(wǎng)絡；內(nèi)部網(wǎng)絡對外是透明的，只有外部路由器和堡壘主機對外開放；內(nèi)部網(wǎng)絡必須通過堡壘主機上的代理服務才能訪問外部網(wǎng)絡。堡壘主機外部網(wǎng)絡內(nèi)部網(wǎng)絡外部路由器防火墻內(nèi)部路由器.第二節(jié)網(wǎng)絡安全技術與策略3）防火墻過濾技術（主要有三種）網(wǎng)絡級過濾：對網(wǎng)絡層或網(wǎng)際層的分組的檢查和控制。通常是根據(jù)源或宿IP地址決定是否丟棄，在路由器配置過濾軟件可實現(xiàn)。缺點是使路由過濾器效率降低。

.第二節(jié)網(wǎng)絡安全技術與策略3）防火墻過濾技術（主要有三種）通路級過濾：實現(xiàn)TCP中繼連接。內(nèi)部主機要訪問外部網(wǎng)絡，連接到過濾器的一個TCP端口，該端口再與外部網(wǎng)絡中的目的主機的某TCP端口建立連接。中繼連接期間，過濾器轉(zhuǎn)發(fā)數(shù)據(jù)流，不檢查過往的數(shù)據(jù)，只提供TCP連接的輸出代理服務，為內(nèi)部用戶提供對外訪問的連接。如：WWW、FTP、TELNET。.第二節(jié)網(wǎng)絡安全技術與策略3）防火墻過濾技術（主要有三種）應用級過濾：對應用類型進行識別和限制。如對外部網(wǎng)絡的FTP給予禁止；對進入內(nèi)部網(wǎng)絡的內(nèi)容進行識別等。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

入侵檢測IDS是防火墻的合理補充，幫助系統(tǒng)對付網(wǎng)絡攻擊，擴展了系統(tǒng)管理員的安全管理能力，提高了信息安全基礎結構的完整性。IDS對網(wǎng)絡進行監(jiān)測，入侵檢測技術就是一種主動保護自己免受黑客攻擊的一種網(wǎng)絡安全技術，它是網(wǎng)絡安全體系的一種防范措施。

.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

對于企業(yè)網(wǎng)絡來說，入侵的來源可能是企業(yè)內(nèi)部心懷不滿的員工、網(wǎng)絡黑客，甚至是競爭對手。攻擊者可以竊聽網(wǎng)絡上的信息，竊取用戶的口令、數(shù)據(jù)庫的信息；還可以篡改數(shù)據(jù)庫內(nèi)容，偽造用戶身份，否認自己的簽名。更有甚者，攻擊者可以刪除數(shù)據(jù)庫的內(nèi)容，摧毀網(wǎng)絡節(jié)點，釋放計算機病毒，直到整個企業(yè)網(wǎng)絡陷入癱瘓。

.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

1）入侵檢測系統(tǒng)類型

入侵檢測系統(tǒng)（IDS）可以分為三種類型：基于網(wǎng)絡的IDS、基于主機的IDS

集成化的IDS.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

1）入侵檢測系統(tǒng)類型基于網(wǎng)絡的IDS

基于網(wǎng)絡的IDS使用原始的網(wǎng)絡分組數(shù)據(jù)包作為進行攻擊分析的數(shù)據(jù)源，一般利用一個網(wǎng)絡適配器來實時監(jiān)視和分析所有通過網(wǎng)絡進行傳輸?shù)耐ㄐ?。一旦檢測到攻擊，IDS應答模塊通過通知、報警以及中斷連接等方式來對攻擊作出反應。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

1）入侵檢測系統(tǒng)類型基于主機的IDS

基于主機的IDS一般監(jiān)視WindowsNT上的系統(tǒng)、事件、安全日志以及UNIX環(huán)境中的syslog文件。一旦發(fā)現(xiàn)這些文件發(fā)生任何變化，IDS將比較新的日志記錄與攻擊簽名以發(fā)現(xiàn)它們是否匹配。如果匹配的話，檢測系統(tǒng)就向管理員發(fā)出入侵報警并且發(fā)出采取相應的行動。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

1）入侵檢測系統(tǒng)類型集成化的IDS

聯(lián)合使用基于主機和基于網(wǎng)絡這兩種方式能夠達到更好的檢測效果?；谥鳈C的IDS使用系統(tǒng)日志作為檢測依據(jù)，因此它們在確定攻擊是否已經(jīng)取得成功時與基于網(wǎng)絡的檢測系統(tǒng)相比具有更大的準確性。在這方面，基于主機的IDS對基于網(wǎng)絡的IDS是一個很好的補充，人們完全可以使用基于網(wǎng)絡的IDS提供早期報警，而使用基于主機的IDS來驗證攻擊是否取得成功。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

2）入侵檢測的分析方式入侵檢測技術通過對入侵行為的過程與特征的研究，使安全系統(tǒng)對入侵事件和入侵過程能做出實時響應，從分析方式上分為兩種：異常發(fā)現(xiàn)技術模式發(fā)現(xiàn)技術。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

2）入侵檢測的分析方式異常發(fā)現(xiàn)技術如果建立系統(tǒng)正常行為的軌跡，那么理論上可以把所有與正常軌跡不同的系統(tǒng)狀態(tài)視為可疑企圖。對于異常閥值與特征的選擇是異常發(fā)現(xiàn)技術的關鍵。比如，通過流量統(tǒng)計分析將異常時間的異常網(wǎng)絡流量視為可疑。異常發(fā)現(xiàn)技術的局限是并非所有的入侵都表現(xiàn)為異常，而且系統(tǒng)的軌跡難于計算和更新。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

2）入侵檢測的分析方式模式發(fā)現(xiàn)技術

假定所有入侵行為和手段（及其變種）都能夠表達為一種模式或特征，那么所有已知的入侵方法都可以用匹配的方法發(fā)現(xiàn)。模式發(fā)現(xiàn)的關鍵是如何表達入侵的模式，把真正的入侵與正常行為區(qū)分開來。模式發(fā)現(xiàn)的優(yōu)點是誤報少，局限是它只能發(fā)現(xiàn)已知的攻擊，對未知的攻擊無能為力。目前，國際頂尖的入侵檢測系統(tǒng)IDS主要以模式發(fā)現(xiàn)技術為主，并結合異常發(fā)現(xiàn)技術。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

3）入侵檢測的過程入侵檢測的過程可以分為兩個部分：信息收集和信號分析。信息收集入侵檢測的第一步是信息收集，內(nèi)容包括系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為。而且，需要在計算機網(wǎng)絡系統(tǒng)中的若干不同關鍵點（不同網(wǎng)段和不同主機）收集信息。當然，入侵檢測很大程度上依賴于收集信息的可靠性和正確性。.第二節(jié)網(wǎng)絡安全技術與策略4、IDS入侵檢測技術

3）入侵檢測的過程入侵檢測的過程可以分為兩個部分：信息收集和信號分析。信號分析對收集到的有關系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息，一般通過三種技術手段進行分析：模式匹配、統(tǒng)計分析和完整性分析。.第三節(jié)數(shù)據(jù)加密技術1、數(shù)據(jù)加密概述1）數(shù)據(jù)加密模型無條件安全的加密體制:無法從任意多的密文中提取足夠信息唯一解析出明文。計算安全的加密體制:密文不能由可獲得的計算資源所破譯。||明文X明文X發(fā)送端接收端加密算法E加密密鑰ke密文Eke(x)密文Y=Eke（明文x）明文x=Dkd（密文Y）解密算法D解密密鑰kd.第三節(jié)數(shù)據(jù)加密技術2）常規(guī)密鑰加密體制加密密鑰ke=解密密鑰ke的加密體制替換密碼（SubstitutionCipher)例：

密鑰K=3，可得：computer-->frpsxwhu

abcd...…wxyzdefg……zabcComputerfrpsxwhu.第三節(jié)數(shù)據(jù)加密技術

變位（置換）密碼（transpositionCipher)例，設密鑰為“Cipher”，字母順序為145326，列順序為123456。

cipher145326明文：attackbeginsat_two密文：aba

cnw

ait

tet

tg_

kso解密：

分6列，按154236排列。.第三節(jié)數(shù)據(jù)加密技術序列密碼（sequentialCipher)明文：X=x1x2...（比特流或字符流）密鑰：K=k1k2…（比特流或字符流）密文：Y=y1y2…=Ek(x)=Ek1(x)Ek2(x)…（比特流或字符流）特點：對相同的明文可產(chǎn)生不同的密文；收/發(fā)方須同步。X1x2…發(fā)送方DEK1k2...y1y2...密鑰系列產(chǎn)生器X1x2…接收方密鑰系列產(chǎn)生器K1k2....第三節(jié)數(shù)據(jù)加密技術

分組密碼（BlockCipher）將明文分成N位的分組，獨立進行一系列線性或非線性的變化實現(xiàn)加密。特點：相反于序列密碼，即若明文分組相同，則密文分組也相同；收/發(fā)方不需要同步。所以，分組密碼在分組交換網(wǎng)中有廣泛應用。其中，最著名的有數(shù)據(jù)加密標準DES和國際數(shù)據(jù)加密算法IDEA。||(x1)n(x2)n...(x1)n(x2)n...加密E密鑰k(y1)n(y2)n...解密D密鑰k.第三節(jié)數(shù)據(jù)加密技術2、數(shù)據(jù)加密標準DESDES是由IBM研制，后確定為美國國家標準的“常規(guī)密鑰加密體制”。DES算法要點：明文X分為64位的組；密鑰為64位，其中有效密鑰為56位（另8位對8個7位組的奇偶校驗位），56位分作兩個28位，各左移I位，再從中抽取48位作為ki。

64位明文經(jīng)初始變換（變位加密）為X0。分為左右各32位的L0、R0，作為16次迭代得Li、Ri，最終將

L16R16經(jīng)逆變換，得到密文Y（64位）。.第三節(jié)數(shù)據(jù)加密技術2、數(shù)據(jù)加密標準DES

Li-1LiRiP-盒轉(zhuǎn)換密鑰移位移位Ri-1密鑰壓縮置換S-盒轉(zhuǎn)換擴展置換.第三節(jié)數(shù)據(jù)加密技術3、公開密鑰加密體制加密密鑰不同于解密密鑰的加密體制（加密密鑰對外公開）。問題的提出：密鑰分配與傳輸問題、數(shù)字簽名需要。公開密鑰算法要點：加密密鑰PK（公開密鑰）是公開的，解密密鑰SK

（秘密密鑰）是保密的；加密算法E和解密算法D是公開的；從PK無法（從計算資源）找出已有SK；

DSK（EPK（X））=X，EPK（DSK（X））=X；||明文X加密算法E公開密鑰PkB解密算法D公開密鑰SkB明文X密文Y=EPKB（X）BA.第三節(jié)數(shù)據(jù)加密技術4、著名的公開密鑰加密體制——RSA算法原理：尋找兩個素數(shù)比較容易，但從它們的乘積中分解出它們及其困難。密鑰的產(chǎn)生：選擇兩個大素數(shù)p和q（保密），計算出n=p?q。（N公開）計算?（n）=（p-1）?（q-1）。從[0，?（n）-1]范圍內(nèi)選擇一個與?（n）互素的數(shù)e。（e公開）.第三節(jié)數(shù)據(jù)加密技術4、著名的公開密鑰加密體制——RSA算法

由（e?d）mod?（n）=1，計算出d。（d保密）公開密鑰PK={e，n}，秘密密鑰SK={d，n}

加密算法E：Y=xemodn（PK={e，n}）解密算法D：X=Yemodn（SK={d，n}）密鑰的使用:

第i個用戶將Pki對外公布,對各自Ski保密。例如，A向B發(fā)送報文，A用B的PkB對報文加密，只有B具有SkB，才能解密由PkB加密的報文。.第三節(jié)數(shù)據(jù)加密技術4、著名的公開密鑰加密體制——RSA算法例如，對“NET”加密/解密的過程，選p=3，q=11，則n=33，?（n）=20。選e=3，由3?dmod20=1，求得d=7。對每個字母按其在字母表中的順序號賦值。.第三節(jié)數(shù)據(jù)加密技術4、著名的公開密鑰加密體制——RSA算法例如，對“NET”加密/解密的過程加密Y=Xemodn解密X=Yemodn明文XX3X3mod33密文Y7Y7mod33明文N1427445E7812514NE512526Z80318101765ET20800014N10541350420T.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名鑒別協(xié)議：用于鑒別通信對象的身份，實現(xiàn)會話密鑰的分配。主要有兩類：基于“常規(guī)密鑰加密體制”的鑒別協(xié)議。（Kerberos協(xié)議）該協(xié)議使發(fā)起者經(jīng)歷身份鑒別中心（KDC）2步、會話密鑰中心2步、響應者2步和最后發(fā)送數(shù)據(jù)共7步完成?；凇肮_密鑰加密體制”的鑒別協(xié)議。發(fā)起者與響應者經(jīng)歷3步完成。.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名基于“常規(guī)密鑰加密體制”的鑒別協(xié)議。發(fā)起者A響應者B會話密鑰中心身份鑒別中心.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名基于“常規(guī)密鑰加密體制”的鑒別協(xié)議。7步:A向身份鑒別中心發(fā)送一條含有自身標識A的明文，要求通信。身份鑒別中心分配A與會話中心通信密鑰KS，向A發(fā)送KA（KS

，KT（A，KS

））。

A向會話密鑰中心發(fā)送KT

（A，KS

）、B、

KS

（t）。.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名基于“常規(guī)密鑰加密體制”的鑒別協(xié)議。7步:

會話密鑰中心分配一個A與B通信的密鑰KAB

，

發(fā)送KS

（B，KAB）、KB（A，KAB

）給A。

A向B發(fā)送KB

（A，KAB

）、KAB

（t）。

B向A發(fā)送KAB

（t+1）進行確認。

A用KAB加密向B發(fā)送的數(shù)據(jù)，B用KAB解密。.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名

基于“公開密鑰加密體制”的鑒別協(xié)議。發(fā)起者A發(fā)起者B.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名

基于“公開密鑰加密體制”的鑒別協(xié)議。A、B均知道對方的公開密鑰PKA、PKB。3步：

A向B發(fā)送報文PKB

（A，RA），內(nèi)含本站標識和隨機數(shù)RA

，并用PKB加密。

B解密后，將RA

、產(chǎn)生一個隨機數(shù)RB、新分配的會話密鑰KS用PKA加密，向A發(fā)送

PKA

（RA

，RB

，KS）。

A用私密密鑰解密后，得到會話密鑰KS

；用KS

加密RB

，發(fā)送KS

（RB

）給B。.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名數(shù)字簽名：

數(shù)字簽名的基本要求：接收方能確認發(fā)送放的

身份；發(fā)送放不能否認所發(fā)的報文；接收方無

法偽造該報文。

基于“公開密鑰加密體制”的數(shù)字簽名方法。

保密的數(shù)字簽名.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名

基于“公開密鑰加密體制”的數(shù)字簽名方法。DSKA（X）DPKA（X）XXY=DSKA（X）AB.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名

基于“公開密鑰加密體制”的數(shù)字簽名方法。

B用PKA解出X，則確信X是由A發(fā)送的。

A不能否認X是自己發(fā)送的。

B不能假造X’，說是A發(fā)送的。因B無法提供Y’，使得X’=EPKA（Y’）.第三節(jié)數(shù)據(jù)加密技術5、鑒別協(xié)議與數(shù)字簽名

保密的數(shù)字簽名方法。DSKA（X）EPKA（X）XXZ發(fā)方A收方BEPKB（Y）DSKB（Z）YYA簽名解密加密核實A簽名.第四節(jié)因特網(wǎng)安全協(xié)議1、網(wǎng)絡層安全協(xié)議

IPsec與安全關聯(lián)SA1998年11月，公布因特網(wǎng)網(wǎng)絡層安全系列:RFC2401：IP安全體系結構

RFC2411：IPsec（IPsecurity）協(xié)議簇概述網(wǎng)絡層保密：所有在IP數(shù)據(jù)報中的數(shù)據(jù)都是加密的，并提供源點鑒別（authentication）。.第四節(jié)因特網(wǎng)安全協(xié)議1、網(wǎng)絡層安全協(xié)議

IPsec與安全關聯(lián)SAIPsec中最主要的協(xié)議：鑒別首部協(xié)議AH（authenticationhead）封裝安全有效載荷ESP（encapsulationsecuritypayload）.第四節(jié)因特網(wǎng)安全協(xié)議1、網(wǎng)絡層安全協(xié)議

IPsec與安全關聯(lián)SA

安全關聯(lián)SA（securityassociation

）：在使用AH和ESP之前，從源主機到目的主機建立的一條網(wǎng)絡層的邏輯連接。它由一個三元組唯一確定，是一個單向連接，若通信需要建立兩個安全關聯(lián)。安全協(xié)議的標識符；單向連接的目的IP地址；一個32位的連接標識符，稱為安全參數(shù)索引SPI。.第四