计算机通信网络安全第五章

预定义安全规则集 ＡＳＳＲ
§
§
预定义安全规则集是一组安全机制信息， 分配有唯一的ＡＳＮ．１标识符，为所有用户 所知。 建立安全关联时，通过交换ＡＳＳＲ标识符约 定一组默认的安全关联属性。
保护服务质量
§
§
§
保护服务质量：与安全相关的服务质量， 指定采用何种安全机制，安全机制的强度 等。 基于级别的保护服务质量可作为安全标签 的一部分传给低层，以指明需要何种服务 质量。 保护服务质量的协商可以一部分在安全关 联建立阶段完成，一部分在建立连接过程 中的服务质量参数交换阶段完成。
§
§
面向连接， ＴＰ２／３／４（ＳＮ）＋连接完整性＝序列完整性 ＴＰ４（恢复）＋连接完整性＝可恢复完整性 实体认证：安全关联，ＩＣＶ／加密 连接参考计数 无连接，数据起源认证，同
ＴＬＳＰ 安全封装
正常／重组ＴＰＤＵ
安全标签 方向标志
长度
标志 标签（可省） 被保护数据 填充 被保护内容 ＩＣＶ（可省） 填充 加密
无连接的安全协议支持的服务
§ § § § §
数据起源认证 访问控制 无连接机密性 业务流机密性 无连接完整性
ＯＳＩ低层协议提供的安全服务
安全服务
√ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √
TLSP(CO) NLSP(CO) TLSP(CL) NLSP(CL) SILS
（ａ）面向连接
会话层实体 ＩＳＯ／ＩＥＣ ８６０２ ＴＬＳＰ ＩＳＯ／ＩＥＣ ８６０２ 多路复用 网络层实体
（ｂ）无连接
无连接
面向连接／无连 接的网络层服务
ＴＬＳＰ 安全机制
§
§
ＴＬＳＰ 封装用到的安全机制 安全标签 方向标志 完整性校验值ＩＣＶ 加密填充 加密 在传输层安全服务的实现
传输层安全服务实现
５．１ 安全服务
§
§
端系统级和子网络级：与连接方式有关 ＣＯ安全协议支持的服务 ＣＬ安全协议支持的服务 直接链路级：点到点链路保护 连接机密性 无连接机密性 业务流机密性
面向连接的安全协议支持的服务
§ § § § § §
实体认证 访问控制 连接机密性 业务流机密性 不可恢复的连接完整性 可恢复的连接完整性
ＳＩＬＳ ＳＤＥ 协议
ＳＤＥ ＳＤＵ／ ＬＬＣ ＰＤＵ
源站ＩＤ
被保护报头 被保护内容 ＳＤＥ设计者 ＳＡ ＩＤ 明文报头 ＭＤＦ
数据 ＩＣＶ
填充
加密
ＳＩＬＳ 安全关联和密钥管理
§ §
ＳＤＥ级无安全关联管理，交应用层 ８０２．１０ｃ 密钥管理协议规范：应用层
５．６ 其他标准
§ § §
分组交换协议：ＩＴＵ Ｘ．２５，设施字段 无连接网络层协议：ＣＬＮＰ，安全选项 物理层：链路加密机 ＦＩＰＳ ＰＵＢ １３９ ＡＮＳＩ Ｘ３．１０５ ＩＳＯ／ＩＥＣ ９１６０
实 体 认 证 数 据 起 源 认 证 访 问 控 制 连 接 机 密 性 无 连 接 机 密 性 业 务 流 机 密 性 不可恢复连接完整性 可恢复连接完整性 无 连 接 完 整 性
５．２ 基本安全体系结构概念
§ § §
安全关联 预定义安全规则集 保护服务质量
安全关联 ＳＡ
§
§
§
安全通信共享信息 对方的身份，地址 对 — 数据流用 — 安全服务和安全机制 共享密钥 如果两个或多个系统间维护了这些信息， 称它们之间有安全关联。 安全关联的属性：静态、动态
§
§
支持安全关联的建立，释放和安全关联内 的密钥更新 安全关联的建立：确定安全关联的所有属 性值，初始化密钥
５．４ 网络层安全协议
ＩＳＯ／ＩＥＣ １１５７７（１９９５） 即 ＮＬＳＰ § 体系结构 § 安全数据传输 § 连接建立和释放
ＮＬＳＰ 体系结构
传输层实体 或转发路由 Ｎ Ｕ
其他 ＮＬＳＰ来自百度文库网络层 协议
ＳＮＤＣＰ ＳＮＡＣＰ 数据链路层实体
ＮＬＳＰ 安全数据传输
原语类型Ｆ … 标签 Ｐ地址参数 Ｐ服务质量参数 Ｐ用户数据 测试数据 ＩＳＮ 被保护字节流 加密 ＩＣＶ 业务流填充
协议ＩＤ 长度标志 ＰＤＵ类型 ＳＡＩＤ 明文报头
ＮＬＳＰ 连接建立和释放
§
§
连接建立： ＣＳＣ ＰＤＵ 密（ＩＳＮ），安全标签，Ｒ（密钥） ＳＡ ＰＤＵ 释放连接： 断连ＰＤＵ （ＵＮ数据交换）
５．５ ＩＥＥＥ协同局域网安全标准
ＩＥＥＥ ８０２．１０ 即 ＳＩＬＳ § 体系结构 § ＳＤＥ协议 § 安全关联和密钥管理
ＳＩＬＳ ＳＤＥ 体系结构
数 据 链 路 层
８０２．１ 局域网管理 ８０２．２ ＬＬＣ ８０２．１０ ＳＩＬＳ ＳＤＥ ８０２．１ 桥接
８０２．３ ８０２．４ ８０２．５ ８０２．６ 物理层 以太网 令牌总线 令牌环 城域网
长度标志
ＰＤＵ类型
ＳＡ标识符
明文报头
ＣｒｙｐｔＳＹＮ
ＴＬＳＰ 安全关联属性
§ § § § § § §
安全关联标识符：本地、远程 发起者／响应者标志 对等ＴＬＳＰ实体地址：ＮＳＡＰ地址 ＡＳＳＲ标识符 §ＩＣＶ机制属性 保护服务质量 §完整性序列号属性 安全机制 §加密机制属性 标签机制属性
ＴＬＳＰ 安全关联协议
５．３ 传输层安全协议
ＩＳＯ／ＩＥＣ １０７３６ （１９９５） 即 ＴＬＳＰ § 体系结构 § 安全机制 § 安全封装 § 安全关联属性 § 安全关联协议
ＴＬＳＰ 体系结构
面向连接的 传输层服务 会话层实体 ＩＳＯ／ＩＥＣ ８０７３ （包括重组） ＴＬＳＰ ＩＳＯ／ＩＥＣ ８０７３ 多路复用 网络层实体