IPsec ESP

IPsec ESP

(IPsec ESP :IPsec Encapsulating Security Payload) IPsec 封裝安全負載(IPsec ESP)是 IPsec 體系結構中的一種主要協定,其主要設計來在 IPv4 和 IPv6 中提供安全服務的混合套用。IPsec ESP 通過加密需要保護的數據以及在 IPsec ESP 的數據部分放置這些加密的數據來提供機密性和完整性。且ESP加密採用的是對稱密鑰加密算法,能夠提供無連線的數據完整性驗證、數據來源驗證和抗重放攻擊服務。根據用戶安全要求,這個機制既可以用於加密一個傳輸層的段(如:TCP、UDP、ICMP、IGMP),也可以用於加密一整個的 IP 數據報。封裝受保護數據是非常必要的,這樣就可以為整個原始數據報提供機密性。 ESP 頭可以放置在 IP 頭之後、上層協定頭之前 (傳送層),或者在被封裝的 IP 頭之前 (隧道模式)。IANA 分配給 ESP 一個協定數值 50,在 ESP 頭前的協定頭總是在“next head”欄位(IPv6)或“協定”(IPv4)欄位里包含該值 50。ESP 包含一個非加密協定頭,後面是加密數據。該加密數據既包括了受保護的 ESP 頭欄位也包括了受保護的用戶數據,這個用戶數據可以是整個 IP 數據報,也可以是 IP 的上層協定幀(如:TCP 或 UDP)。

安全

ESP 提供機密性、數據源認證、無連線的完整性、抗重播服務(一種部分序列完整性的形式) 和有限信息流機密性。所提供服務集由安全連線(SA)建立時選擇的選項和實施的布置來決定,機密性的選擇與所有其他服務相獨立。但是,使用機密性服務而不帶有完整性/認證服務(在 ESP 或者單獨在 AH 中)可能使傳輸受到某種形式的攻擊以破壞機密性服務。數據源驗證和無連線的完整性是相互關聯的服務,它們作為一個選項與機密性 (可選擇的)結合提供給用戶。只有選擇數據源認證時才可以選擇抗重播服務,由接收方單獨決定抗重播服務的選擇。

相關詞條

相關搜尋

熱門詞條

聯絡我們