密碼學-IPSec協議

---

---

IPsec是一套用於保護裝置之間連線的協議。IPsec使得透過公共網路安全地傳輸資料成為可能。它的工作原理是驗證IP資料包的來源並對其進行加密。它主要用於建立VPN。

“IPsec”中的“IP”代表“網際網路協議”，而“sec”代表“安全”。網際網路協議，或網際網路協議，是主要的網際網路路由協議，它使用IP地址來標識資料的目的地。因為IPsec透過身份驗證和加密來改進此過程。

網際網路工程任務組(IETF)在20世紀90年代開發了IPSec，以確保連線到開放網路時的機密性、真實性和完整性。例如，為了遠端訪問公司檔案，使用者使用IPSec虛擬專用網(VPN)連線到網際網路。藉助IPSec協議加密，我們可以避免未經授權的監控和敏感資料洩露。伺服器還可以驗證它接收到的資料包是否已授權。

它是如何工作的？

計算機和IPSec協議使用以下步驟交換資料：

• 傳送裝置透過將資料傳輸與其安全策略進行比較來檢查是否需要IPSec保護。如果是這種情況，則連線接收裝置和啟動安全IPSec傳輸的計算機。
• 兩臺機器都確定建立安全連線所需的條件。加密、身份驗證和其他安全關聯(SA)引數應由雙方商定。
• 計算機發送和接收加密資料，並驗證資料來自可靠的來源。它執行測試以確保底層內容是可信的。
• 傳輸完成後或會話超時後，計算機終止IPSec連線。

IPSec加密

IPSec加密是用於混淆資料以保護其內容免受未經授權的訪問的軟體。解密資料需要一個解密金鑰，該金鑰使用加密金鑰進行加密。IPSec支援許多加密方法，例如AES、Blowfish、三重DES、ChaCha和DES-CBC。

IPSec使用非對稱和對稱加密來平衡資料傳輸過程中的安全性和速度。非對稱加密在公開加密金鑰的同時保持解密金鑰的私密性。對稱加密使用相同的金鑰進行加密和解密。為了加快資料傳輸速度，IPSec使用非對稱加密建立安全連線，然後切換到對稱加密。

IPSec協議

IPSec協議安全地傳輸資料包。資料包是一種預定義的結構，用於格式化和準備網路傳輸的資訊。它包含三個部分：報頭、有效負載和尾部。

• 報頭是資料包的起始部分，包含將其路由到正確目的地的指令。
• 有效負載是指資料包中包含的實際資訊。
• 尾部是在有效負載尾部新增的額外資料，用於表示資料包的結尾。

以下是列出的一些IPSec協議：

• AH（身份驗證報頭） - 身份驗證報頭 (AH) 協議確保資料包來自真實的來源並且未被篡改，類似於消費產品上的防篡改密封。這些報頭不啟用加密也不幫助隱藏資料免受攻擊者的攻擊。
• ESP（封裝安全協議） - 封裝安全協議 (ESP) 對每個資料包的 IP 報頭和有效負載進行加密，除非啟用了傳輸模式，在這種情況下，僅對有效負載進行加密。每個資料包都帶有一個特定於 ESP 的報頭和尾部。
• SA（安全關聯） - SA 指的是一組用於協商加密金鑰和演算法的協議。網際網路金鑰交換 (IKE) 是最常用的 SA 協議之一。
• IKE（網際網路金鑰交換） - 網際網路金鑰交換 (IKE) 協議在兩個網際網路連線的裝置之間提供安全連線。兩個裝置都建立一個安全關聯 (SA)，這需要在傳輸和接收後續資料包之前設定加密金鑰和演算法。

最後，雖然網際網路協議 (IP) 不是 IPsec 套件的一部分，但 IPsec 直接在 IP 之上執行。

IPSec演算法和協議

IPSec是一組安全協議和基於密碼學的服務，旨在保護透過不受信任的網路傳送資料的裝置之間的通訊安全。IPSec基於一組廣泛接受的協議和演算法，因此可以在Firebox和許多其他支援這些常用協議的裝置或雲端終結點之間建立IPSec VPN。

加密演算法

• AES（高階加密標準）
• 3DES（三重DES）
• DES（資料加密標準）

身份驗證演算法

• HMAC-MD5（雜湊訊息認證碼 - 訊息摘要演算法5）
• HMAC-SHA1（雜湊訊息認證碼 - 安全雜湊演算法1）
• HMAC-SHA2（雜湊訊息認證碼 - 安全雜湊演算法2）
  • SHA2-256：產生一個265位（32位元組）的訊息摘要
  • SHA2-384：產生一個384位（48位元組）的訊息摘要
  • SHA2-512：產生一個512位（64位元組）的訊息摘要

IPSec的用途

IPsec可用於以下任務：

• 需要路由器安全性的開放網際網路資料傳輸。
• 需要加密的應用程式資料。
• 立即驗證資料來自已知傳送方。
• 透過建立加密電路或IPsec隧道來加密兩個端點之間傳輸的所有資料，從而保護網路資料。

組織使用IPSec作為針對重放攻擊的安全措施。重放攻擊或中間人攻擊是指攔截和修改即時傳輸，並將資料傳送到充當中介的計算機的行為。IPSec協議為每個資料包分配一個序列號，並檢查重複資料包。

IPSec 的模式

IPSec 運行於兩種模式，它們具有不同的保護級別。請參見下面的模式：

• 隧道模式 (Tunnel) − IPSec 隧道模式非常適合在公共網路上傳輸資料，因為它可以提高資料安全性，防止未經授權的訪問。計算機對所有資料（有效負載和報頭）進行加密，並新增新的報頭。
• 傳輸模式 (Transport) − IPSec 傳輸模式僅加密資料包的有效負載，而保留 IP 報頭不變。未加密的報頭幫助路由器確定每個資料包的目標地址。因此，IPSec 傳輸模式用於封閉和可信的網路中，例如保護兩臺計算機之間的直接連線。

IPSec 的優勢

• IPSec 是一種開放標準協議，得到眾多廠商的支援，可應用於各種場景。
• 它提供強大的加密安全功能，以保護敏感資料，同時確保網路隱私和完整性。
• IPSec 可用於保護大型網路，並可根據需要進行擴充套件或縮減。
• 它可以配置為保護各種網路拓撲結構，例如點對點、站點到站點和遠端訪問鏈路。
• IPSec 可以幫助減少網路擁塞並提高網路效率。

IPSec 的缺點

• IPSec 的一個缺點是其高階配置要求專業知識和技能。
• 由於 IP 資料包加密和解密相關的開銷，IPSec 會影響網路效能。
• IPSec 僅保護 IP 流量，而其他協議（如 ICMP、DNS 和路由協議）仍然容易受到攻擊。
• IPSec 依賴於正確的金鑰管理，以保證用於加密和身份驗證的加密金鑰的安全性。
• IPSec 可能與某些網路裝置和軟體不相容，從而導致互操作性問題。