ntemnet和层安全性的主要优点

第5章电子商务基本，123，作，也能在IP的新版本(IPng或IPv6)下工作。该体系体例应当是与算法无关的，即使加密算法替换了，也纰谬其它部门的实现发生影响。此外，该体系体例必需能实施多种平安政策，但要避
免给不应用该体系体例的人造成晦气影响。依照这些请求IPSEC工作组制定了一个规范:认证头(Au-

thentication Header， AH)和封装平安有用负荷(Encapsulating Security Payload， ESP)。简言

之，AH供给IP包的真实性和完全性ESP供给机要内容。

实IP AH指一段新闻认证代码(Message Authentication Code， MAC)，在发送IP包之前，它

已经被事先盘算好。发送方用一个加密密钥算出AH，吸收方用统一-或另一密钥对之进行验证。假如收发两边应用的是单钥体系体例，那它们就应用统一密钥；假如收发两边应用的是公钥体制，那它们就应用分歧的密钥
。在后一种情况，AH体系体例能额外埠供给弗成否定的办事。事实上，有些在传输中可变的域，如IPv4中的time-to-live域或IPv6中的HopLimit域，都是在 AH的盘算中必需疏忽不计的。RFC1828初次划定了加封状况下A
H的盘算和验证中要采取带密钥的MD5算法。而与此同时，MD5和加封状况都被批驳为加密强度太弱，并有调换的方案提出。

IPESP的根本设法主意是全部IP包进行封装，或者只对ESP内上层协定的数据(运输状况) 进行封装，并对ESP的绝年夜部门数据进行加密。在管道状况下，为当前已加密的ESP附加了一个新的IP头(纯文本)，它可以用来对IP包
在Internet上作路由选择。吸收方把这个IP头取失落，再对ESP进行解密，处置并取失落ESP头对本来的IP包或更高层协定的数据就像对通俗的IP包那样进行处置。在RFC1827中对ESP的格局作了划定。在RFC1829中划定了
在密码块链接(CBC)状况下ESP加密息争密要应用数据加密尺度(DES)。固然其它算法和状况也是可以应用的，但一些国度对此类产物的进出口掌握也是不克不及不斟酌的身分。有些国度甚至连私用加密都要限制。

AH与ESP体系体例可以合用，也可以分用。不管怎么用都逃不脱传输剖析的进击。人们不太清晰在Internet层上，是否真有经济有用的反抗传输剖析的手腕，然则在Internet用户里，真正把传输剖析当回事儿的也是寥若晨星。山P

1995年8月，Internet工程引导小组(IEGS)同意了有关IPSP的RFC作为Internet 尺度系列的推举尺度。除RFC1828和RFC1829外，还有两个试验性的RFC文件，划定了在AH和 ESP体系体例中，用平安散列算法(SHA)取代MDS(RFC
1852)，应用三元DES取代DES (RFC1851)。在最简略的情形下， IPSP用手工来设置装备摆设密钥。然而，当IPSP年夜范围成长的时候，就须要在Intermet上树立尺度化的密钥治理协定。这个密钥治理协定依照IPSP平安条例的请求，指定治理密钥的办法。

是以，IPSEC工作组也负责进行Internet 密钥治理协定(IKMP)，其它若干协定的尺度化工作也已经提上日程。

Intemnet和层平安性的重要长处是它的透明性，也就是说平安办事的供给不须要运用程序其它通讯条理和收集部件做任何修改。它的最重要的缺陷是: Internet 层般对属于分歧过程和响应条例的包不作差别。对所有去往统一
地址的包，它将依照同样的加密密钥和拜访掌握策略来处置。这可能导致供给不了所需的功效，也会导致机能降低。针对面向主机的密钥分派的这些问题，RFC 1825许可(甚至可以说是推举)应用面网站设计

向用户的密钥分派，个中分歧