网站建设钅金手指排名十五,小程序外包多少钱,南通外贸网站制作,杭州网站基建IPsec中IKE与ISAKMP过程分析#xff08;主模式-消息1#xff09;_搞搞搞高傲的博客-CSDN博客 IPsec协议族中IKE#xff08;Internet Key Exchange#xff09;是一种基于ISAKMP的协议#xff0c;它为建立IPSec安全通信隧道提供了一种无痕密钥交换的机制。简单来说#xff… IPsec中IKE与ISAKMP过程分析主模式-消息1_搞搞搞高傲的博客-CSDN博客 IPsec协议族中IKEInternet Key Exchange是一种基于ISAKMP的协议它为建立IPSec安全通信隧道提供了一种无痕密钥交换的机制。简单来说IKE就是ISAKMP的扩展为ISAKMP提供了更加高效、灵活和安全的密钥协商机制。 GMT 0022-2014 IPSec VPN 技术规范 标准参考。 ISAKMPinternet secrity assocaition and key management protocol 互联网安全联盟和密钥管理协议定义了建立、协商、修改和删除安全联盟的过程和报文格式并定义了交换密钥产生和鉴别数据的载荷格式。这些格式为传输密钥和鉴别信息提供了一致的框架。 IKEinternet key exchange密钥交换协议则定义了协商、建立、删除安全联盟的过程和报文格式。具体协议报文使用UDP 500或4500端口传输。 IPsec IKE包括二个阶段第一阶段主模式6条消息和第二阶段快速模式3条消息。第一阶段还有一种野蛮模式Agressive只包含3条消息后续作为专题再说
阶段目标过程消息IKE第一阶段建立一个ISAKMP SA实现通信双发的身份鉴别和密钥交换得到工作密钥 (1)HDR,SA (2)HDR,SA,Cert_sig_r,Cert_enc_r (3)HDR,XCHi,SIGi (4)HDR,XCHr.SIGr (5)HDR*,HASHi (6)HDR*,HASHr IKE第二阶段协商IPsec SA实现通信双方IPsec SA得到ipsec安全策略和会话密钥 (1)HDR*,HASH(1),SA,Ni (2)HDR*,HASH(2),SA,Nr (3)HDR*,HASH(3) IKE第一阶段消息2由响应方发出具体包括一个SA载荷确认响应方所接受的SA提议响应方签名证书和加密证书。由于目前还没有任何协商得到密钥所以消息2还是以明文传输。 消息2报文结构如下HDR头后面紧跟SASA载荷中确认各类密钥算法且与发起发的提议不得有任何修改。在SA之后响应方的签名证书和加密证书X.509证书结构。 确认的SA抓包如下具体字段意义同消息1中SA载荷这里不再重复说明。另外说明一下这里Vendor IDVID载荷是为实现IPsec NAT穿越的它们与IKE是相对独立的并不参与交换过程的所有密码运算。 国密标准公钥密码体制使用双证书也就是说签名证书和加密证书是分开的前者是用于完整性、真实性和不可否认性保护场景后者则是用于数据机密性保护典型场景是数字信封ipsec协议中也是这样。 从抓包来看SA载荷后并没有发送响应方的数字证书不满足GMT0022-2014国密标准原因现在不太清楚先留下待考证吧。
