Windows 2000中的网际协定保险

Windows 2000中的网际协议安全






　　网际协议安全(IPSec)
　　　　网际协议安全(IPSec)可以对专用网络和Internet攻击的自动保护，同时坚持易用性。并且，它是一套基于加密术的保护服务以及安全协议。它采取端对真个安全保护模式，保护工作组、局域网盘算机、域客户和服务器、间隔很远的分公司、Extranet、周游客户以及远程管理计算机间通讯的才能。
　　　　IPSec作为安全网络的长期方向，是基于密码学的保护服务和安全协议的套件。因为它不需要更改应用程序或协议，您可以很轻易地给现有网络安排IPSec。
　　　　Windows 2000的IPSec实现基于Internet工程义务组(IETF)IPSec工作组开发的产业标准。
　　
　　Windows2000的安全策略模式
　　　　更为强盛的基于加密术的保险方式可能导致大幅度增添治理开销。Windows 2000 通过实现基于策略的网际协定平安 (IPSec) 管理防止了该缺点。
　　　　可以使用策略而非应用程序或操作系统来配置 IPSec 。网络安全管理员可以配置多种 IPSec 策略，从单台计算机到Active Directory域、站点或组织单位。Windows 2000 提供集中管理掌握台、IP安全策略管理来定义和管理IPSec策略。在大多数已有网络中，可以配置这些策略为大多数交通类型提供各种级别的保护。
　　
　　IPSec 的数据保护方法
　　　　因为网络攻击可能导致系统停工、出产力丧失和敏感数据的公开裸露，所以保护信息不被未经受权的第三方破译或修改是高度优先的事件。
　　　　网络保护策略个别都是集中在周界安全方面，通过使用防火墙、安全网关和拨,拜访的用户身份验证来避免来自私有网外部的攻击。然而，它并不保护不受来自网络内部的袭击。
　　　　只集中在访问节制安全性例如使用智能卡和Kerberos可能不会带来全面的保护，因为这些方法依附于用户名和密码。有很多计算机是由多个用户共享使用的，因为它常常处于已登录状况而导致计算机的不安全。另外，如果一个用户名或密码已被攻击者截获，单单基于访问把持的安全性不会预防非法访问网络资源。
　　　　物理级的保护策略通常不使用，它保护物理的网线和访问点不被使用。然而，这好象不大可能保障全部网络门路的安全得到保护，由于数据将不得不从源到目标地传布。
　　　　一个完美的安全打算包括多个安全策略以失掉深度的保护。其中的任何一个策略都可以和IPSec联合。这就通过保证发送端计算机在传输前，也就是每个IP数据包达到网线之前对实在施保护，而接受端计算机只有在数据被吸收和验证之后再解除对数据的保护，从而提供了另一层安全性。
　　
　　网络安全
　　　　在 IP 传输层网络层 3实现 IPSec 会启用开销很小的高等保护。配置使用 IPSec 不需要更改已有的应用程序或操作体系。可以配置 IPSec 用于已有的企业方案，例如：工作组；局域网 (LAN)：客户/服务器，平等网；远程访问：漫游客户、Internet 访问、Extranet、远程办事处。
　　　　其他在网络层3以上运行的安全机制例如安全套接层，SSL仅保护会使用 SSL 的应用程序，例如 Web 阅读器。必须修改所有其他的应用程序以使用 SSL 保护通讯。其他在网络层 3 以下运行的安全机制例如链接层加密仅保护该链接，而不必保护数据路径上的所有链接。这使得链接层加密无奈实用于 Internet 或路由 Intranet 计划上的端对端数据保护。
　　　　在网络层3上履行的IPSec保护TCP/IP协议簇中所有IP跟更高层的协议，例如TCP、UDP、ICMP、Raw协议 255，甚至维护在 IP 层上发送通信的自定义协议。保护此层信息的重要利益是所有使用 IP 传输数据的利用程序和服务均能够应用 IPSec 掩护，而不用修正这些运用程序和服务。要保护非 IP 协议，数据包必需由IP封装。
　　
　　IPSec 的密钥保护
　　　　IPSec 保护数据将让攻击者觉得破解相称艰苦或基本不可能。算法和密钥的组合用于保护信息。通过使用基于加密的算法和密钥取得高安全级。算法是用来保护信息的数学进程，密钥是须要读取、修改或验证所保护数据的密码或数字。
　　
　　IPSec 使用以下特征大幅度地禁止并减少网络攻打：
　　
　　主动密钥管理
　　密钥天生
　　　　要启用安全通讯，两台计算机必须可以建破相同的共享密钥，而不能通过网络在彼此之间发送密钥。IPSec 使用 DiffieHellman 算法启用密钥交换，并为所有其余加密密钥供给加密材料。
　　　　两台计算机启动 DiffieHellman 计算，而后公然或机密使用身份验证)交换旁边成果。计算机素来不发送真正的密钥。通过使用来自交流的共享信息，每台计算机都生成雷同的密钥。专家级用户可以修改默认密钥交换及数据加密密钥设置。
　　
　　密钥长度
　　　　每当密钥的长度增长一位，可能的密钥数会加倍，破解密钥的难度也会成倍加大。两台计算机之间的 IPSec 安全协商生成两品种型的共享密钥：主密钥和会话密钥。主密钥很长，有 768 位或 1023 位。主密钥用作会话密钥的源。会话密钥由主密钥通过一种尺度办法生成，每种加密和完整性算法都需要会话密钥。
　　
　　如何管理睬话密钥――密钥交换
　　　　保护密钥交换阶段的密钥的强度通过以下特性被加强：
　　　　1、密钥性命期
　　　　生命期设置决定何时生成新密钥。任何时候当密钥的生命期到达时，相干的 SA 也将重新协商。在一定的时光距离内重新生成新的密钥的过程被称为动态重新生成密钥或密钥重新生成。生命期容许您在必定的时间距离后强制生成重新生成新的密钥。例如，如果通讯需要 100 分钟并且您指定的密钥生命期为10 分钟，那么，在交换的过程中将生成 10 个密钥，每 10 分钟一个。使用多个密钥保证了即便攻击者获得了一局部通讯的密钥，也不会危及全体通讯的安全。密钥的自动重新生成由默认设置提供。专家级用户可以笼罩默认值，通过会话密钥或“完整转寄保密”指定一个主密钥生命期以分钟为单位。 　　设置不同的密钥生命期时应倍加警惕，因为他们也将决定 SA 的生命期。例如，设置主密钥生命期为 8 小时480 分钟，会话生命期在“筛选器操作”中设置为 2 小时将导致在 ISAKMP SA 过期后 IPSec SA 仍保存 2 小时。如果新的 IPSec SA 正好在 ISAKMP SA 过时前生成，就会产生这种情形。
　　　　2、会话密钥限制
　　　　再三地从相同的主密钥从新生成密钥将终极危及该密钥的安全。例如，如果计算机 A 上的 Bob 发送一条新闻给计算机 B 上的 Alice，然后过了多少分钟又发送一条消息给 Alice，因为与该计算机刚树立安全关联，相同的密钥资料可以重用。如想制约该重用次数，专家级用户可以指定一个会话密钥限制。 　　留神，假如你决议启用主密钥的“完整转寄保密”，会话密钥限度将被疏忽；PFS 每次都强迫重新生成密钥。例如，启用主密钥的“完全转寄保密”相称于将会话密钥限制指定为 1。