云南龙网

  1. 首页 > 云知道 > >

ESP IP 封装安全有效载荷( 六 )

云知道


在分组解密之前 ， 接收方迅速检测和拒绝分组重播或伪造分组 ， 因而潜在地降低拒绝服务攻击的
影响 。同时它也考虑了接收方并行分组处理的可能性 ， 即加密可以与验证并发执行 。注重因为验
证数据不受加密保护 ， 必须采用一种键控的验证算法计算ICV 。
3.3.3序列号产生
当SA建立时 ， 发送方的计数器初始化为0 。发送方为这个SA增加序列号 ， 把新值插入到序
列号字段中 。采用给定SA发送的第一个分组具有序列号1 。
假如激活抗重播服务（默认） ， 发送方核查确保在序列号字段插入新值之前计数器没有循环 。
换言之 ， 发送方不答应在一个SA上发送一个引起序列号循环的分组 。传输一个可能导致序列号
溢出的分组的尝试是可审核事件 。（注重这种序列号治理方式不需要使用模运算）
发送方假定抗重播服务是一种默认支持 ， 除非接收方另外通告（参看3.4.3） 。因此 ， 假如计
数器已经循环 ， 发送方将建立新SA和密钥（除非SA被配置为手工密钥治理） 。
假如抗重播服务被禁止 ， 发送方不需要监视或者把计数器置位 ， 例如 ， 手工密钥治理情况下
（参看第5节） 。但是 ， 发送方仍然增加计数器的值 ， 当它达到最大值时 ， 计数器返回0开始 。
3.3.4完整性校验值计算
假如SA选择验证 ， 发送方在ESP分组上计算ICV但不包含验证数据 。因此SPI、序列号、
有效载荷数据、填充（假如存在）、填充长度和下一个头字段都包含在ICV计算中 。注重因为加
密比验证先执行 ， 最后4个字段将是密文形式 。
一些验证算法中 ， ICV计算实现所使用的字节串必须是算法指定的块大小的倍数 。假如这个
字节串长度与算法要求的块大小不匹配 ， 必须在ESP分组末端添加隐含填充 ， （下一个头字段之
后）在ICV计算之前添加 。填充八位组必须是0值 。算法规范指定块大小（和因此的填充长度） 。
这个填充不随分组传输 。注重MD5和SHA-1内部填充协定 ， 它们被看作有1字节的块大小 。
3.3.5分片
假如需要 ， IPsec实现内部ESP处理之后执行分片 。因此传送模式ESP应用于整个IP数据报
（而不是IP片段） 。ESP处理过的分组本身可以在途中由路由器分片 ， 这样的片段接收方必须在
ESP处理之前重组 。隧道模式时 ， ESP应用于一个IP分组 ， 它的有效载荷可能是一个已分片的
IP分组 。例如 ， 安全网关或者“堆栈中的块”或者“线路上的块”IPsec实现（安全架构文档中
定义）可以把隧道模式ESP应用到这样的片段中 。
注重：传送模式—3.1节开始提及的 ， 堆栈中的块和线路上的块实现可以由本地IP层首先重
组已分片的分组 ， 接着应用IPsec ， 再把结果分组分片 。
注重：对于IPv6–堆栈中的块和线路上的块实现 ， 有必要查看所有扩展头来确定是否有一个
分片的头 ， 从而决定分组是否需要在IPsec处理之前重组 。
3.4入站分组处理
3.4.1重组
假如要求 ， 在ESP处理之前进行重组 。假如提供给ESP处理的分组是一个IP分片 ， 即OFFSET
字段值非0 ， 或者MOREFRAGMENTS标志位置位 ， 接收方必须丢弃分组；这是可审核事件 。
该事件的核查日志表项应该包含SPI的值 ， 接收日期/时间 ， 源地址 ， 目的地址 ， 序列号和（IPv6）
信息流ID 。
注重：对于分组重组 ， 当前IPv4规范不要求OFFSET字段清为0或者MOREFRAGMENTS
标志清空 。为了已重组的分组由IPsec处理（与外观上看是一个分片而丢弃相对应） ， IP代码必

推荐阅读


上一篇：美发店名字 美发店名字大气

下一篇：遇见APP预防骚扰设置