信息安全原理复习题 - 图文

1. 如何理解Ipsec 安全联盟SA的本地化和单向性？在同一个节点设备上AH和ESP能共享同一个SA吗？为什么？（15）

安全关联是两个应用IPsec实体（主机、路由器）间的一个单工连接，决定保护什么、如何保护以及谁来保护通信数据。它规定了用来保护数据报安全的安全协议、密码算法、密钥以及密钥的生存期。SA是单向的，要么对数据报进行“进入”保护，要么对数据报进行“外出”保护。

· 思考题. 为什么IPSec要对进入和外出两个方向的SA进行单独的控制?

进入和外出的数据的安全需求不同，一般对进入的数据安全要求更高，因此它们的安全处理未必相同，需要用不同SA处理

一个SA对IP数据报只能提供AH或ESP保护。 补充：

若应用IPsec，策略要包含使用的安全协议（AH、ESP）、模式、算法等参数以安全关联的形式存储在SAD(security Association database)中。 安全关联的字段包括：

目的IP地址(SA的目的地址，可为终端防火墙、路由器、系统等网络设备)、IPsec协议（标识用的AH还是ESP）、序号计数器（用于产生AH或ESP头的序号）、序号计数器溢出标志（若溢出，则产生一个审计事件，并禁止用SA继续发送数据报）、抗重放窗口（32bit计数器及位图，决定进入的AH或ESP数据报是否为重放的）、密码算法和密钥、安全关联的生存期.

AH对应IPsec数据交互阶段，AH只提供认证功能（数据源发认证和完整性校验），ESP同时提供机密性和完整性保护（机密性和认证服务），因为加解密操作是耗时的，所以在仅需要认证的场合就可以使用AH。

从部署方面看，IPsec有传输和隧道两种模式，在网关上使用IPsec时，通常使用隧道模式，当在两台主机上使用时，通常使用传输模式。

2. 分析SSL防重放攻击的安全机制，并比较分析其与ipsec反重放机制的主要异同点（20）

SSL防重放是通过客户端（服务器）向服务器（客户端）发送随机数来实现，期待这个随机数两次是不同的，如果有两次随机数相同，则说明发生了重放攻击。

Ipsec防重放是使用AH 或ESP中的序号，若两次序号相同，则发生了重放攻击。

1 / 11

补充：

IPsec防重放攻击：

使用AH（ESP）保护数据发送接收数据的处理过程： 发送数据

① 查询SA以获取安全参数 ② (报文加密) ③ 生成序号 ④ 计算认证数据 ⑤ 构造IPsec报文并发送 接收数据：

① 根据在SAD中查找相应的SA，如果找不到就丢弃这个报

文

② 使用滑动窗口机制验证序号，防止重放攻击

③ 验证认证数据，若通过验证，则还原数据并递交给相应的协议模块或转发，否则丢弃报

文（验证认证数据，验证失败则丢弃报文）

④ (解密，并将还原后的数据递交给相应的协议模块或转发，解密失败则丢弃报文)

SSL（安全套接层）标准规定了4个协议：握手协议（与SSL协商有关）、更改密码规范协议（与ssl协商有关）、警告协议（同时包含SSL安全通道关闭及错误通告功能）、记录协议（数据封装和处理）。

SSL提供的安全服务：机密性、完整性、服务器认证以及可选的客户端认证。

2 / 11

客户端想服务器发送ClientHello消息，其中包含了客户端所支持的各种算法和一个随机数，这个随机数将用于各种密钥的推导，并可以防止重放攻击。 服务器端返回ServerHello消息，随机数的功能与上述相同。

警告协议包括两种功能：一是提供了报错机制，即通信双方若某一方法发现了问题便会利用该协议通告对等段；二是提供了安全断连机制，即以一种可认证的方式关闭连接。

3. 从适用场景、安全机制、能对抗的安全威胁等方面（至少包括、但不限于），

具体比较分析L2tp用户认证与PGP 认证的实现原理和安全性。（15）

LAC：L2TP接入集中器；LNS：L2TP网络服务器 远程系统的PPP帧首先发送给LAC，LAC将它作为L2TP协议报文的数据区封装并发送给LNS，LNS则对报文进行解封处理后发送给家乡网络中的主机。某些情况下，主机可以不依赖LAC，而是独立运行L2TP，并于LNS建立隧道。

数据消息：通过数据通道传输，不保证数据的可靠传输，承载PPP帧。

控制消息：通过控制通道传输，保证控制消息的可靠传输，用于L2TP隧道和会话的协商及维护。

L2TP基于UDP。L2TP包括两种消息，数据消息和控制消息，分别通过数据通道和控制通道传输，L2TP不保证数据消息的可靠传输，但保证控制消息的可靠传输。L2TP不提供对PPP数据的机密性和完整性保护，若使用CHAP，则可体现端点身份认证的功能。 L2TP规定了以下确保控制消息的可靠投递的机制：

① 每个L2TP 报文都包含序列号，从而为监测报文丢弃和乱序提供了基础

3 / 11

② L2TP使用肯定确认防止报文丢弃，即接收方收到报文后发回确认。发送发若在一段时间

之内没有手动啊确认则重发 ③ L2TP使用滑动窗口技术提高通信效率并进行流量控制 ④ L2TP使用慢启动策略防止拥塞

PGP的安全业务

数字签名:DSS/SHA或RSA/SHA 完整性：RSA、MD5

消息加密:CAST-128或IDEA或3DES + Diffie-Hellman或RSA 数据压缩:ZIP

邮件兼容:Radix 64(将任意二进制输入，转换成可打印的字符输出的编码技术) 数据分段：大邮件自动分段并在接收时自动恢复。 ·身份鉴别

·保密性

? 发生在签名后、加密前。 压缩

4 / 11

压缩发生在签名后，加密前

以下各题考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关，C是后台业务资源网的接入网关。前述两个网内部IP分配均是独立的私网地址，A与C之间为第三方IP网络，其间可能存在NAT、或代理、或端口控制等环节。

C：网关W:无线APA:网关D：服务器B：工作站

4.上图所示网络环境中，请注意B所在网段有网关A和无线网关W两个出口。 需要从B-C建立端-gate的IPSEC通道、并屏蔽W带来的不确定性，如何建立B-C的ipsec SA安全联盟？ （1）请给出各种可能的sa组合；

（2）并从中挑选出符合要求的ipsec sa隧道配置方案，并给出理由； （3）比较分析各种可能的组合各自存在的主要安全风险、以及对抗安全威胁能力的区别。（25）

5 / 11

本文来源：https://www.bwwdw.com/article/p9mx.html