IPsec,传输模式可休矣

IPsec，传输模式可休矣西电捷通安全协议技术研究1. IPsec 简介IPsec（IP security）是 IETF（The Internet Engineering Task Force，互联网工程任务组）制定的三层隧道加密协议，它为 Internet 上传输的数据提供了高质量、可互操作、基于密码学的安全保证。特定的通信方之间在 IP 层通过加密与数据源认证等方式，提供了以下的安全服务：I、数据机密性（Confidentiality）：IPsec 发送方在通过网络传输包前对包进行加密。II、数据完整性（Data Integrity）：IPsec 接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。III、数据源认证（Data OriginAuthentication）：IPsec 在接收端可以认证发送 IPsec报文的发送端是否合法。IV、防重放（Anti-Replay）：IPsec 接收方可检测并拒绝接收过时或重复的报文。IPsec 不是一个单独的协议，它给出了应用于 IP 层上网络数据安全的一整套体系构架，包括 AH（Authentication Header，认证头）、ESP（Encapsulating Security Payload，封装安全载荷）、IKE（Internet Key Exchange，因特网密钥交换）和用于网络认证及加密的一些算法等。其中，AH 与 ESP 是用于提供安全服务的协议，IKE 是用于密钥交换的协议。IPsec 具有以下优点：a、支持 IKE（Internet Key Exchange，因特网密钥交换），可实现密钥的自动协商功能，减少了密钥协商的开销。可以通过 IKE 建立和维护 SA（Security Association，安全联盟）的服务，简化了 IPsec 的使用和管理。b、所有使用IP 协议进行数据传输的应用系统和服务都可以使用 IPsec，而不必对这些应用系统和服务本身做任何修改。IPsec 具有以下缺点：a、安全服务协议AH 和 ESP 所提供的功能重叠率非常高，虽然IPsec 的最新版本规定AH 为可选协议，但是并没有解决 IPsec 组合的复杂度问题。从而导致 IPsec 的工程实现以及部署维护的成本仍旧非常高。b、安全服务协议的工作模式众多：传输模式、隧道模式；再加上两种协议的组合，导致 IPsec 的复杂度高。协议包含有太多的选项和太多的灵活性，做同样或类似的事有几种方式，从而引入的复杂度会导致工程实现的系统非常复杂，存在的安全漏洞也就非常多，安全评估也就非常困难，从某种意义上来讲，复杂是安全的最大敌人。由于历史原因（例如，在制定之初，有些技术还没有发展起来；或者有些应用场景还没有出现），IPsec 在不断地打补丁、补漏洞导致 IPsec到目...