IKE原理以及协商过程示例

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE原理以及协商过程示例

ISSUE 1.0

日期：2012年10月17日 版权所有，严禁以盈利为目的传播

杭州华三通信技术有限公司

IKE协议介绍,并针对共享密钥和快速模式进行举例

引入

IPSec是安全领域常用的一组协议，IKE是其中之一， 但是IKE不仅仅能用于IPsec

学习IKE需要具备一定的安全知识

需要了解各种加密算法、验证算法

IKE协议介绍,并针对共享密钥和快速模式进行举例

课程目标

学习完本课程，您应该能够：

掌握IKE基本原理 熟悉IKE的报文结构 熟悉预共享密钥的认证方式 熟悉MAIN模式的协商过程

IKE协议介绍,并针对共享密钥和快速模式进行举例

什么是IKE

IKE（ Internet Key Exchange，因特网密钥交 换协议，RFC2409）：是以受保护的方式动态 协商安全联盟的一种协议。

IKE的功能：

协商通信双方安全特性、参数 进行通信双方身份认证 用安全的方法产生，交换密钥 管理、更新、删除安全联盟（SA）

http://www.77cn.com.cn

4

IKE协议介绍,并针对共享密钥和快速模式进行举例

什么是SA

SA（Security Association，安全联盟）

通信实体之间经过协商建立起来的一种协定，从而决

定了哪些数据需要保护、采用什么算法来保护等。

SA是单向的，因此每个安全通信单体必须要有两种SA，

一个入方向

，一个出方向

http://www.77cn.com.cn

5

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE的安全机制

DH（Diffie Hellman）交换技术；

IKE具有完善的数据认证方式。

http://www.77cn.com.cn

6

IKE协议介绍,并针对共享密钥和快速模式进行举例

DH算法

Diffie-Hellman（DH）交换及密钥分发：DH密钥 交换是一种公共密钥加密系统。利用DH交换技术， 我们可以在一个不受保护的通信信道上，在交换 双方建立一个安全的共享密钥会话。

p和g x C=gx

x

y

mod p

D=gy

mod p

D mod p

PEER1

x

y

C ymod p

xy

d mod p=c mod p=g mod p

PEER2

http://www.77cn.com.cn

7

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE的数据认证

身份认证：身份认证确认通信双方的身份。我司设备先 支持两种认证方法：预共享密钥（pre-shared-key）认 证和基于数字签名（rsa-signature）的认证。

基于预共享密钥（Pre_Shared

Key）：双方事先约

定好一个共享 的密钥。

基于数字签名（Digital

Signature）：利用数字证书 来表示身份，利用数字签名算法计算出一个签名来 验证身份。

身份保护：身份保护在传送中保护身份数据。身份数据 在密钥产生之后加密传送，实现了对身份数据的保护。

http://www.77cn.com.cn

8

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE基本组成

IKE属于一种混合型协议，建立在由ISAKMP定 义的一个框架之上，定义了自己的密钥管理方 式。

IKE协商报文以ISAKMP协议封装，学习IKE有 必要先了解ISAKMP协议、ISAKMP头结构， ISAKMP载荷等。

http://www.77cn.com.cn

9

IKE协议介绍,并针对共享密钥和快速模式进行举例

ISAKMP协议

ISAKMP（Internet Security Association Key Management Protocol，Internet安全联盟密钥 管理协议）：RFC2408。

ISAKMP只是为协商、修改、删除SA的方法提 供了一个通用的框架，并没有定义具体的SA格 式。这个通用的框架是与密钥交换独立的，可 以

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE协议介绍,并针对共享密钥和快速模式进行举例

IKE协议介绍,并针对共享密钥和快速模式进行举例