在互联网上的持续不断的不安全推动了IETF组织去开发统一的安全架构，能够符合国家关于加密通信的使用的法律。本文是对IP安全架构的规范和相关草案的一个简介。
一、前言
因特网技术的兴起，互连技术的成长，使得大家愈来愈仰赖Internet这个应用广泛的公众网络。因此如何让使用者透过因特网通讯，而不用担心传送的信息封包被截取、假冒，就显得相当重要。因为这些封包内容可能有你的ID，信用卡号码等重要的个人数据。
事实上，这几年来因特网上的安全标准有很多。例如:RFC1508和1509所规定的GSSAPI(Generic Security Service Application Program Interface)，Telnet，FTP和HTTP都可以使用;因特网工程小组(Internet Engineering Task Force; IETF)的PSRG小组所订定的PEM标准可以达到E-mail的安全性，而网络最著名的E-mail安全软件则是P. Zimmermann的PGP(Pretty Good Privacy);其它如EIT的S-HTTP(Secure HTTP)，Netscape的SSL(Secure Sockets Layer)，Microsoft的PCT以及上面提及的GSSAPI均可建立HTTP的安全机制，Visa的SET(Secure Electronic Transfer)则能达到安全的电子商务(Electric Commerce)。这些不论是对话层(Session Layer)或应用层(Application Layer)上的安全机制，使用者必须使用专属的通讯协议，或特定厂商的产品。
所以会有这样的问题，可以说都是TCP/IP惹的祸，IP标头中有来源(Source)，目的(Destination)地址，装载数据(Payload)，而TCP只负责将信息切割成封包，若遗失封包TCP再重送，所以TCP/IP根本没有安全性可言，使用一般Sniffing软件工具，即可一目了然地看到这些信息。
为了确保在任何IP网络上拥有安全的私密通信，也为了整合不同标准及不同厂商产品， IETF着手订定了一套开放标准网络安全协议IPSec (IP Security)。将密码技术应用在网络层，以提供传送、接收端做数据的认证(Authentication)、完整性(Integrity)、存取控制(Access Control)、以及机密性(Confidentiality)等安全服务。高层的应用协也可以直接或间接地使用这些安全服务。
IPSec是设计来达到网络层中端对端安全通讯的第三层协议，它主要的架构是IP认证标头(Authentication Header; AH)以及IP封装安全装载(Encapsulating Security Payload; ESP)。IP AH提供数据的完整性和认证，但不包括机密性，而IP ESP原则上只提供机密性，但也可在ESPHeader中订定适当的算法及模式来确保数据的完整性并认证，IP AH和IP ESP可以分开使用或一起使用。完整的IPSec还应包括IP AH和ESP中所使用金钥的交换和管理，也就是安全群组(Security Assocication; SA)和密钥管理IKE(Internet Key Exchange)， IPSec架构图，其中DOI(Domain of interpretation)是为了让其它协议可以使用ISAKMP而订定的Framework，让我们很清楚知道IPSec和IKE所扮演的角色。
本文的第二部份将介绍IP AH，第三部份的内容是IP ESP，第四部份叙述安全群组SA的观念，第五部份则是以一个实际的例子来说明IP AH和IP ESP实际运作的情形，第六部份介绍SKIP及ISAKMP/Qakley两个IETF所参考的金钥管理协议。ISAKMP/Oakley较有弹性且能支持较多的协议，已被选为IPv6的IPSec金钥管理协议。最后一部份则是以ISPec的角度来看它在VPN上的应用，并整理列出目前VPN符合IPSec标准的商用产品。
虽然针对IP层的安全机制尚有其它的IP Tunneling技术，例如基植于PPP而发展的PPIP(Point-to-Point Tunneling Protocol)，这是由Microsoft和Ascend所共同提出，可支持IP/IPX/NetBEUI，支持的厂商则有Nortel，3COM。另外L2TP(Layer 2 Tunneling Protocol)则是融合了PPTP和Cisco的L2F(Layer 2 Forwarding)，主要的厂商有Nortel和IBM。
本文主要介绍IFTF所制定的开放标准IPSec，因为它能整合不同的VPN系统而达到安全地网络互连目的。
1
2
3
4
5
下一页>>
