基于TCP/IP协议的各层风险分析及对应安全协议KB（持续更新）_tcp/ip各层使用的安全协议了解

目录

TCP/IP协议模型：

TCP/IP协议安全威胁及相关安全协议：

应用层安全：

传输层安全：

网络层安全：

网络层接口层安全： 

---

TCP/IP协议模型：

应用层

传输层

网络层

网络接口层

TCP/IP协议安全威胁及相关安全协议：

应用层安全：

应用层协议直接面向网络应用提供支持，根据不同的应用实现差异较大。不同的应用根据自身特性都有自身的安全性问题。

  安全风险

• 身份认证简单、弱口令、身份伪造等
• 使用明文传输数据，导致数据泄露、数据伪造等一系列问题。攻击者可通过抓包获取传输终端的敏感信息。
• 缺乏数据完整性保护，引发数据破坏、篡改等问题，可能被利用用户提交的数据实施诈骗等。

  安全协议

根据对应的应用安全需要及其特点而设计的安全协议，如S/MIME（Secure Multipurpose Internet Mail Extensions,电子邮件安全协议）、S-HTTP（Secure Hypertext Transfer Protocol,安全超文本本传输协议）等

传输层安全：

传输层为两台主机上的应用程序提供端到端的通信服务，主要使用TCP和UDP两种协议。

安全风险

• TCP协议提供可靠的、面向连接的数据通信服务（基于TCP的拒绝服务攻击，详见：基本网络攻击手段与对抗防御KB）。
• UDP提供不可靠的、无连接的数据包通信服务。相对于TCP协议，UDP协议没有标记为、指针、序号等各种控制标记，因此无法提供数据包分组、排序、重发、流量控制等功能，无法保证数据送达。

安全协议

传输层安全主要在端到端实现，可以提供基于进程到进程的安全通信，安全协议主要有SSL和TLS。

• SSL（Secure Sockets Layer,安全套接层）建立在TCP协议和上层应用应用层协议之间，主要提供：用户和服务器的合法性认证、加密被传送的数据、维护数据的完整性。
• TLS（Transport Layer Security,安全传输层），由IETF将SSL做了标准化，形成RFC2246，并将其称为TLS。

网络层安全：

网络层又称网络接口层或网际层，处理分组在网络中的活动，协议包括IP协议、ICMP协议以及IGMP协议（Internet组管理协议）。

  安全风险

当前使用的主流IPv4提供无连接的不可靠服务，无数据差错控制，无法进行重发、流量控制等。攻击者利用IP协议的不足，可以实施IP欺骗、源路由欺骗及碎片攻击等多种不同类型的攻击。

  安全协议

IPSec（Internet Protocol Security,IPSec）是主要的互联网络层安全通信协议，由IETF（Internet工程任务组）于1998年制定的一组基于密码学的安全的开放网络安全协议。主要提供访问控制、无连接的完整性、数据源认证、机密性保护、有限的数据流机密性保护以及抗重放攻击等安全服务。

该协议通过AH(Authentication Header,认证头协议)为IP数据包提供面向无连接完整性与数据源认证，并提供保护避免重播情况。一旦建立安全连接，AH协议就尽可能的为IP头和上层协议数据提供足够多的认证。        通过封装ESP(Encapsulating Security Payload,安全载荷协议) 加密需要保护的载荷数据，并为保护的载荷数据提供机密性和完整性的保护能力。

*AH协议和ESP协议可被独立使用，也可以相互结合使用。

*IPV6，为解决IPv4网络地址用尽而设计，IPv4使用32位二进制数字来标识网络中的设备和终端，可使用大约43亿个地址...尽管NAT协议：网络地址转换技术协在一定程度上缓解了地址不足的问题，但是仍无法满足需求。IPv6重新定义了地址空间，采用128位地址长度提供地址空间，地址数量巨大。        除此之外，IPv6还内置了安全性，增加了网络对加密和认证的支持。并内嵌了对IPSec的支持，通过访问控制、数据源的身份验证、数据完整性检查、机密性保证以及抗重播攻击等机制，有效地在网络层解决端到端数据传输的安全问题。

网络接口层安全：

网络接口层也称链路层或数据链路层，主要（1）为IP模块发送和接受IP数据报。（2）为ARP地址解析协议模块发送ARP请求和接收ARP应答。（3）为RARP（逆地址解析协议）发送RARP请求和接收RARP解答。

  安全风险

其中对于ARP和RARP协议，由于缺少较好的认证机制，攻击者很容易利用该协议进行ARP欺骗和拒绝服务攻击，从而假冒主机入侵其他被新任的主机。

  安全协议

        通过建立专用通信链路，在主机和路由器之间提供安全保证。主要安全协议有PPTP、L2TP等。

• PPTP（Point to Point Tunneling Protocol，点对点隧道协议），是在PPP协议基础上开发的一种新的增强型安全协议，支持虚拟专网（VPN），可以通过密码身份验证协议（Password Authentication Protocol,PAP）、可扩展身份验证协议（Extensible Authentication Protocol,EAP）等方法增强安全性。可使用远程用户通过拨入ISP、通过直接连接Internet或其他网络安全地访问目标网络。

• L2TP（Layer 2 Tunneling Protocol，第二层隧道协议），是基于PPTP和L2F(Level 2 Forwarding protocol，二层转发协议)设计，在链路层为客户端和服务端之间建立经过认证的虚拟私网，通过与加密协议的搭配使用实现数据的加密传输。此协议同时支持在两端点间使用多隧道，并可以在IP、帧中继永久虚拟电路、X.25虚拟电路或ATM网络上使用。

扩展篇：

典型网络攻击手段与对抗防御KB（持续更新）_网络对抗性攻击预防性攻击-CSDN博客