網(wǎng)絡(luò)安全傳輸通道技術(shù)的研究2007-9-1216:15:49【大中小】【您是本文第位讀者】摘要：安仝傳輸通道是對待傳輸?shù)脑夹畔⑦M行加密和協(xié)議封裝處理，從而實現(xiàn)安全傳輸?shù)募夹g(shù)，本文從介紹TCP/IP協(xié)議棧的分層體系結(jié)構(gòu)出發(fā)，分別在TCP/IP的各個層次I：提出了實現(xiàn)安全傳輸通道的技術(shù)和解決方案。特別是對網(wǎng)絡(luò)層的安全傳輸通道技術(shù)提出了實現(xiàn)機制。關(guān)鍵詞：安全傳輸通道、TCP/IP協(xié)議棧、安全協(xié)議、PPTP、L2TP、IPSec,SSL、SSH1概述隨著因特網(wǎng)的高速發(fā)展，網(wǎng)絡(luò)上開發(fā)的應(yīng)用越來越多，一些關(guān)鍵業(yè)務(wù)也開始通過因特網(wǎng)提供。而Internet的一大特性是他的開放性，正是這種開放性給因特網(wǎng)上服務(wù)的安全構(gòu)成了嚴(yán)重威脅。為了保證它健康有序的發(fā)展，必須在網(wǎng)絡(luò)安全上提供強有力的保證。所謂網(wǎng)絡(luò)安全傳輸通道，就是利用安全通道技術(shù)(SecumTunnelingTechnology),通過將待傳輸?shù)脑夹畔⑦M行加密和協(xié)議封裝處理后再嵌套裝入另一種協(xié)議的數(shù)據(jù)包送入網(wǎng)絡(luò)中，像普通數(shù)據(jù)包一樣進行傳輸。經(jīng)過這樣的處理，只仃源端和目的端的用戶對通道中的嵌套信息能夠進行解釋和處理，而對于其他用戶而言只是無意義的信息。網(wǎng)絡(luò)安全傳輸通道應(yīng)該提供以下功能和特性：.機密性：通過對信息加密保證只有預(yù)期的接收者才能讀出數(shù)據(jù)。.完整性：保護信息在傳輸過程中免遭未經(jīng)授權(quán)的修改，從而保證接收到的信息與發(fā)送的信息完全相同。.對數(shù)據(jù)源的身份驗證：通過保證每個計算機的真實身份來檢杳信息的來源以及完整性。.反重發(fā)攻擊：通過保證每個數(shù)據(jù)包的唯一性來確保攻擊者捕獲的數(shù)據(jù)包不能重發(fā)或重用。在因特網(wǎng)上普遍采用的是TCP/IP協(xié)議，TCP/IP協(xié)議的體系結(jié)構(gòu)相對于OSI/ISO體系結(jié)構(gòu)的7層模型是比較簡單而實用的，其模型如下：此體系結(jié)構(gòu)中，最下面的主機到網(wǎng)絡(luò)層實際上.包括了OSI模型中的2層：數(shù)據(jù)鏈路層和物理層。木文

將從TCP/IP的各個層次介紹相關(guān)的安全傳輸通道技術(shù)。2在數(shù)據(jù)鏈路層實現(xiàn)安全傳輸通道的技術(shù)[1]數(shù)據(jù)鏈路層技術(shù)涉及到軟件和硬件兩個方面，硬件方面不在本文中討論。當(dāng)前能在此層提供安全通道技術(shù)的安全協(xié)議主要有：PPTP和L2IP。它們主要是為了組建遠(yuǎn)程訪問VPN而提出的。PPTP是第2層協(xié)議，它將PPP幀封裝在1P數(shù)據(jù)報里以在IP網(wǎng)絡(luò)中傳輸.它是微軟開發(fā)的一個較舊的協(xié)議。相反，L2TP是基于Cisco的“第2層轉(zhuǎn)發(fā)（L2F）”協(xié)議和微軟的PPTP協(xié)議的較新協(xié)議。它可以封裝在IP、X.25、幀中繼、異步傳輸模式等上發(fā)送的PPP幀。雖然L2TP比PPTP更靈活，但它比PPTP需要更多的CPU能力。L2TP和PPTP的主要技術(shù)性區(qū)別如K：I.PPTP要求傳輸網(wǎng)絡(luò)基于IP,而L2TP只要求傳輸網(wǎng)絡(luò)提供點對點連通性；PPTP只支持VPN客戶機和VPN服務(wù)器之間的一個隧道，L2Tp允許在終點間使用多個隧道。使用L2TP可以為不同服務(wù)質(zhì)量而創(chuàng)建不同的隧道或滿足不同安全要求；L2TP提供信息頭壓縮，當(dāng)啟用信息頭壓縮時，L2TP以4字節(jié)開銷運行相當(dāng)于PPTP以6字節(jié)運行。PPTP的封裝原始IP數(shù)據(jù)報在PPTP客戶機和PPTP服務(wù)器之間傳輸時，PPTP封裝它。圖1顯示了PPTP信息包的封裝格式：IPQGRE>PPP~IPpTCP或UDPp用戶數(shù)據(jù)，i原始數(shù)據(jù)報，

圖1PPTP的封裝格式在上圖中，原始數(shù)據(jù)報首先封裝在PPP幀里。使用PPP可壓縮和加密該部分?jǐn)?shù)據(jù)。然后將PPP幀封裝在GRE（GenericRoutingEncapsulation）幀里，該幀是PPTP客戶機和PPTP服務(wù)器之間發(fā)送的新IP數(shù)據(jù)報的有效負(fù)載。該新數(shù)據(jù)報的源和目標(biāo)IP地址將和PPTP客戶機及PPTP服務(wù)器的IP地址相對應(yīng)。執(zhí)行中該數(shù)據(jù)報將進一步封裝在數(shù)據(jù)鏈路層幀里并且有正確的信息頭和信息尾。L2TP的封裝和PPTP相似，當(dāng)經(jīng)過傳輸網(wǎng)絡(luò)傳送時，L2TP封裝原始IP數(shù)據(jù)報。由于在L2TP中，是*IPSec提供加密功能，所以L2TP封裝分兩個階段完成：初始L2TP封裝和IPSec封裝。階段1:初始L2Tp封裝IP,UDP“L2TP,PPP|TCP或UDP「用戶數(shù)據(jù)；

初始數(shù)據(jù)報~階段2:IPSec封裝階段2:耍睦封裝，IP-ESP頭+UDP+]L2TP，ppp-TCP或UDP+用戶數(shù)據(jù);ESP尾1睇嗡證信息.i初始數(shù)據(jù)報，t使用聯(lián)加密Q圖2L2Tp的兩階段封裝如圖2所示，L2TP首先將原始數(shù)據(jù)報封裝在PPP幀里（和PPTP一樣）：然后將PPP幀插入到有UDP信息頭和L2Tp信息頭的新IP數(shù)據(jù)報。然后結(jié)果數(shù)據(jù)報再應(yīng)用IPSec加密。在這里，應(yīng)用了IPSec標(biāo)準(zhǔn)中的封裝安全載荷（ESP）協(xié)議的信息頭和信息尾以及IPSec驗證信息尾，這樣就保證了信息的完整性和機密性以及信息源的身份驗證。最外層IP報頭所包含的源和目標(biāo)IP地址與VPN客戶機和VPN服務(wù)器相對應(yīng)。

3在網(wǎng)絡(luò)層實現(xiàn)安全傳輸通道的技術(shù)[2]當(dāng)前，在網(wǎng)絡(luò)層實現(xiàn)安全已經(jīng)成為一大研究熱點，并且Internet工程任務(wù)組（IETF）于1998年公布了因特網(wǎng)安全體系結(jié)構(gòu)——IPSec規(guī)范，這更加速了這方面的研究和實施。IPSec簡介它是由IETF的IPSec工作組提出的將安全機制引入TCP/IP網(wǎng)絡(luò)的一系列標(biāo)準(zhǔn)，包括安全協(xié)議（驗證頭AH和封裝安全凈荷ESP）、安全聯(lián)盟、密鑰管理和安全算法等，它定義了IP數(shù)據(jù)包格式和相關(guān)基礎(chǔ)結(jié)構(gòu)，以便為網(wǎng)絡(luò)通信提供端對端、加強的身份驗證、完整性、反重播和保密性等。使用IETF定義的Internet密鑰交換（IKE）,還提供按需要的安全協(xié)商和自動密鑰管理服務(wù)。IPSec可保障主機之間、安全網(wǎng)美之間（如路由器或防火墻）或主機與安全網(wǎng)關(guān)之間的數(shù)據(jù)報的安全。它可以實現(xiàn)各種方式的VPN：ExtraNetVPN、IntraNetVPN和遠(yuǎn)程訪問VPN.安全協(xié)議包括驗證頭（AH）和封裝安全載荷（ESP）。他們既可用來保護一個完整的1P載荷，亦可用來保護某個IP載荷的上層協(xié)議。這兩方面的保護分別是由IPSec兩種不同的實現(xiàn)模式來提供的，如圖3所示：傳送模式用來保護上層協(xié)議；而隧道模式用來保護整個IP數(shù)據(jù)包。在傳送模式中，IP頭與上層協(xié)議之間需插入一個特殊的IPSec頭；而在通道模式中，要保護的整個IP包都需封裝到另一個IP數(shù)據(jù)報里，同時在外部與內(nèi)部1P頭之間插入一個IPSec頭。兩種安全協(xié)議均能以傳送模式或隧道模式工作。

IP關(guān)TCP頭數(shù)據(jù)「卜

初始弊據(jù)報+，IP頭W |TCP頭2|數(shù)據(jù)。~|2傳送模式下策典處理后的數(shù)據(jù)報格立

外層IP頭HJRS電頭QI內(nèi)層IP頭2TCP頭CI數(shù)據(jù)P卜

隧道模式下經(jīng)史處理后的數(shù)據(jù)報格式，圖3兩種模式下的數(shù)據(jù)報格式。，封裝安全載荷(EncapsulatingSecurityPayload,簡稱ESP)：屬于IPSec的?種安全協(xié)議，它可確保IP數(shù)據(jù)報的機密性、數(shù)據(jù)的完整性以及對數(shù)據(jù)源的身份驗證。此外，它也能負(fù)責(zé)對重放攻擊的抵抗。具體做法是在IP頭(以及任何選項)之后，并在要保護的數(shù)據(jù)之前，插入一個新頭，亦即ESP頭。受保護的數(shù)據(jù)可以是一個上層協(xié)議，或者是整個IP數(shù)據(jù)報。最后，還要在后面追加一個ESP尾,格式如圖4所示。ESP是種新的協(xié)議，對它的標(biāo)識是通過IP頭的協(xié)議字段來進行的。假如它的值為50,就表明這是一個ESP包，而且緊接在IP頭后面的是一個ESP頭。[3]IP頭ESP頭要保護的數(shù)據(jù)ESP尾圖4一個受ESP保護的IP包驗證頭(AuthenticationHeader,簡稱AH)：與ESP類似，AH也提供了數(shù)據(jù)完整性、數(shù)據(jù)源驗證以及抗重放攻擊的能力。但要注意它不能用來保證數(shù)據(jù)的機密性。正是由了這個原因，AH比ESP簡單得多，AH只有頭，而沒有尾，格式如圖5所示。[4]IP頭AH頭要保護的數(shù)據(jù)圖5一個受AH保護的IP包安全聯(lián)盟(SecurityAssociation＞簡稱SA)的概念為了正確封裝及提取IPSec數(shù)據(jù)報，有必要采取?套專門的方案，將安全服務(wù)/密鑰與要保護的通信數(shù)據(jù)聯(lián)系到一起；同時要將遠(yuǎn)程通信實體與要交換密鑰的IPSec數(shù)據(jù)傳輸聯(lián)系到一起。換言之，要解決如何保護通信數(shù)據(jù)、保護什么樣的通信數(shù)據(jù)以及由誰來實行保護的問題，這樣的構(gòu)建方案稱為“安全聯(lián)盟Internet密鑰交換(InternetKeyExchange.簡稱IKE)IKE的用途就是在IPSec通信雙方之間建立起共享的安全參數(shù)及驗證過的密鑰（亦即建立“安全聯(lián)盟”關(guān)系）。IKE協(xié)議是Oaklay和SKEME協(xié)議的?種混合，并在由ISAKMP規(guī)定的框架內(nèi)運作。ISAKMP是“Internet安全聯(lián)盟和密鑰管理協(xié)議”的簡稱，它定義了包格式、重發(fā)計數(shù)器以及消息構(gòu)建要求，事實上,它定義了整套加密通信語言.IKE采用了“安全聯(lián)盟SA”的概念，1KESA定義了雙方的通信形式。舉例來說，用哪種算法來加密IKE通信；怎樣對遠(yuǎn)程通信方的身份進行驗證；等等。隨后，便可用IKESA在通信雙方之間提供任何數(shù)量的IPSecSA.[5]運用IPSec進行安全通信的大體步驟是：①建立IKESA；②在已經(jīng)建立好的IKESA上建立IPSecSA；③在已經(jīng)建立好的IPSecSA上，進行實際的通信；④通信完畢，撤消IPSecSA；⑤當(dāng)此IKESA上的所有IPSecSA都撤消以后，最后撤消IKESA?IPSec的實現(xiàn)機制IPSec既可在主機系統(tǒng)上實現(xiàn)，亦可在某種安全網(wǎng)關(guān)上實現(xiàn)（如路由器或防火墻）.由于IPSec的實現(xiàn)是與系統(tǒng)密切相關(guān)的，所以在主:機上和在安全網(wǎng)關(guān)上的實現(xiàn)機制是不相同的，這里僅簡述主機上的實現(xiàn)機制。主機實現(xiàn)[6]可分為兩類。1）與操作系統(tǒng)集成：由于IPSec是個網(wǎng)絡(luò)層協(xié)議，所以可作為網(wǎng)絡(luò)層的?部分來實現(xiàn)，如下圖6.它需要IP層的服務(wù)來構(gòu)建IP頭，實現(xiàn)機制與其它網(wǎng)絡(luò)層協(xié)議（如ICMP）相似，需要訪問IP堆棧。2）堆棧中的塊（BumpInTheStack,簡稱BITS）：倘若根本無法訪問一臺主機的IP堆棧，便需將IPSec作為“堆棧內(nèi)的塊”來實現(xiàn)。通常以一個額外的“填充物”的形式出現(xiàn)，插入到網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之問，負(fù)責(zé)從IP堆棧提取數(shù)據(jù)報，處理后再將其插入，如圖7所示。應(yīng)用層應(yīng)用層傳輸層傳輸層網(wǎng)絡(luò)層+IPSec網(wǎng)絡(luò)層數(shù)據(jù)鏈路層IPSec圖60S集成實現(xiàn)的分層數(shù)據(jù)鏈路層圖7BITS實現(xiàn)的分層圖7BITS實現(xiàn)的分層與OS集成方案有許多好處，其中關(guān)鍵的是：由于1Psec與網(wǎng)絡(luò)層緊密集成到一起，因此它更有利于諸如分段、PMTU和用戶場景（如套接子）之類的網(wǎng)絡(luò)服務(wù)，使實現(xiàn)方案更為有效。但需要訪問IP堆棧，即開發(fā)人員能拿到IP堆棧的源代碼。堆棧中的塊實現(xiàn)方案不必訪問IP堆棧，開發(fā)人員只耍掌握操作系統(tǒng)的鏈接機制，將IPSec組件插入網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之間即可。但它最大的問題是功能的重復(fù)，要求實現(xiàn)網(wǎng)絡(luò)層的大部分功能，比如分段和路由，而這些問題又是很難解決的。在操作系統(tǒng)中實現(xiàn)由于IPSec的實現(xiàn)是與操作系統(tǒng)密切相關(guān)，所以必須研究各操作系統(tǒng)提供的實現(xiàn)機制。WindowsNT/2000系統(tǒng)：由于微軟采用了相時比較封閉的策略，它的內(nèi)核源碼一般是拿不到，所以開發(fā)人員只能利用系統(tǒng)公布的編程接口。在內(nèi)核中有兩個公共的接口：網(wǎng)絡(luò)驅(qū)動程序接口規(guī)范NDIS和傳輸驅(qū)動程序接口TDI.TCP/IP堆棧就是在這兩個接口之間實現(xiàn)的，而此堆棧兒乎是無法插入的，開發(fā)人員只能在NDIS接口上做文章。[7]LINUX系統(tǒng)：由于LINUX的所有內(nèi)核源碼都可以免費得到，所以協(xié)議模塊開發(fā)人員是完全可以在它上實現(xiàn)IPSec的?在LINUX中，各層協(xié)議之間以及協(xié)議層與網(wǎng)絡(luò)設(shè)備驅(qū)動程序之間只傳遞套接字緩沖區(qū)，即一個比較復(fù)雜的數(shù)據(jù)結(jié)構(gòu)sk_buff,在sk_buff中有指針和長度域等，這樣各層協(xié)議即可通過標(biāo)準(zhǔn)函數(shù)或方法使用數(shù)據(jù)。另外，LINUX在文件net/ipv4/pn）tocol.c中也提供了協(xié)議模塊的注冊和注銷機制。一旦模塊編程完畢，重新編譯內(nèi)核即可。[8]4在傳輸層實現(xiàn)安全傳輸通道當(dāng)前，在傳輸層能夠?qū)崿F(xiàn)安全傳輸通道的協(xié)議是Netscape通信公司制定的安全套接層協(xié)議（SecureSocketLayer,簡稱SSL），它建立在可*的傳輸服務(wù)（如TCP/IP所提供）基礎(chǔ)之上。SSL當(dāng)前為版本3（SSLv3）于1995年12月制定。它主要由以下兩個協(xié)議組成：SSL記錄協(xié)議：它涉及應(yīng)用程序提供的信息的分段、壓縮、數(shù)據(jù)認(rèn)證和加密。SSLv3提供對數(shù)據(jù)認(rèn)證用的MD5和SHA以及數(shù)據(jù)加密用的R4和DES等的支持，用來對數(shù)據(jù)進行認(rèn)證和加密的密鑰可以通過SSL的握手協(xié)議來協(xié)商。SSL握手協(xié)議：用來交換版本號、加密算法、（相互）身份認(rèn)證并交換密鑰。SSLv3提供對Deffie-Hellman密鑰交換算法、基于RSA的密鑰交換機制和另?種實現(xiàn)在Fortezzachip上的密鑰交換機制的支持。1996年4月，IETF授權(quán)一個傳輸層安全（TLS）工作組著手制定一個傳輸層安全協(xié)議（TLSP）,以便作為標(biāo)準(zhǔn)提案向1ESG正式提交。TLSP將會在許多地方酷似SSL.因特網(wǎng)層安仝機制的主要優(yōu)點是它的透明性，即安全服務(wù)的提供不要求應(yīng)用層做任何改變，這時傳輸層來說是做不到的。原則上，任何TCP/IP應(yīng)用，只要應(yīng)用傳輸層安全協(xié)議，比如說SSL或PCT,就必定要進行若干修改以增加相應(yīng)的功能，并使用（稍微）不同的IPC界面。于是，傳輸層安全機制的主:要缺點就是要對傳輸層1PC界面和應(yīng)用程序兩端都進行修改.可是，比起應(yīng)用層的安全機制來，這里的修改還是相當(dāng)小的。另一個缺點是，基于UDP的通信很難在傳輸層建立起安仝機制來。同網(wǎng)絡(luò)層安全機制相比,傳輸層安全機制的主要優(yōu)點是它提供基丁進程對進程的（而不是主機對主機的）安全服務(wù).這一成就如果再加上應(yīng)用級的安全服務(wù)，就可以再向前跨越?大步了.5應(yīng)用層實現(xiàn)安全傳輸通道網(wǎng)絡(luò)層（或傳輸層）的安全協(xié)議允許為主機（進程）之間的數(shù)據(jù)通道增加安全屬性。本質(zhì)上，這意味著真正的安全數(shù)據(jù)通道還是建立在主機（或進程）之間，但對同一通道I：傳輸?shù)木唧w文件的安全性要求卻不能區(qū)分.比如說，如果?個主機與另?個主:機之間建立起?條安全的IP通道，那么所有在這條通道上傳輸?shù)腎P包就都要自動地被加密。同樣，如果一個進程和另一個進程之間通過傳輸層安全協(xié)議建立起了一條安全的數(shù)據(jù)通道，那么兩個進程間傳輸?shù)乃邢⒕投家詣拥乇患用?。如果確實想要區(qū)分具體文件的不同的安全性要求，那就必須借助于應(yīng)用層的安全性。提供應(yīng)用層的安全服務(wù)實際上是最靈活的處理單個文件安全性的手段。例如一個電子郵件系統(tǒng)可能需要對要發(fā)出的信件的個別段落實施數(shù)字簽名。較低層的協(xié)議提供的安全功能一般不會知道任何要發(fā)出的信件的段落結(jié)構(gòu)，從而不可能知道該對哪一部分進行簽名。只有應(yīng)用層是唯一能夠提供這種安全服務(wù)的層次。在應(yīng)用層提供安全服務(wù)主要有以下幾種可能的做法：1）就是對每個應(yīng)用（或應(yīng)用協(xié)議）分別進行修改，這是最容易想到的，一些重要的TCP/IP應(yīng)用也已經(jīng)這樣做了。比如S-HTTP,它是Web上使用的超文本傳輸協(xié)議（HTTP）的安全增強版本，提供文件級的安全機制。2）安全外殼（SecureShell,簡稱SSH）：上述方法面臨一個主要的問題，就是每個這樣的應(yīng)用都要單獨進行相應(yīng)的修改，如果能有一個統(tǒng)一的修改手段，那就好多了.通往這個方向的一個步驟就是赫爾辛基大學(xué)的TatuYloenen開發(fā)的安全sheU（SSH）.SSH允許其用戶安全地登錄到遠(yuǎn)程主機上，執(zhí)行命令，傳輸文件。它實現(xiàn)了?個密鑰交換協(xié)議，以及主機及客戶端認(rèn)證協(xié)議。3）認(rèn)證和密鑰分配協(xié)議：把SSH的思路再往前推進一步，就到了認(rèn)證和密鑰分配系統(tǒng)，本質(zhì)上，認(rèn)證和密鑰分配系統(tǒng)提供的是?個應(yīng)用編程接口（API），它可以用來為任何網(wǎng)絡(luò)應(yīng)用程序提供安全服務(wù)，例如:認(rèn)證、數(shù)據(jù)機密性和完整性、訪問控制以及非否認(rèn)服務(wù)。目前已經(jīng)有一些實用的認(rèn)證和密鑰分配系統(tǒng)，如：MIT的Kerberos,IBM的CryptoKnight和NetwrokSecurityProgram等都是得到廣泛采用的實例。4）通用安全服務(wù)編程接I」（SecureServiceProgrammingInterface.簡稱GSS-API）：認(rèn)證和密鑰分配協(xié)議的一個問題是它仍要求對應(yīng)用本身做出改動?？紤]到這一點，對一個認(rèn)證和密鑰分配協(xié)議來說，提供一個標(biāo)準(zhǔn)化的安全API就顯得格外重要。能做到這一點，開發(fā)人員就不必再為增加很少的安全功能而對整個應(yīng)用程序大動干戈了。因此，認(rèn)證系統(tǒng)設(shè)計領(lǐng)域內(nèi)最主要的進展之一就是制定了標(biāo)準(zhǔn)化的安仝API,即通用安全服務(wù)API（GSS-API）.GSS-API（vl及v2）對于一個非安全專家的編程人員來說可能仍顯得過于技術(shù)化了些，但德州Austin大學(xué)的研究者們開發(fā)的安全網(wǎng)絡(luò)編程（SNP）,把界面做到了比GSS-API更高的層次，使同網(wǎng)絡(luò)安全性有關(guān)的編程更加方便了。6小結(jié)在網(wǎng)I:建立安全傳輸通道是使用網(wǎng)絡(luò)開展關(guān)鍵業(yè)務(wù)的必然需求，對了不同的應(yīng)用，需要在不同的層次來考慮安全傳輸。也就是說，不同層次的安全傳輸通道技術(shù)提供的功能和特性各不相同，因而應(yīng)用領(lǐng)域也不同：PPTP和L2TP協(xié)議可保障客戶機與遠(yuǎn)程網(wǎng)絡(luò)之間的通信安全，主要用于遠(yuǎn)程訪問VPN-IPSec規(guī)范可保障主機之間、安全網(wǎng)關(guān)之間（如路由器或防火墻）或主機與安全網(wǎng)關(guān)之間的數(shù)據(jù)報的安全。它可以實現(xiàn)各種方式的VPN：ExtraNetVPN、IntraNetVPN和遠(yuǎn)程訪問VPN，是應(yīng)用領(lǐng)域最廣泛，功能最全面，使用最靈活的一種保障端到端通信安全的因特網(wǎng)安全標(biāo)準(zhǔn)。傳輸層安全機制可提供應(yīng)用程序之間（即進程之間）的安全服務(wù)，而不是主機之間（IPSec提供的）；缺點是通信的應(yīng)用程序兩端都要進行少量的修改，F(xiàn)L基于UDP的通信很難在傳輸層建立起安全機制來。應(yīng)用層安全機制可以區(qū)分具體文件的不同的安全性要求，它實際上是最靈活的唯?的處理單個文件安全性的手段；但每種應(yīng)用為了獲得所需的安全服務(wù)都要進行大量的修改，不像在數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層實現(xiàn)安全可以做到一勞永逸。參考文獻[1][美1ThomasLeeJosephDavies著，北京超品計算機有限責(zé)任公司譯.Windows2000TCP/IP協(xié)議和服務(wù)技術(shù)參考.人民郵電出版社,2000年11月.410-419頁[2]（美）NaganandDoraswamy,DanHarkins著，京京工作室譯.IPSec新一代因特網(wǎng)安全標(biāo)準(zhǔn).機械工業(yè)出版社，2000年3月S.Kent&R.Atkinson.IPEncapsulatingSecurityPayload（ESP）,RFC2406.November1998。S.Kent&R.Atkinson.IPAuthenticationHeader,RFC2402.November1998D.Piper.TheInternetIPSecurityDomainofInterpretationforISAKMPRFC2407.November1998[6]（美）NaganandDoraswamy,DanHarkins著，京京工作室譯.IPSec新?代因特網(wǎng)安全標(biāo)準(zhǔn).機械工業(yè)出版社，2000年3月.4042頁.[7]MicrosoftCorp.MSDN2001,Windows2000DDK,NetworkDrivers.[8]（美）DavidA.Rusling等著，朱珂，涂二等譯.Linux編程白皮書.The