第五章安全協(xié)議技術(shù)-IPSec密鑰管理概述計算機系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)IPSec中的密鑰管理安全協(xié)議技術(shù)IPSec密鑰管理概述IKE協(xié)議AH協(xié)議ESP協(xié)議加密算法驗證算法IPSec安全體系DOI解釋域：其他文檔（如被認可的加密算法、認證算法、密鑰生存周期參數(shù)等）密鑰管理協(xié)議：ISAKMP（互聯(lián)網(wǎng)絡(luò)安全關(guān)聯(lián)和密鑰管理協(xié)議）ISAKMP提供了一個因特網(wǎng)密鑰管理框架，并為安全屬性的協(xié)商提供了特定的協(xié)議支持，包括協(xié)議的格式等。RFC2408IKE：Internet密鑰交換IKE利用ISAKMP來定義密鑰交換，是對安全服務(wù)進行協(xié)商的手段。RFC2409IKE以O(shè)akley密鑰交換協(xié)議為基礎(chǔ)Oakley：IKE的密鑰交換協(xié)議基于Diffie－Hellman密鑰交換協(xié)議RFC2412IPSec中的密鑰管理安全協(xié)議技術(shù)IPSec密鑰管理概述提供了消息交換的一個框架定義了對雙方的身份進行驗證的格式方法密鑰交換時交換信息的格式方法對安全服務(wù)進行協(xié)商的格式方法對IPSec而言，即定義了SA的建立、協(xié)商、修改、刪除等所需的過程和消息格式。其格式不依賴于特定的密鑰交換協(xié)議、加密算法和鑒別機制，而是提供了一個整體性的框架。ISAKMP-消息交換安全協(xié)議技術(shù)IPSec密鑰管理概述IKE協(xié)議在RFC2409中描述屬于ISAKMP框架的一種實例

IKE本身是一種常規(guī)用途的安全交換協(xié)議，可用于策略的協(xié)商及幫助驗證加密資源的建立如果某個協(xié)議要利用IKE，則必須針對該協(xié)議定義自己的解釋域（DOI）RFC2407定義了IKE與IPSec的解釋域IKE協(xié)議安全協(xié)議技術(shù)IPSec密鑰管理概述IKE描述了安全參數(shù)協(xié)商的兩個獨立階段第一階段：通信雙方間建立一個已通過身份驗證和安全保護的通道（即SA）該SA必須是雙向的該SA必須對第二階段提供安全服務(wù)（如認證、完整性和機密性等）第二階段：用這個通過了驗證和安全保護的通道為另一個不同的協(xié)議（如IPSec）協(xié)商安全服務(wù)IKE協(xié)議安全協(xié)議技術(shù)IPSec密鑰管理概述Oakley協(xié)議是DH協(xié)議的細化繼承Diffie-Hellman協(xié)議的優(yōu)點，克服其缺點。采用了稱為cookie程序的交換機制來防止阻塞攻擊；通信雙方可以協(xié)商Diffie-Hellman密鑰交換所用的群，即協(xié)商所需的全局參數(shù)；使用一次性隨機數(shù)（Nonce）來防止重放攻擊；可使通信雙方交換Diffie-Hellman公開密鑰的值；對Diffie-Hellman密鑰交換過程加以認證（私鑰簽名）以防止中間人攻擊。Oakley協(xié)議安全協(xié)議技術(shù)IPSec密鑰管理概述IPSec密鑰管理小結(jié)安全協(xié)議技術(shù)IPSec密鑰管理概述ISAKMP定義了IPSec的密鑰管理框架