網路安全性通訊協定

對於複雜的協議，也許我們好多人只需從整體上把握他們之間的關係就可以。在頭腦中有個清晰的印象就行，其餘的瞭解要怎麼做。

在開始說明這樣的一個體系時，想先確定幾個想法：首先，每個協議就是一個程式，一個完成相應功能的有規定的程式，拿IP協議來說：他是一個程式：參數是ip地址（其實是，ip資料包的相應資料），他則相應的產生一個資料區段（輸出），之後又調用下層協議。從這裡，我們可以相信：在這個複雜的體系中在某層和某層之間加入一個功能（協議）是相當容易的。再次，協議是相互獨立的，一切的發生都是都其他的程式調用串連起來的。最後，在資料往上傳遞的時候是由協議類型欄位決定的，因此可直接由協議之間的調用完成。

網路在發生的前些時期是沒有考慮安全問題的，也正由於上面的那個理由，所以，在後期可以把這些安全性通訊協定加入網路通訊協定的家族中。這裡，我從總體來概括下網路安全性通訊協定，對於，其他的問題和有別的問題的請留言。

講到網路安全就要知道怎樣才算安全？包含有：資料是保密的、資料是完整的（接受到的和發送的是一樣的）、寄件者的確定性（寄件者不能否認發送資訊的事實）。還有其他的問題（怎樣確定所通訊伺服器為預期伺服器、重放問題等）這裡就主要討論這三種問題的解決（也是最重要的）。

要一以貫之的瞭解這些，就必須熟悉密碼編譯演算法的種類和特性。我這裡總結下，對於實現原理就不談了。這對於，我們掌握網路安全性通訊協定夠了。

1．  對稱式加密演算法。有DES等。特點：加密速度快，適合大量資料加密但共用密碼則

涉及到密碼的保密問題。

2.  非對稱式加密演算法。有RAS等。特點：加密速度慢，不適合大量資料加碼但分公開金鑰和私密金鑰，所以不存在密鑰的保護問題.(正因為和對稱的“相反”的特性，經常和它一起使用:保護對稱加碼演算法的共用密鑰)

3.  單向散列函數。SHA、md5等。前面的都是雙向的，而這種只能用明文得到唯一的密文。得到一個固定的密文。由於這種特性，很顯然該演算法不能用來加密資料，而可以用來驗證資料的完整性。

到了這裡，請確定自己真的贊同我上面所說的。也分別能說出，這三種演算法的特點.因為只有你瞭解這些，才會感覺到這個網路安全性通訊協定的統一與巧妙之處。

首先，我們從資料開始，不管來自哪個協議層的。安全性通訊協定的作用就是得到另一個資料作為輸出（上面所說的協議的本質），而完成上面提出的三個功能。現在來看看，安全性通訊協定是怎麼樣來實現這些功能的。

資料一般是大量的，所以我們選擇用對稱式加密演算法來加密就得到一個加密資料和共用密鑰，要接受端正確得到資料，就必須要接受端得到資料.假定這個密鑰有接受端規定（實際上也是這麼做的）那麼在傳輸的過程中，則可以本第三方截獲。所以，採用用非對稱的加密來解密對稱式加密演算法的共用密鑰。整個過程是這樣的：A為發送端、B為接受端，B先產生一對密鑰，公開金鑰發布到網上，私密金鑰自己儲存，A得到B的公開金鑰來加密A對稱演算法的共用密鑰，傳給B。此時的資料只有B可以解密，所以，也保證了只有B可以得到共用密鑰。之後的資料轉送則可以用對稱式加密演算法進行了。到這裡為止，我們解決第一個問題：資料的保密性：這樣的資料是覺得保密的:也就是說，保證了只有b才可以正確的讀懂A的資訊。現在假定資料被別人截獲，而他故意修改了包，怎麼辦？這就要講到資料的完整性了。怎麼來實現？這就要藉助我們說過的第三種密碼編譯演算法了。

在發送端A對明文進行一次散列：得到以訊息摘要，由其特性可知：只有該明文才可也只可得這樣的的訊息摘要，並且根據訊息摘要是不可能得到明文的。所以，在接受端再對明文進行一次散列，得到的訊息摘要與發送端發送過來的訊息摘要進行對比，就可以確定資料是否被改過。這裡，有個問題要強調下：第三方不能得到所傳輸的明文的。

最後一個問題了：就是寄件者不能否認他發送的資訊。怎麼來實現，想想非對稱式加密演算法的特性就可以想到用非對稱式加密演算法來加密訊息摘要。實現過程為：A產生一對密鑰，發布公開金鑰，A用私密金鑰來加密訊息摘要，而B用公開金鑰來解密。由上面的說明可知：該資料只可能由A發送的。這裡還設計到伺服器的信任問題，一般的解決辦法是加入CA。這裡不談了。

到了這裡，整個網路通訊協定的工作原理是那麼的清晰和巧妙。