码迷,mamicode.com
首页 > 其他好文 > 详细

RFC7619 -- IKEv2中的NULL身份验证方法

时间:2018-12-28 20:42:23      阅读:270      评论:0      收藏:0      [点我收藏+]

标签:使用   测量   fc7   攻击   --   标识   信任关系   身份验证   会话   

摘要

  本文为IKEv2指定NULL身份验证方法和ID_NULL标识有效负载ID类型。这允许两个IKE对等体建立单侧认证或相互不认证的IKE会话。 适用于那些对等方不愿意或无法进行自身身份验证或识别的情形。这可确保IKEv2可用于机会安全(也称为机会加密),以抵御普遍监控攻击,而无需牺牲匿名性???

1. 简介

  虽然对等方使用的身份验证方法可能不同,但是没有方法可以让一方或双方保持未经身份验证和匿名。 本文档扩展了身份验证方法,以支持未经身份验证的匿名IKE会话。

  在某些情况下,相互认证是不需要的,多余的或不可能的。 以下三个示例说明了这些未经身份验证的用例:  

  • 用户想要建立到服务器的匿名安全连接。 在这种情况下,用户应该能够对服务器进行身份验证,而无需使用自己的身份向服务器进行身份验证。 此案例使用响应者的单方身份验证。
  • 周期性地从暂停状态唤醒的传感器想要将测量值(例如,温度)发送到收集服务器。 传感器必须由服务器进行身份验证,以确保测量的真实性,但传感器不需要对服务器进行身份验证。 此案例使用发起方的单方身份验证。
  • 没有任何信任关系的两个对等体希望抵御[RFC7258]中描述的普遍存在的普遍监视攻击。 如果没有信任关系,对等方就无法相互进行身份验证。 机会安全[RFC7435]指出,未经身份验证的加密通信优于明文通信。 对等方希望使用IKE来设置未经身份验证的加密连接,以防止普遍存在的监控攻击。 能够并且愿意发送数据包的攻击者仍然可以发起中间人(MITM)攻击以获取未加密通信的副本。 此案例使用完全未经身份验证的密钥交换。

2. NULL认证方法

  在IKEv2中,每个对等体独立地选择方法以向另一方验证自身。 对等体可以选择通过使用NULL认证方法来避免认证。 如果主机的本地策略要求对其对等体的身份进行(非空)身份验证,并且该主机收到包含NULL身份验证方法类型的AUTH有效负载,则必须返回AUTHENTICATION_FAILED通知。 如果发起方使用可扩展身份验证协议(EAP),则响应者不得使用NULL身份验证方法(符合[RFC7296]第2.16节)。

2.1 身份验证有效负载

 

RFC7619 -- IKEv2中的NULL身份验证方法

标签:使用   测量   fc7   攻击   --   标识   信任关系   身份验证   会话   

原文地址:https://www.cnblogs.com/collapsar/p/10192448.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!