文档介绍：组织:中国互动出版网(/)
RFC文档中文翻译计划(/compters/emook/)
E-mail:******@china-
译者:sword (sword zxl1025@)
译文发布时间:2001-7-25
版权:本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载,但必须保留本文档的翻译及版权信息。
Network Working Group D. Harkins
Request ments: 2409 D. Carrel
Category: Standards Track cisco Systems
November 1998
密钥交换(IKE)
(The Key Exchange)
本备忘录的现状
标准协议,并请求讨论和建议以作改进。请参考当前版本的“官方协议标准”(STD 1),查看本协议的标准化进程和现状。本文档的分发不受限制。
版权通告
Copyright (C) The Society (1998)。保留所有的权利。
目录
2
2
3
3
3
4
4
5
6
使用签名来验证的IKE第一阶段 8
使用公共密钥加密的第一阶段验证 8
使用修改过的公钥加密模式来进行第一阶段的验证 10
使用共享密钥的第一阶段协商 11
第二阶段——快速模式 12
新组模式 14
ISAKMP信息交换 15
6 Oakley组 15
第一个Oakley缺省组 15
第二个Oakley组 16
第三个Oakley组 16
第四个Oakley组 16
7. 完整IKE交换的负载爆炸 17
使用主模式的第一阶段 17
使用快速模式的第二阶段 18
8. 完全后继保密举例 20
21
22
属性类 22
加密算法类 22
hash算法 22
组描述和组类型 23
存活期类型 23
12. 鸣谢 23
23
附录A 25
属性分配号码 25
属性种类 26
种类值 26
附录B 28
作者地址 30
作者的注释 30
完全版权声明 31
ISAKMP ([MSST98])中对验证和密钥交换提出了结构框架,但没有具体定义。ISAKM被设计用来独立的进行密钥交换,即被设计用于支持多种不同的密钥交换。
Oakley ([Orm96])中描述了一系列被称为“模式”的密钥交换,并详述了每一种提供的服务(如密钥的完全后继保密(perfect forward secrecy),身份保护,以及验证)。
SKEME ([SKEME])中描述了一种提供匿名,否认,和快速密钥更新的通用密钥交换技术。
本文档将描述使用部分Oakley,部分SKEME,并结合ISAKMP的一种协议,它使用ISAKMP来得到已验证的用于生成密钥和其它安全联盟(如AH,ESP)中用于IETE IPsec DOI的材料。
本文档描述了一种混合协议。目的是用于以一种保护的方式来协商安全联盟并为它提供经验证过的密钥生成材料。
本文档中实现的过程可用于协商虚拟专用网(VPN),也可用于远程用户(其IP地址不需要事先知道)从远程访问安全主机或网络。
支持客户协商。客户模式即为协商双方不是安全联盟发起的两个终点。当使用客户模式时,端点处双方的身份是隐藏的。
本协议并没有实现整个Oakley协议,只实现了满足目的所需要的部分子集。它并没有声称与整个Oakley协议相一致或兼容,也并不依靠Oakley协议。
同样,本协议没有实现整个的SKEME协议,只使用了用于验证的公钥加密的方法和使用当前时间(nonce)交换来快速重建密钥的思路。本协议并不依靠SKEME协议。
本文档中出现的关键字“MUST”,“MUST NOT”,“REQUIRED”,“SHOULD”,“SHOULD NOT”以及“MAY”的解释在[Bra97]中描述。
下列的符号在整个文档中都使用。
HDR是ISAKMP的报头,它的交换类型是模式。当写成HDR*时,意味着负载加密。
SA是有一个或多个提议的SA协商负载。发起方可能提供多个协商的提议;应答方只能用一个提议来回答。
<P>_b指明负载<P>数据部分(bo