編輯“IPSec”（章節(jié)）

== IPSec的Diffie-Hellman算法 ==
要啟動(dòng)安全通訊，通信兩端必須首先得到相同的共享密鑰（主密鑰），但共享密鑰不能通過網(wǎng)絡(luò)相互發(fā)送，因?yàn)檫@種做法極易泄密，Diffie-Hellman算法是用于密鑰交換的最早最安全的算法之一。DH算法的基本工作原理是：通信雙方公開或半公開交換一些準(zhǔn)備用來生成密鑰的"材料數(shù)據(jù)"，在彼此交換過密鑰生成"材料"后，兩端可以各自生成出完全一樣的共享密鑰。在任何時(shí)候，雙方都絕不交換真正的密鑰。通信雙方交換的密鑰生成"材料"，長度不等，"材料"長度越長，所生成的密鑰強(qiáng)度也就越高密鑰破譯就越困難，除進(jìn)行密鑰交換外IPSec還使用DH算法生成所有其他加密密鑰。AH報(bào)頭字段包括： 
*Next Header（下一個(gè)報(bào)頭），識別下一個(gè)使用IP協(xié)議號的報(bào)頭。
*Length（長度）：AH報(bào)頭長度。 
*Security Parameters Index (SPI，安全參數(shù)索引)：這是一個(gè)為數(shù)據(jù)報(bào)識別安全關(guān)聯(lián)的32位偽隨機(jī)值，SPI值0被保留來表明"沒有安全關(guān)聯(lián)存在"。 
*Sequence Number（序列號）：從1開始的32位單增序列號不允許重復(fù)，唯一地標(biāo)識了每一個(gè)發(fā)送數(shù)據(jù)包，為安全關(guān)聯(lián)提供反重播保護(hù)，接收端校驗(yàn)序列號為該字段值的數(shù)據(jù)包是否已經(jīng)被接收過，若是則拒收該數(shù)據(jù)包。 
*Authentication Data（AD，認(rèn)證數(shù)據(jù)）：包含完整性檢查和，接收端接收數(shù)據(jù)包后，首先執(zhí)行hash計(jì)算再與發(fā)送端所計(jì)算的該字段值比較，若兩者相等表示數(shù)據(jù)完整，若在傳輸過程中數(shù)據(jù)遭修改，兩個(gè)計(jì)算結(jié)果不一致則丟棄該數(shù)據(jù)包。