身份验证协议
- PPP线路上可以使用的身份验证机制：
- 密码身份验证协议（Password Authentication Protocol，PAP）被远程用户用在PPP线路上进行身份验证。 PAP以明文的形式发送身份验证凭证，是最不安全的验证方法之一。
- 挑战握手身份验证协议（Challenge Handshake Authentication Protocol，CHAP）相比PAP更安全，因为不发送密码，而是使用挑战/响应机制进行身份验证。
- 可扩展身份验证协议（Extensible Authentication Protocol，EAP）：当用户连接到一个身份验证服务器且双方都有EAP功能时，可以使用如一次性密码、令牌卡、生物测定学等方式进行身份验证
Pptp/L2tp 第二层
- PPTP:提供一个用IP网络隧道连接PPP的方法，可以用于系统与系统之间的通信，但不支持在一个VPN隧道上的多个连接，在数据链路层工作.(微软点对点加密（MPPE）CISSP 所指的 pptp 并未加密)
- L2TP：集成PPP的身份验证并整合IPSec以提供机密性、完整性。L2TP可以工作在IP型网络和WAN型连接上，在数据链路层工作. (L2TP可以使用IPSEC 为VPN 提供通信加密)
ipsec 第三层
- 能同时处理多个VPN连接，提供身份校验和加密，只支持IP网络，在网络层工作
- IPSec的主要协议和功能：
- 身份验证首部（Authentication Header，AH）：提供数据完整性、数据源验证和免受重放攻击的保护 (传输模式中,在每个数据包头+数据包传输之前,一个使用共享秘钥的加密数据包内容的 HASH,他们建立关联 SA,为防止重放攻击每个 SA 都有序列号) 预防重放攻击:序列号,时间戳,随机参数
- 封装安全有效载荷（Encapsulating Security Payload，ESP）：提供机密性、数据源验证和数据完整性
- ESP提供了加密，从而能够保护传输数据的机密性，也可以执行有限的身份验证操作。ESP在网络层(第三层)上工作，包含四个部分：
- ESP头部/报头：包含安全关联(SA)使用，数据包的序列号。和AH一样，ESP给每一个数据包编一个序列号，以阻止重放攻击。
- ESP有效负载：负载包含数据包的加密部分。ESP通常使用对称加密算法。
- ESP尾部：包括填充(填充字节)，满足要求的加密算法的分组字串长度。
- ESP认证部分/身份认证：如果要使用身份认证，此ESP数据包字段应包含完整性检查值(Hash)。就像也相当于AH包头，终端系统相互协商身份认证算法来建立安全关联SA。
- 因特网密钥交换协议IKE protocol
- 提供验证的密钥材料以和ISAKMP一起使用,用于在AH和ESP加密信息。有两种方式来“交换”密钥：
- 使用Diffie-Hellman (DH) 式的协商
- 使用公钥证书（PKI）。
- （ISAKMP）：提供安全连接创建和密钥交换的框架
- ISAKMP是为IPSec提供后台支持的，主要功能是协商、建立、修改、删除和管理安全关联（SA），具备4方面的主要能力：
①对通信主体（peer）进行身份验证。
②建立并管理安全关联SA。
③提供密钥生成机制。
④防止遭受威胁(例如重放和拒绝服务攻击)。
- （SSL/TLS 也可以被用来作为一个VPN 协议，而不只是作为一个工作在TCP之上的会话加密。不过CISSP并不把SSL/TLS作为VPN来考。
- 安全套接字层SSL：在传输层工作，提供细粒化的访问控制和配置
密码学在网络通信领域的应用
- 通信线路加密有两种方式（IPsec的EAP模式也有这2种通信方式）：
- 链路加密（Link encryption）：建立1个安全隧道，所有的数据(包括头、尾、地址和路由数据)被加密，路由每一跳都需要解密再加密转发，速度慢。
- 端到端加密（End-to-end encryption）：不加密头、尾、地址和路由数据，速度快，但易遭嗅探和窃听。
端到端加密的一个典型应用是SSH（Secure Shell）安全外壳。SSH为FTP，Telnet,rlogin等提供加密解决方案，有2个版本：SSH1,不安全,支持DES, 3DES,IDEA,和 Blowfish 算法； SSH2，安全，不支持DES/IDEA,支持其它算法。
- ESP有两种模式
- 传输模式：只加密IP数据包，数据包的头部并没有进行加密。主要用于客户端和服务器等端到端的保护。
- 隧道模式：整个IP数据包都加密，并且新的数据包头被添加至IP数据包，从而能够控制通过隧道进行的传输。通常用于网络之间，如防火墙的VPN。
SA
SA是终端系统间通信的沟通机制。所有的SA只能单向传输，双工通信必须要2个SA,如果同时需要支持 AH,ESP 就需要 4 个 SA.