With link encryption, each vulnerab

With link encryption, each vulnerable communications link is equipped on both ends with an encryption device. Thus, all traffic over all communications links is secured. Although this requires a lot of encryption devices in a large network, it provides a high level of security. One disadvantage of this approach is that the message must be decrypted each time it enters a packet switch; this is necessary because the switch must read the address (virtual circuit number) in the packet header to route the packet. Thus, the message is vulnerable at each switch. If this is a public packet-switching network, the user has no control over the security of the nodes.
With end-to-end encryption, the encryption process is carried out at the two end systems. The source host or terminal encrypts the data. The data, in encrypted form, are then transmitted unaltered across the network to the destination terminal or host. The destination shares a key with the source and so is able to decrypt the data. This approach would seem to secure the transmission against attacks on the network links or switches. There is, however, still a weak spot.
Consider the following situation. A host connects to a frame relay network, sets up a logical connection to another host, and is prepared to transfer data to that other host using end-to-end encryption. Data are transmitted over such a network in the form of frames, or packets, consisting of a header and some user data. What part of each packet will the host encrypt? Suppose that the host encrypts the entire packet, including the header. This will not work because, remember, only the other host can perform the decryption. Each frame relay node will receive an encrypted packet and be unable to read the header. Therefore, it will not be able to route the packet. It follows that the host may only encrypt the user data portion of the packet and must leave the header in the clear, so that the network can read it.
Thus, with end-to-end encryption, the user data are secure. However, the traffic pattern is not, because packet headers are transmitted in the clear. To achieve greater security, both link and end-to-end encryption are needed, as is shown in Figure 21.4.
To summarize, when both forms are employed, the host encrypts the user data portion of a packet using an end-to-end encryption key. The entire packet is then encrypted using a link encryption key. As the packet traverses the network, each switch decrypts the packet using a link encryption key to read the header and then encrypts the entire packet again for sending it out on the next link. Now the entire packet is secure except for the time that the packet is actually in the memory of a packet switch, at which time the packet header is in the clear

Kết quả (Việt) 1:

Với mã hóa liên kết, mỗi liên kết thông tin liên lạc dễ bị tổn thương được trang bị trên cả hai đầu thiết bị mã hóa. Vì vậy, tất cả lưu lượng truy cập trên tất cả các liên kết truyền thông được bảo vệ. Mặc dù điều này đòi hỏi rất nhiều mã hóa các thiết bị trong một mạng lưới lớn, nó cung cấp một mức độ bảo mật cao. Một bất lợi của phương pháp này là các bài viết phải được giải mã mỗi khi nó đi vào một gói chuyển đổi; Điều này là cần thiết bởi vì việc chuyển phải đọc địa chỉ (mạch ảo số) trong tiêu đề gói tin để định tuyến gói dữ liệu. Vì vậy, các tin nhắn là dễ bị tổn thương tại mỗi chuyển đổi. Nếu đây là một chuyển mạch gói mạng công cộng, người dùng đã không kiểm soát bảo mật của các nút.Với mã hóa kết thúc để kết thúc, trình mã hóa được thực hiện tại các hệ thống hai kết thúc. Nguồn máy chủ hoặc thiết bị đầu cuối mã hoá dữ liệu. Các dữ liệu ở dạng mã hoá, được sau đó truyền liền trên mạng để các thiết bị đầu cuối điểm đến hoặc máy chủ lưu trữ. Điểm đến chia sẻ một chìa khóa với nguồn và vì vậy có thể giải mã dữ liệu. Có vẻ như cách tiếp cận này để đảm bảo việc truyền chống lại cuộc tấn công vào mạng lưới liên kết hoặc thiết bị chuyển mạch. Có đó, Tuy nhiên, vẫn còn một điểm yếu.Hãy xem xét tình hình sau đây. Một loạt các kết nối đến một mạng lưới các relay khung, thiết lập một kết nối hợp lý đến một máy chủ và được chuẩn bị để chuyển dữ liệu cho rằng máy chủ lưu trữ bằng cách sử dụng mã hóa kết thúc để kết thúc. Dữ liệu được truyền qua một mạng lưới ở dạng khung, hoặc gói dữ liệu, bao gồm một tiêu đề và một số dữ liệu người dùng. Những gì một phần của mỗi gói tin sẽ lưu trữ mật mã hoá? Giả sử rằng máy chủ lưu trữ mã hóa gói toàn bộ, bao gồm tiêu đề. Điều này sẽ không làm việc vì, hãy nhớ rằng, chỉ các máy chủ khác có thể thực hiện giải mã. Mỗi nút relay khung sẽ nhận được một gói dữ liệu được mã hóa và không thể đọc các tiêu đề. Do đó, nó sẽ không thể để định tuyến gói dữ liệu. Sau các máy chủ có thể chỉ mã hóa phần người sử dụng dữ liệu của gói tin và phải rời khỏi tiêu đề rõ ràng, do đó các mạng có thể đọc nó.Vì vậy, với mã hóa kết thúc để kết thúc, dữ liệu người dùng được an toàn. Tuy nhiên, các mẫu lưu lượng truy cập không phải là, bởi vì tiêu đề gói dữ liệu được truyền đi trong rõ ràng. Để đạt được bảo mật tốt hơn, mã hóa kết thúc để kết thúc và liên kết là cần thiết, như được hiển thị trong hình 21.4.Tóm lại, khi cả hai hình thức được tuyển dụng, máy chủ lưu trữ mã hóa phần người sử dụng dữ liệu của một gói dữ liệu bằng cách sử dụng một mã khóa mã hóa kết thúc để kết thúc. Gói toàn bộ sau đó được mã hóa bằng cách sử dụng một chìa khóa mã hóa liên kết. Khi gói tin đi qua mạng, chuyển đổi mỗi decrypts gói bằng cách sử dụng một chìa khóa mã hóa liên kết để đọc các tiêu đề và sau đó mã hóa gói toàn bộ một lần nữa cho gửi nó ra trên liên kết tiếp theo. Bây giờ toàn bộ gói là secure ngoại trừ thời gian thực sự là gói tin trong bộ nhớ của một chuyển đổi gói, mà thời gian tiêu đề gói là rõ ràng

Kết quả (Việt) 2:

Với mã hóa liên kết, mỗi liên kết truyền thông dễ bị tổn thương được trang bị trên cả hai kết thúc với một thiết bị mã hóa. Như vậy, tất cả lưu lượng trên tất cả các liên kết truyền thông được bảo đảm. Mặc dù điều này đòi hỏi rất nhiều thiết bị mã hóa trong một mạng lưới rộng lớn, nó cung cấp một mức độ bảo mật cao. Một nhược điểm của phương pháp này là các thông điệp phải được giải mã mỗi lần nó đi vào một chuyển mạch gói; này là cần thiết bởi vì việc chuyển đổi phải đọc địa chỉ (số mạch ảo) trong tiêu đề gói tin để định tuyến các gói tin. Vì vậy, thông điệp là dễ bị tổn thương ở mỗi chuyển đổi. Nếu đây là một mạng gói-chuyển mạch công cộng, người dùng không có quyền kiểm soát an ninh của các nút.
Với mã hóa end-to-end, quá trình mã hóa được thực hiện tại các hệ thống đầu cuối hai. Các máy chủ nguồn hoặc thiết bị đầu cuối mã hóa dữ liệu. Các dữ liệu, ở dạng mã hóa, sau đó được truyền không thay đổi gì trên mạng với thiết bị đầu cuối hoặc máy chủ đích. Các điểm đến chia sẻ một phím với các nguồn và do đó có thể giải mã dữ liệu. Cách tiếp cận này có vẻ như để đảm bảo việc truyền chống lại các cuộc tấn công vào các liên kết mạng hoặc switch. Có đó, tuy nhiên, vẫn còn một điểm yếu.
Hãy xem xét các tình huống sau đây. Một máy chủ kết nối vào một mạng frame relay, thiết lập một kết nối hợp lý đến máy chủ khác, và được chuẩn bị để truyền dữ liệu với máy chủ khác sử dụng end-to-end mã hóa. Dữ liệu được truyền trên mạng như trong hình thức của khung hình, hoặc các gói, bao gồm một tiêu đề và một số dữ liệu người dùng. Phần nào trong mỗi gói sẽ là mã hóa lưu trữ? Giả sử rằng các máy chủ mã hóa toàn bộ gói, bao gồm tiêu đề. Điều này sẽ không làm việc vì, hãy nhớ, chỉ có các máy chủ khác có thể thực hiện các giải mã. Mỗi nút frame relay sẽ nhận được một gói tin được mã hóa và không thể đọc tiêu đề. Vì vậy, nó sẽ không thể để định tuyến các gói tin. Nó sau đó chủ nhà chỉ có thể mã hóa các phần dữ liệu người dùng của các gói dữ liệu và phải để lại các tiêu đề trong rõ ràng, để mạng có thể đọc nó.
Như vậy, với mã hóa end-to-end, các dữ liệu người dùng được an toàn. Tuy nhiên, mô hình giao thông không phải là, bởi vì tiêu đề gói tin được truyền đi rõ ràng. Để đạt được an ninh hơn, cả hai liên kết và end-to-end mã hóa là cần thiết, như được hiển thị trong hình 21.4.
Để tóm tắt, khi cả hai hình thức được sử dụng, các máy chủ mã hóa các phần dữ liệu người dùng của một gói sử dụng một kết thúc end-to- khóa mã hóa. Sau đó toàn bộ gói tin được mã hóa bằng một khóa mã hóa liên kết. Khi gói tin đi qua mạng, mỗi switch giải mã các gói tin sử dụng khóa mã hóa link để đọc các tiêu đề và sau đó mã hóa toàn bộ gói một lần nữa để gửi nó ra vào liên kết tiếp theo. Bây giờ toàn bộ gói tin là an toàn ngoại trừ thời gian mà gói là thực sự trong bộ nhớ của một chuyển mạch gói, lúc đó các tiêu đề gói tin là trong rõ ràng