データ交換プロセスにおけるデータの機密性と完全性は主に暗号化によって実現されます。つまり、両当事者は一貫した暗号化アルゴリズムを使用してデータの機密性と鍵交換アルゴリズムについて交渉し、データ交換プロセス中に合意に達する必要があります。、通信当事者は、データの機密性と完全性を確保するために、合意に基づいてデータの暗号化とデータ認証の処理を実行する必要があります。

データリンク層セキュリティプロトコルは、データリンク層プロトコルのセキュリティを強化するものであり、データリンク層をベースにセキュリティアルゴリズムのネゴシエーションやデータの暗号化・復号化処理の機能や処理を追加するものである。

2. LANデータリンク層プロトコル

データリンク層は主に、ネットワークセグメントまたはメディアセグメント上のノード間の通信のためのデータ伝送サービスを提供します。データリンク層は、データリンクのエラー処理およびフロー制御機能を提供し、信頼性の低いデータリンクを信頼性の高いデータリンクに変換し、データフレームの送受信を同時に完了し、ネットワーク層に次の機能を提供します。データとプロセスを送信します。

さまざまなネットワーク規模に応じて、データリンク層のプロトコルは 2 つのカテゴリに分類できます。

1. リンクローカルエリアネットワーク (LAN)

LAN (LAN) のデータリンク層プロトコルは、主にローカルエリアネットワーク (L.AN) リンクを介してローカルノードを相互に接続し、データ通信を実現します。

2. 広域ネットワーク (WAN)

ワイドエリアネットワーク (WAN) のデータリンク層プロトコル。主にワイドエリアネットワークを介したリモートノード間のデータ通信を実現します。

異なる物理リンクのデータリンク層プロトコルは異なります。

ローカルリンクのデータリンク層プロトコルは、通常、IEEE802 LANプロトコル標準を採用します。

WAN リンクのデータリンク層プロトコルは主にポイントツーポイントプロトコル (PPP) を採用します。

3. IEEE802 LAN データリンク層プロトコル

IEEE802 仕様は、ネットワークカードが伝送媒体 (光ケーブル、ツイストペア、無線など) にアクセスする方法、および伝送媒体上でデータを送信する方法を定義し、ネットワーク間の接続の確立、維持、削除方法も定義します。情報を伝達する装置。

IEEE802 標準に準拠した製品には、ネットワークカード、ブリッジ、ルーター、およびローカルネットワークの構築に使用されるその他のコンポーネントが含まれます。

データリンク層には、論理リンク制御（LLC）サブ層と媒体アクセス制御（MAC）サブ層が含まれます。

(1) データリンク層には Logical Link Control (LLC) が含まれます

論理リンク制御 (LLC) は、LAN におけるデータリンク層の上位層部分であり、論理リンク制御プロトコルは IEEE 802.2 で定義されています。ユーザーのデータリンクサービスは、LLC サブレイヤを通じてネットワーク層に統合インターフェイスを提供します。

(2) メディアアクセスコントロール (MAC) サブレイヤ

媒体アクセス制御（Medium Access Control）はMACと呼ばれます。これは、ローカルエリアネットワークで共有チャネルの使用に競合がある場合に、チャネルの使用権をどのように割り当てるかという問題を解決するためです。

MAC サブレイヤの主な機能は伝送媒体へのアクセス制御であり、以下の 2 つの基本機能を備えています。

(1) データのカプセル化。送信前のフレーム結合と受信中および受信後のフレーム分析/エラー検出を含みます。
(2) フレーム送信の初期化と送信障害の回復を含むメディアアクセス制御。

(3) IEEE802.3 MACデータフォーマット

(1) プリアンブル - 7 バイト。フィールド内の 1 と 0 は互換的に使用され、受信局はこのフィールドを通じてインポートされたフレームを知り、このフィールドは物理層フレームの受信部分を同期して受信し、ビットストリームを先頭にする方法を提供します。
(2) フレーム開始デリミタ - 1 バイト。このフィールドでは、1 と 0 が交互に使用され、最後は 2 つの連続する 1 で、次のビットが宛先アドレスを使用した再利用バイトの再利用ビットであることを示します。
(3) 宛先アドレス - 6 バイト。このフィールドは、フレームを受信する必要があるステーションを識別するために使用されます。
(4) 送信元アドレス - 6 バイト。このフィールドは、フレームを送信したステーションを識別するために使用されます。
(5) 長さ/タイプ (Length/Type) - 2 バイト。オプションのフォーマットを使用してフレーム構造を形成する場合、このフィールドは、フレームデータフィールドに含まれる MAC クライアントデータのサイズとフレームタイプ ID の両方を示します。
（６）データ（Data）は、r（46n1500）バイトの任意の値列の集合である。合計フレームサイズは少なくとも 64 バイトです。
(7) フレームチェックシーケンス (Frame Check Sequence) - 4 バイト。このシーケンスには、送信 MAC によって生成され、破損したフレームをチェックするために受信 MAC によって計算される 32 ビットの巡回冗長検査 (CRC) 値が含まれています。

4. LAN データリンク層プロトコルのセキュリティ問題

コミュニケーションの各層には、それぞれ固有の問題が存在します。データリンク層（第 2 層）の通信接続は比較的弱いリンクであり、主なセキュリティ問題は以下のとおりです。

(1) 共有イーサネットでのリスニングの問題

共有イーサネットではブロードキャストにより通信が行われます。理論的には、同じブロードキャストドメイン内のすべてのホストが、物理メディア上で送信されるデータパケットにアクセスできます。

ただし、通常の状況では、ネットワークホストは、自身のハードウェアアドレスと一致するデータフレームと、すべてのホストに送信されるブロードキャストフレームの 2 種類のデータフレームのみを受信して応答する必要があります。

実際のシステムでは、データの送受信はネットワークカードによって行われ、各イーサネットカードはグローバルに固有のイーサネットアドレスを持ちます。これは 48 ビットの 2 進数であり、イーサネットカードにはデータパケットフィルタが組み込まれており、通信目的として自身のネットワークカードの MAC アドレスを持つデータパケットとブロードキャストデータパケットを受信し、それ以外のすべてを破棄するために使用されます。無関係なデータパケット CPU が無関係なパケットに対して不必要な処理を行わないようにするために、通常の状況ではイーサネットカードがこのように動作します。

この動作モードでは、イーサネットカードは、受信したデータパケットのうち、このマシンに関連する部分のみを上向きに送信します。ただし、データパケットフィルタはプログラミングによって無効にすることができ、無効にすると、ネットワークカードは受信したすべてのデータパケットを上向きに通過させ、上位層のソフトウェアがイーサネット上の他のコンピュータ間の通信を監視できるようになります。無差別モードです。ほとんどのネットワークカードはプロミスキャスモードをサポートしているため、通常のネットワークカードをネットワークプローブとして使用できます。

ネットワークリスニングの実装は非常に簡単です。これはネットワーク管理者にとっては便利である一方で、一般のユーザーはネットワーク通信を簡単に傍受できるため、ユーザーのデータ通信の機密性にとって大きな脅威となります。

(2) スイッチドイーサネットにおける ARP ブロードキャストの問題

イーサネットカードのプロミスキャス動作モードに加えて、スイッチドイーサネットでのモニタリングの実装では、ARP リダイレクションテクノロジも利用されます。

ARP (Address Resolution Protocol) は、TCP/IP プロトコルスタックの基本プロトコルの 1 つです。ARP は、32 ビット IP アドレスをイーサネットの 48 ビットハードウェアアドレス (MAC アドレス) にマッピングするために使用されるアドレス解決サービスを提供し、パケットをイーサネットフレームにカプセル化して送信できるようにします。一方、ARP の主な機能は、上位層の IP アドレスを下位層の物理アドレスにバインドすることです。

ARPプロトコルは効率的なデータリンク層プロトコルではありますが、LANプロトコルとしてはホスト間の相互信頼に基づいているため、一定のセキュリティリスクが存在します。

(1) ホストアドレスマッピングテーブルはキャッシュに基づいて動的に更新されます。これは ARP プロトコルの特徴であり、セキュリティ問題の 1 つでもあります。ホスト間の通常の MAC アドレス更新には時間制限があるため、攻撃されたホスト上のアドレスキャッシュが次の更新前に変更されると、偽造される可能性があります。
(2) ARP リクエストがブロードキャストされます。この問題は避けられず、ホストは通信相手の MAC アドレスを知らないからこそ、ARP ブロードキャスト要求を実行する必要があります。このようにして、攻撃者は ARP 応答を偽造し、ブロードキャスターが本当に通信したいマシンと競合することができます。また、サブネット内のホストが MAC アドレスキャッシュを更新するタイミングを決定して、スプーフィングの最大時間を決定することもできます。
(3) ARP 応答パケットは任意に送信できます。ARP プロトコルはステートレスであり、リクエストがなくてもホストは応答でき、応答が有効である限り、応答パケットを受信したホストは応答パケットの内容に応じて無条件にローカルキャッシュをリフレッシュできます。
(4) ARP 応答には認証は必要ありません。ARPプロトコルはLANのプロトコルですが、設計当初は伝送効率を考慮してデータリンク層でのセキュリティ対策は行われていませんでした。ARP プロトコルを使用して MAC を交換する場合、認証は必要なく、LAN から ARP 応答パケットを受信する限り、ローカルキャッシュ内の MAC/IP ペアを更新します。

作成は簡単ではありません、注意してください、いいね、収集、ありがとう~

ネットワークセキュリティ - データリンク層セキュリティプロトコル

序文

1. データリンク層セキュリティプロトコルの概要

1. データリンクのセキュリティ

2. LANデータリンク層プロトコル

1. リンクローカルエリアネットワーク (LAN)

2. 広域ネットワーク (WAN)

3. IEEE802 LAN データリンク層プロトコル