Esp расшифровка: ESP — что это такое?

Содержание

Словарь иностранных авто терминов (AWD, CVT, GDI и др) с расшифровкой и переводом

Словарь технических автомобильных сокращений, их расшифровки для начинающих автолюбителей. С помощью словаря, сможете расшифровать непонятные аббревиатуры как ABS, ESP и GDI — и понять смысл.

Расшифровка

4WD (4 Wheel Drive) — автомобиль с четырьмя ведущими колесами. Обозначаются автомобили, у которых привод всех четырех колес включается вручную водителем.
4WS (4 Wheel Steering) — автомобиль с четырьмя управляемыми колесами.
ABC (Active Body Control) — активный контроль кузова. Система активной подвески кузова автомобиля. ABS (Antiblockier System) — Антиблокировочная система тормозов. Предотвращает блокировку колес при торможении автомобиля, что сохраняет его курсовую устойчивость и управляемость. Сейчас применяется на большинстве современных авто. ABS позволяет нетренированному водителю не допускать блокировки колес.
AIR BAG — подушка безопасности.

Надувная подушка безопасности при аварии заполняется газом и предохраняет водителя или пассажира от повреждений.

AMT (Automated Manual Transmission) — автоматизированная механическая трансмиссия. Механическая коробка передач с автоматическим переключением передач с помощью гидравлических или электрических исполнительных механизмов с автоматическим управлением сцеплением.

ARC — активный контроль крена. Система, уменьшающая крен кузова автомобиля на поворотах. Заменяет стабилизаторы поперечной устойчивости. Изменяет жесткость пневматических или гидропневматических упругих элементов. Управление осуществляется от компьютера, получающего сигналы от датчиков поворота руля, боковых ускорений и др.

AWD (All Wheel Drive) — автомобиль со всеми ведущими колесами. Так обозначаются полноприводные автомобили, которые имеют постоянный привод на все колеса, или подключаемый автоматически.

BA (Brake Assist) EBA (Electronic Brake Assist) — система помощи водителю при экстренном торможении. Реагирует на резкое нажатие тормозной педали водителем и обеспечивает более эффективное торможение в экстренных ситуациях.

BBW (Brake By Wire) — «торможение по проводам». Тормозная система, у которой нет механической связи между педалью тормоза и исполнительными механизмами. Тормозная педаль оборудована датчиками, а управляет процессом торможения компьютер.

Bifuel — автомобиль приспособленный для работы на двух видах топлива. Обычно газ и бензин.

Biturbo — турбонаддув с двумя турбонагнетателями.

CAN bus — мультиплексная линия. Высокоскоростная линия передачи данных.

COMMON-RAIL — система питания дизеля с «общей рейкой». Система питания дизелей, в которой насос высокого давления подает топливо в общий аккумулятор — рейку, а подача топлива в цилиндры двигателя осуществляется с помощью форсунок с электронным управлением.

CTPS — контактный датчик давления в шине. Датчик, устанавливаемый в пневматической шине, сигнал от которого, используется для информирования водителя о давлении в каждой, конкретной шине автомобиля.

CVT (Continuously Variable Transmission) — бесступенчатая трансмиссия с вариатором. В автоматических коробках передач применяются клиноременные вариаторы с раздвигающимися шкивами.

DSG (Direct Shift Gearbox) — коробка передач непосредственного переключения. Автоматическая коробка передач с параллельными ведомыми валами, в которой переключение передач происходит без разрыва мощности. Разработана концерном VW.
DOHC (Double Overhead Camshaft) — ГРМ с двумя валами в головке цилиндров. Привод таких газораспределительных механизмов осуществляется от коленчатого вала двигателя с помощью цепной или ременной передачи.
DSC (Dynamic Stability Control) — система динамического контроля устойчивости. Система с электронным управлением, предотвращает занос и опрокидывание автомобиля, путем изменения тяги на отдельных колесах или применением торможения отдельных колес.

EBD (Electronic Brake Distribution) — В немецком варианте — EBV (Elektronishe Bremskraftverteilung). Электронная система распределения тормозных сил. Обеспечивает наиболее оптимальное тормозное усилие на осях, изменяя его в зависимости от конкретных дорожных условий (скорость, характер покрытия, загрузка автомобиля и т.п.). Главным образом, для предотвращения блокировки колес задней оси.

ECM (Electronic Control Module) — электронный контрольный модуль. Электронный блок управления двигателем, компьютер управления.
ECU (Electronic Control Unit) — блок электронного управления работой двигателя. EDC (Electronic Damper Control) — электронная система регулирования жесткости амортизаторов. Иначе ее можно назвать системой, заботящейся о комфорте. «Электроника» сопоставляет параметры загрузки, скорости автомобиля и оценивает состояние дорожного полотна. При движении по хорошим трассам EDC «приказывает» амортизаторам стать мягче, а при поворотах на высокой скорости и проезде волнообразных участков добавляет им жесткости и обеспечивает максимальное сцепление с дорогой.

EDL (Electronic Differential Lock) — система электронной блокировки дифференциала. В немецком варианте EDS — электронная блокировка дифференциала. Является дополнением к функциям антиблокировочной системы (АБС). Повышает потенциал безопасности автомобиля, улучшаются его тяговые характеристики при движении в неблагоприятных дорожных условиях, а также облегчаются процессы трогания с места, интенсивного разгона, движения на подъем.

EGR — система рециркуляции отработавших газов. Система с электронным управлением, в которой с целью снижения вредных выбросов в атмосферу, часть выхлопных газов, на определенных режимах работы двигателя, подается обратно в цилиндры ДВС.

EHB (Electro Hydraulic Brake) — электрогидравлический тормоз. Тормозная система, в которой гидравлическая система выполняет силовые функции, а управление торможением осуществляется с помощью электрических сигналов.

ESP (Electronic Stability Programm) — противозаносная система. Наиболее сложная система с задействованием возможностей антиблокировочной, антипробуксовочной с контролем тяги и электронной систем управления дроссельной заслонкой.

EPC Electronic Power Control – электронное управление мощностью двигателя. Необходима для стабилизации автомобиля, одновременно с подтормаживанием колес, когда сбрасываются обороты двигателя.

ETC (Electronic Throttle Control) — дроссельная заслонка с электронным контролем. Дроссельная заслонка без механической связи с педалью акселератора. Обычно управляется с помощью электродвигателя и имеет датчики положения.

FWD (Front Wheel Drive) — привод на передние колеса. Переднеприводный автомобиль.

GDI (Gasoline Direct Injection) — непосредственный впрыск бензина. Система питания ДВС, где бензин впрыскивается с помощью двухрежимных форсунок в цилиндры двигателя.

GPS — глобальная навигационная система. Используется в навигационных системах современных автомобилей. HDC (Hill Descent Control) — система с электронным управлением, замедляющая скорость движения автомобиля на спуске. Применяется на автомобилях повышенной проходимости.

HEV (Hybrid Electric Vehicle) — гибридное транспортное средство. Автомобили, в которых кроме ДВС, используются электродвигатели. Существуют параллельные и последовательные «гибриды», о чем можно подробнее узнать из данной статьи.

HID — газоразрядная лампа. Современные газоразрядные источники света высокого напряжения, «ксеноновые лампы», обеспечивающие лучшее освещение дороги и большую долговечность.

HPU (Hybrid Power Unit) — гибридная силовая установка.

LEV (Low Emission Vehicle) — транспортное средство со сниженными выбросами вредных веществ в атмосферу.

MPV (Multi Purpose Vehicle) — многоцелевой автомобиль. Минивэн, микроавтобус.

OBD (On-Board Diagnostic) — бортовая диагностическая система. Система электронного блока управления ЭБУ, служащая для диагностики неисправностей автомобиля. Запоминает и дает возможность считать коды неисправности двигателя, трансмиссии и др.

PCM (Power Control Module) — силовой контрольный модуль. Электронный блок управления системами двигателя и трансмиссии.

PDC — система контроля парковки. Система, с использованием ультразвуковых датчиков, определяющая расстояние автомобиля до других объектов и помогающая водителю при парковке автомобиля.

Run-Flat — шина, работающая при проколе. Современные «безопасные» шины, дающие возможность водителю проехать на шине, из которой вышел сжатый воздух, некоторое расстояние.

RWD (Rear Wheel Drive) — автомобиль с приводом на задние колеса

SBW (Steering By Wire) — «управление по проводам». Рулевое управление, в котором поворот рулевого колеса оценивается с помощью электрических датчиков, а поворот колес осуществляется с помощью компьютера.

SLS — система самовыравнивания подвески. SLS может обеспечивать стабильность положения кузова в продольной оси относительно горизонтали при быстром движении по неровным дорогам и/или при полной загрузке. Под воздействием тяжелого груза проседает задняя часть авто, что делает езду нестабильной. Система самовыравнивания подвески поддерживает постоянный клиренс, изменяя давление в амортизаторе в зависимости от загрузки и датчика высоты машины, установленного в каждой пружине. SUV (Sport Utility Vehicle) — автомобиль повышенной проходимости.

TCS или TRC (Traction Control System) — система контроля тяги (трэкшен контроль). Электронное управление распределением крутящего момента в трансмиссии. Применяется для предотвращения пробуксовывания ведущих колёс, независимо от степени нажатия педали газа и дорожного покрытия.

Принцип действия основан на снижении выходной мощности двигателя при возрастании частоты вращения ведущих колёс. О частоте вращения каждого колеса компьютер узнаёт от датчиков, установленных у каждого колеса и от датчика ускорения. По сигналам датчиков, указывающих, что ведущие колёса начинают пробуксовывать, компьютер принимает решение о снижении мощности двигателя. Он оказывает действие, аналогичное уменьшению степени нажатия на педаль газа, причем степень сброса газа тем сильнее, чем выше темпы нарастания пробуксовки.

Если на автомобиле марки TOYOTA имеется надпись TRC, значит данная машина оборудована системой автоматического контроля пробуксовывания. На авто HONDA эта система обозначается TCS или её модификация — TCV.

Tiptronic — Автоматическая коробка передач с возможностью секвентального (последовательного) псевдоручного переключения передач.

TWI (Tread Wear Indicator) — индикатор износа шины. Выполняется в виде выступа в канавочном слое шины. Положение индикатора наносится на боковине шины в виде стрелки и надписи TWI.
Valvetronic — бензиновый двигатель внутреннего сгорания без дроссельной заслонки. Двигатель разработан BMW. Изменение подачи топливно-воздушной смеси в цилиндры достигается изменением степени открытия впускного клапана с помощью специального механизма.
VIVT — изменяемые фазы газораспределения. Механизм для изменения времени открытия и закрытия клапанов ДВС, позволяющий улучшить характеристики ДВС на различных режимах работы.

ГУР (Гидроусилитель Руля) — Система, облегчающая поворот руля. Особенно помогает ГУР при повороте колес на неподвижном автомобиле и с низкопрофильной резиной, т.к. в этом случае «пятно контакта» резины с дорогой максимально, а качения нет.

ЭУР (Электроусилитель Руля) — То же, что ГУР, но вместо насоса, перекачивающего жидкость, устанавливается электромотор. В случае перегрева ЭУР отключается на 3-4 секунды, затем включается.

Ошибка EPC на приборной панели: что это такое?

Что означает значок ЕРС на приборной панели автомобиля.

На панели приборов автомобиля могут отображаться различные типы сообщений о неправильной работе одного из компонентов или сбоях автомобиля. Одним из них является индикатор EPC – Electronic Power Control. Но в каких случаях на приборной панели может выскочить ошибка EPC?

Electronic Power Control (EPC) – это компьютеризированная система зажигания и управления двигателем, которая используется в автомобилях VAG (более известная как Volkswagen Group).

Многие автовладельцы, увидев на панели приборов индикатор, путают его с ошибкой системы ABS или ESP, последняя из которых отвечает за систему стабилизации автомобиля на дороге (система контроля устойчивости автомобиля). ABS и ESP относятся к противоскользящим системам, защищающим транспортное средство от потери сцепления во время движения и торможения. Что касаемо сигнальной лампы ЕРС, для многих эта аббревиатура на приборке остается загадкой. На самом деле это горящее предупреждение ЕРС говорит о проблемах в автомобиле, связанных со сбоями в электропитании.

^{Фото: automobileglobe.com}

К сожалению, ошибка ЕРС может означать почти все, в том числе значительные неисправности, начиная от неправильных значений, поступаемых с датчиков двигателя, и заканчивая отказом стоп-сигнала или ошибкой датчика температуры охлаждающей жидкости. Как правило, чтобы определить причину сбоя, необходимо использовать диагностический компьютер или специальное диагностирующее приложение, установленное на смартфон, который должен быть соединен с диагностическим разъемом автомобиля.

Примечательно, что индикатор EPC встречается в основном на автомобилях Volkswagen или автомобилях, выпускаемых VW Group, – например, сигнальный значок ЕРС есть в автомобилях Seat, Audi и Porsche. Кстати, именно в этих автомобилях индикация ЕРС полностью независима от индикатора «Чек двигателя» (Check Engine). Что это означает?

Например, неработающие стоп-сигналы в автомобилях Volkswagen не приводят к появлению индикации «Чек двигателя» – вместо этого на приборной панели появится значок ЕРС, поскольку лампы в стоп-сигналах не связаны с системой управления двигателем. И это правильно, так как лампочки не влияют на работу двигателя. Увы, такая отдельная индикация в автомобилях Volkswagen есть не во всех автомобилях. Во многих авто индикатор ЕСР может означать как мелкую проблему с лампочкой, так и проблему с датчиками двигателя.

Безопасно ли ехать с включенной ошибкой EPC?

^{Фото: drive2.ru}

Все зависит от того, какие еще ошибки есть на приборной панели. Если на приборке вместе с сигнальной лампой EPC горит индикатор «Чек двигателя» (Check Engine), автомобиль должен быть проверен как можно скорее, чтобы предотвратить существенное повреждение двигателя. Внимание: не стоит паниковать при появлении ошибки «Чек двигателя» – как правило, в этом случае двигатель управляется в аварийном режиме (система ограничивает положение дроссельной заслонки, не допуская движение на больших оборотах). Обычно при аварийном режиме вы будете чувствовать, что в автомобиле пропала мощность.

Поскольку система EPC используется во многих других системах автомобиля VW Group, вполне вероятно, что после появления ошибки ЕРС на приборке могут появиться и другие сигнальные огни, предупреждающие о неисправностях. Например, если по каким-то причинам будет неисправна система контроля устойчивости автомобиля (ESP) или выйдет из строя круиз-контроль, то на приборке появится значок ESP или значок, предупреждающий о нерабочей системе круиза.

В заключение хотели бы еще раз отметить, что появление ошибки EPC в любом случае сообщает вам о какой-то неисправности или проблеме. Так что, даже если вы с этой ошибкой больше не видите на приборной панели других предупреждающих индикаторов, мы все же рекомендуем проверить не только все лампы освещения в машине (в том числе в стоп-сигналах и поворотники), но и пройти диагностику автомобиля у специалиста.

^{Обложка: Autokult}

Смотрите также

Системы ABS, ESP, ASR, BAS — описание

Многие автовладельцы любят с гордостью рассказывать о наличии в их автомобилях таких функций как ABS, ASR, ESP и прочих…

При этом, многие люди даже представления не имеют что означают все эти непонятные зашифровки. Система ABS (антиблокировочная система)

Чаще всего на слуху именно эти три буквы. Наверное, все знают расшифровку, но далеко не все знают, что это означает.

Среди всех этих систем именно АБС появилась первой. Существует уже несколько десятков лет. Она не позволяет колесам блокироваться во время торможения, в случае если водителю пришлось в экстренной ситуации слишком сильно надавить на тормозную педаль. При блокировке колес происходят две неприятные вещи. Во-первых, машина может потерять управление, т.е. её уведет в сторону, что чревато ДТП. Во-вторых, изнашивается протектор шин. Благодаря датчикам, которыми управляет контроллер, система следит за скоростью движения автомобиля и за скоростью вращения колес. В результате при сильном и резком торможении колеса продолжат вращение и не будут заблокированы. Срабатывание АБС можно ощутить в виде толчков в районе педали тормоза. Логичным продолжением антиблокировочной системы является EBD, которая правильно распределяет тормозные усилия всех колес в отдельности. Такое срабатывание происходит, когда водителю приходится экстренно тормозить на нестандартном дорожном покрытии, и автомобиль попадает в занос. Система ESP Разработка 90-х годов. Расшифровывается как система динамической стабилизации. Говоря более простым языком, данная функция обеспечивает устойчивость автомобиля на высокой скорости. Машина может не вписаться в поворот, или наоборот – её может занести. ESP как раз предназначена для предотвращения подобного инцидента. Система следит за тем, чтобы траектория движения точно соответствовала направлению колес, и, в случае отклонения от нормы дает сигнал системе ABS, которая, в свою очередь, притормаживает нужное колесо. В целом, ESP прекрасно дополняет АБС, т.к. в плане безопасности эта функция гораздо эффективнее. Первая – просто не позволяет колесам блокироваться. Вторая – следит за каждым колесом отдельно и контролирует устойчивость автомобиля. ASR Расшифровку данной аббревиатуры слышали многие – антипробуксовочная система. Предотвращает буксование, которое может произойти в трудных дорожных условиях (грязь, лед и т.д.) или в результате повышенной нагрузки колес, вызванной маневрированием. Система распознает, что скорость вращения колес не соответствует скорости движения автомобиля (т.е., колеса вращаются быстро, а машина стоит на месте или очень медленно едет). ASR в этом случае замедляет колеса и блокирует дифференциал. Пробуксовка также может возникнуть в результате заноса на большой скорости. Чтобы этого не произошло, ASR снижает обороты двигателя. На разных автомобилях антипробуксовочная система может носить разные названия, например, TRC – трэкшн-контроль. BAS (Break Assistant) Предназначена для сокращения тормозного пути. Срабатывает в тех случаях, когда водитель в опасной ситуации панически давит на педаль тормоза. У перечисленных выше систем есть одна общая цель: обеспечение безопасности во время движения. По сути, все эти функции нужны для того, чтобы исправлять неверные действия водителя. Электронные системы безопасности могут быть очень полезны для неопытных автомобилистов. Среди опытных часто можно услышать недовольство, т.к. многие из них любят динамичную, порой даже агрессивную и опасную езду. Во-первых, существуют автомобили, у которых можно отключить эти опции. Во-вторых, даже если у человека огромный опыт в экстремальном вождении, лучше не рисковать лишний раз и помнить о ценности жизни – своей и других.

Поделиться новостью с друзьями:

Похожее

Единый совокупный платёж перечисляет только один из 10 самозанятых. Почему?

Фото: pixabay.com

Предлагая единый совокупный платёж (ЕСП), в Министерстве труда надеялись «ввести в экономический оборот» тех работников, которые не платят никаких налогов и не могут рассчитывать на полноценную социальную защиту от государства. Идея была в том, чтобы люди, оказывающие услуги людям и никак не оформляющие трудовые отношения, получили бы а) возможность платить подоходный налог и б) право на медицинскую помощь, пенсионное обеспечение и социальное страхование. Все перечисленные блага доступны с 1 января 2019 всего за 1 МРП для горожан (2525 тенге) и половину МРП для сельчан (1262,5 тенге).

Сумма единого совокупного платежа распределяется НАО ГК «Правительство для граждан» в следующей пропорции:

10% – индивидуальный подоходный налог;
20% – социальные отчисления;
30% – обязательные пенсионный взносы;
40% – отчисления на обязательное медицинское страхование (ОСМС).

Сколько же самозанятых воспользовалось предоставленной возможностью? По данным, предоставленным пресс-службой НАО «Правительство для граждан», за пять месяцев текущего года произведено 161 356 платежей на сумму 301,8 млн тенге (по состоянию на 5 июня). Количество денежных переводов росло от месяца к месяцу: в январе ЕСП заплатили 4,3 тыс. граждан, за февраль проведено 17,9 тыс. транзакций, в марте – 23 860, в апреле 47 921. В мае число плательщиков достигло почти 60 тыс. (59 292). Всего за пять месяцев произведено 153 372 платежа на сумму 284 980 337,5 тенге.

Однако, судя по всему, Минтруда рассчитывало, что плательщиками ЕСП станут по меньшей мере полмиллиона казахстанцев.

— ЕСП будут охвачены физические лица, оказывающие услуги исключительно физическим лицам и реализующие излишки от личного подсобного физическим лицам.В результате введения ЕСП предусматривается формализация деятельности 500 тыс. человек из числа неформально занятых, а также ожидается переток 65,4 тыс. плательщиков из действующих налоговых режимов на основе патента и упрощённой декларации, — говорила тогдашний министр труда и соцзащиты Мадина Абылкасымова на пленарном заседании в парламенте в ноябре 2018.

Вообще, по данным на конец прошлого года, из 8,6 млн работающих казахстанцев 2,1 млн человек относились к самозанятым (то есть не наёмным работникам). При этом 1,4 млн человек считались неформально занятыми, в том числе наёмные работники, работавшие без оформления трудовых договоров, составляли около 800 тыс. человек, и самостоятельно занятые – 588 тыс. человек.

Если допустить, что в данный момент плательщиками ЕСП являются 60 тыс. человек, то получится, что на призыв государства выйти из тени откликнулось около 10% тех, к кому он был обращён. Почему так мало?

«У меня просроченные кредиты, все счета заблокированы, и я не могу платить, хотя собиралась», — ответила на вопрос знакомая автора материала, оказывающая на дому услуги парикмахера. При этом для совершения платежа не нужно ничего, кроме удостоверения личности. Платёж можно произвести в любом отделении любого банка, просто сказав кассиру три буквы «ЕСП». Реквизиты платежа, если паче чаяния кассир не будет их знать, можно легко найти на разных сайтах.

Второй респондент, мужчина предпенсионного возраста, просто не знал о появлении такой возможности, хотя он тоже полностью подходит под все требования: помогает соседям с ремонтом и огородными работами, зарабатывает намного меньше установленного предела в 2 млн 976 тыс. тенге в год (1175 МРП, 247,2 тыс. тенге в месяц).

Более подробно на вопрос, почему самозанятые не хотят платить ЕСП, ответил экономический обозреватель Сергей Домнин. Для начала он определился с терминами.

— ЕСП — не для самозанятых, а для неформально занятых. Чем они отличаются? Самозанятыми у нас считаются все, кто не является наёмным работником и безработным. Если вы продаёте что-либо в магазине и это ваш магазин, вы самозанятый. Или если у вас 100% акций крупной компании, вы тоже самозанятый. А ЕСП предназначен для тех, кто неформально занят – кто не платит налоги и сборы. Это способ для «улавливания» «мелкой рыбёшки» — поэтому там и установлены ограничения по доходу, — объяснил он.

По мнению Сергея Домнина, многие из них принципиально не хотят иметь отношения с государством. Заработок у них нестабильный, и в какой-то месяц есть возможность заплатить эти 2,5 тысячи, в какой-то – нет. Кроме того, большое количество из этих людей живут в сельской местности, где нет отделений банка, скоростного интернета, да и денег особо нет – часто за работу расплачиваются не деньгами, а чем-то «вещественным».

— Ментальность у нас такова, что мы не хотим платить за что-то, пока не понимаем, зачем нам это надо, — считает эксперт. — В данном случае государство создало положительный стимул – платите небольшую сумму, чтобы войти в систему. С другой стороны, нет отрицательных стимулов – чтобы жизнь этого человека ухудшилась, если он не будет принимать участие в системе. Со следующего года возникнут негативные стимулы, например, человек обратится в больницу, а ему скажут – откачать тебя можем, а лечить дальше не будем, потому что ты не участник системы медстрахования. Тогда уже люди задумаются. В наших условиях нужны очень жёсткие негативные стимулы, чтобы все и сразу чем-то начали заниматься или чем-то бросили заниматься.

Что такое ESP в автомобиле?

Зачем нужна и как устроена ESP

Более 20 лет назад на многие серийные модели начали устанавливать ESP. Это была совершенно новая система, пришедшая на смену устаревшим ABS и EBD. При функционировании она опирается на данные, полученные от многих датчиков, а также на немалый объём вычислительных операций.

Аббревиатура ESP сегодня является одной из самых распространённых. Её дословная расшифровка – «ElectronicStabilityProgram». Не трудно догадаться, что на русский язык это переводится как «Электронная стабилизирующая программа».Впрочем, она может называться и по-другому и даже иметь иную аббревиатуру. Многое зависит от того, какая компания занимается производством автомобиля. Так, BMW, например, собственную систему стабилизации именует – «DSC». А в моделях Volvo эта система носит название – «DTSC». В машинах Toyotaустановлена VSC. Но, независимо от названия и от производителя, суть системы остаётся прежней.

Основная функция ESP–привести реальную траекторию автомобиля к той, которая была выбрана самим водителем.

Когда автомобиль движется на большой или на малой скорости, на него действует много сил, которые не только не совпадают по направлению, но и могут быть даже противоположными. А уж о том, что они редко совпадают с желаемой траекторией, и говорить не стоит. Здесь на помощь водителю приходит как раз система стабилизации, одной из разновидностей которых и является ESP. Она помогает сидящему за рулём удержать автомобиль на дороге.

И вот как работает ESP. Она получает необходимые данные от элементов управления, сравнивает их с установленными параметрами и выполняет корректировку движения.

Основными составными частями ESP являются акселерометры и датчик угловой скорости. Работая в тандеме с ABS, они предоставляют нужную информацию о скорости и направления движения транспортного средства. Вся эта информация используется для сравнения с данными, полученными от датчиков поворота рулевого колеса, педалей акселератора и тормоза. И если скорость не будет соответствовать расчётной, система начнёт корректировать движение.

Воздействие на траекторию оказывается избирательным торможением какого-либо колеса, а также посредством так называемого «удушения» двигателя. Система ESP связана с блоком управления мотором. В современных моделях она может оказывать влияние на распределение крутящего момента между некоторыми колёсами и осями.

Впрочем, корректировка траектории автомобиля – это не единственная функция ESP. Она может также стабилизировать прицеп, увеличивать давление тормозов при повышении температуры, предотвращать опрокидывание и пр.

Примечательно, что данная система работает постоянно, при любых режимах езды. Правда, бытует мнение, что опытным автомобилистам ESP может стать лишь помехой, когда они будут пытаться выполнить на трассе какой-нибудь манёвр, подтверждающий их высокое мастерство вождения. На самом деле и у менее опытных водителей иногда возникают такие ситуации, при которых система стабилизации станет лишь дополнительной обузой. Например, для того, чтобы выйти из заноса, водитель будет давить на педаль акселератора. А электронная система, оказывая воздействие на двигатель, не позволит набрать скорость, достаточную для выхода из заноса. Впрочем, это не такая уж и большая проблема. Ведь во многих моделях предусмотрена возможность временно отключить ESP.

С 2014 года все модели, которые продаются в европейских странах, обязательно должны оснащаться системой стабилизации ESP. С нею движение становится менее опасным. Однако стоит помнить о том, что её возможности всё же имеют предел. Нельзя полностью полагаться только на неё. Водитель и сам должен принимать активное участие в корректировке движения.

(Emergency Stand-by Power) и PRP (Prime Power)

Мощность многих дизель-генераторных установок указывается в двух вариантах с обозначениями ESP и PRP. Показатель ESP всегда больше, чем PRP. Многие покупатели задаются вопросом что это означает и на какую из величин нужно обращать внимание при покупке генераторной установки для загородного дома.

Для начала нужно понять что же означают эти две аббревиатуры.

ESP (Emergency Stand-by Power) – максимальная мощность электростанции, которая рассчитывается для аварийного/резервного применения. Перегрузка не допускается, наработка генераторной установки в год не более 500 часов.

PRP (Prime Power) – максимальная мощность электростанции, при которой она может работать в постоянном режиме, обеспечивая на долгое время автономное энергоснабжение. При этом допускается перегрузка на 10% в течение одного часа каждые 12 часов работы.

Итак, разберем два случая.

Первый случай: вы планируете использовать генераторную установку в случаях кратковременного отключения электроэнергии или аварии в основной сети электроснабжения. Тогда ориентируйтесь на показатель ESP — им обозначен тот максимум суммарной нагрузки, которую вы сможете подключить к резервной электростанции. Главным условием в этом случае будет ограничение суммарного количества времени работы электростанции в год – 500 часов. Не важно, как надолго будут задействована электростанция в каждом отдельном случае: будь это полчаса, два часа или три дня к ряду. Главное, чтобы за год генераторная установка не превысила суммарно 500 часов работы, выполняя функцию подстраховки на время выхода из строя основного источника электроснабжения.

Второй случай: в вашем доме совсем нет электричества и электроснабжение будет обеспечиваться генераторной установкой на 100% без альтернативы. В этой ситуации при выборе генераторной установки ориентируйтесь на показатель PRP. Он указывает максимальную сумму подключаемой нагрузки, которая будет в постоянном режиме запитана от электростанции.

Расшифровка автомобильных терминов

Что такое ESP?

Электронная система курсовой устойчивости (ESP, ESC, ASMS, DSC, FRD, VSA, VSC) ESP (буквально ESP — это аббревиатура от Electronic Stability Program — «программа электронной стабилизации») значительно снижает риск попадания автомобиля в занос или снос в критических ситуациях. Например, когда превышена допустимая скорость в повороте, при перестроении или при манёврах на скользком покрытии. В большинстве случаев ограждает машину от потери курсовой устойчивости при ошибке водителя, в самом начале развития заноса или сноса выборочно подтормаживая одно из четырёх колёс и (или) уменьшая подачу топлива в двигатель (эта же система выполняет и функцию противобуксовочной, при разгоне). Тем не менее, законы физики или целенаправленные действия водителя ESP победить не сможет. Так что при очень значительном превышении безопасной скорости прохождения поворота или чрезмерно резком вращении руля, электроника полностью занос предотвратить не в состоянии. Чудес, как известно, не бывает.

Что такое ABS?

Антиблокировочная система (ABS). ABS предотвращает блокировку колёс автомобиля при резком торможении. В большинстве ситуаций она как минимум сокращает тормозной путь. Но главное достоинство ABS в том, что при экстренном торможении автомобиль остаётся управляемым, то есть не срывается в неуправляемое скольжение. Таким образом, водитель может одновременно и тормозить и поворачивать, чтобы например, избежать столкновения. Также ABS спасает машину от заноса, вылета с дороги или на встречную полосу при резком торможении в ситуации, когда одна сторона машины находится на сухом асфальте, а вторая — на

грунтовой обочине или на мокром покрытии. Система состоит из нескольких датчиков и электронного блока управления, в реальном времени подстраивающего давление в тормозной системе для каждого колеса автомобиля.

Что такое EBD?

Электронная система распределения тормозных сил (EBD). EBD улучшает эффективность торможения, меняя соотношение тормозных сил между передними и задними колёсами при изменении загрузки автомобиля. Кроме того, эта система перераспределяет тормозные усилия на правых и левых колёсах при торможении в поворотах, что помогает сохранить курсовую устойчивость. С помощью различных (в разных вариантах системы) датчиков она измеряет загрузку машины, и по мере наполнения автомобиля, позволяет тормозной системе давать большую долю усилия на задние, всё более загружающиеся, колёса.

Что такое TSC?

Антипробуксовочная система. TSC применяется для предотвращения пробуксовывания ведущих колёс, независимо от степени нажатия педали газа и дорожного покрытия. Принцип действия основан на снижении выходной мощности двигателя при возрастании частоты вращения ведущих колёс. О частоте вращения каждого колеса компьютер, управляющий системой, узнаёт от датчиков, установленных у каждого колеса и от датчика ускорения. Точно такие же датчики применяются в системах ABS и в системах контроля крутящего момента, поэтому, часто, эти системы применяются одновременно. По сигналам датчиков, указывающих на то, что ведущие колёса начинают пробуксовывать, компьютер принимает решение о снижении мощности двигателя и оказывает на него действие, аналогичное уменьшению степени нажатия на педаль газа, причем степень сброса газа тем сильнее, чем выше темпы нарастания пробуксовки. Иногда, совместно с такими системами применяется дифференциал с блокировкой.

Что такое ECS?

ECS — система электронного контролья жесткости подвески.

Система при помощи сенсорных датчиков отслеживает скорость автомобиля и положение кузова, чтобы с помощью соленоидного привода в каждом амортизаторе уменьшить раскачивание при поворотах, «клевок» вперед при торможении, осадку на задние колеса при разгоне и увеличить жесткость подвески при движении на больших скоростях.

Как я могу расшифровать пакеты IKEv1 и / или ESP?

Расшифровка IKEv1

Прежде всего: Wireshark 1.8.0 реализует только 3DES и DES для расшифровки IKEv1 (то же самое для версии 1.6.8).

См .: epan \ диссекторы \ пакет-isakmp.c: decrypt_payload ()

Если вы хотите расшифровать любой другой алгоритм, диссектор необходимо расширить (добро пожаловать в добровольцы!). Вы можете отправить запрос на усовершенствование для этого на https: //bugs.wireshark.org, возможно, со ссылкой на этот вопрос.

Для получения требуемых параметров IKEv1 для анализатора ( Инициатора COOKIE и Ключ шифрования ) вам нужны выходные данные отладки из вашей реализации IPSEC.

Я тестировал strongSwan 4.4 в Linux и с этим файлом захвата (с файлом захвата и данными, приведенными в этом ответе, вы можете попробовать сами). Чтобы получить значение «enc key» в журнале, вам понадобится как минимум этот параметр отладки: --debug-crypt .

Найдите ICOOKIE и enc key в журнале отладки Плутона.

  gw205: / # ps auxww | grep плутон
корень 24522 0,0 0,3 12572 3488? Ss 15:46 0:00 / usr / libexec / ipsec / pluto --nofork --debug-raw --debug-crypt --debug-parsing --debug-emitting --debug-control --nocrsend --nat_traversal - -keep_alive 60
  Протокол отладки strongSwan ipsec: 
  2012: 07: 23-16: 40: 04 gw205 плутон [24522]: |
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | * получено сообщение об ударе
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | создание объекта состояния # 12 по адресу 0x9fd77a8
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | ICOOKIE: c6 d1 45 92 85 15 0c 7e
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | RCOOKIE: 00 00 00 00 00 00 00 00
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | партнер: c0 a8 8c c8
2012: 07: 23-16: 40: 04 gw205 плутон [24522]: | запись состояния хэша 22 
  2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | Skeyid_e: b0 16 81 21 5f 16 20 23 03 18 6d 28 14 dc 56 86
2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | ок. 5а 47 33
2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | Ключ enc: 44 9e 82 9e a9 66 d4 21 fb cb 86 bd 7a d9 2e 86
2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | 5a ba b1 5b aa 5c 67 2a
2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | IV: dc f8 5e 03 f2 76 ab b9 89 e6 ae ff 46 a9 58 16
2012: 07: 23-16: 40: 14 gw205 плутон [24522]: | f4 96 86 25

ПОДСКАЗКА: Если вы используете любую другую реализацию IPSEC, прочтите руководство, как получить эту информацию.

Извлеките значения ICOOKIE и ‘enc key’ БЕЗ пробелов. ПОДСКАЗКА: «Ключ enc» занимает две строки !!

ICOOKIE: c6d1459285150c7e
Ключ шифра: 449e829ea966d421fbcb86bd7ad92e865abab15baa5c672a

Используйте эти значения для

—
—
9000 — Параметры IKE> Таблица настроек> ISB>

Тестовый файл: ipsec.pcap

Результат без расшифровки :

Результат с расшифровкой :

ESP Decrypt ESP

Расшифровка ESP

8.0, вам снова нужно отладить выходные данные вашей реализации IPSEC. Для Linux и strongSwan вы получите эту информацию с помощью этой команды:

ip xfrm state

Вывод:

  gw205: / # ip xfrm state
src 192.168.140.200 dst 192.168.140.205
        proto esp spi 0x0879355b reqid 16421 режим туннель
        окно повтора 32 флаг noecn nopmtudisc af-unspec
        auth hmac (sha1) 0xb8dd42a1c505bed19c2bf23cef00e5d8223c2a5b
        enc cbc (des3_ede) 0xae76ea430b10c72c882c4aeab2283444c54f913d87f5e109
Источник 192.168.140.205 dst 192.168.140.200
        proto esp spi 0x1c0d7b38 reqid 16421 режим туннель
        окно повтора 32 флаг noecn nopmtudisc af-unspec
        аутентификация hmac (sha1) 0xc364660133b04a4f20e52000dbe4a6ba154c09c1
        enc cbc (des3_ede) 0x39e87c9ca500616b36f2f0d3c7fb688621d7bbf31414abbd

Используйте эти значения для параметров диссектора ESP, как показано на следующих снимках экрана. ПОДСКАЗКА: Не добавляйте пробел в конце любого параметра (SPI, ключа и т. Д.), Так как в этом случае дешифрование не сработает.

Сначала включите расшифровку ESP.

Edit -> Preferences -> Protocols -> ESP -> Попытка обнаружить / декодировать зашифрованные полезные данные ESP

Затем добавьте два ESP SA (по одному для каждого направления!)

Если параметры соответствуют данным файла захвата, Wireshark сможет анализировать пакеты ESP.

Результат без расшифровки :

Результат С расшифровкой :

С уважением
Курт

ответил 23 июля ’12, 09:10

Курт 900 Кнохнер 24.8k ● 10 ● 39 ● 237
скорость принятия: 15%

rfc5202

 Сетевая рабочая группа П. Йокела
Запрос комментариев: 5202 Ericsson Research NomadicLab
Категория: Экспериментальная Р. Московиц
                                                                ICSAlabs
                                                             П. Никандер
                                            Ericsson Research NomadicLab
                                                              Апрель 2008 г.


Использование транспортного формата инкапсулируемых данных безопасности (ESP) с
                      Протокол идентификации хоста (HIP)

Статус этой памятки

   Этот меморандум определяет экспериментальный протокол для Интернета.
   сообщество.Он не определяет никаких стандартов Интернета.
   Требуются обсуждения и предложения по улучшению.
   Распространение этой памятки не ограничено.

Примечание IESG

   Следующие ниже проблемы описывают опасения IESG по поводу этого документа. В
   IESG ожидает, что эти проблемы будут решены, когда в следующих версиях
   HIP спроектированы.

   В случае сложных баз данных политик безопасности (SPD) и совместных
   наличие HIP и протоколов, связанных с безопасностью, таких как IKE,
   разработчики могут столкнуться с условиями, которые не указаны в этих
   документы.Например, когда SPD определяет подсеть IP-адреса для
   быть защищенным и хост HIP находится в этой области IP-адреса,
   есть вероятность, что сообщение зашифровано многократно
   раз. Читателям рекомендуется уделять особое внимание запуску HIP.
   со сложными настройками SPD. Будущие спецификации должны четко
   определить, когда предполагается множественное шифрование, а когда оно должно быть
   избегали.

Абстрактный

   Этот меморандум определяет инкапсулированную полезную нагрузку безопасности (ESP) на основе
   механизм передачи пакетов пользовательских данных, который будет использоваться с
   Протокол идентификации хоста (HIP).Йокела и др. Экспериментальный [Страница 1]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


Оглавление

   1. Введение . . . . . . . . . . . . . . . . . . . . . . . . . 3
   2. Условные обозначения, используемые в этом документе. . . . . . . . . . . . . . 3
   3. Использование ESP с HIP. . . . . . . . . . . . . . . . . . . . . . 4
     3.1. Формат пакета ESP. . . . . . . . . . . . . . . . . . . . 4
     3.2.Концептуальная обработка пакетов ESP. . . . . . . . . . . . . 4
       3.2.1. Семантика индекса параметров безопасности (SPI). . . 5
     3.3. Создание и обслуживание ассоциации безопасности. . . . 6
       3.3.1. Ассоциации безопасности ESP. . . . . . . . . . . . . . 6
       3.3.2. Смена ключей. . . . . . . . . . . . . . . . . . . . . . . 6
       3.3.3. Управление ассоциациями безопасности. . . . . . . . . . . 7
       3.3.4. Индекс параметров безопасности (SPI). . . . . . . . . . . . 7
       3.3.5. Поддерживаемые преобразования. . . . . . . . . . . . . . . . . 7
       3.3.6. Последовательность чисел  . . . . . . . . . . . . . . . . . . . 8
       3.3.7. Время жизни и таймеры. . . . . . . . . . . . . . . . . 8
     3.4. Рекомендации по реализации IPsec и HIP ESP. . . . . 8
   4. Протокол. . . . . . . . . . . . . . . . . . . . . . . . . 9
     4.1. ESP в HIP. . . . . . . . . . . . . . . . . . . . . . . . 9
       4.1.1. Настройка ассоциации безопасности ESP. . . . . . . . 9
       4.1.2. Обновление существующей ESP SA. . . . . . . . . . . . . 10
   5. Параметры и форматы пакетов. . . . . . . . . . . . . . . . . 10
     5.1. Новые параметры. . . . . . . . . . . . . . . . . . . . . . 11
       5.1.1. ESP_INFO. . . . . . . . . . . . . . . . . . . . . . . 11
       5.1.2. ESP_TRANSFORM. . . . . . . . . . . . . . . . . . . . 13
       5.1.3. Параметр NOTIFY. . . . . . . . . . . . . . . . . . . 14
     5.2. Настройка ассоциации безопасности HIP ESP. . . . . . . . . . . . 14
       5.2.1. Настройка во время базового обмена. . . . . . . . . . . . . . 14
     5.3. Смена ключей HIP ESP. . . . . . . . . . . . . . . . . . . . . 16
       5.3.1. Инициализация смены ключей. . . . . . . . . . . . . . . . 16
       5.3.2. Ответ на инициализацию смены ключей. . . . . . 17
     5.4. Сообщения ICMP. . . . . . . . . . . . . . . . . . . . . . 17
       5.4.1. Неизвестный SPI. . . . . . . . . . . . . . . . . . . . . 17
   6. Обработка пакетов. . . . . . . . . . . . . . . . . . . . . . 18
     6.1. Обработка исходящих данных приложения. . . . . . . . . . . 18
     6.2. Обработка входящих данных приложения. . . . . . . . . . . 19
     6.3. Расчет и проверка HMAC и SIGNATURE. . . . . 19
     6.4. Обработка входящей инициализации ESP SA (R1). . . . . . 19
     6.5. Обработка входящего ответа инициализации (I2). . . . . . 20
     6.6. Обработка входящего завершения настройки ESP SA (R2). . . . 20
     6.7. Отказ от ассоциаций HIP. . . . . . . . . . . . . . . . 20
     6.8. Запуск смены ключей ESP SA. . . . . . . . . . . . . . . . 20
     6.9. Обработка входящих пакетов UPDATE. . . . . . . . . . . . 22
       6.9.1. Обработка пакета UPDATE: нет выдающейся смены ключей
               Запрос  . . . . . . . . . . . . . . . . . . . . . . . 22
     6.10. Завершение смены ключей. . . . . . . . . . . . . . . . . . . 23
     6.11. Обработка пакетов NOTIFY. . . . . . . . . . . . . . . . 24
   7. Ключевые материалы. . . . . . . . . . . . . . . . . . . . . . . 24



Йокела и др.Экспериментальный [Страница 2]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   8. Соображения безопасности. . . . . . . . . . . . . . . . . . . 25
   9. Соображения IANA. . . . . . . . . . . . . . . . . . . . . 25
   10. Благодарности. . . . . . . . . . . . . . . . . . . . . . . 26 год
   11. Список литературы. . . . . . . . . . . . . . . . . . . . . . . . . . 26 год
     11.1. Нормативные ссылки . . . . . . . . . . .. . . . . . . . 26 год
     11.2. Информативные ссылки. . . . . . . . . . . . . . . . . . 26 год
   Приложение A. Примечание о вариантах реализации. . . . . . . . . . 28 год

1. Введение

   В архитектуре протокола идентификации хоста [RFC4423] хосты
   идентифицированы с открытыми ключами. Протокол идентификации хоста [RFC5201]
   базовый обмен позволяет любым двум хостам, поддерживающим HIP, аутентифицироваться
   друг друга и создать между собой HIP-ассоциацию.
   Во время базового обмена хосты генерируют часть общего ключа
   материал с использованием аутентифицированного обмена Диффи-Хеллмана.Спецификация базового обмена HIP [RFC5201] не описывает никаких
   транспортные форматы или методы для пользовательских данных, которые будут использоваться во время
   актуальное общение; он только определяет, что обязательно
   реализовать инкапсулированную полезную нагрузку безопасности (ESP) [RFC4303] на основе
   транспортный формат и способ. В этом документе указывается, как используется ESP.
   с HIP для передачи фактических пользовательских данных.

   Чтобы быть более конкретным, этот документ определяет набор протоколов HIP.
   расширения и их обработка. Используя эти расширения, пара ESP
   Ассоциации безопасности (SA) создаются между хостами во время
   базовый обмен.Результирующие ассоциации безопасности ESP используют ключи
   взяты из ключевого материала (KEYMAT), созданного во время базового
   обмен. После того, как ассоциация HIP и требуемые ESP SA были
   между хостами устанавливается обмен данными пользователя.
   защищен с помощью ESP. Кроме того, этот документ определяет методы для
   обновить существующую ассоциацию безопасности ESP.

   Следует отметить, что представления Идентификации Хоста не являются
   явно переносится в заголовках пакетов пользовательских данных.Вместо этого
   Индекс параметров безопасности ESP (SPI) используется для указания правильного хоста
   контекст. SPI выбираются во время обмена настройками HIP ESP.
   Для пакетов данных пользователя ESP SPI (в возможной комбинации с IP
   адреса) используются косвенно для идентификации контекста хоста, тем самым
   избегая любых дополнительных явных заголовков протокола.

2. Условные обозначения, используемые в этом документе

   Ключевые слова «ДОЛЖНЫ», «НЕ ДОЛЖНЫ», «ОБЯЗАТЕЛЬНО», «ДОЛЖНЫ», «НЕ ДОЛЖНЫ»,
   «ДОЛЖЕН», «НЕ ДОЛЖЕН», «РЕКОМЕНДУЕТСЯ», «МОЖЕТ» и «ДОПОЛНИТЕЛЬНО» в этом
   документ следует интерпретировать, как описано в RFC 2119 [RFC2119].Йокела и др. Экспериментальный [Страница 3]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


3. Использование ESP с HIP

   Базовый обмен HIP используется для установки HIP-ассоциации между двумя
   хосты. Базовый обмен обеспечивает двустороннюю аутентификацию хоста и
   ключевого материала, но он не дает никаких средств для
   защита передачи данных между хостами. В этом документе
   мы указываем использование ESP для защиты трафика пользовательских данных после
   Базовый обмен HIP.Обратите внимание, что это использование ESP предназначено только для
   межсетевой трафик; шлюзы безопасности не поддерживаются.

   Для поддержки использования ESP сообщения обмена базой HIP требуют незначительного
   дополнения к перенесенным параметрам. В пакете R1
   Ответчик добавляет возможные преобразования ESP в новый ESP_TRANSFORM
   перед отправкой Инициатору. Инициатор получает
   предлагаемые преобразования, выбирает одно из предложенных преобразований и
   добавляет его в пакет I2 в параметре ESP_TRANSFORM.В этом I2
   пакет, Инициатор также отправляет значение SPI, которое он хочет
   используется для трафика ESP, проходящего от Ответчика к Инициатору.
   Эта информация передается с помощью нового параметра ESP_INFO. Когда
   завершая настройку ESP SA, Responder отправляет свое значение SPI в
   Инициатор в пакете R2, снова используя ESP_INFO.

3.1. Формат пакета ESP

   Спецификация ESP [RFC4303] определяет формат пакета ESP для
   IPsec. Пакет HIP ESP выглядит точно так же, как IPsec ESP.
   пакет транспортного формата.Однако семантика немного другая.
   и описаны более подробно в следующем подразделе.

3.2. Концептуальная обработка пакетов ESP

   Обработка пакетов ESP может быть реализована в HIP по-разному.
   Его можно реализовать в соответствии со стандартами,
   может использоваться немодифицированная реализация IPsec [RFC4303].

   Когда соответствующая стандартам реализация IPsec, использующая IP
   адреса в базе данных SPD и Security Association Database (SAD),
   обработка пакета может включать следующие шаги.Для исходящих
   пакеты, предполагая, что псевдозаголовок верхнего уровня был построен
   используя IP-адреса, реализация пересчитывает верхний уровень
   контрольные суммы с использованием тегов идентификации хоста (HIT) и, после этого, изменения
   адреса источника и получателя пакета обратно на соответствующий IP
   адреса. Пакет отправляется в IPsec ESP для транспортного режима.
   обработки и оттуда зашифрованный пакет отправляется в сеть.
   Когда получен пакет ESP, он сначала помещается в IPsec.
   Обработка транспортного режима ESP и после расшифровки источник и





Йокела и др.Экспериментальный [Страница 4]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   IP-адреса назначения заменяются на HIT и, наконец, верхний
   контрольные суммы уровня проверяются перед передачей пакета на верхний
   слой.

   Альтернативный способ реализации обработки пакетов - BEET (Bound
   Сквозной туннель) режим [ESP-BEET]. В режиме BEET пакет ESP
   форматируется как пакет транспортного режима, но семантика
   подключение такое же, как и для туннельного режима.«Внешние» адреса
   пакет - это IP-адреса, а "внутренние" адреса - это
   Хиты. Для исходящего трафика после того, как пакет был зашифрован,
   IP-заголовок пакета изменен на новый, содержащий IP-адреса
   вместо HIT, и пакет отправляется в сеть. Когда ESP
   пакет получен, значение SPI вместе с целостностью
   защиты, позволяют надежно связать пакет с нужным
   ХИТ пара. Заголовок пакета заменяется новым заголовком, содержащим
   HITs, и пакет расшифровывается.3.2.1. Семантика индекса параметров безопасности (SPI)

   SPI используются в ESP, чтобы найти правильную ассоциацию безопасности для
   получил пакеты. SPI ESP имеют дополнительную значимость при использовании
   с HIP; они представляют собой сжатое представление пары HIT.
   Таким образом, SPI МОГУТ использоваться промежуточными системами при предоставлении услуг.
   как сопоставление адресов. Обратите внимание, что, поскольку SPI имеет значение при
   приемник, только , где DST - IP-адрес назначения
   адрес, однозначно идентифицирует получателя HIT в любой заданной точке
   время.Одно и то же значение SPI может использоваться несколькими хостами. Один
   Значение  может обозначать разные хосты и контексты в
   разные моменты времени, в зависимости от хоста, который в настоящее время
   доступен по летнему времени.

   Каждый хост выбирает для себя SPI, который хочет видеть в пакетах.
   получил от своего партнера. Это позволяет ему выбирать разные SPI для
   разные коллеги. Выбор SPI ДОЛЖЕН быть случайным; правила
   Необходимо соблюдать раздел 2.1 спецификации ESP [RFC4303].А
   СЛЕДУЕТ использовать разные SPI для каждого обмена HIP с определенным
   хозяин; это сделано для того, чтобы избежать повторной атаки. Кроме того, когда хост
   rekeys, SPI ДОЛЖЕН быть изменен. Кроме того, если хост переключается
   чтобы использовать другой IP-адрес, он МОЖЕТ изменить SPI.

   Одним из методов создания SPI, отвечающего указанным выше критериям, было бы:
   объединить HIT с 32-битным случайным или последовательным числом, хеш
   это (с использованием SHA1), а затем использовать старшие 32 бита в качестве SPI.

   Выбранный SPI передается одноранговому узлу в третьем (I2) и
   четвертые (R2) пакеты базового обмена HIP.Изменения в SPI
   сигнализируется параметрами ESP_INFO.




Йокела и др. Экспериментальный [Страница 5]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

3.3. Создание и обслуживание ассоциации безопасности

3.3.1. Ассоциации безопасности ESP

В HIP между узлами HIP настраиваются ассоциации безопасности ESP.
во время базового обмена [RFC5201]. Существующие ESP SA могут быть обновлены
позже с помощью сообщений UPDATE. Причина обновления ESP SA
позже может быть, например, необходимость смены ключей SA из-за
изменение порядкового номера.После создания ассоциации HIP каждая ассоциация связана с двумя
ESP SA, одна для входящих пакетов и одна для исходящих пакетов. В
Входящая SA инициатора соответствует исходящей
один, и наоборот. Инициатор определяет SPI для входящих
ассоциация, как определено в разделе 3.2.1. Эта SA называется здесь
SA-RI, а соответствующий SPI называется SPI-RI. Соответственно,
Входящая SA респондента соответствует исходящей SA Инициатора
и называется SA-IR, а SPI называется SPI-IR.Инициатор создает SA-RI как часть обработки R1 перед
отправка I2, как описано в Разделе 6.4. Ключи
полученный из KEYMAT, как определено в Разделе 7. Ответчик создает
SA-RI как часть обработки I2; см. раздел 6.5.

Ответчик создает SA-IR как часть обработки I2 перед
отправка R2; см. раздел 6.5. Инициатор создает SA-IR, когда
обработка R2; см. раздел 6.6.

Первоначальные ключи сеанса извлекаются из сгенерированных ключей.
материал, KEYMAT, после того, как HIP-ключи были нарисованы, как указано в
[RFC5201].Когда ассоциация HIP удаляется, соответствующие ESP SA также ДОЛЖНЫ быть
удаленный.

3.3.2. Смена ключей

После первоначального базового обмена HIP и установления SA оба хоста
находятся в УСТАНОВЛЕННОМ состоянии. Больше нет Инициатора и
Роли респондента и ассоциация симметричны. В этом
в подразделе обозначена сторона, инициирующая процедуру смены ключа.
с I 'и партнер с R'.

Существующая HIP-созданная ESP SA может нуждаться в обновлении в течение всего жизненного цикла.
ассоциации HIP.Этот документ определяет смену ключа
существующий созданный HIP ESP SA с помощью сообщения UPDATE. ESP_INFO
для этого используется введенный выше параметр.

Йокела и др. Экспериментальный [Страница 6]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

I 'инициирует процесс обновления ESP SA при необходимости (см.
Раздел 6.8). Создает пакет ОБНОВЛЕНИЯ с необходимой информацией
и отправляет его одноранговому узлу.Старые SA все еще используются, местные
разрешающая политика.

R ', после получения и обработки ОБНОВЛЕНИЯ (см. Раздел 6.9),
генерирует новые SA: SA-I'R 'и SA-R'I'. Не нужно нового
исходящая SA в использовании, но все еще использует старую, поэтому есть
временно существует две пары SA по отношению к одному узлу-партнеру. SPI
для новой исходящей SA, SPI-R'I ', указывается в полученном
Параметр ESP_INFO в пакете UPDATE. Для новой входящей SA R '
генерирует новое значение SPI, SPI-I'R ', и включает его в
ответный пакет UPDATE.Когда я получаю ответ UPDATE от R, он генерирует новые SA, как
описано в Разделе 6.9: SA-I'R 'и SA-R'I'. Он начинает использовать
новая исходящая SA немедленно.

R 'начинает использовать новую исходящую SA, когда получает трафик на
новый входящий SA или когда он получает подтверждение UPDATE ACK
завершение смены ключей. После этого R 'может удалить старые SA.
Точно так же, когда I 'получает трафик от новой входящей SA, он
можно безопасно удалить старые SA.

3.3.3. Управление ассоциациями безопасности

Пара SA индексируется двумя SPI и двумя HIT (локальными и удаленными).
HIT, поскольку в системе может быть более одного HIT).Таймер бездействия
РЕКОМЕНДУЕТСЯ для всех SA. Если государство диктует удаление
SA, установлен таймер, учитывающий любые опоздавшие пакеты.

3.3.4. Индекс параметров безопасности (SPI)

SPI в ESP обеспечивают простое сжатие данных HIP от всех
пакеты после обмена HIP. Для этого требуется пара HIT.
Ассоциация безопасности (и SPI) и уменьшение детализации политики
по сравнению с другими протоколами управления ключами, такими как IKE.

Когда хост обновляет ESP SA, он предоставляет новый входящий SPI для и
получает новый исходящий SPI от своего партнера.3.3.5. Поддерживаемые преобразования

Все реализации HIP ДОЛЖНЫ поддерживать AES-CBC [RFC3602] и HMAC-SHA-
1-96 [RFC2404]. Если Инициатор не поддерживает ни одну из
преобразования, предлагаемые Ответчиком, он должен отказаться от
переговоров и сообщить партнеру сообщением NOTIFY о не-
поддерживается преобразование.

Йокела и др. Экспериментальный [Страница 7]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

Помимо AES-CBC, все реализации ДОЛЖНЫ реализовывать ESP.
NULL алгоритм шифрования.64.

При использовании 64-битного порядкового номера старшие 32 бита НЕ
включены в заголовок ESP, но просто хранятся локально для обоих одноранговых узлов.
См. [RFC4301].

3.3.7. Время жизни и таймеры

HIP не оговаривает срок службы. Все времена жизни ESP являются местными
политика. Единственные сроки жизни, которые ДОЛЖНА поддерживаться реализацией HIP:
изменение порядкового номера (для защиты от повторного воспроизведения), и ДОЛЖЕН поддерживать
тайм-аут неактивных ESP SA. Время ожидания SA истекает, если нет пакетов.
получен с помощью этого SA. Значение тайм-аута по умолчанию - 15 минут.Реализации МОГУТ поддерживать время жизни для различных преобразований ESP.
Каждая реализация ДОЛЖНА реализовывать конфигурацию HIT для
Тайм-аут бездействия, позволяющий статически настроенные ассоциации HIP
чтобы оставаться в живых в течение нескольких дней, даже когда он неактивен.

3.4. Рекомендации по реализации IPsec и HIP ESP

Когда HIP запущен на узле, где используется совместимый со стандартами IPsec,
необходимо рассмотреть некоторые вопросы.

Реализация HIP должна иметь возможность сосуществовать с другими IPsec.
протоколы ключей.Когда реализация HIP выбирает значение SPI,
это может привести к столкновению, если не будет реализовано должным образом. Чтобы избежать
возможность столкновения, реализация HIP ДОЛЖНА гарантировать, что
значения SPI, используемые для HIP SA, не используются для IPsec или других SA,
наоборот.

Для исходящего трафика SPD или (скоординированные) SPD, если есть два
(один для HIP и один для IPsec) ДОЛЖНЫ гарантировать, что пакеты, предназначенные для
Обработке HIP предоставляется SA с поддержкой HIP, и пакеты предназначены для
для обработки IPsec предоставляется SA с поддержкой IPsec.Тогда ИП ДОЛЖЕН
быть привязанным к соответствующей SA, и не-HIP пакеты не будут обрабатываться
этим SA. Данные, поступающие из сокета, не использующего HIP
НЕ ДОЛЖЕН пересчитываться контрольная сумма (как описано в Разделе 3.2,

Йокела и др. Экспериментальный [Страница 8]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   параграф 2), и данные НЕ ДОЛЖНЫ передаваться в SP или SA, созданный
   БЕДРА.

   Входящие пакеты данных с использованием SA, не согласованной HIP, ДОЛЖНЫ
   НЕ обрабатываться, как описано в разделе 3.2, абзац 2. SPI
   определит правильную SA для дешифрования пакета и ДОЛЖЕН использоваться
   чтобы определить, что пакет имеет контрольную сумму верхнего уровня, которая
   рассчитывается, как указано в [RFC5201].

4. Протокол

   В этом разделе протокол для настройки ассоциации ESP, которая будет
   используется с ассоциацией HIP.

4.1. ESP в HIP

4.1.1. Настройка ассоциации безопасности ESP

   Настройка ассоциации безопасности ESP между хостами с использованием HIP
   состоит из трех сообщений, передаваемых между хостами.Параметры
   включены в сообщения R1, I2 и R2 во время базового обмена.

                 Инициатор Ответчик

                                   I1
                   ---------------------------------->

                             R1: ESP_TRANSFORM
                   <----------------------------------

                       I2: ESP_TRANSFORM, ESP_INFO
                   ---------------------------------->

                               R2: ESP_INFO
                   <----------------------------------

   Для настройки ассоциации безопасности ESP между хостами HIP требуется
   три сообщения для обмена информацией, необходимой во время
   Связь ESP.Сообщение R1 содержит параметр ESP_TRANSFORM, в котором
   хост-отправитель определяет возможные преобразования ESP, которые он желает использовать
   для ESP SA.

   Сообщение I2 содержит ответ на ESP_TRANSFORM, полученный в
   сообщение R1. Отправитель должен выбрать один из предложенных ESP
   преобразуется из параметра ESP_TRANSFORM в сообщении R1 и
   включить выбранный в параметр ESP_TRANSFORM в I2



Йокела и др. Экспериментальный [Страница 9]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   пакет.Помимо преобразования, хост включает в себя ESP_INFO
   параметр, содержащий значение SPI, которое будет использоваться одноранговым хостом.

   В сообщении R2 настройка ESP SA завершена. Пакет
   содержит информацию SPI, требуемую Инициатором для ESP
   SA.

4.1.2. Обновление существующей ESP SA

   Процесс обновления выполняется с помощью двух сообщений. HIP
   Сообщение UPDATE используется для обновления параметров существующего ESP.
   SA. Механизм и сообщение UPDATE определены в [RFC5201], и
   дополнительные параметры для обновления существующей ESP SA:
   описано здесь.На следующем рисунке показан типичный обмен, когда существующий ESP
   SA обновлена. Сообщения включают параметры SEQ и ACK, необходимые для
   механизм ОБНОВЛЕНИЯ.

       h2 h3
            ОБНОВЛЕНИЕ: SEQ, ESP_INFO [, DIFFIE_HELLMAN]
          -------------------------------------------------- --->

            ОБНОВЛЕНИЕ: SEQ, ACK, ESP_INFO [, DIFFIE_HELLMAN]
          <------------------------------------------------- ----

            ОБНОВЛЕНИЕ: ACK
          -------------------------------------------------- --->

   Хост, желающий обновить ESP SA, создает и отправляет UPDATE
   сообщение.Сообщение содержит параметр ESP_INFO, содержащий
   старое значение SPI, которое использовалось, новое значение SPI, которое будет использоваться, и
   значение индекса для ключевого материала, указывающее точку, откуда
   следующие ключи будут нарисованы. Если необходимо создать новый ключевой материал,
   сообщение UPDATE также будет содержать параметр DIFFIE_HELLMAN
   определено в [RFC5201].

   Хост, получающий сообщение UPDATE с запросом обновления
   существующая ESP SA ДОЛЖНА ответить сообщением UPDATE. В ответ
   сообщение, хост отправляет параметр ESP_INFO, содержащий
   соответствующие значения: старый SPI, новый SPI и ключевой материал
   показатель.Если входящее ОБНОВЛЕНИЕ содержит параметр DIFFIE_HELLMAN,
   ответный пакет ДОЛЖЕН также содержать параметр DIFFIE_HELLMAN.

5. Параметры и форматы пакетов

   В этом разделе представлены новые и измененные параметры HIP в виде
   а также модифицированные HIP-пакеты.



Йокела и др. Экспериментальный [Страница 10]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


5.1. Новые параметры

   Для настройки транспорта ESP определены два новых параметра HIP.
   форматные ассоциации в HIP-коммуникации и для смены ключей существующих
   единицы.Кроме того, параметр NOTIFY, описанный в [RFC5201], имеет два
   новые параметры ошибки.

      Параметр Тип Длина Данные

      ESP_INFO 65 12 Старый SPI пульта ДУ,
                                         новый SPI и другая информация
      ESP_TRANSFORM 4095 переменная ESP Шифрование и
                                         Преобразование аутентификации

5.1.1. ESP_INFO

   Во время создания и обновления ESP SA значение SPI
   оба хоста должны передаваться между хостами.Вовремя
   создание и обновление ESP SA, значение SPI обоих хостов
   должны передаваться между хостами. Кроме того, хозяевам нужны
   значение индекса для KEYMAT, когда они извлекают ключи из
   сгенерированный ключевой материал. Параметр ESP_INFO используется для
   передавать значения SPI и информацию индекса KEYMAT между
   хосты.

   Во время начальной настройки ESP SA хосты отправляют значение SPI, которое
   они хотят, чтобы одноранговый узел использовал при отправке им данных ESP. Значение
   устанавливается в поле NEW SPI параметра ESP_INFO.в
   первоначальная настройка, старое значение для SPI не существует, поэтому СТАРЫЙ
   Поле значения SPI установлено в ноль. Значение поля OLD SPI также может быть
   ноль, когда между хостами HIP установлены дополнительные SA, например, в случае
   многосетевых HIP-хостов [RFC5206]. Однако такое использование выходит за рамки
   объем данной спецификации.

   RFC 4301 [RFC4301] описывает, как установить несколько SA для
   правильно поддерживать QoS. Если разные классы трафика (различаются
   битами кодовой точки дифференцированных услуг (DSCP) [RFC3474],
   [RFC3260]) отправляются по той же SA, и если получатель использует
   дополнительная функция предотвращения повторного воспроизведения, доступная в ESP, это может привести к
   в несоответствующем отбрасывании пакетов с более низким приоритетом из-за
   оконный механизм, используемый этой функцией.Следовательно, отправителю СЛЕДУЕТ
   помещать трафик разных классов, но с одинаковыми значениями селектора на
   различные SA для надлежащей поддержки качества обслуживания (QoS). К
   разрешить это, реализация ДОЛЖНА разрешить создание и
   поддержание нескольких SA между данным отправителем и получателем с
   те же селекторы. Распределение трафика между этими параллельными SA
   для поддержки QoS определяется отправителем локально и не
   переговоры HIP. Получатель ДОЛЖЕН обрабатывать пакеты из



Йокела и др.Экспериментальный [Страница 11]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   разные СА без ущерба. Возможно, значение DSCP
   изменения в пути, но это не должно вызывать проблем в отношении
   Обработка IPsec, поскольку значение не используется для выбора SA и
   НЕ ДОЛЖНЫ проверяться как часть проверки SA / пакета.

   Значение индекса KEYMAT указывает на место в KEYMAT, откуда
   нарисован ключевой материал для ESP SA.Значение индекса KEYMAT
   равен нулю только тогда, когда ESP_INFO отправляется во время процесса смены ключей и
   создается новый ключевой материал.

   В течение жизни SA, установленной HIP, один из хостов может
   необходимо сбросить порядковый номер на единицу и повторно ввести ключ. Причина для
   сменой ключей может быть приближающийся перенос порядкового номера в ESP или
   локальная политика по использованию ключа. Смена ключей завершает текущие SA и
   запускает новые на обоих узлах.

   В процессе смены ключей параметр ESP_INFO используется для
   передать измененные значения SPI и индекс ключевого материала.0 1 2 3
      0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
     + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
     | Тип | Длина |
     + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
     | Зарезервировано | KEYMAT Index |
     + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
     | СТАРЫЙ SPI |
     + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
     | НОВЫЙ SPI |
     + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +

     Тип 65
     Длина 12
     KEYMAT Index Индекс в байтах, по которому следует продолжать рисовать ключи ESP.
                    от KEYMAT.Если в пакете есть новый
                    Ключ Диффи-Хеллмана и ESP_INFO отправляются в
                    UPDATE, поле ДОЛЖНО быть нулевым. Если
                    ESP_INFO включен в базовые сообщения обмена,
                    KEYMAT Index должен иметь значение индекса точки
                    откуда взяты ключи ESP SA. Обратите внимание, что
                    длина этого поля ограничивает количество
                    ключевой материал, который можно взять из KEYMAT.Если
                    эта сумма превышена, пакет ДОЛЖЕН содержать
                    новый ключ Диффи-Хеллмана.
     OLD SPI старый SPI для данных, отправленных на связанный (е) адрес (а)
                    с этим SA. Если это начальная настройка SA,
                    СТАРОЕ значение SPI равно нулю.




Йокела и др. Экспериментальный [Страница 12]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


     NEW SPI новый SPI для данных, отправленных на связанный (е) адрес (а)
                    с этим SA.5.1.2. ESP_TRANSFORM

   Параметр ESP_TRANSFORM используется во время установления ESP SA. В
   первая сторона отправляет набор семейств преобразований в
   ESP_TRANSFORM, а партнер должен выбрать один из предложенных
   значения и включить его в параметр ESP_TRANSFORM ответа.

       0 1 2 3
       0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
      + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
      | Тип | Длина |
      + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
      | Зарезервировано | Люкс ID # 1 |
      + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
      | Люкс ID # 2 | Люкс ID # 3 |
      + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +
      | Люкс ID #n | Прокладка |
      + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - +

         Тип 4095
         Длина в октетах, исключая тип, длину и
                        набивка
         Зарезервирован ноль при отправке, игнорируется при получении
         Suite ID определяет ESP Suite, который будет использоваться

   Следующие идентификаторы Suite определены в RFC 5201 [RFC5201]:

            Значение идентификатора люкса

            ЗАБРОНИРОВАНО 0
            AES-CBC с HMAC-SHA1 1
            3DES-CBC с HMAC-SHA1 2
            3DES-CBC с HMAC-MD5 3
            BLOWFISH-CBC с HMAC-SHA1 4
            NULL с HMAC-SHA1 5
            NULL с HMAC-MD5 6

   Отправитель параметра преобразования ESP ДОЛЖЕН убедиться, что
   не более шести (6) идентификаторов Suite в одном параметре преобразования ESP.И наоборот, получатель ДОЛЖЕН быть готов обработать полученный транспорт.
   параметры, содержащие более шести идентификаторов Suite. Ограниченное количество
   of Suite IDs устанавливает максимальный размер параметра ESP_TRANSFORM.
   В качестве конфигурации по умолчанию параметр ESP_TRANSFORM ДОЛЖЕН





Йокела и др. Экспериментальный [Страница 13]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

содержат хотя бы один из обязательных идентификаторов Suite.МОЖЕТ быть
параметр конфигурации, который позволяет администратору переопределить это
дефолт.

Обязательные реализации: AES-CBC с HMAC-SHA1 и NULL с HMAC-
SHA1.

При некоторых условиях можно использовать Traffic Flow
Конфиденциальность (TFC) [RFC4303] с ESP в режиме BEET. Тем не менее
определение такой операции является будущей работой и должно быть выполнено в
отдельная спецификация.

5.1.3. Параметр NOTIFY

Базовая спецификация HIP определяет набор типов ошибок NOTIFY.В
Следующие типы ошибок необходимы для описания ошибок в ESP
Преобразуйте криптографические пакеты во время переговоров.

ПАРАМЕТР УВЕДОМЛЕНИЯ - ТИПЫ ОШИБОК Значение
------------------------------ -----

NO_ESP_PROPOSAL_CHOSEN 18

Ни один из предложенных криптографических пакетов ESP Transform не был
приемлемо.

INVALID_ESP_TRANSFORM_CHOSEN 19

Криптографический пакет ESP Transform не соответствует
один, предложенный Ответчиком.5.2. Настройка ассоциации безопасности HIP ESP

Ассоциация безопасности ESP устанавливается во время базового обмена. В
в следующих подразделах описывается процедура настройки ESP SA с использованием обоих
сообщения базового обмена (R1, I2, R2) и сообщения UPDATE.

5.2.1. Настройка во время базового обмена

5.2.1.1. Модификации в R1

ESP_TRANSFORM содержит режимы ESP, поддерживаемые отправителем в
порядок предпочтения. Все реализации ДОЛЖНЫ поддерживать AES-CBC.
[RFC3602] с HMAC-SHA-1-96 [RFC2404].

Йокела и др.Экспериментальный [Страница 14]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

На следующем рисунке показан результирующий макет пакета R1.

Параметры HIP для пакета R1:

IP (HIP ([R1_COUNTER,]
ГОЛОВОЛОМКА,
DIFFIE_HELLMAN,
HIP_TRANSFORM,
ESP_TRANSFORM,
HOST_ID,
[ECHO_REQUEST,]
HIP_SIGNATURE_2)
[, ECHO_REQUEST])

5.2.1.2. Модификации в I2

ESP_INFO также содержит SPI отправителя для этой связи.
в качестве индекса KEYMAT, откуда будут извлекаться ключи ESP SA. В
старое значение SPI установлено на ноль.

ESP_TRANSFORM содержит режим ESP, выбранный отправителем R1.
Все реализации ДОЛЖНЫ поддерживать AES-CBC [RFC3602] с HMAC-SHA-1-96.
[RFC2404].

На следующем рисунке показан результирующий макет пакета I2.

Параметры HIP для пакета I2:

IP (HIP (ESP_INFO,
[R1_COUNTER,]
РЕШЕНИЕ,
DIFFIE_HELLMAN,
HIP_TRANSFORM,
ESP_TRANSFORM,
ЗАШИФРОВАНО {HOST_ID},
[ECHO_RESPONSE,]
HMAC,
HIP_SIGNATURE
[, ECHO_RESPONSE]))

5.2.1.3. Модификации в R2

R2 содержит параметр ESP_INFO, который имеет значение SPI
отправитель R2 для этой ассоциации. ESP_INFO также имеет
Значение индекса KEYMAT, указывающее, где нарисованы ключи ESP SA.

Йокела и др. Экспериментальный [Страница 15]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

На следующем рисунке показан результирующий макет пакета R2.

Параметры HIP для пакета R2:

IP (HIP (ESP_INFO, HMAC_2, HIP_SIGNATURE))

5.3. Смена ключей HIP ESP

В этом разделе описана процедура смены ключей для существующей ESP SA.
представлен.

Концептуально процесс можно представить следующим сообщением
последовательность с использованием имен хостов I 'и R', определенных в разделе 3.3.2.
Для простоты HMAC и HIP_SIGNATURE не изображены, и
Ключи DIFFIE_HELLMAN необязательны. ОБНОВЛЕНИЕ с ACK_I не обязательно
совмещенный с ОБНОВЛЕНИЕМ с SEQ_R; он может быть подтвержден отдельно
(в этом случае последовательность будет включать четыре пакета).Я 'R'

ОБНОВЛЕНИЕ (ESP_INFO, SEQ_I, [DIFFIE_HELLMAN])
----------------------------------->
ОБНОВЛЕНИЕ (ESP_INFO, SEQ_R, ACK_I, [DIFFIE_HELLMAN])
<-----------------------------------
ОБНОВЛЕНИЕ (ACK_R)
----------------------------------->

Ниже поясняются первые два пакета на этом рисунке.

5.3.1. Инициализация смены ключей

Когда HIP используется с ESP, пакет UPDATE используется для инициирования
смены ключей.Пакет UPDATE ДОЛЖЕН содержать ESP_INFO и МОЖЕТ нести
Параметр DIFFIE_HELLMAN.

Промежуточные системы, использующие SPI, должны будут проверять HIP.
пакеты для тех, которые несут информацию о смене ключей. Пакет
подписано в пользу промежуточных систем. С
промежуточным системам могут потребоваться новые значения SPI, содержимое не может
быть зашифрованным.

Йокела и др. Экспериментальный [Страница 16]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

На следующем рисунке показано содержимое инициализации с изменением ключей.
Пакет ОБНОВЛЕНИЯ.Параметры HIP для пакета UPDATE, инициирующего смену ключей:

IP (HIP (ESP_INFO,
SEQ,
[DIFFIE_HELLMAN,]
HMAC,
HIP_SIGNATURE))

5.3.2. Ответ на инициализацию смены ключей

UPDATE ACK используется для подтверждения полученного изменения ключа UPDATE.
инициализация. Пакет подтверждения UPDATE ДОЛЖЕН содержать
ESP_INFO и МОЖЕТ нести параметр DIFFIE_HELLMAN.

Промежуточные системы, использующие SPI, должны будут проверять HIP.
пакеты для пакетов, несущих информацию о смене ключей.Пакет
подписано в пользу промежуточных систем. С
промежуточным системам могут потребоваться новые значения SPI, содержимое не может
быть зашифрованным.

На следующем рисунке показано содержимое подтверждения смены ключей.
Пакет ОБНОВЛЕНИЯ.

Параметры HIP для пакета UPDATE:

IP (HIP (ESP_INFO,
SEQ,
ACK,
[DIFFIE_HELLMAN,]
HMAC,
HIP_SIGNATURE))

5.4. Сообщения ICMP

Обработка сообщений ICMP в основном описана в базе HIP.
спецификация [RFC5201].В этом разделе мы описываем действия
связанные с ассоциациями безопасности ESP.

5.4.1. Неизвестный SPI

Если реализация HIP получает пакет ESP, имеющий
нераспознанный номер SPI, он МОЖЕТ ответить (при условии ограничения скорости
ответов) с пакетом ICMP с типом "Проблема с параметром", с
указатель, указывающий на начало поля SPI в заголовке ESP.

Йокела и др. Экспериментальный [Страница 17]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

6.Обработка пакетов

Обработка пакетов в основном определена в базовой спецификации HIP.
[RFC5201]. В этом разделе описаны изменения и новые требования.
для обработки пакетов при использовании транспортного формата ESP. Обратите внимание, что
все пакеты HIP (в настоящее время протокол 253) ДОЛЖНЫ обходить обработку ESP.

6.1. Обработка исходящих данных приложения

Обработка исходящих данных приложения указана в базе HIP.
спецификация [RFC5201]. Когда используется транспортный формат ESP, и
существует активный сеанс HIP для данного
Пара HIT, исходящая дейтаграмма защищена с помощью безопасности ESP
ассоциация.В типичной реализации это приведет к
Отправляется пакет ESP в режиме BEET. Введен BEET-режим [ESP-BEET].
выше в разделе 3.2. Следующие дополнительные шаги определяют
концептуальные правила обработки исходящих дейтаграмм, защищенных ESP.

1. Определите надлежащую ESP SA с помощью HIT в заголовке пакета или
другая информация, связанная с пакетом

2. Обработайте пакет как обычно, как если бы SA был транспортным режимом.
SA.

3. Убедитесь, что исходящий защищенный пакет ESP имеет правильный IP-адрес.
формат заголовка в зависимости от используемого семейства IP-адресов и надлежащего
IP-адреса в его IP-заголовке, e.g., заменив HIT, оставленные на
обработка ESP. Обратите внимание, что это размещение правильного IP
адреса МОГУТ также выполняться в какой-то другой точке стека,
например, перед обработкой ESP.

6.2. Обработка входящих данных приложения

Входящие пакеты данных пользователя HIP поступают как пакеты, защищенные ESP. В
в обычном случае принимающий хост имеет соответствующую защиту ESP
ассоциация, идентифицированная SPI и IP-адресом назначения в
пакет. Однако, если хост разбился или иным образом потерял свой HIP
состояние, у него может не быть такой SA.Базовая обработка входящих данных указана в базе HIP.
Спецификация. При использовании ESP для
защита трафика данных. Следующие шаги определяют
концептуальные правила обработки входящих дейтаграмм, защищенных ESP
нацелено на ассоциацию безопасности ESP, созданную с помощью HIP.

1. Определите правильную ESP SA с помощью SPI. Если полученная СА является
не-HIP ESP SA, обрабатывать пакет согласно стандарту IPsec
правила. Если нет SA, идентифицированных с помощью SPI, хост МОЖЕТ

Йокела и др.Экспериментальный [Страница 18]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

отправить пакет ICMP, как определено в разделе 5.4. Как обращаться
потерянное состояние - это проблема реализации.

2. Если SPI совпадает с активным ESP SA на основе HIP, IP
адреса в дейтаграмме заменяются соответствующими HIT
с SPI. Обратите внимание, что этот шаг преобразования IP-адреса в HIT
МОЖЕТ также выполняться в какой-то другой точке стека, например.г.,
после обработки ESP. Также обратите внимание, что если входящий пакет
Адреса IPv4, пакет необходимо преобразовать в формат IPv6
перед заменой адресов на HIT (так, чтобы транспорт
контрольная сумма пройдёт, если ошибок нет).

3. Затем преобразованный пакет нормально обрабатывается ESP, как если бы
пакет был пакетом транспортного режима. Пакет может быть
бросил на ESP, как обычно. В типичной реализации
Результатом успешной расшифровки и проверки ESP является
датаграмма со связанными HIT в качестве источника и назначения.4. Дейтаграмма доставляется на верхний уровень. Демультиплексирование
дейтаграмма в правый сокет верхнего уровня выполняется как обычно,
за исключением того, что HIT используются вместо IP-адресов во время
демультиплексирование.

6.3. Расчет и проверка HMAC и SIGNATURE

Новые параметры HIP, описанные в этом документе, ESP_INFO и
ESP_TRANSFORM, должен быть защищен с помощью HMAC и подписи
расчеты. В типовой реализации они включены в R1,
I2, R2 и UPDATE расчеты HMAC и SIGNATURE пакета как
описано в [RFC5201].6.4. Обработка входящей инициализации ESP SA (R1)

Настройка ESP SA инициализируется в сообщении R1. Получение
хост (Инициатор) выбирает одно из преобразований ESP из представленных
значения. Если подходящего значения не найдено, переговоры
прекращено. Выбранные значения впоследствии используются при
создание и использование ключей шифрования, а также при отправке ответа
пакет. Если предложенные альтернативы не приемлемы для
системе, он может отказаться от согласования установки ESP SA или
может повторно отправить сообщение I1 в пределах границ повтора.После выбора преобразования ESP и выполнения другой обработки R1,
система подготавливает и создает входящую ассоциацию безопасности ESP.
Он также может подготовить ассоциацию безопасности для исходящего трафика, но
поскольку у него еще нет правильного значения SPI, он не может активироваться
Это.

Йокела и др. Экспериментальный [Страница 19]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


6.5. Обработка входящего ответа инициализации (I2)

   Следующие шаги необходимы для обработки входящего ESP SA.
   ответы на инициализацию в I2.Следующие шаги предполагают, что I2 имеет
   принят в обработку (например, не был отброшен из-за HIT
   сравнения, как описано в [RFC5201]).

   o Параметр ESP_TRANSFORM проверен и ДОЛЖЕН содержать
      одно значение в параметре, и оно ДОЛЖНО соответствовать одному из значений
      предлагается в инициализационном пакете.

   o Поле ESP_INFO NEW SPI анализируется для получения SPI, который будет
      использоваться для исходящей связи безопасности от Ответчика
      и поступает к Инициатору.Для этого начального ESP SA
      установление, старое значение SPI ДОЛЖНО быть нулевым. Индекс KEYMAT
      поле ДОЛЖНО содержать значение индекса для KEYMAT, откуда
      Ключи ESP SA нарисованы.

   o Система подготавливает и создает как входящие, так и исходящие ESP
      ассоциации безопасности.

   o После успешной обработки сообщения ответа инициализации,
      возможные старые ассоциации безопасности (оставшиеся от
      более раннее воплощение ассоциации HIP) отбрасываются, а
      устанавливаются новые и отправляется завершающий пакет R2.Возможные продолжающиеся попытки смены ключей отбрасываются.

6.6. Обработка входящего завершения настройки ESP SA (R2)

   Прежде чем ESP SA может быть завершена, поле ESP_INFO NEW SPI заполняется.
   анализируется для получения SPI, который будет использоваться для ESP Security
   Входящая ассоциация отправителю сообщения о завершении R2.
   Система использует этот SPI для создания или активации исходящего ESP.
   ассоциация безопасности, используемая для отправки пакетов одноранговому узлу.

6.7. Отказ от ассоциаций HIP

   Когда система отбрасывает ассоциацию HIP, как описано в базе HIP
   Согласно спецификации, связанные ESP SA также ДОЛЖНЫ быть отброшены.6.8. Запуск смены ключей ESP SA

   Во время смены ключей ESP SA хосты извлекают новые ключи из существующих
   ключевой материал, или новый ключевой материал создается из того места, где
   нарисованы новые ключи.

   Система может инициировать процедуру смены ключей SA в любое время. Это должно
   инициировать смену ключа, если его счетчик входящей последовательности ESP собирается



Йокела и др. Экспериментальный [Страница 20]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

переполнение.Система НЕ ДОЛЖНА заменять ключевой материал до тех пор, пока
обмен пакетами смены ключей успешно завершен.

Необязательно, система может включать новый ключ Диффи-Хеллмана для использования в
новое поколение KEYMAT. Новое поколение KEYMAT происходит до рисования
новые ключи.

Процедура смены ключей использует механизм UPDATE, определенный в
[RFC5201]. Потому что каждый одноранговый узел должен обновить свою половину безопасности
пара ассоциаций (включая создание нового SPI), процесс смены ключей
требует, чтобы каждая сторона отправила и получила ОБНОВЛЕНИЕ.Система
затем изменит ключ ESP SA, когда он отправит параметры партнеру
и получил как ACK соответствующего сообщения UPDATE, так и
соответствующие параметры сверстника. Может случиться так, что ACK и
необходимые параметры HIP поступают в разных сообщениях UPDATE. Это
всегда верно, если система не инициирует обновление ESP SA, но отвечает
на запрос обновления от однорангового узла, а также может произойти, если две системы
инициировать обновление почти одновременно. В таком случае, если система
имеет невыполненный запрос на обновление, он сохраняет один параметр и
ожидает другого до завершения смены ключей.Следующие шаги определяют правила обработки для запуска ESP.
Обновление SA:

1. Система решает, продолжать ли использовать существующий KEYMAT.
или создать новый KEYMAT. В последнем случае система ДОЛЖНА
сгенерировать новый открытый ключ Диффи-Хеллмана.

2. Система создает пакет UPDATE, который содержит ESP_INFO
параметр. Кроме того, хост может включать необязательный
Параметр DIFFIE_HELLMAN. Если ОБНОВЛЕНИЕ содержит
Параметр DIFFIE_HELLMAN, индекс KEYMAT в ESP_INFO
параметр ДОЛЖЕН быть равен нулю, а идентификатор группы Диффи-Хеллмана должен быть
без изменений по сравнению с исходным рукопожатием.Если ОБНОВЛЕНИЕ
не содержит DIFFIE_HELLMAN, индекс ESP_INFO KEYMAT ДОЛЖЕН
быть больше или равным индексу следующего байта, который должен быть
взято из текущего KEYMAT.

3. Система отправляет пакет UPDATE. Для надежности
ДОЛЖЕН использоваться базовый механизм повторной передачи UPDATE.

4. Система НЕ ДОЛЖНА удалять существующие SA, но продолжать использовать
их, если их политика все еще позволяет. Процедура смены ключей ДОЛЖНА
быть инициированным достаточно рано, чтобы убедиться, что воспроизведение SA
счетчики не переполняются.5. Если возникает ошибка протокола и одноранговая система подтверждает
ОБНОВЛЕНИЕ, но само не отправляет ESP_INFO, система может

Йокела и др. Экспериментальный [Страница 21]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


       не завершить невыполненный запрос на обновление ESP SA. Охранять
       против этого система МОЖЕТ повторно инициировать обновление ESP SA
       процедура после некоторого времени ожидания ответа от партнера, или она
       МОЖЕТ решить прервать ESP SA после ожидания
       время, зависящее от реализации.Система НЕ ДОЛЖНА сохранять
       невыполненный запрос на обновление ESP SA на неопределенное время.

   Чтобы упростить конечный автомат, хост НЕ ДОЛЖЕН генерировать новые ОБНОВЛЕНИЯ.
   пока у него есть ожидающий запрос на обновление ESP SA, если он не
   перезапуск процесса обновления.

6.9. Обработка входящих пакетов UPDATE

   Когда система получает пакет UPDATE, он должен быть обработан, если
   выполняются следующие условия (помимо общих условий
   указано для обработки UPDATE в разделе 6.12 [RFC5201]):

   1.Соответствующая ассоциация HIP должна существовать. Это обычно
       обеспечивается лежащим в основе механизмом UPDATE.

   2. Состояние ассоциации HIP - УСТАНОВЛЕНО или R2-SENT.

   Если вышеуказанные условия выполняются, следующие шаги определяют
   концептуальные правила обработки для обработки полученного пакета UPDATE:

   1. Если полученное ОБНОВЛЕНИЕ содержит параметр DIFFIE_HELLMAN,
       полученный индекс KEYMAT ДОЛЖЕН быть равен нулю, а идентификатор группы должен совпадать
       идентификатор группы, используемый в ассоциации.Если этот тест не пройден,
       пакет ДОЛЖЕН быть отброшен, и система ДОЛЖНА регистрировать ошибку
       сообщение.

   2. Если нет ожидающего запроса на смену ключей, пакет
       обработка продолжается, как указано в Разделе 6.9.1.

   3. Если есть ожидающий запрос на смену ключей, ОБНОВЛЕНИЕ ДОЛЖНО быть
       подтвержден, полученный ESP_INFO (и, возможно, DIFFIE_HELLMAN)
       параметры должны быть сохранены, и обработка пакета продолжается как
       указанные в разделе 6.10.

6.9.1. Обработка пакета UPDATE: нет невыполненного запроса на смену ключей

   Следующие шаги определяют концептуальные правила обработки для
   обработка полученного пакета UPDATE с параметром ESP_INFO:

   1.Система проверяет свою политику, чтобы узнать, нужно ли ей создавать
       новый ключ Диффи-Хеллмана и генерирует новый ключ (с той же группой
       ID) при необходимости. Система записывает все вновь сгенерированные или




Йокела и др. Экспериментальный [Страница 22]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

получили ключи Диффи-Хеллмана для использования в генерации KEYMAT при
доработка обновления ESP SA.

2. Если система сгенерировала новый ключ Диффи-Хеллмана в предыдущем
шаг, или, если он получил параметр DIFFIE_HELLMAN, он устанавливает
ESP_INFO KEYMAT Индекс равен нулю.В противном случае ESP_INFO KEYMAT
Индекс ДОЛЖЕН быть больше или равен индексу следующего байта.
быть извлеченным из текущего KEYMAT. В данном случае это
РЕКОМЕНДУЕТСЯ, чтобы хост использовал индекс KEYMAT, запрошенный
одноранговый узел в полученном ESP_INFO.

3. Система создает пакет UPDATE, который содержит ESP_INFO
параметр и необязательный параметр DIFFIE_HELLMAN. Это ОБНОВЛЕНИЕ
также обычно подтверждает UPDATE партнера с помощью ACK
параметр, хотя может быть отправлен отдельный UPDATE ACK.4. Система отправляет пакет UPDATE и сохраняет все полученные
Параметры ESP_INFO и DIFFIE_HELLMAN. На данный момент это только
необходимо получить подтверждение для нового отправленного ОБНОВЛЕНИЯ на
завершить обновление ESP SA. В обычном случае подтверждение
обрабатывается базовым механизмом UPDATE.

6.10. Завершение смены ключей

Система завершает смену ключей, когда оба получили
соответствующий пакет подтверждения UPDATE от однорангового узла, и он имеет
успешно получил ОБНОВЛЕНИЕ однорангового узла.Следующие шаги:
взятый:

1. Если полученные сообщения UPDATE содержат новый ключ Диффи-Хеллмана,
в системе появился новый ключ Диффи-Хеллмана из-за запуска ESP SA
update, или и то, и другое, система сгенерирует новый KEYMAT. Если там есть
только один новый ключ Диффи-Хеллмана, старый существующий ключ используется как
другой ключ.

2. Если система сгенерировала новый KEYMAT на предыдущем шаге, она
устанавливает индекс KEYMAT на ноль, независимо от того,
полученное ОБНОВЛЕНИЕ включало ключ Диффи-Хеллмана или нет.Если
система не сгенерировала новый KEYMAT, она использует больший KEYMAT
Индекс двух (отправленных и полученных) параметров ESP_INFO.

3. Система рисует ключи для новых входящих и исходящих SA ESP,
начиная с индекса KEYMAT, и готовит новые входящие и
исходящие ESP SA. SPI для исходящей SA - это новый SPI.
значение, полученное в параметре ESP_INFO. SPI для
входящая SA была создана, когда одноранговому узлу было отправлено ESP_INFO.
Порядок ключей, извлеченных из KEYMAT во время
Процесс смены ключей аналогичен описанному в Разделе 7.Йокела и др. Экспериментальный [Страница 23]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

Обратите внимание, что во время смены ключей извлекаются только ключи IPsec ESP.
процесс, а не ключи HIP.

4. Система начинает отправку в новую исходящую SA и готовится к
начать получать данные о новой входящей SA. Однажды система
получает данные о новом входящем SA, он может безопасно удалить
старые SA.6.11. Обработка пакетов NOTIFY

Обработка пакетов NOTIFY описана в базе HIP.
Спецификация.

7. Ключевые материалы

Материал для ключей создается, как описано в базе HIP.
Спецификация. Во время базового обмена отрисовываются начальные ключи
из созданного материала. После того, как ключи ассоциации HIP будут
нарисованы клавиши ESP в следующем порядке:

Ключ шифрования SA-gl ESP для исходящего трафика HOST_g

Ключ аутентификации SA-gl ESP для исходящего трафика HOST_g

Ключ шифрования SA-lg ESP для исходящего трафика HOST_l

Ключ аутентификации SA-lg ESP для исходящего трафика HOST_l

HOST_g обозначает хост с большим значением HIT, а HOST_l
обозначает хост с более низким значением HIT.Когда значения HIT равны
по сравнению, они интерпретируются как положительные (беззнаковые) 128-битные
целые числа в сетевом порядке байтов.

Четыре клавиши HIP извлекаются из KEYMAT только во время HIP I1-> R2.
обмен. Последующие смены ключей с использованием UPDATE будут отображать только четыре ESP.
ключи от KEYMAT. В разделе 6.9 описаны правила повторного использования или
регенерация KEYMAT на основе смены ключей.

Количество битов, отображаемых для данного алгоритма, является «естественным» размером.
ключей. Для обязательных алгоритмов следующие размеры
применять:

AES 128 бит

SHA-1 160 бит

NULL 0 бит

Йокела и др.Экспериментальный [Страница 24]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.

8. Соображения безопасности

В этом документе использование ESP [RFC4303] между хостами HIP и
вводится защита трафика данных. Соображения безопасности для
ESP обсуждаются в спецификации ESP.

Существуют разные способы создания ассоциации безопасности ESP.
между двумя узлами. Это можно сделать, например, с помощью IKE [RFC4306].Этот документ определяет, как протокол идентификации хоста используется для
установить ассоциации безопасности ESP.

Следующие проблемы являются новыми или были изменены по сравнению со стандартным ESP.
использование:

o Генерация исходного ключевого материала

o Обновление ключевого материала

Первоначальный ключевой материал создается с использованием идентификатора хоста.
Протокол [RFC5201] с использованием процедуры Диффи-Хеллмана. Этот документ
расширяет использование пакета UPDATE, определенного в базовом
спецификация, чтобы изменить существующие SA ESP.Хозяева могут изменить ключ,
т.е. принудительно создать новый ключевой материал с помощью Diffie-
Процедура Хеллмана. Первоначальная настройка ESP SA между хостами:
выполняется во время базового обмена, и обмен сообщениями защищен
используя методы, предоставляемые базовым обменом. Изменения в связи
параметры в основном означают, что старая ESP SA удаляется, а новая
один генерируется после завершения обмена сообщениями UPDATE.
Обмен сообщениями защищен с помощью ключей ассоциации HIP.Используются как HMAC, так и подписывание пакетов.

9. Соображения IANA

В этом документе определены дополнительные параметры и типы ошибок NOTIFY.
для протокола идентификации хоста [RFC5201].

Новые параметры и номера их типов определены в
Раздел 5.1.1 и Раздел 5.1.2, и они были добавлены в
Пространство имен типа параметра указано в [RFC5201].

Новые типы ошибок NOTIFY и их значения определены в
Раздел 5.1.3, и они были добавлены в Тип сообщения уведомления
пространство имен, указанное в [RFC5201].Йокела и др. Экспериментальный [Страница 25]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


10. Благодарности

   Этот документ был отделен от базового "протокола идентификации хоста".
   спецификации в начале 2005 года. С тех пор ряд
   люди внесли свой вклад в текст, предоставив комментарии и
   предложения по модификации. В список входят Том Хендерсон,
   Джефф Аренхольц, Ян Мелен, Юкка Илитало и Мияка Кому.В
   авторы также хотят поблагодарить Чарли Кауфмана за рецензирование документа.
   с его вниманием к использованию криптоалгоритмов.

   Из-за истории этого документа большинство идей передаются по наследству.
   из базовой спецификации "Host Identity Protocol". Таким образом, список
   людей в разделе "Благодарности" данной спецификации
   также действительно для этого документа. Многие люди дали ценные
   обратная связь и приносим свои извинения всем, чье имя отсутствует.

11. Ссылки

11.1. Нормативные ссылки

   [RFC2119] Брэднер, С., "Ключевые слова для использования в RFC для обозначения
               Уровни требований », BCP 14, RFC 2119, март 1997 г.

   [RFC2404] Мэдсон, К. и Р. Гленн, «Использование HMAC-SHA-1-96 в
               ESP и AH », RFC 2404, ноябрь 1998 г.

   [RFC3602] Франкель С., Гленн Р. и С. Келли, "Шифр AES-CBC
               Алгоритм и его использование с IPsec », RFC 3602,
               Сентябрь 2003 г.

   [RFC4303] Кент, С., «Информационная безопасность инкапсуляции IP (ESP)»,
               RFC 4303, декабрь 2005 г.[RFC5201] Московиц, Р., Никандер, П., Йокела, П., ред. И Т.
               Хендерсон, "Протокол идентификации хоста", RFC 5201,
               Апрель 2008 г.

11.2. Информативные ссылки

   [ESP-BEET] Никандер, П. и Дж. Мелен, «Сквозной туннель с ограниченным доступом.
               (BEET) режим для ESP », Работа в процессе, ноябрь 2007 г.

   [RFC3260] Гроссман Д., «Новая терминология и пояснения для
               Diffserv », RFC 3260, апрель 2002 г.







Йокела и др. Экспериментальный [Страница 26]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


   [RFC3474] Линь З.и Д. Пендаракис, "Документация IANA
               назначения для универсальной многопротокольной коммутации по меткам
               (GMPLS) Протокол резервирования ресурсов - Трафик
               Engineering (RSVP-TE) Использование и расширения для
               Автоматически коммутируемая оптическая сеть (ASON) », RFC 3474,
               Март 2003 г.

   [RFC4301] Кент, С. и К. Сео, "Архитектура безопасности для
               Интернет-протокол », RFC 4301, декабрь 2005 г.

   [RFC4306] Кауфман, К., "Протокол обмена ключами в Интернете (IKEv2)",
               RFC 4306, декабрь 2005 г.[RFC4423] Московиц, Р. и П. Никандеры, "Протокол идентификации хоста
               (HIP) Architecture », RFC 4423, май 2006 г.

   [RFC5206] Henderson, T., Ed., "Мобильность конечных узлов и множественная адресация"
               с протоколом идентификации хоста », RFC 5206, апрель 2008 г.

































Йокела и др. Экспериментальный [Страница 27]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


Приложение A. Примечание о вариантах реализации

   Эту спецификацию можно реализовать в нескольких различных
   способами.Как отмечалось выше, одним из возможных способов реализации этого является
   перезаписать заголовки IP ниже IPsec. В такой реализации IPsec
   используется, как если бы он обрабатывал пакеты транспортного режима IPv6, с
   Заголовок IPv6, содержащий HIT вместо IP-адресов в источнике и
   поля адреса назначения. В исходящих пакетах после IPsec
   обработки, HIT заменяются фактическими IP-адресами на основе
   HIT и SPI. Во входящих пакетах перед обработкой IPsec
   IP-адреса заменяются на HIT на основе SPI в
   входящий пакет.В такой реализации все политики IPsec
   на основе HIT и верхние уровни видят только пакеты с HIT в
   место IP-адресов. Следовательно, поддержка HIP не
   конфликтует с другими видами использования IPsec, пока сохраняются пространства SPI
   отдельный.

   Другой способ реализовать эту спецификацию - использовать предложенные
   Режим BEET (Связанный сквозной режим для ESP, [ESP-BEET]). СВЕКЛА
   режим обеспечивает некоторые функции как туннеля IPsec, так и транспорта.
   режимы. HIP использует HIT как «внутренние» адреса и IP-адреса.
   в качестве «внешних» адресов, как и IP-адреса, используются в туннельном режиме.Вместо туннелирования пакетов между хостами, преобразование между
   внутренний и внешний адреса создаются на конечных хостах, а внутренний адрес
   никогда не отправляется по сети после первоначального согласования HIP. Свекла
   обеспечивает синтаксис транспортного режима IPsec (без внутренних заголовков) с ограниченными
   семантика туннельного режима (фиксированные логические внутренние адреса - HIT - и
   изменяемые внешние IP-адреса).

   По сравнению с вариантом реализации необходимой перезаписи адресов
   Помимо IPsec, BEET имеет одно преимущество на уровне реализации.В
   BEET-способ реализации перезаписи адресов сохраняет все
   информация о конфигурации в одном месте на сайте SAD. С другой
   стороны, когда перезапись адресов реализована отдельно,
   реализация должна гарантировать, что информация в SAD и
   отдельные БД перезаписи адресов хранятся синхронно. Как результат,
   способ реализации этой спецификации на основе режима BEET -
   РЕКОМЕНДУЕТСЯ над отдельной реализацией.













Йокела и др. Экспериментальный [Страница 28]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


Адреса авторов

   Петри Йокела
   Ericsson Research NomadicLab
   JORVAS FIN-02420
   ФИНЛЯНДИЯ

   Телефон: +358 9 299 1
   Электронная почта: петри[email protected]


   Роберт Московиц
   ICSAlabs, независимое подразделение Verizon Business Systems
   Бент Крик, 1000, Люкс 200
   Механиксбург, Пенсильвания
   Соединенные Штаты Америки

   Электронная почта: [email protected]


   Пекка Никандер
   Ericsson Research NomadicLab
   JORVAS FIN-02420
   ФИНЛЯНДИЯ

   Телефон: +358 9 299 1
   Электронная почта: [email protected]
























Йокела и др. Экспериментальный [Страница 29]

RFC 5202 Использование транспортного формата ESP с HIP, апрель 2008 г.


Полное заявление об авторских правах

   Авторское право (C) IETF Trust (2008 г.).На этот документ распространяются права, лицензии и ограничения.
   содержится в BCP 78, и, за исключением случаев, изложенных в нем, авторы
   сохраняют все свои права.

   Этот документ и содержащаяся в нем информация размещены на
   Принцип "КАК ЕСТЬ" и ПОСТАВЩИК, ОРГАНИЗАЦИЯ, ПРЕДСТАВЛЯЕМЫЕ ОН / ОНА
   ИЛИ СПОНСИРУЕТСЯ (ЕСЛИ ЕСТЬ) ИНТЕРНЕТ-ОБЩЕСТВОМ, ДОВЕРИЕМ IETF И
   ИНТЕРНЕТ-ИНЖИНИРИНГ ЗАДАЧА ОТКАЗЫВАЕТСЯ ОТ ВСЕХ ГАРАНТИЙ, ЯВНОЙ
   ИЛИ ПОДРАЗУМЕВАЕМЫЕ, ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯ НИКАКИХ ГАРАНТИЙ, ЧТО ИСПОЛЬЗОВАНИЕ
   ПРИВЕДЕННАЯ ИНФОРМАЦИЯ НЕ НАРУШАЕТ НИКАКИХ ПРАВ ИЛИ ПОДРАЗУМЕВАЕМЫХ
   ГАРАНТИИ КОММЕРЧЕСКОЙ ЦЕННОСТИ ИЛИ ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЕННОЙ ЦЕЛИ.Интеллектуальная собственность

   IETF не занимает никакой позиции относительно действительности или объема каких-либо
   Права на интеллектуальную собственность или другие права, которые могут быть заявлены на
   относятся к реализации или использованию технологии, описанной в
   этот документ или степень, в которой любая лицензия на такие права
   может быть, а может и нет; и не означает, что у него есть
   предпринял какие-либо независимые усилия для выявления любых таких прав. Информация
   о процедурах в отношении прав в документах RFC может быть
   найдено в BCP 78 и BCP 79.Копии раскрытия информации о правах интеллектуальной собственности в секретариат IETF и
   гарантии предоставления лицензий или результат
   предпринята попытка получить генеральную лицензию или разрешение на использование
   такие права собственности разработчиков или пользователей этого
   спецификацию можно получить в он-лайн репозитории IETF IPR по адресу
   http://www.ietf.org/ipr.

   IETF приглашает любую заинтересованную сторону довести до ее сведения любые
   авторские права, патенты или заявки на патенты или другие проприетарные
   права, которые могут распространяться на технологии, которые могут потребоваться для реализации
   этот стандарт.Пожалуйста, направьте информацию в IETF по адресу
   [email protected].












Йокела и др. Экспериментальный [Страница 30]

показать статистику безопасности ipsec | Руководство пользователя IPsec VPN для устройств безопасности

Синтаксис

  Показать статистику IPsec безопасности 
 номер слота >
 SA-index-number >
 номер слота >

Описание

Отображение стандартной статистики IPsec.

Опции

нет — Дисплей статистика обо всех ассоциациях безопасности (SA) IPsec.
fpc номер слота — Специально для устройств серии SRX. Показать статистику о существующих IPsec SA в этом слоте гибкого концентратора PIC (FPC). Эта опция используется для фильтрации вывода.
index SA-index-number - (Необязательно) Отображение статистики для SA с этот порядковый номер.

Требуемый уровень привилегий

просмотр

Поля вывода

В таблице 1 перечислены выходные данные. поля для команды show security ipsec statistics . Поля вывода перечислены в приблизительном порядке их появления.

Таблица 1: отображение статистики ipsec безопасности Поля вывода
Имя поля	Описание поля
`Виртуальная система`	Корневая система.
`Статистика ESP`	`Зашифрованные байты` - общее количество байты, зашифрованные локальной системой через туннель IPsec. `Расшифрованные байты` - Общее количество байты, расшифрованные локальной системой через туннель IPsec. `Зашифрованные пакеты` - Общее количество пакеты, зашифрованные локальной системой через туннель IPsec. `Расшифрованные пакеты` - Общее количество пакеты, расшифрованные локальной системой через туннель IPsec.
`Статистика AH`	`Входные байты` - общее количество байтов. полученные локальной системой через туннель IPsec. `Выходные байты` - общее количество байтов. передается локальной системой через туннель IPsec. `Входные пакеты` - Общее количество пакетов. полученный локальной системой через туннель IPsec. `Выходные пакеты` - Общее количество пакетов. передается локальной системой через туннель IPsec.
`Ошибки`	`Ошибки аутентификации AH` - Всего количество ошибок заголовка аутентификации (AH). Происходит сбой AH при несоответствии заголовка аутентификации в пакете передается через туннель IPsec. `Ошибки воспроизведения.` - Общее количество повторов. ошибки.Ошибка воспроизведения генерируется при получении дублирующего пакета. в окне воспроизведения. `Ошибки аутентификации ESP` - Всего количество ошибок Encapsulation Security Payload (ESP). Отказ ESP возникает при несоответствии аутентификации в пакетах ESP. `Ошибки расшифровки ESP` - общее количество ошибок расшифровки ESP. `Плохие заголовки` - Общее количество недопустимых заголовки обнаружены. `Плохие трейлеры` - Общее количество недействительных обнаружены прицепы. `Недействительный SPI` - Общее количество недействительных Обнаружены пакеты SPI. `Ошибка проверки TS` - Общее количество проверок TS обнаружен сбой. `Отклонено` - Общее количество выброшенных пакеты обнаружены.

Пример вывода

показать статистику ipsec безопасности

 user @ host>  показать статистику ipsec безопасности 
Виртуальная система: Root
Статистика ESP:
  Зашифрованные байты: 0
  Расшифрованных байтов: 0
  Зашифрованные пакеты: 0
  Расшифрованных пакетов: 0
Статистика AH:
  Входные байты: 0
  Выходные байты: 0
  Входных пакетов: 0
  Выходных пакетов: 0
Ошибки:
  Ошибки аутентификации AH: 0, ошибки воспроизведения: 0
  Ошибки аутентификации ESP: 0, ошибки расшифровки ESP: 0
  Плохие заголовки: 0, Плохие трейлеры: 0
  Недействительный SPI: 0, ошибка проверки TS: 0
  Выброшено: 0

Пример выходных данных

показать индекс статистики ipsec безопасности 131073

 user @ host>  показать индекс статистики ipsec безопасности 131073 
Статистика ESP:
  Зашифрованные байты: 952
  Расшифровано байт: 588
  Зашифрованных пакетов: 7
  Расшифрованных пакетов: 7
Статистика AH:
  Входные байты: 0
  Выходные байты: 0
  Входных пакетов: 0
  Выходных пакетов: 0
Ошибки:
  Ошибки аутентификации AH: 0, ошибки воспроизведения: 0
  Ошибки аутентификации ESP: 0, ошибки расшифровки ESP: 0
  Плохие заголовки: 0, Плохие трейлеры: 0
  Недействительный SPI: 0, ошибка проверки TS: 0
  Выброшено: 0

  Имя FC Зашифрованные пакеты Расшифрованные пакеты Зашифрованные байты Расшифрованные байты
  максимальные усилия 7 7 952 588
  custom_q1 0 0 0 0
  custom_q2 0 0 0 0
  сетевое управление 0 0 0 0
  custom_q4 0 0 0 0
  custom_q5 0 0 0 0
  custom_q6 0 0 0 0
  custom_q7 0 0 0 0
  по умолчанию 0 0 0 0

Начиная с Junos OS Release 18.2R1, CLI показывает безопасность ipsec statistics index 131073 index-number вывод отображает статистику для каждого имени класса пересылки.

Пример вывода

показать статистику ipsec безопасности fpc 6 рис 1 (устройства серии SRX)

 user @ host>  показать статистику ipsec безопасности fpc 6 рис 1 
Статистика ESP:
Зашифрованные байты: 536408
Расшифровано байтов: 696696
Зашифрованных пакетов: 1246
Расшифрованных пакетов: 888
Статистика AH:
Входные байты: 0
Выходные байты: 0
Входных пакетов: 0
Выходных пакетов: 0
Ошибки:
Ошибки аутентификации AH: 0, ошибки воспроизведения: 0
Ошибки аутентификации ESP: 0, ошибки расшифровки ESP: 0
Плохие заголовки: 0, Плохие трейлеры: 0
Недействительный SPI: 0, ошибка проверки TS: 0
Выброшено: 0

показать статистику ipsec безопасности ha-link-encryption (SRX5400, SRX5600, SRX5800)

Начиная с версии 20 ОС Junos.4R1, когда вы настраиваете функция высокой доступности (HA), вы можете использовать эту команду show для просмотра только детали туннеля межшасси. Следующая команда отображает только статистика туннеля шифрования ссылок на обоих узлах.

 user @ host>  показать статистику ipsec безопасности ha-link-encryption 
Статистика ESP:
  Зашифрованные байты: 10376
  Расшифровано байт: 4996
  Зашифрованных пакетов: 96
  Расшифрованных пакетов: 96
Статистика AH:
  Входные байты: 0
  Выходные байты: 0
  Входных пакетов: 0
  Выходных пакетов: 0
Ошибки:
  Ошибки аутентификации AH: 0, ошибки воспроизведения: 0
  Ошибки аутентификации ESP: 0, ошибки расшифровки ESP: 0
  Плохие заголовки: 0, Плохие трейлеры: 0
  Недействительный SPI: 0, ошибка проверки TS: 0
  Выброшено: 0

Информация о выпуске

Команда

представлена в выпуске ОС Junos 8.5. В версии ОС Junos добавлены опции fpc и pic 9.3.

Поддержка опции ha-link-encryption добавлена в ОС Junos Release 20.4R1.

Проблема № 1472: Сбой расшифровки ESP с клиентом Android IKEv1 при использовании SHA-256

Выпуск № 1472

Сбой расшифровки ESP с клиентом Android IKEv1 при использовании SHA-256

Добавил Станислав Юрченко около 5 лет назад.Обновился года 4 назад.

Категория:

совместимость

Разрешение:

Никаких изменений не требуется

Описание

Здравствуйте!
По какой-то причине, если клиент Android подключается к моему серверу vpn, в журналах я вижу следующее: charon: 05 [ESP] Ошибка дешифрования ESP: недопустимая длина
Эта ошибка возникает после того, как соединение было установлено, т.е. у клиента есть IP-адрес, но любой трафик не может достичь сети назначения.
С какой проблемой может быть связана данная ошибка?

Часть конфигурации, которую Android использует для установления соединения:

conn ikev1-fakexauth
        keyexchange = ikev1
        rightauth3 = xauth-noauth
        auto = добавить

История

# 2 Обновлено Тобиасом Бруннером около 5 лет назад

Описание обновлено (разница)
Категория изменена с android на совместимость
Статус изменен с Новый на Обратная связь

Часть конфигурации, которую Android использует для установления соединения:
conn ikev1-fakexauth
         keyexchange = ikev1
         rightauth3 = xauth-noauth
         auto = добавить
 

Попробуйте добавить esp = aes128-sha1 (или, возможно, esp = aes128gcm16 , если Android поддерживает AES-GCM).Android, по-видимому, использует неправильное усечение для HMAC-SHA-256 (96-битный вместо 128-битного), который является алгоритмом целостности по умолчанию, используемым strongSwan, поскольку предложения по умолчанию были изменены в версии 5.4.0.

# 4 Обновлено Тобиасом Бруннером около 5 лет назад

Тема изменена с Ошибка расшифровки ESP на Ошибка расшифровки ESP с клиентом Android IKEv1 при использовании SHA-256

Также доступно в: Atom PDF

Устранение неполадок при отбрасывании пакетов VPN с сообщением с кодом отбрасывания «Octeon Decryption Failed»

Устранение неполадок при отбрасывании пакетов VPN с сообщением с кодом отбрасывания «Octeon Decryption Failed» | SonicWall

Поддержка продуктов, услуг и решений SonicWall

Обзор базы знаний по категориям

26.03.2020 233 21053

ОПИСАНИЕ:

В этой статье объясняется сбой дешифрования октеона.Обычно это падение происходит, когда трафик vpn отбрасывается на брандмауэре. Это означает, что брандмауэр не смог расшифровать VPN-пакет и поэтому сбросил его.
Теперь может быть несколько причин, по которым брандмауэр не смог его расшифровать.

Пакет поврежден из-за перегрузки сети на стороне провайдера.
Входящий номер SPI не соответствует согласованному SPI.
Это может быть связано с тем, что пакет был подделан до того, как он попал в устройство SonicWall, и, таким образом, изменил свои свойства и, таким образом, отбрасывается.
Если некоторые пакеты ESP, последовательность которых больше, достигают брандмауэра раньше пакетов ESP, последовательность которых нет. меньше.
Это может быть допустимое поведение, когда порядок, в котором пакеты прибывают к одноранговому узлу, не определен.

РАЗРЕШЕНИЕ:

Установите флажок «Отключить IPsec Anti-Replay»

Эта опция гарантирует, что устройство SonicWall не будет отбрасывать пакеты, выходящие вне последовательности, и принимать их. Это может быть уважительной причиной, поскольку в реальной сетевой среде некоторые пакеты могут достигать раньше, чем другие.

Варианты различны для разных платформ микропрограмм

ПРИМЕЧАНИЕ: Для того, чтобы изменения вступили в силу, необходимо повторно согласовать рассматриваемый VPN-туннель.

Перейти к Управление | VPN | Базовые настройки .
Измените соответствующую политику VPN и перейдите на вкладку Advanced .
Установите флажок Отключить IPSec Anti-Replay.

Как тестировать:

Как упоминалось ранее, повторно согласовайте VPN и снова выполните захват пакета.Если бы пакет был отброшен из-за неправильной последовательности, они были бы разрешены сейчас.

Разрешение для SonicOS 6.2 и ниже

Приведенное ниже разрешение предназначено для клиентов, использующих SonicOS 6.2 и более ранние версии прошивки. Для межсетевых экранов 6-го поколения и новее мы предлагаем обновить прошивку SonicOS 6.5 до последней общей версии.

В прошивке 6.1.1.8 и 5.9.1.x и выше

ПРИМЕЧАНИЕ: В текущей прошивке Gen5 (5.9.x) или Gen6 (6.xx) этот параметр больше не на диагонали. страницу, но находится на вкладке Advanced политики VPN.

Перейти к VPN | настройки.
Измените соответствующую политику VPN и перейдите на вкладку Advanced .
Установите флажок Отключить IPSec Anti-Replay.

Для более старых прошивок 5.9

Войдите в устройство SonicWall и измените URL-адрес межсетевого экрана с https: // firewall ip / main.html на https: // firewall ip / diag.html .
Щелкните Внутренние настройки .
Найдите параметр «Отключить IPsec Anti-Replay» и установите флажок. После этого прокрутите страницу вверх и подтвердите изменение.

Как тестировать

Как упоминалось ранее, повторно согласовайте VPN и снова выполните захват пакета. Если пакет был отброшен из-за неправильной последовательности, они были бы разрешены сейчас.

Прокрутите до начала

Trace: 7678f9712de07d0004ce49174c5868a9-79

Flash Encryption - ESP32 - - Руководство по программированию ESP-IDF последняя документация

[中文]

Это краткое руководство по функции шифрования флэш-памяти ESP32. На примере кода приложения показано, как тестировать и проверять операции шифрования флэш-памяти во время разработки и производства.

Введение

Флэш-шифрование

предназначено для шифрования содержимого внешней флэш-памяти ESP32. После включения этой функции микропрограммное обеспечение записывается в виде открытого текста, а затем данные зашифровываются на месте при первой загрузке. В результате физического считывания данных с флэш-памяти будет недостаточно для восстановления большей части содержимого флэш-памяти.

При включенном флеш-шифровании по умолчанию шифруются следующие типы данных:

Другие типы данных могут быть зашифрованы условно:

Любой раздел, помеченный флагом encrypted в таблице разделов.Дополнительные сведения см. В разделе «Флаг зашифрованного раздела».
Дайджест загрузчика безопасной загрузки, если включена безопасная загрузка (см. Ниже).

Безопасная загрузка - это отдельная функция, которую можно использовать вместе с флеш-шифрованием для создания еще более безопасной среды.

Важно

Для производственного использования флеш-шифрование должно быть включено только в режиме «Release».

Важно

Включение шифрования флэш-памяти ограничивает возможности для дальнейших обновлений ESP32.Прежде чем использовать эту функцию, прочтите документ и убедитесь, что вы понимаете последствия.

Соответствующие предохранители

Операция шифрования флэш-памяти контролируется различными электронными предохранителями, доступными на ESP32. Список электронных предохранителей и их описания приведены в таблице ниже. Имена в столбце eFuse также используются инструментом espefuse.py. Для использования в eFuse API измените имя, добавив ESP_EFUSE_ , например: esp_efuse_read_field_bit (ESP_EFUSE_DISABLE_DL_ENCRYPT).

Электронные предохранители, используемые во флэш-шифровании
eFuse	Описание	Битовая глубина
`CODING_SCHEME`	Управляет фактическим количеством битов блока 1, используемых для получения окончательного 256-битного ключа AES. Возможные значения: `0` для 256 бит, `1` для 192 бит, `2` для 128 бит.Окончательный ключ AES выводится на основе значения `FLASH_CRYPT_CONFIG` .	2
`flash_encryption` (block1)	Хранилище ключей AES.	256-битный ключевой блок
`FLASH_CRYPT_CONFIG`	Управляет процессом шифрования AES.	4
`DISABLE_DL_ENCRYPT`	Если установлено, отключает операцию шифрования флэш-памяти при работе в режиме загрузки микропрограммы.	1
`DISABLE_DL_DECRYPT`	Если установлено, отключает дешифрование флэш-памяти при работе в режиме загрузки микропрограммы UART.	1
`FLASH_CRYPT_CNT`	Включает / отключает шифрование во время загрузки. Если установлено четное количество бит (0, 2, 4, 6) - зашифровать флешку при загрузке. Если установлено нечетное количество бит (1, 3, 5, 7) - не шифровать флеш-память при загрузке.	7

Доступ для чтения и записи к битам eFuse управляется соответствующими полями в регистрах WR_DIS и RD_DIS . Для получения дополнительной информации о ESP32 eFuse см. Менеджер eFuse. Чтобы изменить биты защиты поля eFuse с помощью espefuse.py, используйте эти две команды: read_protect_efuse и write_protect_efuse. Пример espefuse.py write_protect_efuse DISABLE_DL_ENCRYPT .

Процесс шифрования флэш-памяти

Предполагая, что значения eFuse находятся в своих состояниях по умолчанию и загрузчик микропрограмм скомпилирован для поддержки шифрования флэш-памяти, процесс шифрования флэш-памяти выполняется, как показано ниже:

При первом сбросе при включении питания все данные во флэш-памяти не зашифрованы (открытый текст).Загрузчик ROM загружает загрузчик прошивки.
Загрузчик микропрограммы считывает значение FLASH_CRYPT_CNT eFuse ( 0b0000000 ). Поскольку значение равно 0 (установлено четное количество битов), оно настраивает и включает блок шифрования флэш-памяти. Он также устанавливает для FLASH_CRYPT_CONFIG eFuse значение 0xF. Для получения дополнительной информации о блоке шифрования флэш-памяти см. ESP32 Technical Reference Manual > eFuse Controller (eFuse) > Flash Encryption Block [PDF].
Загрузчик микропрограммного обеспечения использует модуль RNG (случайный) для генерации ключа AES-256 бит и затем записывает его в flash_encryption eFuse. Ключ не может быть доступен через программное обеспечение, так как биты защиты от записи и чтения для flash_encryption eFuse установлены. Операции флеш-шифрования выполняются полностью аппаратно, и получить доступ к ключу через программное обеспечение невозможно.
Блок шифрования флэш-памяти шифрует содержимое флэш-памяти - загрузчик прошивки, приложения и разделы, помеченные как зашифрованные .Шифрование на месте может занять время, до минуты для больших разделов.
Загрузчик микропрограммы устанавливает первый доступный бит в FLASH_CRYPT_CNT (0b0000001), чтобы пометить содержимое флэш-памяти как зашифрованное. Установлено нечетное количество бит.
Для режима разработки загрузчик микропрограмм устанавливает только биты eFuse DISABLE_DL_DECRYPT и DISABLE_DL_CACHE , чтобы разрешить загрузчику UART перезапускать зашифрованные двоичные файлы. Кроме того, биты FLASH_CRYPT_CNT eFuse НЕ защищены от записи.
Для режима выпуска загрузчик микропрограмм устанавливает биты eFuse DISABLE_DL_ENCRYPT , DISABLE_DL_DECRYPT и DISABLE_DL_CACHE на 1, чтобы не дать загрузчику UART расшифровать содержимое флэш-памяти. Он также защищает от записи биты FLASH_CRYPT_CNT eFuse. Чтобы изменить это поведение, см. Включение шифрования / дешифрования загрузчика UART.
Затем устройство перезагружается, чтобы начать выполнение зашифрованного образа.Загрузчик микропрограммы вызывает блок дешифрования флэш-памяти для расшифровки содержимого флэш-памяти, а затем загружает расшифрованное содержимое в IRAM.

На этапе разработки часто возникает необходимость в программировании различных изображений флэш-памяти с открытым текстом и тестировании процесса шифрования флэш-памяти. Для этого требуется, чтобы режим загрузки микропрограммы мог загружать новые изображения с открытым текстом столько раз, сколько это может потребоваться. Однако на этапах производства или производства режим загрузки микропрограмм не должен допускать доступ к содержимому флэш-памяти по соображениям безопасности.

Таким образом, были созданы две разные конфигурации шифрования флэш-памяти: для разработки и для производства. Подробнее об этих конфигурациях см. В разделе «Конфигурация шифрования Flash».

Конфигурация шифрования флэш-памяти

Доступны следующие режимы шифрования флэш-памяти:

Режим разработки - рекомендуется для использования ТОЛЬКО ВО ВРЕМЯ РАЗРАБОТКИ, так как он не препятствует модификации и считыванию зашифрованного содержимого флэш-памяти.
Release Mode - рекомендуется для производства и производства для предотвращения физического считывания зашифрованного содержимого флэш-памяти.

В этом разделе представлена информация об упомянутых режимах шифрования флэш-памяти и пошаговые инструкции по их использованию.

Режим разработки

Во время разработки вы можете зашифровать флэш-память, используя ключ, сгенерированный ESP32, или ключ, сгенерированный внешним хостом.

Использование ключа, сгенерированного ESP32

Режим разработки позволяет загружать несколько текстовых изображений с помощью режима загрузки микропрограмм.

Чтобы проверить процесс шифрования флэш-памяти, выполните следующие действия:

Убедитесь, что у вас есть устройство ESP32 с настройками eFuse для шифрования флэш-памяти по умолчанию, как показано в разделе Соответствующие eFuses.

В меню конфигурации проекта выполните следующие действия:

Включение шифрования флэш-памяти увеличит размер загрузчика, что может потребовать обновления смещения таблицы разделов. См. Размер загрузчика.

Выполните приведенную ниже команду, чтобы создать и прошить полные образы.

Примечание
Эта команда не включает какие-либо пользовательские файлы, которые должны быть записаны в разделы флэш-памяти.Пожалуйста, запишите их вручную перед запуском этой команды, иначе файлы должны быть зашифрованы отдельно перед записью.
Эта команда запишет во флеш-память незашифрованные образы: загрузчика прошивки, таблицы разделов и приложений. После завершения перепрошивки ESP32 перезагрузится. При следующей загрузке загрузчик микропрограмм шифрует: загрузчик микропрограмм, разделы приложений и разделы, помеченные как зашифрованные , затем сбрасываются. Шифрование на месте может занять время, до минуты для больших разделов.После этого приложение расшифровывается во время выполнения и запускается.

Пример вывода первой загрузки ESP32 после включения шифрования флэш-памяти приведен ниже:

 --- idf_monitor на /dev/cu.SLAB_USBtoUART 115200 ---
--- Выйти: Ctrl +] | Меню: Ctrl + T | Справка: Ctrl + T, затем Ctrl + H ---
ets 8 июня 2016 00:22:57

сначала: 0x1 (POWERON_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
configsip: 0, SPIWP: 0xee
clk_drv: 0x00, q_drv: 0x00, d_drv: 0x00, cs0_drv: 0x00, hd_drv: 0x00, wp_drv: 0x00
режим: DIO, деление часов: 2
нагрузка: 0x3fff0018, длина: 4
нагрузка: 0x3fff001c, длина: 8452
нагрузка: 0x40078000, длина: 13608
нагрузка: 0x40080400, длина: 6664
запись 0x40080764
I (28) загрузка: ESP-IDF v4.0-dev-850-gc4447462d-dirty загрузчик 2-й ступени
I (29) загрузка: время компиляции 15:37:14
I (30) boot: Включение раннего источника энтропии ГСЧ ...
I (35) загрузка: SPI Скорость: 40 МГц
I (39) загрузка: SPI Mode: DIO
I (43) загрузка: SPI Flash Размер: 4 МБ
I (47) загрузка: Таблица разделов:
I (51) boot: ## Этикетка Тип использования ST Длина смещения
I (58) загрузка: 0 nvs данные WiFi 01 02 0000a000 00006000
I (66) загрузка: 1 phy_init RF data 01 01 00010000 00001000
I (73) загрузка: 2 заводских заводских приложения 00 00 00020000 00100000
I (81) загрузка: конец таблицы разделов
I (85) esp_image: сегмент 0: paddr = 0x00020020 vaddr = 0x3f400020 size = 0x0808c (32908) карта
I (105) esp_image: сегмент 1: paddr = 0x000280b4 vaddr = 0x3ffb0000 size = 0x01ea4 (7844) загрузка
I (109) esp_image: сегмент 2: paddr = 0x00029f60 vaddr = 0x40080000 size = 0x00400 (1024) загрузка
0x40080000: _WindowOverflow4 в esp-idf / esp-idf / components / freertos / xtensa_vectors.S: 1778

I (114) esp_image: сегмент 3: paddr = 0x0002a368 vaddr = 0x40080400 size = 0x05ca8 (23720) load
I (132) esp_image: сегмент 4: paddr = 0x00030018 vaddr = 0x400d0018 size = 0x126a8 (75432) карта
0x400d0018: _flash_cache_start в ??:?

I (159) esp_image: сегмент 5: paddr = 0x000426c8 vaddr = 0x400860a8 size = 0x01f4c (8012) load
0x400860a8: prvAddNewTaskToReadyList в esp-idf / esp-idf / components / freertos / tasks.c: 4561

I (168) boot: загруженное приложение из раздела по смещению 0x20000
I (168) boot: Проверка шифрования флеш-памяти...
I (168) flash_encrypt: Создание нового ключа шифрования флэш-памяти ...
I (187) flash_encrypt: Защита нового ключа от чтения и записи ...
I (187) flash_encrypt: установка CRYPT_CONFIG efuse на 0xF
W (188) flash_encrypt: не отключать шифрование загрузчика UART
I (195) flash_encrypt: Отключить расшифровку загрузчика UART ...
I (201) flash_encrypt: Отключить кеш MMU загрузчика UART ...
I (208) flash_encrypt: Отключить JTAG ...
I (212) flash_encrypt: Отключить откат интерпретатора ROM BASIC ...
I (219) esp_image: сегмент 0: paddr = 0x00001020 vaddr = 0x3fff0018 size = 0x00004 (4)
I (227) esp_image: сегмент 1: paddr = 0x0000102c vaddr = 0x3fff001c size = 0x02104 (8452)
I (239) esp_image: сегмент 2: paddr = 0x00003138 vaddr = 0x40078000 size = 0x03528 (13608)
I (249) esp_image: сегмент 3: paddr = 0x00006668 vaddr = 0x40080400 size = 0x01a08 (6664)
I (657) esp_image: сегмент 0: paddr = 0x00020020 vaddr = 0x3f400020 size = 0x0808c (32908) карта
I (669) esp_image: сегмент 1: paddr = 0x000280b4 vaddr = 0x3ffb0000 size = 0x01ea4 (7844)
I (672) esp_image: сегмент 2: paddr = 0x00029f60 vaddr = 0x40080000 size = 0x00400 (1024)
0x40080000: _WindowOverflow4 в esp-idf / esp-idf / components / freertos / xtensa_vectors.S: 1778

I (676) esp_image: сегмент 3: paddr = 0x0002a368 vaddr = 0x40080400 size = 0x05ca8 (23720)
I (692) esp_image: сегмент 4: paddr = 0x00030018 vaddr = 0x400d0018 size = 0x126a8 (75432) карта
0x400d0018: _flash_cache_start в ??:?

I (719) esp_image: сегмент 5: paddr = 0x000426c8 vaddr = 0x400860a8 size = 0x01f4c (8012)
0x400860a8: prvAddNewTaskToReadyList в esp-idf / esp-idf / components / freertos / tasks.c: 4561

I (722) flash_encrypt: шифрование раздела 2 по смещению 0x20000 ...
I (13229) flash_encrypt: шифрование флэш-памяти завершено
I (13229) boot: сброс с включенным шифрованием флэш-памяти...

Пример вывода последующих загрузок ESP32 просто упоминает, что шифрование флэш-памяти уже включено:

 сначала: 0x1 (POWERON_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
configsip: 0, SPIWP: 0xee
clk_drv: 0x00, q_drv: 0x00, d_drv: 0x00, cs0_drv: 0x00, hd_drv: 0x00, wp_drv: 0x00
режим: DIO, деление часов: 2
нагрузка: 0x3fff0018, длина: 4
нагрузка: 0x3fff001c, длина: 8452
нагрузка: 0x40078000, длина: 13652
хо 0 хвост 12 комната 4
нагрузка: 0x40080400, длина: 6664
запись 0x40080764
I (30) загрузка: ESP-IDF v4.0-dev-850-gc4447462d-dirty загрузчик 2-й ступени
I (30) загрузка: время компиляции 16:32:53
I (31) boot: Включение раннего источника энтропии ГСЧ...
I (37) загрузка: SPI Скорость: 40 МГц
I (41) загрузка: SPI Mode: DIO
I (45) загрузка: SPI Flash Размер: 4 МБ
I (49) загрузка: Таблица разделов:
I (52) boot: ## Этикетка Тип использования ST Длина смещения
I (60) загрузка: 0 nvs данные WiFi 01 02 0000a000 00006000
I (67) загрузка: 1 phy_init RF data 01 01 00010000 00001000
I (75) загрузка: 2 заводских заводских приложения 00 00 00020000 00100000
I (82) boot: конец таблицы разделов
I (86) esp_image: сегмент 0: paddr = 0x00020020 vaddr = 0x3f400020 size = 0x0808c (32908) карта
I (107) esp_image: сегмент 1: paddr = 0x000280b4 vaddr = 0x3ffb0000 size = 0x01ea4 (7844) загрузка
I (111) esp_image: сегмент 2: paddr = 0x00029f60 vaddr = 0x40080000 size = 0x00400 (1024) load
0x40080000: _WindowOverflow4 в esp-idf / esp-idf / components / freertos / xtensa_vectors.S: 1778

I (116) esp_image: сегмент 3: paddr = 0x0002a368 vaddr = 0x40080400 size = 0x05ca8 (23720) load
I (134) esp_image: сегмент 4: paddr = 0x00030018 vaddr = 0x400d0018 size = 0x126a8 (75432) карта
0x400d0018: _flash_cache_start в ??:?

I (162) esp_image: сегмент 5: paddr = 0x000426c8 vaddr = 0x400860a8 size = 0x01f4c (8012) load
0x400860a8: prvAddNewTaskToReadyList в esp-idf / esp-idf / components / freertos / tasks.c: 4561

I (171) boot: загруженное приложение из раздела по смещению 0x20000
I (171) boot: Проверка шифрования флеш-памяти...
I (171) flash_encrypt: шифрование флэш-памяти включено (осталось 3 мигания открытого текста)
I (178) boot: Отключение раннего источника энтропии ГСЧ ...
I (184) cpu_start: Pro cpu up.
I (188) cpu_start: Информация о приложении:
I (193) cpu_start: Название проекта: flash-encryption
I (198) cpu_start: Версия приложения: v4.0-dev-850-gc4447462d-dirty
I (205) cpu_start: Время компиляции: 17 июня 2019 г. 16:32:52
I (211) cpu_start: файл ELF SHA256: 8770c886bdf561a7 ...
I (217) cpu_start: ESP-IDF: v4.0-dev-850-gc4447462d-dirty
I (224) cpu_start: запуск процессора приложения, точка входа - 0x40080e4c
0x40080e4c: call_start_cpu1 в esp-idf / esp-idf / components / esp32 / cpu_start.с: 265

I (0) cpu_start: ЦП приложения увеличен.
I (235) heap_init: инициализация. Оперативная память, доступная для динамического распределения:
I (241) heap_init: at 3FFAE6E0 len 00001920 (6 KiB): DRAM
I (247) heap_init: на 3FFB2EC8 len 0002D138 (180 KiB): DRAM
I (254) heap_init: at 3FFE0440 len 00003AE0 (14 KiB): D / IRAM
I (260) heap_init: at 3FFE4350 len 0001BCB0 (111 KiB): D / IRAM
I (266) heap_init: на 40087FF4 len 0001800C (96 KiB): IRAM
I (273) cpu_start: Код пользователя для запуска процессора Pro
I (291) cpu_start: Запуск планировщика на PRO CPU.
I (0) cpu_start: запуск планировщика на ЦП приложения.Пример программы для проверки шифрования Flash
Это чип ESP32 с 2 ядрами ЦП, WiFi / BT / BLE, кремниевая версия 1, 4 МБ внешней флэш-памяти.
Включена функция шифрования Flash
Режим шифрования flash - РАЗРАБОТКА
Прошивка в зашифрованном режиме с flash_crypt_cnt = 1
Остановка ...

На этом этапе, если вам нужно обновить и перепрограммировать двоичные файлы, см. Перепрограммирование обновленных разделов.

Использование ключа, созданного хостом

Можно предварительно сгенерировать ключ шифрования флэш-памяти на главном компьютере и записать его в eFuse.Это позволяет предварительно зашифровать данные на хосте и прошить уже зашифрованные данные без необходимости обновления флэш-памяти с открытым текстом. Эта функция может использоваться как в режиме разработки, так и в режиме выпуска. Без предварительно сгенерированного ключа данные записываются в виде открытого текста, а затем ESP32 шифрует данные на месте.

Примечание

Этот вариант не рекомендуется для производства, если не создается отдельный ключ для каждого отдельного устройства.

Чтобы использовать ключ, сгенерированный хостом, выполните следующие действия:

Убедитесь, что у вас есть устройство ESP32 с настройками eFuse для шифрования флэш-памяти по умолчанию, как показано в разделе Соответствующие eFuses.

Сгенерируйте случайный ключ, запустив:

 espsecure.py generate_flash_encryption_key my_flash_encryption_key.bin

Перед первой зашифрованной загрузкой запишите ключ в eFuse вашего устройства, используя команду ниже. Это действие можно выполнить только один раз .

 espefuse.py --port ПОРТ burn_key flash_encryption my_flash_encryption_key.bin

Если ключ не записан и устройство запускается после включения флэш-шифрования, ESP32 сгенерирует случайный ключ, к которому программное обеспечение не может получить доступ или изменить.

В меню конфигурации проекта выполните следующие действия:

Выполните приведенную ниже команду, чтобы создать и прошить полные образы.

Примечание
Эта команда не включает какие-либо пользовательские файлы, которые должны быть записаны в разделы флэш-памяти.Пожалуйста, запишите их вручную перед запуском этой команды, иначе файлы должны быть зашифрованы отдельно перед записью.
Эта команда запишет во флеш-память незашифрованные образы: загрузчика прошивки, таблицы разделов и приложений. После завершения перепрошивки ESP32 перезагрузится. При следующей загрузке загрузчик микропрограмм шифрует: загрузчик микропрограмм, разделы приложений и разделы, помеченные как зашифрованные , затем сбрасываются. Шифрование на месте может занять время, до минуты для больших разделов.После этого приложение расшифровывается во время выполнения и запускается.

Если используется режим разработки, то самый простой способ обновить и перепрограммировать двоичные файлы - это перепрограммировать обновленные разделы.

При использовании режима выпуска можно предварительно зашифровать двоичные файлы на хосте, а затем прошить их как зашифрованный текст. См. Раздел «Шифрование файлов вручную».

Перепрошивка обновленных разделов

Если вы обновляете код приложения (в виде открытого текста) и хотите его повторно прошить, вам нужно будет зашифровать его перед прошивкой.Чтобы зашифровать приложение и прошить его за один шаг, запустите:

 idf.py монитор зашифрованного приложения-флэш

Если все разделы необходимо обновить в зашифрованном формате, введите:

 idf.py монитор зашифрованной флэш-памяти

Режим выпуска

В режиме выпуска загрузчик UART не может выполнять операции шифрования флэш-памяти. Новые изображения с открытым текстом можно загружать ТОЛЬКО с использованием беспроводной схемы (OTA), которая шифрует изображение с открытым текстом перед записью во флэш-память.

Чтобы использовать этот режим, выполните следующие действия:

Убедитесь, что у вас есть устройство ESP32 с настройками eFuse для шифрования флэш-памяти по умолчанию, как показано в разделе Соответствующие eFuses.

В меню конфигурации проекта выполните следующие действия:

Выполните приведенную ниже команду, чтобы создать и прошить полные образы.

Примечание
Эта команда не включает какие-либо пользовательские файлы, которые должны быть записаны в разделы флэш-памяти.Пожалуйста, запишите их вручную перед запуском этой команды, иначе файлы должны быть зашифрованы отдельно перед записью.
Эта команда запишет во флеш-память незашифрованные образы: загрузчика прошивки, таблицы разделов и приложений. После завершения перепрошивки ESP32 перезагрузится. При следующей загрузке загрузчик микропрограмм шифрует: загрузчик микропрограмм, разделы приложений и разделы, помеченные как зашифрованные , затем сбрасываются. Шифрование на месте может занять время, до минуты для больших разделов.После этого приложение расшифровывается во время выполнения и запускается.

После включения шифрования флэш-памяти в режиме выпуска загрузчик будет защищать от записи FLASH_CRYPT_CNT eFuse.

Для последующих обновлений полей открытого текста используйте схему OTA.

Примечание

Если вы предварительно сгенерировали ключ шифрования флэш-памяти и сохранили его копию, а режим загрузки UART не отключен навсегда с помощью CONFIG_SECURE_UART_ROM_DL_MODE (только ESP32 V3), то можно обновить флэш-память локально, предварительно зашифровав файлы, а затем прошивка зашифрованного текста.См. Раздел «Шифрование файлов вручную».

Лучшие Лрактики

При использовании Flash Encryption в производстве:

Не используйте повторно один и тот же ключ флэш-шифрования между несколькими устройствами. Это означает, что злоумышленник, копирующий зашифрованные данные с одного устройства, не может передать их на второе устройство.
При использовании ESP32 V3, если режим загрузки ПЗУ UART не требуется для производственного устройства, его следует отключить, чтобы обеспечить дополнительный уровень защиты.Сделайте это, вызвав esp_efuse_disable_rom_download_mode () во время запуска приложения. В качестве альтернативы настройте уровень проекта CONFIG_ESP32_REV_MIN на 3 (только для ESP32 V3) и выберите для параметра CONFIG_SECURE_UART_ROM_DL_MODE значение «Постоянно отключить режим загрузки ПЗУ (рекомендуется)». Возможность отключить режим загрузки ПЗУ недоступна в более ранних версиях ESP32.
Включите безопасную загрузку в качестве дополнительного уровня защиты и не позволяйте злоумышленнику выборочно повредить любую часть флэш-памяти перед загрузкой.

Возможные отказы

После включения шифрования флэш-памяти значение FLASH_CRYPT_CNT eFuse будет иметь нечетное количество установленных битов. Это означает, что все разделы, отмеченные флагом шифрования, должны содержать зашифрованный зашифрованный текст. Ниже приведены три типичных случая отказа, если ESP32 ошибочно загружен с данными в виде открытого текста:

Если раздел загрузчика перепрограммирован заново с помощью образа загрузчика прошивки с открытым текстом , загрузчик ПЗУ не сможет загрузить загрузчик прошивки, что приведет к следующей ошибке:

 первый: 0x3 (SW_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
ошибка чтения вспышки, 1000
ets_main.в 371
ets 8 июня 2016 00:22:57

сначала: 0x7 (TG0WDT_SYS_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
ошибка чтения вспышки, 1000
ets_main.c 371
ets 8 июня 2016 00:22:57

сначала: 0x7 (TG0WDT_SYS_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
ошибка чтения вспышки, 1000
ets_main.c 371
ets 8 июня 2016 00:22:57

сначала: 0x7 (TG0WDT_SYS_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
ошибка чтения вспышки, 1000
ets_main.c 371
ets 8 июня 2016 00:22:57

сначала: 0x7 (TG0WDT_SYS_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
ошибка чтения вспышки, 1000
ets_main.c 371
ets 8 июня 2016 00:22:57

Примечание

Эта ошибка также появляется, если содержимое флэш-памяти стерто или повреждено.

Если загрузчик микропрограмм зашифрован, но таблица разделов заново перепрограммирована с помощью образа таблицы разделов с открытым текстом , загрузчик не сможет прочитать таблицу разделов, что приведет к следующей ошибке:

 сначала: 0x3 (SW_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
configsip: 0, SPIWP: 0xee
clk_drv: 0x00, q_drv: 0x00, d_drv: 0x00, cs0_drv: 0x00, hd_drv: 0x00, wp_drv: 0x00
режим: DIO, деление часов: 2
нагрузка: 0x3fff0018, длина: 4
нагрузка: 0x3fff001c, длина: 10464
хо 0 хвост 12 комната 4
нагрузка: 0x40078000, длина: 19168
нагрузка: 0x40080400, длина: 6664
запись 0x40080764
I (60) загрузка: ESP-IDF v4.0-dev-763-g2c55fae6c-dirty загрузчик 2-й ступени
I (60) загрузка: время компиляции 19:15:54
I (62) boot: Включение раннего источника энтропии ГСЧ ...
I (67) загрузка: SPI Скорость: 40 МГц
I (72) загрузка: SPI Mode: DIO
I (76) загрузка: SPI Flash Размер: 4 МБ
E (80) flash_parts: раздел 0 недействительный магический номер 0x94f6
E (86) загрузка: не удалось проверить таблицу разделов
E (91) boot: ошибка загрузки таблицы разделов!

Если загрузчик и таблица разделов зашифрованы, но приложение повторно прошито с открытым текстом образа приложения , загрузчик не сможет загрузить приложение, что приведет к следующей ошибке:

 сначала: 0x3 (SW_RESET), загрузка: 0x13 (SPI_FAST_FLASH_BOOT)
configsip: 0, SPIWP: 0xee
clk_drv: 0x00, q_drv: 0x00, d_drv: 0x00, cs0_drv: 0x00, hd_drv: 0x00, wp_drv: 0x00
режим: DIO, деление часов: 2
нагрузка: 0x3fff0018, длина: 4
нагрузка: 0x3fff001c, длина: 8452
нагрузка: 0x40078000, длина: 13616
нагрузка: 0x40080400, длина: 6664
запись 0x40080764
I (56) загрузка: ESP-IDF v4.0-dev-850-gc4447462d-dirty загрузчик 2-й ступени
I (56) загрузка: время компиляции 15:37:14
I (58) boot: Включение раннего источника энтропии ГСЧ ...
I (64) загрузка: SPI Скорость: 40 МГц
I (68) загрузка: SPI Mode: DIO
I (72) загрузка: SPI Flash Размер: 4 МБ
I (76) загрузка: Таблица разделов:
I (79) boot: ## Этикетка Тип использования ST Длина смещения
I (87) загрузка: 0 nvs данные WiFi 01 02 0000a000 00006000
I (94) загрузка: 1 phy_init RF data 01 01 00010000 00001000
I (102) boot: 2 заводских заводских приложения 00 00 00020000 00100000
I (109) загрузка: конец таблицы разделов
E (113) esp_image: изображение по адресу 0x20000 имеет недопустимый магический байт
W (120) esp_image: изображение по адресу 0x20000 имеет недопустимый режим SPI 108
W (126) esp_image: изображение по адресу 0x20000 имеет недопустимый размер SPI 11
E (132) boot: раздел заводского приложения не является загрузочным
E (138) boot: в таблице разделов нет разделов с загрузочными приложениями.

Состояние шифрования флэш-памяти ESP32

Убедитесь, что у вас есть устройство ESP32 с настройками eFuse для шифрования флэш-памяти по умолчанию, как показано в разделе Соответствующие eFuses.

Чтобы проверить, включено ли флеш-шифрование на вашем устройстве ESP32, выполните одно из следующих действий:

запишите пример приложения security / flash_encryption на свое устройство. Это приложение распечатывает значение FLASH_CRYPT_CNT eFuse и указывает, включено или отключено шифрование флэш-памяти.
Найдите имя последовательного порта, под которым подключено ваше устройство ESP32, замените PORT на имя вашего порта в следующей команде и запустите ее:
```
 espefuse.py -p сводка ПОРТА
 
```

Чтение и запись данных в зашифрованной флэш-памяти

Код приложения

ESP32 может проверить, включено ли в настоящее время шифрование флэш-памяти, вызвав esp_flash_encryption_enabled () . Кроме того, устройство может определить режим шифрования флэш-памяти, вызвав esp_get_flash_encryption_mode () .

После включения шифрования флэш-памяти будьте более осторожны с доступом к содержимому флэш-памяти из кода.

Объем флэш-шифрования

Каждый раз, когда FLASH_CRYPT_CNT eFuse устанавливается на значение с нечетным числом битов, все содержимое флэш-памяти, доступ к которому осуществляется через флэш-кэш MMU, прозрачно дешифруется.Включает:

Код исполняемого приложения во флэш-памяти (IROM).
Все данные только для чтения хранятся во флэш-памяти (DROM).
Любые данные, к которым осуществляется доступ через spi_flash_mmap () .
Образ загрузчика микропрограмм при чтении загрузчиком ПЗУ.

Важно

Флэш-кеш MMU безоговорочно дешифрует все существующие данные. Данные, которые хранятся в незашифрованном виде во флэш-памяти, также будут «прозрачно дешифрованы» через флэш-кеш и будут отображаться для программного обеспечения как случайный мусор.

Чтение из зашифрованной флэш-памяти

Для чтения данных без использования отображения MMU флэш-кэша можно использовать функцию чтения раздела esp_partition_read () . Эта функция расшифровывает данные только при их чтении из зашифрованного раздела. Данные, прочитанные с незашифрованных разделов, не будут расшифрованы. Таким образом, программное обеспечение может одинаково обращаться к зашифрованной и незашифрованной флеш-памяти.

Вы также можете использовать следующие функции SPI flash API:

Функция ПЗУ SPIRead () может считывать данные без дешифрования, однако эта функция не поддерживается в приложениях esp-idf.

Данные, хранящиеся с использованием API энергонезависимого хранилища (NVS), всегда сохраняются и читаются в расшифрованном виде с точки зрения флеш-шифрования. Библиотека должна предоставить функцию шифрования, если это необходимо. Дополнительные сведения см. В разделе «Шифрование NVS».

Запись во флэш-память с шифрованием

Рекомендуется использовать функцию записи раздела esp_partition_write () . Эта функция шифрует данные только тогда, когда они записываются в зашифрованный раздел. Данные, записанные на незашифрованные разделы, не будут зашифрованы.Таким образом, программное обеспечение может одинаково обращаться к зашифрованной и незашифрованной флеш-памяти.

Вы также можете предварительно зашифровать и записать данные с помощью функции esp_flash_write_encrypted ()

Также существует следующая функция ПЗУ, но она не поддерживается в приложениях esp-idf:

Поскольку данные зашифрованы блоками, минимальный размер записи для зашифрованных данных составляет 16 байтов, а выравнивание также составляет 16 байтов.

Обновление зашифрованной флэш-памяти

OTA-обновления

OTA-обновления для зашифрованных разделов будут автоматически записывать зашифрованные данные, если используется функция esp_partition_write () .

Перед созданием образа приложения для OTA-обновления уже зашифрованного устройства включите параметр «Включить шифрование флэш-памяти при загрузке» в меню конфигурации проекта.

Для получения общей информации об обновлениях ESP-IDF OTA, пожалуйста, обратитесь к OTA

Обновление зашифрованной флэш-памяти через последовательный порт

Для прошивки зашифрованного устройства с помощью последовательного загрузчика необходимо, чтобы интерфейс загрузки последовательного загрузчика не был отключен навсегда через eFuse.

В режиме разработки рекомендуется повторно перепрограммировать обновленные разделы.

В режиме выпуска, если копия того же ключа, хранящаяся в eFuse, доступна на хосте, можно предварительно зашифровать файлы на хосте, а затем прошить их. См. Раздел «Шифрование файлов вручную».

Отключение шифрования флэш-памяти

Если шифрование флэш-памяти было включено случайно, мигание данных в виде открытого текста приведет к мягкому блокированию ESP32. Устройство будет постоянно перезагружаться, выводя ошибку flash read err, 1000 or invalid header: 0xXXXXXX .

Для флэш-шифрования в режиме разработки шифрование можно отключить, записав FLASH_CRYPT_CNT eFuse.Это можно сделать только три раза для каждого чипа, выполнив следующие шаги:

В меню конфигурации проекта отключите параметр «Включить шифрование флэш-памяти при загрузке», затем сохраните и выйдите.
Снова откройте меню конфигурации проекта и еще раз проверьте , что вы отключили эту опцию! Если оставить этот параметр включенным, загрузчик сразу же повторно включит шифрование при загрузке.
При отключенном флеш-шифровании создайте и прошейте новый загрузчик и приложение, запустив idf.py flash .
Используйте espefuse.py (в components / esptool_py / esptool ), чтобы отключить FLASH_CRYPT_CNT , запустив:

 espefuse.py burn_efuse FLASH_CRYPT_CNT

Сбросьте ESP32. Флэш-шифрование будет отключено, и загрузчик загрузится как обычно.

Ключевые моменты о шифровании флэш-памяти

Содержимое флэш-памяти зашифровано с использованием AES-256. Ключ шифрования флэш-памяти хранится во встроенном в чип flash_encryption eFuse и по умолчанию защищен от доступа программного обеспечения.
Алгоритм шифрования флэш-памяти - AES-256, где ключ «настраивается» со смещением адреса каждого 32-байтового блока флэш-памяти. Это означает, что каждый 32-байтовый блок (два последовательных 16-байтовых блока AES) зашифрован уникальным ключом, полученным из ключа шифрования флэш-памяти.
Доступ к флэш-памяти прозрачен благодаря функции сопоставления флэш-кэша ESP32 - любые области флэш-памяти, сопоставленные с адресным пространством, будут прозрачно дешифрованы при чтении.
Некоторым разделам данных, возможно, придется оставаться незашифрованными для облегчения доступа или может потребоваться использование удобных для флэш-памяти алгоритмов обновления, которые неэффективны, если данные зашифрованы.Разделы NVS для энергонезависимого хранилища нельзя зашифровать, поскольку библиотека NVS напрямую не совместима с шифрованием флэш-памяти. Для получения дополнительной информации см. Шифрование NVS.
Если в будущем может использоваться флеш-шифрование, программист должен помнить об этом и принимать определенные меры предосторожности при написании кода, использующего зашифрованную флеш-память.
Если включена безопасная загрузка, для повторной прошивки загрузчика зашифрованного устройства требуется дайджест защищенной загрузки с возможностью повторной прошивки (см. «Шифрование флэш-памяти и безопасная загрузка»).

Важно
Не прерывайте питание ESP32, пока выполняется первый этап загрузочного шифрования. Если питание будет прервано, содержимое флэш-памяти будет повреждено, и потребуется повторная прошивка с незашифрованными данными. В этом случае повторное мигание не будет засчитываться в счет лимита мигания.

Ограничения шифрования Flash

Флэш-шифрование защищает прошивку от несанкционированного считывания и модификации.Важно понимать ограничения функции шифрования флэш-памяти:

Флэш-шифрование настолько надежно, насколько надежен ключ. По этой причине мы рекомендуем создавать ключи на устройстве во время первой загрузки (поведение по умолчанию). При создании ключей вне устройства убедитесь, что соблюдаются надлежащие процедуры, и не используйте один и тот же ключ для всех производственных устройств.
Не все данные хранятся в зашифрованном виде. Если данные хранятся во флеш-памяти, проверьте, используется ли используемый вами метод (библиотека, API и т. Д.).) поддерживает флеш-шифрование.
Шифрование флэш-памяти не мешает злоумышленнику понять высокоуровневую структуру флэш-памяти. Это связано с тем, что один и тот же ключ AES используется для каждой пары смежных 16-байтовых блоков AES. Когда эти смежные 16-байтовые блоки содержат идентичный контент (например, пустые или заполняющие области), эти блоки будут зашифрованы для создания совпадающих пар зашифрованных блоков. Это может позволить злоумышленнику провести высокоуровневое сравнение зашифрованных устройств (т.е. чтобы определить, возможно ли, что на двух устройствах установлена одна и та же версия прошивки).
По той же причине злоумышленник всегда может определить, когда пара смежных 16-байтовых блоков (выровненных по 32 байта) содержат две идентичные 16-байтовые последовательности. Помните об этом, если храните конфиденциальные данные на флеш-памяти, спроектируйте свое флеш-хранилище так, чтобы этого не происходило (достаточно использовать счетчик или другое неидентичное значение каждые 16 байтов). NVS Encryption решает эту проблему и подходит для многих целей.
Флэш-шифрование само по себе не может помешать злоумышленнику изменить прошивку устройства. Чтобы предотвратить запуск неавторизованной прошивки на устройстве, используйте флеш-шифрование в сочетании с безопасной загрузкой.

Шифрование флэш-памяти и безопасная загрузка

Рекомендуется использовать флеш-шифрование в сочетании с безопасной загрузкой. Однако, если включена безопасная загрузка, на перепрошивку устройства накладываются дополнительные ограничения:

OTA-обновления не ограничены при условии, что новое приложение правильно подписано с помощью ключа подписи безопасной загрузки.

Обновления последовательной флэш-памяти с открытым текстом возможны только в том случае, если выбран режим безопасной загрузки с возможностью повторной прошивки и ключ безопасной загрузки был предварительно сгенерирован и записан на ESP32 (см. «Безопасная загрузка»). В такой конфигурации idf.py загрузчик создаст предварительно обработанный загрузчик и безопасный файл загрузочного дайджеста для прошивки по смещению 0x0. При выполнении шагов последовательного перепрограммирования открытого текста необходимо повторно перепрограммировать этот файл перед перепрошивкой других данных открытого текста.
Повторная прошивка с помощью предварительно сгенерированного ключа шифрования флэш-памяти все еще возможна, при условии, что загрузчик не был повторно прошит. Для повторной прошивки загрузчика требуется, чтобы в конфигурации безопасной загрузки была включена та же опция «Повторная прошивка».

Расширенные функции

В следующем разделе рассматриваются расширенные функции флеш-шифрования.

Флаг зашифрованного раздела

Некоторые разделы по умолчанию зашифрованы. Другие разделы могут быть отмечены в описании таблицы разделов как требующие шифрования путем добавления флага encrypted в поле флага разделов.В результате данные в этих отмеченных разделах будут обрабатываться как зашифрованные так же, как и в разделе приложения.

 # Имя, Тип, Подтип, Смещение, Размер, Флаги
nvs, данные, nvs, 0x9000, 0x6000
phy_init, данные, phy, 0xf000, 0x1000
фабрика, приложение, фабрика, 0x10000, 1M
secret_data, 0x40, 0x01, 0x20000, 256K, зашифрованный

Подробные сведения об описании таблицы разделов см. В таблице разделов.

Дополнительная информация о шифровании разделов:

Таблицы разделов по умолчанию не содержат разделов с зашифрованными данными.
При включенном флеш-шифровании раздел app всегда обрабатывается как зашифрованный и не требует маркировки.
Если шифрование флэш-памяти не включено, флаг «зашифровано» не действует.
Вы также можете рассмотреть возможность защиты данных phy_init от физического доступа, считывания или модификации, пометив дополнительный раздел phy с помощью флага encrypted .
Раздел nvs нельзя зашифровать, потому что библиотека NVS напрямую не совместима с шифрованием флэш-памяти.

Включение шифрования / дешифрования загрузчика UART

При первой загрузке процесс шифрования флэш-памяти по умолчанию сжигает следующие электронные предохранители:

DISABLE_DL_ENCRYPT , который отключает операцию шифрования флэш-памяти при работе в режиме загрузки загрузчика UART.
DISABLE_DL_DECRYPT , который отключает прозрачное дешифрование флэш-памяти при работе в режиме загрузчика UART, даже если eFuse FLASH_CRYPT_CNT настроен для его включения в нормальном режиме работы.
DISABLE_DL_CACHE , который отключает весь кэш флэш-памяти MMU при работе в режиме загрузчика UART.

Однако перед первой загрузкой вы можете оставить любую из этих функций включенной, записав только выбранные предохранители eFuse, и защитить от записи остальные предохранители eFuse с неустановленным значением 0. Например:

 espefuse.py --port ПОРТ burn_efuse DISABLE_DL_DECRYPT
espefuse.py --port ПОРТ write_protect_efuse DISABLE_DL_ENCRYPT

Важно

Если оставить DISABLE_DL_DECRYPT неустановленным (0), флэш-шифрование станет бесполезным.

Злоумышленник, имеющий физический доступ к микросхеме, может использовать режим загрузчика UART с настраиваемым кодом заглушки для считывания содержимого флэш-памяти.

Настройка FLASH_CRYPT_CONFIG

eFuse FLASH_CRYPT_CONFIG определяет количество битов в ключе шифрования флэш-памяти, которые «настраиваются» со смещением блока. Подробнее см. Алгоритм шифрования Flash.

При первой загрузке или загрузчике микропрограммы это значение устанавливается на максимальное значение 0xF .

Этот eFuse можно записать вручную и защитить от записи перед первой загрузкой, чтобы выбрать различные значения настройки. Однако делать это не рекомендуется.

Настоятельно рекомендуется никогда не использовать защиту от записи FLASH_CRYPT_CONFIG , если она не установлена. В противном случае его значение навсегда останется нулевым, и никакие биты ключа шифрования флэш-памяти не будут изменены. В результате алгоритм шифрования флэш-памяти будет эквивалентен режиму AES ECB.

Отладка JTAG

По умолчанию, когда включено шифрование Flash (в режиме разработки или выпуска), отладка JTAG через eFuse отключена.Загрузчик делает это при первой загрузке, в то же время он включает флеш-шифрование.

См. JTAG с шифрованием Flash или безопасной загрузкой для получения дополнительной информации об использовании отладки JTAG с шифрованием Flash.

Шифрование файлов вручную

Для ручного шифрования или дешифрования файлов требуется, чтобы ключ шифрования флэш-памяти был предварительно записан в eFuse (см. Использование ключа, сгенерированного хостом), а его копия должна храниться на хосте. Если флеш-шифрование настроено в режиме разработки, нет необходимости хранить копию ключа или выполнять эти шаги, можно использовать более простые шаги повторной прошивки обновленных разделов.

Файл ключа должен быть одним необработанным двоичным файлом (пример: key.bin ).

Например, это шаги, чтобы зашифровать файл build / my-app.bin для прошивки со смещением 0x10000. Запустите espsecure.py следующим образом:

 espsecure.py encrypt_flash_data --keyfile /path/to/key.bin --address 0x10000 --output my-app-ciphertext.bin build / my-app.bin

Затем файл my-app-ciphertext.bin может быть прошит со смещением 0x10000 с помощью esptool.py . Чтобы увидеть все параметры командной строки, рекомендуемые для esptool.py , см. Вывод, напечатанный после успешного завершения сборки idf.py .

Примечание

Если обновленный файл зашифрованного текста не распознается ESP32 при загрузке, убедитесь, что ключи совпадают и аргументы командной строки совпадают точно, включая правильное смещение.

Если ваш ESP32 использует значение FLASH_CRYPT_CONFIG не по умолчанию в eFuse, вам нужно будет передать аргумент --flash_crypt_conf в espsecure.py , чтобы установить соответствующее значение. Этого не произойдет, если устройство настроило флеш-шифрование самостоятельно, но может произойти, если записать eFuses вручную, чтобы включить флеш-шифрование.

Команда espsecure.py decrypt_flash_data может использоваться с теми же параметрами (и с разными файлами ввода / вывода) для расшифровки содержимого флэш-памяти с зашифрованным текстом или ранее зашифрованного файла.

Технические характеристики

В следующих разделах представлена некоторая справочная информация о работе флэш-шифрования.

Алгоритм шифрования флэш-памяти

AES-256 работает с 16-байтовыми блоками данных. Механизм флеш-шифрования шифрует и расшифровывает данные 32-байтовыми блоками - двумя последовательными блоками AES.
Основной ключ шифрования флэш-памяти хранится в flash_encryption eFuse и по умолчанию защищен от дальнейшей записи или считывания программного обеспечения.
Размер ключа AES-256 составляет 256 бит (32 байта), считанных из flash_encryption eFuse.Аппаратный механизм AES использует ключ в обратном порядке байтов по сравнению с порядком хранения в flash_encryption .
- Если для CODING_SCHEME eFuse установлено значение 0 (по умолчанию, схема кодирования «Нет»), то блок ключа eFuse составляет 256 бит, и ключ сохраняется как есть (в обратном порядке байтов).
- Если для CODING_SCHEME eFuse установлено значение 1 (кодирование 3/4), то ключевой блок eFuse составляет 192 бита (в обратном порядке байтов), поэтому общая энтропия уменьшается.Аппаратное флеш-шифрование по-прежнему работает с 256-битным ключом, после чтения (без реверсирования) ключ расширяется как ключ = ключ [0: 255] + ключ [64: 127] .
Алгоритм AES используется инвертированным во флэш-шифровании, поэтому операция «шифрования» флэш-шифрования - это расшифровка AES, а операция «дешифрования» - это шифрование AES. Это сделано из соображений производительности и не влияет на эффективность алгоритма.
Каждый 32-байтовый блок (два смежных 16-байтовых блока AES) зашифрован уникальным ключом.Ключ получается из основного ключа шифрования флэш-памяти в flash_encryption , подвергнутого операции XOR со смещением этого блока во флэш-памяти («настройка ключа»).
Конкретная настройка зависит от настройки FLASH_CRYPT_CONFIG eFuse. Это 4-битный электронный предохранитель, в котором каждый бит позволяет выполнять операцию XOR для определенного диапазона битов ключа:
- Бит 1, биты 0-66 ключа подвергаются операции XOR.
- Бит 2, биты 67–131 ключа подвергаются операции XOR.
- Бит 3, биты 132–194 ключа подвергаются операции XOR.
- Бит 4, биты 195–256 ключа подвергаются операции XOR.
Рекомендуется, чтобы для FLASH_CRYPT_CONFIG всегда оставалось значение по умолчанию 0xF , чтобы все биты ключа подвергались операции XOR со смещением блока. Подробнее см. Настройка FLASH_CRYPT_CONFIG.
Старшие 19 бит смещения блока (бит 5 - бит 23) подвергаются операции XOR с основным ключом шифрования флэш-памяти. Этот диапазон выбран по двум причинам: максимальный размер флэш-памяти составляет 16 МБ (24 бита), а размер каждого блока составляет 32 байта, поэтому 5 младших битов всегда равны нулю.
Существует конкретное отображение каждого из 19 битов смещения блока на 256 битов ключа шифрования флэш-памяти, чтобы определить, какой бит с которым подвергается операции XOR. См. Переменную _FLASH_ENCRYPTION_TWEAK_PATTERN в исходном коде espsecure.py для полного сопоставления.
Чтобы увидеть алгоритм шифрования full flash, реализованный в Python, обратитесь к функции _flash_encryption_operation () в исходном коде espsecure.py .

VPN

На этой вкладке представлены параметры трассировки для мониторинга VPN-подключений системы.

Эти параметры следует использовать только под руководством уполномоченного инженера-разработчика Avaya.

IPSec

События

• События IPSec
Если этот параметр выбран, регистрируются основные события при открытии и отключении туннелей IPSec. Он также указывает, когда пакеты отбрасываются и т. Д.

• Декодировать
Если выбрано, эта опция регистрирует дешифрованные пакеты IKE.

• IPO-SNet
В настоящее время не используется.

• События данных
Если этот параметр выбран, этот параметр регистрирует, когда пакеты зашифрованы в туннеле и из него. Он не отображает фактическое содержимое пакета, его можно зарегистрировать с помощью параметров вкладки «Интерфейс». Входящие пакеты интерфейса и исходящие пакеты интерфейса.

• Предупреждения
Если выбрано, эта опция регистрирует информацию, относящуюся к сбоям в обработке IPSec.

• Отладка
Если этот параметр выбран, в журнал записывается специальная информация инженерной трассировки.

Пакеты

• Rx Data
Если этот параметр выбран, то перед дешифровкой записывается содержимое полученных зашифрованных пакетов ESP.

• Tx Data
Если этот параметр выбран, этот параметр регистрирует содержимое отправленных зашифрованных пакетов ESP после шифрования.

L2TP

События

• События L2TP.
Если выбрано, эта опция регистрирует создание туннеля L2TP (этап под PPP). Вам действительно нужно включить соответствующую трассировку PPP в дополнение к этому, чтобы увидеть полную картину.

Пакеты

• Rx Data
В настоящее время не используется.

• Tx Data
В настоящее время не используется.

Система безопасности

• События

• Измерения

• Трассировка стека

• Регистры по H / W Cmd Init

• Regs по H / W Cmd Done

• Regs on H / W Cmd Error

SSL VPN

• Конфигурация

• Сессия

• Состояние сеанса

• Fsm

• Socks

• SocksState

• Heartbeat

• Keepalive

• SignalingPktRx 9000Pkt

000 • Data Signaling • Data Signaling • TunnelInterface

• TunnelRoutes

Настройки по умолчанию

Следующие параметры трассировки включены по умолчанию (см.

Словарь иностранных авто терминов (AWD, CVT, GDI и др) с расшифровкой и переводом

Расшифровка

Ошибка EPC на приборной панели: что это такое?

Что означает значок ЕРС на приборной панели автомобиля.

Безопасно ли ехать с включенной ошибкой EPC?

Системы ABS, ESP, ASR, BAS — описание

Поделиться новостью с друзьями:

Единый совокупный платёж перечисляет только один из 10 самозанятых. Почему?

Что такое ESP в автомобиле?

(Emergency Stand-by Power) и PRP (Prime Power)

Расшифровка автомобильных терминов

Как я могу расшифровать пакеты IKEv1 и / или ESP?

rfc5202

показать статистику безопасности ipsec | Руководство пользователя IPsec VPN для устройств безопасности

Синтаксис

Описание

Опции

Требуемый уровень привилегий

Поля вывода

Пример вывода

показать статистику ipsec безопасности

Пример выходных данных

показать индекс статистики ipsec безопасности 131073

Пример вывода

показать статистику ipsec безопасности fpc 6 рис 1 (устройства серии SRX)

показать статистику ipsec безопасности ha-link-encryption (SRX5400, SRX5600, SRX5800)

Проблема № 1472: Сбой расшифровки ESP с клиентом Android IKEv1 при использовании SHA-256

Выпуск № 1472

Сбой расшифровки ESP с клиентом Android IKEv1 при использовании SHA-256

История

# 2 Обновлено Тобиасом Бруннером около 5 лет назад

# 4 Обновлено Тобиасом Бруннером около 5 лет назад

Устранение неполадок при отбрасывании пакетов VPN с сообщением с кодом отбрасывания «Octeon Decryption Failed»

Разрешение для SonicOS 6.2 и ниже

Flash Encryption - ESP32 - - Руководство по программированию ESP-IDF последняя документация

Введение

Соответствующие предохранители

Процесс шифрования флэш-памяти

Конфигурация шифрования флэш-памяти

Режим разработки

Использование ключа, сгенерированного ESP32

Использование ключа, созданного хостом

Перепрошивка обновленных разделов

Режим выпуска

Лучшие Лрактики

Возможные отказы

Состояние шифрования флэш-памяти ESP32

Чтение и запись данных в зашифрованной флэш-памяти

Объем флэш-шифрования

Чтение из зашифрованной флэш-памяти

Запись во флэш-память с шифрованием

Обновление зашифрованной флэш-памяти

OTA-обновления

Обновление зашифрованной флэш-памяти через последовательный порт

Отключение шифрования флэш-памяти

Ключевые моменты о шифровании флэш-памяти

Ограничения шифрования Flash

Шифрование флэш-памяти и безопасная загрузка

Расширенные функции

Флаг зашифрованного раздела

Включение шифрования / дешифрования загрузчика UART

Настройка FLASH_CRYPT_CONFIG

Отладка JTAG

Шифрование файлов вручную

Технические характеристики

Алгоритм шифрования флэш-памяти

VPN

IPSec

События

Пакеты

L2TP

События

Пакеты

Система безопасности

SSL VPN

Настройки по умолчанию

Добавить комментарий Отменить ответ