ESP协议提供数据完整性和数据来源验证的原理和AH一样，和AH相比，ESP的验证范围要小些。如果需要更强的验证服务并且通信双方都是公有IP地址，应该采用AH来验证。ESP协议还可以实现用对称密钥进行加密。
11.在ESP传输模式中，为什么SPI和序号字段以及验证数据不能被加密？
1）如果使用了加密，SPI和序号字段不能被加密。首先，在接收端，SPI字段用于和源IP地址、IPSec协议一起组成一个三元组来唯一确定一个SA，利用该SA进行验证、解密等后续处理。如果SPI被加密了，要解密就必须找到
SA，而查找SA又需要SPI。其次，序号字段用于判断包是否重复，从而可以防止重放攻击。序号字段不会泄露明文中的信息，没有必要进行加密。不加密序号字段也使得一个包不经过繁琐的解密过程就可以判断包是否重复，如果重复则丢弃之，节约时间和资源。 2）如果使用验证，验证数据也不会被加密，因为如果SA需要ESP的验证服务，那么接收端会在进行任何后续处理之前进行验证。
12.为什么ESP不存在像AH那样和NAT模式冲突的问题？
ESP的验证不会对整个IP包进行验证，IP包头部（含选项字段）不会被验证。因此，ESP不存在像AH那样和NAT模式冲突的问题。如果通信的任何一方具有私有地址或者在安全网关背后，双方的通信仍然可以用ESP来保护其安全，因为IP头部中的源/目的IP地址和其他字段不被验证，可以被NAT网关或安全网关修改。
13.AH验证的适用场合是什么？
如果需要更强的验证服务并且通信双方都是公有IP地址，应该采用AH来验证。
14.为什么ESP隧道模式的验证和加密能够提供比ESP传输模式更加强大的安全功能？
ESP隧道模式的验证和加密能够提供比ESP传输模式更加强大的安全功能，因为隧道模式下对整个原始IP包进行验证和加密，可以提供数据流加密服务；ESP在传输模式下只能提供数据包加密服务，因为源/目的地址不被加密。
15.在带宽不充分的情况下，最好使用什么运行模式？
隧道模式下将占用更多的带宽，如果带宽利用率是关键问题，则传输模式更适合。ESP提供的安全功能已经足够了。
16.IKE和ISAKMP、OAKLEY、SKEME有什么关系？ IKE和ISAKMP有什么不同？
IKE（密钥交换协议）是一个混合型的协议，它由ISAKMP和两种密钥交换协议OAKLEY与SKEME组成。IKE沿用了OAKLEY的密钥交换模式和SKEME的共享和密钥更新技术。
41
IKE和ISAKMP的不同之处在于：IKE真正定义了一个密钥交换的过程，而ISAKMP只是定义了一个通用的可以被任何密钥交换协议使用的框架。可以说IKE是ISAKMP的实例化。
17.IKE有什么功能，它的使用有哪两个阶段？
IKE为IPSec通信双方提供密钥材料，这个材料用于生成加密密钥和验证密钥，另外，IKE也为IPSec协议AH和ESP协商SA。
IKE使用了两个阶段的ISAKMP。第一阶段，协商并创建一个通信信道(IKE SA)，对该信道进行验证，为双方进一步的IKE通信提供机密性、消息完整性以及消息源验证服务；第二阶段，使用己建立的IKE SA来建立IPSec SA。
18. IKE定义了哪些模式，各用在哪个阶段中？
IKE目前定义了4种模式：主模式、野蛮模式、快速模式和新组模式。前面3个用于协商SA，最后一个用于协商Diffie-Hellman算法所用的组。主模式和野蛮模式用于第一阶段；快速模式用于第二阶段；新组模式用于在第一个阶段后协商新的组。
42
11 电子邮件的安全
一、问答题
1. 电子邮件存在哪些安全性问题？
1）垃圾邮件包括广告邮件、骚扰邮件、连锁邮件、反动