通信網(wǎng)banner.jpg)
南京郵電學(xué)院 王桂玲 李正超 范忠禮
一、引言
隨著Ｉｎｔｅｒｎｅｔ的發(fā)展，現(xiàn)有電信網(wǎng)越來越多地用于ＩＰ接入，術(shù)語“ＩＰ接入網(wǎng)”的出現(xiàn)方便了人們研究相關(guān)問題。ＩＰ接入網(wǎng)是指在ＩＰ用戶和ＩＰ業(yè)務(wù)提供者（ＩＳＰ）之間的網(wǎng)絡(luò)實(shí)體，它為用戶提供所需的接入到ＩＰ業(yè)務(wù)的能力。ＩＰ接入網(wǎng)參考模型如圖１所示。
�。桑薪尤敕绞娇刹捎弥苯咏尤敕绞健ⅲ校校兴淼婪绞�、ＩＰ隧道方式、路由方式以及ＭＰＬＳ（多協(xié)議標(biāo)簽交換）方式。鑒于目前我國(guó)電信１６３／１６９網(wǎng)的現(xiàn)狀，其中ＩＰ隧道方式可采用把現(xiàn)有Ｌ２ＴＰ技術(shù)與ＩＰＳｅｃ技術(shù)結(jié)合的方式，具有明顯的平滑過渡和安全性方面的優(yōu)勢(shì)。ＩＰＳｅｃ是由ＩＥＴＦ ＩＰ安全性工作組定義的協(xié)議集，它用于確保網(wǎng)絡(luò)層之間的安全通信，該協(xié)議草案分為七個(gè)部分，它們分別描述了體系結(jié)構(gòu)、封裝安全負(fù)載協(xié)議（ＥＳＰ）、認(rèn)證頭協(xié)議（ＡＨ）、加密算法、認(rèn)證算法、解釋域（ＤＯＩ）以及密鑰管理。同時(shí)，ＩＥＴＦ還制定了ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ），定義了通信實(shí)體之間身份認(rèn)證、協(xié)商加密算法、生成共享會(huì)話密鑰的方法。
安全聯(lián)盟（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）則是在ＩＰ的加密和認(rèn)證機(jī)制中出現(xiàn)的核心概念：ＡＨ和ＥＳＰ都必須通過安全聯(lián)盟來實(shí)現(xiàn)，ＩＫＥ的功能其實(shí)即是建立安全聯(lián)盟。安全聯(lián)盟的實(shí)現(xiàn)是ＩＰ接入網(wǎng)安全機(jī)制的關(guān)鍵技術(shù)。
二、基本概念
一個(gè)安全聯(lián)盟是一個(gè)發(fā)送方與接收方之間的單向關(guān)系，從而對(duì)其承載的流量提供安全服務(wù)。若需要一個(gè)對(duì)等關(guān)系，即雙向安全交換，就需要建立兩個(gè)安全聯(lián)盟。一個(gè)單一的安全聯(lián)盟可以向認(rèn)證頭ＡＨ或封裝安全負(fù)荷ＥＳＰ提供安全服務(wù)，但不能同時(shí)提供給兩者。安全聯(lián)盟僅由三個(gè)參數(shù)標(biāo)識(shí)：安全參數(shù)指數(shù)、ＩＰ目的地址和安全協(xié)議標(biāo)識(shí)符。
�。保踩珔�(shù)指數(shù)ＳＰＩ：是分配給安全聯(lián)盟的比特串，僅在本地可用。安全參數(shù)指數(shù)在認(rèn)證頭或封裝安全負(fù)荷頭中出現(xiàn)，使接收系統(tǒng)選擇安全聯(lián)盟并在其下處理一個(gè)收到的報(bào)文。
�。玻桑心康牡刂罚褐挥袉蜗騻鞑サ刂房捎�。它是安全聯(lián)盟的終端地址，該終端可以是終端用戶系統(tǒng)或者諸如防火墻、路由器這樣的網(wǎng)絡(luò)系統(tǒng)。
�。常踩珔f(xié)議標(biāo)識(shí)符ＳＰＩＤ：指示安全聯(lián)盟用于認(rèn)證頭還是封裝安全負(fù)荷。
在任何ＩＰ包中，安全聯(lián)盟是由Ｉｐｖ４中的目的地址或Ｉｐｖ６頭和內(nèi)部擴(kuò)展頭（ＡＨ或ＥＳＰ）中的ＳＰＩ所唯一標(biāo)識(shí)的。
三、兩種模式的安全聯(lián)盟
安全聯(lián)盟有兩種類型：傳輸模式的安全聯(lián)盟和隧道模式的安全聯(lián)盟。
�。保畟鬏斈Ｊ降陌踩�(lián)盟應(yīng)用在兩臺(tái)主機(jī)之間。在ＩＰｖ４中，傳輸模式的安全協(xié)議頭插入到ＩＰ報(bào)頭之后、高層傳輸協(xié)議（如ＴＣＰ、ＵＤＰ）之前。在ＩＰｖ６中，該模式的安全協(xié)議頭出現(xiàn)在ＩＰ頭及ＩＰ擴(kuò)展頭之后、高層傳輸協(xié)議之前。目的地址選項(xiàng)可以放在安全協(xié)議頭之前或之后。對(duì)安全封裝負(fù)載報(bào)頭（ＥＳＰ）來說，傳輸模式的安全聯(lián)盟只對(duì)那些高層協(xié)議提供安全服務(wù)，而不對(duì)在ＥＳＰ頭之前的ＩＰ頭及其擴(kuò)展頭進(jìn)行安全處理。對(duì)認(rèn)證報(bào)頭（ＡＨ）來說，安全處理還可擴(kuò)展到ＩＰ頭、ＩＰ擴(kuò)展頭，比如在ＩＰｖ４頭、ＩＰｖ６的Ｈｏｐ－ｂｙ－Ｈｏｐ擴(kuò)展頭或目的地址擴(kuò)展頭中的被選部分。
�。玻淼滥Ｊ降陌踩�(lián)盟其實(shí)質(zhì)是一個(gè)應(yīng)用在ＩＰ隧道之上的安全連接。若構(gòu)成一個(gè)安全聯(lián)盟的兩個(gè)終端中至少有一個(gè)是安全網(wǎng)關(guān)（而不再是主機(jī)），則這個(gè)安全聯(lián)盟就必須采用隧道模式。這是因?yàn)�，在傳輸模式下，安全網(wǎng)關(guān)是作為一個(gè)主機(jī)來工作的，并不進(jìn)行數(shù)據(jù)流的轉(zhuǎn)接，而在隧道模式下，ＩＰＳｅｃ報(bào)文要進(jìn)行分段和重組操作，并且可能要再經(jīng)過多個(gè)安全網(wǎng)關(guān)才能到達(dá)安全網(wǎng)關(guān)后面的目的主機(jī)，故在這種情況下最好采用隧道模式。
在隧道模式下，“外部”ＩＰ頭指明進(jìn)行ＩＰＳｅｃ處理的目的地址，“內(nèi)部”ＩＰ頭指明最終的目的地址。安全協(xié)議頭出現(xiàn)在外部ＩＰ頭和內(nèi)部ＩＰ頭之間。同在傳輸模式下類似，對(duì)于帶有ＡＨ的幀來說，提供對(duì)內(nèi)部ＩＰ頭、高層傳輸協(xié)議以及部分外部ＩＰ頭的安全保護(hù)，對(duì)于帶有ＥＳＰ的幀來說，只提供對(duì)內(nèi)部ＩＰ頭及高層傳輸協(xié)議的安全保護(hù)。在隧道模式下，安全網(wǎng)關(guān)后面的主機(jī)無需具有ＩＰＳｅｃ處理功能而同樣進(jìn)行安全通信。
綜上，我們可以概括出：主機(jī)要求能夠支持傳輸及隧道兩種模式；安全網(wǎng)關(guān)則只需支持隧道模式。工作在傳輸模式下的安全網(wǎng)關(guān)必定僅僅是做為一臺(tái)主機(jī)工作的（比如，作網(wǎng)絡(luò)管理用時(shí)）。
四、安全聯(lián)盟組合
單獨(dú)的安全聯(lián)盟有兩個(gè)不足：（１）一個(gè)單獨(dú)的安全聯(lián)盟不能提供對(duì)ＡＨ和ＥＳＰ兩者共同的支持。（２）一種特殊的數(shù)據(jù)流既需要在兩個(gè)主機(jī)之間也需要在兩個(gè)安全網(wǎng)關(guān)之間提供ＩＰＳｅｃ 服務(wù)。這是單獨(dú)的安全聯(lián)盟無法企及的。
安全聯(lián)盟組合的概念便是為解決這兩個(gè)不足而出現(xiàn)的，“安全聯(lián)盟束”形象地定義了為提供一系列ＩＰＳｅｃ服務(wù)所應(yīng)用的安全聯(lián)盟系列。安全聯(lián)盟組合成“束”有兩種方式：傳輸鄰接方式和循環(huán)嵌套方式。前者不調(diào)用隧道實(shí)現(xiàn)多個(gè)協(xié)議，后者調(diào)用隧道實(shí)現(xiàn)多層協(xié)議，允許多層嵌套。這兩種方式也可以聯(lián)合起來工作。
為改善單獨(dú)安全聯(lián)盟的第一個(gè)不足之處，也就是說，實(shí)現(xiàn)既帶有加密和又帶有認(rèn)證的ＩＰ報(bào)文，我們有三種方式：帶有認(rèn)證選項(xiàng)的ＥＳＰ；傳輸鄰接；傳輸——隧道束。在第一種方式下，ＥＳＰ被應(yīng)用在受保護(hù)數(shù)據(jù)上，然后再加上認(rèn)證字段。第二種方式即傳輸鄰接方式使用了ＳＡ束技術(shù)，內(nèi)部是ＥＳＰ ＳＡ，外部是ＡＨ ＳＡ。在這種方式下，ＥＳＰ 不帶有認(rèn)證選項(xiàng)，內(nèi)部ＳＡ在傳輸模式下生成帶有ＩＰ頭或ＩＰ擴(kuò)展頭的加密報(bào)文，然后，再在傳輸模式下應(yīng)用ＡＨ。第二種方式的認(rèn)證工作包括ＥＳＰ以及初始ＩＰ頭（以及ＩＰ擴(kuò)展頭）的不可變字段。與第一種方式相比，這種方式下的認(rèn)證覆蓋了更多的字段，包括源、目的地址；這種方式的不足之處是由于ＳＡ束的額外開銷而導(dǎo)致效率下降。在第三種方式即傳輸—隧道束方式下，內(nèi)部ＳＡ應(yīng)用傳輸模式的ＡＨ，外部ＳＡ應(yīng)用隧道模式的ＥＳＰ。在這種方式下，認(rèn)證工作包括ＩＰ負(fù)載和ＩＰ頭（或ＩＰ擴(kuò)展頭）的不可變字段；加密工作則包括整個(gè)被認(rèn)證的內(nèi)部報(bào)文。加密后，多出了一個(gè)新的外部ＩＰ頭（或ＩＰ擴(kuò)展頭）。
為解決單獨(dú)安全聯(lián)盟的第二個(gè)不足，我們有安全聯(lián)盟的四種基本組合方式。
注：帶有?號(hào)者支持ＩＰＳｅｃ機(jī)制
方式１包括四種情況：（１）傳輸模式下的ＡＨ。（２）傳輸模式下的ＥＳＰ。（３）傳輸模式下外部ＥＳＰ ＳＡ和內(nèi)部ＡＨ ＳＡ。（４）外部隧道模式下的ＡＨ或ＥＳＰ，內(nèi)部是（１）、（２）、（３）中的任何一種。
方式２只在安全網(wǎng)關(guān)之間提供安全保護(hù)，主機(jī)不應(yīng)用ＩＰＳｅｃ機(jī)制。此種方式下只需要網(wǎng)關(guān)之間一個(gè)單一ＳＡ隧道，該隧道支持ＡＨ、ＥＳＰ以及帶有認(rèn)證頭的ＥＳＰ。此方式無需嵌套機(jī)制，因?yàn)椋桑校樱澹惴⻊?wù)應(yīng)用在整個(gè)內(nèi)部報(bào)文上。
方式３在方式二的基礎(chǔ)上加上端到端的安全性。
方式４支持遠(yuǎn)程終端通過因特網(wǎng)接入到防火墻后面的服務(wù)器或工作站上。根據(jù)上文分析，可知這種方式只能采用隧道模式。
五、安全聯(lián)盟數(shù)據(jù)庫
安全策略數(shù)據(jù)庫（ＳＰＤ）指示從一臺(tái)主機(jī)、一個(gè)安全網(wǎng)關(guān)輸入、輸出的ＩＰ數(shù)據(jù)流的部署。安全聯(lián)盟數(shù)據(jù)庫（ＳＡＤ）則包括與每一個(gè)安全聯(lián)盟相關(guān)的參數(shù)，另外，它還定義了安全聯(lián)盟選擇器的概念，包括一套ＩＰ及高層協(xié)議字段值，供ＳＰＤ用來把數(shù)據(jù)流映射到一個(gè)安全聯(lián)盟或安全聯(lián)盟束中。ＳＡＤ中的安全聯(lián)盟參數(shù)包括：
�。保驍�(shù)計(jì)數(shù)器：產(chǎn)生一個(gè)３２位的數(shù)值以確定ＡＨ或ＥＳＰ頭部的序數(shù)域。
�。玻驍�(shù)計(jì)數(shù)器溢出：指示序數(shù)計(jì)數(shù)器溢出的符號(hào)。ＳＣＯ＝１時(shí)，引發(fā)預(yù)置事件，防止在該安全聯(lián)盟下繼續(xù)發(fā)送數(shù)據(jù)包。
�。常怪匕l(fā)窗口：用于確定一個(gè)內(nèi)置的ＡＨ或ＥＳＰ包是否重發(fā)以判斷是否受到攻擊。
�。矗粒刃畔ⅲ褐甘菊J(rèn)證算法、密鑰、密鑰生命期等與ＡＨ相關(guān)的參數(shù)。
�。担牛樱行畔ⅲ褐甘炯用苷J(rèn)證算法、密鑰、初始值、密鑰生命期等與ＥＳＰ相關(guān)參數(shù)。
６．安全聯(lián)盟生命期：安全聯(lián)盟被新安全聯(lián)盟替代或終止的時(shí)間間隔或字節(jié)數(shù)。并指示發(fā)生哪種動(dòng)作。
�。罚桑校螅澹銋f(xié)議方式：隧道、傳輸還是混合方式（通配符）。
８．路徑最大發(fā)送單位ＭＴＵ：完整發(fā)送的數(shù)據(jù)包最大傳送單位長(zhǎng)度和老化變量。
�。桑袛�(shù)據(jù)流經(jīng)由安全策略數(shù)據(jù)庫ＳＰＤ與特定的安全聯(lián)盟相關(guān)或不與安全聯(lián)盟相關(guān)。ＳＰＤ最簡(jiǎn)單的形式由一些入口組成，每個(gè)入口定義一個(gè)ＩＰ數(shù)據(jù)流子集并為該數(shù)據(jù)流指定一個(gè)安全聯(lián)盟。在更復(fù)雜的情況下，多個(gè)入口可以與一個(gè)安全聯(lián)盟相關(guān)或多個(gè)安全聯(lián)盟與一個(gè)入口相關(guān)。每個(gè)ＳＰＤ入口由ＳＡＤ中一系列稱為選擇器的ＩＰ及其上層協(xié)議域的數(shù)值確定，這些選擇器被用來過濾待處理的數(shù)據(jù)流以便于特定的安全聯(lián)盟處理。以輸出處理為例，安全處理大致遵循以下程序：
１．比較包相應(yīng)域與ＳＰＤ的數(shù)值找到匹配的ＳＰＤ入口，該入口指向零個(gè)或多個(gè)安全聯(lián)盟；
�。玻疄樵摪_定安全聯(lián)盟和相應(yīng)的ＳＰＩ；
�。常M(jìn)行相應(yīng)的ＩＰｓｅｃ處理ＡＨ或ＥＳＰ。
六、結(jié)束語
安全聯(lián)盟是ＩＰＳｅｃ認(rèn)證、加密機(jī)制中的核心概念，它貫穿了整個(gè)安全處理的方方面面。
安全聯(lián)盟由面向接收者的ＳＰＩ唯一標(biāo)識(shí)的特性使安全機(jī)制更適合于ＩＰ多播業(yè)務(wù)，對(duì)電話會(huì)議、分布模擬等業(yè)務(wù)的發(fā)展是一個(gè)有利的推進(jìn)。另外，安全聯(lián)盟組選擇的多樣性和靈活性有利于推進(jìn)ＩＰ接入網(wǎng)概念中各ＩＳＰ間的競(jìng)爭(zhēng)。
同時(shí)，我們應(yīng)該看到，安全機(jī)制的應(yīng)用增加了系統(tǒng)的協(xié)議處理開銷。包括加密、認(rèn)證占用的時(shí)間以及安全聯(lián)盟數(shù)據(jù)庫占用的字節(jié)。對(duì)這些問題的解決，有待于算法的優(yōu)化配置、硬件實(shí)現(xiàn)部分算法以及數(shù)據(jù)庫的優(yōu)化配置。
----《通信世界》
