基于互联网络鉴别技术的研究与实现.pdfVIP

基于互联网络鉴别技术的研究与实现 曹锐董华 (中国卫通海南分公司海南570203) 摘．要：随着Imemet的快速扩张，一方面人们对它的依赖程度越来越高，另一方面Imemet的安全问题也越来 越引起人们的关注。本文就是介绍用于解决这些安全问题的关键技术——实现新一代的网络安全标准IPSec的鉴别 方案，详细地讨论了利用鉴别技术实现数据完整性、数据起源认证和访问控制等网络安全功能。并结合实际应用， 给出了鉴别功能的具体实施。 关键词：鉴别，IPSec,安全 1引言 欺骗，即入侵者以虚假IP地址建立数据包，以欺骗基本IP认证的应用程序；第二类是各种类型的窃听和数据包嗅探， 以获取合法用户的登录信息和其他数据。所以安全的IP协议应有必要的鉴别功能。 IP层是TCP／IP网络中最关键的一层，IP作为网络层协议，其安全机制可对它上层的各种应用服务提供透明的覆盖 代码基础上，对IP协议栈进行修改，在网络层完成数据完整性、数据起源认证和访问控制等安全服务。采用这种实现 方案可以充分利用原有的网络系统，避免了功能重复对系统性能造成的影响。 2算法简介 用于解决当前计算机网络安全的算法有多种，本系统中用到的算法如下所示。 2l公钥密码体制 推断出另一个。其中—个密钥称作私有密钥，需秘密保存；另一个密钥称作公开密钥，可以公开。 的困难性。在RSA体制中使用了这样一个基本事实：到目前为止。无法找到—个有效的算法来分解两个大素数之积。 DSA(DigitalSignature 对数的困难性。 2．2单向散列算法 单向散列函数Hash是在一个方向上工作的函数，即若其作用于一任意长度的消息M，将返回一固定长度的散列值 h。Hash函数是公开的，对处理过程不用保密。单向Hash函数的安全性是它的单向性，即输出不依赖于输入。用在开 放系统网络的最可靠的Hash函数有MD5和SHA等。 2．2．1MD5算法 Digest)是由RonRivest提出的，它以512位分组来处理任意长度的输入文本，每一分 MD5报文摘要算法(Message 组又划分为16个32位子分组。算法的输出由四个32位分组组成，将它们级联形成一个128位散列值。 2．2．2SHA算法 Hash 安全散列算法SHA(SecurityAlgorithm)由美国国家标准和技术协会提出，它以512位分组来处理输入文本， 每一分组又划分为16个32位子分组。算法的输出由五个32位分组组成，将它们级联形成一个160位散列值。 ·--——089·-·—— 2．2．3 HMAC算法 Authentication HMAC(Hashed Message Code)是一种特殊的密钥散列算法，可由现有的任何散列函数加以运用。从 加密理论来说，HMAC要比基本的散列函数“健壮”一些。 3系统设计 3．1数据完整性设计 数据完整性的目的是保护数据不受无意或有意的损坏。在系统中我们设计的数据完整性为：由于散列函数的输入数 Authentication 据长度可以是任意的，所以为生成一个MAC(Message Code，消息验证码)．在对消息使用Hash函数产 生附件时，需要给消息前缀一个秘密密钥，然后再对这个级联消息应用Hash函数，结果得到的摘要被依附到消息内部， 一起传送给接收者。接收者对MAC进行校验时，需要将共享的秘密密钥随消息一道进行散列运算．以生成—个临时性 的摘要。对比临时摘要和同消息依附在一起的摘要，便能知道一条消息是否完整。 3．2数据起源认证设计 数据起源验证对数据起源所声明的身份进行验证。我们设计利用消息鉴别机制实现数据起源验证服务。发送方在发 头的验证数据字段中。目的地收到IP包后，使用相同的验证算法和密钥计算验证数据。如果计算出的MAC与数据包中 的MAC相同，则认为数据包是可信的，即通过验证。利用此方法进行数据起源认证的原因是发送方和接收方使用的是 同一个秘密密钥，这个密钥只有通信的双方知道，当接收方利用此密钥对发送的数据进行验证肘，由于此密钥只有发送 方知道，所以只有发送方产生的附件与接收方