IKEv2协议分析和安全性研究.pdfVIP

第lO卷第8期 V01．10No．8 2008年8月 鼹恭莆褥 Aug．2008 IKEv2协议分析与安全性研究 王琳琳．何国良 (西安电子科技大学通信工程学院，陕西 西安710071) 摘 要：对第二代因特网密钥交换协议IKEv2进行了分析与研究，介绍了IKEv2协议的新特 点，并对IKEv2协议抵御中间人攻击，拒绝服务攻击等安全性问题进行了相应分析。 关键词：IKE；IKEv2协议；安全性；网络攻击 0引言 认证交换。它们主要是针对不同的安全需求而设 计的。 Ex． 因特网密钥交换协议IKE(IntemetKey 1．1初始交换 change)是由IETF制定的密钥交换协议，可在通 信双方进行IPSec的处理过程中，对双方身份进 IKEv2初始交换对应IKEvl的“阶段I交换”。 行鉴别，同时可进行安全策略的协商，以及处理 主要包含四条消息。其中前两条消息构成一个 会话密钥的交换。事实证明，现有的基于IKE第 IKE—SA_INIT交换，用于协商加密算法，可用于 一版(IKEvl)的实现已经成为整个IPSec系统的 交换。随后的两条消息构成了IKE—AUTH交换， 瓶颈，如何优化IKE已成为当今业界在IPSec实施 可认证前面的一对消息。交换双方的身份信息和 方案中的焦点。为此，IETF自2002年2月开始组 证书，同时建立起一个IKE—SA和第一个 织IKE第二版(IKEv2)的起草工作，并最终在 CHILD—SA。这两条消息除通用头部外，其余内 2005年12月推出了其正式RFC文档(RFC4306)。 本文介绍了IKEv2协议的新特点。并对其安全性容是利用前两条消息协商的密钥进行加密过的． 做了相应分析。 故可保证其身份信息无法被第三方获取。图l为 lKEv2初始阶段协商过程。 1 IKEv2的协商过程 InⅢa协r‰pond盯 HDR，SAiI，KEl，Ni-——-卜 IKEv2消息交换可分为基本交换和辅助交换。 s川，l(ELNr[cERrREQ】 ●一mR 基本交换包含初始交换、CREATE—CHILD—SA交 Ⅲ)R sK{IDi【cERT，】[cEI盯REQ，】--●卜 [Iq叫AulH，sAi2，Tsi，TSf} 换以及信息交换。其中，初始交换又依次由 ·■一阳DR，sK{Ⅱ)r，【cERT，】AI删， Sar2，TSi，Tsr} IKE_SA-INIT交换和IKE—AUTH交换组成，CRE．