安全加密路由器淺析.docVIP

安全加密路由器浅析 南浩 陈鸿有 2002年11月 二十一世纪即将到来，互联网的热潮冲击着整个世界。所有发达国家都已建成了多个、多种国家级的计算机网络，并互连成覆盖全球的计算机网络。据统计入网主机数量超过4000万台，连入的计算机子网已达60多万个，Internet 迅速商业化并在社会中大量应用，它已成为现代社会的重要信息基础设施之一。 随着Internet 技术的迅猛发展，网络规模不断扩大，网络结构更加复杂。目前，组建大型计算机信息网络的关键技术是TCP/IP网络互连和路由器技术，特别是在Internet中，路由器起着重要的作用。着眼于国家信息安全，1997年“国务院信息化工作领导小组办公室”提出了国际联网安全研究项目，在网络安全关键设备和网络安全关键技术两类10多个课题中，就包括了国产安全（加密）路由器设备的研究。 当前，国内市场所流通的（包括国产的和国外的）几乎都是“普通路由器”和“不具有加密功能的安全路由器”。这些路由器有的只有路由功能而没有安全、加密功能；有的只增加了包过滤功能。下面我们要讨论集常规路由器和安全、加密功能于一体的内嵌式“安全（加密）路由器”，分三个问题分析和阐述：安全（加密）路由器所要解决的主要问题；安全（加密）路由器设计框架；安全（加密）路由器的应用建议。 ⒈安全（加密）路由器解决的主要问题 网络已从单个的、封闭的计算机网发展为开放的互联网。并由此带来以下变化： 封闭网到开放网：社会的发展和人们工作、生活的需求，是网络技术发展的动力；网络技术的发展又进一步刺激着人们工作、生活模式的变更。单个的、Intranet 网在很多情况下已不能满足（或不能很好地满足）人们工作和生活的需要，网络由封闭走向互联和开放已成趋势。 集团通信到个人通信：以往，计算机网络通信几乎都是集团（部门、单位、企业等）的行为，个人行为是微乎其微的。随着网络技术的发展和人们工作、生活等各方面需求的变更，个人通信在增加，所占比例越来越大。 有中心网到无中心网：从网络体系来讲，封闭的Intranet网是有中心网（一级网、二级网等等）；而互联网属无中心网，网络之间可以自由通信、自由交互、自由往来。 网络安全问题更加突出：由于互联网是无中心网，网络之间可以自由通信、自由交互、自由往来，因此，网络安全问题更加突出。如何保证网络设备自身的安全以及存储在其上或通过其传输的敏感信息的安全，就成为必须解决的问题。 安全（加密）路由器是保证互联网（同时也包括，Intranet和 Extranet ）信息安全的关键设备之一,它需要解决的主要问题是： ⑴防止虚假路由信息的接收和路由器的非法接入 发送虚假路由信息，使路由器路由混乱、阻塞，从而导致网络瘫痪是黑客可用的手段之一, 黑客也常常将“自制路由器”接入到网络之中。安全（加密）路由器应当对路由器具有鉴别功能，能够阻止路由器的非法接入。在Intranet/Extranet网中需要解决和保证虚假路由信息的辨认，对虚假路由信息拒收。 ⑵防止非授权人员的入侵 非授权人员，从路由器的操作系统入手，从“后门”侵入路由器，从而更改路由表或窃取有用信息，是需要特别加以防范的。 ⑶对路由信息和IP数据报的加密保护 路由器是网络的转接设备，它不断地接收和发送路由信息和IP数据报。因此，路由信息和敏感的IP数据报的安全保护就成为极其重要的问题。安全（加密）路由器应当具有对路由信息和敏感IP数据报的加密保护功能。它涉及加密算法、密钥、数据完整性和数字签名等问题。 加密算法的选择：出于对国家信息安全的考虑和对国外安全产品是否留有“陷门”的忧虑，并遵守国家有关政策、法规，应当选择我国有关部门批准的加密算法。进行加密作业时，则尽量做到一次一密。 密钥的管理：密钥是加密作业中最活跃的因素，所谓“一次一密”，简言而之，就是每次加密所用的密钥互不相同。因此，从某种意义上说，保密的关键是密钥。应考虑以下几个方面：密钥种子、密钥的随机性；密钥的种类和层次；密钥长度；密钥生成算法的复杂度；密钥（含密钥生成算法及密钥自身）保护；密钥的存储、传输、更换和废除以及密钥的管理方式等。 数据完整性验证：严密的设计应当考虑IP数据报完整性验证，当然，也可以对传送的密钥作完整性验证，或者两者都作。在某些应用环境或考虑到某些因素的情况下，也可以不进行数据完整性验证。 数字签名：这是对发报者的确认，也是发报者自身严肃性的体现。采用加密技术做数字签名，对很多作业来说是需要的。但同数据完整性验证一样，在某些应用环境或考虑到某些因素的情况下，也可以不进行数字签名。 ⑷复杂网络下，加密的正确性和系统的可用性 解决多个路由器、一次一密的情况下，相互通信（一对多）的正确性。由于加密是一个完整的流程，相对不加密来说，必然也必须附加一些动作，因此，效率的降