软件VPN的安全性（附件）.docVIP

软件VPN的安全性 本文主要论述基于业界公认的IPSec加密安全通讯协议之上开发的软件VPN的安全性，其它基于非加密通讯协议（如：L2TP、PPTP等）或一些企业自定义通讯协议（如：VNN、金万维天联VPN）的软件VPN等不在本文的讨论范围内。 IPSec安全机制 Internet网络无处不在，是一个非常理想的数据传输广域网络，但是传统的Internet网上的应用数据传输都是采用明文直接传输的，易于被恶意地监听和窃取，因此一直以来大家在使用Internet传输敏感信息时，都在当心其信息数据的安全性。 在使用协议的体系结构中，层是一个附加安全措施的很好场所，因为层处于整个协议体系的中间点，它既能捕获所有从高层来的报文，也能捕获所有从低层来的报文从层的定义来看，在这一层附加安全措施是与低层协议无关的，可对高层协议和应用进程透明。许多网络应用可以从层提供的安全服务中得益。已制定了安全协议标准和密钥管理协议，用来提供层安全服务。目前已有多种产品支持安全协议。和一些密钥管理协议为组建提供了一条很好的途径。IPSec是一个能在Internet上保证通道安全的开放标准IPSec生成一个标准平台，来开发安全网络和机器之间的隧道。通过IPsec的安全隧道，在数据包可以传送的网络中生成像电路那样的连接。利用IPsec来确保数据网络的安全通过使用数字证和自动认证设备，来验证发送信息的用户身份。对需要在很多设备之间安全连接的大型网络中确保数据安全，IPsec是一个理想的。部署了IPsec的用户能确保其网络基础设施的安全，而不会影响各台计算机上的应用程序。此套协议是用作对网络基础设施的纯软件升级这既允许实现安全性，又没有花什么钱对每台计算机进行改造。最重要的是，IPsec允许不同的网络设备、PC机和其他计算系统之间实现互通。IPsec有两种模式传输模式和隧道模式。传输模式只对IP分组应用IPsec协议，对IP报头不进行任何修改，它只能应用于主机对主机的IPsec虚拟专用网VPN中。隧道模式中IPsec将原有的IP分组封装成带有新的IP报头的IPsec分组，这样原有的IP分组就被有效地隐藏起来了。IPsec协议中有两点是我们所关心的：鉴定报头AH（Authentication Header）和封装安全载荷ESP（Encapsulation Security Payload）。鉴定报头AH可与很多各不相同的算法一起工作。它要校验源地址和目的地址这些标明发送设备的字段是否在路由过程中被改变过，如果校验没通过，分组就会被抛弃。通过这种方式AH就为数据的完整性和原始性提供了鉴定对报文提供鉴别信息和强大的完整性保护。如果鉴别算法以及密钥采用非对称密码体制如，则还可提供无否认的数字签名。通过对报文增加鉴别信息来提供完整性保护，此鉴别信息是通过计算整个报文，包括报头、其他报头和用户数据中的所有信息而得到的鉴别信息通常总是出现在报头之后。封装安全载荷（ESP）头提供载荷和IP数据的可靠性。载荷保证了数据没有被恶意网客破坏，可靠性保证使用密码技术的安全。对IPv4和IPv6，ESP头都列在其它IP头后面。ESP编码只有在不被任何IP头扰乱的情况下才能正确发送包。ESP协议非常灵活，可以在种加密算法下工作可选择算法包括Triple－DES、RC5、IDEA、CAST、BLOWFISH和RC4。是通过对数据进行加密来提供数据的私密性和完整性保护的，从而避免数据在传输过程中的泄密和非法篡改。根据用户的安全需求，机制可用于只对加密或对整个报文进行加密。层的安全机制需要密钥管理协议。有几种密钥管理系统可用于的安全机制和中，包括人工密钥分配、自动密钥分配。开发标准密钥管理协议Internet Security Association and Key Management Protocol），实现Internet网上安全的自动密钥分配。IPSec为基础的安全VPN解决方案。在这里，有必要把传统的IPSec VPN的实现方式说明一下。传统的IPSec VPN的实现方式是指那些采用VPN（IPSec）网关的实现方式，如下图所示： 在这种实现方式中，不同的VPN网关之间，或者是在个人用户与VPN网关之间建立一条IPSec隧道，互相之间建立信任关系。不同的私有网络或者是个人用户与私有网络之间通过该IPSec隧道来交换数据，从而实现VPN。 传统的IPSec VPN的解决方案都有一些致命的问题和实施维护的复杂性导致了这些解决方案难以被企业用户所采用，而不可能在Internet中得到大规模的应用。这些致命的问题已经是广为人知了： IPSec密钥的管理非常复杂：当网络的规模大到一定程度时，例如当需要在数十个以上节点间建立虚拟专网时，人工管理密钥几乎不可能做到，就更无法完成上百个节点的虚拟