基于IP协议的透明网络信息安全系统的研究与实现.docVIP

基于IP协议的透明网络信息安全系统的研究与实现 　　摘要：本文在分析了现有VPN网关存在的问题的基础上，设计并实现了一种透明的基于IP协议的网络信息安全系统，以保证数据在网络传输中的机密性、完整性和有效性。同时阐述了该系统的优点。 　　Abstract: A kind of transparent network information security system based on IP was analyzed on the basis of analyzing problems of existing VPN gateway to ensure the confidentiality, integrity, and availability of data in the network transmission, meanwhile, the advantages of this system was expounded in this thesis. 　　关键词：数据加密；身份认证；动态密钥交换；公开密钥管理体系 　　Key words: data encryption；identity authentication；dynamic key exchange；public key management system 　　中图分类号：TP39 文献标识码：A 文章编号：1006-4311（2011）23-0014-01 　　0引言 　　本文针对系统安全问题设计并实现了一个透明的基于IP协议的网络信息安全系统；该系统无IP地址，对原有网络高度透明；在IP层对数据包提供了数据源验证、无连接数据完整性、数据机密性、抗重播[1]和有限业务流机密性等安全服务。该系统的密钥管理采用基于公开密钥的三级密钥管理体系，并在此基础上实现了系统间的动态密钥协商。 　　1需求分析 　　1.1 应用环境分析本文所述的网络信息安全系统用于局域网的边界防护，作用之一是为局域网I/II提供一个网络屏障，类似包过滤防火墙的功能；作用之二是为网关机或路由器之间的广域网通信提供报文的认证、加密、抗重播攻击功能。 　　1.2 功能分析针对IP协议存在的安全问题[2]，我们参考OSI安全体系结构，该系统将提供以下安全服务：鉴别，访问控制，数据机密性（Data Confidentiality），数据完整性（Data Integrality）。对系统需要提供的安全服务进行分析，系统应具有如下功能：①对传输数据通过数据签名、加密进行真实性、机密性、完整性保护和抗重播检查；②具有基于IP地址、传输协议、应用端口号的报文过滤功能；③系统间支持基于公钥证书的身份认证；④支持动态协商密钥。 　　2系统结构 　　根据前面的系统功能分析，对系统进行构建，系统结构如图1。根据功能，该系统可分为三个模块：①IP报文处理；②密钥管理模式和密钥协商；③系统安全管理：实现系统安全策略的配置和系统运行状态的监视。 　　2.1 IP报文安全处理报文过滤、加密认证通过数据签名与加密技术保证了传输数据的真实性、机密性、完整性，其中一个重要的步骤就是SA状态检查及处理。数据加密和认证模块又分为两个部分：①外出报文处理；②进入报文处理。 　　2.2 密钥管理模式和密钥协商密钥管理是信息安全体系中重要的环节，直接影响到系统的安全性，我们为本文所描述的网络信息安全系统设计了一个密钥管理体系。 　　2.2.1 三级密钥管理体系密钥管理体系结构的设计参照和遵循ANSI 9.17标准，采用三级密钥管理结构（即主密钥、密钥加密密钥和工作密钥）。根据第二级密钥采用的密钥体制，将密钥管理体系分为对称密钥管理体系和公开密钥管理体系。本系统采用了公开密钥管理体系。 　　2.2.2 基于数字证书的公开密钥管理体系当采用公开密钥体系时，系统使用两对公开密钥，一对用于工作密钥的安全传输，另一对用于对报文进行数字签名和验证，实现报文的防抵赖。在公开密钥管理体系中，第一级的主密钥和第三级的工作密钥均为对称密钥。第二级密钥为公开密钥。为所有网络信息安全系统设置一个支持证书管理的密钥管理中心，由密钥管理中心为各网络信息安全系统生成证书和受到PIN保护的私钥，通过人工途径分发到各网络信息安全系统，各网络信息安全系统利用本地的主密钥对私钥进行加密保护，保存于本地。在与其它网络信息安全系统通信时，需要和对方交换证书，验证对方证书的正确性。之后发送方利用对方公钥加密传输工作密钥，接受方用自己的私钥解密，就可以共享工作密钥，进行业务数据的加密保护。 　　2.2.3 动态密钥协商密钥协商主要实现网络信息安全系统间的身份认证，完成系统间的工作密钥交换，为报文过滤加密认证模块的加密认证功能提供工作密钥。本文所述系统