IP网络安全可信技术之西电捷通TISec技术让TCPIP协议更安全.doc

IP网络安全可信技术西电捷通TISec技术 让TCP/IP协议更安全 1 导读 互联网协议以TCP/IP协议最为人们所熟知。从1973年开始，TCP/IP成为整个互联网的核心协议。不过，随着网络技术的迅速发展，互联网的应用场景日益复杂，TCP/IP协议暴露出不少安全方面的短板，诸如IP伪造欺骗、数据完整性、隐私性遭到破坏、通信节点平台不可信等安全问题不绝于耳。基于此，1995年基于对等实体鉴别机制的IPsec诞生，以解决TCP/IP中最基础的IP协议安全问题。时至今日，尽管IPsec协议已经演进至第三版，不过因为受制于历史遗留和其自身的安全架构设计问题，IPsec协议所提供的功能性和安全性仍然没有发生变化。一种基于三元对等架构设计思路的全新IP网络安全技术——TISec于2008年在西电捷通问世，并且正在引领IP网络安全可信技术的一场变革。 TISec（IP网络安全可信技术，Trust of IP Security，简称TISec）是一项用来保护 IP 通信安全的协议技术，是三元对等安全架构TISec技术架构基于三元对等架构 TISec技术是一组公开的技术标准，是多种技术的组合应用，它不仅包含了对TCP/IP协议基础安全保护，还包括节点身份鉴别、IP地址漫游、第三方在线鉴别架构以及可信连接架构等多种服务能力，着力从协议安全性、功能性及适用性等多个维度满足TCP/IP基础安全。TISec安全工作于IP层，在保障通信端点之间的身份安全和IP数据安全的同时，可构建更为灵活的IP安全可信网络，全面满足IPv4和IPv6网络的安全性和功能性需求。 TISec协议包括AKE、TCA、TUE以及DR等多个子协议，其中AKE提供基于共享密钥和证书的鉴别、密钥交换方法，并为TUE协议提供安全关联所需的相关算法及其他能力参数；TCA为提供网络节点的可信安全接入服务；DR为网络节点提供自动的数据转交服务；TUE为IP数据提供机密性、源发鉴别、数据完整性及抗重放保护；其它组件包括密码算法、安全关联参数、数据压缩等一系列辅助技术内容。 图1 TISec技术框架示意图 同时，Tri-element Peer Architecture）技术提供基于身份的鉴别方法，保障终端设备和接入控制设备身份合法性，终端和接入网络两方身份同时交由第三方在线设备认证，解决传统两元实体认证存在安全问题。 3 TISec提供三大安全砝码 图2 TISec的安全砝码 砝码一：TISec阻止网络节点的非法接入 TISec能够阻止任何网络节点通信过程中外部的非法接入，从而保障系统中网络设备身份和平台本身的合法性。同时为IP通信提供端到端的保密通信服务，通过IP数据秘密性保护、完整性保护、抗重放以及数据混淆服务等，抵御来自外部网络在IP层的各种威胁，让IP网络通信在安全通道中进行。 砝码二：TISec提供的安全隧道服务，构建虚拟专网VPN服务 TISec所提供的通信节点网络层数据代理和转发机制，实现IP数据的跨子网转发能力，解决了路由转发的技术缺点，屏蔽了外部网络复杂的拓扑结构，实现节点只是私有网直联的虚拟专网结构，同时采用IP转交的IP漫游技术，为网络节点提供跨网络的IP游牧漫游能力。 砝码三：TISec提供的平台可信安全鉴别服务 TISec提供的平台可信安全鉴别服务，能够结合TCM/TPCM等可信基础芯片，满足平台的可信安全接入能力，通过实现平台身份鉴别和平台完整性评估，在底层进行防护，通过底层平台的可信鉴别，为其上运行的服务提供更强的安全防护，构建可信网络连接。 4 TISec与IPsec的技术 复杂性是安全最大的，一个安全协议，复杂可用性变差。了上限制IPsec技术未定义VPN数据转交方式，被保护两端网络构建VPN必须为不同的子网。而TISec协议设计包含了IP地址漫游技术和DR数据转交技术，这两种技术主要解决VPN组网时存在的子网冲突问题以及静态路由指向问题。 本质上，IPsec设计仅用来保护IP协议的安全性，而TISec设计包含的外延更加广阔，包括IP协议安全性、可信网络连接、远程及本地接入及IP地址漫游等多种目标。 图3 TISec保护范围 根据上述协议的区别，通过图3对IPsec和TISec协议工作的范围进行说明，图中IPsec和TISec均采用通用拓扑图示，安全网关位于网络两侧边界路由之后，网关之间数据交互受到IPsec/TISec协议的保护，此时两种安全协议的设计目标均提供身份鉴别、完整性保护、数据秘密性及数据抗重放能力。 图4 TISec与IPsec主要特征对比表 主要特征 IPSec 鉴别模型 TISec采用的鉴别模型在ISO/IEC 9798-3/AMD1中定义。其逻辑结构是“Ｌ”型。 当A和Ｂ不完全对称时，Ｂ是服务时，TISec比IPsec暴露