一种基于地址标识分离的主机身份认证机制.docVIP

一种基于地址标识分离的主机身份认证机制 　　【摘 要】对通信主机进行有效的身份认证对于提高网络通信的安全性具有重要意义，在主机地址和标识分离机制的基础上，设计实现了一种具有层次结构的主机标识标签，并在此基础上设计了一种通过PKI机制实现主机实名标识的产生与分发机制，实现了对主机身份的实名认证，确保主机身份的可信性。进一步，还实现了一种基于P2P架构的主机身份标识映射模型，为网络用户提供高容错性和高扩展性的地址标识映射服务。提出了一种分级认证中心组织结构下的通信双方身份鉴别机制，能够通过基本数据交换和证书查询，在双方进行通信之前对主机的身份进行鉴别，有效保证通信的安全性和可追溯性。 　　【关键词】地址标识分离；主机身份认证 　　0 引言 　　身份管理和网络可信性是确保网络空间繁荣和健康发展的关键因素，并关系到未来网络基础设施和网络架构，其重要性不言而喻。随着网络空间安全技术的发展，目前各国均希望充分发挥自己在此领域的主导作用，加强身份管理技术研发和部署，力图争夺在该项技术和标准方面的话语权。然而，在TCP/IP网络体系结构中，IP地址具有双重语义，既标识了结点的唯一身份，同时还描述了该结点在网络中的位置。这种语义过载使得在TCP/IP网络中，很难通过IP地址对主机的身份进行标识。影响现有网络可信性的一个重要因素就是网络实体身份的动态性，亦即主机IP地址可以根据需要进行动态变化，从而导致网络中存在源地址欺骗等多种攻击手段。这一问题产生的根源是网络设备仅检查数据包的目的地址，而对源地址不进行验证，增加了安全、管理以及计费的难度。 　　目前对于网络内主机身份的认证问题并没有一套成体系的成熟解决方案，大部分研究都是围绕其中某一特定问题展开研究，基本上属于在现有网络架构上针对不同问题打各种补丁，缺少系统级的解决方案。在这样一种解决思路下，目前设计实现了多种机制解决IP通信网络中的主机认证问题，例如通过接入控制客户端实现主机的实名接入网络，要求用户必须凭身份令牌和口令帐号上网；局域网内通过IP地址和MAC地址绑定对主机身份进行认证；不少单位也开发了多种网络身份认证系统等。但这些方案均存在一些不足，如接入控制客户端本质上是应用层的解决方案，存在效率低等问题，并且其用户名/密码的登录方式也很容易被破解；由于用户可以动态修改相关地址信息，IP地址和MAC地址绑定的方案更是难以保证安全和可信问题。 　　事实上，现有大部分解决方案并未涉及到导致主机身份不可信的本质原因，因而只能属于一种治标不治本的方案。在现有IP通信网络体系结构中，由于IP地址承担着主机标识符和主机寻址符的双重角色，且可以由用户对其进行动态修改，因而导致了现有IP网络结构中缺少一种对主机身份进行有效标识和认证的机制。未来设计中必须要对IP地址的双重身份进行解耦合，设计一种专门用于标识主机身份的符号，以保证网络中主机身份的可信性。 　　1 基于地址标识分离的主机身份认证机制 　　1.1 主机地址标识分离技术 　　由前述分析可以发现，IP地址的双重属性是导致上述问题的一个根本原因，既充当身份标识符又充当寻址符的IP地址使得主机的身份信息与其位置信息密切相关，一旦由于位置变化导致主机的IP地址发生改变，将直接导致基于IP地址进行身份认证机制的失效。为此，我们借鉴现有HIP技术在解决地址标识分离方面的思想，提出一种基于地址标识分离的主机身份认证机制。 　　首先，为了解决IP地址的双重属性问题，在TCP/IP体系结构中的网络层与传输层之间引入主机标识层，分离网络层和运输层的紧密耦合关系，为网络中每台主机分配一个全局唯一的主机标识（Host Identity，HI）来标识主机身份。上层应用利用HI作为通信主机的身份标识，底层通信程序则利用IP地址作为主机的位置标识，分离了IP地址的双重功能和语义过载。主机标识和IP地址之间动态绑定，由主机标识协议负责两者的映射关系维护，从而使得在主机标识保持不变的情况下，可以动态地改变主机的IP地址而不影响上层通信。图1给出了传统TCP/IP机制与地址标识分离机制之间的对比情况。 　　在引入主机标识符后，上层网络服务通过主机标识符和IP地址进行标识，端主机可以根据需要动态改变IP地址。当IP地址变化后，端主机通知地址标识映射系统进行IP地址和主机标识绑定的改变即可，所有正在进行的通信随后切换为新的IP地址进行通信，因此底层IP地址的变换不会对上层主机标识产生影响。 　　在主机标识层之上，HIP定义了一个新的命名空间：主机标识命名空间，主机标识命名空间要求网络中任何端系统都必须具有一个全局唯一的主机标识HI。并且出于安全性考虑，HI采用非对称密钥体制中的公钥，但是现行的非对称密钥体制太多，而且每一种体制所使用的密钥长度也不相同。如果在数据通