内网数据链路层安全通信组件设计与实现.docVIP

内网数据链路层安全通信组件设计与实现 　　摘 要：针对内网嗅探、网络途径主动泄密等威胁，为提高内网通信过程中数据的保密性，设计并实现了一种安全通信组件。组件在Windows系统内核层以网络过滤驱动的形式实现，可嵌入NDIS体系。在终端通信过程中，该组件自动协商会话密钥，对数据链路层数据包执行加解密操作，实现过程对终端用户透明。试验结果显示，该组件能够实现终端保密通信，抵御内网嗅探和防止主动泄密，提高Windows系统的通信安全性，达到预期目的。 　　关键词：内网安全；数据链路层；密钥管理；Windows内核驱动；NDIS 　　中图分类号：TN918 文献标识码：B 文章编号：1004373X(2008)1707604 　　 　　Design and Implementation of Secure Communication Component 　　on Data Link Layer in Intranet 　　DUAN Xiaoliang,ZHANG Quan,TANG Chaojing 　　(Electronic Science and Engineering College,National University of Defense Technology,Changsha,410073,China) 　　[JP2〗Abstract：To avoid such threats as sniff attack or divulging secrets on purpose through network,and improve the data security in the process of communication in Intranet,the paper designs and implements a kind of component.The component is designed as the form of network filter driver in the kernel level of windows,which can be well embedded in NDIS architecture.In the process of communication between the terminals in Intranet,the components negotiate the session key automatically and use it to encrypt or decrypt the data link layer packets and the entire procedure is transparent to the user.The result of experiment show that the terminals which have loaded the component can communicate each other secretly and prevent the network sniff attack or the inside from divulging secrets on purpose through network,which improves the security of windows as expected. 　　Keywords：Intranet security;data link layer;key management;Windows kernel driver;NDIS 　　 　　1 引 言 　　 　　近几年来，内网的信息安全问题成为各方热点。在内网的管理过程中，传统开放式的针对局域网已经不能满足日益增长的安全需要。在这种情况下，为了保障内网的信息安全，就需要更新内网的信息安全内涵及其管理手段。 　　当前内网系统面临的安全威胁主要有内网嗅探、内部人员利用网络途径主动泄密、拒绝服务(Dos)攻击、发送广播包攻击、超越权限访问以及病毒木马等。这些攻击手段主要源于网络内部，恶意攻击者首先控制内网中的一台主机，然后通过此主机向内网中的其他主机进行恶意攻击，通过内网传输的数据包就有可能被侦听并被转发到外部世界。虽然防火墙等防范手段在一定程度上提高了内网的安全性，但防火墙不能抵御未知类型的攻击，而且很可能被攻击者绕过，所以有必要对在内网中传播的数据进行监控以及对敏感信息采取传输范围和传输前密码授权控制，防止敏感信息的外泄。 　　从网络层次结构上看，可以在各种层次对内网的敏感信息提供安全保护，如IPSec安全协议是针对网际层数据包，而本文所设计的安全通信组件是在数据链路层对网络数据包