安全加密路由器浅析.docxVIP

安全加密路由器浅析 南湘浩?陈鸿有 2002?年?11?月 二十一世纪即将到来，互联网的热潮冲击着整个世界。所有发达国家都已建成了多个、多 种国家级的计算机网络，并互连成覆盖全球的计算机网络。据统计入网主机数量超过?4000 万台，连入的计算机子网已达?60?多万个，Internet?迅速商业化并在社会中大量应用，它已 成为现代社会的重要信息基础设施之一。 随着?Internet?技术的迅猛发展，网络规模不断扩大，网络结构更加复杂。目前，组建大型 计算机信息网络的关键技术是?TCP/IP?网络互连和路由器技术，特别是在?Internet?中，路由 器起着重要的作用。着眼于国家信息安全，1997?年“国务院信息化工作领导小组办公室” 提出了国际联网安全研究项目，在网络安全关键设备和网络安全关键技术两类?10?多个课题 中，就包括了国产安全（加密）路由器设备的研究。 当前，国内市场所流通的（包括国产的和国外的）几乎都是“普通路由器”和“不具有加 密功能的安全路由器”。这些路由器有的只有路由功能而没有安全、加密功能；有的只增加 了包过滤功能。下面我们要讨论集常规路由器和安全、加密功能于一体的内嵌式“安全 （加密）路由器”，分三个问题分析和阐述：安全（加密）路由器所要解决的主要问题；安 全（加密）路由器设计框架；安全（加密）路由器的应用建议。 ⒈安全（加密）路由器解决的主要问题 网络已从单个的、封闭的计算机网发展为开放的互联网。并由此带来以下变化： 封闭网到开放网：社会的发展和人们工作、生活的需求，是网络技术发展的动力；网络技 术的发展又进一步刺激着人们工作、生活模式的变更。单个的、Intranet?网在很多情况下 已不能满足（或不能很好地满足）人们工作和生活的需要，网络由封闭走向互联和开放已 成趋势。 集团通信到个人通信：以往，计算机网络通信几乎都是集团（部门、单位、企业等）的行 为，个人行为是微乎其微的。随着网络技术的发展和人们工作、生活等各方面需求的变 更，个人通信在增加，所占比例越来越大。 有中心网到无中心网：从网络体系来讲，封闭的?Intranet?网是有中心网（一级网、二级网 等等）；而互联网属无中心网，网络之间可以自由通信、自由交互、自由往来。 网络安全问题更加突出：由于互联网是无中心网，网络之间可以自由通信、自由交互、自 由往来，因此，网络安全问题更加突出。如何保证网络设备自身的安全以及存储在其上或 通过其传输的敏感信息的安全，就成为必须解决的问题。 安全（加密）路由器是保证互联网（同时也包括，Intranet?和?Extranet?）信息安全的关键 设备之一,它需要解决的主要问题是： ⑴防止虚假路由信息的接收和路由器的非法接入 发送虚假路由信息，使路由器路由混乱、阻塞，从而导致网络瘫痪是黑客可用的手段之一, 黑客也常常将“自制路由器”接入到网络之中。安全（加密）路由器应当对路由器具有鉴 别功能，能够阻止路由器的非法接入。在?Intranet/Extranet?网中需要解决和保证虚假路由 信息的辨认，对虚假路由信息拒收。 ⑵防止非授权人员的入侵 非授权人员，从路由器的操作系统入手，从“后门”侵入路由器，从而更改路由表或窃取 有用信息，是需要特别加以防范的。 ⑶对路由信息和?IP?数据报的加密保护 路由器是网络的转接设备，它不断地接收和发送路由信息和?IP?数据报。因此，路由信息和 敏感的?IP?数据报的安全保护就成为极其重要的问题。安全（加密）路由器应当具有对路由 信息和敏感?IP?数据报的加密保护功能。它涉及加密算法、密钥、数据完整性和数字签名等 问题。 加密算法的选择：出于对国家信息安全的考虑和对国外安全产品是否留有“陷门”的忧 虑，并遵守国家有关政策、法规，应当选择我国有关部门批准的加密算法。进行加密作业 时，则尽量做到一次一密。 密钥的管理：密钥是加密作业中最活跃的因素，所谓“一次一密”，简言而之，就是每次加 密所用的密钥互不相同。因此，从某种意义上说，保密的关键是密钥。应考虑以下几个方 面：密钥种子、密钥的随机性；密钥的种类和层次；密钥长度；密钥生成算法的复杂度； 密钥（含密钥生成算法及密钥自身）保护；密钥的存储、传输、更换和废除以及密钥的管 理方式等。 数据完整性验证：严密的设计应当考虑?IP?数据报完整性验证，当然，也可以对传送的密钥 作完整性验证，或者两者都作。在某些应用环境或考虑到某些因素的情况下，也可以不进 行数据完整性验证。 数字签名：这是对发报者的确认，也是发报者自身严肃性的体现。采用加密技术做数字签 名，对很多作业来说是需要的。但同数据完整性验证一样，在某些应用环境或考虑到某些 因素的情况下，也可以不进行数字签名。 ⑷复杂网络下，加密的正确性和系统的可用性 解决多个路由器、一次一密的情况下，