輕量級IPsec在嵌入式系統(tǒng)中的設(shè)計與實現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)在嵌入式系統(tǒng)中的成功應(yīng)用，越來越多的嵌入式設(shè)備連接到Internet。因為嵌入式系統(tǒng)資源受限的特點，當前廣泛應(yīng)用的輕量級TCP/IP協(xié)議棧并沒有考慮到網(wǎng)絡(luò)安全因素，特別是在較低端的嵌入式設(shè)備中更是如此，這使得相應(yīng)的嵌入式系統(tǒng)完全暴露在安全威脅之中。因此，在連接到Internet的嵌入式系統(tǒng)上實現(xiàn)IPsec安全協(xié)議勢在必行。
　　考慮到低端嵌入式系統(tǒng)主要應(yīng)用于控制領(lǐng)域，一般不涉及大量信息的傳遞，且部分嵌入式平臺對網(wǎng)絡(luò)數(shù)據(jù)

2、傳遞的速率要求并不十分明顯，這些特點使得在嵌入式系統(tǒng)上應(yīng)用IPsec實現(xiàn)網(wǎng)絡(luò)安全保護成為可能。
　　本論文重點討論如何在較低端的嵌入式平臺上實現(xiàn)輕量級的IPsec協(xié)議棧，將其嵌入到現(xiàn)有的嵌入式網(wǎng)絡(luò)設(shè)備上，或者添加到新的嵌入式設(shè)備中，使之無縫銜接。本論文以lwIP協(xié)議棧為支撐，對標準的IPsec進行裁剪，在設(shè)計SPD和SAD數(shù)據(jù)庫查找時采用靜態(tài)添加方案，在內(nèi)存管理上采用零拷貝技術(shù)和動態(tài)調(diào)整數(shù)據(jù)包大小的方案，在算法設(shè)計上采用就地處理的

3、方案來提高代碼的執(zhí)行效率和內(nèi)存空間的利用率。為了能夠應(yīng)用于現(xiàn)有設(shè)備，采用IPsec虛擬設(shè)備的方式將整個代碼嵌入式到現(xiàn)有軟件系統(tǒng)中。
　　整個系統(tǒng)實現(xiàn)了IPsec的隧道模式下的ESP和AH數(shù)據(jù)包封裝方法、并提供了SHA1和MD5認證算法和DES和3DES加密算法實現(xiàn)代碼，整個IPsec代碼大小在120KB以內(nèi)。最后在以硬件平臺為S3C2440（ARM9內(nèi)核）為CPU和PIC16F877（16位單片機）為CPU，操作系統(tǒng)為ucOSII

4、V2.80的嵌入式平臺上進行整體測試。在10M以太網(wǎng)接口、CPU主頻設(shè)置為20M時使用 AH封裝的數(shù)據(jù)包（最大為1280byte）往返回時間在120ms以內(nèi)，使用ESP封裝的數(shù)據(jù)包（最大為1280byte）往返時間為1000ms以內(nèi)，因此，基本滿足特定的嵌入式設(shè)備對網(wǎng)絡(luò)傳輸效率和數(shù)據(jù)處理能力的需求。
　　基于以上討論，本論文所設(shè)計的IPsec協(xié)議棧能夠嵌入到現(xiàn)有的部分嵌入式系統(tǒng)中，并能夠應(yīng)用于新型嵌入式設(shè)備中，為其提供網(wǎng)絡(luò)安全服務(wù)