IKE的CGA擴(kuò)展及其內(nèi)核實(shí)現(xiàn).pdf

1、IPSec是IP協(xié)議的一個(gè)擴(kuò)展，它為IP及其上層協(xié)議提供安全保證。目前IPSec已經(jīng)成為構(gòu)建VPN(VirtualPrivateNetwork，虛擬專(zhuān)用網(wǎng))的國(guó)際標(biāo)準(zhǔn)之一，而IKE(InternetKeyExchange，互聯(lián)網(wǎng)密鑰交換協(xié)議)作為IPSec協(xié)議的首選密鑰交換協(xié)議主要負(fù)責(zé)SA的動(dòng)態(tài)協(xié)商和管理。目前IKE協(xié)議的版本是IKEv2，在IKEv2協(xié)議中使用數(shù)字簽名和預(yù)共享密鑰對(duì)通信雙方進(jìn)行身份認(rèn)證，這使得IPSec的部署需要PKI

2、(PublicKeyInfrastructure，公共基礎(chǔ)設(shè)施_)或者進(jìn)行預(yù)先安排。否則，網(wǎng)絡(luò)中兩個(gè)彼此陌生的主機(jī)不能直接使用IPSec進(jìn)行通信。這一要求嚴(yán)重限制了IPSec的廣泛應(yīng)用。CGA(CryptographicallyGeneratedAddresses，加密生成地址)協(xié)議是IETF針對(duì)IPv6鄰居發(fā)現(xiàn)協(xié)議中的偽造IP地址攻擊提出的，它能夠解決由偽造口地址導(dǎo)致的鄰居發(fā)現(xiàn)協(xié)議的安全威脅。CGA可以完成基于IP地址的身份認(rèn)證，從而

3、解決一些由缺乏可信任的安全體系帶來(lái)的安全問(wèn)題。 本文的研究目標(biāo)是：通過(guò)將CGA應(yīng)用到IPSec體系中，來(lái)解決在沒(méi)有完善的PKI或進(jìn)行預(yù)安排的環(huán)境下如何部署IPSec的問(wèn)題，從而給IKEv2和IPSec的應(yīng)用帶來(lái)更多的靈活性。本文所做工作如下： 1.介紹了IPSec和IKE的基本原理，重點(diǎn)對(duì)IKEv2協(xié)議的消息交換過(guò)程進(jìn)行詳細(xì)分析。然后對(duì)CGA協(xié)議進(jìn)行介紹，分析了CGA協(xié)議的優(yōu)點(diǎn)、缺陷和可能應(yīng)用。 2.提出了一種基

4、于CGA認(rèn)證的IKE擴(kuò)展方案。并通過(guò)實(shí)現(xiàn)CGA協(xié)議為內(nèi)核模塊，在strongSwan開(kāi)源代碼中添加IKE和CGA模塊通信相關(guān)代碼，最終實(shí)現(xiàn)該方案。經(jīng)過(guò)測(cè)試證明該方案可以成功添加SA。 3.提出了IPv6的CGA擴(kuò)展頭機(jī)制，用以完成數(shù)據(jù)包的源認(rèn)證和通信雙方身份認(rèn)證、抵御中間人攻擊和一定程度的DoS攻擊。 4.在IPv6的CGA擴(kuò)展頭的基礎(chǔ)上提出了IKE_CGA方案，該方案是CGA擴(kuò)展頭的一種應(yīng)用，它可以替代IKE來(lái)完成IP