組密鑰管理技術研究及其在IPSec VPN中的應用.pdf

1、本文的研究主要包括組密鑰管理的系統(tǒng)結構，動態(tài)對等組密鑰協(xié)商和更新協(xié)議，在此基礎上實現(xiàn)了一個組密鑰管理系統(tǒng)并將其應用于IPSec VPN，實現(xiàn)網(wǎng)關組的安全關聯(lián)。具體地說，工作內(nèi)容包括以下幾個方面： 根據(jù)組密鑰管理系統(tǒng)的密鑰控制模型的差異，將其分為三類：集中式密鑰分發(fā)，分散式密鑰分發(fā)，對等密鑰協(xié)商。其中基于對等組密鑰協(xié)商的密鑰管理系統(tǒng)具有以下特點：(1) 組成員為平等關系，無邏輯或物理的層次關系，因此不存在性能和安全的瓶頸結點，沒

2、有單點失效問題，可用性高；(2) 組密鑰由組內(nèi)各成員貢獻的隨機數(shù)生成，因此組密鑰的隨機性比其它兩類系統(tǒng)更為健壯。該類密鑰管理系統(tǒng)是本文研究的重點。現(xiàn)有的對等組密鑰管理系統(tǒng)建立在組通信基礎上，存在的結構復雜，效率低，魯棒性低等問題，制約了組密鑰管理系統(tǒng)的應用。本文針對IPSec VPN中組密鑰管理的需求，提出了一種模塊化對等組密鑰管理結構，在可靠多播服務和基于中心節(jié)點的簡單成員關系服務上建立組密鑰協(xié)商。 就安全性和協(xié)商效率兩個指

3、標對現(xiàn)有的動態(tài)對等組密鑰管理協(xié)議進行系統(tǒng)的分析和比較。利用降低密鑰協(xié)商的輪數(shù)、通信量和計算量作為提高協(xié)商效率的途徑，提出了一系列的高效動態(tài)組密鑰協(xié)商協(xié)議。該系列協(xié)議具有以下特點： (1) 引入配對(Pairing)運算和基于身份的公鑰基礎設施(Identity BasedPublic key Infrastructure-ID Based PKI)； (2)采用環(huán)形和樹形的成員拓撲關系，利用相鄰成員之間(基于余弦曲線離散

4、對數(shù)難題的Diffie-Hellman交換，或基于雙線性Diffie-Hellman交換)達成的共享秘密采用異或的方式形成組內(nèi)成員秘密共享鏈，通過該鏈來協(xié)商組密鑰； (3)協(xié)商輪數(shù)為常數(shù)； (4)根據(jù)組成員關系的變化情況，提出針對的優(yōu)化算法，提高效率。為了對組密鑰管理協(xié)議的協(xié)商效率進行量化比較，提出并定義了密鑰建立時間，將其作為衡量組密鑰管理協(xié)議協(xié)商效率的量化指標。采用Simcast軟件仿真可靠多播的網(wǎng)絡環(huán)境，把典型的組

5、密鑰協(xié)議和本文所提出的協(xié)議在組密鑰建立時間的量化指標進行比較，結果表明，相對其它現(xiàn)有協(xié)議，本文所提出的協(xié)議具有較低的密鑰建立時間。將IPSec VPN中的端到端安全關聯(lián)擴展到組安全關聯(lián)，安全關聯(lián)內(nèi)的網(wǎng)關數(shù)目從2個擴展為，n(n≥2)。組安全關聯(lián)的基礎是組密鑰，所有關聯(lián)成員都共享一個組密鑰，關聯(lián)的成員關系隨安全策略的改變而動態(tài)變化。提出組安全關聯(lián)的表示方式，并利用組密鑰框架和組密鑰管理協(xié)議實現(xiàn)一組密鑰管理系統(tǒng)。應用組安全關聯(lián)，能夠簡化安全

6、策略配置的復雜度，減少策略數(shù)目。同時也為VPN中對組通信的應用支持建立基礎。若需在數(shù)目為n(n≥2)的網(wǎng)關之間建立全互聯(lián)的安全通道，采用端到端安全關聯(lián)，需要建立的安全關聯(lián)為n(n-1)/2，每個網(wǎng)關需要建立的安全關聯(lián)數(shù)目(n-1)；采用Hub-Spoken方案至少需要建立(n-1)條安全關聯(lián)，中心網(wǎng)關的隧道數(shù)目為(n-1)，邊緣網(wǎng)關的安全關聯(lián)數(shù)目為1，但是通信需要在網(wǎng)關之間接力路由，不僅路由復雜而且需要進行多次隧道的封裝和解封裝，傳輸效

7、率低；采用組安全關聯(lián)，建立的安全關聯(lián)數(shù)目為1，且網(wǎng)關之間通過組密鑰實現(xiàn)全互聯(lián)，通信效率為較高。 本文的創(chuàng)新點主要有以下幾點： (1)針對IPSec VPN中組密鑰管理的具體需求，設計了一種簡單對等組密鑰管理系統(tǒng)，該系統(tǒng)采用模塊化設計并優(yōu)化為可適合成員關系動態(tài)變化的廣域網(wǎng)環(huán)境。 (2)針對IPSec VPN的應用環(huán)境，設計并實現(xiàn)了一種基于SPC的簡單成員服務，它適合廣域網(wǎng)環(huán)境，并且成員連接狀態(tài)消息的發(fā)布效率較高

8、。 (3)利用降低密鑰協(xié)商的輪數(shù)、通信量和計算量作為提高協(xié)商效率的途徑，提出了一系列的適合動態(tài)組環(huán)境的高效密鑰協(xié)商協(xié)議，并對協(xié)議的安全性進行了證明，設計并實現(xiàn)了其中的四種二輪組密鑰協(xié)商協(xié)議。 (4)提出并定義了密鑰建立時間，將其作為衡量組密鑰管理協(xié)議協(xié)商效率的量化指標，并采用Simcast軟件仿真可靠多播環(huán)境，在該仿真環(huán)境下將本文提出的協(xié)議與現(xiàn)有典型鑰協(xié)議針對密鑰建立時間進行比較。結果表明，相對其它現(xiàn)有協(xié)議，本文所提出