移動網(wǎng)絡(luò)安全協(xié)議研究.pdf

1、在下一代網(wǎng)絡(luò)協(xié)議(IPv6)中，業(yè)界普遍接受的IP安全方案是IPsec。然而IPsec在設(shè)計之初僅針對有線網(wǎng)絡(luò)，并未考慮節(jié)點和網(wǎng)絡(luò)的移動性。如果在同一個“通信會話”中某一方IP地址發(fā)生改變，原有的IPsec安全關(guān)聯(lián)(SA)將無法繼續(xù)使用，通信雙方必須重新協(xié)商新的SA，這將對IP網(wǎng)絡(luò)服務(wù)質(zhì)量產(chǎn)生嚴(yán)重影響。因此支持移動性的IPsec對于移動網(wǎng)絡(luò)至關(guān)重要。
　　 在全面分析IPsec、IKEv2和ESP等安全相關(guān)協(xié)議的基礎(chǔ)上，結(jié)合MI

2、Pv6和NEMO兩大移動網(wǎng)絡(luò)場景，針對上述安全問題，本文對IPsec提出一種改進(jìn)方案，即利用綁定機(jī)制維持雙方已有的IPsec SA，避免重新協(xié)商過程。
　　 對于MIPv6應(yīng)用場景，本文主要針對兩個關(guān)鍵環(huán)節(jié)提出IPsec改進(jìn)措施：家鄉(xiāng)代理(HA)注冊和通信對端(CN)注冊。在HA注冊過程中，移動節(jié)點(MN)與HA通過“在家鄉(xiāng)網(wǎng)絡(luò)建立的IPsec SA”保護(hù)綁定消息。接收到綁定更新消息(BU)之后，HA必須將“匹配的SPD表項”中

3、的目的IP地址替換為MN申請注冊的轉(zhuǎn)交地址(CoA)；接收到BA消息后，MN必須將“匹配的SPD表項”中的源IP地址更新為其申請注冊的CoA。在CN注冊過程中，MN和CN同樣通過“在家鄉(xiāng)網(wǎng)絡(luò)建立的IPsec SA”安全傳輸綁定信令；與HA注冊不同的是，雙方并不修改原有的SA，而是以此為模板重構(gòu)一份新的SPD記錄，并將其中的“針對MN的地址”改為申請注冊的CoA。
　　 對于NEMO應(yīng)用場景，本文主要針對兩個關(guān)鍵環(huán)節(jié)提出IPsec

4、改進(jìn)措施：HA注冊和移動路由器(MR)認(rèn)證。這里的HA注冊主要針對MR的綁定過程，具體步驟與MIPv6中的HA注冊過程一致。MR認(rèn)證則主要針對嵌套網(wǎng)絡(luò)移動場景，即漫游到本地網(wǎng)絡(luò)中的外地節(jié)點或子網(wǎng)首先必須與MR建立IKE會話，相互認(rèn)證對方的身份，認(rèn)證通過后最終建立IPsec SA。在該SA的保護(hù)下，外地節(jié)點或者外地網(wǎng)絡(luò)方可采用MIPv6場景中的HA注冊和CN注冊過程將各自的IPsec SA平滑切換到新的CoA。
　　 通過采用改進(jìn)