SSL VPN中非對稱隧道等若干關鍵技術的研究.pdf

1、基于安全套接層協(xié)議的虛擬專用網(wǎng)絡(SSL VPN，Secure Socket Layer based Virtual Private Network)為用戶提供了一種安全而又便捷的遠程訪問方式。利用SSL協(xié)議(Secure Socket Layer protocol，安全套接層協(xié)議)、TLS協(xié)議(Transport Layer Security protocol，傳輸層安全協(xié)議)以及隧道技術，SSL VPN實現(xiàn)了端點認證，并保證了數(shù)據(jù)傳

2、輸?shù)陌踩院屯暾浴Ｄ壳癝SL VPN正處于發(fā)展和繁榮期，但是SSL VPN在系統(tǒng)性能、可擴展性和安全性等方面還存在一些問題尚待解決。
　　 首先，SSL VPN的系統(tǒng)性能受安全計算負載的影響較大，往往需要額外的SSL專用加速硬件才能滿足高端應用的要求；其次，SSL VPN服務軟件需要頻繁調用I/O多路接口(I/O Multiplexing Interface)來查看網(wǎng)絡事件，而傳統(tǒng)I/O多路接口的可擴展性和執(zhí)行效率較差，這也嚴

3、重影響了系統(tǒng)的服務性能；此外，SSL VPN無法保證用戶終端的安全，不安全的用戶終端訪問VPN內部資源往往會造成極大的破壞和損失。
　　 SSL VPN的性能和擴展性問題可以從VPN系統(tǒng)架構和操作系統(tǒng)內核兩個方面來解決。在傳統(tǒng)的SSL VPN架構中，VPN服務器是系統(tǒng)的性能瓶頸，它的計算量非常龐大，其處理速度決定了整個VPN的通信質量。為此提出了一種基于非對稱SSL隧道(AST，Asymmetrical SSL Tunnel)的

4、VPN架構。采用非對稱SSL隧道之后，發(fā)往VPN客戶的數(shù)據(jù)由內部服務器自行封裝，這樣可以將VPN服務器的部分計算荷載轉移到那些I/O密集但是CPU資源相對空閑的內部服務器上，充分利用內部服務器的計算能力，提高VPN系統(tǒng)的整體性能。該VPN方案中的密鑰管理辦法，對SSL協(xié)議進行了適當?shù)臄U展，使得客戶機、VPN服務器和內部應用服務器三者能夠同步協(xié)商所使用的加密密鑰信息，而且能夠滿足SSL VPN特定的安全性要求：定期更新密鑰。此外，根據(jù)隧道

5、所使用底層協(xié)議的不同，還提出了IP嫁接算法和UDP散射算法，進一步提高VPN的整體性能。
　　 根據(jù)Amdahl定理，提高系統(tǒng)性能的最有效方法是加快經(jīng)常性事件的速度，因此提出了一種新的I/O多路接口：內核-用戶共享事件隊列(KSEQ，Kernel-user Shared Event Queue)。VPN服務軟件多采用單進程事件驅動(Single Process Event Driven)的結構，KSEQ接口利用這種軟件結構的特點

6、，解決了VPN服務進程與系統(tǒng)內核共享數(shù)據(jù)結構的難題，從而避免了大量的系統(tǒng)調用開銷，并保證了良好的可擴展性。使用基于邏輯時鐘的形式化分析模型對KSEQ的時序分析表明，內核-用戶共享數(shù)據(jù)結構的取值結果總是能夠符合其邏輯定義。理論分析和實驗測試證明KSEQ接口在可擴展性方面優(yōu)于傳統(tǒng)的I/O多路接口，并且與其他同類研究的結果相比具有更高的執(zhí)行效率。
　　 針對SSL VPN技術無法保證客戶端安全的現(xiàn)實，從消息傳遞的角度，將日志系統(tǒng)視為一

7、種跨越時間和空間的單向消息傳遞系統(tǒng)，并在此認識的基礎上，構建了一種支持計算機取證的日志系統(tǒng)(FLEA，F(xiàn)orensic Log Evidence Assurance)。該系統(tǒng)采用了入侵容忍(Intrusion Tolerant)的設計原則，在操作系統(tǒng)內核的支持下，即使SSL VPN服務器受到入侵，也能保證日志系統(tǒng)的客觀和公正。使用擴展的GNY標記邏輯可以證明，F(xiàn)LEA系統(tǒng)能夠保證日志消息的真實性，完整性和保密性。受到FLEA系統(tǒng)保護的V