[發明專利]一種用于實現可信可控網絡協議的方法

無效

• 申請號: 201010135553.X
• 申請日: 2010-03-30
• 公開（公告）號: CN101800755A
• 公開（公告）日: 2010-08-11
• 發明（設計）人: 羅軍舟;韓志耕;蔣健;李偉;楊明;劉波
• 申請（專利權）人: 東南大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 許方

技術領域

本發明涉及網絡安全及網絡管理領域，具體地說是一種用于實現可信可控的網絡協議的方法，用于實現對網絡協議執行及其協議實體行為的可預期、可管理，為下一代可信可控的網絡協議提供基礎結構。

背景技術

網絡協議是同層實體間網絡交互的基本點和規范。目前業界對互聯網中用于確保網絡交互安全的結構并沒有一個統一意見，甚至對保證網絡交互安全應采用的主要手段也不確定。就目前的公開研究來看，當前針對網絡交互安全性和可信性方面的研究可以劃分為兩大塊：基于硬安全機制的網絡交互和基于軟安全機制的網絡交互。

基于硬安全機制的網絡交互主要是指借助于傳統的保障網絡安全的手段將那些可能會導致交互不安全的因素杜絕在交互過程之外來確保交互的安全性、可信性。該類機制認為網絡系統中安全信息具備不完整性，系統的安全決策需要依靠可信第三方提供的附加信息，目前廣泛采用的技術主要有加密、訪問控制、業務過濾、流量控制等，有代表性研究包括：IPSec(IP?Security)安全體系和對DoS(Denial?of?Service)攻擊的防御。基于軟安全機制的網絡交互主要是以信任、信譽等社會學概念為手段確保交互的安全性、可信性。該類機制認為網絡系統表現為由多個軟件服務組成的動態協作系統，系統形態正從面向封閉、熟識的用戶群體和相對靜態的形式向開放的、公共可訪問的和動態協作的服務模式轉變，沒有中心化的管理權威可以依賴，無法獲得某一主體的全部信息；在這種動態和不確定性的環境下，硬安全機制無法很好地適應這種需求。有代表性研究包括：可信網絡連接和可信協議。這些網絡協議結構及網絡交互控制管理相關的主要研究內容如下：

1.IPSec安全體系

互聯網安全體系目前仍處于發展階段，業界試圖從不同角度解決網絡中信息交互的安全問題。計算機界標準化尊之的代表IETF各工作組也為此形成了相應的RFC與草案。主要包括：DNSSEC工作組形成RFC(2137，2535和2541)，用于DNS安全性增強和安全DNS信息同步更新；IPSec工作組制定了IPSec(IP?Security)安全協議標準；TLS工作組著重于增強傳輸層信息交互安全性，基于SSLv3.0協議發布了TLSv1.0(SSLv3.1)傳輸層安全協議草案，形成了RFC2246；SECSH工作組研究了shell安全性，主要成果為SSH(一組用于在不安全網絡上進行安全遠程登錄和其它一些網絡服務的協議)，未形成RFC，只形成草案；WTS工作組主要建立安全HTTP服務(SHTTP)，目前僅形成明確該組工作內容的RFC(2084)，具體工作仍處于草案階段?？紤]到各工作組研究內容有所重疊，目前業界達成的共識是IPSec協議和TLS協議(特別是前者)對解決互聯網安全十分有用，也十分必要。

IPSec網絡安全體系主要用于提供網絡層端到端的信息交互安全服務，擬從協議上保證數據傳輸的安全性。IETF為此公布了一系列關于IPSec的RFC建議標準，主要有RFC?2401(Internet協議安全結構)，RFC?2402(IP認證頭AH)，RFC?2403(增強服務點和AH中采用HMAC-MD5-96規范)，RFC?2404(增強服務點和AH中采用HMAC-SHA-1-96規范)，RFC?2406(IP封裝安全載荷增強服務點)，RFC?2409(Internet密鑰交換)，RFC2410(NULL?加密算法及其在IPSec中的應用)，RFC2411(IPSec文檔一覽表)，RFC1829(增強服務點DES-CBC變換)等。IPSec通過AH(驗證頭)協議、增強服務點(封裝安全載荷)協議和IKE(互聯網密鑰交換)協議來提供認證、數據完整、機密性三種保護形式，實現了包括對網絡單元訪問控制、數據源身份驗證、無連接完整性服務、重放數據報監測/拒絕、數據保密等服務。需要強調的是，IPSec不是一個單獨的協議，它給出了應用于IP層上網絡數據安全的整套體系結構；IPSec不僅定義了IP層使用的安全服務，同時也能為上層數據提供透明保護。

2.DoS攻擊防御

作為一種資源消耗型攻擊，DoS給網絡中信息交互帶來了安全隱患；由于互聯網體系內在的開放性與普遍連通性，目前仍無真正有效的安全技術用以應對此類攻擊。通常認為在不對互聯網體系結構進行重大改變的前提下，徹底防御該類攻擊是極其困難的。從現有研究來看，為了在不同程度上減輕DoS攻擊給網絡中信息交互帶來的危害，通過對互聯網體系結構實施不同程度的改變，增強網絡中某些關鍵點對數據包的控制能力，出現了諸如基于業務過濾、資源共享、網絡能力和審計等防御方案。