1、网 络 安 全2008.724基于 IPv6 的 IPsec 安全体系结构的研究王晓 晔 金义富 石艳湛江师范学院信息科学与技术学院 广东 524048摘要 ： 本文对 IPv6 引入的 IP 层安全机制 IPsec 的体系结构、 认证机制、 加密机制以及密钥管理机制等关键技术进行研究。 由此可以看出， 新一代网络协议在实现安全性方面更具方便性和优越性。关键词 ： IPsec ； IPv6 ； AH ； ESP ； 验证 ； 加密0 引言随着计算机网络和通信技术的不断进步和 Internet 日益深入人们的生活， 对 Internet 的依赖越来越强。 而 Internet 的高度开放性， 造
2、成了网络的安全问题已严重阻碍了 Internet 的推广应用。 为更加有效的解决这一问题， 在新一代 Internet IP 协议 IPv6 引入了基于 IP 层的安全机制 IPsec 。1 IPsec 概述IPSec(Internet Protocal Security) 即 Internet 安全协议 , 是IETF 提供 Internet 安全通信的一系列的规范 , 它提供私有信息通过公用网的安全保障。 IPSec 适用于 IP 目前版本 IPv4 和下一代 IPv6, 它由安全协议 ( 如 Authentication Header 协议和Encapted Security Paylo
3、ad 协议 ) 、 密钥管理协议 (IKE) 以及认证和加密算法组成。 其组成部分之间的关系如图 1 所示。图 1 IPsec 组成部分之间的关系IPsec 的设计目标是为使用 IP 协议的用户在 IP 层提供网络安全性。 IPsec 主要提供了两种网络安全机制 : 身份认证机制和加密机制。 通过认证头 (AH) 提供数据完整性保障和身份认证 ; 通过加密头 (ESP) 提供 IP 报文的数据加密。 这两种安全机制既可分开使用 , 也可合在一起使用 , 从而为用户提供更高的安全性。IPSec 可有效地保护 IP 数据包的安全 , 主要提供以下安全服务 ：数据内容的机密性 confidentia
4、lity数据起源地验证 authenticity数据的完整性验证 integrity抗重播保护 anti-replay对于这些安全服务的支持 , IPv6 是强制的 , 对于 IPv4 是可选的。2 技术 IPsec 的安全要素2.1 IPsec 的安全关联通信伙伴需要对一组公共信息达成一致才能使用 IPv6 的安全要素， 这组信息包括密钥、 将要使用的验证和加密算法，以及所使用算法的专门的附加参数。 对这组信息的协定在通信伙伴之间组成了一个安全关联 (Security Association,SA) ， SA是单向的， 每项安全服务都需要一个 SA ； 因此， 如果两个通信伙伴希望对一个双向
5、连接同时进行加密和验证的话， 就需要 4 个 SA 。IPsec 有两种不同类型的 SA ： 传输模式和隧道模式。 在传输模式下， SA 是在 两个端系统之间定义的， 描述了和这个特定连接上所有的 IP 数据包所包含的有效载荷有关的加密或验证。 在隧道模式下 ,SA 是两个安全网关之间定义的， 它用一个外部 IP 数据包作为 “包装纸”， 把 IP 数据包及其载荷包裹起来， 从而可以对整个内部的数据包包括内部 IP 报头在内进行加密或验证。 基于这两种操作模式， 单独的 SA 可以通过传输邻接 (ransport adjacency, 即在同一个 IP 数据包内同时使用加密和验证服务 ) 或迭
6、代隧道 (iterated tunneling, 即在同一个 IP 数据包内嵌套使用加密和验证服 务 ) 进行绑定。 这样就可以把更复杂的安全环境映射为一种安全策略。所有定义好的 SA 都保存在一个安全关联数据库 (SecurityAssociation Database,SAD) 中， 通过一个由安全参数索引(Security Parameter Index,SPI) 、 IP 目的地址和安全协议 (AH 或ESP) 标识符三部分组成的数值来惟一识别。2.2 IPsec 中的验证IPsec 通过在 AH 中加入认证信息为 IPv6 用户提供安全本文由湛江师范学院自然科学研究青年项目 (QL0
7、707) 资助。作者简介 ： 王晓晔 (1979-) ， 女， 硕士， 助教， 研究方向 ： 计算机网络及应用。金义富 (1969-) ， 男， 博士， 副教授， 研究方向 ： 智能系统、 数据挖掘。2008.7 25网 络 安 全性， 这些认证信息是利用认证算法计算 IP 报文而得到的。 认证机制提高了系统的安全性， 但系统必须为此而付出花费额外时间进行 IP 报文认证。 因此， 尽管 IPv6 要求每个支撑系统必须支持 IPsec, 并未要求必须使用这些机制。 用户可以在安全性与效率性方面进行自己的选择。2.2.1 验证头 AH(Authentication Header)AH 主要提供认
8、证机制 , 保证数据包接收者得到的源地址是可靠的 , 同时也提供了数据的完整性 , 抗重播攻击的能力，但不能保证数据的机密性。 AH 头格式如图 2 所示。图 2 AH 头格式AH 包含以下字段 ： Next Header (8Bit) ， 识别这个报头之后紧跟的报头类型 ； Payload Len (8bit) ， 保留位 Reserved(16bit) ； 安全参数索引 SPI 字段 (32bit) ， SPI 和外部 IP 头的目的地址一起 , 用于识别对这个包进行身份验证的安全关 SA ；Sequence Number 字段 (32bit) ， 它是一个单向递增的计数器 , 提供了抗重
9、播的功能。 认证数据 Authentication Data 的编码长度可变 , 但必须是的 32 位字的整数， 包括完整性验证 ICV 的结果。 AH 有两个强制身份验证器， HMAC-SHA-1 (Secure HashAlgorithm version 1) 和 HMAC-MD5 (Message Digest Version5) ， 它们都使用 HMAC 算法， 前者包含 MD5 哈希码， 后者包 SAH-1 哈希码， 计算全部 HMAC 值， 然后使用前 96 位进行截取 ,96 位是 Authentication Data 字段的默认长度。2.2.2 IPSec 中的验证原理采用散
10、列函数的报文鉴别技术可用来实现对一个数据流的消息身份验证， 也可保证数据的完整性， 原理如图 3 ， 方法是将数据流分割成易于摘要的数据块， 然后在每个块的基础上计算出一个消息验证码 MAC (Message Authentication Code) ，然后让这些 MAC 变成为数据流的一部分， 以便在数据流被完整地接收以后， 进行完整性检查 ICV ( Integrity Check Value) 。图 3 用报文鉴别码 MAC 进行报文鉴别IPv6 标准包括着两种密码安全校验和算法 ： 消息摘要第5 号 MD-5(Message Digest No.5) 和安全哈希算法第 1 号 SHA-
11、1(Secure Hash Algorithm No.1) 。 消息摘要 MD-5 将可变长度的报文 M 作为单项散列函数的输入， 然后得出一个固定长度的标志 H(M) 通常作为消息摘要 MD ， MD-5 以 512 位分组来处理输入文本， 每一分组又划分为 16 个 32 位小分组， 算法的输出由四个 32 位分组组成， 将它们级联形成一个 128 位散列值。 安全散列算法 SHA 和 MD-5 相似， 码长比 MD-5 多 32Bit ，即码长为 160Bit ， 因此从理论上 SHA-1 比 MD-5 更安全， 但却比 MD-5 更慢一些。2.3 IPsec 中的加密认证报头 AH 不
12、对数据进行变形转换， 数据对黑客来说仍是清晰可见， 当要求对数据保密时， 就应使用加密的 ESP(Encrypted Security Payload) 报头。 在 IPv6 中， 加密的安全有效载荷扩展 ESP 报头为在一个 IP 数据报中传输的所有端到端数据提供完整性和机密性。 在扩展报头的排序中， ESP 位于后续传输 ( 如 TCP 或 UDP) 、 网络控制 ( 如 ICMP) 和路由 ( 如 OSPF)协议报头之前。2.3.1 安全有效载荷 ESPESP 报头的格式如图 4 。 ESP 提供保密性服务， 作为可选功能， ESP 也可提供与 AH 相同的身份验证服务。图 4 ESP
13、的结构ESP 包头中多数字段含义同于 AH ， 如果加密算法要求明文成为某些字节的整数倍， Padding 字段用于扩展明文为需要的长度。 由于 ESP 同时提供了机密性以及身份验证， 所以在其 SA 中必须同时定义了两套算法 ： 用来确保机密性的算法叫做加密器 cipher ； 而负责身份验证的叫做验证器 ahthenticator 。每个 ESP SA 都至少有一个加密器和一个验证器。 加密器提供机密性 , 数据完整性则由身份检验器提供。 ESP 的加密工作可由数据加密标准 DES 来完成 ,DES 支持 56bits 长的密钥， 适合于用硬件来实现， 其后继算法 3DES(Triple-
14、DES) 是标准 DES算法的变形， 使用两个密钥利用 DES 算法迭代处理， 提供了一种更安全的保护性机制。2.3.2 IPSec 加密的两种操作模式 ： 传输模式和隧道模式（ 1 ） 传输模式这种模式对所有端到端载荷， 包括传输协议报头在内进行加密， 如图 5 表示了传输模式中的 IPSec 的 AH 协议和 ESP协议在 IPv6 中的嵌入。网 络 安 全2008.726图 5 IPSec 在传输模式中的嵌入（ 2 ） 隧道模式在传输模式加密中， IP 报头和其后所有的扩展报头， 一直到真正的 ESP 报头， 都没有进行加密， 因此它不能受到保护。 加密这些报头会导致整个机制变的无用，
15、因为所有的路由器和相似设备需要在 IP 数据报传输的过程中浏览、 处理甚至修改这些报头。 因此， 如果需要对整个 IP 数据报进行加密的话， 就必须通过把原始的、 完全加密的 IP 数据包包裹在一个外部 IP 数据包中来建立一条隧道， 这个外部数据 IP 包的内容不受加密的保护。 进行发送的安全网关加密 IP 数据包及其内容并且把它包裹在一个外部 IP 数据包中， 从而进行接收的安全网关解密外部 IP 数据报的载荷并且获取内部的 IP 数据包， 然后再将这个数据包传送到进行接收的终端系统中， 如图 6 所示。图 6 IPSec 在隧道模式中的嵌入2.4 IPSec 中的安全关联协商和密钥管理I
16、KE 的作用是在 IPSec 通信双方之间建立起共享安全参数以及检验过的密钥， 即动态建立安全联盟 SA ， IKE 是一个建立在三种协议 ( ISAKMP,Oakley, SKEME) 之上的混合协议 ( 图7 说明了关联与密钥管理标准的每个单独元素及它们之间的联系 ) 实质上是采用 Diffie-Hellman 密钥交换算法， 衍生出 IPSec所需的公共密钥。 Diffie-Hellman 算法的安全性源于有限域上计算离散对数比计算指数更为困难， Diffie-Hellman 算法能够作为密钥分配。 首先 A 和 B 协商一个大的素数 n 和 g ， 这两个整数不必是秘密， 故 A 和
17、B 可以通过即使是不安全的途径协商它们， 协议如下 :（ 1 ） A 选取一个大的随机整数 x ， 并且发送给 B X = g x modn（ 2 ） B 选取一个大的随机整数 y ， 并且发送给 A Y = g y modn（ 3 ） A 计算 k = Y x mod n（ 4 ） B 计算 k = X y mod nk 和 k 都等于 g xy modn ， 即使线路上的窃听者也不可能计算出这个值 , 他们只知道 n 、 g 、 X 和 Y 。 除非他们计算离散对数， 恢复 x 、 y ， 否则无济无事。 因此 k 是 A 和 B 独立计算的秘密密钥。 其中， g 和 n 的选取对系统的安
18、全性有很大的影响。 (n-1)/2 也应该是一个素数， 最重要的是 n 应该很大， 因为系统的安全性取决于 n 同样长度的数的因子分解的难度。IKE 的操作分为两个阶段 ： 第一个阶段中， ISAKMP 对等双方基于它们的 SPD 对一个安全的、 需要验证的通道 ( 例如， 使用 DES 进行加密， 使用 MD-5 进行验证， 或者用 IDEA和 SHA-1 进行加密和验证 ) 进行协商， 后续的通信都将在改通道上进行。 第二个阶段中， 更多代表着比如 IPSEC 或其他使用快速模式服务的 SA 在安全信道中通过 3 条消息的交换进行协商。 同样， 需要新的密钥材料的 SA 可以通过采用新组模
19、式，仅使用两条消息来协商相应的数据。 在连接建立之后， 一个ISAKMP SA 总被认为是双向的， 因此通信对等双方的每一方在任何时候都可以开始快速模式或新组模式的交换。图 7 关系和密钥管理标准的关系3 IPv6 与 IPsec 的应用结合分析在 IPv6 中， IPsec 的提供对于提供 Internet 上的安全性来说是一个巨大的进步。 但是， 在有些区域 Ipsec 安全元素并不能很好的适应其他相关的 IPv6 服务元素 ：（ 1 ） NAT ， NAT 用来节省 IP 地址空间并限制 Internet 服务提供者之间因管理地址变更而造成的额外负载。 当内部网络系统在 Internet
20、 上通信时， NAT 网关会重写它们的 IP 报头来伪装， 甚至还要重写传输层端口号和应用层的数据。 随着IP 数据包受到验证或加密的保护， NAT 变得问题重重。（ 2 ） 隧道， 它是 IPsec 和分阶段 IPv6 布署中的一个重要元素， 它 在通过已有的边界级别的安全网关或防火墙时也会产生问题。 因为一个被定义为端到端的 IPsec 隧道会拒绝防火墙对危险内容或未授权内容进行检查的任何可能性。（ 3 ） QoS ， 在下一代网络中， 路由器是根据相应的 Class( 类别 ) 和 Flow Label( 流标签 )IPv6 报头元素中的优先级和服务级别来丢弃数据包。 但采用了 IPse
21、c 后， 丢弃数据包将被看成是一种违背安全性的行为， 它可能会拒绝被要求的服务。（ 4 ） 移动性， 在 IPsec 环境下必须谨慎考虑移动性， 因为通信协议通常动态分配 IP 地址， 当使用动态 IP 地址来进行身份验证时， 密钥交换会 失败， 以至入侵者能够很容易对安全进行破坏。参考文献1Kent S,Atkinson R. Security Architecture for the InternetProtocol, RFC2401S.1998.2Deering S,Hinden R.Internet Protocol,Version6 (IPv6)Specification,RFC2460S.1998.3Silvia Hagen. 技桥译 .IPv6 精髓 M. 北京 : 清华大学出版社 .2004.
