嵌入式家庭網關的安全性設計

摘要：針對日益流行的家庭網絡與Intemet連接通信的安全問題，文章對現有對家庭網絡的安全隱患進行了探討，并提出了一個安全體系結構——嵌入式家庭網關，該模型以嵌入式防火墻以及公鑰加密技術為核心，在家庭網絡與互聯網之間通信提供了一個較為安全的環境。

關鍵詞：嵌入式家庭網關 家庭網絡 防火墻 Kerberos認證 公鑰加密

0 引言

當今社會逐漸進入網絡時代，因特網已成為重要的基礎信息設施，它是目前覆蓋范圍最大的計算機網絡。同時大部分網絡終端仍以PC形式出現，但是從計算機應用普及的情況來看，嵌入式系統更為普及。嵌入式系統是以應用為中心，以計算機技術為基礎，并且軟硬件可裁剪，適用于應用系統對功能、可靠性、成本、體積、功耗有嚴格要求的專用計算機系統。它一般用于實現對其他設備的控制、監視或管理等功能。還有一個較為相近的概念就是嵌入式設備，它是內部有嵌入式系統的產品、設備，例如，信息家電等。

科學技術的進步和社會發展水平的提高，傳統家電已逐漸無法滿足現代家庭的需要，各種家電設備無法自動獲取外界的信息。大量的嵌入式設備急需網絡連接來提升其服務能力和應用價值，PDA、移動電話的GPS、TV機頂盒、微波爐、空調、數碼相機等嵌入式設備都要求與Internet相連接以實現家庭網絡與外界的信息溝通。于是將嵌入式系統與網絡結合起來成為必然，它可使微波爐、空調等嵌入式設備都通過家庭控制中心與Internet連接，轉變為一個家電網絡。-

1 安全威脅

家電網絡(E Home)通常是指連接了家庭內部多種設備和電器(目前多都采用嵌入式設備)的較小地理區域網絡，在一個家庭中建立一個通信網絡，為家庭信息提供必要的通路：在家庭網絡操作系統的控制下，通過相應的硬件和執行機構，實現對所有家庭網絡上家電和設備的控制和監測。

由于要使嵌入式系統具備網絡功能，即我們所指的家電網絡與Jntemet連接，就會存在與普通計算機與Internet相連后相同的安全問題。目前網絡上存在著一些常見的安全威脅與攻擊，主要有幾下幾種：

1.1 網絡監聽，通過監聽和分析網絡數據包來獲取有關重要信息，如用戶名和口令、重要數據等：

1.2 信息欺騙，通過篡改、刪除或重放數據包進行信息欺騙；

1.3 系統入侵，通過網絡探測、IP欺騙、緩沖區溢出、口令破譯等方法非法獲取一個系統的管理員權限，進而安放惡意代碼(如木馬、病毒等)、獲取重要數據或實施系統破壞；

1.4 網絡攻擊，通過拒絕服務、計算機病毒等方法攻擊一個系統，使其處于癱瘓或崩潰。

因此連接到Internet上的每一個設備都需要在其網絡入口處采取一定的安全措施來阻止和丟棄惡意的通信數據，嵌入式設備也不例外。所以對于有各種嵌入式家電設備所組成的家電網絡來講，我們使用嵌入式家庭網關來解決其安全問題。

2 嵌入式家庭網關

2.1 家庭網關的作用家庭網絡采用的是輕量級網絡協議，要實現它與TCP/JP網絡之間的互聯，必須有一個用來完成協議轉換的設備(或功能部件)作為兩種網絡連接的橋梁，家庭網關的作用也就在于此。從安全上看，家庭網關是對家中設備進行集中管理(包括設備使用、設備安全等)，防止家庭網絡受到外部網絡的威脅；從結構上看，家庭網關是家庭外部的TCP/IP網絡和家庭嵌入式設備網絡這兩個網絡之間的連接點。

一般采用PC來實現家庭網關，雖然這種方法有很多優點(如，軟件支持豐富、TCP/IP網絡支持較好等)，但它也有諸如體積大、功耗大、成本高等不足，所以我們采用嵌入式網關來實現家庭網關。用嵌入式系統來實現家庭網關稱為嵌入式網關，因此它同樣具有嵌入式的以應用為中心、軟硬件可裁減、功耗低等特點，并且具有模塊化設計的設計思想，因此我們可以根據網絡的不同需要配置不同的網關。

此嵌入式家庭網關不僅具有普通網關的功能(這里我們不再贅述)，還增加了嵌入式防火墻以及通信中信息加密能力。家庭網關整體的基本結構如圖2所示。即可將網關分為三個部分：TCP/IP協議棧、安全機制和家庭網絡協議棧，三部分之間只需通過簡單的數據通信接口即可實現連接通信。

2.2 嵌入式防火墻(EF)在家庭網絡與Internet通信的過程中，防火墻是必不可少的，因此家庭網關應具有防火墻能力，可避免外接網絡對家庭內部設備的非法訪問和攻擊。家庭嵌入式防火墻是一種提供訪問控制手段的設備，集成了解決網絡安全問題的各種應用，為家電網絡以及資源提供了一個可管理的安全的計算環境，并且它使用了簡化的、基于公鑰的Kerberos協議已實現透明認證。

EF核心系統一般可分為4個主要部件：客戶認證代理、嵌入式防火墻代理、票據授予服務器(TGS)和認證服務器(AS)。

客戶認證代理的主要功能是申請各種服務前向AS和TGS請求相應的票據，并在申請服務是發出相應的票據。在必要場合，它還將負責反向驗證服務器票據的合法性，實現雙向認證。它接受用戶登錄，并透明地實現Kerberos票據的申請以及轉發，構成了Kerberos實體；嵌入式防火器代理主要用于驗證客戶發送的票據，以決定是否將TCP連接請求或UDP包送往更高層進行處理，它構成了Ker-beros的應用服務器實體；TGS和AS的功能與Kerberos協議中的基本一致，不再贅述，詳細資料請查閱相關文獻。

2.3 信息加密在家中設備與外部網絡通信時，為防范網絡監聽、口令破譯、信息篡改等入侵，還需在家庭網關中實現密碼保護功能，對家庭網絡內部嵌入式設備及其發送的數據進行加密。加密這種較強有力的手段，能為數據提供保密性、真實性、完整性和限制性訪問。當今密碼學的應用已非常廣泛，常見的加密算法有：對稱密碼、非對稱密碼以及消息摘要(單向散列函數)算法。這里，我們仍然使用非對稱密碼算法(即公鑰加密)。

2.4 其他家庭網關要連接兩個網絡，還需要實現與這兩種網絡相對應的協議?！猅CP/IP協議棧和家庭網絡協議棧?？刹捎媚K化設計，將功能模塊再組合從而形成新的功能設備。因為家中設備只為增添新型功能，對網絡的要求較為簡單，所以不需要具備完整的協議棧，因此家庭網絡協議棧也可以利用嵌入式技術，設計成一個嵌入式家庭網絡協議棧，詳細內容不是本文的重點，所以不做過多介紹。

當然，我們提出的網關設計仍存在諸如協調防火墻與加密技術之間的關系等需要改進和完善的地方，一些關系還有待進一步研究和完善。

3 結束語

本文針對日趨流行和發展的家庭網絡與互聯網連接的要求，對可能出現的安全問題作了簡單說明，并主要在安全層面上利用嵌入式體積小、可裁減、功耗低等特點對家庭網關進行了設計。可以說這一嵌入式家庭網關在很大程度上為家庭網絡提供了一個統一的管理和安全的環境。