基于身份位置分離系統的互聯網安全模式研究

吳 強，陳 琳

（1.中興通訊股份有限公司 南京 210012；2.南京信息工程大學 南京 210007）

1 引言

客觀上，幾乎沒有一個網絡能夠免受安全的困擾，網絡安全的問題仍然制約著深層次的網絡應用發展。隨著云計算、物聯網和智慧地球概念的逐步推進，網絡將從更廣泛、更復雜的層面影響到現實社會。因此，在網絡化、信息化進程不可逆轉的形勢下，如何建立完備的安全保障體系，從網絡體系結構上保證網絡信息的真實來源，實現可靠的網絡、業務和用戶綜合管理能力，是亟待解決的一項具有重大戰略意義的課題。

2 互聯網網絡安全現狀及趨勢

隨著網絡技術的飛速發展和網絡時代的到來，網絡攻擊者在過去的10年里從追求出名轉變為追求經濟利益，犯罪軟件頻頻出現，其目標是竊取機密信息以換取經濟利益，受害者則是那些毫無防范的計算機用戶。目前，網絡安全問題進入第3階段——以網絡間諜和網絡破壞活動為主。其具體表現如下。

·精確制導和目標集中型病毒的威脅。

·“僵尸網絡”繼續扮演攻擊者角色。

·基于社交網站的威脅：針對社交網站的攻擊和基于社交網站的病毒傳播、網絡欺騙、垃圾郵件將成為很大的安全問題。黑客都能毫無限制地竊取用戶的資料和登錄密碼。

·云計算的發展面臨諸多安全威脅：云計算的濫用、惡用、拒絕服務攻擊，數據泄漏，賬號和服務劫持，此類威脅將成為新的關注熱點。

·終端安全問題愈發嚴重：因缺乏對第三方應用的安全性的有效控制，惡意軟件、病毒將嚴重威脅智能終端。在開放的網絡環境下，物聯網等無人監管設備的信息安全脆弱性長期存在。

·IPv6網絡安全技術：IPv6協議從安全角度來說，基本保留了IPv4的特點，同時有了一些改進。IPv6網絡安全技術將朝著單層向多層、被動向主動、邊界向核心的方向發展。網絡安全仍然是IPv6大規模部署需要特別考慮的問題。

網絡安全問題表現出產業化、復雜化、規?；陌l展態勢，網絡安全問題逐步轉化成為一種綜合、復雜的威脅。

3 互聯網虛擬社會信息安全分析

虛擬性和匿名性是網絡與生俱來的基本特性，互聯網在人們現實生活之上構建了一個龐大的虛擬空間，并深刻地影響著現實社會。隨著現實社會生產活動更深程度上向互聯網應用遷移，互聯網虛擬社會管理面臨挑戰。

互聯網虛擬社會具有隱匿性、快速傳播和開放互動3個特點。隱匿性是指網絡身份隱匿、非真實，網絡行為主題可以擁有許多虛擬名稱，導致了虛擬身份的網絡詐騙頻發，其中虛假網銀詐騙危害巨大；虛假言論泛濫，造謠生事、混淆視聽者屢禁不止；快速傳播，網絡即時性強、跨地域，傳播異常迅速；互聯網完全開放，任何人、任何地區、任何時間、任何話題都可以自由發表意見，互動性極強，易于產生聚集效應和規模膨脹效應。現有虛擬社會信息安全存在如下缺陷。

·用戶身份分布在不同的ICP中，在互聯網應用層識別網絡活動個體，由于用戶標識不統一、不唯一，ICP和普通用戶無法識別通信對端的身份，企業、個人的防范能力薄弱。追溯用戶真實身份鏈條長，難以實時，機制復雜，實施范圍受限。而國家職能部門在應付網絡監控、保障信息安全的日常化管理中仍然受到人、財、物等方面的制約，在迅速發展和膨脹的網絡社會中還存在許多管理上的空隙、漏洞和不足，互聯網安全保障需要互聯網活動主體的全員參與。

·安全防范手段缺乏靈活性，攻防成本不對稱，防護硬件成本高，缺乏與安全級別對應的分層級、全員參與的安全措施，能夠采取的安全措施特別是管控手段匱乏，安全措施的技術門檻及成本制約了網絡的自優化、自身調節和自維護能力。

·管理對象的標識始終在變化、發展，造成安全管理主體模糊，安全管理手段疲于應付，處于被動適應局面。針對新攻擊需要連續投入，存在間隙期。對網絡行為難以實施有效的全面監控，難以準確、及時阻止網絡犯罪行為。例如，國內外現有反垃圾郵件的主要技術手段，是屏蔽惡意垃圾郵件站點連接所在的子網，在阻止攻擊行為的同時，也影響了無辜用戶的正常使用。

互聯網是在自組織機制上發展起來的，它不是一個純技術的系統，也不是技術系統和社會系統互為外在環境的簡單結合，它本身就包括了技術系統和社會子系統?；ヂ摼W安全模式要從社會發展、技術進步、經濟狀況等諸多方面綜合考慮，涉及法律、管理和技術手段等方面的共同作用，兼顧到網絡安全和網絡繁榮。

自然人是互聯網的主體，是互聯網的擁有者、管理者和使用者，是互聯網安全模式服務的核心。網絡行為主體是自然人在互聯網中的虛擬實踐，自然人在虛擬實踐過程中享有充分的自主性、自由度和自覺性，享有充分的主體性地位。網絡行為主體與自然人之間對應關系，是法律層面的問題，需要由法規政策以及運營策略來規范。技術是實現互聯網安全模式的重要手段，不單是以防護為主的靜態技術體系，而是防護、檢測、響應、恢復并重的動態的技術體系。技術層面應能全程全網識別網絡行為主體，并支持網絡行為主體與自然人之間對應關系的靈活性，解決虛擬實踐活動中所面臨的主體性困境問題。

互聯網業務發展是不斷創新的垂直整合過程，先天缺乏互聯網業務間橫向關聯機制。網絡安全貫穿各個環節，由于業務的多樣性和靈活性，基于業務層面的安全模式必然隨業務的不斷演化而演化，導致安全措施始終處于疲于應付、發展滯后的被動局面。基礎網絡作為技術手段的重中之重，需要發揮關鍵和切實的作用。有必要從基礎網絡建立數字源頭的全程驗證和標記檢測，達到所有訪問、使用和傳遞過程都有全程監控可查，形成一個事件因果關系邏輯結構的可信的生態系統。

4 基于身份位置分離系統的互聯網安全模式

4.1 IP地址二義性

互聯網并沒有強制每個用戶都有一個名字，移動性支持、傳輸層連接直接使用IP地址，IP地址具有名、址雙重屬性。

身份屬性：在TCP/IP協議棧中，IP地址標識通信對端。

位置屬性：IP地址代表用戶所處網段，是路由的基礎。

移動互聯網時代，終端位置頻繁移動，IP地址的身份和位置屬性難以統一?，F有互聯網普遍采用為終端主機動態分配公網地址或者為終端主機分配私網地址；采用NAT技術來緩解IPv4地址短缺問題。在這種情況下，多數主機的IP地址隨時間、地點變化或者重復使用私網地址。IP地址的二義性以及標識主機的IP地址不固定的特點，使得互聯網缺乏統一身份標識管理體系。

4.2 身份位置分離系統

如圖1所示，身份位置分離系統包含的網元從邏輯功能上抽象為主機、映射服務器、邊緣網關設備。網絡中主機有兩種標識類型。

·主機身份標識：主機身份標識指示用戶身份，用于端到端通信時標識通信對端。

·位置路由標識：位置路由標識指示終端用戶當前所在的位置，用于數據報文轉發時的路由。

映射服務器通過映射表保存了終端主機的身份標識和位置標識的對應關系。多個映射服務器構成映射平面，集中管理用戶的主機身份標識。

身份標識作為主機開戶信息保持靜態不變。根據主機接入方式的不同，采用現有主機IP地址配置的流程，主機可以獲得開戶時的身份標識。位置標識根據主機位置由當前接入的邊緣網關設備分配。邊緣網關設備與映射服務器配合，通過注冊更新流程，將實時更新映射服務器中保存的主機身份標識和位置路由標識的映射關系。

主機1向主機2發起通信時，邊緣網關設備1根據通信對端身份標識，到映射服務器查詢主機2的位置標識，并將查詢結果保存在邊緣網關設備1的映射路由表中，采用映射路由表實時性地維護主機2的身份標識/位置標識映射信息，并根據映射路由表實現數據報文封裝處理、路由和轉發。邊緣網關設備2收到邊緣網關設備1發出的數據報文后，進行位置標識解封裝處理，將解封裝后的數據報文送達通信對端。

通信一端主機位置變化時，邊緣網關設備向映射服務器注冊新的位置標識并通知通信對端，此后通信兩端將以新的位置標識進行通信。

主機身份標識作用域在接入網和映射平面；位置路由標識作用域在骨干網。由于骨干網不直接處理主機身份標識，主機難以訪問骨干網，保證了骨干網與用戶隔離。

4.3 網絡安全模式運營機制

通過身份位置分離系統，在基礎網絡層面建立網絡行為主體的統一標識體系，實現網絡身份識別全程全網有效傳遞，其有效性體現在網絡身份標識傳輸的真實性、合法性、防偽造性、防篡改性，唯一性。

·真實性：網絡行為主體與自然人之間是否對應，取決于政策法規以及運營策略的要求。通過營業廳開戶時身份驗證或者與手機實名、PPPoE撥號、IPIN/eID等方式，實現網絡身份識別與和用戶社會真實身份的關聯；或者選取某一號段向社會公布，該號段用戶與社會自然人身份綁定，從事網絡活動時具有較高的信用級別。

·合法性：通過基礎網絡的認證機制實現用戶的合法性認證后，網絡賦予用戶固定不變的身份標識，標識用戶身份。

·防偽造：在現有互聯網接入認證的基礎上，增加身份標識和用戶接入方式的強相關認證，強化用戶接入認證，保證用戶接入的合法性。

·防篡改：身份標識封裝后在骨干網中傳輸，在數據流端到端傳輸過程中，數據流與接入網絡的其他主機相隔離，確保身份標識不被篡改；身份位置分離系統中身份標識與位置標識具有不同的作用域，增強了網絡的抗攻擊能力。

·唯一性：網絡為網絡行為主體在全網范圍內分配唯一標識。

基于身份位置分離系統建立的互聯網統一身份標識管理體系，可以實現“基礎網絡真實標識，互聯網業務應用虛擬”。

·基礎網絡真實標識：實現網絡行為主體在基礎網絡中具有確定的唯一的身份標識，保障用戶標識全程全網的有效性。用戶個人真實信息集中在基礎網絡運營商的數據庫中，可以最大程度保護用戶隱私。

·互聯網業務應用虛擬：應用層可采用虛擬身份進行溝通交流，延續了互聯網應用的虛擬性和開放性。ICP保存網民虛擬世界的信息，盡量不涉及個人真實信息。

基礎網絡真實標識和應用虛擬相結合，便于基礎網絡層面集中實施，進而輻射整個互聯網虛擬社會的管理，在保障互聯網虛擬開放特性的同時，提升互聯網公共安全保障能力，面向個人和ICP提供服務。通過提高個人信息安全、提高交易安全、使用便利，吸引用戶；通過降低成本、減少欺詐、降低客戶獲取門檻，產生新的商業模式，吸引ICP，并帶動基礎網絡的發展和服務水平的提高。

這一網絡安全模式以平滑的方式提升互聯網安全性，主要表現如下。

（1）提供了基礎網絡信用保證下的可信網絡環境

用戶接入網絡的用戶身份標識唯一，不隨接入地點、接入時間、接入方式的變化而改變。在數據傳輸中，用戶發出的每個數據分組均攜帶用戶身份標識?；A網絡提供實名業務，用戶決定何時發起實名業務，此時發送數據報文攜帶用戶的真實身份標識，數據報文接收方據此判斷信息來源的可信性。

網絡行為主體全程全網攜帶的身份標識，可快速識別攻擊源，阻止繼續攻擊并交付法律懲辦，這種追溯機制的改進，可以減少釣魚網站的出現，將外來入侵者拒之門外，網頁篡改可大幅減少并得以追溯。

通過基礎網絡隔離互聯網虛擬空間和可信空間，為電子商務、企業辦公等業務的開展創造良好基礎網絡環境。

（2）提升網絡安全技術手段的管理效率

防范惡意攻擊更高效，提高了網絡安全管理的準確性。如果發現有惡意攻擊行為，可以直接屏蔽對應身份標識，而不是屏蔽整個子網，從而避免其他無辜用戶受到牽連，減少攻擊處理時的負面影響。

由于技術門檻、資金門檻的降低，企業個人網絡防范應對能力得以加強。通過主機或者網絡設定的黑白名單，可以有效管理，諸如無人看管物聯網終端等場景的信息安全。

保證合法監聽、網絡監控等安全措施的實時性和便捷性，提高響應網絡的安全事件及時性。

通過提升網絡安全技術手段的管理效率，響應及時性，提升主機自身防范能力，扭轉網絡安全攻防成本不對稱的局面。

（3）可以開展用戶的個性化安全業務

在愈加廣泛的網絡應用中，來自社會各行業領域的安全需求日益加大。不同的行業及需求特點決定了不同的安全適用機制，愈加細分和個性化的服務正在引導著信息安全產業走向未來。

通過互聯網統一標識體系，網絡對被叫的集體保護更加可靠。由于用戶標識符全網唯一，網絡管理者細分用戶群，可以設置統一的分類名單，對用戶實行分級管理。例如影視節目分級制度、版權管理等，滿足對受眾的細分管理和個性化服務互聯網應用深度發展的現實需求。

5 與應用層電子證書比較

應用層電子證書如銀行電子證書等認證業務已長期使用，應用范圍為銀行交易等高安全級別類業務。與基礎網絡統一標識體系的比較見表1。

應用層電子證書雖實現復雜、成本高、應用范圍受限，但責任主體明晰，對高安全級別業務是較為適合的應用場景；基礎網絡統一標識體系提升整個互聯網公共安全水平，提供靈活的網絡安全防范、管理、控制措施。應用層電子證書與基礎網絡統一標識體系各有不同的應用場景和特點，適用于解決不同的問題。

這一網絡安全模式在基礎網絡的統一部署是實施的關鍵，在技術層面提供了與網絡安全級別相適應的靈活多樣的手段。通過基礎網絡集中部署，能夠保證數據來源及傳輸通道的可信，諸如數據完整性、終端設備本身的安全性不在考慮范圍內。而強化互聯網安全，適應社會發展、經濟狀況的法律法規、管理措施作為一個整體不可或缺。

表1 應用層電子證書與基礎網絡統一標識體系的比較

6 結束語

基礎網絡作為智能管道，應該在以開放、簡單和共享為宗旨的技術優勢基礎上，建立完備的安全保障體系，從網絡體系結構上保證網絡信息的來源，實現可靠的網絡、業務和用戶綜合管理能力?；谏矸菸恢梅蛛x系統的互聯網安全模式，不僅在技術手段上為網絡安全提供保障，更是為網絡的健康、有序發展提供了良好環境。電子商務、企業辦公、廣電業務等已經成為互聯網主要應用，互聯網應用的安全性挑戰，也必將成為互聯網技術發展和制度完善的現實驅動力。

1 吳強，江華，孫默.加快IPv6發展，構建互聯網統一標識體系.電信科學，2011，27(6)

2 葉惠敏，何德全，戴冠中.開放的復雜巨系統internet可存活性需求分析框架，計算機工程，2005,31(4)

3 Ved P Kafle,Hldekl Otsukl,Masugl Inoue.An ID/locator split architecture for future networks. IEEE Communications Magazine,2010,48(2)

4 Hideki Toshinaga,Koki Mitani,Hiroshi Shibata,et al.Wide area ubiquitous network service system.NTT Technical Review,2008,6(3)

5 Farinacci D,Fuller V,Meyer D,et al.Locator/ID separation protocol (LISP).Internet Draft,http://tools.ietf.org/html/draftietf-lisp-05,Sept 2009