路由協(xié)議中密鑰管理協(xié)議的研究與實(shí)現(xiàn)

永城職業(yè)學(xué)院電子信息工程系 于 童 張偉民

路由協(xié)議中密鑰管理協(xié)議的研究與實(shí)現(xiàn)

永城職業(yè)學(xué)院電子信息工程系 于 童 張偉民

隨著移動(dòng)通信網(wǎng)絡(luò)的發(fā)展，基于網(wǎng)際協(xié)議化的應(yīng)用趨勢(shì)也更加明顯，從而使路由設(shè)備的地位和作用越來(lái)越重要。而早期的網(wǎng)絡(luò)設(shè)計(jì)者偏重于實(shí)現(xiàn)網(wǎng)絡(luò)的基本功能，卻忽略了網(wǎng)絡(luò)的安全要素，在設(shè)計(jì)路由設(shè)備及路由協(xié)議時(shí)缺少對(duì)安全的考慮，從而導(dǎo)致安全機(jī)制的缺失和不足。

一、路由安全設(shè)計(jì)

1.路由安全的重要性。針對(duì)路由安全問(wèn)題的重要性及其存在的問(wèn)題，相關(guān)的國(guó)際標(biāo)準(zhǔn)組織將路由安全研究提上了日程，并積極制定和推動(dòng)相關(guān)標(biāo)準(zhǔn)來(lái)實(shí)現(xiàn)路由的安全。IETF互聯(lián)網(wǎng)架構(gòu)組認(rèn)為使用最小的代價(jià)達(dá)到最大破壞效果的攻擊是對(duì)路由基礎(chǔ)設(shè)施的高效攻擊。由此可見(jiàn)路由安全在網(wǎng)絡(luò)架構(gòu)中的重要性。

2.路由安全的研究目標(biāo)。路由協(xié)議在因特網(wǎng)中的地位十分關(guān)鍵且重要，路由協(xié)議的安全是保證因特網(wǎng)穩(wěn)定的重要基礎(chǔ)。本研究的目標(biāo)是根據(jù)路由協(xié)議的特點(diǎn)，設(shè)計(jì)路由協(xié)議中的自動(dòng)化密鑰管理協(xié)議，為路由協(xié)議的身份認(rèn)證機(jī)制提供加密密鑰。

3.路由安全的具體工作。具體的工作包括：分析路由協(xié)議的脆弱性及目前已有的安全機(jī)制，找出路由協(xié)議目前安全機(jī)制部署的不足；研究IPsec協(xié)議族中使用的密鑰管理協(xié)議IKEv2和GDOI，考慮路由協(xié)議中所需的SA（安全聯(lián)盟）以及路由協(xié)議所處的網(wǎng)絡(luò)架構(gòu)的特點(diǎn)，對(duì)這2種密鑰管理協(xié)議進(jìn)行擴(kuò)展，設(shè)計(jì)出針對(duì)路由協(xié)議的密鑰管理協(xié)議。

二、路由協(xié)議中密鑰管理協(xié)議的設(shè)計(jì)

1.密鑰管理協(xié)議的設(shè)計(jì)。目前，IKEv2主要用于單播協(xié)議的密鑰管理，GDOI主要用于組播協(xié)議的密鑰管理。可以看出，由于單播協(xié)議和組播協(xié)議的區(qū)別，它們所需要的SA也存在著區(qū)別。因此，針對(duì)不同的網(wǎng)絡(luò)架構(gòu)需要設(shè)計(jì)不同的密鑰管理協(xié)議。在路由協(xié)議中，既有發(fā)送單播報(bào)文的BGP協(xié)議，又有發(fā)送組播報(bào)文的RIP協(xié)議，還有既發(fā)送單播報(bào)文又發(fā)送組播報(bào)文的OSPF協(xié)議。考慮并不針對(duì)特定的路由協(xié)議來(lái)設(shè)計(jì)方案，而是對(duì)所有的路由協(xié)議設(shè)計(jì)統(tǒng)一的方案。因此，在設(shè)計(jì)時(shí)需要同時(shí)考慮到單播和組播的情況，要分別設(shè)計(jì)出適用于單播和組播的密鑰管理協(xié)議。

2.RPKMP。由于重新設(shè)計(jì)一個(gè)新的協(xié)議過(guò)于復(fù)雜，本文，筆者提出的方案主要是在IKEv2和GDOI協(xié)議的基礎(chǔ)上進(jìn)行改動(dòng)，設(shè)計(jì)出適用于路由協(xié)議的密鑰管理協(xié)議RPKMP。

三、RPKMP的設(shè)計(jì)

1.基于單播的RPKMP的設(shè)計(jì)。設(shè)計(jì)針對(duì)IKEv2的擴(kuò)展包括2個(gè)部分工作：第一部分工作，在IKEv2的原有SA載荷中增加與路由協(xié)議相關(guān)的字段；第二部分工作，在IKEv2報(bào)頭中的ExchangeType（交換類(lèi)型）字段中增加交換類(lèi)型。基于單播的RPKMP的設(shè)計(jì)主要適用于點(diǎn)對(duì)點(diǎn)（Point-to-point）、非廣播多點(diǎn)傳送（NonbroadcastMultiaccess，NBMA）和點(diǎn)到多點(diǎn)（Point-to-multipoint）等網(wǎng)絡(luò)類(lèi)型。

2.基于組播的RPKMP的設(shè)計(jì)。路由協(xié)議中密鑰管理協(xié)議的設(shè)計(jì)不能僅考慮端對(duì)端密鑰的協(xié)商，還需要考慮組密鑰的協(xié)商。只有當(dāng)一個(gè)組共享一個(gè)會(huì)話密鑰并在一端發(fā)起加密的組播報(bào)文時(shí)，該組的其他成員才能使用該共享密鑰驗(yàn)證加密報(bào)文。組密鑰的協(xié)商是一個(gè)十分復(fù)雜的過(guò)程，目前現(xiàn)有的組密鑰管理協(xié)議大多是基于IETFmsec工作組提出的組播組安全架構(gòu)來(lái)設(shè)計(jì)的，通過(guò)一個(gè)中心點(diǎn)控制器GC/KS（組控制器/密鑰服務(wù)器）向組員發(fā)送組密鑰加密密鑰和組會(huì)話密鑰。由于重新設(shè)計(jì)一個(gè)協(xié)議較為復(fù)雜，且需要較長(zhǎng)的時(shí)間來(lái)測(cè)試該設(shè)計(jì)的可用性，因此，本文，筆者所提出的基于路由協(xié)議組播報(bào)文發(fā)送的RPKMP的設(shè)計(jì)，仍然使用現(xiàn)有的協(xié)議。

3.路由協(xié)議中密鑰管理協(xié)議RPKMP的設(shè)計(jì)。主要包括路由協(xié)議密鑰管理協(xié)議框架的設(shè)計(jì)，基于單播的RPKMP的設(shè)計(jì)，基于組播的RPKMP的設(shè)計(jì)等。基于組播的RPKMP的設(shè)計(jì)是在現(xiàn)有的組播密鑰管理協(xié)議GDOI的基礎(chǔ)上添加了1個(gè)GC/KS選舉協(xié)議，使得GDOI協(xié)議可以在路由協(xié)議所處的廣播網(wǎng)絡(luò)中使用。在本文中，筆者對(duì)路由協(xié)議的實(shí)現(xiàn)使用了開(kāi)源quagga軟件包，quagga軟件包也可以實(shí)現(xiàn)目前常用的路由協(xié)議，由于它的開(kāi)源性，對(duì)其中路由協(xié)議的實(shí)現(xiàn)可做任何的改動(dòng)。這就方便工作人員在路由協(xié)議中添加新的接口，從而與RPSA數(shù)據(jù)庫(kù)和KMP進(jìn)程進(jìn)行交互。

四、測(cè)試環(huán)境

1.測(cè)試環(huán)境。由于實(shí)驗(yàn)條件所限，要在1臺(tái)物理機(jī)上構(gòu)造多個(gè)虛擬機(jī)來(lái)完成基本測(cè)試。每臺(tái)虛擬機(jī)上都運(yùn)行FreeBSD8.0系統(tǒng)。在測(cè)試單播RPKMP系統(tǒng)時(shí)，同時(shí)運(yùn)行2臺(tái)虛擬機(jī)，一臺(tái)虛擬機(jī)的IP地址設(shè)為192.168.64.128，另一臺(tái)虛擬機(jī)的IP地址設(shè)為192.168.64.129。在測(cè)試GC/KS選舉模塊時(shí)，又添加了1臺(tái)新虛擬機(jī)，IP地址設(shè)為192.168.64.130，可使3臺(tái)虛擬機(jī)運(yùn)行在一個(gè)廣播網(wǎng)絡(luò)上，實(shí)現(xiàn)一個(gè)基本的廣播網(wǎng)絡(luò)環(huán)境。

2.基于單播RPKMP系統(tǒng)的測(cè)試。通過(guò)配置文件可以看出，此時(shí)OSPF協(xié)議運(yùn)行在非廣播網(wǎng)絡(luò)中，并配置鄰居路由器的IP地址為192.168.64.128，在配置中運(yùn)行OSPF協(xié)議的路由器發(fā)送單播報(bào)文。

3.GC/KS選舉模塊的測(cè)試。由于wireshake協(xié)議分析軟件不能對(duì)新設(shè)計(jì)的協(xié)議報(bào)文進(jìn)行分析，所以需要通過(guò)在程序中添加調(diào)試信息來(lái)觀察GC/KS的選舉過(guò)程，對(duì)完成GC/KS選舉模塊的測(cè)試。