淺談主動網絡主動節點的安全保護

張春宇

［摘要］ 主動網絡是一種可編程的分組交換網絡，通過主動技術和計算技術，使傳統網絡從被動的字節傳送模式向網絡計算模式轉換，提高網絡傳輸速度。在提高網絡傳輸速度的同時，安全性也是主動網絡必須要考慮的問題，本文首先介紹和分析主動網絡所面臨的一些安全威脅，羅列出安全威脅的主次并加以分析解決，降低主動網絡安全風險。

［關鍵詞］ 主動網絡； 主動節點； 安全威脅

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 04. 035

［中圖分類號］F272.9；TP393.0［文獻標識碼］A［文章編號］1673 - 0194（2012）04- 0060- 01

０前言

隨著網絡的日益發展，主動網絡以其具有可編程能力逐漸成為網絡發展的方向。但由于主動網絡有一定的保護和隱藏功能，其保護一旦泄露，就會受到很大的安全威脅。

１主動網絡介紹及安全分析

１．１主動網絡

主動網絡是于１９９４年，ＤＡＲＰＡ（美國國防部先進研究項目局）在一個討論會上首次提出的，在之后幾年內，美國各知名高校開展了對主動網絡的研究工作。隨著Ｉｎｔｅｒｎｅｔ的固有缺點逐步暴露，主動網絡技術被越來越重視，并確定成為網絡系統的發展方向之一。

１．２主動網絡安全威脅

主動網絡受到的主要威脅有幾下幾點：

（１） 節點受到的威脅：主動節點為了提高自己的服務安全，保護自身安全的方法主要是進行一定的隱藏，因此，一旦未授權暴露，其安全就會受到威脅。

（２） 環境受到的威脅：執行環境感覺其受到的威脅可能來自其他的執行環境。因為在一個主動節點中可能存在著多個執行環境，如果其中一個執行環境過多地消耗主動節點資源，那么必然對其他執行環境的運行造成損害。

（３） 分組受到的威脅：主動代碼可能向主動節點發出存取控制操作請求，其目的是為了處理和傳送；主動代碼可能向主動節點發出存取請求，其目的是為了取得服務。這些意味著主動代碼應當能夠識別它所想處理的主動分組。

（４） 用戶受到的威脅：用戶一直是主動網絡的主要威脅，如管理員錯誤地修改運行參數、其他非法用戶的修改等，都是主動網絡的威脅。

從上面幾種威脅，我們可以看出，主動節點安全是主動網絡的自身威脅，而其他幾種威脅或多或少都與外界因素有關，因此，我們重點討論主動網絡節點的安全策略。

２主動網絡節點安全策略

２．１主動節點的保護方法

（１） 主動分組認證：任何主動分組都具有一份證書，該證書由一個可信任的證書中心發布。證書用來保證對該證書簽名的持有者為主動分組負責。

（２） 監視和控制：可以通過設定訪問監視器，它可以根據策略數據庫中的安全決策來決定訪問是否被授權，通過安全策略來允許主動分組訪問和使用主動節點資源和服務。

（３） 限制技術：時間限制、范圍限制以及復制限制，這些限制在阻止主動分組過度占用節點資源方面是必要的。

２．２主動節點的安全性分析及策略

主動節點為了保護自己資源，反對未被授權的主動代碼使用，確保自己所提供的服務具有真實有效性。主動節點受到的威脅主要來自主動代碼或主動包，因為當主動代碼或主動包在執行環境執行時，主動代碼可以消耗主動節點資源，了解節點狀態，從而可能對主動節點進行惡意的配置。所以主動節點必須管理好自己的資源。具體而言，用于保護主動節點安全主要有以下幾個方面：

（１） 認證：為了區分合法主動包和非法主動包對主動節點的訪問，需要對主動包進行認證，認證是驗證主動包身份以確保對主動節點安全訪問的過程。為確保主動包中數據的完整性和發送雙方的真實性，采用ＩＫＥ（Internet Key Exchange）協議來實現對用戶的身份認證。當一個主動包進入主動節點時，首先進行安全認證，主要包括身份認證和完整性認證，如果通不過則視為非法主動包，予以丟棄；如果通過，還要進行內部一系列認證。

（２） 完整性校驗：在主動節點的安全模型中，完整性校驗主要包括主動代碼的完整性校驗和主動包的完整性校驗。通過完整性校驗可以防止主動代碼或主動包被非法篡改。不能通過完整性校驗的主動代碼或主動包，主動節點認為此主動代碼或主動包已被篡改，則拒絕處理直接丟棄。

（３） 安全執行引擎：負責響應執行環境中具體的服務請求，它包含對主動包的授權引擎和對主動節點資源訪問控制引擎。授權引擎：主要負責查閱信任證書庫，從而實現對主動包進行身份認證和對主動代碼進行安全驗證。認證證書可以用來驗證和識別主動代碼創建者和發送者的數字簽名和公鑰，指示主動代碼的來源。訪問控制引擎：參考安全策略庫和主動權能庫進行主動節點資源的訪問，并在訪問過程中嵌入限制技術，該引擎用于控制主動包對節點資源和系統資源使用的權限，根據授權引擎和安全策略庫及主動權能庫得出主動包在節點上的使用權限。如果主動代碼在沒有獲得授權以前使用和訪問主動節點的資源，訪問控制引擎將采取有效措施阻止代碼的執行，以防止可能對主動節點系統造成危害的行為。

（４） 入侵防護系統：入侵防護系統ＩＰＳ是預先對入侵活動和攻擊性網絡流量進行攔截，避免主動節點資源遭到非法濫用。入侵防護系統是指通過一個網絡端口接收來自系統的流量，經過檢查確認其中不包含異常活動或可疑內容后，通過另外一個端口將它傳送到內部系統中。這樣，有問題的主動包，以及所有來自同一數據流的后續主動包，都能在ＩＰＳ 設備中被清除掉。

３ 結束語

主動網絡是具有可編程能力的新型網絡體系，它是由一系列的主動節點組成，主動代碼能夠動態注入主動節點中，進行功能擴展，主動網絡的靈活性不可避免地增加了主動節點受到攻擊的可能性。惡意的攻擊者可以利用主動代碼對主動節點實施很大的破壞性。因此，本文提出一種較為合理的觀點，結合了主動網絡安全技術，能較好地保護主動節點的各個資源。