淺析基于嵌入式系統網絡安全的研究

任周,王擊

摘 要： 現代計算機技術與互聯網技術的快速發展使各個領域越來越關注基于嵌入式系統的安全性能問題，對嵌入式系統網絡安全性能的研究也成為網絡安全領域的一個重要課題。針對嵌入式網絡系統的安全問題，在分析了目前網絡安全體系不足的基礎之上，將IPSec和SSL協議相結合，提出了一種嵌入式網絡系統安全策略的解決方案。

關鍵詞： 嵌入式系統； 網絡安全； IPSec； SSL協議； 安全策略

中圖分類號：TN915.08 文獻標志碼：A 文章編號：1006-8228（2013）06-27-03

Research on network security based on embedded system

Ren Zhou1， Wang Ji2

（1. School of Information Science and Engineering， Central South University， Changsha， Hunan 410012， China；

2. College of Information Science and Engineering， Hunan International Economics University）

Abstract： With the fast development of modern computer and Internet technology， the security of embedded system is paid more attention from various aspects， and becomes an important issue of the network security. Focusing on the security problems of embedded system， a new network security strategy of embedded system by integrating the IPSec and SSL protocol is introduced after analyzing the shortage of the traditional network security system.

Key words： embedded system； network security； IPSec； SSL protocol； security policy

0 引言

嵌入式系統慢慢地在日常實踐過程中得到普遍采納。從上世紀末桌面個人PC得到了顯著的發展以來，慢慢開始朝嵌入式系統過渡。網絡技術水平得到了迅猛的提高（特別為國際互聯網），在嵌入式以后的發展過程中產生了非常關鍵的影響。定點銷售（POS）終端、網絡游戲裝置、工業機器人、遙控感應裝置、數碼監控系統等，這些均需要借助網絡連接，分離的基礎設施不能夠進行上述工作。網絡嵌入式設備設計商能夠研制不同以往的用戶模式，隨后發展不同以往的商機。

不過互聯網同樣存在非常明顯的缺陷及不足，由于嵌入式系統與公網保持聯系，因此在實際操作過程中存在非常大的風險和安全隱患。對嵌入式系統網絡可靠性的研究與分析能夠產生非常關鍵的理論影響及現實影響。

1 傳統的網絡安全系統和它的不足

原有安全網管系統往往將多層次安全當作前提。防護手段及防火墻規劃觀念，能夠營造產生非常典型的安全網管系統，可以制定科學合理的網絡安全處理計劃。

網絡控制代理：具備網關非常關鍵的作用，可以在數據包中開展合理的管理。

網絡檢測代理：為非常恰當的網絡入侵監測系統，能夠獲取及研究所有的數據包，及時發現不同入侵活動，給網絡管理員制定應對措施奠定堅實的基礎。

主機代理安全：可以在流通的數據包中開展有效評估，同時可以研究、評估主機內保存的相關記錄，推動主體自身安全性明顯提高。

管理中心：為系統與用戶溝通交流的平臺，管理員能夠借助管理中心不同的功能進行管理，另外管理中心承擔起安全策略、入侵活動評估、記錄工作，為系統和用戶保持良好溝通交流的橋梁。

網絡控制代理及網絡監測代理能夠借助相關硬件方式進行，主機安全代理及管理中心往往通過軟件進行。網絡控制代理、網絡監測代理及主機安全代理在安全中心綜合控制基礎之上借助互動途徑開展工作，及時發現各種各樣的攻擊活動。網絡控制代理通常處于內部網及外部網中，同時能夠處于部分子網網關中，根據管理中心提出的相關策略，在網絡通信方面開展合理控制，同時把記錄的信息保存在管理中心以助于開展合理控制。主機安全代理往往處于不同主機之上，根據管理中心提出的相關策略，推動主機自身可靠性水平持續提高。

不過安全網關系統僅僅為應用程序，因為其突出的特征，一定會變作攻擊者非常關注的焦點，因此安全網關系統存在著非常明顯的隱患。第一，網關可能成為攻擊的重點，造成網絡監測代理無法工作，黑客借助不同的途徑能夠對網絡監測代理進行破壞。黑客能夠借助從特定階段給安全網關系統體系傳遞規模龐大的數據包，給網絡監測代理造成沉重的工作負擔，致使出現丟包情況，系統陷入癱瘓。黑客在這個階段進行入侵，則和入侵存在緊密聯系的網絡活動會得到有效的隱藏，所以網絡監測代理不能夠發現具備入侵性質的網絡信息，因此不能夠找到攻擊活動。第二，某些情況下，黑客把入侵裝置放在很多含偽造地址的欄目中，管理員想要在規模龐大的噪音內找到入侵者，難度特別大。

2 嵌入式網絡安全結構特征

2.1 嵌入式設備在互聯網接入的網絡攻擊方式

嵌入式設備在和互聯網建立聯系之后，處于系統控制之下，因為嵌入式設備自身不足，所以安全問題非常明顯。以下詳細說明從信息管理和信息通信管理角度須非常重視的一些攻擊形式。

⑴ 冒充。把實體偽裝為其他存在明顯差異的實體。往往和另外部分主動攻擊形式共同使用，尤其為消息的不斷重疊。

⑵ 重演。在一些消息想要造成非授權效果而循環流通過程內產生重演。

⑶ 消息篡改。在流通的消息出現調整不能被發覺，造成了非授權后果之后產生了消息篡改。

⑷ 信息泄露。信息遭到竊取，讓沒有得到授權的人掌握。

⑸ 服務拒絕。在實體無法履行自身一般功能，及其活動影響到其他實體履行自身相關功能的情況下將出現服務拒絕。此類攻擊也許為一般性的，可能某些實體阻礙了全部的消息，也許為實際目標，正像部分實體阻礙了全部流向特定目的端的消息，正像安全審計服務。此類攻擊能夠在通信業物流方面造成明顯阻礙。

⑹ 內部攻擊。在正當用戶通過不正當途徑實施活動過程中產生了內部攻擊。絕大部分現存的計算機犯罪均與造成系統出現明顯破壞的內部攻擊存在緊密的聯系。

⑺ 外部攻擊。外部攻擊能夠采納的手段包括：首先，搭線，包括了主動及被動不同的方式；其次，得到輻射；再次，偽裝成授權用戶，或者偽裝成系統構成環節；最后，給管理機制提供旁路。

⑻ 對實體的攻擊。能夠影響實體自身功能，阻礙其活動進行，給實體造成惡劣的影響。

2.2 嵌入式網絡安全特點

第一，因為嵌入式設備存儲空間不是很大，信息處理水平比較低，因此可能成為黑客攻擊的重點，可靠性比較低。對部分小系統而言，通過防火墻此類安全軟件，成功機率非常低。

第二，因為嵌入式設備往往多元化水平比較低，通常是根據相關要求而研制的，能夠有效地約束其他的訪問方式，降低攻擊可能性。正像門警系統通常為單向傳輸，無法成為黑客攻擊的目標。

第三，嵌入式系統保管水平比較低，造成了部分病毒無法有效存活，另外造成了內存消耗型攻擊成功可能性非常高。

第四，因為不同嵌入式設備在功能、規劃方面存在明顯差異，因此攻擊并非全部能夠生效。

第五，絕大部分嵌入式設備及上網設備并沒有聯系，絕大部分網絡攻擊均可以通過上網設備進行篩選，因此造成了嵌入式設備攻擊難度明顯提高。如信息家電上網均借助家庭網關，因此造成了黑客的攻擊難度。同時，上述特點并非絕對的，部分嵌入式設備即可以開展不同的網絡服務，基本上和小型服務器功能一致[1]。

2.3 嵌入式系統的安全策略

嵌入式網絡當前應對的風險基本上包括下述兩類。①網絡之內信息造成的風險，涵蓋了在信息盜取、信息損失、通訊損失等等。此種網絡攻擊往往將信息當作主要目標，借助在信息內容調整實現攻擊。②設備造成的風險，此種攻擊往往將網絡當作手段，借助網絡給設施造成明顯的破壞，實現自己的攻擊目標。上述攻擊均將網絡當作渠道，不過方法存在明顯的不同。第一類應當獲取流通的信息，掌握信息；第二類一定要在設備實體之內方可發揮作用。因此，嵌入式系統安全策略基本上能夠細化成以下兩類[2]。

⑴ 訪問控制安全策略，借助在信息流方面進行管理控制，管理輸入輸出，將部分攻擊化解，避免內部器件遭到損失。在信息中開展有效檢驗，按照之前制定的相關標準，達到標準的信息方可通過，不然這個數據包會被消除，避免信息流通。因為嵌入式設備通常功能不是很多，在相關信息中能夠進行合理的管理。

⑵ 數據保密與完整性安全策略，其中涵蓋了在信息方面進行檢驗及認證等等。借助在流通信息進行加密、提高信息自身可靠性，保證沒有被授權的人不能夠掌握有效信息，同時無法實現盜取信息及假冒身份的活動，另外可以避免抵賴情況出現。

2.4 設計思路與原則

從規劃過程中，應當特別關注嵌入式系統硬件自身多元化水平，軟件具備非常明顯的移植性，函數應最大限度保證模塊化，頭文件及模塊應當保持獨立，尤其為網絡協議及應用程序，應當呈現鮮明的獨立性，不斷提高其可裁減性。通過上述方式研制的應用程序在各個系統內被采納之后，核心模塊能夠保持穩定，只轉變部分應用程序就能夠實現。

方案規劃在貫徹落實工作時可遵照劃分原則，將各個功能模塊中細化成相應的工作開展。能夠按照IP包開展相關工作和網絡包接收工作等等。

2.5 SSL協議與IPSec技術簡介

SSL目前能夠從全球范圍內得到推廣普及，適用范圍非常的廣泛。

SSL協議為保持在傳輸層協議及應用層協議范圍中的協議層，能夠通過TCP開展相應的安全服務[3]。SSL并非是單獨存在的，主要為兩層協議[4]，具體請參考圖1。最下面為記錄底層協議（record protocol），能夠給各個高層協議進行奠定堅實的基礎，超文本傳輸協議（HTTP）能夠在SSL中正常工作。高層通過不同的協議營造產生[5]：握手協議（handshake protocol）、修改密碼參數協議（change cipher spec protocol）、報警協議（alert protocol）和應用數據協議（application data protocol）。

SSL主要保證對稱密碼技術能夠與公開密碼技術實現有機統一，開展相應的安全服務：報文完整性、機密性及認證性。

圖1 SSL協議的體系結構

IPSec能夠從網絡層中開展高水準的、能夠有效實施的、將密碼學當作前提的安全性服務[6]。IPSec能夠開展的安全服務能夠借助密碼協議及安全機制有機統一進行，上述安全服務關鍵涵蓋了在網絡單元進行有效管理，對數據源進行管理，能夠不斷提高無連接完整性水平，在數據報中開展有效監管，通過加密不斷提高保密性水平[7]。

圖2 IPSec體系結構

AH協議能夠充分保證信息源自身可靠性，還有能夠提供抗重放服務。ESP協議能夠開展信息保密、數據流保密性、信息源檢驗、信息完整性和抗重放服務。IKE協議能夠從密碼算法之內得到合理的采納，同時能夠把算法應當具備的必備密鑰安置于恰當的地點。

因為IPSec服務能夠從網絡層中進行，所以，所有上層協議均能夠采納上述服務，同時能夠維持自身安全機制可靠性，能夠有效地降低密鑰協商成本，能夠有效地下調安全漏洞出現的機率。

SSL是現階段提高網絡可靠性及電子商務交易安全的重要衡量指標。通過IETF制定的IP安全標準IPSec逐漸變作現階段非常普遍的VPN處理計劃。不過，現階段全球范圍內在上述安全標準從嵌入式系統之內采納剛剛開始發展，水平不是很高。

3 網絡安全體系總體結構設計

我們可以從OSI/RM上延伸環節，安全體系結構（Security Architecture）主要表示在網絡系統安全功能進行系統的闡釋，通常在整體上論述網絡系統能夠開展的安全服務及安全體系[8]。健全完善網絡安全結構在網絡安全定義論述、網絡綜合規劃及貫徹落實方面能夠產生非常關鍵的影響，就其他層面而言，計算機網絡安全結構無法和嵌入式系統真正保持一致，作者在嵌入式系統層面進行分析，系統地研究網絡安全實際標準，制定了計算機網絡安全機制框架。

IPSec在網絡層提供加密和認證服務，可以有效地維持全部IP流量[9]。IPSec的安全策略能夠保證用戶在安全策略方面開展合理管理。因此，此處將IPSec當作前提，和防火墻實現完美結合，從IP層基礎之上營造產生嵌入式系統安全體系。這個體系關鍵性質包括：

首先，按照分組報自身源、宿地址、端口號和協議種類、標志選擇可不可以準可分組報進行；

其次，按照安全策略相關標準，在信息流方面制定合理的應對措施，不斷提高信息自身可靠性水平；

再次，虛擬專用網，推動公司網絡技術體系營造產生。

作者通過第一種途徑開展。把安全機制統一至IP源碼之內能夠有效借助IP模塊自身功能，防止出現資源浪費。

圖3 實現安全機制的總體框架

安全控制體系內模塊能夠細化成：安全策略數據庫SPD的查詢、SA的選擇以及分組的封裝處理（加密、認證）等。分組往往處于具體網絡接口處，不斷提高通信可靠性水平。

SPD庫和SADB庫的查詢效率為決定系統性能非常關鍵的條件。從SADB庫之內獲取一定的SA，所以也許將變作發展的阻礙。想要處理上述問題，一定要特別關注數據庫存儲框架。

分組呈現了非常明顯的連貫性，因此從內存之內通過緩存技術維持相應的安全策略，能夠有效地防止從SPD庫查詢環節之內維持系統功能。

4 結束語

嵌入式系統網絡可靠性為現階段社會普遍關注的焦點，對此進行分析能夠產生非常關鍵的理論影響及現實影響。必須在安全性協議科學并且合理履行的基礎上，方可為大型安全性服務奠定堅實的基礎。同時，嵌入式系統具備非?？捎^的應用價值，若可以轉化成產品，那么營銷形勢非常樂觀。本文進行的是針對IPv4的實驗，對基于IPv6的實現還有待進一步研究。隨著時間的推移，網絡安全技術仍將不斷發展，協議也會不斷的發展和完善，對協議進行跟蹤和開發也是接下來我們所要面對的重要課題。

參考文獻：

[1] 宋文功，楊培敏.基于IPSec和SSL的嵌入式網絡安全應用研究[J].微

計算機信息，2007.23：38

[2] 解慧娟，林南暉.基于ipv4ipv6雙協議棧的通信模塊及實現[J].軟件

導刊，2011.10（11）：111

[3] 楊勇，葉梅，張秦艷，初元萍，胡磊.基于ARM的嵌入式Linux無線網卡

設備驅動研究[J].核電子學與探測技術，2010.30（4）：519

[4] 任周.基于Linux網絡系統的安全性能的研究[J].計算機與數字工程，

2009.238：125

[5] 何先波，李明東，王錦，李寶林，張剛園.Linux操作系統中通用雙向循

環鏈表的實現分析[J].西南師范大學學報（自然科學版），2012.33（2）：112

[6] 王秀惠，王麗珍，薄文彥.基于可自更新二維Hash鏈的微支付系統[J].

計算機工程，2011.37（18）：273

[7] 舒明磊，譚成翔，譚博.一種基于IKE協議的移動VPN安全通信方案[J].

計算機科學，2010.37（5）：85

[8] 李早水.基于角色的訪問控制技術在PDM系統中的應用[J].軟件導

刊，2011.10（12）：85

[9] 孟曉峰，閆宏生.向IPv6過渡中的網絡安全探析[J].計算機光盤軟件

與應用，2010.16：72