《毕业设计（论文）-基于IPSec的移动VPN研究与安全性分析.doc》由会员分享，可在线阅读，更多相关《毕业设计（论文）-基于IPSec的移动VPN研究与安全性分析.doc（9页珍藏版）》请在三一文库上搜索。
1、 基于IPSec的移动VPN研究与安全性分析基于IPSec的移动VPN研究与安全性分析 摘要伴随无线通信技术的快速发展，人们不再满足于仅仅通过有线线路的上网服务，而是希望通过无线方式甚至是移动环境中接入互联网络。正是在这种需求的推动下，互联网技术和无线通信技术相结合的移动VPN技术应运而生。移动VPN在技术上借鉴了基于Internet的传统VPN的思想和其中的关键技术，可以将VPN的各种优点应用到移动网络中。基于移动VPN的网络给用户提供了安全的远程访问，在很大程度上保障了通讯数据传输的安全性。本文以GPRS VPN为例，说明了这类网络的问题，比如缺乏移动终端对网络的认证和数据以明文形式传输的
2、安全漏洞提出了利用数字证书的解决方案。关键词：虚拟专用网，移动VPN，GPRS VPN，WPKI目 录目 录II第一章 绪论11.1项目背景1第二章 移动VPN22.1 VPN技术简介22.2 VPN采用的安全技术21隧道技术：22加解密技术：23密钥管理技术：24身份管理技术：2第三章 GPRS VPN安全机制研究33.1 GPRS VPN面临的安全威胁33.2 安全目标33.3 GPRS VPN安全改进43.3.1 WPKI技术43.3.2 改进的网络结构43.4 安全性分析5第四章 总结64.1本文总结6参考文献7第一章 绪论1.1项目背景随着Internet和信息技术的快速发展，越来越
3、多的企业职工需要将便携式计算机随时随地连接到企业的网络。VPN技术就是在这种形势下应运而生的。它是一种采用隧道技术以及加密、身份认证等方法，通过安全的“加密管道”在公网上传输私有数据、达到私有网络的安全级别，从而利用公网构筑企业专网的组网技术。伴随无线通信技术的快速发展，人们不再满足于仅仅通过有线线路的上网服务，而是希望通过无线方式甚至是移动环境中接入互联网络。正是在这种需求的推动下，互联网技术和无线通信技术相结合的移动VPN技术应运而生。移动VPN在技术上借鉴了基于Internet的传统VPN的思想和其中的关键技术，可以将VPN的各种优点应用到移动网络中。基于移动VPN的网络给用户提供了安全
4、的远程访问，在很大程度上保障了通讯数据传输的安全性。第二章 移动VPN2.1 VPN技术简介虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网
5、。2.2 VPN采用的安全技术在传统的VPN中，为了保证数据的完整性和安全性采用了几项关键的技术：隧道技术、加解密技术、密钥管理技术、身份认证技术。1隧道技术：隧道技术是VPN的核心。所谓隧道，实质上是一种封装，将一种协议(协议X)封装在另一种协议(协议Y)中传输，从而实现协议X对公用网络的透明性。2加解密技术：VPN技术的安全保障主要就是靠加解密技术来实现的。加密技术可以在协议栈的任意层进行，可以对数据或报文头进行加密。算法种类包括：对称密钥算法和公共密钥算法。对称密钥算法在加密和解密时使用的是同一个密码，而公共密钥算法有一对密钥，分别称为公钥和私钥，用其中一个密钥加密，必须用另一个密钥才能
6、解密。3密钥管理技术：密钥管理的主要任务是如何保证在公用数据网上安全地传递密钥而不被窃取。VPN中密钥的分发与管理是非常重要的。密钥的分发有两种方法：一种是通过手工配置的方式，另一种采用密钥交换协议动态分发。手工配置的方法由于密钥更新困难，只适合于简单网络的情况。密钥交换协议采用软件方式动态生成密钥，适合于复杂网络的情况且密钥可快速更新，可以显著提高VPN的安全性。4身份管理技术：身份认证技术最常用的是使用者用户名与密码方式，这种认证方式存在诸多缺陷，只能用在安全要求不高的场合。安全的认证通常依赖可信第三方签发的数字证书。设备间交换资料前，须先确认彼此的身份，接着出示彼此的数字证书，双方将此证
7、书比对，如果比对正确，双方才开始交换资料，反之，则不交换。第三章 GPRS VPN安全机制研究3.1 GPRS VPN面临的安全威胁通过分析，我们知道强制隧道更适合应用于GPRS VPN中，即在GGSN到企业网关之间采用安全隧道技术。在这种模式下，数据不再是端到端的安全传输，在信息交互过程中，数据经过GPRS网络无线接入部分、核心网到企业网关、企业内部网络等多阶段的传输，在核心网到企业网关之间采用传统的VPN技术，在企业内部网一般认为数据传输是安全的，而无线接入部分缺乏一定的安全保护机制，因此无线传输部分成为了GPRS VPN中的安全薄弱环节，有可能面临着各种攻击。针对空中接口处的数据传输存在
8、着非法窃听、流量分析、信息伪造、破坏数据的完整性等威胁。其中流量分析是指入侵者进行主动或被动流量分析，通过观察消息的时间、速率、长度、来源、目的，来判断用户所在的位置，或者知晓(被分析的用户)是否正在进行一项重要商业事务，这对于需要保护业务内容的企业来说是不允许的。对于用户在空中接口发送RADIUS认证请求消息的情况，可能会出现攻击者截获此认证信息，然后假冒合法用户接入网络的事件发生。现有的GPRS VPN不具有抗抵赖性，即用户或者网络不承认自己曾经做过的行为。譬如，用户否认业务费用、业务数据来源及发送或接收到的其他用户的数据，网络单元否认提供的网络服务等。另外还存在着移动终端的安全威胁。移动
9、终端可以是手机、PDA掌上电脑、笔记本电脑等设备，其面临的安全威胁主要在于：设备的遗失和被盗，设备的非授权使用，授权用户不合理使用和恶意行为，来自公网的攻击和入侵等。这些威胁可能由公网用户、窃贼或使用者本人造成。正是由于上述众多安全威胁的存在，基于GPRS网络的移动VPN还不是一个真正安全的网络。位于移动终端和无线接入网络之间的空中接口是移动VPN最容易遭受攻击的部分，也是所有其他业务的安全基础，如何保障无线链路的安全是本章要解决的主要问题。3.2 安全目标基于GPRS的移动VPN要保障移动环境下进行实时办公、信息查询、信息采集的安全，同时保证企业内部网络与移动公网连接时的相关网络资源的安全，
10、因此要保证移动设备接入安全、与企业内部网络数据交换安全、访问权限控制。移动VPN的根本目标是，通过保障信息资源不受未授权的泄漏、修改和任何形式的损害，从而实现安全的远程资源访问。本文提出的GPRS VPN的安全方案要实现以下安全目标：1 用户和网络的双向认证：无论是Interact还是移动网络都是一个开放的网络，要想在公网中实现专网的功能，必须能够验证用户身份并严格控制只有授权的合法用户才能使用移动VPN业务，要有抵抗假冒用户的能力，同时还有认证网络的功能，防止攻击者通过假冒网络获得用户信息。2 访问控制：一个安全的移动?N服务，还应为不同的用户指定不同的访问权限，严格控制接入人员的访问行为，
11、对合法用户的访问行为进行限制和记录。3 数据安全性：要保证数据的安全性，提供强有力的加密手段，使偷听者不能破解拦截到的通道数据；保证数据的完整性，接收到的数据必须与发送时的一致，要有抵抗不法分子纂改数据、入侵破坏的能力。4 密钥管理：提供动态密钥交换功能，提供密钥中心管理服务器，生成并更新客户端和服务器的加密密钥。5 不可抵赖性：要实现用户和网络的不可抵赖性，用户无法否认自己使用了哪些业务，网络单元无法否认提供过的网络服务。6 稳定性：GPRS VPN系统的部署必须能保证不影响原GPRS网络的稳定性，同时自身的业务访问也可以稳定运行。此外，GPRS VPN系统还需要有很好的可管理性、灵活性与可
12、扩展性，充分利用现有的网络资源，提供经济、灵活的连网方式，为客户节省设备、人员和管理费用，真正实现随时随地的VPN网络。3.3 GPRS VPN安全改进3.3.1 WPKI技术随着终端处理能力的提升，公钥体制在实现用户身份机密性的过程中，相比单钥体制具有更多的优势。在单钥体制下，用户的安全依赖于网络，而使用公钥技术来保护用户的身份，用户的私钥只有用户自己知道，身份的机密性不再依赖于网络。PKI(Public Key Infrastructure，公开密钥基础设施)32-341是一个建立在公钥加密技术之上，用非对称密码算法原理和技术来实现并提供安全服务的具有通用性的安全基础设施，能够为网络中所有
13、需要采用加密和数字签名等密码服务的用户提供所需的密钥和证书管理。PKI的核心是要解决信息网络空间中的信任问题，确定信息网络空间中的主体身份的唯一性、真实性和合法性。WPKI(Wireless P)即无线PKI，不是一个全新的关于PKI的标准，而是通过对传统的PKI进行优化，扩展后应用到无线环境中去的。WPKI的优化主要包括对证书格式进行简化，从而减少存储容量；采用椭圆曲线密码算法(ECC)，而不是传统的RSA算法，这可以大大提高运算效率，并在相同的安全强度下减少密钥的长度。WPKI有效解决了无线网络带宽窄和移动设备计算资源有限的问题，确保通信双方的身份认证、保密性、完整性和不可否认性。与PKI
14、系统类似，WPKI系统也大致是由认证中心CA、注册中,bRA、证书目录数据库和证书吊销系统等组成。认证中,L,CA用于验证用户身份，发放和恢复证书。每个用户在入网时均拥有一对密钥对，即公钥和私钥。3.3.2 改进的网络结构本文提出的改进的GPRS VPN采用强制隧道模式，也称为基于网络的隧道模式，由GGSN根据事先协商好的隧道协议建立起到VPN网关的隧道。其网络结构如图所示，其中包含以下几个网络实体：移动终端(包括智能卡)、移动接入网络、核心网、VPN网关和Internet网络。改进后的GPRS VPN方案提供了移动终端NGGSN的安全连接和GGSN到VPN网关的安全隧道连接，以确保整个通信过
15、程的安全。GGSN至VPN网关的安全隧道技术根据需要利用现有的VPN技术户，GGSN根据ACL列表决定用户的访问权限。只有拥有合法证书的用户才能访问网络，如果出现证书中用户信息和发送请求的信息不一致的情况，就是出现了假冒用户的情况，同样也可以识别出假冒GGSN的情况；协商了双方的会话密钥，在以后的通信过程中用此密钥进行数据流的加解密。3.4 安全性分析本文提出的GPRS VPN方案较好地解决了移动用户远程接入企业网的安全问题，可以作为固定VPN网络的补充。该方案的安全性表现在以下方面：1抗抵赖性。通过公钥机制和数字签名的使用，用户不能否认自己使用过网络提供的服务，同时网络运营商也不能否认它为用
16、户提供过GPRS VPN服务。2实现了移动终端和网络之间的双向身份认证，防止假冒用户和假冒网络端的情况。非法用户访问网络是不可能的。当非法用户C试图请求认证时，因他没有合法的证书所以不能直接接入网络；非法用户C假冒合法用户C，可以利用用户C的身份信息和证书标识去请求网络接入，但是网络端返回的信息是用合法用户C的公钥加密传输的，因C没有合法用户的私钥所以无法解密信息，此次连接就会中断，而且合法用户C的私钥存储在智能卡，不会在网络上传输，非法用户C是不可能得到用户私钥的；即使非法用户C截获用户C的信息，同样因为他没有合法用户的私钥，也不能正确解密用户信息。假冒网络端欺骗用户也是不可能的。当用户把请
17、求信息和证书标识发送到GGSN时，假冒GGSN也可以收到这个消息并可能得到用户的公钥信息，进而产生随机数RANDg并用用户的公钥加密，但同样因为GGSN不可能获得真实GGSN的私钥而无法解密用户返回的信息，从而中断通信。3移动终端和GGSN的密钥协商机制保证了加密密钥的安全性。加密密钥是利用移动终端和GGSN产生的随机数RANDm、RANDg计算得出的，随机数RANDm、RANDg保证了加密密钥的新鲜度，而且RANDm、RANDg在传输前已经用自己的私钥和对方的公钥进行了双重加密，即使传输过程中被攻击者截获，但攻击者没有对应的私钥，是无法解密出随机数的，因此保证了加密密钥的安全性。4移动终端采
18、用智能卡实现加密认证在安全性上表现出良好的性能。用户的密钥对由智能卡产生，并且加解密运算也是在智能卡内实现的，用户私钥不出智能卡，从而完全杜绝了私钥泄露的可能性。PIN码的采用，保证了即使智能卡本身遗失，也不会威胁系统安全。第四章 总结4.1本文总结随着无线接入技术和Internet在全球范围的发展，互联网向宽带化、无线化和移动化迈进的脚步越来越快，移动VPN作为移动通信技术与VPN两种技术的融合，就是在移动公网上建立企业内部虚拟专网。移动VPN的出现较好的满足了集团客户的需求，但由于移动网络本身的开放性，其面临的安全威胁比固定网络更加危险，保证移动通信的安全性也已成为移动VPN安全的关键环节
19、。本文对移动VPN技术的安全现状进行了介绍，分析目前移动VPN网络所面临的安全问题，针对这些安全问题引入了WPKI技术，根据移动VPN网络的特点分别提出了改进方案。参考文献1 蔡益锋基于GPRS CDMAlX公共移动接入系统的VPN通道技术研究东南大学2006357，14172 金正勋，朱智勋VPN的加密技术EBOL3 Charlie HosncrOpen VPNand the SSL VPN Revolution2004884 ERosenRFC303 l，MPLS Multiprotocol Layer Switching ArchitectureS，Jan 20015 Xenakis C
20、，Merakos LOn demand network-wide VPNdeployment in GPRSJNetwork IEEE，2002(6)：28-376 Jussi Kangasharju, Internet Content DistributionR, University of Helsinki.7 3GPP TS 23060：“3rd Generation Partnership Project；Technical Specification Group Servicesand System Aspects；Disml cellular telecommunications system(Phase 2+)；General Packet RadioService(GPRS)；Service description；Stage 2”8 李斌，侯艳一种移动VPN的实现方法中国02146668820045546，129 Christos Xenakis，Evangelos Gazis and Lazaros Merakos，Secure VPN Deployment in GPRSMobile Networks，http：/www,gsmsecuritycom第 7 页 共 7页