TCP_IP协议安全性分析.docxVIP

TCP/IP协议安全性分析陈鹏，傅丰林（西安电子科技大学通信工程学院，陕西西安710071）摘要TCP/IP协议作为互联网最重要的通信协议，其最初设计存在的安全机制缺陷将导致协议安全性隐患。按照OSI体系划分，TCP/IP协议可分为数据链路层、互连层、传输层和应用层。该文将按照从底层到高层的顺区对TCP/IP协议栈现有的主要安全机制进行一些分析，并对提升协议安全的可能性提出一些构想。关键字TCP/IP；安全套接；IPSEC；网络安全中图分类号TN915.04TCP/IP协议在设计之初并没有安全方面的考虑，其采用开放体系结构以及协议的灵活性在使得互联网以几何速度扩张的同时，也产生了一个致命的缺点，即缺乏信息安全性。于是互联网工程任务组（IETF）在1994年专门成立IP协议安全工作组，通过制定一系列的IP安全协议标准来弥补协议现存在和预计的安全漏洞。按照TCP/IP协议体系结构化分，TCP/IP协议在不同的层次有不同的安全措施。下文将对各层的安全机制进行分析。一时刻的数据包及其状态信息进行比较，从而得到该数据包的控制信息，来达到保护网络安全的目的。Stateful-inspection防火墙工作在数据链路层和网络层之间，它从这里截取数据包，因为数据链路层是网卡工作的真正位置，网络层是协议栈的第一层，这样防火墙确保了截取和检查所有通过网络的原始数据包。防火墙截取到数据包就处理它们，首先根据安全策略从数据包中提取有用信息，保存在内存中；然后将相关信息组合起来，进行一些逻辑或数学运算，获得相应的结论，进行相应的操作，如允许数据包通过、拒绝数据包、认证连接、加密数据等。Stateful-inspection防火墙虽然工作在协议栈较低层，但它监测所有应用层的数据包，从中提取有用信息，如IP地址、端口号、数据内容等，这样安全性得到很大提高。1数据链路层安全机制数据链路层是TCP/IP协议的最底层，它的常规功能是对上层数据（IP或ARP）进行物理帧的封装与拆封，当然还包括硬件寻址、管理等功能。数据链路层的安全机制一般是由防火墙来完成的。传统上防火墙基本分为两大类，即包过滤防火墙和应用网关防火墙，包过滤防火墙只能访问部分数据包的头信息，所以不能掌握通信状态信息，易被攻破而且处理能力有限；应用网关防火墙则需要对每一个服务开一个后台进程，所以可提供的服务数和伸缩性受到限制。一种新型的基于数据包状态信息的Stateful-Inspection防火墙弥补了传统防火墙的缺点。其工作原理是监视每一个有效连接的状态，并根据这些信息决定网络数据包是否能够通过防火墙。它在协议栈低层截取数据包，然后分析这些数据包，并且将当前数据包及其状态信息和其前2Internet层安全机制互联网工程任务组(IETF)在1994年开始制定一种IP安全工程，并专门成立IP安全协议工作组(IPSEC)来制定和推动一套被称为IPsec(IPSecurity)的IP安全协议标准。在1998年10月颁布了新版的IPSec标准（RFC2402~2412）,来完善94版存在的缺陷和不足。IPSec的思想是以“端到端”方式来保护整个IP数据包，使得在公共Internet上没有中间网络节点能够访问或修改受IPSec保护报文的任何信息。在IPSec体系中，可以提供几种方式来实现不同的安全等级。其中最严格的是端到端安全模型，其安全保护的力度是在数据包一级，它把一IP数据包中的收稿日期：2004-12-1561TCP/IP协议安全性分析任何数据都当作一个整体单元来对待，而通常一IP数据包由3部分组成：IP头（仅用于路由目的）、上层协议头（TCP或UDP头）和用户数据。IPSec规范说明中要求当使用端到端安全时，IP层之上的所有协议头都必须被加密。加密和认证使用的密钥只被发送方和接收方安全网关共有，公共Internet上的其他节点，不管它们是合法的路由器还是恶意的窃听者，只能看到IP头而不能解密包的内容，也不能篡改内容。IPSec的这种保护模式和它严格的分层原则在网络层是提供安全的最佳方式。然而，随着网络应用扩展和对网络性能和效率要求的提高，Internet技术的必威体育精装版进展引入了大量新的服务和应用，如业务流工程、透明代理、高速缓存、压缩、活动网络和加载分配系统，它们可以提高网络性能、降低网络管理花费。所有这些都要求中间网络节点访问IP数据包的特定部分，通常是高层协议信息，来执行流的分类、限制路由或其他客户化的处理，这就与IPSec机制有直接的冲突，在安全和效率之间就会相互制约。例如IPSec本身或和其他其他机制一起应用时存在以下问题：（1）当IP包被加密后，IPSec隐藏了也许对于网络操作很重要甚至是致命的信息。特别是它隐藏了传输层头，那么，包中所包含的任何TCP/UDP端口信息在中间路由器中就不能被用来作