主動(dòng)網(wǎng)絡(luò)安全保護(hù)結(jié)構(gòu)探析

宮　明

摘要：安全性是一個(gè)網(wǎng)絡(luò)系統(tǒng)必須要考慮的問題，文章首先介紹了現(xiàn)有的網(wǎng)絡(luò)安全技術(shù)，然后分析了主動(dòng)網(wǎng)絡(luò)面臨的安全威脅，提出了主動(dòng)網(wǎng)絡(luò)的保護(hù)機(jī)制，最后給出了適用于主動(dòng)網(wǎng)絡(luò)的安全傳輸方案。

關(guān)鍵詞：主動(dòng)網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；網(wǎng)絡(luò)傳輸方案；主動(dòng)代碼

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1009-2374（2009）05-0124-02

主動(dòng)網(wǎng)絡(luò)是一種可編程的分組交換網(wǎng)絡(luò)，通過各種主動(dòng)技術(shù)和移動(dòng)計(jì)算技術(shù)，使傳統(tǒng)網(wǎng)絡(luò)從被動(dòng)的字節(jié)傳送模式向更一般化的網(wǎng)絡(luò)計(jì)算模式轉(zhuǎn)換，提高網(wǎng)絡(luò)傳輸速度、動(dòng)態(tài)定制及網(wǎng)絡(luò)新服務(wù)的能力。

一、主動(dòng)網(wǎng)絡(luò)介紹

主動(dòng)網(wǎng)絡(luò)的基本思想是將程序注入數(shù)據(jù)包，使程序和數(shù)據(jù)一起隨數(shù)據(jù)包在網(wǎng)絡(luò)上傳輸；網(wǎng)絡(luò)的中間節(jié)點(diǎn)運(yùn)行數(shù)據(jù)包中的程序，利用中間節(jié)點(diǎn)的計(jì)算能力，對數(shù)據(jù)包中的數(shù)據(jù)進(jìn)行一定的處理；從而將傳統(tǒng)網(wǎng)絡(luò)中“存儲(chǔ)——轉(zhuǎn)發(fā)”的處理模式改變?yōu)椤按鎯?chǔ)——計(jì)算——轉(zhuǎn)發(fā)”的處理模式。

主動(dòng)網(wǎng)絡(luò)中能夠攜帶程序代碼的分組稱為主動(dòng)分組，能夠處理主動(dòng)分組并執(zhí)行主動(dòng)分組中所帶程序的中間節(jié)點(diǎn)稱為主動(dòng)節(jié)點(diǎn)，如主動(dòng)路由器和主動(dòng)交換機(jī)。網(wǎng)絡(luò)節(jié)點(diǎn)不僅具有分組路由的處理能力而且能夠?qū)Ψ纸M內(nèi)容進(jìn)行計(jì)算，使分組在傳送過程中可以被修改、存儲(chǔ)或重定向。主動(dòng)網(wǎng)絡(luò)允許用戶向網(wǎng)絡(luò)節(jié)點(diǎn)插入自己定制的程序，網(wǎng)絡(luò)節(jié)點(diǎn)在處理數(shù)據(jù)包時(shí)將程序載入并執(zhí)行，以此來修改或者擴(kuò)展網(wǎng)絡(luò)的基礎(chǔ)配置，從而實(shí)現(xiàn)快速、動(dòng)態(tài)的部署新協(xié)議、提供新服務(wù)，使網(wǎng)絡(luò)更具靈活性和可擴(kuò)展性。

二、主動(dòng)網(wǎng)絡(luò)的安全威脅

（一）主動(dòng)節(jié)點(diǎn)面臨的安全威脅

主動(dòng)節(jié)點(diǎn)希望保護(hù)自己的資源，不希望未經(jīng)過授權(quán)的主動(dòng)分組使用自己的節(jié)點(diǎn)資源，確保自己所提供的服務(wù)具有可獲得性，保護(hù)自己節(jié)點(diǎn)狀態(tài)的完整性和保護(hù)自己狀態(tài)反對未授權(quán)暴露。主動(dòng)節(jié)點(diǎn)可能感覺受到的威脅來自執(zhí)行環(huán)境，因?yàn)閳?zhí)行環(huán)境會(huì)消耗主動(dòng)節(jié)點(diǎn)資源或更改節(jié)點(diǎn)狀態(tài)參數(shù)等。作為主動(dòng)節(jié)點(diǎn)必須能夠安全有效地管理自己資源，以便分配給經(jīng)過授權(quán)的主動(dòng)代碼使用，為主動(dòng)應(yīng)用提供服務(wù)此外主動(dòng)節(jié)點(diǎn)必須能夠識(shí)別鄰居節(jié)點(diǎn)，這樣能夠確保將主動(dòng)報(bào)文傳送到可信任的相鄰主動(dòng)節(jié)點(diǎn)上。為了滿足以上這些安全要求，主動(dòng)網(wǎng)絡(luò)應(yīng)當(dāng)采用下面方式來保障主動(dòng)節(jié)點(diǎn)安全：（1）主動(dòng)網(wǎng)絡(luò)應(yīng)當(dāng)采用有效的安全機(jī)制保證主動(dòng)節(jié)點(diǎn)安全；（2）主動(dòng)節(jié)點(diǎn)執(zhí)行主動(dòng)代碼時(shí)候必須能夠?qū)ζ浒l(fā)行者進(jìn)行身份認(rèn)證，并執(zhí)行一種存取控制來實(shí)現(xiàn)其資源操作和安全控制；（3）由于主動(dòng)節(jié)點(diǎn)中的執(zhí)行環(huán)境需要安裝主動(dòng)代碼、執(zhí)行主動(dòng)代碼等操作，因此主動(dòng)節(jié)點(diǎn)應(yīng)當(dāng)有安全審計(jì)功能來實(shí)時(shí)監(jiān)視主動(dòng)節(jié)點(diǎn)系統(tǒng)以及主動(dòng)應(yīng)用程序的運(yùn)行狀態(tài)，發(fā)現(xiàn)威脅時(shí)，能夠及時(shí)終止主動(dòng)代碼的執(zhí)行并且保留不可抵賴和不可磨滅的記錄。

（二）執(zhí)行環(huán)境面臨的安全威脅

執(zhí)行環(huán)境感覺其受到的威脅可能來自其它的執(zhí)行環(huán)境、來自主動(dòng)分組或者來自主動(dòng)代碼。因?yàn)樵谝粋€(gè)主動(dòng)節(jié)點(diǎn)中可能存在著多個(gè)執(zhí)行環(huán)境，如果其中一個(gè)執(zhí)行環(huán)境過多的消耗主動(dòng)節(jié)點(diǎn)資源，那么必然對其它執(zhí)行環(huán)境的運(yùn)行造成損害。同樣一個(gè)惡意的主動(dòng)代碼在執(zhí)行環(huán)境中運(yùn)行的時(shí)候，該惡意主動(dòng)代碼可能更改執(zhí)行環(huán)境參數(shù)、超額消耗執(zhí)行環(huán)境所授權(quán)使用的資源、進(jìn)行執(zhí)行環(huán)境所未授權(quán)的存取控制操作，導(dǎo)致執(zhí)行環(huán)境不能有效的或正確的為其它主動(dòng)代碼提供服務(wù)。

（三）主動(dòng)分組面臨的安全威脅

主動(dòng)代碼可能向主動(dòng)節(jié)點(diǎn)發(fā)出存取控制操作請求，其目的是為了處理和傳送；主動(dòng)代碼可能向主動(dòng)節(jié)點(diǎn)發(fā)出存取請求，其目的是為了取得服務(wù)；主動(dòng)代碼也可能請求存取一個(gè)主動(dòng)分組，其目的是為了處理或刪除和更改這個(gè)分組，這些意味著主動(dòng)代碼應(yīng)當(dāng)能夠識(shí)別它所想處理的主動(dòng)分組。一個(gè)主動(dòng)節(jié)點(diǎn)可能對主動(dòng)代碼進(jìn)行存取、檢索更改或終止；主動(dòng)分組需要保護(hù)自己數(shù)據(jù)沒有經(jīng)過未授權(quán)而被竊取或更改，保護(hù)自己的服務(wù)防止未授權(quán)使用，保護(hù)自己的資源防止未授權(quán)使用。主動(dòng)代碼感覺受到的威脅主要來自其它主動(dòng)分組、其它主動(dòng)代碼、來自執(zhí)行環(huán)境和節(jié)點(diǎn)，它能保護(hù)自己防止其它主動(dòng)代碼對其造成的安全危害，但是它不能保護(hù)自己防止受到執(zhí)行環(huán)境和主動(dòng)節(jié)點(diǎn)的安全威脅，因?yàn)橹鲃?dòng)代碼不得不在執(zhí)行環(huán)境和主動(dòng)節(jié)點(diǎn)中運(yùn)行。主動(dòng)代碼所能做的是保護(hù)自己確保它沒有被傳送到不信任的節(jié)點(diǎn)和執(zhí)行環(huán)境上。主動(dòng)分組應(yīng)當(dāng)不相互干涉，一些分組將基于下面幾個(gè)標(biāo)準(zhǔn)安裝新的代碼和進(jìn)行存取控制：（1）授權(quán)分組創(chuàng)始人允許安裝新的代碼；（2）代碼被證明非干涉；（3）代碼僅允許執(zhí)行通過認(rèn)證的創(chuàng)始動(dòng)作；（4）代碼被證明有邊際影響，但僅影響信任使用者的代碼。

（四）用戶面臨的安全威脅

用戶或源節(jié)點(diǎn)希望保護(hù)自己主動(dòng)分組中的傳輸數(shù)據(jù)和代碼，確保主動(dòng)分組中數(shù)據(jù)和代碼的完整性和機(jī)密性。因?yàn)槠渌欠ɑ驉阂獾挠脩糁鲃?dòng)代碼可能通過在主動(dòng)節(jié)點(diǎn)上運(yùn)行來查看其主動(dòng)分組的數(shù)據(jù)、代碼和運(yùn)行狀態(tài)等，所以主動(dòng)應(yīng)用用戶會(huì)感覺威脅來自其它用戶的主動(dòng)代碼或主動(dòng)分組：主動(dòng)應(yīng)用用戶還把執(zhí)行環(huán)境和節(jié)點(diǎn)看作威脅源，因?yàn)榉乐刮词跈?quán)的主動(dòng)節(jié)點(diǎn)查看和修改其主動(dòng)分組的數(shù)據(jù)、代碼和運(yùn)行的狀態(tài)。

三、主動(dòng)網(wǎng)絡(luò)的保護(hù)策略

（一）主動(dòng)節(jié)點(diǎn)的保護(hù)

（1）主動(dòng)分組的認(rèn)證：任何主動(dòng)分組都具有一份證書，該證書由一個(gè)可信任的證書中心發(fā)布。證書用來保證對該證書簽名的持有者為主動(dòng)分組負(fù)責(zé)；（2）監(jiān)視和控制：可以通過設(shè)定訪問監(jiān)視器，它可以根據(jù)策略數(shù)據(jù)庫中的安全決策來決定訪問是否被授權(quán)，通過安全策略來允許主動(dòng)分組訪問和使用主動(dòng)節(jié)點(diǎn)資源和服務(wù)；（3）限制技術(shù)：時(shí)間限制、范圍限制以及復(fù)制限制，這些限制在阻止主動(dòng)分組過度占用節(jié)點(diǎn)資源方面是必要的。

（二）主動(dòng)分組的保護(hù)

（1）在主動(dòng)網(wǎng)絡(luò)中，主動(dòng)分組可能會(huì)導(dǎo)致一些在現(xiàn)有的傳統(tǒng)網(wǎng)絡(luò)中不易經(jīng)常出現(xiàn)的一些問題，如毀壞節(jié)點(diǎn)資源、拒絕服務(wù)、竊取信息等。為了保護(hù)主動(dòng)分組的安全，可以采用加密、容錯(cuò)、數(shù)字簽名技術(shù)等安全技術(shù)；（2）加密指主動(dòng)分組不含有明文代碼和數(shù)據(jù)，防止在傳輸過程中代碼和數(shù)據(jù)被破壞；（3）容錯(cuò)技術(shù)就是備份、持續(xù)和重定向。備份意味著在每個(gè)節(jié)點(diǎn)都進(jìn)行復(fù)制。持續(xù)是指分組臨時(shí)被存儲(chǔ)以防節(jié)點(diǎn)失效，這樣即使節(jié)點(diǎn)崩潰，分組仍然存在存儲(chǔ)器中。由于備份和持續(xù)會(huì)消耗大量的內(nèi)存和帶寬，對大部分分組來說是不可接受的，所以只有非常重要的分組才這樣做；（4）數(shù)字簽名技術(shù)對于主動(dòng)分組進(jìn)行完備性檢測常采用公鑰簽名或X.509證書形式。接收方收到主動(dòng)分組后，利用CA公鑰驗(yàn)證CA數(shù)字簽名以保證證書的完整性，然后從證書中獲得主動(dòng)分組發(fā)送者的公鑰，驗(yàn)證主體的身份。

四、主動(dòng)網(wǎng)絡(luò)安全傳輸方案的設(shè)計(jì)

（一）合法節(jié)點(diǎn)之間的安全傳輸

在主動(dòng)網(wǎng)絡(luò)中，傳輸過程中，路徑上的主動(dòng)節(jié)點(diǎn)要執(zhí)行主動(dòng)分組中含有的代碼，對主動(dòng)分組進(jìn)行計(jì)算處理，主動(dòng)分組在完成傳輸之前，究竟會(huì)有多少個(gè)節(jié)點(diǎn)參與到通信中來，以及這些節(jié)點(diǎn)究竟是哪些節(jié)點(diǎn)，它們分布在什么位置，這些信息是無法事先確定的。這就導(dǎo)致發(fā)送節(jié)點(diǎn)、中間節(jié)點(diǎn)以及終端節(jié)點(diǎn)都無法確定自己會(huì)與多少個(gè)節(jié)點(diǎn)通信，也無法知道這些節(jié)點(diǎn)的所屬者以及它們的地理位置。這就給主動(dòng)節(jié)點(diǎn)之間的認(rèn)證帶來了困難，所以引入認(rèn)證中心（CA）是完成主動(dòng)節(jié)點(diǎn)通信過程中進(jìn)行身份鑒別的必然選擇。讓所有可信節(jié)點(diǎn)都向CA注冊，獲得認(rèn)證，并獲取一張由CA簽發(fā)的用以證明其合法身份的數(shù)字證書，從而使可信節(jié)點(diǎn)之間能夠通過數(shù)字證書來完成彼此的身份鑒別。

（二）有不可信節(jié)點(diǎn)參與的安全通信

筆者認(rèn)為可行的方案就是：由認(rèn)證中心CA給每一個(gè)合法節(jié)點(diǎn)簽發(fā)一個(gè)不含該節(jié)點(diǎn)公鑰的數(shù)字證書，另外由認(rèn)證中心保管各個(gè)合法節(jié)點(diǎn)的公鑰。當(dāng)主動(dòng)節(jié)點(diǎn)A要和節(jié)點(diǎn)B通信時(shí)，只要用自己的私鑰將數(shù)據(jù)包m進(jìn)行加密，然后附上自己的證書，一起封裝起來傳送給B；節(jié)點(diǎn)B接收到傳來的加密數(shù)據(jù)包，若B是未經(jīng)認(rèn)證的節(jié)點(diǎn)，只需按照該數(shù)據(jù)包的目的地址直接將其轉(zhuǎn)發(fā)給下一節(jié)點(diǎn)；若B是經(jīng)過認(rèn)證的合法節(jié)點(diǎn)，則B首先根據(jù)數(shù)據(jù)包中的數(shù)字證書鑒別發(fā)送節(jié)點(diǎn)A的身份信息，然后向認(rèn)證中心請求主動(dòng)節(jié)點(diǎn)A的公鑰，CA對B的身份進(jìn)行鑒別，通過驗(yàn)證后將A的公鑰安全的傳給B，B用該公鑰對A傳來的加密包進(jìn)行解密，完成對主動(dòng)分組的處理。

通信過程如下：（1）A對要發(fā)送的分組m應(yīng)用一個(gè)散列函數(shù)H得到報(bào)文摘要；（2）用A的私鑰K-A對得到的報(bào)文摘要簽名，從而得到數(shù)字簽名；（3）把原分組m（未加密）和數(shù)字簽名級(jí)聯(lián)到一起生成一個(gè)新的數(shù)據(jù)包M；（4）隨機(jī)選擇一個(gè)對稱密鑰Ks，用這個(gè)密鑰對M進(jìn)行加密Ks（M）；（5）用主動(dòng)節(jié)點(diǎn)A的公鑰K-a對這個(gè)對稱密鑰進(jìn)行加密K-A（Ks）；（6）級(jí)聯(lián)該加密的報(bào)文Ks（M）和加密的對稱密鑰K A（Ks），附帶CA簽發(fā)給主動(dòng)節(jié)點(diǎn)A的數(shù)字證書，形成一個(gè)新的包，傳送給主動(dòng)節(jié)點(diǎn)B；（7）節(jié)點(diǎn)B收到分組后，首先取出主動(dòng)節(jié)點(diǎn)A的證書，確認(rèn)其身份；然后B向CA發(fā)出請求，要求獲得A的公鑰；CA再收到B的請求時(shí)，要驗(yàn)證B是否是合法節(jié)點(diǎn)，驗(yàn)證成功后將A的公鑰安全的發(fā)送給B；B用A的公鑰K認(rèn)將報(bào)文解密，得到對稱密鑰Ks，對加密報(bào)文Ks（M）進(jìn)行解密，得到原始數(shù)據(jù)包，計(jì)算該數(shù)據(jù)包的散列值；并與解密得到的散列值進(jìn)行比較，若一致，說明通信過程安全完整；（8）若B是非法節(jié)點(diǎn)，則CA不會(huì)將A的公鑰發(fā)送給B，B只需將加密的分組根據(jù)路由表向下一節(jié)點(diǎn)轉(zhuǎn)發(fā)即可，或者B是普通節(jié)點(diǎn)，也只需對加密的主動(dòng)分組做傳統(tǒng)的轉(zhuǎn)發(fā)。