基于防火墻技術(shù)的網(wǎng)絡(luò)認(rèn)證協(xié)議密鑰交換算法

摘要：為了解決目前網(wǎng)絡(luò)認(rèn)證協(xié)議中數(shù)據(jù)包丟失率高、網(wǎng)絡(luò)信息傳輸不安全等問題，本文提出了一種新的基于防火墻的網(wǎng)絡(luò)認(rèn)證加密算法。在此基礎(chǔ)上，基于BAN的概念，構(gòu)造了節(jié)點(diǎn)與基站間的密鑰交換目標(biāo)函數(shù)，通過公鑰系統(tǒng)來決定初始登錄模式，使用橢圓曲線法構(gòu)造初始密鑰，實(shí)驗(yàn)證明該算法可以防止網(wǎng)絡(luò)認(rèn)證協(xié)議中的數(shù)據(jù)包丟失，從而提高網(wǎng)絡(luò)信息的安全。

關(guān)鍵詞：防火墻技術(shù)；網(wǎng)絡(luò)認(rèn)證協(xié)議；密鑰交換算法

引言

網(wǎng)絡(luò)安全關(guān)系到國家的政治穩(wěn)定、經(jīng)濟(jì)發(fā)展和社會(huì)發(fā)展。信息安全主要包括數(shù)據(jù)的發(fā)送和存儲(chǔ)，以用戶之間的密鑰交換為基本保證。在計(jì)算機(jī)通信和分布式系統(tǒng)中，采用了加密算法來進(jìn)行身份驗(yàn)證。通過協(xié)議信息的傳遞，實(shí)現(xiàn)了對(duì)通信用戶的身份驗(yàn)證，并在此基礎(chǔ)上產(chǎn)生了一個(gè)會(huì)話密鑰，然后按照特定的加密算法保證了數(shù)據(jù)的保密性和完整性，從而在不太安全的情況下建立一個(gè)安全的傳輸信道。

針對(duì)格上LWE問題，本文提出了一種新的密鑰交換方案。該協(xié)議采用了加密機(jī)制，采用了密文壓縮技術(shù)，盡管通信量有所減少，但其算法的復(fù)雜性和計(jì)算簡(jiǎn)單。本文在EPS-AKA協(xié)議的框架下，利用本地域服務(wù)器公開密鑰進(jìn)行加密，訪問驗(yàn)證請(qǐng)求信令，并利用橢圓曲線Diffie-Hellman密鑰交換算法來防止DOS攻擊[1]。但是，在處理中間媒介攻擊問題時(shí)，需要使用完全由所有用戶信任的第三方建立的公鑰體系結(jié)構(gòu)，這些體系結(jié)構(gòu)要求所有的通信方都要取得相應(yīng)的簽名憑證，從而導(dǎo)致了數(shù)據(jù)包丟失，影響網(wǎng)絡(luò)信息的安全。

因此，本文在防火墻技術(shù)的基礎(chǔ)上，引入了一種新的密鑰交換算法[2]。采用一種公開密鑰系統(tǒng)的初始登錄方法，并通過防火墻技術(shù)將初始密鑰轉(zhuǎn)化為順序口令，從而實(shí)現(xiàn)了密鑰交換。這種方案可以有效減少網(wǎng)絡(luò)認(rèn)證協(xié)議中的數(shù)據(jù)包丟失，從而保護(hù)網(wǎng)絡(luò)信息的安全。

1. 防火墻技術(shù)基本原理分析

1.1 防火墻概念

防火墻是一種將局域網(wǎng)與外部網(wǎng)隔開的防御體系[3]。該方法將特定的安全策略與發(fā)送的數(shù)據(jù)包相結(jié)合，以判斷是否能夠進(jìn)行通信，對(duì)外屏蔽所有內(nèi)部網(wǎng)絡(luò)的所有信息和操作。它的主要目標(biāo)是在不安全的情況下，建立一個(gè)相對(duì)安全的內(nèi)部網(wǎng)絡(luò)。一個(gè)好的防火墻必須具有下列特點(diǎn)：

（1）防火墻本身不受任何形式的攻擊。

（2）所有在內(nèi)網(wǎng)和外網(wǎng)間傳送的資料都要通過防火墻。一般防火墻都會(huì)有一個(gè)端口號(hào)，用于區(qū)分?jǐn)?shù)據(jù)流和訪問端口。

（3）如果防火墻只支持一個(gè)端口號(hào)，可以采用同一臺(tái)防火墻來管理多個(gè)網(wǎng)絡(luò)。

（4）在使用防火墻時(shí)一定要注意使用的策略和策略的正確性，僅由安全政策許可的信息能夠經(jīng)由防火墻訪問到內(nèi)部網(wǎng)絡(luò)。

（5）注意防火墻與其他網(wǎng)絡(luò)之間的隔離方式，這也是對(duì)安全性要求比較高的人所要考慮的。

防火墻模型和體系結(jié)構(gòu)分別見圖1和圖2。

1.2 防火墻作用

防火墻是一種基于互聯(lián)網(wǎng)的應(yīng)用，利用一些協(xié)議將用戶和網(wǎng)絡(luò)隔離開來，使其能夠在不受他人控制的情況下使用網(wǎng)絡(luò)。防火墻技術(shù)已經(jīng)被廣泛應(yīng)用到Internet網(wǎng)絡(luò)中，包括在局域網(wǎng)中、通過VPN連接到Internet上，以及將內(nèi)部網(wǎng)絡(luò)與外部系統(tǒng)進(jìn)行連接[4]。它是一種相對(duì)獨(dú)立的、由硬件或軟件實(shí)現(xiàn)的、能夠阻止來自外界攻擊的保護(hù)措施。

1.2.1 木桶原理在網(wǎng)絡(luò)安全技術(shù)中的應(yīng)用

“木桶”理論模型被廣泛應(yīng)用于IT系統(tǒng)的安全管理，它揭示了一個(gè)深刻的道理：任何系統(tǒng)都不可能萬無一失，都會(huì)存在安全漏洞。這也正是防火墻技術(shù)誕生的意義所在[5]。由于網(wǎng)絡(luò)的規(guī)模和復(fù)雜性日益增加，在這個(gè)越來越復(fù)雜的環(huán)境中進(jìn)行網(wǎng)絡(luò)安全管理將變得更加困難。由于不同地域用戶分布和管理方式的差異，使整個(gè)網(wǎng)絡(luò)變得越來越難以實(shí)現(xiàn)統(tǒng)一管理，從而導(dǎo)致了網(wǎng)絡(luò)安全防護(hù)問題日益嚴(yán)重。

1.2.2 加強(qiáng)網(wǎng)絡(luò)內(nèi)部安全性

防火墻可以有效約束非法使用者，并阻止具有安全風(fēng)險(xiǎn)的服務(wù)與未獲許可的通信。

1.2.3 監(jiān)控網(wǎng)絡(luò)存取與訪問記錄

防火墻還可以監(jiān)控網(wǎng)絡(luò)的存取和訪問記錄，并將信息傳送給有關(guān)部門。這些信息可以用于發(fā)現(xiàn)安全問題，提供審計(jì)信息，并對(duì)非法使用者予以威懾。防火墻可以用來監(jiān)控網(wǎng)絡(luò)的訪問和存取情況，雖然通過防火墻可以防止網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)泄漏，但卻不能防止數(shù)據(jù)被訪問者獲得。因此在進(jìn)行網(wǎng)絡(luò)安全監(jiān)測(cè)時(shí)，如果沒有防火墻就會(huì)檢測(cè)不到任何有價(jià)值的信息，而在進(jìn)行數(shù)據(jù)訪問限制時(shí)會(huì)限制非法用戶訪問資源和文件。

1.2.4 禁止用戶瀏覽特殊站點(diǎn)

防火墻會(huì)依據(jù)使用者的身份來決定使用者的合法性。

1.2.5 限制暴露用戶點(diǎn)，避免內(nèi)部攻擊

由于網(wǎng)絡(luò)存在安全漏洞，并且黑客有可能對(duì)其他用戶進(jìn)行惡意攻擊，所以為了避免網(wǎng)絡(luò)中出現(xiàn)安全漏洞，必須限制用戶點(diǎn)的暴露。防火墻可以控制暴露用戶點(diǎn)的位置，并將暴露給互聯(lián)網(wǎng)上其他用戶的服務(wù)器進(jìn)行隔離。當(dāng)某個(gè)IP設(shè)備暴露在互聯(lián)網(wǎng)時(shí)，就可以限制該設(shè)備的訪問權(quán)限，這樣既能保護(hù)網(wǎng)絡(luò)數(shù)據(jù)不受攻擊，也能限制對(duì)該IP網(wǎng)絡(luò)中其他設(shè)備的訪問權(quán)限[6]。

2. 網(wǎng)絡(luò)認(rèn)證協(xié)議密鑰交換算法

2.1 網(wǎng)絡(luò)認(rèn)證協(xié)議的安全性研究

2.1.1 協(xié)議形式化

2.1.2 安全目標(biāo)

2.1.3 初始假設(shè)

2.2 確定密鑰交換目標(biāo)函數(shù)

2.3 初始登錄

在網(wǎng)絡(luò)驗(yàn)證協(xié)議中采用公開密鑰系統(tǒng)的初始登錄方法，并獲取與AS共享的密鑰。這種方法可以有效地防止密碼的猜測(cè)。假設(shè)使用者A已經(jīng)向其所屬的地區(qū)的證書發(fā)放單位遞交了進(jìn)入網(wǎng)絡(luò)的申請(qǐng)，并獲得了證書的 Cert，A。

（1）與Beacons思想相結(jié)合，認(rèn)證服務(wù)器AS將證書鏈和隨機(jī)數(shù)字RN1按照一定的時(shí)間間隔通知給該地區(qū)的用戶。

（2）使用者A檢測(cè)AS證書鏈，在檢測(cè)之后，生成一個(gè)隨機(jī)數(shù)字RN2，將查詢信息發(fā)送給AS：

（3）AS在獲得該信息之后，利用該專用密鑰對(duì)該消息進(jìn)行解密，以確認(rèn)該簽名的合法性，若為合法的話，將該信息存儲(chǔ)在RN2中，并將回復(fù)信息發(fā)送給該用戶A。

（4）使用者A接受該資訊，經(jīng)核實(shí)后，將RN2視為與AS共有的鑒權(quán)密鑰KA， AS=RN2。

由于在最初的登錄階段就完成了認(rèn)證服務(wù)器的注冊(cè)，所以無需輸入密碼，從而減少了密碼的安全性[8]。

2.4 基于防火墻技術(shù)的密鑰交換算法生成

2.4.1 簡(jiǎn)單密鑰交換

在這種情況下，當(dāng)雙方的通信量很小的時(shí)候，可以直接進(jìn)行身份驗(yàn)證和密鑰的交換，這樣就可以避免第三方的干預(yù)，減少了網(wǎng)絡(luò)的開銷，使得通信的速度變得更快[9]。

如果A方要和B進(jìn)行通信，則可以使用初始密鑰來完成。在整個(gè)密鑰交換期間，使用橢圓曲線法產(chǎn)生密鑰對(duì){PKA，SKA}，如圖3所示。

（1）A一方產(chǎn)生一對(duì)密鑰{PK_A，SK_A}，然后向代表A身份的B發(fā)送PK_A||ID_A。

（2） B構(gòu)成初始鍵K_S，利用A公開密鑰PK_A對(duì)K_S進(jìn)行加密處理，然后向A通信端傳送EPK_A[K_S]。

（3）A方還原初始密鑰，由于只有通信者A能夠理解K_S，所以只有A和B得到初始密鑰K_S。

（4） A一方破壞{PK_A， SK_A}，B方銷毀 PK_A。

在完成以上步驟之后，通信雙方可以使用KS作為原始密鑰的順序口令，通過防火墻技術(shù)進(jìn)行數(shù)據(jù)的加密和傳輸，從而達(dá)到安全的通信目的。通信完成后，K_S會(huì)被破壞[10]。

2.4.2 保密性與認(rèn)證性密鑰交換

（1）假定通信雙方A和B使用公共密鑰對(duì)A標(biāo)識(shí)IDA和它所生成的隨機(jī)數(shù)字N1進(jìn)行加密，然后發(fā)送給B，N1用于表示加密通信。

（2）B方利用A方的公開密鑰PK_A對(duì)由A方發(fā)送的N₁和B所生成的N₂進(jìn)行加密，并向A方發(fā)送該加密的數(shù)據(jù)。由于只有B才能解讀1）中的已加密的信息，所以B發(fā)送的消息中含有N₁，以便A一方能夠信任B。

（3）A方使用B的公開密鑰PKB對(duì)N₂進(jìn)行加密，然后將其發(fā)送給B，使得B收到N₂后，確認(rèn)為通信方為A。

（4）A方加密初始鍵K_S，向B發(fā)送M=EPK_B[E_SK[K_S]]，采用B的公開密鑰加密的原因是只有B才能解密該加密信息，而A方的私鑰加密則是為了保證只有A方才能發(fā)送加密信息。

（5）B方使用D_PK[DSK_S][M]來恢復(fù)最初的密鑰，從而實(shí)現(xiàn)了密鑰的交換。

具有保密性與認(rèn)證性的密鑰交換如圖4所示。

在此基礎(chǔ)上，利用公共密鑰系統(tǒng)，確定了用戶的初始登錄方式，并利用橢圓曲線的方法，通過構(gòu)建初始密鑰，采用防火墻技術(shù)對(duì)原始密鑰進(jìn)行加密、傳輸，使之能在網(wǎng)絡(luò)驗(yàn)證協(xié)議中進(jìn)行密鑰交換[11]。

3. 仿真數(shù)據(jù)分析與研究

為檢驗(yàn)本研究的正確性，本研究以MATLAB6.5為開發(fā)平臺(tái)，采用Intel PentiumIV處理器，主頻3.20GHz，密鑰長度設(shè)定為1024比特。它的試驗(yàn)參數(shù)設(shè)定如表1所示。

在這過程中需要對(duì)網(wǎng)絡(luò)認(rèn)證協(xié)議的數(shù)據(jù)信息丟包率進(jìn)行驗(yàn)證，這里通過對(duì)本文中的方式與文獻(xiàn)[1]、[2]中的方式進(jìn)行數(shù)據(jù)丟包率的對(duì)比實(shí)驗(yàn)，對(duì)比結(jié)果如圖5所示。通過對(duì)比結(jié)果可以發(fā)現(xiàn)，如果將數(shù)據(jù)量的大小增加到1200MB的情況下，三種方法的丟包率分別是20%、49%和38%。由此可以知道本文中所采用的方法具有更低的丟包率。產(chǎn)生這個(gè)情況的原因是本問所采用的方法在進(jìn)行網(wǎng)絡(luò)協(xié)議的認(rèn)證過程中采用的初始登錄方式是公鑰體制，這樣的初始登錄方式能夠有效的阻止口令猜測(cè)攻擊，從而實(shí)現(xiàn)了對(duì)數(shù)據(jù)丟包率的降低。同時(shí)還要對(duì)數(shù)據(jù)信息傳輸?shù)陌踩赃M(jìn)行驗(yàn)證，同樣通過對(duì)本文中的方式與文獻(xiàn)[1]、[2]中的方式進(jìn)行數(shù)據(jù)傳輸安全性的對(duì)比實(shí)驗(yàn)，如圖6所示。通過對(duì)比可以看出三種方式的數(shù)據(jù)傳輸安全性分別是90%、80%和60%，所以本文所采用的方式在進(jìn)行數(shù)據(jù)信息傳輸?shù)倪^程中具有更高的安全性。

結(jié)語

為了減少目前網(wǎng)絡(luò)認(rèn)證協(xié)議中的數(shù)據(jù)丟失，本文提出了一種基于防火墻的密鑰交換算法，即通過建立一個(gè)防火墻，得到一個(gè)節(jié)點(diǎn)和一個(gè)基站的密鑰交換的目標(biāo)函數(shù)。仿真實(shí)驗(yàn)證明，該方案能有效減少網(wǎng)絡(luò)驗(yàn)證協(xié)議中的數(shù)據(jù)丟失，提高網(wǎng)絡(luò)信息傳輸?shù)陌踩?，并能有效滿足用戶對(duì)網(wǎng)絡(luò)穩(wěn)定性的要求。

參考文獻(xiàn)：

[1]李子臣，謝婷，張?bào)戕?，?一種新型基于格上LWE問題密鑰交換協(xié)議的設(shè)計(jì)[J].計(jì)算機(jī)應(yīng)用研究，2019，36（5）：1519-1523.

[2]吳文豐，張文芳，王小敏，等.一種安全增強(qiáng)的LTE-R車-地?zé)o線通信認(rèn)證密鑰協(xié)商方案[J].鐵道學(xué)報(bào)，2019，41（12）：66-74.

[3]李子臣，謝婷，蔡居良，等.基于環(huán)上誤差學(xué)習(xí)問題的新型后量子認(rèn)證密鑰交換協(xié)議[J].計(jì)算機(jī)應(yīng)用，2018，38（8）：2243-2248，2273.

[4]于金霞，廉歡歡，湯永利，等.格上基于口令的三方認(rèn)證密鑰交換協(xié)議[J].通信，2018，39（11）：91-101.

[5]賀章擎，李紅，萬美琳，等.一種基于PUF的兩方認(rèn)證與會(huì)話密鑰交換協(xié)議[J].計(jì)算機(jī)工程與應(yīng)用，2018，54（18）：17-21.

[6]魏春艷，蔡曉秋，王天銀，等.基于量子不經(jīng)意密鑰傳輸?shù)牧孔幽涿J(rèn)證密鑰交換協(xié)議[J].電子與信息學(xué)報(bào)，2020，42（2）：341-347.

[7]王淑華，陳振龍.基于格的無線傳感器網(wǎng)絡(luò)密鑰協(xié)商協(xié)議[J].傳感技術(shù)報(bào)，2019， 32（2）：127-133，147.

[8]王彩芬，陳麗.基于格的用戶匿名三方口令認(rèn)證密鑰協(xié)商協(xié)議[J].通信學(xué)報(bào)，2018，39（2）：21-30.

[9]高瑾.動(dòng)態(tài)用戶網(wǎng)絡(luò)連接防干擾與安全認(rèn)證方法仿真[J].計(jì)算機(jī)仿真，2019，36 （5）：230-233，254.

[10]黃志蘭，樊勇兵，樊寧，等.云資源池集成虛擬防火墻方案及關(guān)鍵技術(shù)[J].電信科學(xué)，2019，35（5）：146-154.

[11]唐宏偉，馮圣中，趙曉芳.TOChain：一種高性能虛擬網(wǎng)絡(luò)安全服務(wù)功能鏈[J].北京郵電大學(xué)學(xué)報(bào)，2018，41（1）：70-80.

作者簡(jiǎn)介：張銘，本科在讀，研究方向：計(jì)算機(jī)科學(xué)與技術(shù)。