[发明专利]支持多级安全的移动IPSec接入认证方法

说明书

技术领域

本发明属于网络安全技术领域，具体涉及移动IPSec接入认证方法，用于实现具有多级安全特性的移动IPv6网络中MN对代理的安全注册。

技术背景

互联网工程工作组IETF在IPv6的基础上于2004年6月正式提出移动IPv6协议，RFC3775。该协议在支持移动性，解决安全性问题，实现高服务质量，以及提供足够的地址空间等方面有着比IPv4协议更大的优势。但由于Internet本身的安全机制较为脆弱，再加上无线网络传输媒体的开放性、移动终端的大范围移动性、拓扑结构的动态性和移动设备存储资源和计算资源的有限性，使得移动IP网络比有线网络更容易受到安全威胁；同时由于移动设备在存储能力、计算能力和电源供电时间方面的局限性，也使得原来在有线环境下的许多安全方案和安全技术不能直接应用于无线环境。这种在移动设备和传输媒介方面的特殊性，使得一些攻击更容易实施，对移动网络的安全保护既表现为系统安全防护的困难性，也表现为网络通信安全实现的困难性。

多级安全系统是指那些允许存储具有不同敏感等级信息，允许具有不同安全标识和授权的用户按照“按需所知”的原则处理系统信息，并且阻止没有安全标识、没有授权或者没有获取信息需求的用户访问信息的系统。传统的多级安全系统主要在集中式环境下工作，由一个处理多级安全的服务器和若干终端组成。本发明中主要涉及分布式环境下多级安全网络的安全技术问题，该类多级安全网络能够实现任意实体之间的多级安全访问控制。而在移动IPv6网络中实现多级安全访问控制迄今为止还未见公开方案。

目前，还没有公认的适合现有移动IPv6网络的保密和鉴别体系，这是因为目前的移动网络安全保密标准主要是针对无线局域网的IEEE802.11i和我国的WAPI标准，这种针对链路层和端口设计的协议不适合大规模分布式的移动IPv6网络。

就IPv6网络而言，IPSec协议是非常优秀的，在IPv6协议中强制实施，能提供非常好的安全性和可操作性。它是指IETF以RFC形式公布的一组标准安全IP协议集，提供IP包级安全，其基本目的就是把密码学的安全机制引入IP协议，通过使用现代密码学方法为IPv4和IPv6提供可互操作、高质量、基于密码学的安全，并能够使用户能有选择地使用，得到所期望的安全服务。IPSec将几种安全技术结合形成一个完整的安全体系，最终能提供端到端的安全保护，正如RFC4301所述，IPSec安全体系结构包括四个部分：

①业务流安全协议：包括ESP协议和AH协议，用于保护IP数据报的机密性、完整性、认证性。该模块依据已创建的安全关联，选择适合的协议和算法对数据报进行保护。

②安全关联与安全策略管理模块：包括安全策略数据库SPD、安全关联数据库SAD和授权对端数据库PAD。用于阐明IPSec功能是什么、怎样工作、如何管理及其相关的处理过程。安全策略SP指出了主机或安全网关中进出的IP数据报级的处理策略，安全关联IPSec/SA直接规范了IPSec数据报的实际处理方法，即使用的业务流安全协议、所使用的密码算法的参数和会话密钥。

③密钥交换模块：自动的或手动的密钥交换。用于实现认证、创建通信实体之间的安全关联SA。

④认证与加密模块：用于提供业务流安全协议和密钥交换IKE所使用的各种加密和认证算法。

通过IP安全协议和密钥管理协议的结合构建起IP层安全体系结构的框架，能保护所有基于IP的服务或应用，及其上层协议的安全。IPSec能够提供访问控制、数据源认证、无连接数据完整性、抗重播、数据机密性和有限的通信流量机密性等安全服务。

早期的IPSec由RFC2401等一系列文档组成的协议簇构成，随着研究的深入和应用的需求，人们针对IPSec的复杂性问题，做了进一步修改，并由RFC4301等一系列的RFCs文档重新定义了IPSec，其中最为典型的改进是将密钥交换协议IKE升级到了IKEv2版本。IKEv2协议用于根据安全策略在通信的发起方和响应方之间创建用于保护数据报的安全关联IPSec/SA。

参照图1，IKEv2协议的四条消息如下：

①发起方I向响应方R发送IKE/SA初始消息{Ni，SAi1，KEi}；

②响应方R向发起方I发送IKE/SA响应消息{[CERTREQ]，Nr，SAr1，KEr}；

③发起方I向响应方R发送IKE/AUTH初始消息{IDi，[CERT]，[CERTREQ]，AUTH，SAi2}；

④响应方R向发起方I发送IKE/AUTH响应消息{IDr，[CERT]，AUTH，SAr2}。