基于PKI身份认证和访问控制的IKE协议研究和实现

摘要

本文主要研究IPsec协议簇中的IKE协议部分，提出将ECC、PKI、RBAC访问控制技术同IKE协议结合起来，设计一个增强的基于PKI身份认证和访问控制的IKE协议。设计并实现了这个IPsecVPN安全网关原型系统，论文的具体研究和实现工作包括如下几个方面：对现有IKE相关技术进行研究，分析其优缺点，找出自己研究的切入点。对PKI技术和ECC技术进行研究。阐述了使用ECC和PKI技术的优势：使用ECC技术具有更好的效率和安全性；采用基于PKI的身份认证技术提高了IKE身份认证的安全性和系统的部署可扩展性；采用基于属性证书的RBAC访问控制技术，可以实施更细粒度的访问控制技术。支持DER和PEM格式的数字证书。对DPD协议进行研究，设计并实现了对DPD的支持，有效解决了通信对方不在线的发现机制并重新协商，提高系统健壮性和效率。对原型系统进行安全性分析，针对MD5、SHA1报文摘要算法的破解，分析了对课题系统可能带来的潜在安全威胁，并提出了应对措施。对原型系统进行测试和分析。测试结果表明，原型系统可以和Linuxv2.6内核IPsec模块正常工作，并对测试结果进行分析，原型系统达到了最初的设计目标。

目录

文摘

英文文摘

学位论文独创性声明及学位论文使用授权声明

第一章绪论

1.1研究背景

1.2研究现状

1.3论文所做工作

1.4论文特色和创新点

1.5论文的结构

第二章ECC和PKI理论研究

2.1 ECC理论及其优势

2.1.1椭圆曲线公钥加密算法理论基础

2.1.2 ECC相对于RSA的优势

2.2 PKI和数字证书

2.3数字证书

2.3.1 X.509数字证书

2.3.2 X.509证书撤销

2.3.3 X.509属性证书

2.4 ECC、PKI技术在课题中的应用

第三章IPsec与VPN

3.1 IPsec组成

3.2 IPsec VPN的优点

3.3课题设计中使用的一些重要结构

3.3.1安全关联(SA)

3.3.2安全数据库

3.4 Internet动态密钥交换协议-IKE

3.4.1主模式交换和积极模式交换分析

第四章IPsec VPN系统设计和IKE概要设计

4.1 IPsec VPN安全网关系统设计

4.2 IPsec VPN安全网关入站数据包处理流程

4.3 IPsec VPN安全网关出站数据包处理流程

4.4 IKE总体设计思想

4.5 IKE模块功能描述

4.6 IKE模块之间的交互关系

4.6.1消息处理模块与系统管理模块交互

4.6.2消息处理模块与IKE消息验证模块交互

4.6.3消息处理模块与内核模块的交互

4.6.4消息处理模块与状态库模块的交互

4.6.5消息处理模块与对方通信实体的交互

4.6.6消息处理模块与外部LDAP服务器的交互

第五章IKE模块设计和实现

5.1 VPN中的身份认证技术比较

5.2数字证书引擎研究和实现

5.2.1 X.509数字证书的验证过程

5.3基于证书访问控制引擎研究和实现

5.3.1利用用户标记通配符实施访问控制

5.3.2利用中间CA实施访问控制

5.3.3利用属性证书实施访问控制

5.4 DPD服务模块研究和实现

5.4.1 DPD工作原理和特点研究

5.4.2 DPD同keepalives和heartbeat的比较

5.4.3 DPD交互设计和实现

第六章基于PKI、DPD的IKE协商设计和实现

6.1IKE协商状态迁移

6.2主模式交换

6.2.1 IKE第一阶段协商

6.2.2 IKE第二阶段协商

6.3主模式第一次交互消息设计

6.3.1主模式第一条消息设计

6.3.2主模式第二条消息设计

6.4主模式第二次交互消息设计

6.4.1主模式第三条消息设计

6.4.2主模式第四条消息设计

6.5主模式第三次交互消息设计

6.5.1主模式第五条消息设计

6.5.2主模式第六条消息设计

6.5.3发起方处理接收到的第六条消息

6.6主模式第二阶段协商

6.6.1快速模式第一条消息设计

6.6.2快速模式第二条消息设计

6.6.3快速模式第三条消息设计

6.6.4响应方处理接收到的第三条消息

第七章系统安全性分析

7.1保密性分析

7.2抵御DoS攻击能力

7.3防止中间人攻击(Man in the Middle)

7.4完美向前保护(PFS)

7.5完整性保护和强身份认证

7.6有效的访问控制机制

7.7报文摘要算法(MD5、SHA1)破解的分析和应对策略

第八章原型系统测试

8.1课题系统开发环境

8.1.1软件环境和硬件环境

8.1.2测试环境

8.2课题系统与同类产品的比较

8.3性能测试

8.4 IKE交互过程

8.5保密性测试

8.6查看系统状态信息

8.7测试结论

第九章结束语

9.1论文总结

9.2 IPsec VPN的发展方向

9.3未来的工作

附录1论文中的专业术语英文全称对照表

附录2课题中使用的重要数据结构

1 msg_digest数据结构

2 state数据结构

3 connection数据结构

参考文献

作者在攻读硕士学位期间参加的科研项目

作者在攻读硕士学位期间公开发表的论文

致谢